Offentlige registre og søketjenester

Foretaksdatabaser, kredittjenester, katalogtjenester og Byggsikt har det samme utgangspunktet: opplysninger som staten har gjort offentlige. Kapitlet forklarer hva offentligheten i registerlovene faktisk gir, hvor personvernforordningen tar over, og hva som skiller en tjeneste som viser registerdata fra en tjeneste som sammenstiller dem om personer.

Hva loven krever

Registerlovene gjør opplysningene offentlige — med unntak

Fra 1. januar 2026 gjelder nye lover for Enhetsregisteret og Foretaksregisteret. Lovene av 1994 og 1985 er opphevet: enhetsregisterloven 1994 er «Opphevet ved lov 20 juni 2025 nr. 105»¹ og foretaksregisterloven 1985 er «Opphevet ved lov 20 juni 2025 nr. 106»². Henvisninger til de gamle paragrafene skal ikke brukes.

Enhetsregisterloven 2025 § 9-1 første ledd lyder: «(1) Enhver har rett til å få tilgang til opplysninger og dokumenter som er registrert i Enhetsregisteret. Dette gjelder ikke fødselsnummer, d-nummer og elektronisk varslingsadresse.»³ Foretaksregisterloven 2025 § 9-1 første ledd har samme regel for Foretaksregisteret, med unntak for «fødselsnummer og d-nummer» ⁴.

Hvem som får mer, står i annet ledd. For Enhetsregisteret: «(2) Tilknyttet register, offentlige myndigheter og virksomheter, private virksomheter som utfører lovpålagte oppgaver eller oppgaver på vegne av det offentlige, kredittopplysningsvirksomhet og finansforetak kan få utlevert fødselsnummer og d-nummer fra Enhetsregisteret til bruk i sin virksomhet.»⁵

Den viktigste regelen for persontjenester står i tredje ledd:

«(3) Sammenstilling av opplysninger om en person kan bare gis når det gjelder personens registrerte tilknytning til næringsvirksomhet.» ⁶

Det som registreres om rolleinnehavere, er «navn eller foretaksnavn, fødselsnummer eller d-nummer eller organisasjonsnummer og adresse»⁷. Brønnøysundregistrenes åpne rolle-API gir mindre: «For rolleinnehaver avgir vi opplysning om navn og fødselsdato.»⁸ Dataene er lisensiert under «lisens for åpne data (NLOD)»⁹.

Andre offentlighetsregler som foretakstjenester bygger på:

Offentlig tilgjengelig er ikke det samme som fritt til videre bruk

Skatteetaten sier det rett ut til mottakerne av aksjonæruttrekket: «Dere har en selvstendig plikt etter personvernforordningen artikkel 6 å påse at behandlingen av opplysningene oppfyller ett av vilkårene i artikkel 6 nr. 1 bokstav a til f»¹³. Den som henter opplysninger fra et register og publiserer dem, er selv behandlingsansvarlig og trenger et eget grunnlag. For private tjenester er det i praksis berettiget interesse ¹⁴, som Høyesterett har formulert som tre kumulative vilkår:

«(50) For at det skal foreligge behandlingsgrunnlag etter GDPR artikkel 6 nr. 1 bokstav f, må tre vilkår være oppfylt: For det første må det foreligge berettigede interesser – på engelsk «legitimate interests» – som begrunner behandlingen. For det annet må behandlingen være nødvendig for å ivareta disse interessene. For det tredje må de berettigede interessene etter en interesseavveining veie tyngre enn de registrertes interesser eller grunnleggende rettigheter og friheter.» ¹⁵

Avveiningen er behandlet grundig i kapittel 02 og metoden i kapittel 3.1.

Forordningen artikkel 86 åpner for at personopplysninger i offentlige dokumenter kan utleveres «av myndigheten eller organet» i samsvar med nasjonal rett ¹⁶. Vår vurdering: bestemmelsen gjelder utleveringen fra den som har dokumentet, altså registerforvalteren. Den gir ikke i seg selv grunnlag for en privat aktørs videre publisering.

Informasjon til hver enkelt — eller offentlig

Når opplysningene ikke er samlet inn fra den registrerte selv, skal den behandlingsansvarlige som hovedregel gi informasjon etter artikkel 14. Unntaket som er praktisk for registertjenester, gjelder når det «vil innebære en uforholdsmessig stor innsats», og da kommer en plikt i stedet: «I slike tilfeller skal den behandlingsansvarlige treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig,»¹⁷. Det er rettslig grunnlag for at en registertjeneste har en offentlig, lett tilgjengelig personvernerklæring.

Søkemotorer og sammenstilling

EU-domstolens dom i C-131/12 Google Spain gjaldt søkemotorer etter direktiv 95/46, men begrunnelsen er relevant for alle tjenester som gjør det mulig å søke på en persons navn. Domstolen pekte på at et navnesøk gir «a structured overview of the information relating to that individual» og gjør det mulig å etablere «a more or less detailed profile of him»¹⁸, og at inngrepet ikke kan rettferdiggjøres «by merely the economic interest which the operator of such an engine has in that processing»¹⁹. Avveiningen kan likevel slå ut for publisering, for eksempel på grunn av «the role played by the data subject in public life»²⁰. Og muligheten til å reservere seg mot indeksering med «‘noindex’» fritar ikke søkemotoren for ansvar ²¹.

Vår vurdering: Byggsikt er ikke en søkemotor i dommens forstand, men personsidene sammenstiller registerdata om én person på én adresse og gjøres søkbare. Det er nettopp sammenstillingen som gjør inngrepet større, og det er grunnen til at § 9-1 tredje ledd og innsigelsesretten er avgjørende for vurderingen.

