Generelt om artikkel 6

Det følger av personvernforordningen artikkel 5 nr. 1 bokstav a at personopplysninger for det første skal «behandles på en lovlig, rettferdig og åpen måte». Dette prinsippet ligger til grunn for at det etter artikkel 6 kreves et rettslig grunnlag for at det skal være lov til å behandle personopplysninger. «Behandling» av personopplysninger er definert i artikkel 4 nr. 2 som enhver operasjon som gjøres med personopplysninger. Det innebærer blant annet å innhente, ha tilgang til, lese, lagre, sammenstille, analysere, anonymisere, slette og utlevere personopplysninger, m.m. Kravet om rettslig grunnlag gjelder alle former for behandling av personopplysninger.

Det følger videre av artikkel 5 nr. 1 bokstav b at personopplysninger skal «samles inn for spesifikke, uttrykkelig angitte og berettigede formål». Dette prinsippet om formålsbegrensning henger nært sammen med kravet om at behandlinger skal ha et rettslig grunnlag, fordi formålet med behandlingen må være dekket av det rettslige grunnlaget med behandlingen.

Personvernforordningen artikkel 6 nr. 1, bokstavene a – f, lister opp ulike alternative behandlingsgrunnlag for å behandle alminnelige personopplysninger. Det vil si alle opplysninger som kan knyttes til en bestemt fysisk person enten direkte eller indirekte. I forordningen omtales personen opplysningene gjelder som «den registrerte», jf. definisjonen i artikkel 4 nr. 1. Noen av opplysningene vil i seg selv identifisere personen, som navn og personnummer. Andre opplysninger kan identifisere en person indirekte ved at opplysningene settes sammen, eksempelvis adresse, kjønn og alder.

Artikkel 6 nr. 1 bokstav a – Samtykke

Samtykke fra den registrerte er et av de aktuelle rettslige grunnlagene for å behandle personopplysninger. Den registrerte må da på forhånd ha gitt et frivillig og tydelig samtykke til behandlingen av personopplysningene sine for et konkret formål. Et samtykke vil oppfylle kravet til rettslig grunnlag etter forordningen, men kan ikke brukes for å avtale seg bort fra kravene som stilles ellers i forordningen. Samtykket gjelder som utgangspunkt kun for opplysninger om den registrerte selv, og omfatter ikke behandling av personopplysninger om andre, eksempelvis den registrertes venner og familie. Det kan i noen tilfeller gjelde et unntak fra dette for personopplysninger som gjelder den registrertes barn, som foreldre kan samtykke til at behandles.

Samtykke er definert i forordningen artikkel 4 nr. 11, med presiseringer i fortalepunkt 32 og 42 (forarbeidene til forordningen), til å være en spesifikk og utvetydig viljeserklæring, hvor den registrerte gir tillatelse til at en virksomhet kan bruke spesifikke personopplysninger. Et av vilkårene som stilles for at samtykket skal være gyldig, er at det skal være informert. Det er ingen krav til hvilken informasjon som skal gis. Men det må gis informasjon slik at den registrerte får tilstrekkelig anledning til å forstå hva samtykket gjelder, omfanget av behandlingen og hvilke konsekvenser den kan få. I praksis bør det derfor informeres om hvilke personopplysninger som samles inn, hvordan de skal brukes og om hva som er formålet med behandlingen.

Videre må erklæringen være gitt frivillig og gjennom en aktiv handling. Samtykket må ikke være avgitt av frykt for å miste eventuelle rettigheter. Det stilles egne vilkår for samtykke i artikkel 7 og artikkel 8. NAV må kunne dokumentere at den registrerte har samtykket til behandlingen, og det må være mulig for personen å trekke tilbake samtykket. Dersom opplysningene skal brukes til flere formål, må den registrerte kunne velge om hen ønsker å samtykke til hvert enkelt formål individuelt. Hvis det ikke er mulig å samtykke til hvert enkelt formål, vil det kunne stilles spørsmål om hvorvidt samtykket var frivillig.

