1. Introduksjon av problemstillingen – forholdet mellom personvernforordningen artikkel 6 nr. 1 og artikkel 6 nr. 4

Innovasjon, effektivisering og datadeling er i vinden både nasjonalt og i EU om dagen. Kunstig intelligens (KI) er på alles lepper og krever bruk av data for trening og vedlikehold.

Personvernforordningen (GDPR) er ett av mange regelverk som treffer dette landskapet og setter grenser for hvordan personopplysninger kan brukes til å utvikle KI. Som Datatilsynets sandkasse for kunstig intelligens har vist, er det ofte snakk om å gjenbruke personopplysninger som virksomheten allerede besitter.^{(1)Se sandkasserapportene fra eksempelvis prosjektene Ruter, NAV og KS.} Man skal for eksempel effektivisere saksbehandling, få ny innsikt i eksisterende data eller tilby en ny tjeneste.

Et sentralt spørsmål som dukker opp i denne forbindelse er forholdet mellom prinsippet om formålsbegrensning i personvernforordningen artikkel 5 nr. 1 bokstav b og lovlighetsprinsippet i bokstav a.

Når man skal bruke personopplysninger en virksomhet allerede har til et nytt formål: kreves det da et nytt behandlingsgrunnlag?

Det følger av formålsbegrensningsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav b) at personopplysninger kun skal «…samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene».

Et sentralt spørsmål som dukker opp i denne forbindelse er forholdet mellom prinsippet om formålsbegrensning i personvernforordningen artikkel 5 nr. 1 bokstav b og lovlighetsprinsippet i bokstav a.

I henhold til artikkel 6 nr. 1 er en behandling av personopplysninger bare lovlig dersom ett av vilkårene i 6 nr. 1 bokstav a til f er oppfylt. Artikkel 6 nr. 1 er et utslag av lovlighetsprinsippet jf. artikkel 5 nr. 1 bokstav a.

Artikkel 6 nr. 4 sier at dersom det skal foretas en behandling for et annet formål enn hva personopplysningene ble innsamlet for så skal det i utgangspunktet vurderes om dette er forenlig med formålet som de ble samlet inn for jf. formålsprinsippet/formålsbegrensning, artikkel 5 nr. 1 bokstav b.

Personopplysninger skal i utgangspunktet kun behandles for det spesifikt angitte formålet de opprinnelig er samlet inn for. Personvernforordningen artikkel 6 nr. 4 åpner imidlertid for at man kan gjennomføre behandling for andre formål enn det opprinnelige dersom den nye behandlingen, ofte omtalt som viderebehandling, har et formål som etter en konkret vurdering kan anses forenlig med det opprinnelige.

Formålsbegrensningsprinsippet er et av de grunnleggende personvernprinsippene og kan dateres tilbake til 1980 og OECDs retningslinjer innen personvern.^{(2)Recommendation of the Council concerning Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data, https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0188} Det er ikke uenighet om at formålsbegrensningsprinsippet er et grunnleggende utgangspunkt i personvernretten og at uforenlige formål kun er tillatt dersom det følger av lov eller den registrerte har samtykket til dette. Det ser imidlertid ut til at det foreligger ulike oppfatninger av rettstilstanden når det gjelder om det er krav om nytt behandlingsgrunnlag ved viderebehandling av personopplysninger til nye formål eller om viderebehandling til forenlige formål kan hjemles i det opprinnelige behandlingsgrunnlaget.

Blant mange jurister er den klare oppfatning at dersom en behandlingsansvarlig skal behandle personopplysninger for et nytt formål, og dette nye formålet anses å være forenlig med det opprinnelige formålet etter en vurdering etter artikkel 6 nr. 4, er det ikke nødvendig å ha et eget behandlingsgrunnlag etter artikkel 6 nr. 1. Kravet til lovlighet er etter denne oppfatningen oppfylt dersom man har bestått forenlighetsvurderingen som artikkel 6 nr. 4 legger opp til

Kravene til forenlighet følger av personvernforordningens fortalepunkt 50 og artikkel 6 nr. 4.

