Artikkel 14 — Informasjon når opplysningene ikke er samlet inn fra den registrerte

For en tjeneste som bygger på offentlige registre, er dette den sentrale informasjonsplikten. Hovedregelen er individuell informasjon til hver registrert. Unntaket i nr. 5 bokstav b gjelder når det viser seg umulig å gi informasjonen eller det vil innebære uforholdsmessig stor innsats. Om vilkårene er oppfylt, må vurderes konkret. Kapitlet forklarer unntaket og hva det betyr å gjøre informasjonen offentlig tilgjengelig.

Lovteksten

Artikkel 14. Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte

1. Dersom personopplysninger ikke er blitt samlet inn fra den registrerte, skal den behandlingsansvarlige gi den registrerte følgende informasjon:

a. identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, b. kontaktopplysningene til personvernombudet, dersom dette er relevant, c. formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, d. de berørte kategoriene av personopplysninger, e. eventuelle mottakere eller kategorier av mottakere av personopplysningene, f. dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.

2. I tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige gi den registrerte følgende informasjon som er nødvendig for å sikre den registrerte en rettferdig og åpen behandling:

a. det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, b. dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, c. retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet, d. dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, e. retten til å klage til en tilsynsmyndighet, f. fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder, g. forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.

3. Den behandlingsansvarlige skal gi informasjonen nevnt i nr. 1 og 2

a. innen en rimelig frist etter at personopplysningene er samlet inn, men senest innen én måned, idet det tas hensyn til de særlige forholdene som personopplysningene er behandlet under, b. dersom personopplysningene skal brukes til å kommunisere med den registrerte, senest på tidspunktet for den første kommunikasjonen med vedkommende, eller c. dersom det er planlagt at personopplysningene skal utleveres til en annen mottaker, senest når personopplysningene første gang utleveres.

4. Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen relevant informasjon som nevnt i nr. 2.
5. Nr. 1-4 får ikke anvendelse dersom og i den grad

a. den registrerte allerede har informasjonen, b. det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats, særlig i forbindelse med behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til vilkårene og garantiene nevnt i artikkel 89 nr. 1, eller i den grad forpliktelsen nevnt i nr. 1 i denne artikkel sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås. I slike tilfeller skal den behandlingsansvarlige treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig, c. innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser, eller d. dersom personopplysningene må holdes konfidensielle som følge av taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett, herunder en lovfestet taushetsplikt. — Personvernforordningen artikkel 14, norsk tekst i vedlegget til personopplysningsloven ¹

Hva bestemmelsen betyr

Innholdet (nr. 1 og 2). Det samme som etter art. 13, med to tillegg som er viktige for registerbaserte tjenester: «de berørte kategoriene av personopplysninger» (nr. 1 bokstav d) og «fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder» (nr. 2 bokstav f) ¹. Når grunnlaget er bokstav f, skal den berettigede interessen oppgis (nr. 2 bokstav b) ¹; EDPB: interessen skal være «precisely identified and communicated to the data subject in accordance with Article 13(1)(d) and 14(2)(b) GDPR» ² (avsnitt 67).

Tidspunktet (nr. 3). Innen rimelig tid og senest én måned; ved første kommunikasjon dersom opplysningene brukes til å kommunisere; senest ved første utlevering dersom de skal utleveres ¹. Datatilsynet: «Informasjonen må uansett gis senest én måned etter at opplysningene ble innhentet.» ³ Fristen er en yttergrense, ikke en normalfrist.

Unntakene (nr. 5). Fire alternativer:

Bokstav b — vilkårene. Unntaket gjelder når «det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats» ¹. Ordlyden fremhever arkiv, forskning og statistikk («særlig»), men er ikke begrenset til disse. Datatilsynet krever en balansetest og sier at den bør dokumenteres: «I vurderingen av hva som er uforholdsmessig, må virksomheten alltid se innsatsen som kreves opp mot den enkeltes behov for informasjon og innvirkningen på den enkelte dersom hun ikke får informasjon.» ³ og «Det følger av ansvarlighetsprinsippet at denne vurderingen bør dokumenteres.» ³ Momenter: «Virksomheten kan også se på hvor mange personer den må informere, hvor gamle personopplysningene er og hvilke personvernvennlige tiltak som allerede foreligger.» ³

«Gjøre informasjonen offentlig tilgjengelig». Når bokstav b brukes, skal den behandlingsansvarlige «treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig» ¹. Datatilsynet: «Merk! I de tre siste tilfellene må virksomheten ha på plass passende tiltak for å verne hver enkeltes rettigheter, friheter og interesser. Det betyr også å gjøre informasjonen offentlig tilgjengelig.» ³ To ting følger av ordlyden:

1. Offentlig tilgjengelig informasjon er et minstekrav, ikke hele kravet («herunder»). Datatilsynet nevner som andre passende tiltak blant annet vurdering av personvernkonsekvenser, pseudonymisering, «sletterutiner som er strengere enn lovens krav» og «andre tiltak for dataminimering eller ekstra strenge sikkerhetstiltak» ³.
2. Informasjonen må faktisk nå de registrerte der de møter behandlingen. For en publiseringstjeneste er det naturlige stedet siden om personen selv. Datatilsynets eksempel er et sykehus som har informasjonen «lett synlig og tilgjengelig på nettsidene sine» ³.

