Rettssystemet og rangordningen — hvor personvernreglene kommer fra, og hva som går foran hva

Kort versjon for ikke-jurister. Personvernreglene i Norge er i hovedsak en EU-forordning (GDPR) som Stortinget har gjort til norsk lov gjennom EØS-avtalen. Den går foran andre norske lover hvis de kolliderer. Rundt den ligger norske tilleggsregler (personopplysningsloven) og særlover for bestemte områder — for eksempel kredittopplysning, elektronisk kommunikasjon og de offentlige registrene. Når man skal finne ut hva som er lov, leser man forordningens tekst først, så EU-domstolens og Høyesteretts avgjørelser, så Personvernnemnda, Datatilsynet og det europeiske personvernrådet (EDPB).

1. Forordningen er norsk lov

Personopplysningsloven § 1 gjør forordningen til lov: «EØS-avtalen vedlegg XI nr. 5e (forordning (EU) 2016/679) … gjelder som lov med de tilpasningene som følger av vedlegg XI, protokoll 1 og avtalen for øvrig.»¹ Teknikken er inkorporasjon. Departementet forklarte i proposisjonen: «Etter EØS-avtalen artikkel 7 bokstav a skal Norge gjennomføre EU-forordninger ‘som sådan’ i nasjonal rett. … Inkorporasjon innebærer at forordningen med de tilpasninger som avtales ved innlemmelse i EØS-avtalen, gjøres gjeldende som norsk lov uten omskrivninger.»²

To praktiske følger:

• Teksten som gjelder er forordningens egen tekst. Den norske versjonen er EØS-teksten som er tatt inn som vedlegg til personopplysningsloven på Lovdata.³ Den engelske teksten i EUR-Lex har samme gyldighet som de andre EU-språkene.⁴ Der oversettelsen er uklar, er det riktig å lese flere språkversjoner. I denne guiden gjengir vi norsk tekst og viser til engelsk der det har betydning.
• Tolkningen følger EU-rettens metode. Fordi forordningen er EU-rett, er EU-domstolens tolkning avgjørende, også for Norge. Høyesterett uttalte i Legelisten-saken at forordningen «gjelder etter personopplysningsloven § 1 direkte som norsk lov»,⁵ og at praksis knyttet til det opphevede direktivet 95/46/EF «dermed [er] relevant for tolkningen av den någjeldende bestemmelsen».⁶

2. Forrang: hva som går foran ved konflikt

EØS-loven § 2 fastsetter en forrangsregel for lover som gjennomfører EØS-forpliktelser: «Bestemmelser i lov som tjener til å oppfylle Norges forpliktelser etter avtalen, skal i tilfelle konflikt gå foran andre bestemmelser som regulerer samme forhold.»⁷ Personopplysningsloven gjentar dette for forordningen: «Bestemmelsene i personvernforordningen går i tilfelle konflikt foran bestemmelser i annen lov som regulerer samme forhold, jf. EØS-loven § 2.»⁸

Vår vurdering: forrangsregelen betyr ikke at særlover er uten betydning. Forordningen åpner selv for nasjonale regler på mange punkter (for eksempel artikkel 6 nr. 2 og 3, artikkel 23, artikkel 85–91), og særlover som regulerer et annet forhold — ikke «samme forhold» — kolliderer ikke med forordningen, men supplerer den. Forarbeidene sier det slik: nasjonale bestemmelser «som spesifiserer, utfyller eller gjør unntak fra forordningen, vil ikke bare følge av personopplysningsloven, men også spesiallovgivningen. Forordningen må derfor også leses i sammenheng med spesiallovgivningen.»⁹

3. Rangordningen, trinn for trinn

Et typisk feilgrep er å lese Datatilsynets veiledere som om de var lov. De er tilsynets forståelse, og den kan bli overprøvd — Legelisten-saken er nettopp et eksempel der Datatilsynets vedtak ble omgjort av nemnda og nemndas vedtak stadfestet av domstolene.¹⁸ Et annet er å overse at en EU-dom om direktivet fra 1995 fortsatt gjelder for den videreførte bestemmelsen.⁶

4. Særlovene som betyr mest for registerpublisering

4.1 Registerlovene (nye fra 1. januar 2026)

Enhetsregisterloven av 1994 og foretaksregisterloven av 1985 er opphevet fra 1. januar 2026 og erstattet av lov 20. juni 2025 nr. 105 om Enhetsregisteret og lov 20. juni 2025 nr. 106 om Foretaksregisteret.^{19 20} Alt som siteres i denne guiden er de nye lovene. De sentrale bestemmelsene for publisering:

• Innsynsretten: «Enhver har rett til å få tilgang til opplysninger og dokumenter som er registrert i Enhetsregisteret. Dette gjelder ikke fødselsnummer, d-nummer og elektronisk varslingsadresse.»²¹ Tilsvarende for Foretaksregisteret.²²
• Grensen for sammenstilling: «Sammenstilling av opplysninger om en person kan bare gis når det gjelder personens registrerte tilknytning til næringsvirksomhet.»²³ Bestemmelsen regulerer sammenstillinger fra registeret. Den direkte anvendelsen overfor private viderebrukere må skilles fra deres egne plikter etter personvernforordningen.
• Hva som registreres om rolleinnehavere: navn eller foretaksnavn, fødselsnummer/d-nummer/ organisasjonsnummer og adresse.²⁴ Av dette utleverer Brønnøysundregistrene i det åpne rolle-API-et «navn og fødselsdato».²⁵ Byggsikts person- og eiersider viser bare fødselsår. Dette beskriver offentlig visning, ikke hvilke opplysninger som behandles internt; se personvernerklæringen.
• Innehaver av enkeltpersonforetak registreres som en rolle i enhetens ledelse.²⁶