Hva tilsyn og nemnd sier

Personvernnemnda, PVN-2018-14 (Legelisten). Nemnda kom til at «Legelisten har behandlingsgrunnlag for å samle inn og publisere objektive opplysninger om helsepersonell på nettstedet, jf. artikkel 6 nr. 1 bokstav f, uten at helsepersonell gis en generell reservasjonsrett»²², og «en samlet nemnd» la vekt på at opplysningene måtte være «korrekte og relevante for det formålet legelisten har med sin nettside»²³. Datatilsynets syn, slik det er gjengitt i vedtaket før nemndas egen vurdering, pekte på sammenstillingen: «Når det gjelder distinksjonen mellom Legelisten og ytringer på nettfora og sosiale medier, skyldes denne at Legelisten driver med sammenstilling og systematisering av informasjon.»²⁴ Høyesterett behandlet senere gyldigheten av nemndas vedtak (HR-2021-2403-A avsnitt 43) og forkastet anken over lagmannsrettens dom ²⁵; se kapittel 02.

Datatilsynet om søketreff. Tilsynet minner om at å fjerne et søketreff ikke fjerner kilden: «Husk at søkemotoren ikke kan fjerne selve nettsiden/kilden som søketreffet leder til.»²⁶ Retten er heller ikke ubetinget: «Du har ikke en ubetinget rett til å få søketreff fjernet fra Google eller andre søkemotorer. Søkemotoren må gjøre en konkret vurdering i hvert enkelt tilfelle. Søkemotoren må foreta en avveining mellom din rett til beskyttelse av personopplysningene dine og allmennhetens rett til informasjon.»²⁷ Og: «Dersom du er en offentlig person eller søketreffet relaterer seg til en rolle du har hatt i offentligheten, vil det kunne være vanskeligere å få søketreffet slettet.»²⁸

Datatilsynet om offentlige postlister. I en tekst om kommunale postlister skriver tilsynet at en melding til søkemotorene om ikke å indeksere er et minimum: «Slik Datatilsynet ser det, vil ein slik melding til søkjerobotane utgjere eit minstemål av vern.»²⁹ Teksten gjelder offentlige organers postlister, ikke private registertjenester; vi bruker den bare som illustrasjon av at indeksering er et selvstendig personvernspørsmål.

Registeropplysninger hos Byggsikt

Byggsikt viser opplysninger om foretak og registrert næringstilknytning fra offentlige kilder. Person- og eiersider kan vise navn, fødselsår, postnummer og poststed, registrerte roller, felles foretak og eierposter. Felles foretak dokumenterer ikke en personlig relasjon mellom personene. Se personvernerklæringen for kategorier, kilder, formål og rettigheter.

Personsider viser fødselsår, ikke full fødselsdato. Dette er en opplysning om hva som vises offentlig. Det innebærer ikke at kildemateriale eller interne lagre bare inneholder fødselsår. Innsynsretten gjelder også opplysninger som behandles uten å vises på nettsidene. ³⁰

Foretakets registrerte forretningsadresse kan være en privat hjemmeadresse, særlig for enkeltpersonforetak. Det må derfor skilles mellom en adresse på en foretaksside og hvilke opplysninger som vises på en personside. Opplysningene blir ikke upersonlige bare fordi de står i et offentlig register. ³¹

Viderebruk krever et eget behandlingsgrunnlag og vurdering av nødvendighet, riktighet og den enkeltes interesser. Registerførerens plikt til å gi innsyn er ikke i seg selv en plikt eller tillatelse til enhver videre publisering. Individuell informasjon og eventuelle unntak må vurderes etter artikkel 14. ³²

Du kan kontakte [email protected] om innsyn, retting, sletting, begrensning eller protest. Har du et beskyttelsesbehov, opplys om det uten å sende flere sensitive opplysninger enn nødvendig.

Grensen for sammenstilling

Enhetsregisterloven § 9-1 tredje ledd setter en grense for sammenstillinger som gis av registeret. Den direkte anvendelsen overfor en privat viderebruker må skilles fra viderebrukerens egne plikter etter personvernforordningen. Om en konkret sammenstilling er lovlig, må vurderes etter reglene som gjelder for den aktuelle behandlingen. ^{33 34}

Kilder

• Lov om Enhetsregisteret (enhetsregisterloven), LOV-2025-06-20-105 ³⁵
• Lov om Foretaksregisteret (foretaksregisterloven), LOV-2025-06-20-106 ³⁶
• Prop. 110 L (2024–2025) kapittel 28, lovforslaget (i kildeledgeren, ikke analysert i denne versjonen) ³⁷
• Enhetsregisterloven 1994 og foretaksregisterloven 1985, opphevet ^{38 39}
• Regnskapsloven § 8-1 ⁴⁰ · Aksjeloven § 4-6 ⁴¹
• Personvernforordningen, norsk EØS-tekst ⁴²
• Brønnøysundregistrene: Roller i virksomheten (åpent API) ⁴³; Datasett og API, NLOD ⁴⁴
• Skatteetaten: Aksjonærregisteret, deling og innsyn ⁴⁵
• EU-domstolen C-131/12 Google Spain ⁴⁶
• Høyesterett HR-2021-2403-A (Legelisten) ⁴⁷
• Personvernnemnda PVN-2018-14 (Legelisten) ⁴⁸
• Datatilsynet: Hvordan slette søketreff ⁴⁹; Postlister og treff frå søkjemotorar ⁵⁰