Rettigheter og innsigelse — hva du kan kreve, og hvordan Byggsikt behandler det

Kort versjon. Du kan protestere mot at Byggsikt viser en side om deg. Da må Byggsikt vise at det finnes tvingende grunner som veier tyngre enn dine — ellers fjernes siden. Du kan også be om innsyn, retting, sletting og begrensning. Henvendelser er som hovedregel gratis, og hovedregelen er svar innen én måned. Feil i selve registeret rettes hos Brønnøysundregistrene eller Skatteetaten; Byggsikt henter rettelsen. Er du misfornøyd, kan du klage til Datatilsynet.

1. Rammen: artikkel 12

Den behandlingsansvarlige skal gi informasjon «på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk»,¹ «skal legge til rette for at den registrerte kan utøve sine rettigheter»,² og skal informere om tiltak «uten ugrunnet opphold og senest én måned etter mottak av anmodningen», med mulighet for forlengelse med to måneder når det er nødvendig, forutsatt at den registrerte underrettes innen den første måneden.³ Datatilsynet beskriver de samme kravene i sin veiledning om å legge til rette for rettighetene.⁴

Henvendelser om Byggsikts behandling kan sendes til [email protected]. Oppgi hvilken side eller behandling det gjelder, og hva du ber om. Du trenger ikke kjenne artikkelnummeret. Se personvernerklæringen.

2. Retten til å protestere (artikkel 21)

Ordlyden: «Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.»⁵

Tre ting følger av ordlyden:

1. Bevisbyrden snur. Etter en innsigelse er det Byggsikt som må påvise tvingende grunner; den registrerte trenger ikke bevise skade. Personvernrådet understreker at den registrerte har rett til å protestere og at den behandlingsansvarliges vurdering da må gjøres på nytt, konkret.⁶
2. «Særlige situasjon». Innsigelsen skal knyttes til den registrertes situasjon, men terskelen for å fremme den er lav; Personvernrådet peker på at det ikke kan kreves mye av begrunnelsen.⁶ Henvendelsen må likevel beskrive hvilke forhold ved den registrertes særlige situasjon protesten gjelder.
3. Ingen generell reservasjonsrett — men alltid individuell vurdering. Personvernnemnda fant at Legelisten hadde behandlingsgrunnlag for objektive opplysninger «uten at helsepersonell gis en generell reservasjonsrett»,⁷ og Høyesterett forkastet anken.⁸ Det betyr at Byggsikt ikke må fjerne enhver side straks noen ber om det. Det betyr ikke at innsigelser kan avslås rutinemessig: artikkel 21 gjelder «til enhver tid» og krever en vurdering av den enkeltes situasjon. Høyesterett la dessuten vekt på at Legelisten faktisk «praktiserer en rett for helsepersonell til å reservere seg mot å være oppført på listen ‘dersom tungtveiende grunner krever det’»,⁹ og på flagging og motsvar som tiltak mot overtramp.¹⁰ En individuell reservasjonsordning var altså en del av det som gjorde behandlingen lovlig.

Momenter ved en konkret vurdering: momenter som taler for å ta innsigelsen til følge — rollen er avsluttet eller foretaket slettet; den registrerte har beskyttelsesbehov (sperret adresse, trusler, kode 6/7 — behandles med forrang); opplysningen er uriktig eller utdatert; den registrerte er ung; sammenstillingen rammer uforholdsmessig. Momenter som taler for å opprettholde — aktiv rolle i et foretak som opptrer i markedet; eierpost av betydning; pågående konkurs eller tvangsavvikling der kreditorer har interesse. «Tvingende berettigede grunner» er en høyere terskel enn den alminnelige interesseavveiningen i artikkel 6; Byggsikt må kunne peke på hvorfor nettopp denne personens side må stå.

Rettigheten skal gjøres «uttrykkelig» oppmerksom på senest ved første kommunikasjon, «på en klar måte og atskilt fra annen informasjon».¹¹ Protester mot Byggsikts behandling kan sendes til [email protected]. Kontaktpunkt og informasjon om behandlingen finnes i personvernerklæringen.

