9 Behandling av personopplysninger

9.1 Forslaget i høringsnotatet

Høringsforslaget § 5 første ledd innholdet en bestemmelse om kommisjonens grunnlag for behandling av personopplysninger. Høringsforslaget § 5 andre ledd inneholdt en bestemmelse som gjør unntak fra innsynsretten i personvernforordningen artikkel 15. I høringsnotatet ble det gitt følgende redegjørelse for forslaget:

«4.6.1 Innledning

For at Ekstremismekommisjonen skal kunne behandle personopplysninger som er nødvendige for formålet med kommisjonens arbeid, uten samtykke fra dem opplysningene gjelder, foreslår departementet en egen bestemmelse om behandling av personopplysninger.

Departementets forslag til bestemmelse framgår av lovutkastet § 5.

4.6.2 Lovhjemmel for behandling av personopplysninger

Lovforslaget vil innebære at kommisjonen vil kunne innhente personopplysninger og ofte særlig sårbare kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser. Fordi verken samtykke eller anonymisering anses som tilstrekkelig grunnlag for kommisjonens innhenting av personopplysninger, jf. [høringsnotatet] punkt 4.1 ovenfor, er det nødvendig med en uttrykkelig lovhjemmel for behandling av personopplysninger, herunder særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser.

Departementet viser til at formålet med kommisjonens saksgjennomgang og øvrige arbeid er å belyse hvordan radikalising og ekstremisme oppstår og å trekke lærdom med sikte på å forbedre det norske samfunnets evne til å forebygge radikalisering og ekstremisme. Forebygging av radikalisering og ekstremisme er viktig for å ivareta den nasjonale sikkerhet og den offentlige tryggheten. Det er videre viktig for å forebygge kriminalitet, og for å beskytte andres rettigheter og friheter. Å forebygge radikalisering og ekstremisme er altså avgjørende for å ivareta svært viktige samfunnshensyn. Departementet finner derfor at selv om kommisjonens behandling av personopplysninger kan være inngripende, er samfunnsnytten av behandlingen så stor at den begrunner dette.

Departementet foreslår derfor at kommisjonen skal kunne behandle personopplysninger som er nødvendige for formålet med kommisjonens arbeid, uten samtykke fra dem opplysningene gjelder. Dette gjelder etter forslaget også personopplysninger som nevnt i personvernforordningen artikkel 9 og artikkel 10. Departementet legger til grunn at den foreslåtte bestemmelsen i lovforslaget § 5 gir grunnlag for behandling av personopplysninger, og at denne hjemmelen også omfatter særlige kategorier av personopplysninger etter personvernforordningen artikkel 9 og personopplysninger om straffedommer og lovovertredelser etter samme forordning artikkel 10.

Departementet vurderer at behandling av særlige kategorier av personopplysninger er forholdsmessig sett opp mot samfunnsnytten av kommisjonens arbeid. De tiltakene som er foreslått fastsatt i loven – begrensning av tilgang til opplysninger hva gjelder innhold, personkrets og tid, kassering av dokumenter som ikke er arkivverdig og forbud mot bruk av informasjonen i senere rettssaker – er tilstrekkelige for å verne den registrertes grunnleggende rettigheter og interesser. Videre viser departementet til at andre lignende utvalg har vurdert å ha grunnlag for å behandle særlige kategorier av personopplysninger etter artikkel 9 nr. 2 bokstav g, alternativt den langt på vei tilsvarende bestemmelsen i personopplysningsloven 2000 § 9 tredje ledd. For eksempel fikk 22. juli-kommisjonen konsesjon fra Datatilsynet til å behandle særlige kategorier av personopplysninger etter personopplysningsloven 2000 § 9 tredje ledd, jf. NOU 2012: 14 side 40.

Kommisjonen skal løpende vurdere om de personopplysningene som til enhver tid behandles, er nødvendige for å gjennomføre oppgavene i kommisjonens mandat. Departementet viser her til personvernforordningen artikkel 5 nr. 1 bokstav c og e. Etter bokstav c om dataminimering skal behandling av personopplysninger være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for. Etter bokstav e skal opplysningene ikke lagres lenger enn det som er nødvendig for formålet.

4.6.3 Kommisjonen vil selv være behandlingsansvarlig

Departementet legger til grunn at kommisjonen selv vil være behandlingsansvarlig etter personvernforordningen artikkel 4 nr. 7, siden kommisjonen vil gjennomføre sitt arbeid uavhengig av Statsministerens kontor, Arbeids- og inkluderingsdepartementet og andre organer. Som behandlingsansvarlig skal kommisjonen etter personvernforordningen artikkel 24 nr. 1 gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med forordningen. Den skal også foreta en vurdering av personvernkonsekvenser etter personvernforordningen artikkel 35 i den grad denne bestemmelsen kommer til anvendelse.

Kommisjonen opphører å være behandlingsansvarlig når kommisjonens arbeid er avsluttet. Når kommisjonen avslutter sitt arbeid, skal den avlevere arkivet til arkivdepot. Arkivverket vil være behandlingsansvarlig for arkivmateriale som avleveres til dem.

4.6.4 Unntak fra rett til innsyn

Det følger av personvernforordningen artikkel 23 nr. 1 bokstav e at nasjonal rett kan begrense rettighetene til den registrerte når en slik begrensning overholder det vesentligste innholdet i de grunnleggende rettighetene og frihetene, og er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre «viktige mål av generell allmenn interesse».

