Personvernnemndas vedtak 2. februar 2021 (Mari Bø Haugstad, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets vedtak 18. februar 2020 om at innhenting og publisering av kredittopplysninger om ham i en avisartikkel i Bergens Tidende sommeren 2019 er gjort utelukkende for journalistiske formål og dermed ikke er i strid med personopplysningsloven, jf. personopplysningsloven § 3.
Sakens bakgrunn
Bergens Tidende publiserte sommeren 2019 en artikkel om at eiendomsinvestor A var begjært konkurs av skatteetaten og at årsaken var utbetalte skattekrav. Det framkommer i artikkelen at A har flere betalingsanmerkninger og utleggsforretninger og at opplysningene er hentet fra et kredittopplysningsselskap. Artikkelen ble publisert både i avisens papir- og nettutgave.
A mener Bergens Tidende ulovlig har hentet ut kredittopplysninger om ham og at avisen mot bedre vitende har publisert uriktige opplysninger. Bergens Tidende bestrider dette og viser til at å hente ut kredittopplysninger er en ordinær journalistisk metode i norske redaksjoner og at opplysningene hadde offentlig interesse. Avisen har i ettertid avdekket feil i de publiserte opplysningene og har rettet dette på nettsiden.
A klaget Bergens Tidende og deres innhenting og publisering av kredittopplysninger om ham inn for Datatilsynet i brev 9. august 2019. I vedtak 18. februar 2020 konkluderte Datatilsynet med at avisens innhenting og publisering av As kredittopplysninger er gjort utelukkende for journalistiske formål og er omfattet av unntaket i personopplysningsloven § 3.
A brakte også saken inn for Pressens faglige utvalg (PFU) som 26. februar 2020 konkluderte med at Bergens Tidende opptrådte kritikkverdig med manglende kvalitetssikring av opplysningene, jf. punkt 3.2 i Vær Varsom-plakaten. PFUs vurdering for øvrig var at As økonomiske situasjon hadde offentlig interesse og at Bergens Tidende hadde saklig grunn til å innhente og publisere kredittopplysningene.
A framsatte rettidig klage på Datatilsynets vedtak 10. mars 2020. Datatilsynet varslet Bergens Tidende om klagen, og avisen sendte sine merknader i brev 27. april 2020. Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 15. oktober 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A innga kommentarer i brev til nemnda 2. november 2020.
Saken ble behandlet i nemndas møte 2. februar 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vurdering i hovedtrekk
Datatilsynet tar utgangspunkt i personopplysningsloven § 3 som gjør unntak for store deler av personopplysningslovens regler dersom behandlingen av personopplysninger skjer utelukkende for journalistiske formål.
Datatilsynet vurderer først om Bergens Tidendes innhenting av kredittopplysninger om A er gjort utelukkende for journalistiske formål. Tilsynet viser til en lignende sak i Personvernnemnda (PVN-2010-1) hvor nemnda konkluderte med at Mastiff TVs innhenting av kredittopplysninger om en person som research til TV-programmet TV2 hjelper deg, var en behandling av personopplysninger som skjedde utelukkende for journalistiske formål. Tilsvarende gjelder etter tilsynets vurdering i denne saken. Nemndas vedtak fra 2010 gjaldt rettstilstanden etter personopplysningsloven 2000, men tilsynet påpeker at anvendelsesområdet for «journalistiske formål» er det samme etter personopplysningsloven 2018 som etter tidligere lov, jf. Prop. 56 LS (2017-2018), kapittel 38.1, første avsnitt.
Deretter vurderer Datatilsynet om Bergens Tidendes publisering av kredittopplysningene om A også er gjort utelukkende for journalistiske formål og også omfattet av unntaket i § 3.
Ved vurderingen av om opplysningene er publisert for journalistiske formål, påpeker Datatilsynet at tilsynet vurderer hvorvidt opplysningene bidrar til debatt eller formidler aktuell informasjon av generell samfunnsmessig interesse og er kommunisert i et journalistisk øyemed. Videre er det av relevans i hvilken grad den omtalte er allmenn kjent, innholdet, formen og konsekvensene av de offentliggjorte opplysningene, og omstendighetene rundt hvordan opplysningene ble fremskaffet og sannferdigheten av disse.
