Hvordan balansere ytringsfriheten mot retten til personvern?

GDPR og EMK

Personvernforordningen (GDPR) og personopplysningsloven beskytter enkeltindividers personvern og oppstiller regler for hvordan personopplysninger skal behandles.

De strenge reglene kan ofte komme i konflikt med andre viktige rettigheter. Et eksempel på dette er ytringsfriheten som er beskyttet gjennom den Europeiske menneskerettskonvensjon (EMK) artikkel 10 og Grunnloven § 100.

Konflikt mellom to rettigheter

Spennet mellom personvern og ytringsfriheten blir særlig tydelig i kreativ og samfunnskritisk virksomhet, som journalistiske publikasjoner og film- og TV-produksjon. Her er ytringsfriheten sentral samtidig som det er nødvendig med behandling av personopplysninger.

Hvordan kan en nettavis intervjue privatpersoner og publisere en samfunnskritisk sak når personvernreglene bestemmer at det ikke er lov å behandle personopplysninger uten et lovlig grunnlag? Hvordan kan det produseres film og TV produksjon når personvernreglene begrenser hvor lenge personopplysninger kan lagres?

Personopplysningsloven § 3 oppstiller derfor unntak fra regelverket så lenge behandlingen av personopplysninger er nødvendig for utøvelsen av retten til ytrings- og informasjonsfriheten. Men når og hvordan blir dette unntaket praktisert?

Unntaket i personopplysningsloven § 3

Personopplysningsloven § 3 bestemmer at flere av reglene i GDPR og personopplysningsloven ikke kommer til anvendelse dersom personopplysninger behandles for formål som er journalistiske, akademiske, kunstneriske eller litterære.

Det er ikke helt avklart hvordan innholdet i begrepene skal forstås, men i kjernen av begrepene ligger at individets rett til personvern ikke skal gå på bekostning av samfunnets behov for å fremme ytringsfrihet, kunnskapsutveksling, meninger og ideer. Fortalen til GDPR og praksis fra EU angir noen rammer for det nærmere innholdet i begrepene.

Begrepene journalistiske, akademiske, kunstneriske og litterære formål

Personopplysninger behandles for journalistiske formål når publiseringen har som mål å informere, engasjere og opplyse offentligheten om ulike temaer, typisk gjennom en artikkel eller reportasje.

Begrepet er ikke forbeholdt tradisjonelle medier som aviser, radio og TV, men også andre. For eksempel kan podkastere eller youtubere som publiserer synspunkter eller ideer, sies å behandle personopplysninger for journalistiske formål.

Akademiske formål er behandling av personopplysninger som er nødvendig for akademiske tidsskrifter, undervisning eller publikasjoner. Dette er for eksempel innsamling og deling av personopplysninger gjennom en forelesning eller en vitenskapelig artikkel.  

Det finnes lite juridisk veiledning knyttet til hva som menes med kunstneriske formål. Begrepet kan brukes for å beskrive behandling av personopplysninger for å skape, uttrykke eller formidle kunst. Det å lage et maleri, komponere en sang eller lage en film om en person er eksempler på hva som kan ligge i begrepet.

Behandling av personopplysninger knyttet til litterære formål beskriver personopplysninger som brukes for å skape, uttrykke eller formidle litteratur. Dette kan være en roman, artikkel eller til og med en vits.

Nødvendighetsvurdering i personopplysningsloven § 3

Selv om det kan konstateres at personopplysninger skal behandles for enten journalistiske, akademiske, kunstneriske eller litterære formål, er ikke dette nok for at man er fritatt kravene i GDPR. Personopplysningsloven § 3 krever i tillegg at det foretas en nødvendighetsvurdering der ytringsfriheten balanseres mot retten til personvern.

Det sentrale spørsmålet som må besvares, er om det skal gjøres unntak fra GDPR i den konkrete situasjonen for å beskytte retten til ytringsfriheten, og om det er nødvendig å inkludere personopplysninger for å oppnå det journalistiske, akademiske, kunstneriske eller litterære formålet.

Momenter det skal legges vekt på i nødvendighetsvurderingen

Nødvendighetsvurderingen skal sikre at ytringsfriheten og personvernet balanseres. Personopplysningsloven § 3 lister opp eksempler på momenter som skal tas i betraktning.

Det skal legges vekt på om samfunnsinteresser tilsier at personopplysningene kan publiseres. Behandlingen av personopplysninger kan for eksempel gå i favør ytringsfriheten dersom det publiseres personopplysninger om identifiserbare personer for å kaste lys over korrupsjonsanklager knyttet til politiske eller andre offentlige personer.  

Vurderingen kan gå i favør personvernet dersom personene som identifiseres, utsettes for unødvendig risiko eller skade, siden et moment som skal vektlegges er hvilke konsekvenser behandlingen vil ha for den som berøres. Dersom behandlingen er inngripende for den det publiseres personopplysninger om, bør vedkommendes interesses sikres gjennom reglene i GDPR.

Det er også relevant å se på hvilke negative konsekvenser reglene i GDPR kan få for utøvelsen av ytringsfriheten i den konkrete situasjonen. Muligheten for sanksjoner som følge av brudd på GDPR, kan for eksempel føre til redusert journalistisk frihet.

Begrenset spredning av informasjon og meninger kan derfor begrense ytringsfriheten. Det er derfor viktig å se overordnet på den konkrete publiseringen, og avveie fordeler og ulemper med å spre personopplysninger fra både et samfunnsmessig og individuelt perspektiv.

Det kan også være relevant å se på andre momenter, som for eksempel om personopplysningene er offentlig tilgjengelig eller om personopplysningene knytter seg til personlige forhold. Ved å ta hensyn til disse momentene i nødvendighetsvurderingen, kan det oppnås en balanse mellom publisering av personopplysninger samtidig som individers personvern ivaretas.

Konsekvenser av at unntaket gjelder

Dersom det etter nødvendighetsvurderingen kan konstateres at unntaket knyttet til behandling av personopplysninger for journalistiske, akademiske, kunstneriske eller litterære formål gjelder, slipper man å følge flere av reglene i GDPR.

Det vil for eksempel ikke være krav til et behandlingsgrunnlag, og man trenger derfor heller ikke be om samtykke eller inngå en avtale med den det publiseres personopplysninger om. I tillegg vil informasjonsplikten og plikten til å oppfylle rettighetene til de det behandles personopplysninger om begrenses.

Det er imidlertid noen krav i GDPR som uansett alltid vil komme til anvendelse. Det må inngås avtaler med databehandlere, det er fortsatt strenge krav knyttet til sikkerheten for personopplysningene som publiseres, og det kan gis overtredelsesgebyr dersom disse reglene brytes.

Er du usikker på om virksomheten er delvis unntatt reglene i GDPR bør du søke juridiske råd. Ta gjerne kontakt med oss i Ræder Bing for en uforpliktende samtale!