Gå til innhold

Lov&Data

3/2023: Artikler
01/09/2023

Er informasjon om fostre ansett som personopplysninger?

Av Ove A. Vanebo, advokat og assosiert partner,CMS Kluge Advokatfirma, Ann-Helen Sveino Schøyen, advokatfullmektig, CMS Kluge Advokatfirma.

Tre damefigurer der den ene har et knust hjerte på magen og den tredje en x på magen, digital illustrasjon.

Illustrasjon: Colourbox.com

1. Innledning

Spørsmålet om et fosters moralske status aktualiserer både vanskelige etiske og følelsesmessig krevende problemstillinger. Innenfor jussens verden er det krevende gråsoner og ulike reguleringer som bestemmer når et foster anses for å være en person.

En særlig problemstilling innenfor personvernretten er om informasjon om fostre vil kunne utgjøre «personopplysninger» i henhold til personopplysningsloven, som gjør EUs personvernforordning («GDPR») til norsk rett.

Artikkelen redegjør for rettskildebildet, og vil drøfte hvorvidt personvernforordningens personopplysningsbegrep omfatter informasjon om fostre. For enkelthetens skyld vil «foster» i artikkelen betegne mennesket fra unnfangelse og frem til fødsel.

Problemstillingen har potensielt stor rekkevidde, blant annet fordi ulike helse- og forskningsinstitusjoner behandler mye informasjon om fostre. Her kan for øvrig særlovgivningen nedfelle et særlig vern «forstre».

Ettersom vår vurdering er at svaret er uklart, vil vi mot slutten av artikkelen forsøksvis komme med noen antakelser.

2. Kan et foster være en «fysisk person» i henhold til GDPR?

2.1 Hva kan utledes av forordningen?

Personopplysninger er informasjon om en bestemt fysisk person, jf. GDPR artikkel 4 nr. 1.

Personvernforordningen uttrykker ikke klart hva som kreves for å være ansett som en «person». At fostre ikke er nevnt eller behandlet eksplisitt, kan tas til inntekt for både at de inkluderes og at de ikke er omfattet.

En særlig problemstilling innenfor personvernretten er om informasjon om fostre vil kunne utgjøre «personopplysninger» i henhold til personopplysningsloven.

Det er imidlertid verdt å merke seg at forordningens fortalepunkt 27 fastslår at kun levende personer er omfattet av forordningens regulering, slik at informasjon om avdøde personer ikke er omfattet av personopplysningsbegrepet. Det kan anføres at den klare henvisningen til avdøde personer, men ikke til ufødte personer, kan tas til inntekt for at fosterinformasjon neppe er utelukket av uttrykket «personopplysninger».(1)Manuel Klar og Jürgen Kahlings kommentar til GDPR artikkel 4(1). I: Jürgen Kühling and Benedikt Buchner (red.), Datenschutz-Grundverordnung; Kommentar, 1. utgave, 2017. Her er det likevel viktig å huske at en slik antitetisk slutning neppe bør tillegges for mye vekt.

På den annen side kan det også argumenteres for at ordlyden «levende» sikter til personer som er født.(2) Sören Öman, Dataskyddsförordningen (GDPR) m.m.: En kommentar, 2019, s. 58; se også Peter Golas kommentar til artikkel 4. I: Peter Gola, Datenschutz-Grundverordnung VO (EU) 2016/679; Kommentar, 1. utgave, 2017. Vi oppfatter riktignok dette som et lite vektig argument, siden fostre jo også er levende i biologisk forstand.

Selv om GDPR også benytter uttrykket «barn», er heller ikke dette begrepet klart definert i forordningen.(3)Se f.eks. GDPR artikkel 8 nr. 1.

I forarbeidene til endringen i barnevernsloven ser departementet ut til forutsetningsvis å legge til grunn at informasjon om ufødte barn er personopplysninger: «Departementet foreslår videre i kapittel 4 at adgangen til å behandle nødvendige personopplysninger om gravide og ufødte barn blir presisert i barnevernslov.».(4)Prop.64 L (2022-2023) Endringer i barnevernsloven m.m. (formidling av opplysninger, meldinger om ufødte barn, politiattest) s. 5. Ettersom departementet verken begrunner eller drøfter denne forutsetningen, bør uttalelsen ikke tillegges nevneverdig vekt.