Datatilsynet tar utgangspunkt i at publikasjoner fra Bergens Tidende anses som journalistisk virksomhet. Tilsynet foretar deretter en vurdering av artikkelens innhold og påpeker at innholdet, hvor personen som omtales er en forretningsperson med eierskap til flere viktige eiendommer i Bergen, må anses å ha en viss rolle i det offentlige liv. Dette trekker etter tilsynets vurdering i retning av at opplysningene har allmenn interesse. Tilsynet påpeker at artikkelen kommer med aktuell informasjon knyttet til en tvist om et viktig bygg i Bergen sentrum, og bidrar til debatt. Tilsynet vurderer dette som kjerneområdet for hva som anses som journalistisk formål.
Til As anførsel om at opplysningene i artikkelen er beviselig uriktige, viser tilsynet til PVN-2018-18 der nemnda uttalte at det ikke stilles krav til selve kvaliteten på det journalistiske arbeidet. Det avgjørende er behandlingens art og formål.
Datatilsynet konkluderer med at avisens innhenting og publisering av kredittopplysninger om A utelukkende skjedde for journalistiske formål og dermed er omfattet av unntaket i personopplysningsloven § 3.
Etter å ha mottatt klagen fra A, foretar Datatilsynet en ny vurdering av saken basert på de anførslene som framkommer i klagen, særlig anførselen om at man ved anvendelsen av § 3 må foreta en avveining av de to rettighetene personvern og ytringsfrihet mot hverandre, gjennom en proporsjonalitetsvurdering.
Datatilsynet foretar en gjennomgang av ulike rettskilder, og opprettholder deretter sin vurdering om at både innhenting og publisering av kredittopplysningene om A skjedde utelukkende for journalistiske formål og er omfattet av unntaket i personopplysningsloven § 3.
As syn på saken i korte trekk
Bergens Tidendes behandling av hans personopplysninger er ikke omfattet av journalistunntaket i personopplysningsloven § 3. EU-rettslige kilder viser at der nasjonal lovgivning gjør unntak fra reglene i personvernforordningen for journalistiske formål, må det foretas en avveining mellom behovet for ytringsfrihet og personvernet til den eller de som får personopplysninger publisert i media. Offentliggjøring i medier utgjør et stort inngrep i personvernet.
Datatilsynet mener det ikke er anledning til å rette seg etter EU-retten i denne saken, fordi personopplysningslovens forarbeider, Prop. 56 LS (2017-2018) side 104 legger opp til en annen vurdering. En slik forståelse av personopplysningsloven § 3 strider mot EU-retten og personvernforordningen, og er et brudd på personopplysningsloven § 1 og Norges folkerettslige forpliktelser gjennom inkorporering av personvernforordningen. Det er ikke grunnlag for å legge avgjørende vekt på nevnte forarbeider. Ordlyden i § 3 bør tolkes i tråd med den EU-rettslige forståelsen der begrepet «utelukkende for journalistiske formål» vurderes opp mot personvernet til den registrerte i den konkrete saken. EMD uttalte i sak 931/13, at ytringsfriheten må vurderes opp mot retten til privatliv. EMD la til grunn at det skal legges vekt på personvernet i tolkningen av journalistunntaket, jf. avsnitt 198.
I vurderingen av journalistunntaket må det stilles krav til journalistikkens innhold. Mediehus har ikke fri adgang til å publisere uriktige personopplysninger. Bergens Tidende publiserte med vitende og vilje feilaktige kredittopplysninger. Personvernnemndas avgjørelse i PVN-2010-01 har begrenset rettskildemessig vekt, ettersom den saken kun gjaldt innhenting, og ikke publisering av kredittopplysninger.
Det blir for enkelt når Datatilsynet ikke oppstiller noe som helst krav til journalistikkens innhold, såfremt formålet til Bergens Tidende var journalistisk. Personopplysningsloven § 3 må innebære et visst minimumskrav til personvern, slik at mediehus ikke får fri adgang til å publisere personopplysninger de vet er uriktige.
