Berettiget interesse — artikkel 6 nr. 1 bokstav f, med publisering av registerdata som gjennomgående eksempel

Kort versjon. Berettiget interesse kan være et grunnlag for behandling uten samtykke når alle vilkårene er oppfylt: interessen må være berettiget, behandlingen nødvendig, og den enkeltes interesser og rettigheter må ikke gå foran. Vilkårene må vurderes og dokumenteres for den konkrete behandlingen. En protest krever en vurdering av personens særlige situasjon.

1. Ordlyden

Behandling er lovlig når «behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.»¹ Engelsk: «processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.»²

Fortalen utdyper at det skal tas hensyn til «the reasonable expectations of data subjects based on their relationship with the controller», og at den registrertes interesser særlig kan gå foran «where personal data are processed in circumstances where data subjects do not reasonably expect further processing».³

2. De tre kumulative vilkårene

Høyesterett formulerte testen slik i Legelisten-dommen: «For at det skal foreligge behandlingsgrunnlag etter GDPR artikkel 6 nr. 1 bokstav f, må tre vilkår være oppfylt: For det første må det foreligge berettigede interesser … som begrunner behandlingen. For det annet må behandlingen være nødvendig for å ivareta disse interessene. For det tredje må de berettigede interessene etter en interesseavveining veie tyngre enn de registrertes interesser eller grunnleggende rettigheter og friheter.»⁴ Personvernrådet sier det samme: «three cumulative conditions must be fulfilled» — interessen, nødvendigheten, og at de registrertes interesser og rettigheter «do not take precedence».⁵

2.1 Vilkår 1: en berettiget interesse

Interessen kan være den behandlingsansvarliges eller en tredjeparts, og den kan være økonomisk. I Legelisten var partene enige om at interessene fantes: «pasienters ytringsfrihet, forbrukerinteresser, konkurransehensyn, andre allmennyttige hensyn … og Legelistens økonomiske formål».⁶

Interesser ved registerpublisering: allmennhetens og markedets interesse i å vite hvem som står bak et foretak og hvordan det går med det; kunders og leverandørers interesse i å vurdere en motpart før de inngår avtale; åpenhet om eierskap og roller som vern mot økonomisk kriminalitet; og Byggsikts egen næringsinteresse. Lovgiver har selv anerkjent den første interessen ved å gjøre registrene offentlige for «enhver»⁷ og ved å gi årsregnskap offentlighet.⁸

2.2 Vilkår 2: nødvendighet

Behandlingen må være nødvendig for interessen — ikke bare nyttig — og ikke gå lenger enn det formålet krever (dataminimering, artikkel 5 nr. 1 bokstav c: «adekvate, relevante og begrenset til det som er nødvendig»).⁹ Her ligger de viktigste designvalgene for en registertjeneste:

• Offentlig visning og intern behandling. Brønnøysundregistrene utleverer navn og fødselsdato i rolledata.¹⁰ En tjeneste må vurdere hvilke opplysninger som er nødvendige å hente, lagre og vise. Fødselsår kan redusere inngrepet ved offentlig visning, men navn og år bekrefter ikke alltid en unik identitet.
• Adresse. En registrert adresse kan være en hjemmeadresse. Behovet for publisering må vurderes særskilt.¹¹
• Fødselsnummer. Innsynsretten i registeret omfatter ikke fødselsnummer.⁷
• Sammenstilling. Enhetsregisterloven begrenser sammenstillinger som gis av registeret til registrert tilknytning til næringsvirksomhet.¹² Viderebrukeren må i tillegg vurdere sin egen behandling etter personvernforordningen.
• Aksjonæropplysninger. Skatteetatens uttrekk omfatter blant annet navn, fødselsår, postnummer og poststed.¹³ At en kategori finnes i uttrekket, avgjør ikke alene om videre publisering er nødvendig.

Byggsikt viser navn, fødselsår, postnummer og poststed, roller, felles foretak og eierposter på person- og eiersider. Fødselsår beskriver her offentlig visning; det er ikke en påstand om at interne lagre bare inneholder år. Se personvernerklæringen for opplysningskategorier og behandling.

2.3 Vilkår 3: interesseavveiningen

Avveiningen gjøres konkret, for hver type behandling, og dokumenteres. Momentene Høyesterett og Personvernrådet legger vekt på:

Hva praksisen kan si. Personvernnemnda godtok Legelistens behandling av objektive opplysninger når de var korrekte og relevante for formålet.¹⁹ Nemnda godtok også behandling uten en generell reservasjonsrett.²⁰ Det er konkrete konklusjoner om den behandlingen. De avgjør ikke om enhver registertjeneste eller enhver sammenstilling oppfyller vilkårene.

