Sletting av personopplysninger etter artikkel 17 i personvernforordningen eller kassasjon av enkeltopplysninger etter arkivforskriften?
Virksomheter behandler store mengder personopplysninger som en del av samfunnets dokumentasjon. I noen tilfeller kan enkeltpersoner likevel be om at bestemte opplysninger om dem blir slettet eller kassert.
Hvordan går du fram dersom du ønsker å få slettet opplysninger om deg fra offentlige dokumenter?
Både personvernregelverket og arkivregelverket inneholder regler som kan gi enkeltpersoner mulighet til å få personopplysninger fjernet.
Personvernforordningen (GDPR) gir i visse tilfeller den registrerte rett til å kreve sletting av personopplysninger. Samtidig åpner arkivregelverket for at enkeltpersoner kan søke om kassasjon av personopplysninger som inngår i arkivpliktig eller bevaringsverdig dokumentasjon.
Hvilket regelverk som gjelder, avhenger blant annet av hvorfor opplysningene behandles og om de inngår i dokumentasjon som skal forvaltes som arkiv eller tas vare på for ettertiden.
Denne artikkelen forklarer forskjellen mellom sletting etter personvernforordningen og kassasjon etter arkivregelverket, og gir veiledning om hvordan du går fram dersom du ønsker å få fjernet opplysninger om deg fra offentlige dokumenter og arkiv.
Oppsummert
Dersom opplysningene er arkivpliktige eller bevaringsverdige, må du søke om kassasjon etter arkivforskriften § 43 og 44.
Dersom opplysningene verken er arkivpliktige eller bevaringsverdige, kan det fremmes krav om sletting etter personvernforordningen artikkel 17.
Krav om kassasjon eller sletting skal som hovedregel sendes til virksomheten som oppbevarer opplysningene.
Når gjelder retten til sletting etter personvernforordningen artikkel 17?
Personvernforordningen gir den registrerte rett til å fremme krav om sletting av personopplysninger.
Etter artikkel 17 oppstilles det flere alternative vilkår for sletting av personopplysninger. Dersom et av vilkårene i bokstav a-f er oppfylt «skal den registrerte ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold».
Utgangspunktet etter artikkel 17 er at den registrerte har krav på sletting dersom ett av vilkårene i bokstav a-f er oppfylt.
Mer om kriteriene i artikkel 17 finner du her.
Retten til sletting gjelder imidlertid ikke uten unntak. Etter artikkel 17 nr. 3 bokstav b gjelder ikke retten til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter nasjonal rett. Etter bokstav d gjelder den ikke når behandlingen er nødvendig for arkivformål i allmennhetens interesse, jf. artikkel 89 nr. 1, dersom sletting vil gjøre det umulig eller i alvorlig grad hindre at formålet med behandlingen oppnås.
Organer som forvalter dokumentasjon i allmenhetens interesse, har en rettslig plikt til å behandle arkiver som er valgt ut til permanent bevaring. Sletting av personopplysninger i slikt arkivmateriale kan gjøre det umulig å utføre disse lovpålagte oppgavene. Retten til sletting gjelder derfor ikke for dokumenter som er valgt ut til permanent bevaring.
Artikkel 9. som omhandler behandling av særlig kategorier av personopplysninger, inneholder også et unntak etter arkivformål i allmenhetens interesse, jf. artikkel 9 nr 2 bokstav j. Dette unntaket kan innebære at personopplysninger som nevnt i artikkel 9. nr. 1, ikke kan slettes.
Opplysninger som omfattes av arkivlovgivningen, kan derfor i mange tilfeller ikke slettes etter personvernforordningen alene. Spørsmålet må da vurderes etter reglene om kassasjon i arkivregelverket.
Når gjelder arkivlovgivningen?
Arkivlovgivningen gjelder for opplysningene som er arkivpliktige, bevaringsverdige eller nødvendige for andre lovpålagte dokumentasjonsformål.
