Norsk Helseinformatikk AS
Sendt per e-post
Deres referanse Vår referanse Dato
24/01059-9 10.06.2025
Vedtak – Tilsyn med sporingsverktøy – Norsk helseinformatikk AS (NHI)
1. Innledning
Vi viser til vårt varsel om vedtak om irettesettelse og pålegg mot Norsk Helseinformatikk AS
(«NHI»), datert 20. februar 2025, og Advokatfirmaet Arntzen AS’ merknader til varselet på
vegne av NHI av 20. mars 2025.
2. Vedtak om irettesettelse
Datatilsynet fatter med dette følgende vedtak:
Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav b ilegges Norsk
Helseinformatikk en irettesettelse for
• Behandling av personopplysninger i strid med personvernforordningen artikkel 6
nr. 1 og 9 nr. 1, ved bruk av sporingsverktøyet Meta Pixel på nettstedet nhi.no.
Vedtaket er basert på de faktiske funnene vi gjorde da tilsynet på nhi.no («Nettstedet») ble
gjennomført 19. mars 2024.
3. Sakens faktiske bakgrunn
3.1. Om NHI
NHI er en kunnskaps- og teknologibedrift som er Norges største leverandør av
helseinformasjon. I tillegg til å utgi Norsk Elektronisk Legehåndbok, driver selskapet også
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
publikumsportalen www.nhi.no som leverer kvalitetssikret helseinformasjon til hundretusener
av besøkende hver uke.1
På Nettstedet kan besøkende blant annet lese helserelaterte nyhetsartikler og ta quizer relatert
til sykdommer og helse. Nettstedet tilbyr også en symptomoversikt og en sykdomsoversikt
som inneholder 2187 fysiske og psykiske sykdommer.
3.2. Om tilsynet: bakgrunn og omfang
Vedtaket gjelder NHIs bruk av sporingsverktøy på Nettstedet. Med sporingsverktøy mener vi
teknologi, herunder informasjonskapsler og piksler, som integreres på nettsteder for å
monitorere besøkendes adferd på siden. Sporingsverktøy kan brukes til å samle inn
opplysninger som IP-adresse, annonse-ID, geografisk lokasjon og teknisk informasjon, for
eksempel skjermstørrelse og -oppløsning. Disse opplysningene kan sammenstilles av
nettstedsoperatøren eller annonseselskaper og dermed identifisere en enkeltperson via den
besøkendes kommunikasjonsenhet.
Datatilsynets oppgave er å føre tilsyn med etterlevelsen av personvernforordningen, jf.
personvernforordningen artikkel 57 nr. 1 bokstav a og personopplysningsloven § 20. I den
forbindelse har Datatilsynet gjennomført et digitalt tilsyn mot seks nettsteder for å se nærmere
på norske nettsteders bruk av sporingsverktøy. Nettstedet nhi.no er ett av nettstedene som er
valgt ut i tilsynet.
Bakgrunnen for tilsynet er nylige medieoppslag om nettsteder som deler personopplysninger
med tredjeparter ved bruk av sporingsverktøy.2 I flere av tilfellene omtalt i media kan
informasjonen som er samlet inn og delt med tredjeparter utgjøre personopplysninger av
sensitiv art eller særlige kategorier av personopplysninger, jf. personvernforordningen artikkel
9 nr. 1. De siste årene har vi oppfordret virksomheter til å gjennomgå nettstedene sine for å
vurdere hvilke sporingsverktøy de bruker, og i desember 2023 varslet vi at vi vil gjennomføre
tilsyn med norske nettsteders bruk av sporingsverktøy.3
Vi valgte ut ulike kategorier av nettsteder som behandler beskyttelsesverdig informasjon om
de besøkende, og plukket ut seks aktører fra de ulike kategoriene som vi valgte å føre tilsyn
med. Formålet med denne fremgangsmåten er å kunne belyse ulike problemstillinger i
forbindelse med bruk av sporingsverktøy og at vurderingene våre skal kunne gi veiledning til
aktører utover de som er omfattet av dette tilsynet.
Det overordnede formålet med tilsynet er å gjennomgå og kontrollere om nettstedenes bruk av
sporingsverktøy er i samsvar med de relevante kravene i personvernforordningen, herunder
rettslig grunnlag, jf. personvernforordningen artikkel 6 nr. 1.
1
https://norskhelseinformatikk.no/, sist besøkt 27. mars 2025.
2
Se for eksempel https://www.nrk.no/kultur/nettapotek-delte-med-facebook-at-du-sa-pa-klamydiatester-
1.16616494, publisert 4. desember 2023.
3
Se https://www.nrk.no/norge/datatilsynet-varsler-gransking-etter-nrk-avsloringer-1.16679124, publisert 21.
desember 2023.
2
Datatilsynet gjennomførte et digitalt tilsyn på Nettstedet 19. mars 2024. Den 20. mars 2024
sendte vi et brev med våre foreløpige faktiske funn til NHI. I brevet la vi ved skjermdumper
av Nettstedet samt en teknisk rapport utarbeidet av Datatilsynet som registrerte hvilke
sporingsverktøy som var aktive på Nettstedet. Formålet med å sende de foreløpige faktiske
funnene var å ivareta retten til kontradiksjon etter forvaltningsloven § 17 annet ledd og sørge
for at det var enighet om det faktiske grunnlaget før vi gjennomførte de rettslige vurderingene.
I telefonsamtale med NHI 15. april 2024 fremkom det at NHI ikke hadde merknader til de
faktiske funnene som ble fremlagt i brevet. De faktiske funnene som ble presentert var
korrekte.
Dette tilsynet gjelder kun enkelte utvalgte aspekter ved bruk av tredjeparts sporingsverktøy på
Nettstedet. Vi har ikke tatt stilling til andre personvernrettslige problemstillinger i dette
tilsynet. Fravær av kommentarer på andre personvernspørsmål betyr derfor ikke at dette er
godkjent av oss.
3.3. Faktiske funn på Nettstedet
Under følger en gjennomgang av de faktiske funnene vi gjorde på Nettstedet på
tilsynstidspunktet.
3.3.1. Cookie-banner og samtykkeerklæring
På tilsynstidspunktet ble en besøkende på Nettstedet møtt med en cookie-banner som tok opp
store deler av nettsiden. Den besøkende måtte ta stilling til cookie-banneret før man kom seg
inn på Nettstedet. Cookie-banneret er levert av Cookiebot. Førstesiden i cookie-banneret var
en samtykkeløsning, hvor den besøkende ble presentert med følgende tekst:
«Vi og våre 81 partnere behandler de personlige opplysningene dine, f.eks. IP-
nummeret ditt, ved å bruke teknologi som informasjonskapsler for å lagre og få
tilgang til informasjon på enheten din, sånn at vi kan tilby deg personlige annonser og
innhold samt annonse- og innholdsmåling, målgruppestatistikk og produktutvikling.
Du velger hvem som bruker dine data og i hvilke hensikter.»
Samtykkeløsningen ga den besøkende tre alternativer:
• «Kun nødvendige cookies» (svart tekst på hvit bakgrunn)
• «Tilpass» (svart tekst på hvit bakgrunn)
• «Tillat alle informasjonskapsler» (hvit tekst på blå bakgrunn)
Hvis den besøkende trykket på «Tilpass», kom man til en ny side hvor vedkommende selv
eventuelt måtte skru av de forhåndspåskrudde informasjonskapselkategoriene «Egenskaper»,
«Statistikk» og «Markedsføring».
I tillegg til å ta stilling til cookie-banneret, ble den besøkende også presentert med et spørsmål
om vedkommende er helsepersonell. Den besøkende måtte trykke på enten «ja» eller «nei»,
og spørsmålet måtte besvares før man fikk tilgang til Nettstedet. Ved å trykke på ‘Hvorfor
3
spør vi om dette?’, ble det oppgitt at bakgrunnen var at man som bruker skal få mest mulig
tilpasset informasjon på Nettstedet.
3.3.2. Erklæring om informasjonskapsler
Nettstedet har en egen erklæring om informasjonskapsler, som på tilsynsdatoen sist var
oppdatert 27. februar 2024 av Cookiebot.
Erklæringen listet opp og gjennomgikk de ulike informasjonskapslene som er satt på siden
med følgende kategorisering:
• Nødvendige informasjonskapsler (elleve stk.)
• Egenskaper-informasjonskapsler (to stk.)
• Statistikkinformasjonskapsler (åtte stk.)
• Markedsføringsinformasjonskapsler (57 stk.)
Én av informasjonskapslene i markedsføringskategorien ble oppgitt å hete «_fbp» fra
leverandøren Meta Platforms Inc. Informasjonskapselen er av typen «http Cookie» og
utløpsdatoen angis å være tre måneder. Hensikten med informasjonskapselen ble oppgitt som
følgende:
”Used by Facebook to deliver a series of advertisement products such as real time
bidding from third party advertisers.”