Denne oppfatningen kan forankres både i fortalepunkt 50 og juridisk teori, blant annet den norske kommentarutgaven fra Skullerud m.fl.^{(3)https://www.bakermckenzie.com/-/media/files/insight/publications/2018/10/compatibility_mechanism_responsible_further_personal_data_proessing.pdf?la=en og Compatibility of purposes for further processing of personal data: hit the bull’s eye in darts or hit the ball in a rugby gate? - Lexology og Åste Marie Bergseng Skullerud mfl., Personvernforordningen. Lovkommentar, Artikkel 6 nr. 4, Behandlingens lovlighet, Juridika}

Datatilsynet er imidlertid av en annen oppfatning. I vedtak 20/01626-7 (vedtak om overtredelsesgebyr mot NIF) bemerker Datatilsynet følgende:

Datatilsynet legger følgelig til grunn at dersom en behandlingsansvarlig skal behandle personopplysninger for et nytt og forenlig formål må man i tillegg ha et nytt behandlingsgrunnlag i artikkel 6 nr. 1. Datatilsynets oppfatning er at forenlighetsvurderingen i seg selv ikke kan etablere slik lovlighet.

Denne artikkelen har to formål. For det første ønsker vi å gjøre kjent Datatilsynet sitt syn på forholdet mellom artikkel 6 nr. 1 og artikkel 6 nr. 4 da vår erfaring tilsier at mange ikke er kjent med dette. For det andre ønsker vi å gi innsikt i bakgrunnen for de to alternative standpunktene og med dette legge grunnlag for en videre diskusjon som kan bidra til avklaring av rettstilstanden.

2. Forenlighetsvurderingen

Artikkel 6 nr. 4 legger opp til en konkret og helhetlig vurdering, der alle vurderingstemaer nevnt i bestemmelsens bokstav a)–e) kan være av betydning. Vurderingstemaene skal imidlertid ikke anses som kumulative vilkår. Dette omtales ofte som forenlighetsvurderingen eller kompatibilitetstesten.

Etter personverndirektivet^{(4)DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data} var det også tydelig at personopplysninger ikke skulle behandles til uforenlige formål. Vurderingstemaer for å fastslå hva som skulle til for at formål ble ansett forenlig var imidlertid verken angitt i direktiv-teksten eller direktivets fortale. For veiledning til gjennomføring av forenlighetsvurderingen, utstedte artikkel 29-gruppen i 2013 sin «Opinion on the purpose limitation principle (WP 203)^{(5)EDPB har ikke offisielt tilsluttet seg WP 203 fra artikkel 29-gruppen, men har vist til den i en rekke av sine retningslinjer. Etter vår oppfatning har EDBP vist til den i så mange tilfeller at store deler av innholdet fortsatt må anses å være av relevans, særlig for gjelder forståelsen av hva den behandlingsansvarlige må ta stilling som ledd i forenlighetsvurderingen.}.

Etter bokstav a) må den behandlingsansvarlige vurdere «enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen». Det følger av dette at den behandlingsansvarlige må vurdere om viderebehandlingen var mer eller mindre implisert i den opprinnelige, eller fremstår som et «logisk neste steg», eller om det kun er en delvis eller ikke-eksisterende kobling mellom formålene. Det følger av WP 203 at i begge tilfeller kan formålet anses forenlig, men jo større avstand mellom formålene jo mer utfordrende blir det å legge til grunn at det foreligger forenlighet.

Etter bokstav b) må den behandlingsansvarlige vurdere «i hvilken sammenheng personopplysningene er blitt samlet inn…» og i den sammenheng særlig se hen «…til forholdet mellom de registrerte og den behandlingsansvarlige». Dette momentet innebærer at en nærmere sammenheng formålene imellom vil trekke klarere i retning av forenelighet. Spennet går etter artikkel 29-gruppens tolkning mellom behandling som er «mer eller mindre implisert» i det opprinnelige formålet, eller i lys av det opprinnelige formålet fremstår som et «logisk neste steg», til tilfeller hvor det kun er en «delvis eller ikke-eksisterende» sammenheng med det opprinnelige formålet. Vurderingen tar utgangspunkt i de faktiske omstendighetene og hvordan et gitt formål «i alminnelighet oppfattes».

Den behandlingsansvarlige skal også vurdere «personopplysningenes art, især om særlige kategorier av personopplysninger «…eller om personopplysninger om straffedommer og lovovertredelser behandles», «de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte» og «om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering». Forenlighets­vurderingen eller kompatabilitets­testen som den også kalles, er med andre ord svært omfattende. Hvis det nye formålet består denne testen, betyr det at formålet er forenlig.

Det er en omfattende vurdering den behandlingsansvarlige må gjennomføre og spørsmålet er hva som er gevinsten: er det begrenset til at personopplysningene ikke må samles inn på nytt dersom det foreligger et behandlingsgrunnlag for den nye behandlingen, eller innebærer det faktum at kompatibilitetstesten er bestått at også lovlighetskravet er oppfylt?

