Rettigheter i praksis

Dette kapitlet er for den som skal behandle en henvendelse fra en person som vil bruke rettighetene sine, og for den registrerte som vil vite hva som skjer med henvendelsen. Det handler om saksgangen: identitet, frister, gebyr, hva svaret skal inneholde for hver rettighet, og hvor man kan klage. Hva rettighetene innebærer, og særlig avveiningen ved en protest, er drøftet i kapittel 03 om rettigheter.

Hva loven krever

Plikten til å legge til rette

Utgangspunktet står i artikkel 12 nr. 2: «Den behandlingsansvarlige skal legge til rette for at den registrerte kan utøve sine rettigheter i henhold til artikkel 15-22.»¹ Den behandlingsansvarlige er den som bestemmer formålet med og midlene for behandlingen ². Vår vurdering: bestemmelsen stiller ingen formkrav til selve henvendelsen; den registrerte trenger verken å bruke en bestemt kanal eller å nevne en artikkel.

Identitet

Den behandlingsansvarlige kan bare be om mer, «dersom det hersker rimelig tvil om identiteten til den fysiske personen som inngir anmodningen nevnt i artikkel 15-21, anmode om ytterligere opplysninger som er nødvendige for å kunne bekrefte den registrertes identitet»³. Vår vurdering: kravet om rimelig tvil og om at opplysningene er nødvendige gjør identitetskontroll til et unntak, ikke til et inngangsvilkår.

Frister

Svar om hva som er gjort, skal gis «uten ugrunnet opphold og senest én måned etter mottak av anmodningen»⁴. Fristen kan forlenges: «Denne fristen kan ved behov forlenges med ytterligere to måneder, idet det tas hensyn til antall anmodninger og anmodningenes kompleksitet.»⁴ Forlengelsen skal meldes den registrerte «senest én måned etter mottak av anmodningen sammen med en begrunnelse for forsinkelsen»⁴. Kom henvendelsen elektronisk, skal svaret om mulig gis elektronisk, «med mindre den registrerte anmoder om noe annet»⁴.

Avslår den behandlingsansvarlige, skal den registrerte informeres «uten opphold og senest én måned etter mottak av anmodningen om årsakene til dette og om muligheten for å inngi klage til en tilsynsmyndighet og for rettslig prøving»⁵.

Gratis, med et snevert unntak

Kommunikasjon og tiltak etter artikkel 15 til 22 og 34 «skal være gratis»⁶. Unntaket gjelder bare «Dersom anmodninger fra en registrert er åpenbart grunnløse eller overdrevne, særlig dersom de gjentas»⁶; da kan det kreves et rimelig gebyr, eller anmodningen kan nektes ⁷. «Den behandlingsansvarlige skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.»⁶

De enkelte rettighetene

Innsynsretten omfatter blant annet «dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra»⁸, og «Den behandlingsansvarlige skal gjøre tilgjengelig en kopi av personopplysningene som behandles.»⁹ Kopien «skal ikke ha negativ innvirkning på andres rettigheter og friheter»¹⁰. Personopplysningsloven § 16 gjør unntak fra innsyn i nærmere angitte tilfeller, og den som nekter, «må begrunne dette skriftlig og gi en presis henvisning til unntakshjemmelen»¹¹.

Retting: «Den registrerte skal ha rett til å få uriktige personopplysninger om seg selv rettet av den behandlingsansvarlige uten ugrunnet opphold.»¹²

Sletting skal blant annet skje når «den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen»¹³. Har den behandlingsansvarlige offentliggjort opplysningene, skal den også «treffe rimelige tiltak, herunder tekniske tiltak, for å underrette behandlingsansvarlige som behandler personopplysningene»¹⁴ om at den registrerte vil ha lenker og kopier fjernet. Unntakene i nr. 3 begynner slik: «Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig a. for å utøve retten til ytrings- og informasjonsfrihet»¹⁵.

Begrensning kan kreves blant annet når «den registrerte bestrider riktigheten av personopplysningene, i en periode som gjør det mulig for den behandlingsansvarlige å kontrollere riktigheten av personopplysningene»¹⁶, og når «den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av kontrollen av om hvorvidt den behandlingsansvarliges berettigede grunner går foran den registrertes»¹⁶. Den registrerte «skal underrettes av den behandlingsansvarlige før nevnte begrensning av behandlingen oppheves»¹⁷.

Etter retting, sletting og begrensning skal mottakere underrettes, «med mindre dette viser seg å være umulig eller innebærer en uforholdsmessig stor innsats»¹⁸, og «Den behandlingsansvarlige skal underrette den registrerte om nevnte mottakere dersom den registrerte anmoder om det.»¹⁸

Ved protest gjelder: «Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter»¹⁹. Retten skal gjøres kjent «Senest på tidspunktet for den første kommunikasjonen med den registrerte»²⁰, og «på en klar måte og atskilt fra annen informasjon»²⁰.

Klage

Etter forordningen skal «enhver registrert ha rett til å klage til en tilsynsmyndighet»²¹. I Norge er det Datatilsynet: «Datatilsynet er tilsynsmyndighet etter personvernforordningen artikkel 51 og er et uavhengig forvaltningsorgan»²².

