DEN NORSKE KIRKE
Postboks 799 Sentrum Unntatt offentlighet:
0106 OSLO Offl. § 13, jf. personopplysningsloven § 24 første ledd
2. punktum
Deres referanse Vår referanse Dato
20/01772-19 09.01.2023
Vedtak om irettesettelse - Behandling av mindreåriges opplysninger i Den
norske kirke
1. Innledning
Vi viser til vårt varsel om vedtak om irettesettelse mot Den norske kirke ved Kirkerådet
(heretter «DNK») datert 23. juni 2021, og DNKs merknader til varselet av 1. juli 2021.
I merknadene beklaget DNK bruddene på personvernforordningen og tar Datatilsynets
varslede vedtak om irettesettelse til etterretning. I merknadene skriver DNK videre at
organisasjonen vil sørge for etterlevelse av personvernkravene som det ble redegjort for i
Datatilsynets brev med påpeking av plikt av 1. juli 2021. Datatilsynet mottok kommentarer
fra Human-Etisk Forbund (heretter «HEF») på vegne av klagerne 7. september 2021.
2. Varsel om vedtak om irettesettelse
Datatilsynet fatter ved dette vedtak om irettesettelse mot Den norske kirke ved Kirkerådet,
818 066 872, for:
• Brudd på personvernforordningen artikkel 6 nr. 1, ved å innhente fødselsmeldinger for
medlemmers barn fra Folkeregisteret fra 1. oktober til 14. november 2018, og ved å
fortsette å lagre av personopplysningene som ble samlet inn gjennom
fødselsmeldingene, uten gyldig rettslig grunnlag.
• Brudd på personvernforordningen artikkel 14 nr. 1 bokstav d og nr. 2 bokstav f, jf.
artikkel 12 nr. 1, ved å ikke gi lett tilgjengelig informasjon til de registrerte om
innsamlingen av fødselsmeldinger for medlemmers barn fra Folkeregisteret.
Vår hjemmel for å utstede irettesettelse er personvernforordningen artikkel 58 nr. 2 bokstav b.
3. Sakens bakgrunn
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
Klagen fra Human-Etisk Forbund datert 28. februar 2020
Datatilsynet mottok 28. februar 2020 en klage på behandlingen av mindreårige tilhøriges
personopplysninger i Den norske kirke ved Kirkerådet (heretter DNK) fra Human-Etisk
Forbund (heretter HEF) og Bull & Co Advokatfirma på vegne av åtte registrerte.
Av klagen fremgikk det at klagerne reagerte på at de eller deres barn fortsatt sto oppført som
tilhørige i Den norske kirke, til tross for at statskirkeordningen var opphevet og ny
folkeregisterlov var trådt i kraft. Dette gjaldt også et barn som ble født etter 1. oktober 2018,
da hjemmelen for tilgang til taushetsbelagte opplysninger fra Folkeregisteret hadde opphørt.
Klagerne skrev at registreringen hadde skjedd uten deres kunnskap, og til tross for at de eller
deres foresatte aldri foretok seg noe aktivt i form av innmelding, dåp eller kirkelig
konfirmasjon. I klagen ble det også pekt på at enkelte registrerte hadde prøvd å melde seg ut
flere ganger, uten å lykkes. Felles for klagerne er at de opplevde å ikke være informert om hva
som skjedde med deres og deres barns personopplysninger.
I klagen ble det anført at Den norske kirke bryter med prinsippet om åpenhet i
personvernforordningen artikkel 5 nr. 1 bokstav a og informasjonskravene i artikkel 14.
Videre ble det anført det at DNK bryter dataminimeringsprinsippet i artikkel 5 nr. 1 bokstav c
ved å lagre personopplysninger om de tilhørige helt frem til de er 18 år gamle.
Basert på klagen sendte Datatilsynet krav om redegjørelse til DNK 12. august 2020, og nye
krav om ytterligere redegjørelser 16. desember 2020 og 21. april 2021.
Redegjørelser fra DNK i brev datert 2. september 2020, 22. januar 2021 og 11. mai 2021
DNK svarte på Datatilsynets krav om redegjørelser 2. september 2020, 22. januar 2021 og 11.
mai 2021.
I svaret av 2. september 2020 fremgikk det at DNK behandlet personopplysninger om
mindreårige tilhørige med formål om å oppfylle sine plikter i den nå opphevede kirkeloven §
3. I tillegg telte tilhørige sammen med DNKs medlemmer i beregningsgrunnlaget for statens
tilskudd til tros- og livssynssamfunn i henhold til kirkeloven og lov om trudomssamfunn og
ymist anna. Både kirkeloven og lov om trudomssamfunn og ymist anna ble 1. januar 2021
erstattet med den nye trossamfunnsloven.
DNK viste til at deres medlemsregistrering hadde rettslig grunnlag i personvernforordningen
artikkel 6 nr. 1 bokstav c og e, og at supplerende rettsgrunnlag i henhold til artikkel 6 nr. 3 var
kirkeloven § 3 nr. 10 og bestemmelser i den tilhørende forskrift om Den norske kirkes
medlemsregister1. DNK anførte at registerplikten først opphørte ved 18 år, og at
personopplysninger derfor ikke kunne slettes tidligere. For behandling av særlige kategorier
av personopplysninger, ble det anført at personvernforordningen artikkel 9. nr. 2 bokstav d og
g var oppfylt.
