Logg innBeskriv jobben

Personvernguiden / Del II — Artikkelkommentar

Artikkel 6 — Behandlingens lovlighet (behandlingsgrunnlag)

Byggsikt Personvern Status: Publisert 2 510 ord · 13 min lesing

Rettsdogmatisk metode · verifisert kildeliste

All behandling av personopplysninger må ha minst ett av de seks grunnlagene i nr. 1. For en tjeneste som publiserer opplysninger fra offentlige registre, er bokstav f — berettiget interesse — i praksis det eneste aktuelle grunnlaget for selve publiseringen. Dette kapitlet forklarer hvorfor, hva Høyesterett og Personvernnemnda har sagt om bokstav f og hvordan grunnlaget må vurderes for ulike behandlinger.

Lovteksten

Artikkel 6. Behandlingens lovlighet

  1. Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:

a. den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål, b. behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse, c. behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige, d. behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser, e. behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, f. behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn. Nr. 1 bokstav f) får ikke anvendelse på behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver.

  1. Medlemsstatene kan opprettholde eller innføre mer spesifikke bestemmelser for å tilpasse anvendelsen av reglene for behandling i denne forordning med henblikk på å sikre samsvar med nr. 1 bokstav c) og e) ved nærmere å fastsette mer spesifikke krav til behandlingen samt andre tiltak som har som mål å sikre en lovlig og rettferdig behandling, herunder i forbindelse med andre særlige behandlingssituasjoner som nevnt i kapittel IX .
  2. Grunnlaget for behandlingen nevnt i nr. 1 bokstav c) og e) skal fastsettes i

a. unionsretten eller b. medlemsstatens nasjonale rett som den behandlingsansvarlige er underlagt. Formålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag eller, når det gjelder behandlingen nevnt i nr. 1 bokstav e), være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Nevnte rettslige grunnlag kan inneholde særlige bestemmelser for å tilpasse anvendelsen av reglene i denne forordning, blant annet de generelle vilkårene som skal gjelde for lovligheten av den behandlingsansvarliges behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter og framgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling, slik som dem fastsatt med henblikk på andre særlige behandlingssituasjoner som nevnt i kapittel IX . Unionsretten eller medlemsstatenes nasjonale rett skal oppfylle et mål i allmennhetens interesse og stå i et rimelig forhold til det berettigede målet som søkes oppnådd.

  1. Dersom behandlingen for et annet formål enn det som personopplysningene er blitt samlet inn for, ikke bygger på den registrertes samtykke eller på unionsretten eller medlemsstatenes nasjonale rett som utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1, skal den behandlingsansvarlige for å avgjøre om behandlingen for et annet formål er forenlig med formålet som personopplysningene opprinnelig ble samlet inn for, blant annet ta hensyn til følgende:

a. enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen, b. i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige, c. personopplysningenes art, især om særlige kategorier av personopplysninger behandles, i henhold til artikkel 9, eller om personopplysninger om straffedommer og lovovertredelser behandles, i henhold til artikkel 10, d. de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte, e. om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering. — Personvernforordningen artikkel 6, norsk tekst i vedlegget til personopplysningsloven 1

Hva bestemmelsen betyr

Seks grunnlag, ingen rangorden. Bokstav a–f er likestilte; den behandlingsansvarlige må velge det som faktisk passer, før behandlingen starter. EDPB: «Article 6(1)(f) GDPR cannot be considered as a legal basis “by default”.» 2 (avsnitt 9) — bokstav f krever en egen, dokumentert vurdering.

Hvorfor ikke c eller e for en viderebruker. Bokstav c og e krever et grunnlag i unionsretten eller nasjonal rett (nr. 3 1). Registerlovene pålegger registerføreren å gjøre opplysningene tilgjengelige: «Enhver har rett til å få tilgang til opplysninger og dokumenter som er registrert i Enhetsregisteret.» 3 (§ 9-1 første ledd). Retten til tilgang er ikke en plikt for andre til å publisere. En privat viderebruker utfører ikke en oppgave den er «pålagt» (bokstav e), og har ingen rettslig forpliktelse til å publisere (bokstav c). Samtykke (bokstav a) er ikke realistisk for millioner av rolleinnehavere, og avtale (bokstav b) finnes ikke.

Bokstav f: tre kumulative vilkår. Høyesterett:

For at det skal foreligge behandlingsgrunnlag etter GDPR artikkel 6 nr. 1 bokstav f, må tre vilkår være oppfylt: For det første må det foreligge berettigede interesser – på engelsk «legitimate interests» – som begrunner behandlingen. For det annet må behandlingen være nødvendig for å ivareta disse interessene. For det tredje må de berettigede interessene etter en interesseavveining veie tyngre enn de registrertes interesser eller grunnleggende rettigheter og friheter. — HR-2021-2403-A avsnitt 50 4

EDPB bruker samme tredeling: «three cumulative conditions must be fulfilled» 2 (avsnitt 6).