Personvernforordningens bestemmelser må tolkes i lys av andre internasjonale konvensjoner og kilder. Dette gjelder blant annet Den europeiske menneskerettskonvensjonen (EMK), Den europeiske unions pakt om grunnleggende rettigheter («pakten») og Europarådets konvensjon av 28. januar 1981 om personvern i forbindelse med elektronisk databehandler av personopplysninger («DPC»).(5)Se GDPR fortalepunkt 4 og 105, og Åste Marie Bergseng Skullerud mfl., Personvernforordningen. Lovkommentar, Artikkel 1, Juridika.

Paktens bestemmelser om personvern er inspirert av de tilsvarende bestemmelsene i EMK og DPC,(6)Kärt Pormeister og Łukasz Drożdżowski, Protecting the Genetic Data of Unborn Children. I: European Data Protection Law Review, nr. 1, 2018, sidene 53 - 64, s. 57. og vil derfor ikke inngå i en separat drøftelse.

Etter EMK artikkel 8 nr. 1 har «enhver» rett til respekt for sitt privatliv og familieliv. Den europeiske menneskerettsdomstolen (EMD) har slått fast at artikkel 8 også omfatter personopplysningsvernet.(7)Se f.eks. Liebscher v. Austria avsnitt 31. Uttrykket «enhver» benyttes også i EMK artikkel 2 nr. 1. Om denne bestemmelsen har EMD uttalt at det ufødte barn generelt sett ikke vil være beskyttet av EMK artikkel 2.(8)Vo v. France avsnitt 80. Domstolen holder likevel muligheten åpen for at et foster kan være vernet i enkelte tilfeller, og henviser i denne forbindelse til artikkel 8: «Article 8 § 1 cannot be interpreted as meaning that the pregnancy and its termination are, as a principle, solely a matter of the private life of the mother». Det er derfor uavklart om det kan utelukkes at uttrykket «enhver» i EMK artikkel 8 omfatter fostre – og det er tenkelig at spørsmålet om abortrettigheter o.l. må bedømmes annerledes enn persondatarettslige spørsmål.(9)Janne Rothmar Herrmann, Retsbeskyttelsen af fostre og befrugtede æg om håndteringen af retlige hybrider, 2008, s. 185-187; se også Portmeister og Drożdżowski 2018 s. 58.

Etter DPC artikkel 2 bokstav a) defineres personopplysninger som enhver opplysning som gjelder en bestemt eller identifiserbar «enkeltperson». Det er ikke spesifisert om «enkeltperson» også omfatter fostre.

Imidlertid har Europarådets ministerkomité utstedt en anbefaling om beskyttelse av medisinsk data, med utgangspunkt i konvensjonens bestemmelser.(10)Europarådets ministerkomité, Recommendation R (97) 5 of the Committee of Ministers to Member States on the Protection of Medical Data. Lest 29. august 2023: https://rm.coe.int/cmrec-97-5-on-the-protection-of-medical-data/1680a43b64Etter anbefalingens punkt 4.5 skal «[m]edical data concerning unborn children […] be considered as personal data and enjoy a protection comparable to the protection of the medical data of a minor». Rådet foreslår at dette kan gjennomføres ved at data om fosteret klassifiseres som morens personopplysninger.(11)Explanatory Memorandum to the Recommendation No R (97) 5 on the Protection of Medical Data punkt 87. Lest 29. August 2023: https://rm.coe.int/16806846cb Enkelte land har innført en lignende praksis.(12)Are genetic data of unborn children subject to data protection under the GDPR? Rådets anbefaling er imidlertid ikke rettslig bindende for medlemslandene.

Det er altså ingen klar oppfatning som kan utledes av forordningen eller øvrig internasjonal rett når det gjelder hvorvidt et foster er en «fysisk person» – og i det minste utelukkes det ikke at informasjon om fostre kan anses som personopplysninger.

