Artikkel 21 — Retten til å protestere

Når en behandling bygger på berettiget interesse, er retten til å protestere den registrertes viktigste rettighet. Den snur bevisbyrden: etter en protest er det den behandlingsansvarlige som må vise at den har tvingende grunner til å fortsette. Kapitlet forklarer avveiningen, hva Legelisten-sakene avgjorde og ikke avgjorde, og hvordan Byggsikt behandler protester mot person- og eiersider.

Lovteksten

Artikkel 21. Rett til å protestere

1. Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.
2. Dersom personopplysninger behandles med henblikk på direkte markedsføring, skal den registrerte til enhver tid ha rett til å protestere mot behandling av personopplysninger som angår vedkommende, til slik markedsføring, herunder profilering i den grad dette er knyttet til direkte markedsføring.
3. Dersom den registrerte protesterer mot behandling med henblikk på direkte markedsføring, skal personopplysningene ikke lenger behandles for slike formål.
4. Senest på tidspunktet for den første kommunikasjonen med den registrerte skal vedkommende uttrykkelig gjøres oppmerksom på rettigheten nevnt i nr. 1 og 2, og informasjon om nevnte rettighet skal framlegges på en klar måte og atskilt fra annen informasjon.
5. I forbindelse med bruk av informasjonssamfunnstjenester og uten hensyn til direktiv 2002/58/EF kan den registrerte utøve sin rett til å protestere ved hjelp av automatiserte midler ved bruk av tekniske spesifikasjoner.
6. Dersom personopplysninger behandles for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til artikkel 89 nr. 1, har den registrerte, av grunner knyttet til vedkommendes særlige situasjon, rett til å protestere mot behandling av personopplysninger om vedkommende, med mindre behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse.

— Personvernforordningen artikkel 21, norsk tekst i vedlegget til personopplysningsloven ¹

Hva bestemmelsen betyr

Nr. 1 — protest mot behandling etter bokstav e eller f. Tre elementer:

1. «av grunner knyttet til vedkommendes særlige situasjon» ¹. Den registrerte må knytte protesten til sin situasjon, men kravet er lavt. EDPB: «the fact that the data subject has not elaborated much on their “particular situation” in their objection is not per se sufficient to dismiss the objection» ² (avsnitt 71).
2. Hovedregelen er stans. «Den behandlingsansvarlige skal ikke lenger behandle personopplysningene» ¹, med mindre unntaket er bevist. EDPB: forordningen «places the burden of proof on the controller, and provides a presumption in favor of the data subject» ² (avsnitt 72).
3. Unntaket: tvingende berettigede grunner som går foran, eller rettskrav. Terskelen er høyere enn i art. 6 nr. 1 bokstav f. Det er ikke nok å vise til den opprinnelige vurderingen: «it is not sufficient for the controller to just demonstrate that its earlier legitimate interest assessment regarding that processing was correct» ² (avsnitt 73). Grunnene må være vesentlige: «In essence, the grounds invoked should be essential to the controller (or to the third party in whose legitimate interest the data are being processed) to be considered compelling.» ² Og: «showing that the processing would simply be beneficial or advantageous to the controller would not necessarily meet this threshold» ² (avsnitt 73). Avveiningen skal dokumenteres (avsnitt 75 ²).

Nr. 2 og 3 — direkte markedsføring. Her er retten absolutt; det finnes ingen avveining ¹.

Nr. 4 — informasjon. «Senest på tidspunktet for den første kommunikasjonen med den registrerte skal vedkommende uttrykkelig gjøres oppmerksom på rettigheten nevnt i nr. 1 og 2, og informasjon om nevnte rettighet skal framlegges på en klar måte og atskilt fra annen informasjon.» ¹ Datatilsynet gjentar kravet om at informasjonen skal være «på en klar måte og adskilt fra annen informasjon» ³.

Nr. 5 — automatiserte midler. Ved informasjonssamfunnstjenester kan protesten fremsettes «ved hjelp av automatiserte midler ved bruk av tekniske spesifikasjoner» ¹.

Nr. 6 — forskning og statistikk. Egen protestrett, med unntak når behandlingen er nødvendig for en oppgave i allmennhetens interesse ¹.

Sammenhengen med art. 17 og 18. En protest som fører frem, gir rett til sletting etter art. 17 nr. 1 bokstav c, «og det ikke finnes mer tungtveiende berettigede grunner til behandlingen» ¹. Mens protesten vurderes, kan den registrerte kreve begrensning (art. 18 nr. 1 bokstav d ¹). EDPB: lykkes ikke den behandlingsansvarlige med beviset, kan den registrerte kreve sletting etter art. 17 nr. 1 bokstav c ² (avsnitt 76).