3.3.3. Personvernerklæring
Nettstedet har en Personvernerklæring, som på tilsynsdatoen sist var oppdatert 9. mai 2018.
Under personvernerklæringens punkt 2 stod det følgende:
«Vi behandler i utgangspunktet ingen sensitive personopplysninger om våre kunder.»
3.3.4. Funn fra tekniske tester
Da Datatilsynet gjennomførte det digitale tilsynet 19. mars 2024, registrerte vi at besøkende
fikk plassert 113 informasjonskapsler i sin nettleser når man tillot alle informasjonskapslene
på Nettstedet.
En informasjonskapsel er en tekstfil som plasseres i den besøkendes nettleser eller enhet når
vedkommende besøker et nettsted. Informasjonskapslene kan blant annet brukes til å følge
med på hva den besøkende foretar seg på nettstedet. Disse opplysningene sendes til domenet
som er knyttet til informasjonskapselen og blir dermed tilgjengeliggjort for
nettstedsoperatøren.
Flere av informasjonskapslene tilhørte andre enn NHI. Vi fant informasjonskapsler som tilbys
av både Google, Meta og Amazon. Det er NHI som nettstedsoperatør som bestemmer hvilke
informasjonskapsler som plasseres i nettleseren til dem som besøker Nettstedet.
4
Nettstedet brukte også sporingspiksler på forsiden og på undernettsidene, herunder Meta Pixel
(heretter «Meta-piksel(en)»). Sporingspiksler er bygget inn i selve nettstedet, og de lagres
ikke i enheten til de besøkende slik som informasjonskapsler. Når en nettside har en
sporingspiksel, sendes informasjon til tilbyderen av pikselen om hvilke handlinger den
besøkende foretar seg på nettsiden.
Meta-pikselen registrerer besøkendes handlinger på nettsider og sender informasjon til
«https://www.facebook.com/tr/…». Dermed tilgjengeliggjøres informasjonen også for
Meta Platforms Ireland Limited, som blant annet driver tjenestene Facebook og Instagram i
EU/EØS-landene. Det er NHI som er ansvarlig for kodingen av Nettstedet.
Meta-pikselen lastes inn i Nettstedets HTML-kode når noen besøker Nettstedet. Det fører til
at det lagres en _fbp-informasjonskapsel automatisk i nettleseren til den besøkende med
mindre informasjonskapselen allerede finnes der. Meta-pikselen lagrer en unik
nettidentifikator i _fbp-informasjonskapselen.
Pikselen kan konfigureres til å spore ulike handlinger som de besøkende foretar seg på
nettsidene pikselen er plassert på. I tilsynet har vi registrert at Meta-pikselen sporer hvilke
nettsider en besøkende laster inn på enheten sin, såkalt «page load events». Denne
informasjonen sendes fra Nettstedet til Meta, sammen med en unik bruker-ID, IP-adresse og
digitalt fotspor med informasjon om nettleser, operativsystem, skjermstørrelse mv. Dette er
informasjon som gjør det mulig å identifisere de ulike besøkende.
3.4. Varsel om vedtak
Basert på de faktiske funnene vi gjorde på tilsynstidspunktet, forhåndsvarslet vi vedtak om
irettesettelse og pålegg overfor NHI 20. februar 2025.
Varselet om irettesettelse gjaldt NHIs behandling av personopplysninger i strid med
personvernforordningen artikkel 6 nr. 1 og artikkel 9 nr. 1, ved bruk av sporingsverktøyet
Meta Pixel på nettstedet nhi.no.
Varselet om pålegg gjaldt at NHI ble pålagt å opphøre den ulovlige behandlingen av
personopplysninger, altså stoppe å bruke Meta Pixel på nettstedet nhi.no inntil det er
utarbeidet en samtykkeforespørsel som oppfyller personvernforordningens krav til frivillighet
og informasjon, jf. personvernforordningen artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2
bokstav a, jf. artikkel 4 nr. 11 og artikkel 7 nr. 1.
3.5. NHIs merknader til varselet om vedtak
Advokatfirmaet Arntzen AS innga merknader til varselet om vedtak på vegne av NHI 20.
mars 2025.
Av merknadene fremgår det innledningsvis at NHI mener at Meta-pikselen ble avskrudd 8.
april 2024. Ved en feiltakelse ble Meta-pikselen igjen startet 11. oktober 2024 grunnet en
5
oppdatering av en container som automatisk aktiverte Meta-pikselen som lå inaktiv/pauset i
denne containeren. Dette ble ikke oppdaget av NHI før 20. februar 2025. NHI bekrefter at
Meta-pikselen ble permanent slettet 20. februar 2025, og mener derfor at det forhåndsvarslede
pålegget om opphør ikke lenger er aktuelt.
I merknadene fremgår det videre at NHI er uenig i Datatilsynets vurderinger i
forhåndsvarselet, herunder om:
• NHIs rolle og ansvar for de ulike behandlingsaktivitetene;
• NHI behandler særlige kategorier av personopplysninger;
• Datatilsynets vurdering av behandlingsgrunnlag.
Merknadene gjennomgås i vedtakets punkt 6.
4. Rettslig bakgrunn
«Personopplysninger» er i personvernforordningen artikkel 4 nr. 1 definert som:
enhver opplysning om en identifisert eller identifiserbar fysisk person («den
registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte
kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et
identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller
flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske,
genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.
Hva som utgjør behandling av personopplysninger er definert i artikkel 4 nr. 2:
enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger,
enten automatisert eller ikke, f.eks. innsamling, registrering, organisering,
strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk,
utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring,
sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.
I henhold til personvernforordningen artikkel 4 nr. 7 er en «behandlingsansvarlig»:
en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet
organ som alene eller sammen med andre bestemmer formålet med behandlingen av
personopplysninger og hvilke midler som skal benyttes (…).
Personopplysninger skal behandles på en lovlig, rettferdig og åpen måte med hensyn til den
registrerte, se personvernforordningen artikkel 5 nr. 1 bokstav a.
Personopplysninger skal videre samles inn for spesifikke, uttrykkelig angitte og berettigede
formål og ikke viderebehandles på en måte som er uforenlig med disse formålene, se
personvernforordningen artikkel 5 nr. 1 bokstav b.
6
Det er den behandlingsansvarliges ansvar å kunne påvise at behandlingen av
personopplysninger skjer i tråd med prinsippene oppstilt i artikkel 5 nr. 1. Dette
ansvarlighetsprinsippet er nedfelt i artikkel 5 nr. 2.
All behandling av personopplysninger må ha et rettslig grunnlag i artikkel 6 nr. 1 for å være
lovlig. Bestemmelsen lister opp ulike rettslige grunnlag, herunder:’
Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er
oppfylt:
(a) den registrerte har samtykket til behandling av sine personopplysninger for ett
eller flere spesifikke formål; (…)
(f) behandlingen er nødvendig for formål knyttet til de berettigede interessene som
forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den
registrertes interesser eller grunnleggende rettigheter og friheter går foran og
krever vern av personopplysninger, særlig dersom den registrerte er et barn.
Med samtykke menes en «frivillig, spesifikk, informert og utvetydig viljesytring fra den
registrerte der vedkommende, ved en erklæring eller en tydelig bekreftelse gir sitt samtykke
til behandling av personopplysninger som gjelder vedkommende», se personvernforordningen
artikkel 4 nr. 11 og fortalepunkt 32.
Etter fortalepunkt 42 skal et samtykke «ikke anses som frivillig dersom den registrerte ikke
har en reell valgfrihet, eller ikke er i stand til å nekte å gi eller trekke tilbake et samtykke uten
at det er til skade for vedkommende».
Når samtykke anvendes som rettslig grunnlag, skal den registrerte ha fått informasjon om hva
vedkommende samtykker til, inkludert hvilke personopplysninger som skal behandles og hva
som er formålet med behandlingen. Den registrerte skal kunne forutse konsekvensene av å gi
samtykke basert på informasjonen som den behandlingsansvarlige gir.4 Dette innebærer at den
behandlingsansvarlige ikke skal tilsløre realitetene, men forklare tydelig og rett frem hvilke
opplysninger som skal samles inn og hva de skal brukes til.5 Dersom samtykket ikke er
informert, vil den registrertes kontroll over egne personopplysninger bli illusorisk, og
samtykket vil ikke være et gyldig rettslig grunnlag etter artikkel 6 nr. 1.6
Det europeiske personvernrådet (EDPB) har i sine retningslinjer om samtykke uttalt at den
behandlingsansvarlige må vurdere hva slags gruppe personer virksomheten behandler
personopplysninger om. Dersom en tjeneste for eksempel er rettet mot en gruppe personer
som inkluderer mindreårige, skal den behandlingsansvarlige sørge for at det gis informasjon
4
Se “Personvernforordningen Lovkommentar” om artikkel 6, av Åste Marie Bergseng Skullerud, Cecilie
Rønnevik, Jørgen Skorstad og Marius Engh Pellerud, konsultert 19. juni 2024 på juridika.no.