1
FOR-2016-04-12-1205
2
DNK anførte videre at DNK var unntatt fra informasjonsplikten i personvernforordningen i
medhold av unntaket i artikkel 14 nr. 5 bokstav c. Det gis likevel i varierende grad
informasjon på nasjonalt og regionalt nivå gjennom personvernerklæringer på kirken.no eller
lokale nettsider, samt gjennom dåpsinvitasjoner som sendes ut. I redegjørelsen datert 11. mai
2021 la DNK frem dokumentasjon på den informasjonen som var tilgjengelig for de
registrerte i tidsrommet fra 20. juli til 1. oktober 2018.
Årsaken til at ikke alle utmeldinger fra klagerne har blitt effektuert, kan ifølge DNK være feil
fra lokal menighet.
DNK informerte videre om at leveransen av fødselsmeldinger fra Folkeregisteret ikke stoppet
opp 1. oktober 2018, da hjemmelen for tilgang til taushetsbelagte opplysninger fra
Folkeregisteret opphørte. DNK hadde en pågående klagesak til behandling hos Skatteetaten
angående rettigheter til folkeregisteropplysninger, og ble informert av EVRY
Informasjonstjenester om at det ble anbefalt å ikke gjøre endringer før denne klagesaken var
avgjort. Kirkerådet fikk etter hvert bragt på det rene at dette var en feilaktig vurdering, og
leveransen av fødselsmeldinger stoppet 14. november 2018.
DNK vurderte deretter at barna som ble registrert gjennom fødselsmeldinger i perioden 1.
oktober til 14. november 2018 var korrekt registrert i henhold til kirkeloven § 3, og lot derfor
disse oppføringene bli stående.
Datoen 1. oktober 2018 ble etter hvert en kjent dato for endringene i tilgangen til
folkeregisteropplysninger. Derfor ønsket DNK at den automatiske registreringen av tilhørige i
medlemsregisteret skulle samsvare med denne datoen. DNK bestilte derfor en sletting av
personopplysningene til barna som ble registrert gjennom fødselsmeldinger i perioden 1.
oktober–14. november 2018 i september 2019. Prosedyre for slettejobben ble utført og
godkjent i medlemsregisterets testmiljø, men ved en feil ble det ikke gjennomført nøyaktig
samme prosedyre i medlemsregisterets produksjonsmiljø. Det ble derfor slettet noe mindre
data i produksjonsmiljøet. Dermed ble de tilhørige født i perioden 1. oktober–14. november
2018 fortsatt liggende i medlemsregisteret. Disse opplysningene ble senere slettet 18. august
2020.
I redegjørelsen av 2. september informerte DNK om at personopplysninger om tilhørige ville
bli slettet ved opphøret av kirkelovens automatiske tilhørighetsordning for barn i Den norske
kirke 1. januar 2021, med mindre foreldrene meldte barnet inn i DNK og DNK dermed fikk et
annet rettslig grunnlag for behandlingen av deres personopplysninger. I redegjørelsen av 22.
januar 2021 ble det informert om at av de 109 663 tilhørige som var registrert i
medlemsregisteret før årsskiftet, ble personopplysningene til 108 880 slettet av DNK.
Nye klagepunkter i HEFs brev til Datatilsynet datert 30. september 2020 og 22. februar 2021.
HEF har kommet med merknader til redegjørelsene Datatilsynet har mottatt fra DNK, og har i
denne forbindelse utvidet klagen på vegne av de registrerte.
3
HEF anfører at overføringen av taushetsbelagt folkeregisterinformasjon etter 1. oktober
2018, samt den fortsatte behandlingen av disse personopplysningene, var ulovlig.
Videre anføres det at DNK ikke har iverksatt tilstrekkelige tekniske eller organisatoriske tiltak
etter personvernforordningen artikkel 24, og at overføringen av taushetsbelagt
folkeregisterinformasjon etter 1. oktober 2018 ikke ble dokumentert og rapportert til
Datatilsynet personvernforordningen artikkel 33. Det ble videre anført at DNK ikke hadde
gjennomført en DPIA i henhold til personvernforordningen artikkel 35.
Datatilsynets varsel, merknader fra NDK og kommentarer fra HEF
Datatilsynet varslet vedtak om irettesettelse mot DNK 23. juni 2021 for brudd på
personvernforordningen artikkel 6 nr. 1 bokstav a og artikkel 14 nr. 1 bokstav d og nr. 2
bokstav f, jf. artikkel 12 nr. 1.
I sine merknader til varselet av 1. juli 2021 tok DNK Datatilsynets vurderinger til etterretning
og beklaget bruddene.
I sine kommentarer til varselet av 7. september 2021, ba HEF Datatilsynet revurdere sin
varslede konkusjon vedrørende spørsmålet om dataminimering, behandle alle klagepunktene
samlet og i alle tilfeller revurdere sin varslede sanksjon om irettesettelse.
4. Rettslig bakgrunn
Personvernforordningen og behandlingsansvar
Personopplysningsloven gjennomfører personvernforordningen i norsk rett, og trådte i kraft
20. juli 2018.
Det følger av personvernforordningen artikkel 4 nr. 7 at den behandlingsansvarlige er den
som bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal
benyttes.
Prinsipper for behandling av personopplysninger og rettslig grunnlag
De grunnleggende prinsippene for behandling av personopplysninger følger av
personvernforordningen artikkel 5 nr. 1. Her følger det blant annet at:
• Personopplysninger skal behandles på en lovlig, rettferdig og åpen måte, jf. bokstav a.
• Personopplysningene som behandles skal være adekvate, relevante og begrenset til det
som er nødvendig for formålene de behandles for, jf. bokstav c.
• Personopplysningene skal ikke lagres i lenger perioder enn det som er nødvendig for
formålene de behandles for, jf. bokstav e.
Den behandlingsansvarlige skal kunne påvise at personvernprisnippene overholdes, jf.
artikkel 5 nr. 2.