Kredittopplysninger er kun relevante etter sitt formål når den registrerte foretar en handling som utløser en kredittsøknad. Det foreligger ikke noe kredittforhold mellom A og Bergens Tidende. Utover disse tilfellene har ikke den registrerte kontroll over hvilke opplysninger som danner grunnlaget for kredittopplysningene, noe som medfører økt risiko for at kredittopplysningene er uriktige. Det er i disse tilfellene den registrerte har behov for personvern, i motsetning til skattemeldingene i EMD-dommen (931/13), der de registrerte hadde en sterk kontradiksjonsrett om opplysningenes korrekthet.
Avisens behandling av kredittopplysninger om A er underlagt reglene i personvernforordningen. Bergens Tidende har ikke en berettiget interesse i å publisere opplysningene, jf. personvernforordningen artikkel 6 nr. 1 bokstav f. I interesseavveiningen veier As personvern tyngre enn hensynet til avisens interesse i å publisere opplysningene. Avisen har ikke en berettiget interesse så lenge Bergens Tidende selv er klar over at kredittopplysningene er uriktige, noe avisen ble gjort kjent med før publisering.
I den grad Datatilsynet ikke omgjør vedtaket på dette grunnlaget, må balansetesten som skal utføres for å vurdere om det foreligger en berettiget interesse medføre at As interesser uansett veier tyngre enn avisens interesser. De uriktige kredittopplysningene hadde reelle konsekvenser for A og dette var synlig for Bergens Tidende.
Publiseringen innfrir ikke kravene til en rettferdig behandling etter forordningens artikkel 5 nr. 1 bokstav a, og er heller ikke forenlig med kravet om at personopplysninger skal være korrekte og om nødvendig oppdaterte, jf. artikkel 5 nr. 1 bokstav d. Det må legges vekt på kritikken fra Pressens Faglige Utvalg (PFU) hvor de konkluderte med at Bergens Tidende opptrådte kritikkverdig ved manglende kvalitetssikring av opplysningene.
Selv om A i en viss grad er en person som deler av næringslivet kjenner til, er det ikke riktig at A har «en viss rolle i det offentlige liv», slik Datatilsynet har lagt til grunn. As begrensede offentlige interesse er et ytterligere moment som gjør det åpenbart at Bergens Tidende ikke hadde en berettiget interesse i å publisere kredittopplysningene om ham.
Bergens Tidendes syn på saken i korte trekk
Datatilsynets vedtak er riktig. Datatilsynet har korrekt kommet til at Bergens Tidendes innhenting og publisering av kredittopplysninger ble gjort for «utelukkende journalistiske formål» og at forholdet derfor kommer inn under unntaket i personopplysningsloven § 3.
As anførsel om at hva som regnes som «utelukkende journalistiske formål» også må bero på en nærmere avveining av den registrertes personvern i den konkrete saken, er ikke riktig. Bestemmelsen åpner ikke for slike konkrete avveininger i det enkelte tilfellet, jf. Prop. 56 LS (2017-2018), punkt 14.5, hvor det blant annet fremheves:
«Departementet foreslår derfor at gjeldende rett videreføres inntil videre, slik at det gjøres unntak for størsteparten av forordningens regler ved behandling utelukkende for journalistiske, kunstneriske og litterære formål, se forslaget § 3. Dette innebærer at det på samme måte som etter gjeldende rett angis i lovteksten hvilke bestemmelser som gjelder, og at dette ikke beror på en nødvendighets eller proporsjonalitetsvurdering i det enkelte tilfelle.»
