Personvernnemndas vedtak 16. juni 2020 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem, Ellen Økland Blinkenberg, Audhild Gregoriusdotter Rotevatn)
Saken gjelder klage fra A og B på Datatilsynets vedtak 20. desember 2019 der Datatilsynet blant annet avslo anmodningen om å få slettet personopplysninger i en barnevernssak i X kommune.
Sakens bakgrunn
Saken gjelder barneverntjenestens innhenting og utlevering av opplysninger i forbindelse med vedtak om å plassere klagernes barn midlertidig utenfor hjemmet etter barnevernloven § 4-6 første ledd. Saken gjelder videre spørsmål om sletting av de innhentede opplysningene i barneverntjenestens journal.
Etter bekymringsmelding fra barnehagen i desember 2018 åpnet barneverntjenesten undersøkelsessak i familien. I den forbindelse innhentet barneverntjenesten blant annet opplysninger om A fra DPS (distriktpsykiatrisk senter).
I januar 2019 traff barneverntjenesten akuttvedtak om å plassere barna i beredskapshjem innenfor foreldrenes familienettverk med foreldrenes samtykke. I vedtaket gjengis blant annet barnas beskrivelser av voldshendelser i hjemmet. Foreldrenes personnummer fremkommer også. Barneverntjenesten utleverte akuttvedtaket til beredskapshjemmet.
Foreldrene kontaktet Datatilsynet 28. april 2019 ogklaget på barneverntjenestens behandling av personopplysninger. Klagen gjaldt barneverntjenestens utlevering av akuttvedtaket inneholdende personopplysninger om dem til beredskapshjemmet, samt barneverntjenestens innhenting av helseopplysninger om A fra DPS. Foreldrene ba om at opplysningene i barnevernssaken ble slettet.
På Datatilsynets anmodning redegjorde kommunen 14. oktober 2019 for bakgrunnen for utleveringen av akuttvedtaket til beredskapshjemmet og for innhentingen av opplysninger fra DPS. I tillegg redegjorde kommunen for hvorfor de mener opplysningene i barnevernssaken ikke kan slettes.
Datatilsynet traff slikt vedtak 20. desember 2019:
«Datatilsynet har kommet til at X kommune ikke hadde rettslig grunnlag etter personvernforordningen artikkel 6 nr. 1, jf. personopplysningsloven § 12, til å utlevere mors personnummer til beredskapshjemmet.
Klagerne har ikke rett etter personvernforordningen artikkel 17 til å få slettet opplysningene fra DPS.
Etter Datatilsynets vurdering er ikke saken så alvorlig at vi har funnet grunnlag for å utstede irettesettelse eller andre sanksjoner etter personvernforordningen artikkel 58. I vurderingen har vi vektlagt at X kommune har erkjent at personnummeret ikke skulle ha vært utlevert.»
I tillegg til å bringe saken inn for Datatilsynet klaget foreldrene barneverntjenesten inn for Fylkesmannen, som åpnet tilsynssak. Fylkesmannen avsluttet saken i februar 2020. Foreldrene klaget også til Sivilombudsmannen.
Foreldrene framsatte rettidig klage på Datatilsynets vedtak 29. desember 2019. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 24. januar 2020. I e-post til nemnda 6. februar 2020 opplyste foreldrene at saken var til behandling i andre instanser og trakk klagen på Datatilsynets vedtak. Nemnda avsluttet derfor behandlingen av saken i brev til partene 7. februar 2020.
I e-post til nemnda 24. april 2020 ba foreldrene om at nemnda likevel behandlet klagen på tilsynets vedtak ettersom Sivilombudsmannen ikke ville behandle saken før klagemulighetene i forvaltningen var uttømt.
Nemnda besluttet i brev 8. mai 2020 å ta klagen til behandling selv om klagefristen nå var utløpt, jf. forvaltningsloven § 31. Nemnda fant at det det forelå særlige grunner til å prøve klagen og la særlig vekt på at saken gjelder en privat parts krav mot en offentlig myndighet og at det anses viktig at private parter får sine rettigheter overfor offentlige myndigheter prøvd. Nemndas behandling av klagen ville ikke medføre skade eller ulempe for andre private parter. Partene fikk i samme brev anledning til å gi ytterligere kommentarer. Foreldrene har gitt kommentarer i brev 14. mai 2020. Kommunen har ikke gitt ytterligere kommentarer.