4
All behandling av personopplysninger må ha et rettslig grunnlag etter personvernforordningen
artikkel 6 nr. 1 for å være lovlig. Rettslige grunnlag for behandlingen kan være:
• Den registrerte har samtykket til behandling av personopplysninger til et eller flere
spesifikke formål, jf. bokstav a.
• Behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den
behandlingsansvarlige, jf. bokstav c.
• Behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller
utøve offentlig myndighet som den behandlingsansvarlige er pålagt, jf. bokstav e.
• Behandlingen er nødvendig for formål knyttet til de berettigede interessene som
forfølges av den behandlingsansvarlige eller tredjepart, med mindre den registrertes
interesser eller grunnleggende rettigheter og friheter går foran og krever vern av
personopplysninger, særlig dersom den registrerte er et barn, jf. bokstav f.
Grunnlagene for behandling etter artikkel 6 nr. 1 bokstav c og e skal følge av norsk rett, jf.
artikkel 6 nr. 3.
For særlige kategorier av personopplysninger, som personopplysninger om religion, helse
eller seksuell orientering, er utgangspunktet at slik behandling er forbudt, med mindre noen av
unntakene i forordningens artikkel 9 nr. 2 får anvendelse. Opplysninger om slektsforhold kan
for eksempel utlede opplysninger om seksuell orientering. Dette kravet kommer i tillegg til
kravet om behandlingsgrunnlag etter artikkel 6.
Barn har rett til et særskilt vern om sine personopplysninger og sitt personvern, jf.
personvernforordningens fortalepunkt nr. 38.
Informasjonskrav
Den som får sine personopplysninger behandlet har rett til informasjon om flere forhold. Når
personopplysningene er innhentet fra andre enn den registrerte, følger det av
personvernforordningen artikkel 14 at man blant annet skal informeres om identiteten og
kontaktopplysningene til den behandlingsansvarlige og deres eventuelle personvernombud,
formålene opplysningene behandles for, behandlingsgrunnlaget, de berørte kategoriene av
personopplysninger, tidsrommet for lagring av opplysningene, kilden opplysningene stammer
fra og retten til å anmode sletting av personopplysninger, jf. artikkel 14 nr. 1 og 2. Dersom
behandlingen er basert på artikkel 6 nr. 1 bokstav f må det også informeres om de berettigede
interessene som forfølges av den behandlingsansvarlige eller en tredjepart, jf. artikkel 14 nr.
2.
Den behandlingsansvarlige skal treffe egnede tiltak for å gi den informasjonen som er påkrevd
etter artikkel 14 på en kortfattet, åpen, forståelig og lett tilgjengelig måte, og på et klart og
enkelt språk, jf. artikkel 12 nr. 1.
Informasjonen skal gis innen en rimelig frist etter at personopplysningene er samlet inn, men
senest innen én måned, jf. artikkel 14 nr. 3, bokstav a.
5
Etter artikkel 14 nr. 5 kommer ikke til denne artikkelen til anvendelse dersom:
• Den registrerte allerede har informasjonen, jf. bokstav a.
• Det viser seg umulig å gi nevnte informasjon eller det vil innebære en
uforholdsmessig stor innsats, jf. bokstav b.
• Innsamlingen er uttrykkelig fastsatt i unionsretten eller medlemstatenes nasjonale rett
som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å
verne den registrertes berettigede interesser.
Sletting av personopplysninger
Artikkel 17 gir den registrerte i mange tilfeller en rett til å få slettet sine personopplysninger,
og den behandlingsansvarlige har også en plikt til å slette personopplysningene på eget
initiativ dersom bestemte vilkår er oppfylt. Etter artikkel 17 nr. 1 bokstav d gjelder dette blant
annet dersom personopplysningene har blitt behandlet ulovlig.
Artikkel 17 nr. 1 og 2 får ikke anvendelse dersom behandlingen er nødvendig for å oppfylle
en rettslig forpliktelse eller for å utføre en oppgave i allmennhetens interesse eller utøve
offentlig myndighet som den behandlingsansvarlige er pålagt, jf. artikkel 17 nr. 3 bokstav b.
Tilhørighetsordningen for barn i Den norske kirke
Kirkelovens automatiske tilhørighetsordning for barn i Den norske kirke ble opphevet ved
ikrafttredelsen av den nye trossamfunnsloven 1. januar 2021. Den nye trossamfunnsloven
erstattet både kirkeloven og lov om trudomssamfunn og ymist anna. I lovens forarbeider, Prop
130 L (2018-2019) s. 141, følger det:
«Siden loven ikke lenger gir regler om at barn automatisk tilhører Den norske kirke så
fremt én eller begge foreldrene er medlem, vil det ikke være et lovpålagt krav om at
tilhørige skal inngå i registeret, jf. også merknadene til de enkelte bestemmelsene i
lovforslaget § 17.»
Før den nye trossamfunnsloven trådte i kraft 1. januar 2021, fulgte det av kirkeloven § 3 nr. 2
at barn anses å høre inn under Den norske kirke såfremt en av foreldrene er medlem.
Barn som ble ansett å høre inn under Den norske kirke, ble medlem av denne når de ble døpt.
Dersom barnet fylte 18 år uten å være døpt, ble vedkommende ikke lenger ansett å høre inn
under Den norske Kirke, jf. § 3 nr. 5.
Personer som ble ansett å høre inn under eller var medlem i Den norske kirke, ble registrert i
Den norske kirkes sentrale medlemsregister, jf. § 3 nr. 10. Regler om registerføringen ble gitt
av Kirkemøtet, og Kirkerådet er behandlingsansvarlig for det sentrale medlemsregisteret, jf.
forskrift om den Norske kirkes medlemsregister § 4.