5
Se “Personvernforordningen Lovkommentar” om artikkel 7(2), av Åste Marie Bergseng Skullerud, Cecilie
Rønnevik, Jørgen Skorstad og Marius Engh Pellerud, konsultert 19. juni 2024 på juridika.no.
6
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, avs. 62-63.
7
som er forståelig for mindreårige.7 For å kunne samle inn et informert samtykke fra et barn,
må altså den behandlingsansvarlige forklare hvordan personopplysningene vil behandles på
en måte som er klar og enkel for barn å forstå.8
Samtykket skal gis for et spesifikt formål. Det innebærer at formålet må være tilstrekkelig
konkret til å muliggjøre en vurdering av hvorvidt det er nødvendig å behandle de aktuelle
personopplysningene og hvorvidt en behandling er i tråd med personvernforordningen.9
Kravet om at samtykke skal være spesifikt skal sikre en viss grad av brukerkontroll og
åpenhet for de registrerte, og det er tett knyttet til kravene om at samtykket skal være
informert og frivillig. For å oppfylle kravet må den behandlingsansvarlige sørge for at
formålet er spesifikt på en slik måte at formålsutglidning unngås.10 11 En behandlingsansvarlig
som ber om samtykke for flere ulike formål bør tilrettelegge for en opt in-løsning for hvert
enkelt formål. Den behandlingsansvarlige bør gi spesifikk informasjon knyttet til hver enkelt
samtykkeforespørsel, slik at den registrerte er kjent med virkningen av de ulike valgene.12
Et samtykke antas å ikke være gitt frivillig dersom det ikke er mulig å gi separat samtykke for
forskjellige behandlingsaktiviteter, se punkt 43 i fortalen til personvernforordningen.13
Personvernrådet har uttalt at en tjeneste kan inkludere flere behandlingsaktiviteter for flere
enn ett formål. I slike saker skal de registrerte kunne velge hvilket formål de aksepterer, og
ikke måtte samtykke til flere behandlingsformål under ett (såkalt «bundling»).14 Slik
granularitet er nødvendig for at et samtykke skal være gyldig.
Personvernrådet har gitt råd og anbefalinger til hvordan man skal utforme brukergrensesnitt
uten å bruke manipulativt design som bryter med personvernforordningen.15 Manipulerende
design kan påvirke brukeres oppførsel ved å utnytte kognitive bias. Det kan hindre den
registrerte i å kunne beskytte sine personopplysninger og ta bevisste valg, for eksempel ved at
den registrerte ikke kan gi et informert og frivillig samtykke.16 Dette kan for eksempel gjøres
med fargevalg i brukergrensesnittet ved at ulike valg har ulike farger, og hvor et alternativ er
7
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, avs. 70.
8
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, avs. 126.
9
Se “Personvernforordningen Lovkommentar” av Åste Marie Bergseng Skullerud, Cecilie Rønnevik, Jørgen
Skorstad og Marius Engh Pellerud, konsultert 19. juni 2024 på juridika.no. Se også EDPBs retningslinjer om
samtykke hvor det refereres til A29 WP Opinion 3/2013 on determination of purposes, i fotnote 28 på s. 13 og
fotnote 30 på s. 14. Se Article 29 Data Protection Working Party Opinion 03/2013 on purpose limitation, s. 15-
16.
10
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, s. 14.
11
Personvernrådets forgjenger, Artikkel 29-gruppen, har uttalt at et formål som er vagt eller generelt, slik som
for eksempel «markedsføring» («marketing purposes»), vil, uten flere detaljer, vanligvis ikke oppfylle kravet til
å være spesifikt. Hvor detaljert et formål må være beskrevet for å være tilstrekkelig spesifikt avhenger av
konteksten opplysningene er samlet inn i og hvilke personopplysninger som er omfattet. Se Article 29 Data
Protection Working Party Opinion 03/2013 on purpose limitation, s. 15-16.
12
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, s. 14-15.
13
Se også EDPB Guidelines 05/2020 on consent under Regulation 2016/679, s. 12.
14
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, s. 12.
15
Se EDPB Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to
recognise and avoid them.
16
Se EDPB Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to
recognise and avoid them, i avsnitt 3. Se også Forbrukerrådets rapport «Deceived by design»,
https://www.forbrukerradet.no/manipulerende-design/.
8
mer iøynefallende enn det mest personvernvennlige alternativet.
Det franske datatilsynet, CNIL, fattet et vedtak i desember 2023 hvor de kom til at «nudging»
i form av farge, design og valg av tekst på knappene for samtykke medførte at kravet til
frivillighet ikke var oppfylt.17
At samtykket skal være utvetydig innebærer at det skal gis ved en aktiv handling eller
erklæring fra den registrerte. Det skal være klart at den registrerte har samtykket til den
aktuelle behandlingen.18
Det følger av personvernforordningen artikkel 9 nr. 1 at behandling av særlige kategorier av
personopplysninger i utgangspunktet er forbudt:
Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk
oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt
behandling av genetiske opplysninger og biometriske opplysninger med det formål å
entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en
fysisk persons seksuelle forhold eller seksuelle orientering, er forbudt.
Forbudet i artikkel 9 nr. 1 får ikke anvendelse dersom noen av unntaksvilkårene i artikkel 9
nr. 2 er oppfylt:
Nr. 1 får ikke anvendelse dersom et av følgende vilkår er oppfylt:
(a) Den registrerte har gitt uttrykkelig samtykke til behandling av slike
personopplysninger for ett eller flere spesifikke formål, unntatt dersom det i
unionsretten eller medlemsstatens nasjonale rett er fastsatt at den registrerte ikke
kan oppheve forbudet nevnt i nr. 1. (…)
«Helseopplysninger» er i artikkel 4 nr. 15 definert som:
personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om
ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand.
5. Tilsynets avgrensning mot ekomloven
Datatilsynet skal håndheve regelverket i personopplysningsloven, herunder
personvernforordningen. Regelverket gjelder for all behandling av personopplysninger når
ikke annet er bestemt i eller med hjemmel i lov, jf. personopplysningsloven § 2 første ledd.
Bruk av informasjonskapsler var på tilsynstidspunktet særregulert i ekomloven 2003 § 2-7 b,
som gjennomfører artikkel 5 nr. 3 i EUs kommunikasjonsverndirektiv.19
17
SAN-2023-025.
18
Se EDPB Guidelines 05/2020 on consent under Regulation 2016/679, s. 18.
19
Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the
9
I dag er ekomloven 2003 § 2-7 b erstattet av ekomloven 2024 § 3-15. Den største forskjellen
mellom gammel og ny bestemmelse er at den nye bestemmelsen spesifiserer at samtykket skal
oppfylle kravene etter personvernforordningen.
Av ekomloven 2003 § 2-7 b første ledd følger det at:
«Lagring av opplysninger i brukers kommunikasjonsutstyr, eller å skaffe seg adgang
til slike, er ikke tillatt uten at brukeren er informert om hvilke opplysninger som
behandles, formålet med behandlingen, hvem som behandler opplysningene, og har
samtykket til dette.»
Ifølge ordlyden omfatter bestemmelsen for det første lagring av opplysninger på den
registrertes enhet (mobiltelefon, datamaskin, nettbrett mv.). Bestemmelsen omfatter også det å
få tilgang til opplysningene som er lagret på enheten. I forarbeidene til bestemmelsen
presiseres det at regelen regulerer selve handlingen – det å lagre eller å hente ut
informasjonen.20 Bestemmelsen har som formål å verne brukerens kommunikasjonsutstyr
ettersom dette er en del av privatlivet, uavhengig av om det skjer en behandling av
personopplysninger, jf. kommunikasjonsverndirektivet fortalepunkt 24.
På tilsynstidspunktet var Nasjonal kommunikasjonsmyndighet (Nkom) fagmyndighet for
denne bestemmelsen i Norge. Ekomlovens særkrav ble derfor ikke vurdert i tilsynet.
Behandlingen av personopplysninger utover det å lagre opplysninger i enheten, eller å skaffe
seg tilgang til disse, faller utenfor virkeområdet til bestemmelsen i ekomloven. Som
tilsynsmyndighet for personopplysningsloven har Datatilsynet alltid kompetanse til å vurdere
denne behandlingen.