For at et samtykke skal være gyldig, kreves det at den som samtykker har samtykkekompetanse. Det betyr at personen må ha myndighet til å gi sitt samtykke, og evne å forstå hva det betyr å samtykke til behandlingen og konsekvensene av det. Det er særskilt regulert når barn kan samtykke til behandling av personopplysninger for bruk av informasjonssamfunnstjenester som er rettet mot barn. Med «informasjonssamfunnstjenester» menes i praksis de fleste tjenester som kan lastes ned eller bestilles over internett, eksempelvis apper for sosiale medier til telefon eller PC. Ifølge forordningen er aldersgrensen for å samtykke i slike tilfeller 16 år, jf. artikkel 8. Bestemmelsen åpner i siste setning i nr. 1 for at det kan fastsettes lavere aldersgrenser i den nasjonale lovgivningen, og det har Norge gjort i personopplysningsloven § 5 som fastsetter en aldersgrense på 13 år. Dette er altså en særregulering i norsk lov, som går foran forordningen for barns adgang til å samtykke til denne typen tjenester i Norge. Før dette må foreldrenes samtykke innhentes for at samtykket skal være gyldig.

Det skjeve maktforholdet mellom en bruker og NAV er hovedårsaken til at må vi være varsomme med å benytte samtykke som behandlingsgrunnlag. Et samtykke i relasjon til offentlig myndighetsutøvelse og tjenesteytelse er derfor sjelden et gyldig behandlingsgrunnlag, se også fortalepunkt 43. En bruker som har søkt om eller mottar en ytelse fra NAV, kan lett tro at det vil kunne påvirke egen sak, om hen ikke samtykker til å delta i en undersøkelse eller liknende, dersom forespørselen oppleves å være i nær tilknytning til søknaden eller vedtaket om ytelsen. I slike tilfeller kan det være tvilsomt om samtykket i realiteten er frivillig. Et annet eksempel hvor det kan være problematisk å benytte samtykke, er i arbeidsforhold.

Vilkårene som stilles for at et samtykke skal være frivillig, og dermed gyldig, medfører også at det i praksis er få tilfeller hvor det er mulig for NAV og andre offentlige myndigheter å benytte samtykke som behandlingsgrunnlag. Mesteparten av NAVs behandlinger gjøres som et ledd i å utføre oppgavene vi har i tjeneste- og ytelsesforvaltningen. Det ville ikke være mulig å utføre disse oppgavene dersom den registrerte eksempelvis til enhver tid skulle kunne trekke tilbake samtykket. Det er noen tilfeller hvor vi kan bruke samtykke som behandlingsgrunnlag, men vi må være varsomme, slik at vi sørger for å bruke det kun når vilkårene er oppfylt. Det kan være aktuelt i eksempelvis arbeid med brukerinnsikt og tjenesteutvikling, men det krever grundige vurderinger, særlig av hvordan kravet til frivillighet vil ivaretas. Det må da vurderes om det er åpenbart for brukeren at deltakelsen ikke vil påvirke en pågående sak hos NAV og at det er helt frivillig å delta i en undersøkelse. Det er NAV som er ansvarlig for å dokumentere at behandlingen av personopplysninger var frivillig og informert for den som har samtykket.

Andre eksempler på når det kan være aktuelt for NAV å bruke samtykke, er ved utlevering av personopplysninger til forsikringsselskap etter brukers eget ønske, intervjuer, spørreundersøkelser og brukertest av løsningene våre.

Artikkel 6 nr. 1 bokstav b – Nødvendig for å oppfylle en avtale

Personopplysninger kan behandles når det er nødvendig enten for å oppfylle en avtale som den registrerte er part i, eller for å gjøre tiltak etter den registrertes ønske før en avtale inngås. Det må dermed gjøres en vurdering av om behandlingen av de aktuelle personopplysningene er objektivt nødvendige for å inngå eller å oppfylle avtalen. Det er ikke tilstrekkelig at det er opplysninger som kan være nyttige eller forenkler prosessen med å inngå eller å gjennomføre avtalen. Det betyr at personopplysningene ikke kan behandles hvis det finnes mindre inngripende måter å oppnå formålet på. For å inngå en avtale om kjøp av et produkt, kan det eksempelvis bare innhentes opplysninger om fødselsdato med dette behandlingsgrunnlaget, hvis det er en aldersgrense for å kjøpe produktet. Hvis den behandlingsansvarlige ønsker å innhente opplysninger som ikke er nødvendig for å inngå eller oppfylle avtalen, må derfor et annet rettslig grunnlag benyttes.