Innsamling av opplysninger om medlemmers barn fra folkeregisteret
6
Tidligere har DNK mottatt digitale fødselsmeldinger direkte fra Folkeregisteret. Koblet til
medlemsinformasjonen registrert på foreldre, kunne DNK dermed føre tilhørige inn i kirkens
medlemsregister basert på disse opplysningene.
I folkeregisterloven som trådte i kraft 1. oktober 2017 er opplysninger om slektskap underlagt
taushetsplikt, jf. folkeregisterloven § 9-1, og kan bare utleves til offentlige og private
virksomheter som har hjemmel i lov til å innhente disse opplysningene, jf. § 10-2.
DNK hadde hjemmel til å motta fødselsmeldingene i overgangsordningen i folkeregisterloven
§ 13-1 frem til 1. oktober 2018, men har etter dette ikke noen slik lovhjemmel.
5. Datatilsynets vurdering
5.1. Avgrensing i Datatilsynets vurderinger
Personopplysningsloven gjennomfører personvernforordningen i norsk rett, og trådte i kraft
20. juli 2018. Datatilsynet har begrenset våre undersøkelser i denne saken til behandlinger av
personopplysninger som har funnet sted etter personvernforordningen trådte i kraft.
5.2. Behandling av fødselsmeldinger innsamlet fra Folkeregisteret fra 1. oktober til 14.
november 2018 – artikkel 6
Innsamlingen av fødselsmeldinger fra Folkeregisteret fra 1. oktober til 14. november 2018
DNK har i redegjørelsene informert om at leveransene av fødselsmeldinger fra Folkeregisteret
ikke stanset opp 1. oktober 2018, men fortsatte frem til 14. november 2018.
Enhver behandling av personopplysninger krever et rettslig grunnlag etter artikkel 6 nr. 1 for å
være lovlig, herunder innsamlingen av personopplysningene.
Datatilsynet vurderer dermed hvorvidt DNK hadde rettslig grunnlag for innsamlingen av
fødselsmeldinger fra Folkeregisteret fra 1. oktober til 14. november 2018.
Datatilsynet ba i vårt krav om redegjørelse av 16. desember 2020 DNK redegjøre for hvilket
rettslig grunnlag i personvernforordningen artikkel 6 nr. 1 DNK hadde for å innsamle
personopplysningene om medlemmers barn gjennom fødselsmeldinger fra Folkeregisteret i
perioden 1. oktober til 14. november 2018.
DNK svarte i redegjørelsen av 22. januar 2021 at det ikke var DNKs intensjon å innsamle de
aktuelle taushetsbelagte personopplysningene i strid med loven. Det ble likevel vurdert at
DNK hadde rettslig grunnlag til å fortsatt lagre personopplysningene om de tilhørige mottatt
gjennom fødselsmeldinger fra Folkeregisteret fra 1. oktober til 14. november 2018 i deres
medlemsregister i medhold av artikkel 6 nr. 1 bokstav c og e.
For behandling av personopplysninger med rettslig grunnlag i artikkel 6 nr. 1 bokstav c og e,
kreves det at grunnlaget for behandlingen er fastsatt i nasjonal rett, jf. artikkel 6 nr. 3. DNK
7
har vist til at det supplerende rettslige grunnlaget for å lagre personopplysningene om de
tilhørige mottatt gjennom fødselsmeldinger fra Folkeregisteret fra 1. oktober til 14. november
2018 i DNKs medlemsregister, var kirkeloven § 3 nr. 10 jf. § 3 nr. 5.
Datatilsynet vurderer først hvorvidt grunnlaget for innsamling av de tilhøriges
fødselsmeldinger fra 1. oktober til 14. november 2018 var fastsatt i nasjonal rett, jf. artikkel 6
nr. 3.
Av fortalepunkt 45 følger det at det ikke kreves en særlig lovbestemmelse for hver enkelt
behandling. En lov kan være tilstrekkelig som grunnlag for flere behandlingsaktiviteter. Det
rettslige grunnlaget kan videre presisere forordningens allmenne vilkår for lovlig behandling
av personopplysninger.
Som nevnt i punkt 5.2 har kirken hatt hjemmel til å registrere tilhørige i deres
medlemsregister, jf. § 3 nr. 10 jf. § 3 nr. 5. Det fulgte videre av § 10 i forskrift om Den norske
kirkes medlemsregister at DNK pliktet å holde medlemsregisteret à jour på grunnlag av
opplysninger fra Statens kartverks matrikkel, Det sentrale folkeregister og Enhetsregisteret.
Innhenting og bruk av folkeregisteropplysninger er imidlertid spesialregulert i
folkeregisterloven som trådte i kraft 1. oktober 2017. Formålet til loven er ifølge § 1-2 å bidra
til at opplysningene i Folkeregisteret skal kunne brukes til myndighetsoppgaver og offentlig
forvaltning, forskning, statistikk og til å ivareta grunnleggende samfunnsbehov. Etter denne
loven er opplysninger om slektskap underlagt taushetsplikt, jf. folkeregisterloven § 9-1, og
kan dermed bare utleves til offentlige og private virksomheter som har hjemmel i lov til å
innhente disse opplysningene, jf. § 10-2.
Kirkeloven § 3 sa ingenting om utlevering av taushetsbelagte opplysninger om slektskap fra
Folkeregisteret, og ga ikke hjemmel som nevnt i Folkeregisterloven § 10-2 første ledd. DNK
hadde heller ikke annen lovhjemmel for utlevering av taushetsbelagte opplysninger fra
Folkeregisteret.