  1. Berettiget interesse. Interessen må være lovlig, presis og reell; EDPB: «The interest is real and present, and not speculative.» 2 (avsnitt 17). Interessen kan være den behandlingsansvarliges egen eller en tredjeparts — også allmennhetens. Kommersielle interesser teller, men veier ofte mindre: «Kommersielle og økonomiske interesser utgjør også berettigede (lovlige) interesser, selv om vekten av disse, isolert, ofte vil være mindre målt opp mot personvernet.» 5
  2. Nødvendighet. Ikke «absolutt påkrevet» i alle ledd, men heller ikke bare nyttig. Høyesterett: «Slik jeg forstår det, innebærer ikke ordet «nødvendig» et krav om alle sider ved behandlingen må være absolutt påkrevet.» (avsnitt 54) og vurderingstemaet er «om de berettigede interesser med rimelighet kan realiseres like effektivt på en annen måte som er mindre inngripende» 4 (avsnitt 55). EDPB: nødvendighet «does not cover simply what is useful to pursue such an interest» 2 (avsnitt 28).
  3. Interesseavveining. En konkret avveining med sikte på «a fair balance» 4 (avsnitt 63). EDPB krever at den behandlingsansvarlige beskriver de registrertes interesser, virkningene (opplysningenes art, konteksten, følgene), de rimelige forventningene og avbøtende tiltak 2 (avsnitt 32).

Barn. Bokstav f nevner uttrykkelig at den registrertes interesser særlig kan gå foran «dersom den registrerte er et barn» 1.

Offentlige myndigheter. Bokstav f «får ikke anvendelse på behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver» 1. Personvernnemnda har likevel godtatt bokstav f for en kommunes kredittvurdering av en motpart i en rettstvist: «Nemnda er etter dette enig med Datatilsynet i at X kommunes kredittvurdering av A 25. mars 2021 var lovlig, jf. personvernforordningen artikkel 6 nr. 1 bokstav f.» 6 (PVN-2024-19). Nemnda drøftet ikke annet punktum i art. 6 nr. 1 uttrykkelig. Vår slutning er at avgrensningen går ved «utførelsen av deres oppgaver», ikke ved hvem den behandlingsansvarlige er.

Nr. 4 — viderebehandling. Gjelder når den samme behandlingsansvarlige bruker opplysningene til et nytt formål.

Norske særregler

  • Gjennomføringen. Forordningen gjelder som lov etter personopplysningsloven § 1 1.
  • Ytringsfrihet. Personopplysningsloven § 3 unntar journalistikk og akademiske, kunstneriske og litterære ytringer 1. Der unntaket ikke rekker, kan ytringsfriheten likevel være en berettiget interesse etter bokstav f. Personvernnemnda har uttalt: «For nemnda er det her viktig å minne om at hensynet til ytringsfriheten ikke bare ivaretas ved personopplysningsloven 2018 § 3, men også en rekke andre steder i GDPR. Av særlig betydning i denne saken er GDPR artikkel 6, som i nr. 1 bokstav f gir anvisning på en interesseavveining hvor ytringsfriheten kan utgjøre en av flere berettigede interesser.» 7 (sitert i PVN-2020-19 fra nemndas tidligere vedtak). (Nemnda anvendte ordlyden før endringen ved lov 18. juni 2021 nr. 124; den gjeldende teksten har merknaden «Endret ved lov 18 juni 2021 nr. 124» 1.)
  • Kredittopplysningsloven som særlov. Loven gjelder «utlevering og annen behandling av opplysninger som ledd i kredittopplysningsvirksomhet» 8 (§ 1), og personvernforordningen gjelder «dersom annet ikke følger av» kredittopplysningsloven 8 (§ 4). Den som publiserer noe som er kredittopplysninger, kan derfor ikke nøye seg med en LIA etter bokstav f; særlovens regler om hvem som kan få opplysningene, gjelder i tillegg (§ 14 8). Se «Under vurdering».
  • Registerlovene (fra 1. januar 2026: enhetsregisterloven 2025 og foretaksregisterloven 2025) begrunner allmennhetens tilgang og utelukker fødselsnummer 3 9. Den eldre enhetsregisterloven fra 1994 er opphevet 10.

