Publisert: 16.04.2024
Les dommen av 7. mars 2024 (C-740/22) her
En viktig forutsetning for at muntlig deling av personopplysninger omfattes av personvernforordningen, er at det er tale om en behandling som faller innenfor forordningens saklige virkeområde etter artikkel 2 nr. 1. Det følger av denne bestemmelse at forordningen kun får anvendelse på «helt eller delvis automatisert behandling av personopplysninger» og på «ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register».
Muntlig deling av personopplysninger vil normalt være ikke-automatisert behandling. Det sentrale spørsmålet blir i så fall om det er tale om behandling av personopplysninger som inngår i eller skal inngå i et register.
Sakens faktum
Faktum i saken for EU-domstolen var kort fortalt at en privatperson deltok i en konkurranse organisert av et finsk film- og serieselskap (Endemol Shine Finland). Selskapet tok kontakt med en lokal domstol for å få informasjon om en mulig pågående eller sluttført straffesak mot denne privatpersonen. Domstolen avslo forespørselen med henvisning til personvernforordningen. Selskapet anket denne avgjørelsen, og anførte at en muntlig deling av disse opplysningene ikke ville utgjøre en «behandling» etter personvernforordningen.
Den finske ankedomstolen anmodet derfor EU-domstolen om en tolkningsuttalelse om tre spørsmål. Det første – og mest sentrale – var om muntlig deling av personopplysninger utgjør en behandling av personopplysning etter personvernforordningen artikkel 2 nr. 1 og artikkel 4 nr. 2.
EU-domstolens syn på muntlig deling
EU-domstolen slo fast at muntlig deling av personopplysninger klart omfattes av begrepet «behandling» i artikkel 4 nr. 2. EU-domstolen viste for det første til forordningens brede definisjon av begrepet, som viser til «enhver operasjon…» av «utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring». EU-domstolen påpekte videre at en annen forståelse av begrepet «behandling» ville gjort det mulig å omgå personvernforordningen gjennom muntlig deling, som ville vært klart i strid med forordningens formål om personvern.
Det sentrale spørsmålet var derfor om det var en behandling som falt innenfor forordningens saklige virkeområde etter artikkel 2 nr. 1. Denne bestemmelse fastslår som nevnt at forordningen kun får anvendelse på helt eller delvis automatisert behandling av personopplysninger, og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register.
I den konkrete saken antok EU-domstolen at domstolens personregister falt inn under begrepet «register» etter personvernforordningen, men det var opp til den nasjonale domstol å ta endelig stilling til dette. Det følger av dommen at begrepet «register» generelt skal tolkes vidt, i tråd med definisjonen på et register i artikkel 4 første ledd nr. 1.
EU-domstolens konklusjon var derfor at personvernforordningen gjelder for muntlig deling av personopplysninger, når opplysningene er eller vil inngå i et register.
Vi føyer til her at muntlig deling av personopplysninger naturligvis kan være fullt lovlig etter personvernforordningen. Konsekvensen av at personvernforordningen gjelder, er at delingen må skje i tråd med kravene og vilkårene i forordningen. Hvorvidt man kan foreta en lovlig muntlig eller skriftlig deling av personopplysninger, beror på forholdene i den enkelte sak.
EU-domstolens syn på forholdet til nasjonale innsynsregler
Den finske ankedomstolen spurte også EU-domstolen hvilken betydning personvernreglenes unntak for offentlig innsyn fikk i saken. Konkret var spørsmålet om allmennhetens innsyn i dokumenter kunne forenes med retten til personvern etter personvernforordningen i artikkel 86, gjennom en muntlig deling av personopplysninger av straffedommer på anmodning fra allmennheten.
Enkelt sagt gikk spørsmålet ut på om personvernforordningens unntak for allmennhetens innsyn i artikkel 86 kunne medføre at muntlig deling av opplysningene var tillatt. I dommen uttaler EU-domstolen seg derfor også om forholdet mellom offentlig innsyn og personvernreglene.
EU-domstolen gjentar tidligere rettspraksis for dette, som fastslår at retten til offentlig innsyn etter nasjonal rett må være forenlig med de grunnleggende rettigheter til respekt for privatlivet og beskyttelse av personopplysninger, slik personvernforordningen artikkel 86 uttrykkelig krever. EU-domstolen slo fast at på grunn av straffedommers særlige sensitivitet, og det alvorlige inngrepet i personvern slik deling utgjorde, måtte retten til personvern uansett gå foran hensynet til allmennhetens innsyn. Det var i denne sammenheng irrelevant om personen som ba om innsyn i straffedommer var et selskap eller en privatperson, og om delingen skjedde muntlig eller skriftlig.
EU-domstolens tolkning av forholdet mellom personvernforordningen og nasjonale regler om innsyn, betyr for norsk rett at i den utstrekning innsyn etter offentleglova ikke overholder grunnleggende rettigheter til respekt for privatlivet og beskyttelse av personopplysninger, så går retten til personvern foran. Dette er en konsekvens av at personvernforordningen i tilfelle konflikt har forrang overfor offentleglova og andre lover, jf. personopplysningsloven § 2 fjerde ledd og EØS-loven § 2.