3. Alternativ 1: personopplysninger kan for forenlige formål viderebehandles med hjemmel i det opprinnelige behandlingsgrunnlaget

Det følger som nevnt av personvernforordningen artikkel 5 nr. 1 bokstav b) at personopplysninger kun skal «…samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene». Forenlighetsvurderingen er i dag nedfelt i artikkel 6 nr. 4 som angir at den behandlingsansvarlige må vurdere det nye formålet opp imot en rekke momenter oppstilt i bestemmelsen for å kunne fastslå om formålet er forenlig.

Dersom den behandlingsansvarlige etter gjennomføringen av denne vurderingen kommer til at det nye formålet er forenlig, er det relevante spørsmålet i denne sammenheng, om behandling til det nye formålet også er lovlig.

Det er verdt å merke seg at ulovlige eller usaklige formål aldri vil bestå forenlighetsvurderingen. Artikkel 6 nr. 4 angir imidlertid at også uforenlige formål kan gjennomføres forutsatt at de dekkes av et nytt samtykke eller at de har hjemmel i lov. Uforenlighet er med andre ord ikke det samme som et ulovlig eller usaklig formål. Det kan med dette anføres at det i personvernforordningen ikke er et totalt forbud mot uforenlige formål. Fordi bruk til slike formål avviker så mye fra det den behandlingsansvarlige opprinnelige hadde i tankene kan det imidlertid bare gjennomføres hvis innhentes et nytt samtykke eller i noen tilfeller at det foreligger hjemmel i lov.

Forenlighetsvurderingen er dessuten nedfelt i artikkel 6 som nettopp regulerer behandlingens lovlighet. En naturlig forståelse kan derfor være at når nytt formål består forenlighetsvurderingen (kompatabilitetstesten), vil dette samtidig innebære at lovlighetskravet er oppfylt. Dette fordi det nye formålet er så nært knyttet til det opprinnelige at det vil fremstå urimelig at den behandlingsansvarlige ikke skal kunne gjennomføre også behandling til dette formålet med utgangspunkt i det opprinnelige behandlingsgrunnlaget. Dette synet har også støtte i rettspraksis fra EU-domstolen, se for eksempel sak C-77/21.

Denne saken gjaldt en ungarsk leverandør av internett og TV, som brukte personopplysninger fra kundene til å tilby sine tjenester og samtidig lagret disse personopplysningene internt på en annen server med det formål å drive feilretting og sørge for tilgjengelighet til tjenesten. I denne saken viser domstolen til Generaladvokatens uttalelse i saken^{(6)Opinion of Advocate General Pikamäe (31.03.22).} som uttaler følgende om forbindelsen mellom lovlighetsprinsippet og formålsbegrensning:

Ifølge Skullerud m.fl. vil testen bidra til å avgjøre hvilke behandlingsoperasjoner som kan sies å falle inn under behandlingsformålet den behandlingsansvarlige opprinnelig fastsatte.^{(8)Åste Marie Bergseng Skullerud mfl., Personvernforordningen. Lovkommentar, Artikkel 6. Behandlingens lovlighet, Juridika (kopiert 14. november 2023)} Dersom den nye behandlingen, eller behandlingsoperasjonen omfattes av det opprinnelige formålet, fremstår det også naturlig å legge til grunn at denne viderebehandlingen kan skje på grunnlag av det opprinnelige behandlingsgrunnlaget.

4. Alternativ 2: Forholdet mellom lovlighets- og formålsprinsippet tilsier at også behandling av personopplysninger til forenlige formål krever et eget behandlingsgrunnlag

Datatilsynet viser til at formåls- og lovlighetsprinsippet er to ulike prinsipper, som i utgangspunktet må holdes adskilt, til tross for at det er et nært forhold mellom dem.

En behandling er definert i artikkel 4 nr. 2 som:

Definisjonen er veldig omfattende, og vil inkludere det meste man gjør med personopplysninger. For ett og samme formål er det derfor i utgangspunktet mulig å gjennomføre flere behandlinger av personopplysninger. Som et utgangspunkt skal enhver behandling av personopplysninger – til tross for at de er utført for samme formål – forankres i artikkel 6 nr. 1.

Det fremgår av Datatilsynets vedtak rettet mot NIF at vurderingen etter artikkel 6 nr. 4 som gjennomgått foran er en vurdering av om det nye formålet er forenlig, og dermed om hvorvidt den behandlingsansvarlige overholder prinsippet om formålsbegrensning i artikkel 5. Artikkel 6 nr. 1 knytter seg derimot til lovlighetsprinsippet og fordrer en vurdering av om de ulike behandlingsaktivitetene (som kan være utført for samme formål) har et behandlingsgrunnlag. Å forstå forenlighetsvurderingen i artikkel 6 nr. 4 som et unntak fra behovet for å vise at en behandling har et behandlingsgrunnlag blir derfor en blanding av to ulike prinsipper og vurderinger.