Det underbygges av uttalelser gitt av Lovavdelingen i Justis- og beredskapsdepartementet i forbindelse med nytt, men ikke vedtatt forslag om å endre personopplysningsloven § 3. I høringsnotatet fra september 2019 (Snr 19/4154) fremhever Lovavdelingen at retten til ytrings- og informasjonsfrihet på den ene siden og retten til personvern på den andre er avveid ved selve utformingen av gjeldende personopplysningslov § 3. Videre uttales på side 23:
«Dagens bestemmelse åpner imidlertid ikke for nærmere vurderinger av i hvilken utstrekning unntak er nødvendig av hensyn til ytrings- og informasjonsfriheten i det enkelte tilfelle. Dermed vil det gjelde unntak i samme utstrekning for alle behandlingsformål som regnes som «journalistiske» mv. Någjeldende § 3 åpner med andre ord ikke for å sondre mellom tilfeller som ligger i kjernen av unntaksregelen, og tilfeller som ligger i randsonen […]»
Departementet understreker for øvrig på side 25 at eventuelle fremtidige nyanseringer av bestemmelsen ikke er ment å innebære noen endringer av rettstilstanden for medier med en sentral redaktørfunksjon som er tilsluttet en pressefaglig selvdømmeordning. Det er tilfellet for Bergens Tidende.
Avisens innhenting og publisering av kredittopplysningene ble gjort «utelukkende for journalistiske formål», og er omfattet av unntaket i personopplysningsloven § 3, slik tilsynet legger til grunn. Det vises også til at PFU fremhever at As økonomiske situasjon hadde offentlig interesse og at avisen hadde saklig grunn til å innhente og publisere kredittopplysningene.
EMD-dommen 931/13 er ikke relevant i denne saken. EMD fant at massepublisering av skatteopplysninger om cirka 1,2 millioner mennesker ikke kunne anses som journalistikk. Det var omfanget av behandlingen av personopplysninger som der ble utslagsgivende.
Bergens Tidendes innsamling og publisering av kredittopplysninger om A, som ledd i en aktuell nyhetssak, må anses for å være i kjernen av journalistisk virksomhet.
Bergens Tidende tar til etterretning PFUs vurdering om at avisen burde kvalitetssikret opplysningene bedre. Dette er uansett ikke relevant for vurderingen av om § 3 kommer til anvendelse i denne saken.
Subsidiært, dersom personopplysningsloven § 3 ikke kommer til anvendelse, er behandlingen og publiseringen av kredittopplysningene uansett i samsvar med personopplysningsloven.
Personvernnemndas vurdering
Personopplysningsloven § 3 lyder:
«For behandling av personopplysninger utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer gjelder bare bestemmelsene i personvernforordningen artikkel 24, 26, 28, 29, 32 og 40 til 43, jf. personvernforordningen kapittel VI og VIII og kapittel 6 og 7 i loven her.»
For vår sak er spørsmålet om den innsamlingen og publiseringen av kredittopplysninger om A, som Bergens Tidende gjorde, skjedde «utelukkende for journalistiske formål». Dersom dette vilkåret er oppfylt følger det av bestemmelsen at store deler av loven og personvernforordningen ikke kommer til anvendelse, herunder reglene om behandlingsgrunnlag i artikkel 6 og prinsipper for behandling av personopplysninger i artikkel 5. De bestemmelsene som uansett kommer til anvendelse gjelder den behandlingsansvarliges, eventuelt databehandlers plikter, samt ulike regler om personopplysningssikkerhet. Disse bestemmelsene er ikke av betydning for nemndas vurdering i denne saken.
Med bakgrunn i As anførsel om at det, ved anvendelsen av § 3, må foretas en avveining mellom behovet for ytringsfrihet og personvernet til den eller de som får personopplysninger publisert i media (en proporsjonalitetsvurdering), vil Personvernnemnda først si noe om rettsregelen i personopplysningsloven § 3, slik nemnda forstår den.
Bestemmelsen i § 3 har sitt utspring i personvernforordningen artikkel 85, som er begrunnet i hensynet til ytringsfriheten, slik denne rettigheten er vernet av Grunnloven § 100, EMK artikkel 10 og artikkel 19 i FNs konvensjon om sivile og politiske rettigheter (SP). Det framkommer av forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018), kap. 38.1, og 14.2 at § 3 viderefører rettstilstanden som fulgte av personopplysningsloven 2000 § 7 og EUs personverndirektiv 95/46/EF artikkel 9.