Personopplysningsloven gjelder også for behandling som faller innenfor ekomloven 2003 § 2-
7 b og ekomloven 2024 § 3-15 så langt det er snakk om personvernaspekter som ikke er
regulert av bestemmelsen. Det vil for eksempel si at prinsippene for behandling av
personopplysninger i personvernforordningen artikkel 5 og kravene til informasjonssikkerhet
i artikkel 32 også gjelder når man lagrer eller får tilgang til personopplysninger i den
registrertes enhet. Dette er i tråd med kommunikasjonsverndirektivet fortalepunkt 10 og
personvernforordningen fortalepunkt 173, som sier at personvernforordningen gjelder for alle
sidene ved vern av grunnleggende rettigheter og friheter som ikke er særregulert i
kommunikasjonsverndirektivet, inkludert den registrertes rettigheter og de
behandlingsansvarliges plikter.
Vi har avgrenset tilsynet til Nettstedets bruk av sporingsverktøy som faller inn under
Datatilsynets kompetanse etter personopplysningsloven og personvernforordningen.
Datatilsynet er fra og med 2025 tilsynsmyndighet også for selve lagringen i
kommunikasjonsutstyr og adgang til de lagrede opplysningene etter ekomloven 2024 § 3-15,
processing of personal data and the protection of privacy in the electronic communications sector [ePrivacy
Directive].
20
Prop. 69 L (2012-2013), s. 102.
10
sammen med Nkom.21 Vi understreker derfor viktigheten av at nettstedsoperatøren sørger for
å overholde kravene til samtykke i ny ekomlov ettersom dette kan bli gjenstand for senere
tilsyn.
6. Datatilsynets vurdering
6.1. Behandling av personopplysninger
Datatilsynet har valgt å avgrense vår vurdering til NHIs behandling av personopplysninger for
markedsføringsformål gjennom bruk av sporingsverktøyet Meta-piksel. Vurderingene våre vil
likevel være relevante for bruk av andre informasjonskapsler, piksler og sporingsverktøy for
øvrig.
Når en besøkende laster inn en nettside på Nettstedet, aktiveres de innebygde pikslene. Da
sender pikslene informasjon om den spesifikke nettsiden som er lastet inn sammen med
identifikatorer om den besøkende.
Opplysningene som deles inkluderer altså unike identifikatorer som utpeker den enkelte
brukeren og skiller dem fra andre besøkende på Nettstedet. Nettidentifikatorer er uttrykkelig
nevnt i personvernforordningen artikkel 4 nr. 1 som et eksempel på en personopplysning. I
fortalepunkt 30 begrunnes hvorfor slike opplysninger regnes som personopplysninger:
«Fysiske personer kan knyttes til nettidentifikatorer via utstyr, programmer, verktøy
og protokoller, f.eks. IP-adresser, informasjonskapsler eller andre identifikatorer,
f.eks. radiofrekvensidentifikasjonsmerker. Dette kan etterlate spor som særlig i
kombinasjon med entydige identifikatorer og andre opplysninger som serverne mottar,
kan brukes til å opprette profiler for fysiske personer og identifisere dem.»
I fortalepunktet fremheves muligheten til å identifisere personer ved å sammenstille andre
opplysninger som mottakeren rimeligvis har tilgang på.22 I dette tilfellet tilgjengeliggjøres
opplysningene for Meta, som eier store sosiale medieplattformer som Facebook og Instagram.
Meta har tilgang på store volum av personopplysninger, og mange mennesker har
brukerprofiler på selskapets plattformer. Disse brukerprofilene inneholder som regel direkte
identifiserende informasjon. Meta knytter dataene de samler inn gjennom pikslene til
brukerprofilene. Dette fremgår av deres personvernerklæring:
«Vi samler inn og mottar informasjon fra partnere, målingsleverandører,
markedsføringsleverandører og andre tredjeparter om diverse informasjon om deg og
aktivitetene dine på og utenfor produktene våre. Her er noen eksempler på
informasjon vi mottar om deg: (…) Nettsteder du besøker og data fra
informasjonskapsler, f.eks. gjennom sosiale programtillegg eller Meta-pikselen (…) Vi
bruker informasjonen vi samler inn, for å gi deg en personlig opplevelse, inkludert
21
Forskrift 2024-12-20-3413 om delegering av myndighet etter lov om elektronisk kommunikasjon pkt. 12.
22
Se også fortalepunkt 26 til personvernforordningen.
11
annonser (hvis vi viser deg annonser i Meta-produkter), sammen med de andre
formålene vi forklarer i mer detalj nedenfor.»23
I Metas personvernerklæring fremgår det klart at personopplysninger samles inn av selskapet
og kombineres med annen informasjon, og at dette blant annet brukes til
markedsføringsformål.
Denne sammenkoblingen av informasjon gjør at dersom en besøkende på Nettstedet også har
en profil på en av plattformene til Meta, så kan Meta knytte denne informasjonen til
vedkommendes brukerprofil. Dermed er opplysningene som deles fra Nettstedet gjennom
Meta-pikselen personopplysninger etter artikkel 4 nr. 1.
Det er dessuten klart at det skjer videre behandling av personopplysninger ut over å lagre eller
lese av informasjon i brukerens utstyr, for eksempel gjennom behandling av
personopplysninger innhentet ved hjelp av sporingspiksel og etterfølgende behandling, jf.
personvernforordningen artikkel 4 nr. 2. Dette faller klart innenfor personvernforordningen.
NHI har ingen merknader når det gjelder hvorvidt personopplysninger behandles og at
personvernforordningen kommer til anvendelse.
6.2. Behandlingsansvar
Behandlingsansvarlig er et juridisk pliktsubjekt med ansvar for å behandle
personopplysningene i tråd med reglene i personvernforordningen. Som nevnt i punkt 4
defineres «behandlingsansvarlig» som den som alene eller sammen med andre fastsetter
formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes, jf.
artikkel 4 nr. 7.
EU-domstolen har også fastslått at fysiske eller juridiske personer som utøver innflytelse over
behandlingen av personopplysninger til eget formål, og som deltar – som et resultat – i
fastsettelsen av formål og midler for denne behandlingen, kan anses som en
behandlingsansvarlig.24 Når det er felles behandlingsansvar blant flere aktører for en
behandling, kreves det ikke at hver aktør har tilgang til de aktuelle personopplysningene.
Felles ansvar betyr likevel ikke at forskjellige aktører har samme ansvar for en behandling av
personopplysninger. De forskjellige aktørene kan være ansvarlige for forskjellige faser av
behandlingen av personopplysninger og i varierende grader, noe som betyr at hver aktørs
ansvar må vurderes i lys av alle relevante sider av saken.25
23
Se Metas personvernerklæring, https://www.facebook.com/privacy/policy/, sist besøkt 10. april 2025.
Personvernerklæringen er nå oppdatert noe, men sitatet er hentet fra versjonen som var gjeldende da Nettstedet
brukte Meta-piksel.
24
C-25/17, Jehovan todistajat, avsnitt 68.
25
C-210/16, Wirtschaftsakademie Schleswig-Holstein, avsnitt 38 og C-25/17, Jehovan todistajat, avsnitt 69.
12
I Fashion ID-dommen26 tok EU-domstolen stilling til ansvarsfordelingen mellom
nettstedsoperatøren og tilbyderen av et sporingsverktøy. Spørsmålet var om
nettstedsoperatøren ved å implementere en programkode på nettstedet, som overførte
personopplysninger til en tredjepart, var behandlingsansvarlig til tross for at
nettstedsoperatøren ikke selv kunne påvirke hva som skjedde med opplysningene etter at de
ble hentet av tredjeparten. EU-domstolen konkluderte med at nettstedsoperatøren hadde gjort
det mulig for tredjeparter, i dette tilfellet Facebook, å få tilgang til personopplysninger om
brukeren. Videre kom EU-domstolen frem til at nettstedsoperatøren, sammen med
tredjeparten, bestemte formål og virkemidler ved innsamling og deling av personopplysninger
fra nettstedet. Nettstedsoperatøren var derfor behandlingsansvarlig for opplysningene som
endte hos tredjepart til tross for at de ikke hadde tilgang til opplysningene selv. EU-domstolen
understreket at nettstedsoperatøren hadde godtatt innsamlingen og den videre utleveringen til
tredjeparter ved å implementere sporingsverktøy på nettstedet for å få kommersielle fordeler i
form av markedsføring.