Dette behandlingsgrunnlaget er aktuelt for NAV som arbeidsgiver når vi behandler personopplysninger om ansatte, eksempelvis i ansettelsesprosesser, arbeidsavtale og behandling av personopplysninger etter at avtale er inngått for å følge opp den ansatte og utbetale lønn. Andre tilfeller hvor dette er et aktuelt grunnlag er når NAV inngår avtaler med leverandører og har behov for å behandle kontaktopplysninger om ansatte hos en leverandør det inngås avtale med.

Artikkel 6 nr. 1 bokstav c – Nødvendig for å oppfylle en rettslig forpliktelse

Dersom NAV har en rettslig forpliktelse til å gjøre en oppgave som følger av lov, forskrift, vedtak eller annet rettslig grunnlag i unionsretten eller i norsk rett, og det er nødvendig å behandle personopplysninger for å utføre oppgaven, har vi et gyldig behandlingsgrunnlag. Etter artikkel 6 nr. 3 stilles det krav om at det må foreligge et supplerende rettslig grunnlag for at artikkel 6 nr. 1 bokstav c kan være et gyldig behandlingsgrunnlag. Det betyr at det må følge av lov, forskrift eller vedtak fattet med hjemmel i lov eller forskrift, eller unionsretten at behandlingsansvarlig har en slik forpliktelse. Dersom det er nødvendig med flere behandlingsaktiviteter for å oppfylle den rettslige forpliktelsen, kan det samme rettslige grunnlaget brukes.

Dette alternativet kan kun benyttes i tilfeller hvor det følger en klar forpliktelse av en lov eller forskrift, som innebærer at den behandlingsansvarlige må behandle personopplysninger for å utføre oppgaven. Dette alternativet kan dermed ikke benyttes når det er valgfritt å gjøre den aktuelle oppgaven. I slike tilfeller er det aktuelt å vurdere artikkel 6 nr. 1 bokstav e, utøvelse av offentlig myndighet, som et mulig behandlingsgrunnlag.

Det er flere behandlingsaktiviteter i NAV hvor dette alternativet er aktuelt, blant annet når vi lagrer personopplysninger fordi det er pålagt gjennom arkivloven, når vi rapporterer opplysninger om lønnsutbetalinger fordi det er pålagt i skattelovgivningen.

Se nedenfor om artikkel 6 nr. 3 for en nærmere omtale av hva det stilles av krav til et supplerende rettslig grunnlag for behandlingen av personopplysninger.

Artikkel 6 nr. 1 bokstav d – Nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser

Personopplysninger kan behandles når det er nødvendig for å verne en person sine vitale interesser. Det er aktuelt å benytte dette grunnlaget for behandling av personopplysninger når det er fare for liv og helse, eksempelvis må helsepersonell behandle personopplysninger om helse når de skal gi livreddende førstehjelp og det må behandles personopplysninger om en savnet person i forbindelse med en leteaksjon. Ordlyden tilsier at dette er et snevert grunnlag for å behandle personopplysninger.

For NAV er dette ikke et praktisk grunnlag for å behandle personopplysninger, da vi som utgangspunkt vil ha andre aktuelle behandlingsgrunnlag for de oppgavene vi skal løse.

Artikkel 6 nr. 1 bokstav e – Nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet

En behandlingsansvarlig kan behandle personopplysninger når det er nødvendig for å utføre en oppgave i allmennhetens interesse eller for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Dette vil kunne gi grunnlag for behandling av personopplysninger av både offentlige instanser og private aktører som utfører oppgaver på vegne av stat eller kommune. Det er dette rettslige grunnlaget som brukes av NAV som offentlig myndighetsorgan. For NAV som arbeidsgiver vil det være de andre behandlingsgrunnlagene i artikkel 6 nr. 1, som er relevante.

Dette grunnlaget er, i likhet med behandlingsgrunnlaget rettslig forpliktelse i bokstav c, et grunnlag som krever at det finnes et supplerende rettslig grunnlag i unionsretten eller i den nasjonale retten. Hvilke krav som stilles til det supplerende hjemmelsgrunnlaget omtales nærmere nedenfor.

Bestemmelsen må tolkes i lys av legalitetsprinsippet. Det betyr at jo mer inngripende og risikofylt behandlingen av personopplysninger er, desto klarere må det rettslige grunnlaget for forpliktelsen være. Det må eksempelvis være tydelig ut fra vilkårene for en ytelse at det er behov for å innhente medisinske opplysninger, mens det kan følge mer forutsetningsvis for oppgaven med å behandle en søknad at vi må samle inn opplysninger som navn og adresse.