Imidlertid må dette nyanseres noe i lys av at definisjonen av en «behandling», og hvordan det er mulig å gruppere flere tilsynelatende selvstendige behandlingsaktiviteter sammen og betrakte dem til å være én enkelt behandling. En slik forståelse kan forankres i definisjonen av hva en «behandling» er, ettersom det vises til at én behandling kan bestå av en «(…) rekke av operasjoner som gjøres med personopplysninger (…)».

Skullerud mfl. (2019) viser som nevnt at flere operasjoner utført for samme formål kan anses til å være en enkelt behandling.^{(9)Åste Marie Bergseng Skullerud mfl., Personopplysningsloven og personvernforordningen (GDPR). Kommentarutgave, Universitetsforlaget, 2019 s. 153 til 154} En slik forståelse kan være nyttig i praksis, ved at dette medfører at det ikke er nødvendig å, for eksempel, foreta en dokumentert vurdering hver eneste gang en virksomhet utfører flere behandlingsoperasjoner som har et nært, og tilnærmet sammenhengende, forhold. I et slikt tilfelle vil en samlet, dokumentert, vurdering av flere nærstående operasjoner kunne utføres samlet. Skullerud mfl. skriver videre hvordan det å knytte behandlingsbegrepet til formålet har en lang tradisjon etter personopplysningsloven av 2000.

Til tross for en nær relasjon mellom formålet til en behandling og definisjonen av en «behandling» foretar Høyesterett et klart skille mellom de to i den såkalte «avfallservice»-dommen (Rt-2013-143). I denne avgjørelsen vurderer Høyesterett forholdet mellom kravet til at behandlingen må være lovlig, og det at behandlingen av personopplysninger må være for et forenlig formål. Høyesterett konkluderer med at dette er to ulike spørsmål, og at begge må være oppfylt; behandlingen må være for et forenlig formål, og behandlingen som sådan må ha et behandlingsgrunnlag. Som ledd i denne begrunnelsen bemerker høyesterett hvordan forenlighetsvurderingen knytter seg til:

Følgelig er også Høyesterett tydelige på at dette er to ulike aspekter ved personopplysningsregelverket. Dette til tross for at forholdet mellom formålet til en behandling og definisjonen til hva en behandling har nær sammenheng. Personvernrådets (EDPB) forløper Artikkel 29-gruppen har tidligere kommet med uttalelser som støtter denne tolkningen^{(10)Se Opinion on the purpose limitation principle (WP 203), https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf}

5. Tar Datatilsynet feil?

6. Avsluttende betraktninger

Datatilsynets forståelse, til tross for å være i strid med fortalepunkt 50, sørger for at skillet mellom formålsprinsippet og lovlighetsprinsippet ivaretas. Videre vil standpunktet sikre at den behandlingsansvarlige ikke i realiteten ender opp med å få et bredere handlingsrom for behandlingsaktiviteter som er forankret i behandlinger for nye forenlige formål enn for de opprinnelige formålet.

Er det inkonsistens mellom personvernforordningens bestemmelser eller er det slik at Datatilsynet (og EDPB) ikke har tatt inn over seg lovgivers hensikt med artikkel 6 nr. 4)?

Men hva tilfører egentlig artikkel 6 nr. 4 tilfører dersom også forenlige formål der ny behandling ikke er dekket i et nytt samtykke eller et eget supplerende rettsgrunnlag, må ha et selvstendig behandlingsgrunnlag? Artikkel 6 nr. 4 fremstår å være tilnærmet uten verdi dersom det uavhengig av om formålet er uforenlig eller forenlig må foreligge et selvstendig behandlingsgrunnlag. Dette følger jo allerede av artikkel 5 nr. 1 bokstav a). En tolkning som sier at nr. 4 i artikkel 6 med overskriften Behandlingens lovlighet ikke betyr noe som helst, fremstår svært innskrenkende. EU-domstolen har som vi allerede har nevnt dessuten i sin rettspraksis ikke oppstilt nytt behandlingsgrunnlag som et tilleggskriterium ved viderebehandling.

Er det inkonsistens mellom personvernforordningens bestemmelser eller er det slik at Datatilsynet (og EDPB) ikke har tatt inn over seg lovgivers hensikt med artikkel 6 nr. 4)?