NHI fremhever i sine merknader at deres ansvar begrenser seg til innsamlingen og
datafangsten av personopplysninger gjennom Meta-pikselen, og ikke Metas videre behandling
og bruk av dem. Til inntekt for dette argumentet vises det til den ovennevnte Fashion ID-
dommen, som fastslår at en aktør som integrerer tredjeparts sporingsverktøy kan ha felles
behandlingsansvar for den innledende innsamlingen av data, men ikke for tredjepartens videre
behandling. Dersom Meta sammenstiller dataene slik at helseopplysninger fremkommer, kan
ikke NHI holdes ansvarlig for dette. På bakgrunn av dette understreker NHI at
problemstillingen må avgrenses til å gjelde hvorvidt NHI behandler særlige kategorier av
personopplysninger gjennom deres bruk av Meta-pikselen på Nettsiden.
Som det fremgår av varselet om vedtak, er Datatilsynet også av den oppfatning at NHI ikke er
ansvarlig for all etterfølgende behandling av personopplysninger Meta gjør med dataene de
mottar fra Nettstedet. Vi er også enige i at problemstillingen er om NHI, gjennom deres bruk
av Meta-pikselen, behandler særlige kategorier av personopplysninger som så
tilgjengeliggjøres for Meta.
NHI har implementert Meta-pikselen på Nettstedet og dermed tilrettelagt for at tredjepart får
tilgang til personopplysninger om de som besøker Nettstedet. Dette innebærer også at NHI
har muliggjort de etterfølgende aktivitetene for markedsføringsformål. Den etterfølgende
behandlingen i markedsføringsøyemed skjer også i NHIs interesse, for å kunne nå ut til
relevante målgrupper i ulike kanaler. NHI har derfor utøvd bestemmende innflytelse over
formål og midler og har derfor behandlingsansvar for behandlingen av personopplysninger
som skjer ved bruken av sporingsverktøy på Nettstedet, jf. personvernforordningen artikkel 4
nr. 7.
6.3. Særlige kategorier av personopplysninger
Som nevnt følger det av personvernforordningen artikkel 9 nr. 1 at «behandling av (…)
helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold» faller innenfor
26
C-40/17, Fashion ID GmbH & Co. KG.
13
definisjonen av særlige kategorier av personopplysninger. Behandling av slike opplysninger
er i utgangspunktet forbudt, og formålet med bestemmelsen er å gi et særlig vern for sensitive
opplysninger.
NHI behandler informasjon om at en identifiserbar fysisk person er inne på Nettstedet.
Nettstedets hovedformål er å gi helseinformasjon til de besøkende. At en besøkende
eksempelvis ofte er inne på en undernettside som omhandler epilepsi er ikke direkte
helseopplysninger, men det kan indirekte gi informasjon om vedkommendes helse fordi det er
mer sannsynlig at en person med symptomer på epilepsi er inne på denne undernettsiden. Med
tanke på det høye antallet besøkende på Nettstedet, kan det i alle fall ikke utelukkes at mange
av de besøkende besøker undernettsider som gjelder sykdommer de selv har.
Av merknadene følger det at NHI mener at deres bruk av Meta-piksel på Nettstedet ikke
innebærer behandling av særlige kategorier av personopplysninger etter
personvernforordningen artikkel 9 nr. 1, da opplysningene hverken er direkte knyttet til en
persons helsetilstand, sammenstilles med andre data av NHI, eller er av en slik karakter at de
åpenbart avslører helseopplysninger om konkrete fysiske personer.
6.3.1. C-184/20, OT v Vyriausioji tarnybinés etikos komisija
EU-domstolen konkluderte i OT-dommen27 med at artikkel 9 nr. 1 om «særlige kategorier av
personopplysninger» også omfatter opplysninger som indirekte kan utledes av informasjonen.
I saken hadde et litauisk forvaltningsorgan offentliggjort lister om samboerskap og ekteskap,
og det oppsto spørsmål om det fra denne listen kunne dras slutninger om seksuell legning.
EU-domstolen besvarte spørsmålet bekreftende og uttalte at en vid tilnærming til begrepet
«særlige kategorier av personopplysninger» er i tråd med det overordnede formålet om å
«sikre et højt niveau for beskyttelse af fysiske personers grundlæggende rettigheder og
frihedsrettigheder, især retten til privatlivets fred.»28
I merknadene uttaler NHI at denne dommen ikke kan tillegges vesentlig vekt for NHIs
behandling av personopplysninger. NHI anfører at det i personvernforordningen artikkel 9 nr.
1 er en tolkningsforskjell mellom opplysninger som antas å «reveal» særlige kategorier av
personopplysninger, og opplysninger «concerning» særlige kategorier av personopplysninger.
Helseopplysninger knyttes i bestemmelsen til «concerning», mens dommen omhandler
opplysninger som kan «reveal» seksuell legning. Ettersom det kreves klarere holdepunkter for
å kunne si at opplysninger «concern» særlige kategorier av personopplysninger enn «reveal»,
har ikke dommen overføringsverdi.
NHI mener at denne tolkningsforskjellen understrekes i dommen og hevder at det i dommens
avsnitt 85 uttales at «The use of the verb ‘reveal’ is consistent with the taking into account of
processing that not only is of inherently sensitive data but indirectly enables disclosure
thereof following an intellectual exercise involving deduction or cross-referencing. That does
not apply, in my view, to the word ‘concerning’, which strikes a more direct and more
27
C-184/20, OT v Vyriausioji tarnybinės etikos komisija.
28
Se avsnitt 125- 126.
14
immediate link between the processing and the data concerned, envisaged from an inherent
point of view.»
På denne bakgrunn anfører NHI at det kreves en mer direkte link mellom
undernettsidebesøkene og de registrertes faktiske helsetilstand for at det skal anses som
helseopplysninger etter personvernforordningen artikkel 9 nr. 1. Fysiske personers besøk på
undernettsider kan like gjerne dreie seg om faglig kompetanseheving eller rene tilfeldigheter.
Datatilsynet bemerker innledningsvis at uttalelsen NHI viser til ikke er hentet fra OT-
dommen, men fra generaladvokatens uttalelse i samme sak.29 Tvert imot ble
generaladvokatens tolkning om at personvernforordningen artikkel 9 nr. 1 setter opp ulike
terskler for ulike typer særlige kategorier av personopplysninger uttrykkelig avvist av EU-
domstolen. Domstolen uttaler i avsnitt 124 følgende om generaladvokatens uttalelse: “Such an
interpretation, which would result in a distinction being drawn according to the type of
sensitive data at issue, would not, however, be consistent with a contextual analysis of those
provisions (…).”
Som tidligere nevnt legger EU-domstolen i denne dommen til grunn at en vid tolkning av
begrepet «særlige kategorier av personopplysninger» er i tråd med personvernforordningens
overordnede formål om å sikre et høyt beskyttelsesnivå for personopplysninger. Domstolen
bekreftet derfor at indirekte opplysninger også faller innenfor «særlige kategorier av
personopplysninger»-begrepet, og nettopp derfor har dommen overføringsverdi til
foreliggende sak.
6.3.2. C-252/21, Bundeskartellamt
I Bundeskartellamt-dommen30 måtte EU-domstolen ta stilling til om nettsteder eller apper for
dating, helse, politiske partier og liknende med integrerte sporingsverktøy behandlet «særlige
kategorier av personopplysninger» ved å samle inn og sammenstille informasjon om
brukernes nettsidebesøk. EU-domstolen konkluderte i avsnitt 69 og 73 med at bruk av
sporingsverktøy på slike nettsteder utgjorde behandling av «særlige kategorier av
personopplysninger», uavhengig av hvorvidt opplysningene var korrekte. Dette innebærer at
bruk av sporingsverktøy på et nettsted eller en app kan utgjøre behandling av særlige
kategorier av personopplysninger dersom det aktuelle nettstedet eller appen er tilknyttet
temaene listet opp i artikkel 9 nr. 1.
I merknadene uttaler NHI at det i denne dommen ikke kun var innsamlingen ved hjelp av
sporingsverktøy som var avgjørende for om opplysningene var å anse som særlige kategorier
av personopplysninger, men sammenstillingen med informasjon oppgitt av den enkelte
bruker. NHI viser til dommens avsnitt 73, hvor det uttales at «the processing of personal data
by the operator of that online social network, which entails the collection – by means of
integrated interfaces, cookies or similar storage technologies – of data from visits to those
sites and apps and of the information entered by the user, the linking of all those data with the
29
Generaladvokat Pikamäes uttalelse i sak C-184/20, avgitt 9. desember 2021.
30
C-252/21, Bundeskartellamt, avsnitt 66-73.
15
user’s social network account and the use of those data by that operator, must be regarded as
‘processing of special categories of personal data’.»
Ettersom det i denne saken kun er snakk om undernettsidebesøk uten at disse opplysningene
sammenkobles med ytterligere informasjon avgitt av den enkelte besøkende, mener NHI at
dommen ikke kan tillegges vesentlig vekt for NHIs behandling av personopplysninger.