Behandlinger som hjemles i artikkel 6 nr. 1 bokstav e og f gir i utgangspunktet den registrerte rett til å protestere mot behandlingen av personopplysninger, og bestemmelsen må derfor ses i sammenheng med artikkel 21 som regulerer denne rettigheten. Retten til å protestere innebærer at den registrerte kan motsette seg at det behandles opplysninger om seg, og NAV må derfor stanse behandlingen av personopplysninger hvis brukere krever det og frem til vi har vurdert et slikt krav. For at retten til å protestere skal ivaretas, må den behandlingsansvarlige informere den registrerte om behandlingen og retten til å protestere, før behandlingen av personopplysninger starter. Retten til å protestere gjelder imidlertid ikke dersom den behandlingsansvarlige kan dokumentere at det er tvingende berettigede grunner for behandlingen, som veier tyngre enn hensynet til den registrertes personvern, jf. artikkel 21 nr. 1. Dette unntaket legger dermed opp til at den behandlingsansvarlige i slike tilfeller må gjøre en interesseavveining, som skal dokumenteres.

For NAV som behandlingsansvarlig er dette grunnlaget blant annet aktuelt for all saksbehandlingen vi gjør for tjenester og ytelser etter folketrygdloven, sosialtjenesteloven og arbeidsmarkedstiltaksloven. Det er derfor det behandlingsgrunnlaget som benyttes mest for behandlingene vi gjør med personopplysninger.

Se omtalen av artikkel 6 nr. 3 for mer om hva det betyr at det må være et supplerende rettslig grunnlag for behandlingen av personopplysninger.

Artikkel 6 nr. 1 bokstav f – Nødvendig for formål tilknyttet en berettiget interesse

Det er en lovlig behandling av personopplysninger når det er nødvendig for formål knyttet til de berettigede interessene til den behandlingsansvarlige eller en tredjepart. Det er tre vilkår som må vurderes for å avklare om dette behandlingsgrunnlaget kan benyttes. Det må vurderes om det er nødvendig å gjøre behandlingen, om virksomheten har en berettiget interesse, og til slutt en interesseavveining av om hensynet til de registrertes personvern og grunnleggende rettigheter veier tyngre enn den berettigede interessen til virksomheten.

Det er viktig å merke seg at dette behandlingsgrunnlaget ikke kan brukes for behandling av personopplysninger som et ledd i å utøve offentlig myndighet. Det fremgår av artikkel 6 nr. 1 siste avsnitt. Denne begrensningen må ses i sammenheng med bokstav e, som hjemler behandling når det er nødvendig for å utøve offentlig myndighet. Dette krever normalt et supplerende rettslig grunnlag, fordi det er i tråd med legalitetsprinsippet at inngrep i borgernes private sfære skal vurderes og besluttes av lovgiver, og ikke behandlingsansvarlig selv.

Artikkel 6 nr. 2 – Nasjonale tilpasningsbestemmelser

Medlemslandene er i artikkel 6 nr. 2 gitt mulighet til å vedta nasjonale bestemmelser for behandling av personopplysninger som skjer etter artikkel 6 nr. 1 bokstav c og e, på grunnlag av en rettslig forpliktelse eller for å utføre oppgaver i allmennhetens interesse. Formålet med de nasjonale bestemmelsene skal være å kunne tilpasse reglene i forordningen til særskilte behandlinger, når det er nødvendig for å sikre personvernet. Det er dermed ikke adgang til å gi slike bestemmelser av hensyn til den behandlingsansvarlige.

Det henvises i bestemmelsen til at dette kan være særlig aktuelt for behandlinger som er omfattet av forordningens kapittel IX, hvor det er bestemmelser om behandlingssituasjoner som innsyn i offentlige dokumenter, i forbindelse med ansettelsesforhold og for arkiv-, forsknings- eller statistiske formål. Det er blant annet gitt nasjonale regler om kameraovervåking i virksomhet i Forskrift om kameraovervåking i virksomhet og om arbeidsgivers rett til innsyn i arbeidstakeres e-post i Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale. Det er også presisert i personopplysningsloven § 6 at arbeidsgivere har adgang til å behandle særlige kategorier personopplysninger når det er nødvendig for å gjennomføre arbeidsrettslige plikter.