Bestemmelsen omfatter alle som behandler personopplysninger uavhengig av profesjon så lenge behandlingen skjer utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer. Loven kommer til anvendelse på vanlig måte når behandlingen delvis har andre formål, for eksempel reklame for varer og tjenester, jf. Prop. 56 LS (2017-2018), kap. 14.1. Det avgjørende er virksomhetens art og ikke hvilken formell eller yrkesmessig status den behandlingsansvarlige har.
I EUs personverndirektiv 95/46/EF var forholdet til ytringsfriheten regulert i artikkel 9, og denne bestemmelsen sammenfaller i det vesentlige med personvernforordningen artikkel 85. I sak C-73/07 (som gjaldt massepublisering av skatteopplysninger) uttalte EU-domstolen følgende om tolkningen av direktivets artikkel 9 (avsnitt 55 og 56):
«Medlemsstaterne skal med henblik på at forene disse to "grundlæggende rettigheder" i henhold til direktivet fastsætte de undtagelser fra og begrænsninger af beskyttelsen af oplysninger – og dermed undtagelser fra og begrænsninger af den grundlæggende ret til privatliv – som er nævnt i direktivets kapitel II, IV og VI. Disse undtagelser må kun vedrøre behandlinger, som finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, der er omfattet af den grundlæggende ret til ytringsfrihed, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.
For at tage hensyn til den betydning ytringsfriheden har i ethvert demokratisk samfund skal de begreber, som er knyttet hertil, herunder begrebet i journalistisk øjemed, for det første fortolkes vidt. For at opnå en afbalanceret afvejning af de to grundlæggende rettigheder kræver hensynet til beskyttelsen af den grundlæggende ret til privatliv for det andet, at de undtagelser fra og begrænsninger af beskyttelsen af oplysninger, som er fastsat i ovennævnte kapitler i direktivet, skal holdes inden for det strengt nødvendige [strictly necessary]».
EU-domstolen gir her anvisning på at unntakene fra personopplysningsvernet i direktivet ikke kan være mer omfattende enn nødvendig («necessary») for å sikre ytringsfriheten. Nemnda viser i den forbindelse også til Prop. 56 LS (2017–2018), kap. 14.2. hvor det framgår at det ikke skal gjøres unntak fra personopplysningsvernet i større grad enn det som er nødvendig av hensyn til ytrings- og informasjonsfriheten, og at rekkevidden av unntaksregelen derfor er avhengig av hvilke krav reglene om ytrings- og informasjonsfrihet stiller, jf. Grunnloven § 100 og EMK artikkel 10. Avveiningen mellom personvernet og ytringsfriheten skal med andre ord skje med utgangpunkt i en forholdsmessighetsvurdering. EU-domstolen presiserer videre at unntakene fra vernet i direktivet ikke kan gå lengre enn strengt nødvendig («strictly necessary»), en formulering som normalt indikerer en særlig streng forholdsmessighetsvurdering, og i den sammenhengen dette framkommer her, er det klart at det er hensynet til personopplysningsvernet som tilgodeses.
Nemnda anser at den ovenfor siterte uttalelsen fra EU-domstolen, selv om den gjaldt direktivets artikkel 9, også har relevans for tolkningen av personvernforordningen artikkel 85, og nemnda legger for sin del til grunn at også forordningen artikkel 85 gir anvisning på en forholdsmessighetsvurdering. Unntak fra vernet i forordningen kan bare gjøres dersom dette er nødvendig for å sikre tilstrekkelig armslag for ytringsfriheten.