Saken ble behandlet i nemndas møte 16. juni 2020. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Audhild Gregoriusdotter Rotevatn. Sekretariatsleder Anette Klem Funderud var også tilstede.
Kommunens anførsler i korte trekk
Utlevering av vedtak om midlertidig plassering av barn utenfor hjemmet
Samtlige opplysninger i vedtaket var relevante for beredskapshjemmets ivaretakelse av barnas omsorgsbehov.
Det følger av barne- og familiedepartementets rundskriv Q-24 fra mars 2005 punkt 6.2.2 at barneverntjenesten, uten hinder av taushetsplikt, kan gi de opplysninger som etter barneverntjenestens skjønn er nødvendige for at fosterforeldrene skal kunne dra omsorg for barnet på en god måte.
Vedtaket omhandler i hovedsak opplysninger fra barnesamtalene som fant sted i forbindelse med akuttplasseringen og som barneverntjenesten vurderte at det var hensiktsmessig å gi beredskapshjemmet informasjon om slik at det var forberedt på barnas opplevelser og kunne ivareta barna på best mulig måte. Vedtaket inneholdt ikke direkte opplysninger om As/Bs helse eller sensitive opplysninger. Opplysningene i vedtaket er de samme som foreldrene hadde samtykket til at skulle bli gitt til beredskapshjemmet, bare i mer spesifikk og ordrett form knyttet til barnas uttalelser.
Barneverntjenesten er enig i at det var feil å utlevere As personnummer til beredskapshjemmet. Det skulle vært slettet før vedtaket ble utlevert. Fosterforeldre er imidlertid omfattet av taushetsplikten etter barnevernloven.
Innhenting av opplysninger fra DPS
Barneverntjenesten må ikke ha parters samtykke for å innhente opplysninger dersom opplysningene anses nødvendige for å belyse saken, jf. barnevernloven § 4-3.
Behandlingsinstanser har opplysningsplikt til barneverntjenesten i undersøkelsessaker der det er fare for at barn tar vesentlig skade, jf. ovennevnte rundskriv Q-24 kapittel 8.2. Barneverntjenesten vurderte at det forelå slik opplysningsplikt for DPS ettersom barna i flere barnesamtaler hadde opplyst at de ble utsatt for vold i hjemmet.
Det er ikke riktig at barneverntjenesten besitter hele As journal, men det foreligger en epikrise hvor de forhold som barneverntjenesten har ønsket belyst fremkommer. Hensikten med innhentingen av opplysningene var å påse at A fulgte opp sin psykiske helse på forsvarlig og adekvat måte og at hennes psykiske helsetilstand ikke ble vurdert til å påvirke hennes omsorgsutøvelse på en negativ måte. Den innhentede dokumentasjonen bekreftet dette.
Kravet om sletting av opplysninger
Opplysninger i barnevernssaken kan ikke slettes. Opplysningene ble innhentet i forbindelse med en undersøkelse, jf. barnevernloven § 4-3, og er nødvendige for formålet de ble innhentet for. Barneverntjenesten oppbevarer dokumenter etter forvaltningsloven § 13 c annet ledd. At foreldrene er uenige i hva som vurderes som relevante opplysninger i en barnevernssak gir ikke grunnlag for å slette opplysningene.
Foreldrenes anførsler i korte trekk
Klagen gjelder en rekke forhold knyttet til barneverntjenestens saksbehandling som ikke gjengis her. Disse forholdene hører inn under Fylkesmannens behandling av saken. I det følgende gjengis i korte trekk foreldrenes anførsler knyttet til barneverntjenestens behandling av personopplysninger etter personopplysningsloven.
Samtlige dokumenter i barnevernssaken skal slettes. Dokumentene inneholder usaklige, unødvendige og ulovlig innhentede opplysninger.