Artikkel 6 nr. 3 – Kravet til supplerende rettslig grunnlag

Behandling av personopplysninger på grunnlag av bokstav c eller e krever som nevnt over at det i tillegg finnes et supplerende rettslig grunnlag. Det følger av artikkel 6 nr. 3 at det supplerende rettslige grunnlaget kan være fastsatt i den nasjonale retten som den behandlingsansvarlige er bundet av. Det betyr at det må være en bestemmelse i norsk lov eller forskrift, eller vedtak i medhold av lov eller forskrift, som forutsetter at det behandles personopplysninger.

Det stilles krav om at formålet med behandlingen av personopplysninger skal fremgå av det supplerende rettslige grunnlaget. For behandling av personopplysninger etter bokstav c og e, er det tilstrekkelig at behandlingen er nødvendig for å utføre oppgaven. Det er altså ikke et krav om at det står uttrykkelig i bestemmelsen at den hjemler den konkrete behandlingen av personopplysninger, men ved å lese hjemmelen bør det være klart at formålet med behandlingen av personopplysninger er dekket av ordlyden. Når NAV behandler søknader om en ytelse etter folketrygdloven, står det ikke eksplisitt i det enkelte kapittelet som hjemler stønaden at det også hjemler behandling av personopplysninger. For at NAV skal kunne behandle en sak, må det imidlertid være tydelig ut fra lovverket at formålet å behandle søknader innenfor det aktuelle stønadsområdet er dekket av bestemmelsen. Eksempelvis hjemler Folketrygdloven kapittel 4 retten til dagpenger, og det følger forutsetningsvis av kapittelet at NAV må behandle personopplysninger for det formålet å behandle saker innenfor dagpengeregelverket.

Det følger av fortalepunkt 45 (forarbeidene til personvernforordningen) at det ikke kreves en spesifikk bestemmelse for hver enkelt behandling, og videre at samme hjemmel kan være behandlingsgrunnlag for flere ulike behandlinger og for flere ulike formål.

Legalitetsprinsippet spiller en viktig rolle her, og legger føringer for hvor tydelig det må være ut fra regelverket at personopplysninger skal behandles for det enkelte formålet. De supplerende rettsgrunnlagene vil måtte oppfylle kravene etter de spesifikke bestemmelsene i tillegg til å oppfylle kravene til rettslig grunnlag som følger av Grunnloven § 102 og Den europeiske menneskerettskonvensjon artikkel 8. Det kreves at det supplerende rettsgrunnlaget må være tilstrekkelig klart og tilgjengelig, at behandlingen er nødvendig og forholdsmessig, og i henhold til Grunnloven § 102 må det være hjemmel i nasjonal lov.

Hva som er tilstrekkelig behandlingsgrunnlag, må vurderes konkret og med utgangspunkt i hvor stort inngrep som gjøres i den registrertes personvern. Det betyr at jo mer inngripende en behandling er, desto tydeligere må hjemmelen være for at behandlingen skal kunne anses som lovlig. Det samme vil gjelde når vi behandler personopplysninger i stort omfang, om særlig sårbare grupper eller det er andre forhold som tilsier at det må være tydelig og forutsigbart at vi skal gjøre den aktuelle behandlingen for formålet å utføre en spesifikk oppgave. En klarere og tydeligere lovhjemmel kan for eksempel innebære at lovhjemmelen spesifiserer hvilken behandling som er lovlig, i hvilke tilfeller og for hvilke grupper. I praksis vil det si at vi i NAV må ha at et klarere og tydeligere grunnlag for å behandle personopplysninger når vi fører kontroll med ytelsene våre og krever tilbake penger, enn når vi behandler personopplysninger i vurderingen av søknader om ytelser. Vi har eksempelvis en egen hjemmel for masseinnhenting av personopplysninger for å føre kontroll i folketrygdloven § 21-4 d.