Datatilsynet tolker NHIs merknad som at de mener at EU-domstolens bruk av «and of the
information entered by the user» i avsnitt 73 tilsier at det både må være snakk om
undernettsidebesøk og annen informasjon avgitt av den registrerte på Nettstedet for at det skal
anses som behandling av særlige kategorier av personopplysninger. Ser man på dommen i sin
helhet er det klart at en slik tolkning om kumulative vilkår ikke er korrekt.
For det første tilsier første del av avsnitt 73 at en slik tolkning ikke er riktig. Her uttaler
domstolen ”where the user of an online social network visits websites or apps to which one or
more of the categories referred to in that provision relate and, as the case may be, enters
information into them when registering or when placing online orders” (vår understreking).
Uttalelsen og bruken av «as the case may be» gir en klar indikasjon på at det ikke er et vilkår
at den registrerte må avgi ytterligere informasjon, og at følgelig at et nettsidebesøk i seg selv
kan utgjøre særlige kategorier av personopplysninger.
For det andre gjør dommens avsnitt 72 det klart at en slik tolkning ikke kan legges til grunn.
Her uttales det at “It should be made clear that it appears (…) that the processing of data
relating to visits to the websites or apps in question may, in certain cases, reveal such
information without it being necessary for those users to enter information into them when they
register or place online orders” (vår understreking).
Etter dette kan ikke Datatilsynet se at det er et krav om at det både må være tale om et
nettsidebesøk og at den registrerte avgir ytterligere informasjon for at det skal kunne anses
som behandling av særlige kategorier av personopplysninger. Den registrertes besøk på
Nettstedet kan i seg selv være nok til å utgjøre særlige kategorier av personopplysninger, slik
EU-domstolen understreker.
Ettersom nettstedsbesøk og bruk av apper i seg selv kan utgjøre særlige kategorier av
personopplysninger har dommen stor overføringsverdi til foreliggende sak. Dommen er også
viktig for tolkningen av innholdet i artikkel 9 ettersom EU-domstolen uttrykkelig slår fast at
vernet bestemmelsen gir ikke er avhengig av om informasjonen er korrekt.
6.3.3. C-21/23, Lindenapotheke
EU-domstolen presiserer ytterligere at hva som utgjør «helseopplysninger» skal tolkes vidt i
Lindenapotheke-dommen.31 Dommen sier at salg av apotekvarer på nett kan avdekke
helseopplysninger, også selv om det ikke er helt sikkert at kundene handler til seg selv og selv
om apotekvarene ikke er reseptbelagte. I dommen ble det understreket at det er tilstrekkelig at
31
C-21/23, Lindenapotheke, avsnitt 83, 88 og 90.
16
personopplysninger kan avsløre informasjon om den registrertes helsetilstand ved hjelp av en
intellektuell operasjon som involverer sammenstilling eller deduksjon for å klassifiseres som
helseopplysninger.
Av merknadene fremgår det at NHI mener at heller ikke denne dommen har overføringsverdi
til deres behandling av personopplysninger. Dette fordi domstolens konklusjon ble fattet på
bakgrunn av at behandlingen omfattet ytterligere opplysninger oppgitt av den enkelte bruker,
og krevde en mer definitiv og positiv uttrykkelig opplysningskilde (gjennomført kjøp), enn
hva et undernettsidebesøk på Nettstedet er.
NHI skriver videre at de behandler opplysninger om identifiserbare fysiske personer som er
inne på Nettstedet, herunder også deres adferd og oppslag på Nettstedet. Det er deres mening
at det faktum at en besøkende oppsøker en undernettside som omhandler migrene i realiteten
ikke gir noe ytterligere informasjon enn at vedkommende har besøkt denne undernettsiden.
NHI er til en viss grad enig i Datatilsynets påstand om at gjentatte oppslag over et lengre
tidsrom vil kunne indikere en viss sannsynlighet for at den besøkende faktisk lider av
migrene, men mener likevel at det på bakgrunn av undernettsideoppslag vil være spekulativt å
indirekte diagnostisere den besøkende med migrene.
Datatilsynet bemerker innledningsvis at det NHI omtaler som et krav om en «definitiv og
positiv uttrykkelig opplysningskilde» ikke er et kriterium eller terskel etter
personvernforordningen artikkel 9, og heller ikke nevnt i dommen.
Dommen gjør det i avsnitt 81 klart at begrepet «helseopplysninger» skal tolkes bredt for å
ivareta formålet med personvernforordningen. Dommen understreker videre i avsnitt 82 at
også opplysninger som indirekte kan avsløre særlige kategorier av personopplysninger er
omfattet av vernet artikkel 9 gir. I avsnitt 83 gjør domstolen det klart at det er tilstrekkelig at
noen vil være i stand til å avsløre helseinformasjon gjennom deduksjon eller sammenstilling
for at det skal kunne anses som helseopplysninger. Ettersom dommen sier noe om terskelen
for hva som kreves for at noe skal anses som helseopplysninger har den derfor stor
overføringsverdi til foreliggende sak.
NHI mener at det er en for svak tilknytning mellom en besøkendes undernettsidebesøk og
helseopplysninger. Til dette viser Datatilsynet igjen til dommens avsnitt 83, hvor det fremgår
at det er tilstrekkelig at man – gjennom en intellektuell operasjon – kan trekke slutninger om
en besøkendes helseopplysninger basert på deres undernettsidebesøk på Nettstedet. I lys av
personvernforordningens formål oppstiller domstolen en lav terskel for hva som anses som
helseopplysninger. Den lave terskelen understrekes ytterligere av domstolens konklusjon om
at reseptfrie legemidler også anses som helseopplysninger.
Når det gjelder NHIs anførsel om at det vil være «spekulativt» å indirekte diagnostisere
besøkende basert på deres undernettsidebesøk, understreker vi at disse «spekulative» tilfellene
også har vern etter personvernforordningen artikkel 9 nr. 1. I lys av formålet med
bestemmelsen nyter de registrerte vernet bestemmelsen gir også i de tilfellene hvor
opplysningene ikke stemmer. Dette slår også domstolen eksplisitt fast i avsnitt 87 av
Lindenapotheke-dommen. En snever tolkning av artikkel 9 nr. 1, hvor kun opplysninger som
17
stemmer eller er bekreftet er underlagt vernet bestemmelsen gir, ville undergravd beskyttelsen
bestemmelsen er ment å gi.
Lindenapotheke-dommen oppstiller en lav terskel for hva som kan anses som
helseopplysninger og har klar overføringsverdi til NHIs behandling av personopplysninger.
6.3.4. C-136/17, GC and Others
I merknadene fremhever NHI det de mener er en mer sammenlignbar sak fra EU-domstolen,
GC and Others-dommen.32 I denne saken vurderte EU-domstolen om en søkemotor operert av
Google var underlagt forbundet mot behandling av særlige kategorier av personopplysninger.
NHI hevder at domstolen konkluderte med at søkemotorens aktivitet, som består i å indeksere
og presentere søkeresultater, ikke i seg selv utgjør en behandling av særlige kategorier av
personopplysninger. Videre hevder NHI at domstolen i avsnitt 46 understreker at en
bokstavelig anvendelse av bestemmelsen ville føre til at enhver behandling av de
opplysningene som er opplistet i bestemmelsen ville være forbudt, noe EU-domstolen ikke
mener kan være en riktig tilnærming.
Det vises også til følgende uttalelse i avsnitt 47: «In that regard, I note that none of the
parties that have submitted observations argues in favour of such a strict interpretation, and
they are quite correct not to do so.» NHI mener at dommen illustrerer det faktum at en
opplysning potensielt kan si noe om en persons helse, men ikke nødvendigvis medfører at den
er å regne som en særlig kategori av personopplysninger.
Datatilsynet bemerker at hverken slutningene eller sitatene NHI viser til er hentet fra EU-
domstolens dom, men fra generaladvokatens uttalelse i saken.33 Generaladvokatens tolkning
ble ikke fulgt opp i dommen, som ble behandlet i storkammer. Tvert imot konkluderte
domstolen at ”while (…) the specific features of the processing carried out by the operator of
a search engine in connection with the activity of the search engine cannot justify the
operator being exempted from compliance with Article 8(1) (…) those specific features may,
however, have an effect on the extent of the operator’s responsibility and obligations under
those provisions” (vår understreking).
Spørsmålet i saken var om søkemotorer må overholde artikkel 9 og 10. EU-domstolen svarte
bekreftende på dette. Det er derfor feil at artikkel 9 ikke gjelder for søkemotorer, og denne
dommen er uansett irrelevant i vurderingen av hva som utgjør særlige kategorier av
personopplysninger etter artikkel 9 nr. 1. I tillegg er det også store forskjeller mellom
nettstedsoperatører som selv publiserer innhold og søkemotorer som indekserer innhold.