Barneverntjenesten sendte vedtaket om akuttplassering til beredskapshjemmet uten samtykke fra foreldrene. Deres samtykke omfattet kun informasjon til beredskapshjemmet med tanke på videre samarbeid, ikke utlevering av selve vedtaket med personnummer og andre personlige opplysninger. Hvilken hjemmel gir barneverntjenesten rett til å videresende et vedtak med anklager, personnummer, personlige forhold, feil fakta og fortellinger som vil skade barna deres til tredje part uten samtykke fra dem?
Barneverntjenesten innhentet As journal fra DPS selv om A ikke hadde samtykket til dette. Hvilke konkrete forhold la barnevernet til grunn for å innhente As komplette epikrise og journal fra DPS og hvilken hjemmel og vilkår gir barneverntjenesten en slik rett? Barneverntjenesten kan ikke ha rett til å innhente hva de vil om dem, skrive hva de vil og lagre disse opplysningene i sine arkiv. DPS-rapporten A fikk kopi av fra barneverntjenesten er hele hennes journal. Flere opplysninger i journalen er feil og usaklige.
Datatilsynets vurdering
Utlevering av vedtak om midlertidig plassering av barn utenfor hjemmet
Barneverntjenesten kan, etter forvaltningsloven § 13 b nr. 2, utlevere nødvendige opplysninger til fosterforeldre uavhengig av partenes samtykke. Vurderingen barneverntjenesten gjorde knyttet til utleveringen av opplysninger omfattes av begrepet utøvelse av offentlig myndighet i personvernforordningen artikkel 6 nr. 1 bokstav e. Datatilsynet kan vanskelig overprøve barneverntjenestens skjønn når det gjelder hvilke opplysninger som var nødvendige for at fosterforeldrene kunne yte god omsorg til barna. Tilsynet legger derfor til grunn at utleveringen av opplysninger om barnas utsagn var lovlig.
Når det gjelder utlevering av As personnummer, legger Datatilsynet til grunn at personnummeret ikke var en nødvendig opplysning for beredskapshjemmet som falt inn under unntaket fra taushetsplikten i forvaltningsloven §13 b første ledd nr. 2. Det forelå da ingen saklig grunn for utlevering slik personopplysningsloven § 12 krever.
As samtykke omfattet ikke utlevering av hennes personnummer til beredskapshjemmet og denne opplysningen kunne derfor heller ikke utleveres med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav a. I vurderingen av lovligheten av utleveringen er det ikke relevant at beredskapshjemmet/fosterforeldrene har taushetsplikt, selv om taushetsplikten kan begrense konsekvensene av en urettmessig utlevering for den registrerte.
Kommunen hadde ikke rettslig grunnlag i personvernforordningen artikkel 6 nr. 1, jf. personopplysningsloven § 12, for å utlevere As personnummer til beredskapshjemmet.
Innhenting av As journal fra DPS
Spørsmålet er om kommunen har opptrådt lovstridig ved å be om opplysninger om As helse fra DPS. Det er i utgangspunktet DPS sitt ansvar å passe på at deres utlevering av opplysninger til barneverntjenesten har rettslig grunnlag. Tilsynet vil likevel påpeke at utlevering av opplysninger i tråd med lovpålagt opplysningsplikt vanligvis vil være nødvendig for å oppfylle en rettslig forpliktelse, jf. personvernforordningen artikkel 6 nr. 1 bokstav c.
Kommunen anså opplysningene om As psykiske helse som nødvendige for saken. Datatilsynet legger til grunn at innhentingen og den videre behandlingen av opplysningene er omfattet av personvernforordningen artikkel 6 nr. 1 bokstav e om utøvelse av offentlig myndighet. Kommunens vurdering av at dette var nødvendige opplysninger for saken er en skjønnsvurdering som Datatilsynet vanskelig kan overprøve.
Tilsynet kan ikke se at X kommune har handlet i strid med personvernregelverket ved å innhente opplysninger om As psykiske helse fra DPS.
Krav om sletting av personopplysninger i barnevernssaken
Dersom den registrerte ønsker opplysninger slettet har virksomheten plikt til å slette opplysningene med mindre virksomheten kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav, jf. personvernforordningen artikkel 17, 21 og 6.