DNK hadde imidlertid tillatelse til utlevering av fødselsmeldingene gjennom vedtak datert 18.
juni 2001 etter gammel folkeregisterlov, og hadde dermed hjemmel til å motta
fødselsmeldingene gjennom overgangsordningen i folkeregisterloven § 13-1 første punktum
frem til den bortfalt et år etter loven trådte i kraft. Folkeregisterloven trådte i kraft 1. oktober
2017, og adgangen til å motta fødselsmeldinger bortfalt dermed 1. oktober 2018.
Dersom parten innen dette året hadde søkt om «tilsvarende utlevering av opplysninger», gjaldt
adgangen frem til registermyndigheten hadde truffet vedtak i saken, jf. folkeregisterloven §
13-1 andre punktum. Ut ifra korrespondansen mellom DNK, Finansdepartementet og
Skattedirektoratet, var det etter Datatilsynets syn avklart senest 19. september 2018 at DNK
ikke hadde en søknad til behandling om «tilsvarende utlevering» av opplysninger til
behandling, ettersom DNKs dagjeldende sak ikke omfattet tilgangen til de taushetsbelagte
opplysningene om slektskap. DNKs tillatelse til å motta taushetsbelagte opplysninger om
slektskap gjaldt derfor ikke fra 1. oktober 2018.
8
At det senere oppsto misforståelser gjennom DNKs kommunikasjon med EVRY, og at det
som følge av dette ble besluttet at innhentingen av fødselsmeldinger fra Folkeregisteret ikke
skulle stanses, endrer ikke på konklusjonen om at innsamlingen av fødselsmeldinger var i
strid med folkeregisterloven. Vi påpeker videre at det er DNK som behandlingsansvarlig som
var ansvarlig for å sikre og påvise at behandling av personopplysninger skjer i tråd med
reglene i personvernforordningen, jf. artikkel 5 nr. 2 og artikkel 24 nr. 1. Vi viser for ordens
skyld også til at det fulgte av punkt 3.1 i den gjeldende avtalen mellom DNK og EVRY:
«Tilgang til Tjenestene er avhengig av tillatelse fra SKD (kompetent
folkeregistreringsmyndighet). Kunden er selv ansvarlig for å administrere slik søknad.
Kunden har ansvaret for å behandle Data i samsvar med gjeldende lover og
forskrifter.»
Ettersom DNKs innsamling av de tilhøriges fødselsmeldinger fra 1. oktober til 14. november
2018 var i strid med folkeregisterloven, var ikke grunnlaget for innsamling av de tilhøriges
fødselsmeldinger fra Folkeregisteret fastsatt i nasjonal rett, jf. artikkel 6 nr. 3.
Det er dermed klart at denne innsamlingen ikke var «nødvendig for å oppfylle en rettslig
forpliktelse som påhviler den behandlingsansvarlige, eller «nødvendig for å utføre en oppgave
i allmenhetens interesse», jf. artikkel 6 nr. 1 bokstav c og e.
Datatilsynets presiserer for ordens skyld at lovstridig innsamling av personopplysninger heller
ikke vil kunne utgjøre en «berettiget interesse» for den behandlingsansvarlige, jf. artikkel 6
nr. bokstav f.
DNK hadde dermed ikke rettslig grunnlag i artikkel 6 for innsamlingen av fødselsmeldinger
fra Folkeregisteret fra 1. oktober til 14. november 2018, og den aktuelle behandlingen av
personopplysninger var ulovlig.
Fortsatt lagring av personopplysninger innsamlet gjennom fødselsmeldinger fra
Folkeregisteret fra 1. oktober til 14. november 2018
Selv om det etter hvert ble avklart fra DNKs side at overføringen av fødselsmeldinger fra
Folkeregisteret fra 1. oktober til 14. november 2018 ikke var i tråd med folkeregisterloven,
vurderte DNK at barna som ble registrert gjennom fødselsmeldinger i perioden 1. oktober til
14. november 2018 var korrekt registrert i henhold til kirkeloven § 3, og lot disse
oppføringene bli stående.
All behandling av personopplysninger, herunder lagring, krever et rettslig grunnlag i artikkel
6 nr. 1 for å være lovlig.
Videre er utgangspunktet at den behandlingsansvarlige plikter å slette personopplysninger
uten ugrunnet opphold dersom de har blitt behandlet ulovlig, jf. artikkel 17 nr. 1 bokstav d.
Datatilsynet har ovenfor konkludert med innsamlingen av fødselsmeldinger fra
Folkeregisteret fra 1. oktober til 14. november 2018 var i strid med folkeregisterloven, og at
9
den ikke hadde rettslig grunnlag i personvernforordningen artikkel 6. Den aktuelle
behandlingen av personopplysninger var dermed ulovlig.
Det følger imidlertid av artikkel 17 nr. 3 bokstav b at artikkel 17 nr. 1 ikke gjelder dersom
behandlingen er nødvendig for å oppfylle en rettslig forpliktelse eller for å utføre en oppgave i
allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er
pålagt. Denne bestemmelsen viser til behandling av personopplysninger som har rettslig
grunnlag i artikkel 6 nr. 1 bokstav c og e.
Datatilsynet vurderer derfor hvorvidt DNK hadde rettslig grunnlag i personvernforordningen
artikkel 6 nr. 1 for videre lagring av personopplysningene innsamlet gjennom
fødselsmeldinger fra Folkeregisteret fra 1. oktober til 14. november 2018.
DNK har vist til at dere hadde rettslig grunnlag i artikkel 6 nr. 1 bokstav c og e til å lagre
personopplysningene om de tilhørige mottatt gjennom fødselsmeldinger fra Folkeregisteret
fra 1. oktober til 14. november 2018 i deres medlemsregister.