Sentrale avgjørelser

HR-2021-2403-A (Legelisten) — linjen

Saken gjaldt gyldigheten av Personvernnemndas vedtak om at Legelisten kunne publisere subjektive brukervurderinger av helsepersonell uten generell reservasjonsrett. Høyesterett godtok vedtaket enstemmig. Linjen som er relevant for registerbaserte tjenester:

SpørsmålHva Høyesterett saAvsnitt
MetodeTre kumulative vilkår (sitert over) 450
Legelistens egen økonomi«Legelistens økonomiske interesser har isolert sett relativt begrenset vekt målt opp mot helsepersonellets personverninteresser.» 466
Allmennhetens behov«Allmennhetens interesser står derfor sentralt ved vurderingen av de berettigede interessene.» 467
Søkemotorer og nødvendighet«Dagens kobling mot søkemotorer oppfyller følgelig nødvendighetskravet.» 4 — men det «muligens kunne ha stilt seg annerledes hvis det forelå tilpasningsmuligheter som bare i begrenset grad ville redusere det informasjonsøkende publikums nytte» 459
Offentlig kjent«et relevant moment ved vurderingen er om opplysningene allerede er offentlig kjent» 465
Rimelige forventningerKriteriet gir «mindre veiledning» der den registrerte ikke selv har gitt fra seg opplysningene 481
Yrkesrolle«Negativ omtale rammer da mindre hardt enn dersom det hadde dreid seg om rent personlige forhold.» 482
Avbøtende tiltakLegelistens tiltak «tilfredsstiller etter min mening det man med rimelighet kan forvente» 491

Hva dommen ikke sier. Den gjaldt subjektive vurderinger, ikke registerdata; den gjaldt én tjeneste med et konkret informasjonsbehov (valg av lege); og den prøvde ikke den enkeltes rett til å protestere etter art. 21. Staten anførte at brukervurderingene «har allmenn interesse og ikke er tilgjengelige andre steder» 4 (avsnitt 41, statens anførsel), og Høyesterett fant at Legelisten «dekker et viktig informasjonsbehov» 4 (avsnitt 68). Registeropplysninger er derimot tilgjengelige andre steder. For en registertjeneste trekker det i to retninger: inngrepet er mindre (opplysningene er allerede kjent), men også tjenestens selvstendige informasjonsverdi. Se kapittel art21 for hva dommen betyr for innsigelser.

PVN-2018-14 (Legelisten) — objektive opplysninger

Personvernnemndas vedtak punkt 6: «Legelisten har behandlingsgrunnlag for å samle inn og publisere objektive opplysninger om helsepersonell på nettstedet, jf. artikkel 6 nr. 1 bokstav f, uten at helsepersonell gis en generell reservasjonsrett for slike opplysninger.» 5 Nemnda la til grunn at personvernulempene ved objektive opplysninger «er klart mindre enn ulempene knyttet til de subjektive vurderingene» 5. I Datatilsynets vedtak, slik det er gjengitt i nemndas avgjørelse, het det: «Datatilsynet viser blant annet til at de objektive opplysningene er tilgjengelig også andre steder» 5. Dette er den nærmeste norske presedensen for en registerbasert persontjeneste.

C-131/12 (Google Spain)

EU-domstolen fastslo at en søkemotor behandler personopplysninger og er behandlingsansvarlig 11 (domsslutning 1), og at et navnesøk gir «a structured overview of the information relating to that individual» 11 (avsnitt 37). Domstolen sa også at inngrepet «cannot be justified by merely the economic interest which the operator of such an engine has in that processing» 11 (avsnitt 81). For en tjeneste som samler alle en persons roller på én side, er dette et argument for å legge vekt på allmennhetens interesse, ikke på egen inntjening.

EDPB-retningslinjer 1/2024

Retningslinjene er merket «Adopted - version for public consultation» 2; de er ikke endelige og ikke bindende, men viser hvordan tilsynsmyndighetene i EØS leser bestemmelsen. To punkter er særlig viktige for registerbaserte tjenester: offentlighet avgjør ikke saken — «The fact that personal data have been manifestly made public does not automatically mean that they may be processed under Article 6(1)(f) GDPR» 2 (fotnote 52) — og bransjepraksis skaper ikke rimelige forventninger: «The fact that certain types of personal data are commonly processed in a given sector does not necessarily mean that the data subject can reasonably expect such processing.» 2 (avsnitt 52).

Behandlingsgrunnlag i praksis

Grunnlaget må vurderes for hvert formål. Innsamling, offentlig publisering, henvendelser og besøksmåling er forskjellige behandlinger; ett grunnlag dekker ikke automatisk alle. Offentlig tilgjengelige registeropplysninger krever også et eget behandlingsgrunnlag hos den som bruker dem videre. 12

En interesseavveining må gjelde den konkrete behandlingen og bygge på tiltak som faktisk er gjennomført. Praksis hos andre tjenester kan belyse sammenhengen, men dokumenterer ikke i seg selv at behandlingen er lovlig. 2

Byggsikt bruker berettiget interesse som grunnlag for registerpubliseringen. Interessen er å gjøre det mulig å se hvem som leder og eier foretak. Dette innebærer også plikt til å vurdere nødvendighet og den enkeltes interesser og rettigheter. Personvernerklæringen beskriver formål og grunnlag for de ulike behandlingene. Retten til å protestere er forklart i rettighetskapitlet.

