Artikkel 5 — Prinsippene for behandling av personopplysninger

Artikkel 5 er forordningens grunnlov. De seks prinsippene i nr. 1 og ansvarsprinsippet i nr. 2 gjelder for all behandling, og de andre artiklene er i stor grad utfylling av dem. Den som behandler personopplysninger, må ikke bare følge prinsippene, men kunne vise at de følges.

Lovteksten

Artikkel 5. Prinsipper for behandling av personopplysninger

1. Personopplysninger skal

a. behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte («lovlighet, rettferdighet og åpenhet»), b. samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene; viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene («formålsbegrensning»), c. være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for («dataminimering»), d. være korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes («riktighet»), e. lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for; personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter («lagringsbegrensning»), f. behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak («integritet og konfidensialitet»).

2. Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes («ansvar»).

— Personvernforordningen artikkel 5, norsk tekst i vedlegget til personopplysningsloven ¹

Hva bestemmelsen betyr

Lovlighet, rettferdighet og åpenhet (bokstav a). Lovlig betyr først og fremst at behandlingen har et grunnlag i art. 6 (se kapittel art06). Rettferdig er en selvstendig standard: Datatilsynet forklarer: «At behandlingen av personopplysninger må skje rettferdig betyr at den skal gjøres i respekt for de registrertes interesser og rimelige forventninger.» ² Åpenhet konkretiseres i art. 12–14 (kapitlene art12, art13 og art14). EDPB knytter åpenhet og rettferdighet sammen og sier at rettferdighetsprinsippet krever at opplysninger «are not processed in a way that is unjustifiably detrimental, discriminatory, unexpected or misleading to the data subject» ³ (avsnitt 65).

Formålsbegrensning (bokstav b). Formålet må fastsettes før behandlingen og være spesifikt. Viderebehandling for et nytt formål må være forenlig med det opprinnelige; art. 6 nr. 4 lister hva som skal vurderes, blant annet «enhver forbindelse mellom formålene» og «de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte» ¹. Datatilsynet: «Personopplysninger kan ikke gjenbrukes til formål som er uforenlige med det opprinnelige formålet.» ²

Dataminimering (bokstav c). Ikke mer enn nødvendig — i omfang, i detaljeringsgrad og i hvem som får se det. Prinsippet er kjernen i nødvendighetsvurderingen etter art. 6 nr. 1 bokstav f; EDPB sier at nødvendighetsbegrepet omfatter «the requirements stemming from the data protection principles» ³ (avsnitt 28).

Riktighet (bokstav d). Plikten er aktiv: den behandlingsansvarlige skal treffe «ethvert rimelig tiltak» for å rette eller slette uriktige opplysninger ¹, også uten at den registrerte ber om det. Datatilsynet: «Dersom en virksomhet blir kjent med at personopplysninger ikke er korrekte, må man sørge for retting uten opphold selv om personen det gjelder ikke eksplisitt har bedt om det.» ⁴

Lagringsbegrensning (bokstav e). Opplysningene skal slettes eller anonymiseres når formålet er nådd. Unntaket for arkiv, forskning og statistikk forutsetter garantier etter art. 89 nr. 1 ¹.

Integritet og konfidensialitet (bokstav f). Sikkerhet er et prinsipp, ikke bare en teknisk plikt. Art. 32 utfyller det. Kravene må vurderes for den konkrete behandlingen.

Ansvar (nr. 2). Bevisbyrden ligger hos den behandlingsansvarlige. Datatilsynet: «Det er ikke nok å bare ha ansvar – man må vise at man tar ansvar.» ² Det er grunnen til at LIA, DPIA og protokoll må være skrevet ned.

Norske særregler

• Forordningen gjelder som norsk lov gjennom personopplysningsloven § 1 ¹; Høyesterett: forordningen «gjelder etter personopplysningsloven § 1 direkte som norsk lov» ⁵ (HR-2021-2403-A avsnitt 43).
• Ytringsfrihet. Personopplysningsloven § 3 gjør unntak fra forordningen — også fra prinsippene — «Så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet» ved behandling «for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer» ¹. Unntaket er snevert: Personvernnemnda kom til at Legelistens publisering av vurderinger ikke var omfattet ⁶. (Nemnda anvendte ordlyden før endringen ved lov 18. juni 2021 nr. 124; den gjeldende teksten har merknaden «Endret ved lov 18 juni 2021 nr. 124» ¹.)
• Registerlovene inneholder en egen variant av dataminimering for registerføreren: «Graden av personidentifikasjon skal ikke være større enn det som er nødvendig for formålet.» ⁷ (§ 1-3 første ledd, om registerførerens sammenstilling). Bestemmelsen binder Brønnøysundregistrene, ikke viderebrukere, men viser hvordan lovgiver anvender prinsippet på de samme opplysningene.