For behandling av personopplysninger med rettslig grunnlag i artikkel 6 nr. 1 bokstav c og e,
kreves det at grunnlaget for behandlingen er fastsatt i nasjonale rett, jf. artikkel 6 nr. 3. DNK
har som nevnt anført at det supplerende rettslige grunnlaget for å lagre personopplysningene
om de tilhørige mottatt gjennom fødselsmeldinger fra Folkeregisteret fra 1. oktober til 14.
november 2018 i deres medlemsregister, var kirkeloven § 3 nr. 10 jf. § 3 nr. 5.
Datatilsynet vurderer først hvorvidt grunnlaget for lagringen av personopplysninger om de
tilhørige innsamlet fra fødselsmeldinger fra Folkeregisteret 1. oktober til 14. november 2018
var fastsatt i nasjonal rett, jf. artikkel 6 nr. 3.
Av fortalepunkt 45 følger det som nevnt at det ikke kreves en særlig lovbestemmelse for hver
enkelt behandling. En lov kan være tilstrekkelig som grunnlag for flere behandlingsaktiviteter.
Det rettslige grunnlaget kan videre presisere forordningens allmenne vilkår for lovlig
behandling av personopplysninger.
Av kirkeloven § 3 følger det at DNK skal registrere tilhørige i deres medlemsregister.
Innsamlingen av de aktuelle fødselsmeldingene var imidlertid i strid med folkeregisterloven §
10-2. Av folkeregisterforskriften2 § 10-2-1 følger det videre at taushetsbelagte opplysninger
ikke må brukes til annet formål enn det er gitt tillatelse til. DNK hadde ikke noen tillatelse fra
Skatteetaten til å bruke de taushetsbelagte opplysningene, og fortsatt lagring av opplysningene
var dermed også i strid med folkeregisterforskriften § 10-2-1. Folkeregisterloven og
tilhørende forskrifter er en spesialregulering for folkeregisteropplysninger, og vil etter
Datatilsynets vurdering her gå foran den eldre kirkeloven ved en eventuell motstrid. Vi
påpeker imidlertid for ordens skyld at verken kirkeloven eller tilhørende forskrifter påla DNK
å innhente de aktuelle fødselsmeldingene fra Folkeregisteret.
2
FOR-2017-07-14-1201
10
Ettersom fortsatt lagring av de taushetsbelagte folkeregisteropplysningene innsamlet gjennom
fødselsmeldinger var i strid med folkeregisterregelverket, var ikke grunnlaget for fortsatt
lagring av personopplysningene fra de ulovlig innhentede fødselsmeldingene fra
Folkeregisteret fastsatt i nasjonal rett, jf. artikkel 6 nr. 3.
DNK hadde dermed ikke rettslig grunnlag for fortsatt lagring av personopplysninger fra
fødselsmeldinger innsamlet fra Folkeregisteret fra 1. oktober til 14. november 2018, og den
aktuelle behandlingen av personopplysninger var ulovlig.
5.3. Informasjon til de registrerte om behandlingen av personopplysninger - artikkel 14
HEF har anført at DNK brøt med informasjonskravene i personvernforordningen artikkel 5
bokstav a og artikkel 12-14 knyttet til behandlingen av personopplysninger om tilhørige.
I vårt krav om redegjørelse av 12. august 2020 ba vi DNK redegjøre for hvordan DNK har
oppfylt informasjonskravene i artikkel 14 der barns personopplysninger har blitt registrert
basert på folkeregisteropplysninger frem til denne ordningen opphørte 1. oktober 2018.
I redegjørelsen av 2. september 2020 har DNK anført at DNK var omfattet av unntaket i
personvernforordningen artikkel 14 nr. 5 bokstav c. Det vises imidlertid til at det likevel er
gjennomført noen informasjonstiltak, blant annet gjennom personvernerklæringer på
kirken.no og artikler på nettsiden.
Det følger av personvernforordningen artikkel 14 nr. 5 bokstav c at artikkel 14 nr. 1-4 ikke får
anvendelse dersom «innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller
medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som
inneholder egnede tiltak for å verne den registrertes berettigede interesser».
Datatilsynet vurderer først om DNKs innsamling av fødselsmeldinger fra Folkeregisteret var
uttrykkelig fastsatt medlemsstatenes nasjonale rett som den behandlingsansvarlige er
underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser,
jf. artikkel 14 nr. 5 bokstav c.
Med formuleringen «uttrykkelig» er det klart at det her kreves noe mer enn bare at grunnlaget
for behandlingen er fastsatt i medlemsstatens nasjonale rett som den behandlingsansvarlige er
underlagt, slik det følger av artikkel 6 nr. 3. For artikkel 6 nr. 3 kreves det ikke en særlig
lovbestemmelse for hver enkelt behandling, jf. fortalepunkt 45. En lov kan være tilstrekkelig
som grunnlag etter artikkel 6 nr. 3 for flere behandlingsaktiviteter som bygger på en rettslig
forpliktelse som påhviler den behandlingsansvarlige, eller dersom behandlingen er nødvendig
for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet.
Article 29 Data Protection Working Party, forgjengeren til Personvernrådet (EDPB), har i
Guidelines on transparency under Regulation 2016/679 uttalt at unntakene i artikkel 14 b
11
«should, as a general rule, be interpreted and applied narrowly.»3 Videre uttales det spesifikt
om unntaket i artikkel 14 nr. 5 bokstav c i punkt 66:
«Such a law must directly address the data controller and the obtaining or disclosure
in question should be mandatory upon the data controller. Accordingly, the data
controller must be able to demonstrate how the law in question applies to them and
requires them to either obtain or disclose the personal data in question.»