2.2 Særlig om oppfatningen i juridisk teori

Flere teoretikere har drøftet spørsmålet om hvorvidt informasjon om fostre er personopplysninger.

Nielsen og Lotterup antar at informasjon om fostre i alminnelighet må anses å være personopplysninger.(13)Kristian Korfits Nielsen og Anders Lotterup, Databeskyttelsesforordningen og databeskyttelsesloven, 2020, s. 252.

Det er altså ingen klar oppfatning som kan utledes av forordningen eller øvrig internasjonal rett når det gjelder hvorvidt et foster er en «fysisk person» – og i det minste utelukkes det ikke at informasjon om fostre kan anses som personopplysninger.

Sören Öman mener derimot at informasjon om «ännu inte födda, dvs. foster», ikke omfattes av definisjonen av personopplysninger, og synes å forankre dette i at de ikke er «levende fysiske personer».(14)Öman 2019 s. 58.

Kärt Pormeister og Łukasz Drożdżowski argumenterer for at fostre må anses som ufødte barn, som er «registrerte» med rettigheter i den forstand som brukes i GDPR – og vil at det skal tas hensyn til beskyttelse av deres genetiske data.(15)Portmeister og Drożdżowski 2018 s. 58. De påpeker det problematiske ved at foreldre blir «registrerte» i relasjon til informasjon om fosteret, siden det skaper problemer etter at barnet født og dermed selv kan bli «registrert» i forordningens forstand.(16)Portmeister og Drozdzowski 2018 s. 61.

Suzanne Dibble påpeker at «Natural personisn’t defined in the GDPR, but it is unlikely that a fetus would be deemed a natural person».(17)Suzanne Dibble, GDPR for dummies, 2019.

Peter Blume anfører på sin side at fostre antakeligvis kan være «fysiske personer» – iallfall i de tilfeller hvor det er mer meningsfylt, blant annet siden fosteret normalt vil bli et barn med behov for vern av sensitiv informasjon.(18)Peter Blume, Databeskyttelsesret, 5. utgave, 2018, s. 18-19. Basert på Blumes resonnement, antar Hanne Marie Motzfeldt at det bør anlegges en formålsorientert forståelse, der fostre har en slags «antesipert beskyttelse», i det minste når det er tilsiktet at fosteret skal bli et barn.(19)Hanne Marie Motzfeldt, Grundlæggende databeskyttelsesret, 2022, s. 54.

2.3 Situasjonen etter personverndirektivet

Begrepet «personopplysning» er i all hovedsak en videreføring av tilsvarende begrep i personverndirektivet.(20)Justisministeriet, Databeskyttelsesforordningen – og de retlige rammer for dansk lovgivning; Betænkning nr. 1565, 2017, s. 71. Det kan derfor være relevant å se til om direktivet avklarer spørsmålet om klassifisering av informasjon om fostre.

Begrepet «fysisk person» brukes ikke i direktivet, er legaldefinisjonen av «personopplysninger» ment å være den samme som i GDPR.

Heller ikke i direktivet er det en definisjon på hva som utgjør en «fysisk person».(21) I den norske oversettelsen av direktivet brukes ikke begrepet «fysisk person» i legaldefinisjonen av «personopplysninger», jfr. art. 2 bokstav a). Imidlertid benyttes uttrykket «natural person» både i den engelske oversettelsen av direktivet og i GDPR. Dette indikerer at legaldefinisjonen er ment å være den samme i direktivet og forordningen. Imidlertid har EU-kommisjonens tidligere rådgivende organ, Artikkel 29-gruppen, kommet med en uttalelse om hva som utgjør personopplysninger, der den også omtaler fosterdata.(22)Artikkel-29-gruppen, Opinion 4/2007 on the concept of personal data. Ifølge gruppen må det vurderes konkret hvorvidt nasjonale personvernregler også gjelder opplysninger om fostre. Vurderingen avhenger av «the general approach of the national legal system» og «the idea that the purpose of data protection rules is to protect the individual».(23)Artikkel 29-gruppen 2007 s. 23. Det kan derfor synes som om spørsmålet er overlatt til den enkelte medlemsstat. Enkelte teoretikere oppfatter imidlertid at uttalelsen kan tas til inntekt for at informasjon om fostre generelt faller utenfor direktivets definisjon av «personopplysning».(24)Pormeister og Droidiowski 2018 s. 54.