4.2 Regnskapsloven

«Årsregnskapet, årsberetningen, revisjonsberetningen … er offentlige. Enhver har rett til å gjøre seg kjent med innholdet av denne rapporteringen hos den regnskapspliktige eller hos Regnskapsregisteret.»²⁷

4.3 Kredittopplysningsloven

Loven gjelder «utlevering og annen behandling av opplysninger som ledd i kredittopplysningsvirksomhet»,²⁸ der kredittopplysning er «opplysning som belyser kredittevnen til en fysisk eller juridisk person» og kredittopplysningsvirksomhet er «virksomhet som består i ervervsmessig eller stadig utlevering av kredittopplysninger i den hensikt å belyse kredittevne».²⁹ Forholdet til forordningen er regulert i § 4: personopplysningsloven og forordningen gjelder «dersom annet ikke følger av denne loven».³⁰ Loven er altså lex specialis. Om en offentlig tilgjengelig vurdering av et selskap er kredittopplysningsvirksomhet, avhenger av lovens vilkår og den konkrete behandlingen, se kapitlet om kredittopplysning. Også behandling av opplysninger om fysiske personer, inkludert innehavere av enkeltpersonforetak, må vurderes etter lovens virkeområde. Fravær av en offentlig score avgjør ikke alene om annen behandling omfattes.

4.4 Ekomloven

Lov om elektronisk kommunikasjon av 2003 er opphevet fra 1. januar 2025;³¹ den nye ekomloven av

13. desember 2024 nr. 76 har regelen om informasjonskapsler i § 3-15: «Det er ikke tillatt å lagre eller å

skaffe seg tilgang til opplysninger i sluttbrukers eller brukers kommunikasjonsutstyr uten at den aktuelle sluttbrukeren eller brukeren er informert om blant annet hvilke opplysninger som behandles, formålet med behandlingen og hvem som behandler opplysningene, og uten at den aktuelle sluttbrukeren eller brukeren har gitt samtykke. Samtykke skal oppfylle kravene til samtykke i personvernforordningen.»³² Unntak gjelder for lagring «utelukkende for det formål å overføre kommunikasjon» og for det som er «strengt nødvendig for å levere en informasjonssamfunnstjeneste etter … uttrykkelige forespørsel».³² Henvisninger til «§ 2-7b» gjelder den opphevede loven.

5. Virkeområde og de nasjonale unntakene

Loven og forordningen gjelder «ved helt eller delvis automatisert behandling av personopplysninger og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register».³³ Byggsikts publisering er automatisert behandling av et register, og faller klart innenfor.

Personopplysningsloven § 3 gjør unntak for behandling «for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer», så langt det er nødvendig for ytrings- og informasjonsfriheten.³⁴ Forordningen pålegger statene en slik avveining i artikkel 85.³⁵ Byggsikt påberoper seg ikke § 3 for registersidene. Personvernnemndas vurdering av Legelisten gjaldt den konkrete behandlingen etter ordlyden som da gjaldt.³⁶ § 3 ble endret med virkning fra 1. januar 2022; eldre avgjørelser må leses i lys av dette.³⁷ Forskningsartikler må vurderes for seg.

Artikkel 86 lar personopplysninger i «offentlige dokumenter som en offentlig myndighet eller et offentlig eller privat organ er i besittelse av for å utføre en oppgave i allmennhetens interesse» utleveres etter nasjonal rett om innsyn.³⁸ Bestemmelsen retter seg mot den som sitter på dokumentene (registrene), og forklarer hvorfor registrene kan gi innsyn; den gir ikke i seg selv Byggsikt et behandlingsgrunnlag for viderebruk. Grunnlaget for viderebruk må finnes i artikkel 6 — det er kapittel 02.

6. Hvem som avgjør

• Datatilsynet fører tilsyn og kan treffe vedtak (artikkel 58) og ilegge overtredelsesgebyr (artikkel 83).
• Personvernnemnda avgjør klager over Datatilsynets vedtak.¹⁴
• Domstolene prøver gyldigheten av nemndas vedtak; søksmål rettes mot staten ved Personvernnemnda.³⁹ Domstolene «kan følgelig prøve vedtaket fullt ut».⁴⁰
• Den registrerte kan klage til Datatilsynet (artikkel 77) og gå til domstolene mot den behandlingsansvarlige (artikkel 79).⁴¹

Under vurdering

• Hvilken vekt EDPB-retningslinjer har i norsk rett når de avviker fra Datatilsynets eldre veiledning: kildeledgeren inneholder ingen norsk avgjørelse som uttaler seg om det.
• Om EU-domstolens praksis etter 2021 om artikkel 6 nr. 1 bokstav f (for eksempel saker om søketjenester) endrer vektleggingen i HR-2021-2403-A: avgjørelsene er ikke tatt inn som belegg i dette kapitlet.

Kilder