Artikkel 6 nr. 4 – Viderebehandling til nye formål

[Endret 05/24, 12/25]

Når en behandlingsansvarlig har samlet inn og begynt å behandle personopplysninger, er utgangspunktet at personopplysningene kun skal behandles for de formålene de er samlet inn for. Dette henger sammen med at alle behandlinger av personopplysninger må ha et eget behandlingsgrunnlag og prinsippet om formålsbegrensning i artikkel 5 nr. 1 bokstav b, som slår fast at personopplysninger ikke skal viderebehandles på en måte som er uforenlig med formålene de ble samlet inn for. Det vil si at personopplysningene kan samles inn for flere formål med flere behandlingsgrunnlag, men hvis vi finner ut at vi har behov for å bruke personopplysningene til et nytt formål etter at de er innhentet, må det gjøres en vurdering av om det er lovlig å viderebehandle opplysningene for det nye formålet. Det følger av forordningen at det er adgang til å viderebehandle personopplysninger. Viderebehandling er lovlig som nevnt i artikkel 5 nr. 1 bokstav b, hvis det er lovhjemmel eller er samtykket til den nye behandlingen, eller at vi etter en konkret vurdering kommer til at viderebehandlingen er forenlig med det opprinnelige formålet. Det betyr at det er forbud mot viderebehandling for formål som vurderes å være uforenlige med det opprinnelige formålet for behandlingen.

Det er presisert i artikkel 5 nr. 1 bokstav b at viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, ikke skal anses for uforenlig med de opprinnelige formålene. Viderebehandling av personopplysninger til disse formålene er lovlig. Når det gjelder tolkningen av behandling av personopplysninger i forbindelse med formål knyttet til vitenskapelig forskning, følger det av fortalepunkt 159 (forarbeidene til forordningen) at det bør «tolkes vidt og f.eks. omfatte teknologisk utvikling og demonstrasjon, grunnleggende forskning, anvendt forskning og privatfinansiert forskning».

Når vi skal behandle personopplysninger for arkivformål, vitenskapelig eller historisk forskning eller statistiske formål, stilles det krav i artikkel 89 nr. 1 om at behandlingen skal være i samsvar med de nødvendige garantiene i forordningen. Det vil si at behandlingen skal være i tråd med de generelle reglene i forordningen for å sikre den registrertes rettigheter og friheter, altså på samme måte som behandling av personopplysninger ellers. Personvernprinsippet i artikkel 5 om dataminimering, trekkes frem som eksempel i bestemmelsen, og betyr at vi skal begrense bruken av personopplysninger til det som er nødvendig for å oppnå formålet. Tilsvarende nevnes pseudonymisering som et særlig relevant tiltak dersom formålet kan oppnås med bruk av pseudonyme opplysninger.

Det følger av artikkel 6 nr. 4 at personopplysninger kan viderebehandles for andre formål enn det opprinnelige innsamlingsformålet når den registrerte har samtykket til det, eller hvis viderebehandling er fastsatt i norsk lov fordi det er av viktig samfunnsmessig betydning, jf. artikkel 23 nr. 1. I andre tilfeller kan vi gjøre en viderebehandling hvis vi etter en konkret vurdering kommer til at formålet med viderebehandlingen er forenlig med formålet personopplysningene ble samlet inn for. Den sistnevnte vurderingen, omtales som «forenlighetsvurderingen» og har flere likhetstrekk med den skjønnsmessige vurderingen av om det foreligger en berettiget interesse, jf. artikkel 6 nr. 1 bokstav f. Forenlighetsvurderingen bygger på en rekke vurderingsmomenter som er listet opp i artikkel 6 nr. 4 bokstav a - e. Dersom det konkluderes med at viderebehandlingen er forenlig med det opprinnelige innsamlingsformålet, vil viderebehandlingen være dekket av det opprinnelige behandlingsgrunnlaget. Det vil si at det ikke kreves et nytt rettslig grunnlag. Det følger av personvernforordningens fortalepunkt 50, som fastslår at «i et slik tilfelle kreves det ikke annet rettslig grunnlag enn det som ligger til grunn for innsamlingen av personopplysningene». Denne forståelsen er noe omtvistet, men følges av EU-domstolens avgjørelse i sak C-77/21 og i forarbeidene til personopplysningsloven, se Prop. 56 LS (2017-2018) punkt 6.6 og punkt 11.1.2. Arbeids- og velferdsetaten har valgt å følge det som er hovedoppfatningen på personvernområdet, om at det ikke kreves annet rettslig grunnlag enn det som ligger til grunn for opprinnelig innsamling av personopplysningene.