Ifølge personvernforordningen artikkel 17 nr. 3 bokstav d er den registrertes rett til sletting underlagt noen begrensninger av hensyn til arkivformål, såfremt opplysningene er «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for», jf. prinsippet om dataminimering i personvernforordningen artikkel 5 nr. 1 bokstav c.
Tilsynet kan ikke se at barneverntjenesten har flere opplysninger enn det som er nødvendig. Kommunen har gitt en faglig begrunnelse for hvorfor opplysningene om As psykiske helse er relevante for barnevernssaken. Kommunen har en arkivplikt etter arkivloven og Datatilsynet er varsom med å overprøve kommunens barnevernfaglige skjønnsvurdering av hva som er nødvendige opplysninger som bør bevares for ettertiden.
Tilsynet mener at kommunens arkivplikt er en tvingende berettiget grunn for behandlingen som går foran klagernes rett til sletting, jf. personvernforordningen artikkel 21. Dette gjelder selv om behandlingen av opplysningene oppleves som en belastning for klager, jf. Personvernnemndas sak PVN-2018-02, der nemnda kom til at hensynet til barneverntjenestens behov for dokumentasjon måtte veie tyngre enn belastningen behandlingen av opplysningene utgjorde for klager.
Den aktuelle klagen fra foreldrene medfører at også deres syn på behandlingen av opplysningene i barnevernssaken er dokumentert for ettertiden. På denne bakgrunn har Datatilsynet kommet til at klagerne ikke kan kreve sletting av opplysningene etter personvernforordningen artikkel 17.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om barneverntjenestens behandling av personopplysninger i dette tilfellet har vært i overensstemmelse med personopplysningslovens bestemmelser. Dette gjelder for det første barneverntjenestens utlevering av personopplysninger da de ga beredskapshjemmet kopi av akuttvedtaket om plassering av barna utenfor hjemmet. For det andre gjelder det barneverntjenestens innhenting av personopplysninger om A fra DPS i forbindelse med barneverntjenestens undersøkelser av omsorgssituasjonen for hennes barn, og til sist gjelder det spørsmålet om foreldrene kan kreve disse opplysningene slettet fra barneverntjenestens arkiv.
Utlevering av vedtak om midlertidig plassering av barn utenfor hjemmet
Utlevering av barneverntjenestens vedtak om midlertidig plassering av barn utenfor hjemmet representerer en behandling av personopplysninger som, for å være lovlig, må ha behandlingsgrunnlag i et av alternativene i personvernforordningen artikkel 6. I og med at det i vedtaket framkommer beskrivelser av foreldrenes utøvelse av vold mot barna vil utleveringen være ulovlig etter personvernforordningen artikkel 10, med mindre behandlingen er tillatt i henhold til unionsretten eller nasjonal rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter.
Personvernnemnda er enig med Datatilsynet i at det aktuelle behandlingsgrunnlaget for barneverntjenestens behandling av personopplysninger i dette tilfellet finnes i artikkel 6 nr. 1 bokstav e (nødvendig for å utøve offentlig myndighet). Det følger av artikkel 6 nr. 3 bokstav b at grunnlaget for behandlingen da skal være hjemlet i nasjonal rett. Det gjelder også for opplysninger omfattet av artikkel 10 at behandlingen må være tillatt etter nasjonal rett, jf. ovenfor.
Barnevernets oppgaver og plikter reguleres av flere lover, men de mest sentrale bestemmelsene er gitt i barnevernloven og forvaltningsloven. Barnevernets primære oppgave er å sikre at barn og unge som lever under forhold som kan skade deres helse og utvikling, får nødvendig hjelp og omsorg til rett tid, jf. barnevernloven § 1-1. For å kunne utføre denne oppgaven på en best mulig måte er barnevernet på den ene siden avhengig av å kunne innhente, motta og videreformidle opplysninger. På den andre siden er opplysninger i barnevernssaker ofte av personlig og sensitiv karakter. De ulike bestemmelsene om taushetsplikt, opplysningsrett og opplysningsplikt som gjelder for barnevernet bidrar til å sikre at disse til dels motstridende hensynene blir avveid og ivaretatt.