Arkivloven gjelder for staten, fylkeskommunene og kommunene. Loven gjelder også for andre rettssubjekter i saker hvor de treffer enkeltvedtak eller utferdiger forskrift, jf. arkivlova § 3.
Hva som er arkivpliktige opplysninger, følger av arkivloven § 5 og arkivforskriften § 1.
Her er veiledning for hva som forvaltes som arkiv. (legges inn link til veileder når den er klar).
Arkivloven § 12 fastsetter at dokumentasjon med stor kulturell, vitenskapelig, rettslig eller forvaltningsmessig verdi skal bevares og gjøres tilgjengelig for ettertiden. Bevaringsforskriften konkretiserer hvilke typer dokumentasjon som skal tas vare på.
Det er utarbeidet en veileder om hva statlige organ skal vurdere etter bevaringsforskriften § 18, og hva de skal bevare for ettertiden, som du finner her.
Når dokumentasjon er bevaringspliktig, kan virksomheten som hovedregel ikke slette opplysningene, selv om den registrerte ber om det.
Kassasjon av enkeltopplysninger etter arkivforskriften
Dersom opplysninger er arkivpliktig eller bevaringsverdig dokumentasjon, må spørsmålet vurderes etter reglene om kassasjon i arkivforskriften §§ 43 og 44.
Regelverket etablerer en særskilt ordning for vurdering av kassasjon av enkeltopplysninger i arkiv. Etter arkivforskrifta § 43 kan Nasjonalarkivet etter søknad fatte vedtak om kassasjon av enkeltopplysninger i særlige tilfeller.
Bestemmelsen innebærer ikke en generell rett til kassering av arkivmateriale, men åpner for konkrete vurderinger der hensynet til den registrerte må veies mot samfunnets behov for dokumentasjon og bevaring. Vurderingen innebærer også at personvernhensynene etter personvernforordningen ivaretas.
Mer om vurderingskriteriene i arkivforskriften § 43 finner du her.
- For virksomheter (link)
- For enkeltpersoner (link
Hvorfor kan personopplysninger bevares etter at det opprinnelige formålet er oppfylt?
At et offentlig organ ikke lenger har behov for personopplysninger til saksbehandling, oppfølging eller andre administrative formål, betyr ikke nødvendigvis at opplysningene kan eller skal slettes.
Både i personvernforordningen og i arkivregelverket finnes det grunnlag for at slike opplysninger også kan ha verdi etter at det opprinnelige formålet har falt bort. Dokumentasjonen kan være viktig for å:
- Dokumentere hvordan offentlige myndigheter har utøvd sin myndighet.
- Sikre innbyggeres rettigheter over tid.
- Dokumentere samfunnsutviklingen
- Danne grunnlag for forskning, historie og kulturarv
- Bevare kunnskap om grupper, hendelser og samfunnsforhold som ellers ville vært tapt.
Personvernforordningen er dermed ikke i strid med at personopplysninger kan behandles videre for arkivformål i allmennhetens interesse. Disse formålene kan dermed være vesensforskjellig fra de opprinnelige formålene som opplysningene ble samlet inn for eller være viktige for andre enn de organ som først har behandlet dem.
Når dokumentasjon er vurdert som bevaringsverdig etter arkivformål i allmennhetens interesse, er utgangspunktet at de ikke skal slettes, men bevares for fremtiden.
Eksempler på ulike sakstyper
Dette er eksempler og angir noen typetilfeller som kan være aktuelle og vurdere. Hver sak må vurderes konkret i hvert enkelt tilfelle.
Situasjon
Anne er 35 år og har bedt kommunen om innsyn i sin barnevernsmappe. Hun opplever flere av opplysningene som belastende og sender en e-post til kommunen:
«Jeg ønsker at hele mappen om meg slettes etter GDPR artikkel 17.»
Hva tenker Anne?
Hun antar at personopplysningene kan slettes fordi saken er avsluttet for mange år siden.