Særregler gjelder ved siden av forordningen. Et grunnlag etter artikkel 6 erstatter for eksempel ikke et samtykkekrav etter ekomloven eller plikter etter kredittopplysningsloven. 13 8

Kilder

Kildene er oppført med lenker til utgiverne i kildelisten.

Noter

  1. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩
  2. EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0 adopted 8 October 2024 (PDF). https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf · hentet 16.10.2026 · sha256 55394a154bbc. ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩
  3. Lov om Enhetsregisteret (enhetsregisterloven), LOV-2025-06-20-105. https://lovdata.no/dokument/NL/lov/2025-06-20-105 · hentet 16.10.2026 · sha256 e4953225706f. ↩ ↩ ↩
  4. Høyesteretts dom HR-2021-2403-A (Legelisten) — Lovdata. https://lovdata.no/dokument/HRSIV/avgjorelse/hr-2021-2403-a · hentet 16.10.2026 · sha256 f5eac8c186dc. ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩ ↩
  5. Personvernnemnda PVN-2018-14 Behandling av personopplysninger på nettstedet Legelisten.no (vedtak 21. januar 2019). https://personvernnemnda.no/2018/08/26/pvn-2018-14-behandling-av-personopplysninger-pa-nettstedet-legelisten-no/ · hentet 16.10.2026 · sha256 7bb9895d13bd. ↩ ↩ ↩ ↩ ↩
  6. Personvernnemnda PVN-2024-19 Klage på Datatilsynets vedtak om overtredelsesgebyr — gjeldsopplysninger og kredittvurdering (vedtak 12. juni 2025). https://personvernnemnda.no/2025/06/23/pvn-2024-19-klage-pa-datatilsynets-vedtak-om-overtredelsesgebyr-for-a-ha-innhentet-gjeldsopplysninger-uten-rettslig-grunnlag-og-behandlingsgrunnlag-for-kredittvurdering/ · hentet 16.10.2026 · sha256 ebcec4f0aeb0. ↩ ↩
  7. Personvernnemnda PVN-2020-19 Innhenting og publisering av kredittopplysninger i en artikkel i Bergens Tidende. https://personvernnemnda.no/2020/08/29/pvn-2020-19-innhenting-og-publisering-av-kredittopplysninger-i-en-artikkel-i-bergens-tidende/ · hentet 16.10.2026 · sha256 c317e0c79569. ↩ ↩
  8. Lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven), LOV-2019-12-20-109. https://lovdata.no/dokument/NL/lov/2019-12-20-109 · hentet 16.10.2026 · sha256 c4b4cd9d9d89. ↩ ↩ ↩ ↩ ↩
  9. Lov om Foretaksregisteret (foretaksregisterloven), LOV-2025-06-20-106. https://lovdata.no/dokument/NL/lov/2025-06-20-106 · hentet 16.10.2026 · sha256 f64ce0972a34. ↩ ↩
  10. Lov om Enhetsregisteret 1994 (OPPHEVET ved lov 20. juni 2025 nr. 105, i kraft 1. januar 2026). https://lovdata.no/dokument/NLO/lov/1994-06-03-15 · hentet 16.10.2026 · sha256 8fe00bb2cc2a. ↩ ↩
  11. CJEU C-131/12 Google Spain and Google (Grand Chamber, 13 May 2014) — EUR-Lex CELEX 62012CJ0131. https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:62012CJ0131 · hentet 16.10.2026 · sha256 ac098752a8ef. ↩ ↩ ↩ ↩
  12. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, art. 6. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  13. Lov om elektronisk kommunikasjon (ekomloven), LOV-2024-12-13-76. https://lovdata.no/dokument/NL/lov/2024-12-13-76 · hentet 16.10.2026 · sha256 f7b2d5135a81. ↩ ↩
  14. EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR — landing page. https://www.edpb.europa.eu/public-consultations/guidelines-12024-on-processing-of-personal-data-based-on-article-61f-gdpr_en · hentet 16.10.2026 · sha256 f6d69cee842e. ↩
  15. Lov om aksjeselskaper (aksjeloven), LOV-1997-06-13-44 — Lovdata fulltekst. https://lovdata.no/dokument/NL/lov/1997-06-13-44/* · hentet 16.10.2026 · sha256 b27e8a2aaf0d. ↩

Endringslogg

Gjelder fra 28. august 2026.

Errata

Se rettelser og meld eventuelle feil via errataprosedyren.

Siter som: Byggsikt Personvern, «Artikkel 6 — Behandlingens lovlighet (behandlingsgrunnlag)», Personvernguiden, 28. august 2026, https://www.byggsikt.no/personvern/guide/art06/