Sentrale avgjørelser

• PVN-2018-14 (Legelisten). Nemnda brukte prinsippene som tolkningsramme for interesseavveiningen: «Prinsippene i artikkel 5 er relevante ved fortolkningen av reglene og den interesseavveining som skal foretas etter artikkel 6 nr. 1 bokstav f.» ⁶ For objektive opplysninger om helsepersonell la en samlet nemnd til grunn at Legelisten hadde en berettiget interesse «så lenge de er korrekte og relevante for det formålet legelisten har med sin nettside, jf. artikkel 5 bokstav c og d» ⁶. Riktighet og relevans var altså en forutsetning for grunnlaget, ikke et tillegg.
• HR-2021-2403-A (Legelisten). Høyesterett regnet retten til vern av personopplysninger som blant annet å omfatte dataminimering, og viste da til «prinsippet om dataminimering i GDPR artikkel 5 nr. 1 bokstav d» ⁵ (avsnitt 64). I forordningens tekst står dataminimering i bokstav c og riktighet i bokstav d ¹; henvisningen i dommen må leses med det for øye. Retten fremhevet også, med henvisning til EU-domstolen, at «et relevant moment ved vurderingen er om opplysningene allerede er offentlig kjent» ⁵ (avsnitt 65).

Prinsippene i praksis

Det er forskjell på opplysninger som vises offentlig, og opplysninger som behandles internt. Kravene om formål, nødvendighet, riktighet og lagringstid gjelder begge deler. At en kilde utleverer en opplysning, er ikke alene en begrunnelse for å lagre eller publisere den. ⁸

En registertjeneste må også vurdere faren for å blande sammen personer. Navn og fødselsår bekrefter ikke nødvendigvis en unik identitet. Mindre offentlig informasjon kan redusere inngrepet, men opplysningene må fortsatt knyttes til riktig person. Et forbehold på siden erstatter ikke retting av feil. ⁹

Byggsikt viser fødselsår på person- og eiersider. Dette beskriver offentlig visning, ikke hvilke opplysninger som kan finnes i kildematerialet eller interne lagre. Personvernerklæringen beskriver opplysningskategoriene og behandlingen, også for opplysninger som ikke vises. Du kan be om innsyn, retting, sletting eller begrensning.

Kilder

Kildene er oppført med lenker til utgiverne i kildelisten.

• ² Personvernprinsippene | Datatilsynet Til hovedinnhold Vis/skjul søk Skjul Hva leter du etter? Søk Meny Vis/skjul meny Om. https://www.datatilsynet.no/rettigheter-og-plikter/personvernprinsippene/ — hentet 2026-10-16, sha256 bdac3c55397f3654…
• ⁴ Retting og sletting | Datatilsynet Til hovedinnhold Vis/skjul søk Skjul Hva leter du etter? Søk Meny Vis/skjul meny Om D. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/retting-og-sletting/ — hentet 2026-10-16, sha256 6f2442197c586790…
• ³ EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0 adopted 8 October 2024 (PDF). https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf — hentet 2026-10-16, sha256 55394a154bbcaa70…
• ⁵ Høyesteretts dom HR-2021-2403-A (Legelisten) — Lovdata. https://lovdata.no/dokument/HRSIV/avgjorelse/hr-2021-2403-a — hentet 2026-10-16, sha256 f5eac8c186dceeee…
• ¹⁰ Lov om elektronisk kommunikasjon (ekomloven), LOV-2024-12-13-76. https://lovdata.no/dokument/NL/lov/2024-12-13-76 — hentet 2026-10-16, sha256 f7b2d5135a81d2f1…
• ⁷ Lov om Enhetsregisteret (enhetsregisterloven), LOV-2025-06-20-105. https://lovdata.no/dokument/NL/lov/2025-06-20-105 — hentet 2026-10-16, sha256 e4953225706faa49…
• ¹¹ Lov om Foretaksregisteret (foretaksregisterloven), LOV-2025-06-20-106. https://lovdata.no/dokument/NL/lov/2025-06-20-106 — hentet 2026-10-16, sha256 f64ce0972a344780…
• ¹ Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* — hentet 2026-10-16, sha256 145e977449481b51…
• ⁶ Personvernnemnda PVN-2018-14 Behandling av personopplysninger på nettstedet Legelisten.no (vedtak 21. januar 2019). https://personvernnemnda.no/2018/08/26/pvn-2018-14-behandling-av-personopplysninger-pa-nettstedet-legelisten-no/ — hentet 2026-10-16, sha256 7bb9895d13bdb997…