Også for direktivets del har ulike teoretikere drøftet spørsmålet om informasjon om fostre er personopplysninger. Peter Blume anfører at fostre, i det omfang det gir mening, skal gis rettslig beskyttelse og betraktes som individer innenfor databeskyttelsesretten.(25)Peter Blume, Databeskyttelsesret, 3. utgave, 2008, s. 17-18.

2.4 Oppsummering av rettskildebildet

Rettskildebildet gir ingen klare svar på om informasjon om fostre omfattes av personvernlovgivningen. Vi antar derfor at det per nå ikke er mulig å konstatere en felles oppfatning av om informasjon om fostre anses for å være personopplysninger.

Så vidt oss bekjent, finnes det verken forvaltnings- eller rettspraksis som har tatt stilling til spørsmålet. Det er heller ikke klart om dette spørsmålet har et generelt unionsrettslig svar, der man kan komme til en felles definisjon, eller om avgjørelsen må tas på nasjonalt nivå.(26)Sören Öman mener at denne problemstillingen «har ett EU-gemensamt svar och altså inte ska avgöras enligt nationell rätt», jf. Öman 2019 s. 58.

3. Vår vurdering/noen antakelser

Vi mener at det i enkelte tilfeller er nokså klart at informasjon om fostre må anses for å være personopplysninger. Dette gjelder tilfeller der informasjonen knytter seg til personer som er blitt født. Det synes også på det rene at informasjon om fostre som kan gi informasjon om foreldre også er personopplysninger – om foreldrene.

Motsetningsvis er det lite som tilsier at informasjon om et abortert foster bør klassifiseres som personopplysninger.

De mer krevende tilfellene melder seg der det ikke er avklart om fosteret bæres til levedyktig alder. Det kan være problematisk dersom informasjon som senere kan være ytterst sensitiv og i verste fall skadelig for en person nyter et mer begrenset vern enn GDPR inneholder inntil personen blir født. Det kan da være for sent å iverksette avbøtende tiltak for å begrense informasjonens skadevirkninger.

Rettskildebildet gir ingen klare svar på om informasjon om fostre omfattes av personvernlov­givningen.

Etter vårt skjønn er det gode grunner for at informasjon om iallfall fostre som etter alt å dømme vil bli født, beskyttes som personopplysninger. Dette kan sies å være logisk siden informasjon som først på et senere tidspunkt kan knyttes til en fysisk person, vil være personopplysninger, selv om det på et bestemt tidspunkt ikke er mulig.(27)Artikkel 29-gruppen 2007 s. 15. I slike tilfeller mener vi at Blumes tilnærming kan være hensiktsmessig – så lenge det er meningsfylt, f.eks. hvis det er mest sannsynlig at fosteret vokser opp til å bli et menneske, bør fosterinformasjonen klassifiseres som personopplysninger. Siden dette i praksis er svært vanskelig å avgjøre, kan det være hensiktsmessig å operere med en presumsjon for at informasjon om fostre er personopplysninger – ikke minst fordi informasjonen ofte kan si noe om andre personer, særlig foreldrene.

Etter vårt skjønn er det gode grunner for at informasjon om iallfall fostre som etter alt å dømme vil bli født, beskyttes som personopplysninger.

En utfordring er imidlertid at vitenskapelig kunnskap er i utvikling og at det krever også annen fagspesifikk kunnskap for å forstå hva slags informasjon som kan knyttes til bestemte personer. Vi har derfor liten tro på enkle enten-eller-standpunkter her, og mellom disse to ytterpunktene kan det utvilsomt oppstå vanskelige grensetilfeller.