Hva er det juridiske spørsmålet?
Dokumentasjonen er typisk både arkivpliktig og bevaringsverdig etter arkivregelverket.
Hvilket regelverk er aktuelt?
Ikke GDPR-sletting.
Spørsmålet må vurderes etter reglene om kassasjon av enkeltopplysninger i arkivforskriften §§ 43–44.
Hva bør Anne gjøre?
Hun må sende søknad om kassasjon til kommunen som oppbevarer dokumentasjonen. Kommunen sender eventuelt saken videre til Nasjonalarkivet.
Hvor sannsynlig er det at opplysningene blir fjernet?
Relativt lavt. Barnevernsdokumentasjon har ofte høy dokumentasjonsverdi.
Situasjon
Jon oppdager at en skolejournal inneholder en feilaktig opplysning om ham.
Hva tenker Jon?
Han ønsker at opplysningen slettes.
Hva er det juridiske spørsmålet?
Her er problemet ikke nødvendigvis at opplysningen finnes, men at den er feil.
Hvilket regelverk er aktuelt?
Verken sletting eller kassasjon er nødvendigvis riktig spor.
Arkivregelverket bygger på at feil normalt skal rettes eller suppleres, ikke fjernes.
Hva bør Jon gjøre?
Be virksomheten om retting eller tilføring av korrekte opplysninger.
Hvor sannsynlig er det at opplysningen slettes?
Lavt.
Pedagogisk poeng
Ikke alle problemer med personopplysninger skal løses gjennom sletting eller kassasjon.
Situasjon
Maria oppdager at kommunen fortsatt lagrer opplysninger om hennes tidligere telefonnummer og e-postadresse i et digitalt system som ikke inngår i et arkiv.
Hva tenker Maria?
Hun ønsker at opplysningene slettes.
Hva er det juridiske spørsmålet?
Opplysningene brukes ikke lenger til formålet de ble samlet inn for.
Hvilket regelverk er aktuelt?
GDPR artikkel 17.
Hva bør Maria gjøre?
Hun retter slettingskravet til kommunen som behandlingsansvarlig.
Hvor sannsynlig er det at opplysningene slettes?
Ganske høy.
Pedagogisk poeng
Ikke alle offentlige personopplysninger er arkivmateriale.
Situasjon
Per finner et gammelt byggesaksarkiv hvor hans navn kommer frem.
Han sender søknad direkte til Nasjonalarkivet:
«Jeg krever at opplysningene om meg slettes.»
Hva tenker Per?
Han antar at Nasjonalarkivet er førstelinje for alle henvedelser som gjelder kassasjon av enkeltopplysninger.
Hva er det juridiske spørsmålet?
Dokumentasjonen er fortsatt hos kommunen.
Hvilket regelverk er aktuelt?
Kan være kassasjon etter arkivforskriften, men søknaden er sendt til feil instans.
Hva bør Per gjøre?
Ta kontakt med virksomheten som oppbevarer dokumentasjonen.
Pedagogisk poeng
Krav skal normalt sendes til virksomheten som oppbevarer opplysningene.
Situasjon
Kari arbeidet i kommunen for 25 år siden. Hun ønsker fjernet dokumenter om en personalsak fordi hun mener de er belastende.
Hva tenker Kari?
Hun mener opplysningene ikke lenger er nødvendige og derfor må kunne slettes.
Hva er det juridiske spørsmålet?
Personalsaken kan inneholde både:
- dokumentasjon som skal bevares,
- dokumentasjon som ikke skal bevares,
- og enkelte opplysninger som eventuelt kan være aktuelle for kassasjon etter §§ 43–44.
Hvilket regelverk er aktuelt?
Det er uklart uten nærmere vurdering.
Hva bør Kari gjøre?
Starte med virksomheten som oppbevarer dokumentasjonen.