Det står ikke noe eksplisitt i personvernforordningen om viderebehandling av personopplysninger som nevnt i artikkel 9 og artikkel 10, altså særlige kategorier personopplysninger og opplysninger om straffedommer og lovovertredelser. Det følger imidlertid indirekte av artikkel 5 nr. 1 bokstav a og b, sett i sammenheng med artikkel 6, at alle behandlinger krever et eget rettslig grunnlag, og det følger forutsetningsvis av ordlyden i artikkel 6 nr. 4, ved at særlige kategorier personopplysninger omtales som en del av vurderingen. Det vil dermed være adgang til å viderebehandle personopplysninger som nevnt i artikkel 9 og artikkel 10, så lenge den konkrete vurderingen tilsier det.

En forenlighetsvurdering kan kun påropes av den samme behandlingsansvarlige som samlet inn personopplysningene. Dersom en behandlingsansvarlig deler opplysninger med en annen behandlingsansvarlig, kan ikke behandlingsansvarlig som opplysningene utleveres til, påberope seg forenlighetsvurdering for sin behandling av de mottatte opplysningene, ref. Prop 56 LS (2017-2018) punkt 11.1.2. Den behandlingsansvarlige som mottar personopplysningene, må kunne påvise et eget behandlingsgrunnlag.

For Arbeids- og velferdsetaten er det aktuelt å viderebehandle personopplysninger til en rekke ulike formål som ikke er lovregulert i dagens særlovgivning, men som kan utgjøre en sentral del av etatens forvaltningsvirksomhet. Det gjelder blant annet viderebehandling av innsamlede personopplysninger til innsikts- og analyseformål hvor formålet er å er å få bedre innsikt, kunnskap og erfaringer knyttet til etatens oppgaver. Innsikten og kunnskapen som analysearbeidet kan gi, vil kunne brukes til å utforme gode tjenester til etatens brukere, hensiktsmessige arbeidsprosesser, effektiv forvaltning og produsere kunnskapsgrunnlag for utvikling av arbeids- og velferdspolitikk.

Innsikt- og analyser kan gjennomføres på ulike måter som blant annet statistiske analyser, spørreundersøkelser, forskningsstudier, utredninger og rapporter, forsøksvirksomheter og kvalitative og kvantitative undersøkelser. Analysene gjøres ved hjelp av ulike metoder i hovedsak tradisjonell forskningsmetodikk, men også ved å ta i bruk ny teknologi som kunstig intelligens og maskinlæring. I mange tilfeller vil det være nødvendig å bruke allerede innsamlede personopplysninger (historikkdata) for å oppnå formålet med innsikts- og analysearbeidet. Som hovedregel er det ikke nødvendig å bruke direkte personidentifiserbare data, men det kan være behov for å anonymisere eller pseudonymisere disse for å ta de i bruk i analyse- og innsiktsarbeidet. For de tilfeller hvor etaten ønsker å viderebehandle personopplysninger til innsikts og analyseformål, må det først gjøres en konkret vurdering av hva som er formålet og om dette kan innfortolkes inn under de ordinære lovhjemler som Arbeids- og velferdsetaten forvalter, dvs. det supplerende lovhjemmelsgrunnlaget. Det innebærer en vurdering av om det nye formålet kan innfortolkes innenfor det supplerende lovhjemmelsgrunnlaget selv om det ikke fremgår uttrykkelig av lovteksten.

I slike vurderinger må det alltid gjøres en konkret vurdering av hvor inngripende behandlingen er. Jo mer inngripende formålet med behandlingen vil være, så kan det være nødvendig at det kreves et eget uttrykkelig lovhjemmelsgrunnlag. Det følger av legalitetsprinsippet. Personvernforordningen artikkel 6 nr. 3 annet ledd beskriver krav til det supplerende nasjonale rettsgrunnlag om hva som kan eller skal inntas i lovhjemmelsgrunnlaget. Som minimum må lovhjemmelen si noe om formålet med behandlingen. Forordningen forutsetter ikke at behandlingen fremgår eksplisitt av lovhjemmelsgrunnlaget. Det må antas å være tilstrekkelig at behandlingen er nødvendig forutsetning for å utføre oppgaver eller ivareta formålet som er fastsatt.

Hvis behandlingen er særlig inngripende kan det også være nødvendig at lovhjemmelen beskriver hvilke typer personopplysninger som behandles, hvilke aktiviteter som utføres og hvordan disse gjennomføres.