Norske særregler

• Personopplysningsloven § 16 gjelder også for art. 14 ¹.
• Kredittopplysningsloven § 19 viser lovgivers valg der risikoen er størst: ved registrering av kredittopplysninger om en fysisk person skal den behandlingsansvarlige «straks sende kopi av opplysningene til den registrerte», og forhåndsvarselet skal inneholde «den informasjonen som fremgår i personvernforordningen artikkel 14» ⁵. For kredittopplysninger om fysiske personer er altså individuell informasjon lovpålagt; unntaket i bokstav b kan ikke uten videre erstatte den særskilte informasjonsplikten etter kredittopplysningsloven.

Sentrale avgjørelser

• Datatilsynets vedtak 2017 om Legelisten (gjengitt i PVN-2018-14). Datatilsynet påla etter den tidligere loven individuell informasjon: «Legelisten.no AS pålegges å gi informasjon i tråd med personopplysningsloven § 20 til alt helsepersonell hvis personopplysninger virksomheten behandler, med mindre det er på det rene at helsepersonellet allerede kjenner til informasjonen varselet skal inneholde.» ⁶ Pålegget var akseptert av Legelisten og ikke tema for nemnda: «Disse påleggene er akseptert av Legelisten og er ikke et tema for saken i Personvernnemnda.» ⁶ Avgjørelsen gjelder personopplysningsloven 2000, ikke art. 14 nr. 5 bokstav b, og Legelisten hadde kontaktopplysninger for helsepersonellet — nettstedet hadde en oversikt over fastlegene «med deres navn, kontaktinformasjon, kjønn og alder, slik det følger av oversikten over fastleger på helsenorge.no» ⁶. Den viser likevel hvor Datatilsynet begynner: individuell informasjon der det er praktisk mulig.
• C-131/12 (Google Spain) gjaldt retten til sletting eller sperring og retten til å protestere etter direktivet (art. 12 bokstav b og art. 14 første ledd bokstav a) overfor en søkemotor ⁷ (domsslutning 3), ikke informasjonsplikten etter dagens art. 14.

Informasjonsplikten i praksis

En offentlig personvernerklæring erstatter ikke automatisk individuell informasjon. Unntaket i artikkel 14 nr. 5 bokstav b krever en konkret vurdering av innsatsen, behovet for informasjon og virkningen for den enkelte. Antallet berørte personer er ett moment. Kontaktopplysninger og tiltak som faktisk er gjennomført, er også relevante. ^{8 3}

At kontaktopplysninger finnes, avgjør ikke alene om individuell informasjon i et konkret tilfelle vil kreve uforholdsmessig stor innsats. At slike opplysninger mangler, gir heller ikke automatisk et unntak. Vurderingen må gjelde behandlingen og de berørte personene. ³

Sletting av en e-postadresse eller et telefonnummer opphever ikke i seg selv en informasjonsplikt som allerede har oppstått. Dersom andre opplysninger om personen fortsatt behandles, må informasjonsplikten for den behandlingen fortsatt vurderes. Unntak kan ikke begrunnes bare med at kontaktopplysninger er fjernet. ⁹

Informasjon om Byggsikts kategorier av opplysninger, kilder, formål, mottakere og rettigheter finnes i personvernerklæringen. Spørsmål om hvordan opplysninger om deg er innhentet og brukt, kan sendes til [email protected].

Kilder

Kildene er oppført med lenker til utgiverne i kildelisten.

• ³ Datatilsynet — Informasjon og åpenhet, alle sider (utskriftsversjon). https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/informasjon-og-apenhet/?print=true — hentet 2026-10-16, sha256 3bc6d93081cca1e9…
• ² EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0 adopted 8 October 2024 (PDF). https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf — hentet 2026-10-16, sha256 55394a154bbcaa70…
• ⁷ CJEU C-131/12 Google Spain and Google (Grand Chamber, 13 May 2014) — EUR-Lex CELEX 62012CJ0131. https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:62012CJ0131 — hentet 2026-10-16, sha256 ac098752a8ef3ee8…
• ⁴ Lov om Enhetsregisteret (enhetsregisterloven), LOV-2025-06-20-105. https://lovdata.no/dokument/NL/lov/2025-06-20-105 — hentet 2026-10-16, sha256 e4953225706faa49…
• ⁵ Lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven), LOV-2019-12-20-109. https://lovdata.no/dokument/NL/lov/2019-12-20-109 — hentet 2026-10-16, sha256 c4b4cd9d9d895211…
• ¹ Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* — hentet 2026-10-16, sha256 145e977449481b51…
• ⁶ Personvernnemnda PVN-2018-14 Behandling av personopplysninger på nettstedet Legelisten.no (vedtak 21. januar 2019). https://personvernnemnda.no/2018/08/26/pvn-2018-14-behandling-av-personopplysninger-pa-nettstedet-legelisten-no/ — hentet 2026-10-16, sha256 7bb9895d13bdb997…