3. Innsyn (artikkel 15)

Den registrerte har rett til å få bekreftet om opplysninger behandles, og i så fall innsyn i opplysningene og informasjon om formål, kategorier, mottakere, lagringstid, rettigheter, kilde og eventuell automatisert avgjørelse.¹² Datatilsynet forklarer rekkevidden i sin veiledning.¹³ Innsyn hos Byggsikt omfatter både opplysningene på nettsidene og andre personopplysninger som behandles uten å vises (se personvernerklæringen); innsynet skal omfatte begge deler. Ved rimelig tvil om identiteten kan nødvendige tilleggsopplysninger etterspørres etter artikkel 12 nr. 6. Kontrollen skal stå i forhold til risikoen ved utleveringen.

4. Retting (artikkel 16) og riktighet (artikkel 5)

Den registrerte har rett til å få rettet uriktige opplysninger «uten ugrunnet opphold».¹⁴ Opplysningene skal være «korrekte og om nødvendig oppdaterte».¹⁵ For registerdata ligger kilden hos Brønnøysundregistrene, som selv retter feil i registeret,¹⁶ eller hos Skatteetaten. Byggsikts plikt er å (1) ikke vise opplysninger det har grunn til å tro er uriktige, (2) hente kildens rettelse og oppdatere, og (3) merke saken i mellomtiden. Datatilsynets veiledning om retting og sletting beskriver dette samspillet mellom kilde og viderebruker.¹⁷

5. Sletting (artikkel 17) og begrensning (artikkel 18)

Retten til sletting gjelder blant annet når opplysningene ikke lenger er nødvendige for formålet, eller når den registrerte protesterer etter artikkel 21 nr. 1 «og det ikke finnes mer tungtveiende berettigede grunner».¹⁸ Unntak gjelder blant annet når behandlingen er nødvendig «for å utøve retten til ytrings- og informasjonsfrihet».¹⁹ Begrensning kan kreves mens riktigheten kontrolleres eller en innsigelse vurderes.²⁰

En anmodning om sletting må vurderes ut fra innholdet i henvendelsen og alle aktuelle grunnlag i artikkel 17, blant annet at opplysningene ikke lenger er nødvendige eller er behandlet ulovlig. Den skal ikke automatisk behandles bare som en protest etter artikkel 21.¹⁸

Når opplysninger er offentliggjort, kan det også være plikter overfor mottakere og andre som behandler kopier eller lenker. Søkemotorer har et eget ansvar: C-131/12 gir den registrerte en egen rett overfor søkemotoren til å få lenker fjernet fra navnesøk, også når publiseringen på kildesiden er lovlig.²¹

6. Profilering og automatiserte avgjørelser (artikkel 22)

Den registrerte har rett til ikke å være gjenstand for en avgjørelse «som utelukkende er basert på automatisert behandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende».²² Om artikkel 22 gjelder, avhenger av den konkrete behandlingen og virkningen for personen. Profilering og en automatisert avgjørelse med slike virkninger er ikke det samme.

Byggsikts publiserte risikoscore gjelder selskaper og bygger på regnskaps- og foretaksopplysninger. Den vises ikke på person-, eier- eller enkeltpersonforetakssider. En score på et selskap er ikke automatisk en personopplysning om hver eier eller hvert styremedlem; dette må vurderes konkret. Se kapitlet om kredittopplysning og personvernerklæringen.

7. Klage og rettsmidler

Den registrerte kan klage til Datatilsynet (artikkel 77)²³ og gå til domstolene (artikkel 79).²⁴ Datatilsynets oversikt over rettighetene er en god inngang for den som vil vite mer.²⁵

Kontakt og mer informasjon

Personvernerklæringen beskriver Byggsikts behandling av personopplysninger. Rettigheter i praksis forklarer hva en henvendelse kan gjelde, frister og identitetskontroll.

Kilder