Noter

  1. Manuel Klar og Jürgen Kahlings kommentar til GDPR artikkel 4(1). I: Jürgen Kühling and Benedikt Buchner (red.), Datenschutz-Grundverordnung; Kommentar, 1. utgave, 2017.
  2. Sören Öman, Dataskyddsförordningen (GDPR) m.m.: En kommentar, 2019, s. 58; se også Peter Golas kommentar til artikkel 4. I: Peter Gola, Datenschutz-Grundverordnung VO (EU) 2016/679; Kommentar, 1. utgave, 2017.
  3. Se f.eks. GDPR artikkel 8 nr. 1.
  4. Prop.64 L (2022-2023) Endringer i barnevernsloven m.m. (formidling av opplysninger, meldinger om ufødte barn, politiattest) s. 5.
  5. Se GDPR fortalepunkt 4 og 105, og Åste Marie Bergseng Skullerud mfl., Personvernforordningen. Lovkommentar, Artikkel 1, Juridika.
  6. Kärt Pormeister og Łukasz Drożdżowski, Protecting the Genetic Data of Unborn Children. I: European Data Protection Law Review, nr. 1, 2018, sidene 53 - 64, s. 57.
  7. Se f.eks. Liebscher v. Austria avsnitt 31.
  8. Vo v. France avsnitt 80.
  9. Janne Rothmar Herrmann, Retsbeskyttelsen af fostre og befrugtede æg om håndteringen af retlige hybrider, 2008, s. 185-187; se også Portmeister og Drożdżowski 2018 s. 58.
  10. Europarådets ministerkomité, Recommendation R (97) 5 of the Committee of Ministers to Member States on the Protection of Medical Data. Lest 29. august 2023: https://rm.coe.int/cmrec-97-5-on-the-protection-of-medical-data/1680a43b64
  11. Explanatory Memorandum to the Recommendation No R (97) 5 on the Protection of Medical Data punkt 87. Lest 29. August 2023: https://rm.coe.int/16806846cb
  12. Are genetic data of unborn children subject to data protection under the GDPR?
  13. Kristian Korfits Nielsen og Anders Lotterup, Databeskyttelsesforordningen og databeskyttelsesloven, 2020, s. 252.
  14. Öman 2019 s. 58.
  15. Portmeister og Drożdżowski 2018 s. 58.
  16. Portmeister og Drozdzowski 2018 s. 61.
  17. Suzanne Dibble, GDPR for dummies, 2019.
  18. Peter Blume, Databeskyttelsesret, 5. utgave, 2018, s. 18-19.
  19. Hanne Marie Motzfeldt, Grundlæggende databeskyttelsesret, 2022, s. 54.
  20. Justisministeriet, Databeskyttelsesforordningen – og de retlige rammer for dansk lovgivning; Betænkning nr. 1565, 2017, s. 71.
  21. I den norske oversettelsen av direktivet brukes ikke begrepet «fysisk person» i legaldefinisjonen av «personopplysninger», jfr. art. 2 bokstav a). Imidlertid benyttes uttrykket «natural person» både i den engelske oversettelsen av direktivet og i GDPR. Dette indikerer at legaldefinisjonen er ment å være den samme i direktivet og forordningen.
  22. Artikkel-29-gruppen, Opinion 4/2007 on the concept of personal data.
  23. Artikkel 29-gruppen 2007 s. 23.
  24. Pormeister og Droidiowski 2018 s. 54.
  25. Peter Blume, Databeskyttelsesret, 3. utgave, 2008, s. 17-18.
  26. Sören Öman mener at denne problemstillingen «har ett EU-gemensamt svar och altså inte ska avgöras enligt nationell rätt», jf. Öman 2019 s. 58.
  27. Artikkel 29-gruppen 2007 s. 15. I slike tilfeller mener vi at Blumes tilnærming kan være hensiktsmessig – så lenge det er meningsfylt, f.eks. hvis det er mest sannsynlig at fosteret vokser opp til å bli et menneske, bør fosterinformasjonen klassifiseres som personopplysninger.
Ove A. Vanebo
Ove Vanebo, portrett
Ann-Helen Sveino Schøyen
Ann-Helen Schøyen, portrett