Norske særregler

Personopplysningsloven har ingen særregel som innskrenker art. 21 for registerbaserte tjenester. I Prop. 56 LS (2017–2018), slik Personvernnemnda gjengir den, beskrives slettereglene som en tydeliggjøring: «Regelen er imidlertid i stor grad knyttet til om vilkårene for behandling av personopplysningene er oppfylt, og medfører derfor først og fremst en tydeliggjøring og ingen vesentlig utvidelse av plikten til sletting.» ⁴

Sentrale avgjørelser

PVN-2018-14 og HR-2021-2403-A (Legelisten) — hva de avgjorde

• **Spørsmålet var en generell reservasjonsrett.** Datatilsynet hadde pålagt Legelisten å la alt helsepersonell reservere seg mot vurderinger; Personvernnemnda omgjorde pålegget og fant behandlingsgrunnlag «uten at helsepersonell gis en generell reservasjonsrett for slike vurderinger» ⁴ (vedtaket punkt 5). For objektive opplysninger besvarte nemnda tannlegens klage på samme måte (punkt 6) ⁴.
• Høyesterett prøvde gyldigheten av vedtakets punkt 5 (subjektive vurderinger) etter art. 6 nr. 1 bokstav f og fant det gyldig ⁵ (avsnitt 2 og 94). Staten anførte at det ikke var feil å knytte saken til «fraværet av en generell reservasjonsrett, all den tid det er dette forholdet vedtaket bygger på» ⁵ (avsnitt 35, statens anførsel).

Hva de ikke avgjorde

1. Ikke den enkeltes protest etter art. 21 nr. 1. Ingen av avgjørelsene prøvde hvilken terskel som gjelder når én bestemt person protesterer og viser til sin særlige situasjon. Uten generell reservasjonsrett gjelder art. 21 nr. 1 fullt ut for hver enkelt.
2. Ikke at en individuell ordning er unødvendig. Legelisten hadde selv en ordning der helsepersonell kunne reservere seg «dersom tungtveiende grunner krever det», og Høyesterett tok den med i vurderingen av tiltakene ⁵ (avsnitt 88). Retten beskrev at «Det skal altså mye til for å få medhold i en søknad om dispensasjon» og at reservasjonsordningen hadde «begrenset praktisk betydning» ⁵. Om en så høy terskel er forenlig med art. 21 nr. 1 slik EDPB leser den (avsnitt 72–73), ble ikke prøvd.
3. Ikke registerdata i stor skala. Sakene gjaldt et avgrenset yrke (helsepersonell) og ett informasjonsbehov (valg av behandler).
4. Ikke søkemotorenes plikter. De følger av C-131/12: søkemotoren kan være forpliktet til å fjerne treff ved navnesøk også når opplysningene ikke er slettet hos utgiveren ⁶ (domsslutning 3), og den registrertes rettigheter går «as a general rule» foran internettbrukernes interesse, avhengig av blant annet «the role played by the data subject in public life» ⁶ (avsnitt 81).

Linjen for en registertjeneste: Legelisten gir grunnlag for å publisere objektive opplysninger uten generell reservasjonsrett ⁴. Den gir ikke grunnlag for å avvise en individuell protest uten å bevise tvingende grunner i den konkrete saken.

Protest i praksis

Du kan protestere mot behandling som bygger på artikkel 6 nr. 1 bokstav e eller f, av grunner knyttet til din særlige situasjon. Den behandlingsansvarlige må da vurdere saken konkret. Behandlingen må opphøre med mindre virksomheten kan påvise tvingende berettigede grunner som går foran dine interesser, rettigheter og friheter, eller behandlingen er nødvendig for rettskrav. ⁷

En protest mot Byggsikts publisering kan sendes til [email protected]. Oppgi hvilken side det gjelder og grunnen til protesten. Har du et beskyttelsesbehov, bør du opplyse om det uten å sende flere sensitive opplysninger enn nødvendig. Se personvernerklæringen.

Retten til sletting etter artikkel 17 har flere selvstendige grunnlag. En henvendelse om sletting skal derfor ikke bare vurderes som en protest. Begrensning etter artikkel 18 kan også være relevant, blant annet mens det undersøkes om den behandlingsansvarliges berettigede grunner går foran den registrertes. ⁸

Ved direkte markedsføring er protestretten absolutt: opplysningene skal ikke lenger brukes til dette formålet. ⁹

Kilder

Kildene er oppført med lenker til utgiverne i kildelisten.

• ³ Datatilsynet — Informasjon og åpenhet, alle sider (utskriftsversjon). https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/informasjon-og-apenhet/?print=true — hentet 2026-10-16, sha256 3bc6d93081cca1e9…
• ² EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0 adopted 8 October 2024 (PDF). https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf — hentet 2026-10-16, sha256 55394a154bbcaa70…
• ⁶ CJEU C-131/12 Google Spain and Google (Grand Chamber, 13 May 2014) — EUR-Lex CELEX 62012CJ0131. https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:62012CJ0131 — hentet 2026-10-16, sha256 ac098752a8ef3ee8…
• ⁵ Høyesteretts dom HR-2021-2403-A (Legelisten) — Lovdata. https://lovdata.no/dokument/HRSIV/avgjorelse/hr-2021-2403-a — hentet 2026-10-16, sha256 f5eac8c186dceeee…
• ¹⁰ Lov om Enhetsregisteret (enhetsregisterloven), LOV-2025-06-20-105. https://lovdata.no/dokument/NL/lov/2025-06-20-105 — hentet 2026-10-16, sha256 e4953225706faa49…
• ¹ Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* — hentet 2026-10-16, sha256 145e977449481b51…
• ⁴ Personvernnemnda PVN-2018-14 Behandling av personopplysninger på nettstedet Legelisten.no (vedtak 21. januar 2019). https://personvernnemnda.no/2018/08/26/pvn-2018-14-behandling-av-personopplysninger-pa-nettstedet-legelisten-no/ — hentet 2026-10-16, sha256 7bb9895d13bdb997…