En slik tolkning, hvor den aktuelle innsamlingen eller utleveringen av personopplysningene
må følge direkte av nasjonal rett og være påbudt for den behandlingsansvarlige, harmonerer
også med prinsippet om åpenhet i artikkel 5 nr. 1 bokstav a. Prinsippet gjelder særlig
«ytterligere informasjon for å sikre en rettferdig og åpen behandling for de berørte fysiske
personer samt deres rett til å få bekreftelse på og bli underrettet om de personopplysninger
som gjelder dem, som behandles», jf. fortalepunkt 39. Dersom den registrerte kan forutse ut
ifra nasjonal rett at en innsamling av deres personopplysning skjer, er det i utgangspunktet
ikke nødvendig for å sikre en rettferdig og åpen behandling at den behandlingsansvarlige
informerer den registrerte om behandlingen. Slik forutberegnelighet forutsetter imidlertid at
den aktuelle innsamlingen følger direkte av nasjonal rett og er påbudt for den
behandlingsansvarlige.
Det er klart at DNKs generelle plikt til registrering av mindreårige tilhørige var uttrykkelig
fastsatt i nasjonal rett i kirkeloven § 3. Den konkrete innsamlingen av fødselsmeldinger for
medlemmers barn fra Folkeregisteret fulgte imidlertid ikke av kirkeloven § 3. Innsamlingen
av fødselsmeldinger for medlemmers barn fra Folkeregisteret var dermed ikke uttrykkelig
fastsatt i kirkeloven § 3, og unntaket i artikkel 14 nr. 5 bokstav c kom dermed ikke til
anvendelse basert på denne bestemmelsen.
Den aktuelle innsamlingen av fødselsmeldinger for medlemmers barn fra Folkeregisteret
fulgte heller ikke uttrykkelig av Folkeregisterloven eller tilhørende forskrifter.
Av den dagjeldende forskrift om Den norske kirkes medlemsregister § 10 om ajourhold, gitt i
medhold av kirkelovens § 3, fulgte det imidlertid at på grunnlag av opplysninger fra den som
er registrert, pliktet sentral og lokal behandlingsansvarlig å holde medlemsregisteret à jour.
Sentral behandlingsansvarlig pliktet i tillegg å holde medlemsregisteret à jour på grunnlag av
opplysninger fra Statens kartverks matrikkel, Det sentrale folkeregister og Enhetsregisteret.
Datatilsynet vurderer dermed om innsamlingen av fødselsmeldinger for medlemmers barn fra
Folkeregisteret fulgte uttrykkelig av forskrift om Den norske kirkes medlemsregister § 10.
À jour er ifølge Store norske leksikon et fransk uttrykk som oftest brukes i betydningen
«oppdatert», og Datatilsynet vurderer at dette også er den naturlige forståelsen av ordlyden.
At DNK skulle holde medlemsregisteret oppdatert basert på opplysninger fra Folkeregisteret,
tilsier etter Datatilsynets vurdering at eksisterende medlemmer og tilhørige opplysninger skal
3
Punkt 57
12
holdes oppdatert på bakgrunn av folkeregisteropplysninger, for eksempel knyttet til endringer
i navn, kontaktopplysninger eller dødsfall. Bestemmelsen fastsatte ikke utrykkelig at det
samles inn fødselsmeldinger for medlemmers barn fra Folkeregisteret, og bestemmelsen kan
heller ikke forstås som at DNK hadde en plikt til innsamling av fødselsmeldinger fra
Folkeregisteret.
Datatilsynet vurderer dermed at innsamlingen av fødselsmeldinger for medlemmers barn fra
Folkeregisteret ikke fulgte uttrykkelig av forskrift om Den norske kirkes medlemsregister §
10.
Unntaket i artikkel 14 nr. 5 bokstav c kom dermed ikke til anvendelse for DNKs innsamlingen
av fødselsmeldinger for medlemmers barn fra Folkeregisteret.
Datatilsynet vurderer deretter om DNK oppfylte informasjonskravene i artikkel 14 vedrørende
innsamlingen av fødselsmeldinger for medlemmers barn fra Folkeregisteret.
Det følger av artikkel 14 nr. 1 bokstav d at den behandlingsansvarlige skal gi den registrerte
informasjon om «de berørte kategoriene av personopplysninger» som behandles. Det følger
også av artikkel 14 nr. 2 bokstav f at den behandlingsansvarlige skal gi den registrerte
informasjon om fra «hvilken kilde personopplysningene stammer», som er nødvendig for å
sikre den registrerte en rettferdig og åpen behandling.
Videre følger det av artikkel 12 nr. 1 at den behandlingsansvarlige skal treffe egnede tiltak for
å fremlegge informasjon for den registrerte som nevnt i artikkel 14 på en «kortfattet, åpen,
forståelig og lett tilgjengelig måte og på et klart og enkelt språk». Article 29 Data Protection
Working Party har i Guidelines on transparency under Regulation 2016/679 uttalt følgende
om kravet til at informasjonen skal gis på en «lett tilgjengelig måte»:
«The “easily accessible” element means that the data subject should not have to seek
out the information; it should be immediately apparent to them where and how this
information can be accessed, for example by providing it directly to them, by linking
them to it, by clearly signposting it or as an answer to a natural language question (for
example in an online layered privacy statement/ notice, in FAQs, by way of contextual
pop-ups which activate when a data subject fills in an online form, or in an interactive
digital context through a chatbot interface, etc.»4
Bestemmelsene må også sees i sammenheng med åpenhetsprinsippet i artikkel 5 nr 1. bokstav
a, samt fortalepunkt 39, hvor det følger:
«Prinsippet om åpenhet krever at all informasjon og kommunikasjon i forbindelse med
behandling av nevnte personopplysninger er lett tilgjengelig og lettfattelig, og at
språket som brukes, er klart og enkelt. Prinsippet gjelder særlig informasjon til de
registrerte om identiteten til den behandlingsansvarlige og formålene med
behandlingen samt ytterligere informasjon for å sikre en rettferdig og åpen behandling
4
Punkt 11
13
for de berørte fysiske personer samt deres rett til å få bekreftelse på og bli underrettet
om de personopplysninger som gjelder dem, som behandles»
DNK har i sin redegjørelse av 11. mai 2021 redegjort for og lagt frem dokumentasjon for
hvilken informasjon som ble gitt de registrerte om innhentingen av fødselsmeldinger for
medlemmers barn fra Folkeregisteret i tidsrommet fra 20. juli til 1. oktober 2018.