Virksomheten må først vurdere:
- om materialet er bevaringspliktig,
- om det er arkivmateriale,
- om spørsmålet gjelder sletting eller kassasjon.
Hvor sannsynlig er det at opplysningene fjernes?
Usikkert.
Pedagogisk poeng
Dette illustrerer gråsonen mellom GDPR-sletting og kassasjon best av alle eksemplene.
Situasjon
Ole er systemansvarlig i en kommune. Kommunen behandler søknader om tilrettelagte tjenester og har derfor registrert opplysninger om helse, funksjonsnedsettelser og enkelte opplysninger om religiøs tilhørighet.
Under en intern gjennomgang av personvernarbeidet reagerer Ole på at systemet inneholder mange opplysninger som omfattes av personvernforordningen artikkel 9.
Han uttaler:
«Dette er jo særlige kategorier personopplysninger. Slike opplysninger skal vel slettes når saken er avsluttet?»
Hva tenker Ole?
Ole kjenner hovedregelen i artikkel 9 om at behandling av særlige kategorier personopplysninger er forbudt, men er ikke kjent med unntakene.
Hva er det juridiske spørsmålet?
Kan et offentlig organ bevare opplysninger om helse, religion eller andre særlige kategorier personopplysninger når den opprinnelige saksbehandlingen er avsluttet?
Hvilket regelverk er aktuelt?
Både personvernforordningen og arkivregelverket.
Personvernforordningen inneholder flere unntak som gjør slik behandling lovlig. For arkivsektoren er særlig artikkel 9 nr. 2 bokstav j relevant, som åpner for behandling når dette er nødvendig for arkivformål i allmennhetens interesse, forskning eller statistiske formål.
Hva bør Ole gjøre?
Før han vurderer sletting må han undersøke:
- om dokumentasjonen skal forvaltes som arkiv,
- om dokumentasjonen er bevaringspliktig,
- om arkivformål i allmennhetens interesse er aktuelt.
Pedagogisk poeng
At en opplysning er sensitiv betyr ikke automatisk at den skal slettes.
Mange av de mest bevaringsverdige arkivene inneholder nettopp helseopplysninger, religiøse opplysninger eller andre særlige kategorier personopplysninger.
Situasjon
Sara oppdager at et offentlig arkiv inneholder opplysninger om henne som hun opplever som belastende.
Hun sender derfor en søknad til virksomheten:
«Jeg ber om at opplysningene om meg kasseres.»
I søknaden forklarer hun nærmere:
- hvilke opplysninger det gjelder,
- hvorfor de oppleves belastende,
- hvilke konsekvenser de har hatt for henne,
- og hvorfor hun mener de bør fjernes.
Hva tenker Sara?
Hun antar at søknaden vil redusere mengden personopplysninger om henne i det offentlige.
Hva er det juridiske spørsmålet?
For at virksomheten skal kunne behandle søknaden, må den registrere og dokumentere:
- hvem som søker,
- hvilke opplysninger søknaden gjelder,
- begrunnelsen for søknaden,
- vurderingene som gjøres under behandlingen.
Hvilket regelverk er aktuelt?
Arkivregelverket og personvernregelverket.
Hva skjer i praksis?
Selve søknaden og saksbehandlingen vil normalt generere nye dokumenter og nye personopplysninger.
Dette gjelder både dersom søknaden fører fram og dersom den avslås.
Hva bør Sara være oppmerksom på?
En søknad om sletting eller kassasjon vil ofte innebære at opplysningene beskrives og behandles på nytt som en del av saksbehandlingen.
Det betyr ikke nødvendigvis at mengden informasjon om personen øker på lang sikt, men det betyr at selve behandlingen av kravet også blir dokumentert.
Pedagogisk poeng
Når en person ber om sletting eller kassasjon av opplysninger, vil dette normalt skape nye saksdokumenter som beskriver de samme opplysningene. Saksbehandlingen må dokumenteres uavhengig av utfallet av saken.