Datatilsynet kan etter dette derfor ikke se at denne dommen har overføringsverdi til
foreliggende sak.
6.3.5. Konklusjon
32
C-136/17, GC and Others (De-referencing of sensitive data).
33
Generaladvokat Szpunars uttalelse i sak C-136/17, avgitt 10. januar 2019.
18
Datatilsynet står, etter å ha gjennomgått NHIs merknader til de tre første dommene, fast ved at
konklusjonene til EU-domstolen i disse sakene har overføringsverdi til vår sak.
Selv om det ikke er mulig å med sikkerhet fastslå den fysiske eller psykiske helsen til en
besøkende på Nettstedet basert på hvilke artikler vedkommende er inne på, er det grunn til å
anta at i alle fall en persons besøk samlet sett over tid vil gi et bilde av vedkommendes
helsesituasjon. Pikseltilbyder får da informasjon om at en bestemt person har vært inne på
Nettstedet og hvilke handlinger vedkommende har gjort der, for eksempel om vedkommende
leser artikler om depresjon, ADHD eller cøliaki.
Basert på den lave terskelen EU-domstolen har oppstilt for hva som er å anse som særlige
kategorier av personopplysninger i de ovennevnte dommene, er det – i motsetning til hva NHI
anfører – ikke et krav at opplysningene må knyttes direkte til en persons helsetilstand, at
opplysningene om nettsidebesøk må sammenstilles med andre data av NHI, eller at de må
være av en slik karakter at de åpenbart avslører helseopplysninger om konkrete fysiske
personer.
I tillegg bemerker vi at enkelte helsetilstander også kan si noe om en persons seksuelle
forhold eller seksuelle orientering.
Etter dette konkluderer vi med at personopplysningene som er tilgjengeliggjort til tredjepart
gjennom NHIs bruk av Meta-piksel er å anse som «særlige kategorier av personopplysninger»
etter artikkel 9 nr. 1.
6.4. Lovlig behandling av særlige kategorier av personopplysninger
Forbudet mot behandling av særlige kategorier av personopplysninger, herunder
helseopplysninger og opplysninger om seksuelle forhold, er ikke absolutt. Dersom en
behandlingsansvarlig oppfyller et av unntaksvilkårene oppstilt i artikkel 9 nr. 2 vil slik
behandling likevel være gyldig.
Dersom nettsteder som behandler særlige kategorier av personopplysninger tar i bruk
sporingsverktøy til markedsføringsformål, vil artikkel 9 nr. 2 bokstav a om uttrykkelig
samtykke i praksis være det eneste aktuelle unntaksvilkåret. Kravene til uttrykkelig samtykke
er strenge, og det er ikke tilstrekkelig med generell informasjon om bruk av sporingsverktøy i
personvernerklæring eller samtykkeerklæring.
Som nevnt ovenfor, er det mange krav i artikkel 4 nr. 11 til hva som utgjør et gyldig
samtykke. Her har vi valgt å fokusere på to av dem, nemlig kravene om at et samtykke må
være frivillig og informert.
6.4.1. Frivillig
19
Som nevnt forutsetter frivillig samtykke at den registrerte har en reell valgfrihet.34 Designet
på en nettside kan hindre den registrerte i å kunne beskytte sine personopplysninger og ta
bevisste valg, for eksempel ved at den registrerte ikke kan gi et informert og frivillig
samtykke.35
I cookie-banneret på Nettstedet hadde knappen for «Tillat alle informasjonskapsler» en farge
som var særlig fremhevet og dermed bevisst eller underbevisst kunne lede den registrerte til å
velge dette alternativet uavhengig av vedkommendes personvernpreferanser. «Tillat alle
informasjonskapsler»-knappen hadde en klar blåfarge, mens valgene «Kun nødvendige
cookies» og «Tilpass» hadde en hvit farge i likhet med bakgrunnen i cookie-banneret.
Datatilsynet vurderer det slik at designet på cookie-banneret var egnet til å dytte den
registrerte til å velge alternativet «Tillat alle informasjonskapsler» gjennom kognitiv bias,36
særlig når den registrerte bare ville komme videre for å få tilgang til helseinformasjon på
Nettstedet.
Utformingen av cookie-banneret er et klart eksempel på «dulting» eller manipulerende design
som innebærer upassende påvirkning fordi det er egnet til å forstyrre den besøkendes frivillige
valg.
I denne sammenhengen trekker vi også frem fortalepunkt 32, som sier at elektroniske
anmodninger om samtykke ikke skal forstyrre bruk av tjenesten unødig. Her gjør cookie-
banneret det umulig å bruke tjenesten uten å ta et valg, og dette er ikke i tråd med fortalepunkt
32.
I merknadene anfører NHI at samtykket må anses frivillig avgitt. NHI fremhever at
personvernforordningen ikke oppstiller et forbud mot å utforme ulike alternativer i ulike
farger, og at et slikt forbud heller ikke er lagt til grunn i veiledning fra Personvernrådet eller i
praksis fra ulike tilsynsmyndigheter. Videre vises det til Personvernrådets «Cookie Banner
Taskforce Report» avsnitt 17, som sier at «a general banner standard concerning colour
and/or contrast cannot be imposed on data controllers». NHI hevder videre at rapporten
understreker at det avgjørende er om «the contrast between the text and the button
background is so minimal that the text is unreadable to virtually any user», altså om banneret
gjør enkelte valg usynlige eller uleselige.
Datatilsynet er enig i at det ikke eksisterer et generelt forbud mot å utforme
samtykkeerklæringer i ulike farger, og at et samtykke ikke automatisk er ugyldig som en følge
av fargebruk i seg selv. Likevel er bruken av farger og kontraster et sentralt
vurderingsmoment i om samtykket er frivillig og dermed gyldig.
Vi er uenige med NHI om at det avgjørende vurderingsmomentet er om banneret gjør enkelte
valg usynlige eller uleselige. I Personvernrådets ovennevnte «Cookie Banner Taskforce
34
Se punkt 42 i fortalen til personvernforordningen.
35
Se EDPB Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to
recognise and avoid them, i avsnitt 3. Se også Forbrukerrådets rapport «Deceived by design»,
https://www.forbrukerradet.no/manipulerende-design/.
36
Se s. 8.
20
Report» avsnitt 18 er det at teksten er usynlig eller uleselig fremhevet som en praksis som er
åpenbart misledende, hvilket er noe annet enn det det er snakk om her. For øvrig er ikke dette
den eneste utformingen som anses som ulovlig.
De ulike alternativene i NHIs samtykkeerklæring var alle lesbare og tilgjengelige. Som nevnt
over betyr ikke dette automatisk at utformingen var lovlig. Fargebruken i den aktuelle sak er
som nevnt egnet til å dytte brukerne til å trykke på «Tillat alle»-knappen, ettersom denne
knappen skiller seg ut og er mer iøynefallende enn de andre alternativene. Fargebruken har
sannsynligvis ført til at noen besøkende ubevisst har trykket på «Tillat alle» uten å
nødvendigvis ønske eller mene å gi et samtykke. I tillegg er det grunn til å tro at «Tillat alle»-
knappen ikke ville vært utformet med slik fargebruk dersom man ikke antok at det ville føre
til at flere besøkende, enten tilsiktet eller utilsiktet, trykket på denne knappen.
NHI hevder også at Datatilsynet i varselet om vedtak viser til Personvernrådets Guidelines
03/2022 avsnitt 60, som gjelder bruk av forhåndsutfylte valg eller passivt samtykke, noe som
ikke er relevant i denne saken. Datatilsynet bemerker at vi ikke kan se at vi har henvist til
dette avsnittet noe sted i varselet om vedtak, og er for øvrig enige i at denne tematikken ikke
er relevant i denne saken.
Etter dette finner Datatilsynet at utformingen av cookie-banneret er et klart eksempel på
«dulting» eller manipulerende design som innebærer upassende påvirkning fordi det er egnet
til å forstyrre den besøkendes frivillige valg. Samtykket er derfor ikke frivillig.
6.4.2. Informert
I dette tilfellet ga cookie-banneret ikke informasjon om at personopplysningene som
behandles kan inkludere helseopplysninger. Dette er særlig graverende når NHIs
personvernerklæring sier at sensitive personopplysninger i utgangspunktet ikke vil behandles.
All den tid NHI ikke ber om samtykke til å behandle helseopplysninger, er det åpenbart at de
heller ikke har fått slikt samtykke.
Det er heller ingen informasjon i samtykkeerklæringen som gjør den registrerte i stand til å
forstå konsekvensene av samtykke til behandling av helseopplysninger, herunder at
helseopplysninger vil bli delt med tredjeparter som Meta, som kan bruke disse opplysningene
til egne formål.