Arbeids- og velferdsetaten har lagt til grunn at personopplysninger som er innhentet for et gitt formål innen etatens tjeneste- og ytelsesområder kan viderebehandles til innsikts – og analyseformål innen samme område. Det at etaten følger opp tjenester og ytelser innenfor et tjeneste- eller ytelsesområde er nødvendig for å utføre den lovpålagte oppgaven for å sikre kvalitet og effektivitet i saksbehandlingen, selv om dette formålet ikke fremgår uttrykkelig av det rettslige grunnlaget. For eksempel vil personopplysninger som er innhentet i forbindelse med sykefraværsoppfølging med hjemmel i folketrygdloven kapittel. 8, kunne viderebehandles til analyser og innsiktsarbeid med formål å forbedre oppfølgingstjenester innenfor ytelsesområdet. Det mener vi kan innfortolkes i det supplerende behandlingsgrunnlaget som følger av bestemmelsene i Nav-loven § 4 om Arbeids- og velferdsetatens hovedoppgaver og Nav-loven § 4 a om behandling av personopplysninger «når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter de lovene som etaten administrerer», supplert med særlovgivningen i folketrygdlovens kapittel. 8 Sykepenger.

Det er ofte et ønske om å gjøre analyser på tvers av ulike tjeneste og ytelsesområder, slik at etaten kan jobbe for å få til en bedre sammenheng og overgang mellom ulike ytelser. Det vises her til lovgivers intensjon om Nav-lovens formål i lovens § 1 om å «legge til rette for en effektiv arbeids- og velfersforvaltning, tilpasset den enkeltes og arbeidslivets behov og basert på en helhetlig anvendelse av arbeidsmarkedsloven, folketrygdloven, lov 18. desember 2009 nr. 131 om sosiale tjenester i arbeids- og velfersforvaltningen og andre lover som forvaltes av arbeids- og velferdsforvaltningen». Denne formålsbestemmelsen legger til rette for en helhetlig og samordnet anvendelse av de ulike lovhjemler, herunder disse lovenes formålsbestemmelser. Det siste fremgår av forarbeidene til Nav-loven, se Ot prp nr. 47 (2005-2006) punkt 12. En rekke av stønadsområdene i etaten henger nært sammen. Et eksempel er helserelaterte ytelser i folketrygdloven som avløser hverandre, for eksempel sykepenger, arbeidsavklaringspenger og uførepensjon. I tillegg til hver sine spesifikke formål og behandlingsgrunnlag har disse ytelsene til felles et overordnet formål om å sikre tapt inntekt ved helse/skade og som støtter opp under det overordnede formålet i Nav-loven § 1.

Dersom etaten skal benytte opplysninger som er innhentet for slike ulike formål, må det sikres at disse formålene ikke er uforenlige. Det er et grunnleggende vilkår at den opprinnelige behandlingen har hjemmel. Dersom det ikke kan utledes et behandlingsgrunnlag ut fra lovhjemlene eller ut fra de øvrige bestemmelsene i artikkel 6 nr. 1 og ev. artikkel 9 nr. 2, er en forenlighetsvurdering etter artikkel 6 nr. 4 det eneste mulige alternativet for Nav som forvaltningsvirksomhet. Innsikt- og analyseformål på tvers av ulike tjeneste- og ytelsesformål som oppfyller personvernforordningens definisjon av statistikk, vitenskapelig eller historisk forskning, kan derimot gjennomføres uavhengig av forenlighetsvurdering etter artikkel 6 nr. 4, jf. artikkel 5 nr. 1 bokstav b.

I tilfeller hvor vi i saksbehandlingen av saker etter folketrygdloven bruker opplysninger vi har fra én sak i en annen sak, vil det ikke være nødvendig å gjøre en forenlighetsvurdering. Der det er behov for å se på opplysninger som gjelder en tidligere sak, har vi egen hjemmel i folketrygdloven § 21-4 første ledd. Dette tilfellet faller dermed innenfor artikkel 6 nr. 1 bokstav e, utøvelse av offentlig myndighet med et supplerende rettslig grunnlag i folketrygdloven. Det kan eksempelvis være behov for dette når en brukers restarbeidsevne skal vurderes ved behandling av søknad om uføretrygd, og det benyttes dokumentasjon fra brukers tidligere sak om arbeidsavklaringspenger.