Av dokumentasjonen fremgår det at DNK ikke informerte de registrerte i den dagjeldende
personvernerklæringen fra 20175 om at det behandles fødselsmeldinger fra Folkeregisteret,
eller for øvrig at det innhentes opplysninger fra andre enn den registrerte om at medlemmer
får barn. Folkeregisteret var ikke nevnt i personvernerklæringen.
Av den øvrige dokumentasjonen DNK har fremlagt, kan Datatilsynet kun se at innhentingen
av fødselsmeldinger for medlemmers barn fra Folkeregisteret er nevnt i to sammenhenger.
Den første er Kirkerådets rundskriv nr. 2 av 3. september 2018 og rundskriv nr. 3 av 28.
september 2018 til menighetskontorene, de kirkelige fellesrådskontorene, prostekontorene og
bispedømmekontorene. Disse lå tilgjengelige for allmenheten på https://kirken.no/rundskriv
og https://kirken.no/nb-NO/om-kirken/for-medarbeidere/rundskriv-fra-kirkeradet/. Den andre
er artikkelen «Adopsjon og tilhørighet» av 23. oktober 2017, som lå tilgjengelig på
https://kirken.no/nb-NO/om-kirken/medlemskap/om-medlemskapet/adopsjon-og-tilhorighet/,
og var tilgjengelig med lenke fra sidene Om medlemskap og Tilhørighet og medlemskap.
De aktuelle rundskrivene fra Kirkerådet var rettet mot kirkens underorganer, og den aktuelle
artikkelen om adopsjon og tilhørighet fremstår kun som relevant for en svært liten gruppe
registrerte – de som har adoptert et barn. Det var ikke intuitivt eller tydelig for de registrerte at
de måtte oppsøke disse delene av kirken.no for å finne informasjon om behandlingen av deres
personopplysninger, og disse informasjonskildene sikret ikke en åpen og rettferdig
behandling. Datatilsynet finner det klart at verken rundskrivene eller artikkelen om adopsjon
og tilhørighet oppfylte kravene om at informasjonen skulle være «lett tilgjengelig» for de
registrerte.
Datatilsynet finner dermed at DNK ikke har gitt informasjon om innhentingen av
fødselsmeldinger for medlemmers barn fra Folkeregisteret i tråd med kravene i artikkel 12 nr.
1. DNK har dermed ikke gitt den registrerte «lett tilgjengelig» informasjon om «de berørte
kategoriene av personopplysninger» som behandles eller «fra hvilken kilde
personopplysningene stammer fra», jf. artikkel 14 nr. 1 bokstav d og nr. 2 bokstav f, jf.
artikkel 12 nr. 1.
6. Om irettesettelse, klagerett og videre saksgang
Irettesettelse er en forvaltningsmessig reaksjon med formål å markere kritikk av de omtalte
bruddene på reglene. Ileggelse av irettesettelse vil kunne bli lagt vekt på i en eventuell senere
vurdering av ileggelse av overtredelsesgebyr hvis det forekommer tilsvarende brudd
regelverket jf. personvernforordningen art. 83 nr. 2 bokstav i.
5
https://kirken.no/globalassets/kirken.no/personvernerklaering_2017.pdf
14
DNK kan klage på vedtaket om irettesettelse. En eventuell klage må sendes til oss innen tre
uker etter at dette brevet er mottatt, jf. forvaltningsloven §§ 28 og 29. Dersom vi
opprettholder vårt vedtak vil vi sende saken videre til Personvernnemnda for klagebehandling.
7. Offentlighet, innsyn og taushetsplikt
Vi vil informere dere om at alle dokumentene i utgangspunktet er offentlige, jf.
offentlighetsloven § 3. Dersom dere mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn, ber vi dere om å begrunne dette.
Datatilsynet har taushetsplikt om hvem som har klaget til oss, og om klagerens personlige
forhold. Taushetsplikten følger blant annet av personopplysningsloven § 24 og
forvaltningsloven § 13. Som part i saken kan dere likevel bli gjort kjent med slike
opplysninger av Datatilsynet, jf. forvaltningsloven § 13 b første ledd nr. 1. Dere har også rett
til innsyn i sakens dokumenter, jf. forvaltningsloven § 18.
Vi gjør oppmerksom på at dere har taushetsplikt om opplysninger dere får av Datatilsynet om
klagerens identitet, personlige forhold og andre identifiserende opplysninger, og at dere bare
kan bruke disse opplysningene i den utstrekning det er nødvendig for å ivareta interessene
deres i denne saken, jf. forvaltningsloven § 13 b andre ledd. Vi gjør også oppmerksom på at
brudd på denne taushetsplikten kan straffes etter straffeloven § 209.
Med vennlig hilsen
Jørgen Skorstad
avdelingsdirektør
Anders Sæve Obrestad
juridisk seniorrådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
Kopi til: BULL & CO ADVOKATFIRMA AS
15