Nemnda har i sak PVN-2018-14 (Behandling av personopplysninger på legelisten.no) påpekt at løsningen den norske lovgiveren har valgt, hvor det i personopplysningsloven § 3 gjøres unntak fra de aller fleste av bestemmelsene i personvernforordningen, gjør det svært vanskelig å foreta de nyanserte avveiningene mellom ytringsfrihet og personopplysningsvern som både praksis fra EU-domstolen og fortalen til forordningen, etter nemndas vurdering, forutsetter at skal gjøres. Nemnda uttaler i sitt vedtak under punkt 8.3:
«Dersom det først legges til grunn at den aktuelle behandlingen er omfattet av unntaket i § 3, vil den registrerte langt på vei falle utenfor det vern som følger av GDPR. En slik rettstilstand vil kunne være vanskelig å forene med statens plikter etter EMK artikkel 8 til å sikre et tilstrekkelig vern av privatlivet, herunder personopplysningsvernet. For nemnda er det her viktig å minne om at hensynet til ytringsfriheten ikke bare ivaretas ved personopplysningsloven 2018 § 3, men også en rekke andre steder i GDPR. Av særlig betydning i denne saken er GDPR artikkel 6, som i nr. 1 bokstav f gir anvisning på en interesseavveining hvor ytringsfriheten kan utgjøre en av flere berettigede interesser.»
Nemnda er derfor enig med A i at unntaket i personopplysningsloven § 3 ikke kan forstås så absolutt som ordlyden i bestemmelsen tilsier. Det må i noen tilfeller, ved vurderingen av hvor langt unntaket i § 3 rekker, foretas en avveining av hensynet til ytringsfrihet og hensynet til personvernet til den personen som omtales. Slik loven i dag lyder må dette gjøres ved en mulig innskrenkende tolkning av «utelukkende journalistisk virksomhet».
Med dette som rettslig utgangspunkt, går nemnda over til å vurdere anvendelsen av personopplysningsloven § 3 på faktumet i denne saken.
Bergens Tidende er en mediebedrift med en sentral redaktørfunksjon som også er tilsluttet en pressefaglig selvdømmeordning, PFU. Avisens innsamling av personopplysninger og publisering i forbindelse med nyhetsartikler i avisa, representerer kjerneområdet for journalistisk virksomhet. I en slik situasjon gir ikke personopplysningsloven § 3 rom for å foreta en interesseavveining mellom ytringsfriheten og personvernet. Det er ikke personvernmyndighetenes oppgave å overprøve redaksjonens vurdering av denne typen nyhetsartikler, herunder hvilken informasjon som bør formidles til publikum, og hvorvidt den aktuelle informasjonen har generell samfunnsmessig interesse eller ikke. Dette gjelder uavhengig av om opplysningene som publiseres er korrekte eller ikke.
A har vist til EMDs dom i Satakunnan Markkinapörssi OY and Satamedia OY v. Finland fra 27. juni 2017, sak 931/13 som gjaldt en mediebedrifts publisering av skatteopplysninger om ca. 1,2 millioner navngitte personer. Publiseringen ble ikke ansett å være omfattet av journalistunntaket. I den finske dommen, som EMD sluttet seg til, ble det skilt mellom innsamling, lagring og annen form for behandling av personopplysninger før publisering, som klart nok var omfattet av journalistunntaket, og den senere behandlingen av opplysningene i form av publisering, som ikke var omfattet av unntaket. At det var mediebedrifter som hadde publisert skatteopplysningene var ikke i seg selv tilstrekkelig for at den aktuelle behandlingen av personopplysninger var omfattet av journalistunntaket. Forbudet mot slik massepublisering av skatteopplysninger ble ikke funnet å være en krenkelse av vernet av ytringsfriheten i EMK artikkel 10. EMD mente derimot at den finske forvaltningsdomstolen hadde funnet en rimelig balanse mellom hensynet til respekten for privatlivet på den ene siden, og hensynet til ytringsfriheten på den andre.
Denne saken gjelder noe helt annet, nemlig om en avisredaksjons journalistiske bearbeiding og publisering av innhentede kredittopplysninger om en eiendomsinvestor som har vært involvert i rettslige prosesser på grunn av tvist om oppgjør etter salget av en sentralt beliggende eiendom i byen. Det er ingen tvil om at denne typen artikler, og dermed både innsamlingen og publiseringen av personopplysninger i den forbindelse, utelukkende har journalistisk formål.
Nemnda er etter dette enig med Datatilsynet i at Bergens Tidendes behandling av As personopplysninger er omfattet av unntaket i personopplysningsloven § 3.
Konklusjon
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 2. februar 2021
Mari Bø Haugstad
Leder