For viderebruk av registerdata må blant annet tilleggsverdien, lagringstidene, risikoen for feil og virkningen for den enkelte begrunnes særskilt.

3. Hva Legelisten-saken avgjorde — og hva den ikke avgjorde

Avgjort: at en privat nettjeneste kan publisere opplysninger om personer i en profesjonell rolle på grunnlag av bokstav f, at interesseavveiningen kan slå ut i tjenestens favør selv om de registrerte protesterer som gruppe, og at det ikke kreves en generell reservasjonsrett når behandlingen er lovlig.^{20 21}

Ikke avgjort: saken gjaldt subjektive brukervurderinger av helsepersonell, en annen opplysningstype enn registerdata; den sa ikke at enhver registertjeneste er lovlig, og den fjernet ikke den individuelle retten til å protestere etter artikkel 21 — som alltid krever en konkret vurdering av «grunner knyttet til vedkommendes særlige situasjon».²² Kapittel 03 behandler dette.

Tre forutsetninger i dommen som Byggsikt må speile, ikke overse: (1) belastningen ble veid lettere fordi vurderingene «er knyttet til deres utøvelse av en profesjon. Negativ omtale rammer da mindre hardt enn dersom det hadde dreid seg om rent personlige forhold»;¹⁵ (2) Legelisten hadde tiltak mot overtramp — flaggmelding og motsvar;¹⁶ (3) Legelisten «praktiserer en rett for helsepersonell til å reservere seg mot å være oppført på listen ‘dersom tungtveiende grunner krever det’».¹⁷ Høyesterett avviste altså bare en generell reservasjonsrett, og la vekt på at en individuell reservasjon fantes. For Byggsikt betyr det at innsigelsesretten og en reell, dokumentert vurdering av den enkelte er en del av grunnlaget for at publiseringen er lovlig — ikke et tillegg til det. (Dommen kaller i avsnitt 64 dataminimering «artikkel 5 nr. 1 bokstav d»; prinsippet står i bokstav c, og guiden bruker riktig bokstav.²³)

4. Grensen mot kredittopplysning

En offentlig vurdering av en fysisk persons betalingsevne er noe annet enn registerfakta. Kredittopplysning er «opplysning som belyser kredittevnen til en fysisk eller juridisk person», og kredittopplysningsvirksomhet er «ervervsmessig eller stadig utlevering av kredittopplysninger i den hensikt å belyse kredittevne».²⁴ Datatilsynet: «Enkeltpersonforetak skal likestilles med fysiske personer.»²⁵ Byggsikt publiserer derfor aldri en risikoscore eller annen vurdering av kredittevne på sider om enkeltpersonforetak, personer eller eiere; artikkel 6 nr. 1 bokstav f gir ikke adgang til å gjøre det som en særlov regulerer på annen måte. Om en offentlig score på juridiske personer faller innenfor § 3 bokstav d, avhenger av formålet og den konkrete behandlingen, se kapitlet om kredittopplysning. Kredittopplysningsloven § 12 viser at lovgiver skiller mellom rating av juridiske og fysiske personer, og tillater at opplysninger om ledende personer brukes bare «frem til første regnskap er tilgjengelig».²⁶

5. Dokumentasjonskravet

Den behandlingsansvarlige skal kunne påvise at vilkårene er oppfylt (artikkel 5 nr. 2). Personvernrådet krever at vurderingen er gjort før behandlingen starter og dokumentert.⁵ Datatilsynets veiledning om behandlingsgrunnlag understreker at grunnlaget må være fastlagt på forhånd.²⁷ Informasjon om Byggsikts formål, berettigede interesser og rettigheter finnes i personvernerklæringen. Dette kapitlet forklarer den rettslige testen; det erstatter ikke en konkret vurdering av behandlingen.

Under vurdering

• Om senere praksis fra EU-domstolen om søketjenester og «berettiget interesse» (2022–2025) tilfører momenter utover Legelisten — avgjørelsene er ikke tatt inn som belegg i dette kapitlet.
• Lagringstid for avsluttede roller må begrunnes ut fra formålet og nødvendigheten. Dette kapitlet fastsetter ingen generell lagringstid.
• Om Skatteetatens karakteristikk av aksjonærregisteret som et internt saksbehandlingssystem for skatteformål svekker publisitetsmomentet for eierposter så mye at avveiningen blir en annen enn for roller.

Kilder