I utgangspunktet er barneverntjenesten underlagt taushetsplikt om alle personlige forhold etter barnevernloven § 6-7, jf. forvaltningsloven § 13. Taushetsplikten er imidlertid ikke til hinder for at barneverntjenesten bruker (herunder utleverer) opplysninger for å oppnå det formål de er gitt eller innhentet for, jf. forvaltningsloven § 13 b første ledd nr. 2. Dette åpner for at barneverntjenesten kan gi nødvendig informasjon til beredskapshjem og fosterhjem slik at de best mulig kan ivareta barnets interesser, se barne- og familiedepartementets rundskriv Q-2005-24 punkt 6.1.4 og punkt 6.2.2.
Kommunen har redegjort for at alle opplysningene som framkom i akuttvedtaket (med unntak av personnummeret) var relevante for å gi beredskapshjemmet nødvendig informasjon slik at de kunne gi barna god og adekvat omsorg etter akuttplasseringen. Personvernnemnda deler Datatilsynets vurdering av at personvernmyndighetene ikke er rette myndighet til å overprøve kommunens konkrete vurdering av hvilke opplysninger det var nødvendig for beredskapshjemmet å få. Nemnda er etter dette enig med Datatilsynet i at barneverntjenesten hadde behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e, sammenholdt med barnevernloven og forvaltningslovens regler om taushetsplikt, opplysningsplikt og opplysningsrett, til å utlevere opplysningene om barnas utsagn, også uten foreldrenes samtykke.
Når det gjelder utleveringen av As personnummer har Datatilsynet konkludert med at det ikke forelå saklig grunn til å utlevere dette, jf. personopplysningsloven § 12, og at utlevering av personnummeret manglet behandlingsgrunnlag. Kommunen har ikke bestridt dette. Datatilsynet har videre konkludert med at dette bruddet på personopplysningsloven ikke er så alvorlig at tilsynet har funnet det nødvendig å gi pålegg eller andre sanksjoner etter personvernforordningen artikkel 58. Nemnda legger til grunn at Datatilsynets avgjørelse om ikke å gi noe pålegg eller ilegge noen sanksjon for dette konstaterte bruddet på personopplysningsloven, ikke er en avgjørelse som retter seg mot klagerne i denne saken og heller ikke er bestemmende for deres rettigheter og plikter, jf. forvaltningsloven § 2 første ledd bokstav a, eller en avgjørelse som «retter seg mot» A og B, jf. § 2 første ledd bokstav e. Denne delen av Datatilsynets vedtak er derfor ikke et enkeltvedtak som kan påklages, jf. PVN-2020-07.
Innhenting av opplysninger fra DPS
Barneverntjenestens innsamling av personopplysninger fra DPS representerer en behandling av personopplysninger som, for å være lovlig, må ha behandlingsgrunnlag i et av alternativene i personvernforordningen artikkel 6. I og med at det dreier seg om helseopplysninger må innsamlingen i tillegg ha behandlingsgrunnlag i et av alternativene i personvernforordningen artikkel 9. Foreldrene har opplyst at de ikke har samtykket til innhenting av slik informasjon og behandlingsgrunnlag må derfor finnes i et av de øvrige alternativene.
Personvernnemnda er enig med Datatilsynet i at det aktuelle behandlingsgrunnlaget for barneverntjenestens behandling av personopplysninger også i dette tilfellet finnes i artikkel 6 nr. 1 bokstav e (nødvendig for å utøve offentlig myndighet). Det følger da av artikkel 6 nr. 3 bokstav b at grunnlaget for behandlingen skal være hjemlet i nasjonal rett. Videre legger nemnda til grunn at det aktuelle supplerende rettsgrunnlaget for helseopplysninger finnes i artikkel 9 nr. 2 bokstav b. Også dette behandlingsgrunnlaget forutsetter at nasjonal rett tillater behandlingen og gir nødvendige garantier for den registrertes grunnleggende rettigheter og interesser.
Som påpekt ovenfor er barnevernets primære oppgave er å sikre at barn og unge som lever under forhold som kan skade deres helse og utvikling, får nødvendig hjelp og omsorg til rett tid, jf. barnevernloven § 1-1. For å kunne utføre denne oppgaven på en best mulig måte er barnevernet på den ene siden avhengig av å kunne innhente og motta mange sensitive opplysninger. Helseopplysninger på den annen side, er underlagt taushetsplikt, og det kreves hjemmel i lov for å innhente dette fra helsepersonell uten den registrertes samtykke.