Samtykket er etter dette ikke informert.
6.4.3. NHIs merknader
I NHIs merknader på dette punkt hevdes det at Datatilsynet ikke har vurdert om kravene til
samtykke etter personvernforordningen artikkel 6 nr. 1 bokstav a, jf. artikkel 4 nr. 11, er
oppfylt. Med tanke på nivåforskjellen på terskelen til hva som anses som et gyldig samtykke
etter artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a, er NHI nysgjerrige på hvordan
Datatilsynet vurderer cookie-bannerets utforming og informasjon i lys av en eventuell endret
21
konklusjon på at NHIs bruk av Meta-pikselen innebærer behandling av særlige kategorier av
personopplysninger.
Datatilsynet bemerker at vi i punkt 6.5 i varselet om vedtak vurderte om kravene til samtykke
etter artikkel 6 nr. 1 bokstav a, jf. artikkel 4 nr. 11 var oppfylt. I varselet var vår foreløpige
konklusjon at samtykket ikke var gyldig etter artikkel 6 nr. 1 bokstav a fordi samtykket ikke
var frivillig eller informert.
Vi står fremdeles fast ved at NHI har behandlet særlige kategorier av personopplysninger, og
at dere derfor måtte innhente uttrykkelig samtykke fra de registrerte, jf.
personvernforordningen artikkel 9 nr. 2 bokstav a.
Et uttrykkelig samtykke etter artikkel 9 nr. 2 bokstav a må være enda klarere og tydeligere
enn et ordinært samtykke etter artikkel 6 nr. 1 bokstav a. Nivåforskjellen på terskelen mellom
de to ulike samtykkene er likevel ikke av en slik grad at det ville gitt utslag dersom NHI ikke
behandlet særlige kategorier av personopplysninger i foreliggende sak. Et samtykke som ikke
er gitt frivillig eller informert vil aldri anses som et gyldig samtykke etter artikkel 6 nr. 1 a, jf.
artikkel 4 nr. 11.
6.4.4. Konklusjon
Samtykket er ikke gyldig. Det betyr at NHI gjennom bruk av Meta-piksel på Nettstedet har
behandlet særlige kategorier av personopplysninger i strid med personvernforordningen
artikkel 9.
6.5. Rettslig grunnlag
Som nevnt over må behandlingen av personopplysninger ha et rettslig grunnlag i en av
alternativene i artikkel 6 nr. 1. Det er særlig samtykke etter bokstav a og en interesseavveiing
etter bokstav f som kan utgjøre behandlingsgrunnlag for behandling av personopplysninger
for markedsføringsaktiviteter.
Vi bemerker at det fra 1. januar 2025 gjelder krav om gyldig samtykke for plassering av
informasjonskapsler, men dette kravet gjaldt ikke på tilsynstidspunktet.
I NHIs tilfelle er det snakk om opplysninger som kan oppleves som sensitive fordi
informasjon om helse og seksuelle forhold kan utledes av dataene. Derfor vil den enkeltes
personvern veie tungt i interesseavveiingen. Markedsføringsinteresser vil generelt ikke veie
tyngre enn den enkeltes personvern når det er snakk om denne typen personopplysninger.
Det vil da i praksis være artikkel 6 nr. 1 bokstav a om samtykke som står igjen som det
aktuelle behandlingsgrunnlaget. Som nevnt ovenfor var ikke samtykket gyldig etter artikkel 9
nr. 2 bokstav a på grunn av manglende frivillighet og informasjon. Av samme grunner er
samtykket heller ikke gyldig etter artikkel 6 nr. 1 bokstav a, jf. artikkel 4 nr. 11.
22
Vi kan ikke se at noen av de andre behandlingsgrunnlagene i personvernforordningen artikkel
6 nr. 1 kommer til anvendelse for behandlingen. Behandlingen skjedde uten
behandlingsgrunnlag, og vi finner dermed brudd på personvernforordningen artikkel 6 nr. 1.
7. Valg av korrigerende tiltak
I henhold til personvernforordningen artikkel 58 nr. 2 har Datatilsynet myndighet til å beslutte
korrigerende tiltak.
Personopplysninger om de som besøkte Nettstedet mens Meta-pikselen var aktivert ble
behandlet ulovlig, herunder tilgjengeliggjort for tredjepart, i strid med artikkel 6 og 9 i
personvernforordningen. NHI hadde ikke kontroll over hva som skjedde med
personopplysningene etter at de havnet hos tredjepart. Etter vår vurdering innebar
behandlingen av personopplysninger en åpenbar risiko for de berørte.
Datatilsynet har ikke funnet det nødvendig å ilegge overtredelsesgebyr i denne saken. Vi
vurderer det slik at en irettesettelse vil være tilstrekkelig for å sikre NHIs etterlevelse av
regelverket. Vår hjemmel for å ilegge irettesettelse er personvernforordningen artikkel 58 nr.
2 bokstav b.
Irettesettelse er en forvaltningsmessig reaksjon med formål å markere kritikk av de omtalte
bruddene på reglene. Ileggelse av irettesettelse vil kunne bli lagt vekt på i en eventuell senere
vurdering av ileggelse av overtredelsesgebyr hvis det forekommer tilsvarende brudd på
regelverket, jf. personvernforordningen artikkel 83 nr. 2 bokstav i.
Ettersom NHI nå har fjernet Meta-pikselen fra Nettstedet, bortfaller det forhåndsvarslede
pålegget om at NHI må stoppe å bruke Meta-piksel inntil det er utarbeidet en
samtykkeforespørsel som oppfyller personvernforordningens krav til frivillighet og
informasjon, jf. personvernforordningen artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav
a, jf. artikkel 4 nr. 11 og artikkel 7 nr. 1.
Vi understreker likevel viktigheten av å ha en samtykkeforespørsel som oppfyller
personvernforordningens krav til frivillighet og informasjon. Dette gjelder spesielt hvis dere
benytter andre sporingsverktøy som fungerer på tilsvarende eller lignende måte som Meta-
pikselen.
8. Anbefalinger til oppfølging
Som forklart ovenfor har vi valgt å ikke se på særkravene etter ekomloven i dette tilsynet. Nå
har imidlertid Datatilsynet fått tilsynskompetanse etter ekomloven § 3-15. Dette betyr at vi i
fremtiden også vil føre tilsyn med denne bestemmelsen, herunder kravet om gyldig samtykke
til plassering av informasjonskapsler.
Uansett mener vi at det er nødvendig at dere gjennomgår alle informasjonskapsler for
markedsføring som er lagt inn på Nettstedet, samt gjennomgå samtykkeløsningen for å sørge
for at nettstedsbesøkende er i stand til å utøve et fritt valg og får god nok informasjon før
23
samtykke eventuelt gis. Siden samtykkekravene er skjerpet i ny ekomlov og Datatilsynet har
fått utvidet tilsynskompetanse, må dere regne med at vi kan føre tilsyn med
samtykkeerklæringen fullt ut også hva gjelder informasjonskapsler. Vi presiserer at
Datatilsynet kan ilegge strengere sanksjoner ved gjentatte lovbrudd.
Når samtykke ikke var gyldig for behandling av personopplysninger i kontekst av
sporingspiksler, vil det trolig heller ikke være det for bruk av informasjonskapsler.
Når det gjelder informasjonen som gis, er det for eksempel viktig at de besøkende på
Nettstedet blir informert dersom samtykke til bruk av sporingsverktøy innebærer at
tredjeparter kan bruke personopplysninger om helse og seksuelle forhold til sine egne formål,
herunder kommersielle formål som markedsføring. De besøkende bør også bli informert om at
de fortsatt kan bruke nettstedet dersom de ikke gir samtykke.
9. Klageadgang
Dette er et enkeltvedtak som kan påklages etter forvaltningslovens regler, jf.
forvaltningsloven § 28. Fristen for å klage er tre uker etter dette brevet er mottatt.
Personvernnemnda er klageorgan, men en eventuell klage skal sendes til Datatilsynet.
10. Innsyn og offentlighet
Som part i saken har dere rett til innsyn i sakens dokumenter, jf. forvaltningsloven § 18.
Vi vil også informere dere om at alle dokumentene i utgangspunktet er offentlige, jf.
offentlighetsloven § 3. Dersom dere mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn ber vi dere om å begrunne dette.
Hvis dere har spørsmål om saken, kan dere ta kontakt per e-post til
[email protected].
Vennlig hilsen
Tobias Judin
seksjonssjef
Trine Smedbold
juridisk seniorrådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
Mottaker(e): ADVOKATFIRMAET ARNTZEN AS, Trine Hammervold
ADVOKATFIRMAET ARNTZEN AS, Tommy Dahlen
NORSK HELSEINFORMATIKK AS
24
25