Hva Datatilsynet sier

Datatilsynet krever at rettighetene kan brukes enkelt: «Verksemda må leggje til rette for at kundar eller brukarar kan nytte rettane sine på ein enkel måte.»²³ Om identitet: «Viss det er rimeleg tvil om identiteten til den som har gjort førespurnaden, kan verksemda be om meir informasjon for å stadfeste identiteten.»²⁴ Om forlengelse: «I så fall skal verksemda, før fristen går ut, seie frå om og grunngje forseinkinga.»²⁵ Om gebyr og avvisning kaller tilsynet unntaket snevert: «Dette er rett nok eit snevert unnatak, og verksemda har bevisbyrda for at unnataket gjeld.»²⁶ Og: «Hovudregelen er at den einskilde kan bruke rettane sine gratis og utan å måtte forklare seg.»²⁷

Om innsyn sier tilsynet at opplysninger om andre ikke er grunn til å nekte alt: «Det betyr at den aktuelle informasjonen sladdes fra kopien du får med personopplysningene dine.»²⁸ Et avslag må være skriftlig: «Hvis en virksomhet nekter deg innsyn, skal de gi deg en skriftlig forklaring på hvorfor, og hvilken bestemmelse som gjør at de ikke gir deg innsyn.»²⁹

Retting er ikke bare en plikt på forespørsel: «Dersom en virksomhet blir kjent med at personopplysninger ikke er korrekte, må man sørge for retting uten opphold selv om personen det gjelder ikke eksplisitt har bedt om det.»³⁰ Og: «Når en virksomhet retter og sletter, har den også plikt til å kommunisere dette til andre som har mottatt opplysningene.»³¹

Til den registrerte råder tilsynet å gå til virksomheten først: «Hvis du mener at personvernrettighetene dine er brutt, bør du ta kontakt med den virksomheten som behandler personopplysningene dine før du tar kontakt med oss i Datatilsynet.»³²

Søketreff

Når det er et søketreff på navnet som er problemet, finnes det to adressater, og Datatilsynet skiller mellom dem: «Husk at søkemotoren ikke kan fjerne selve nettsiden/kilden som søketreffet leder til.»³³ «Dersom du ønsker å få slettet selve informasjonen som er publisert på den aktuelle nettsiden, må du derfor henvende deg til den ansvarlige for nettsiden og be om dette.»³⁴ Blant momentene som etter tilsynet taler mot at en søkemotor fjerner et treff, er «Dersom søketreffet omhandler deg i en profesjonell situasjon eller i forbindelse med din yrkesutøvelse»³⁵. Det momentet gjelder søkemotorens vurdering, ikke nettstedets vurdering av en protest etter artikkel 21.

Slik sender du en henvendelse

Send spørsmål om Byggsikts behandling av personopplysninger til [email protected]. Oppgi hvilken side eller behandling det gjelder, og beskriv hva du ber om. Du trenger ikke velge en bestemt artikkel: det er innholdet i henvendelsen som må vurderes. Se personvernerklæringen.

• Innsyn gjelder personopplysninger som behandles om deg, også opplysninger som ikke vises offentlig. Identiteten må avklares på en måte som står i forhold til risikoen ved utleveringen. ³⁶
• Retting gjelder uriktige opplysninger. Den som publiserer registerdata, har et eget ansvar for riktigheten i sin behandling, også når feilen opprinnelig kommer fra en annen kilde. ³⁷
• Sletting må vurderes etter de grunnlagene i artikkel 17 som passer saken, blant annet at opplysningene ikke lenger er nødvendige eller er behandlet ulovlig. En anmodning om sletting skal ikke automatisk begrenses til en protest etter artikkel 21. ³⁸
• Begrensning kan være relevant mens riktigheten undersøkes eller en protest vurderes, når vilkårene i artikkel 18 er oppfylt. ³⁹
• Protest gjelder blant annet behandling som bygger på berettiget interesse. Da må virksomheten vurdere din særlige situasjon og kunne påvise grunnene for eventuell videre behandling. ⁴⁰

Hovedregelen er svar uten ugrunnet opphold og senest innen én måned. En nødvendig forlengelse skal begrunnes og varsles innen den første måneden. En fast frist på 30 dager er ikke det samme som en kalendermåned. ⁴¹

Når opplysninger er offentliggjort, må pliktene til å underrette mottakere og treffe rimelige tiltak overfor andre som behandler kopier eller lenker, vurderes etter artikkel 17 nr. 2 og artikkel 19. Fjerning fra ett sted dokumenterer ikke alene at alle relevante kopier er håndtert. Søkemotoren har samtidig et eget ansvar for behandling i søkeresultatene. ^{42 43}

Du kan klage til Datatilsynet og få saken prøvd rettslig. ⁴⁴

Kilder

• Personopplysningsloven med personvernforordningen i norsk EØS-tekst ⁴⁵
• Datatilsynet — Legge til rette for rettigheter ⁴⁶
• Datatilsynet — Rett til innsyn ⁴⁷
• Datatilsynet — Retting og sletting ⁴⁸
• Datatilsynet — Dine rettigheter ⁴⁹
• Datatilsynet — Hvordan slette søketreff ⁴³
• EDPB — Retningslinjer 5/2019 om retten til å bli glemt i søkemotorer, versjon 2.0 (i kildeledgeren, ikke analysert i denne versjonen) ⁵⁰