Det følger av barnevernloven § 4-3 at barneverntjenesten snarest skal foreta undersøkelser dersom det er rimelig grunn til å anta at det foreligger forhold som kan gi grunnlag for tiltak etter lovens kapittel 4. Videre følger det av barnevernloven § 6-4 at blant annet enhver som tjenestegjør for et forvaltningsorgan, samt yrkesutøvere som opptrer i medhold av helsepersonelloven, psykisk helsevernlov, helse- og omsorgstjenesteloven m.m. kan pålegges å gi opplysninger til barneverntjenesten uavhengig av taushetsplikten. Det følger av barne- og familiedepartementets rundskriv Q-2005-24 punkt 8.2 at det foreligger opplysningsplikt blant annet «når det er grunn til å tro at et barn blir mishandlet i hjemmet». I dette tilfellet forelå det beskrivelser fra barna om voldsutøvelse i hjemmet og opplysningsplikten slår da igjennom og gir barneverntjenesten anledning til å innhente opplysninger, også uten foreldrenes samtykke.
Personvernnemnda har ingen forutsetninger for, og skal heller ikke, foreta en vurdering av om barnevernets undersøkelse i det konkrete tilfelle var forsvarlig, herunder om opplysningene som forelå var tilstrekkelige sett hen til lovens krav «grunn til å tro». Dette vil eventuelt utgjøre en del av den vurderingen Fylkesmannen vil gjøre som tilsynsmyndighet for kommunens oppfyllelse av plikter etter barnevernloven, jf. barnevernloven § 2-3b.
Nemnda legger etter dette til grunn at barneverntjenesten hadde behandlingsgrunnlag for sin innhenting av helseopplysninger om A fra DPS, jf. personvernforordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav b, jf. barnevernloven § 4-3 og § 6-4.
Krav om sletting av personopplysninger i barnevernssaken
Når det gjelder A og Bs krav om å slette samtlige dokumenter i barnevernssaken, tar nemnda utgangspunkt i personvernforordningen artikkel 17 som regulerer retten til sletting. I artikkel 17 nr. 1 listes det opp hjemler for å pålegge sletting. Artikkel 17 nr. 3 åpner imidlertid for flere unntak fra retten til sletting. De relevante unntakene fra sletteplikt i denne saken følger av artikkel 17 nr. 3 bokstav b og d. De lyder slik:
«Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig
[…]
b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
[…]
d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Nemnda legger til grunn at formålet med innsamling av personopplysningene opprinnelig var knyttet til barneverntjenestens igangsatte undersøkelse og arbeid etter barnevernloven. Slik nemnda forstår saksopplysningene har barneverntjenesten nå avsluttet saken vedrørende klagerne og deres barn. Formålet med fortsatt oppbevaring av opplysningene vil da være begrunnet i arkivformål i allmennhetens interesse i tråd med bestemmelsene om arkivverdig materiale i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med arkivlova er ifølge loven § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift (forskrift 19. desember 2017 nr. 2286) § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
I forskriftens del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23 og i forskriften § 7-28 (9). I § 7-28 (9) bokstav d er det bestemt at «saker knyttet til særlige tiltak i henhold til barnevernsloven, inkludert undersøkelser av bekymringsmeldinger, utredninger, saksbehandling, tiltak og oppfølging av tiltak» skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon. Kommunen kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen § 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav d, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).
Det påligger den behandlingsansvarlige å sørge for at personopplysninger er «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for ("dataminimering")», jf. personvernforordningen artikkel 5 nr. 1 bokstav c. Det framgår av kommunens redegjørelse at det er foretatt en vurdering av opplysningene i barnevernssaken og at kommunen anser det nødvendig å oppbevare alle opplysningene også for ettertiden. Det er ingen holdepunkter for at ikke kommunen har foretatt en forsvarlig vurdering av dette.
A og B får ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 16. juni 2020
Mari Bø Haugstad
Leder