Det foreslås derfor, med grunnlag i personvernforordningen artikkel 23 nr. 1 bokstav e, et unntak fra den registrertes rett til innsyn i personopplysningene om vedkommende etter personvernforordningen artikkel 15. På bakgrunn av at kommisjonens arbeid skal foregå innenfor en tidsavgrenset periode, er departementets vurdering at det ikke er hensiktsmessig dersom en for stor del av kommisjonens arbeidstid går med til å behandle innsynskrav. Departementet foreslår derfor at denne innsynsretten ikke skal gjelde dersom det vil kreve en uforholdsmessig stor innsats å gi innsyn. Det vises til at tilsvarende unntak gjelder ved behandling av personopplysninger for vitenskapelige forskningsformål.

Bestemmelsen, som foreslås tatt inn i § 5 andre ledd, innebærer at den registrertes rett til innsyn ikke gjelder «så langt det vil kreve en uforholdsmessig stor innsats å gi innsyn». Formuleringen «så langt» er vesentlig for at begrensningen i innsynsretten skal være i tråd med forholdsmessighetskravet i personvernforordningen artikkel 23. Forholdsmessighetsvurderingen skal være i samsvar med det som gjelder for vitenskapelige forskningsformål etter personopplysningsloven § 17, jf. Prop. 56 LS (2017–2018) side 217–218:

«Det kan bare gjøres unntak i den utstrekning innsyn er uforholdsmessig. Det må derfor foretas en konkret vurdering av de ulike typene informasjon som omfattes av artikkel 15. Det kan for eksempel kreve en uforholdsmessig innsats å gi en kopi av personopplysningene som behandles, jf. artikkel 15 nr. 3, men ikke å gi slik generell informasjon som er nevnt i artikkel 15 nr. 1 og 2. Da vil det foreligge innsynsrett etter artikkel 15 nr. 1 og 2, men ikke etter nr. 3. I forholdsmessighetsvurderingen inngår ikke bare den enkelte innsynsbegjæringen; også den samlede mengden av innsynsbegjæringer og potensielle innsynsbegjæringer kan tas i betraktning.»

Når det gjelder muligheten for å få overprøvd et eventuelt avslag på innsynskrav, viser departementet til at det er mulig å klage til Datatilsynet. Siden Datatilsynet er den alminnelige klageinstansen for klager over avslag på slike innsynskrav, finner departementet ikke grunn til å fastsette dette uttrykkelig i loven her.

4.6.5 Informasjonsplikt etter personvernforordningen

Det foreslås ikke å ta inn en bestemmelse i loven om informasjonsplikt etter personvernforordningen. Departementet legger til grunn at unntakene fra denne plikten etter forordningen artikkel 14 nr. 5 bokstav b og c i stor grad vil gjelde for kommisjonens virksomhet, og i den grad det vil gjenstå noen informasjonsplikt, følger denne av forordningen, som etter personopplysningsloven § 1 er norsk lov. Om og i hvilken grad det vil foreligge noen informasjonsplikt, vil måtte avgjøres ut fra hvilke opplysninger kommisjonen faktisk får tilgang til, og departementet har ikke forutsetninger for å si noe nærmere om dette.»

9.2 Høringsinstansenes syn

Domstoladministrasjonen er enig i at kommisjonens arbeid krever et tilstrekkelig og klart behandlingsgrunnlag etter personvernlovgivningen, og uttaler at departementets forslag er tilstrekkelig og hensiktsmessig på dette punktet, og at forslaget for øvrig gir en hensiktsmessig regulering av forholdet til personvernlovgivningens regler om behandlingsansvar, den registrertes rettigheter med videre.

Datatilsynet uttrykker forståelse for at Ekstremismekommisjonen må ha tilgang til taushetsbelagte personopplysninger for å få utført sitt oppdrag, herunder særlige kategorier av personopplysninger etter personvernforordningen artikkel 9 og opplysninger om straffbare forhold og lovovertredelser, jf. artikkel 10. Datatilsynet støtter departementets vurdering av at kravene til en klar og tydelig hjemmel for inngrepet tilsier at kommisjonens adgang til å innhente informasjon må reguleres i egen lov. Datatilsynet støtter videre at nødvendighetskravet framgår eksplisitt av lovforslaget § 5 og uttaler:

«Ekstremismekommisjonens tilgang til informasjon vil være begrenset til opplysninger som er nødvendige for arbeidet. Departementet angir at nødvendighetsvurderingen må gjøres av organet som avgir opplysningene, og slik vil det i praksis måtte være. Det kan likevel være vanskelig for avgiverorganet å gjøre en reell avgrensning av informasjonen.

Som departementet påpeker, har også kommisjonen som behandlingsansvarlig et selvstendig og fortløpende ansvar for å tilse at kravet om nødvendighet er oppfylt, jf. prinsippet om dataminimering i personvernforordningen artikkel 5 nr. 1 bokstav c. Vi ser positivt på at dette fremgår eksplisitt av lovforslagets § 5. Det er viktig at kommisjonens medlemmer har et bevisst forhold til nødvendighetskriteriet, ettersom de selv velger hvilke saker som er relevante for deres arbeid.»

Også Legeforeningen og Oslo kommune trekker fram kravene til dataminimering og at det er viktig at kommisjonen har et bevisst forhold til nødvendighetskriteriet. Oslo kommune ønsker en nærmere og grundigere redegjørelse av hvilke personvernkonsekvenser slik tilgang til taushetsbelagte opplysninger vil kunne medføre for den berørte registrerte. Oslo kommune skriver at kommisjonen må foreta en personvernkonsekvensvurdering før de starter behandlingen av personopplysningene i sitt arbeid og ønsker også at departementet fremhever dette.

Datatilsynet mener det er et godt pedagogisk grep at tiltak som verner den registrertes rettigheter og interesser, er tatt inn i lovforslaget. Datatilsynet uttaler om dette:

«Behandling av særlige kategorier av helseopplysninger, for eksempel helseopplysninger og opplysninger om etnisk bakgrunn, er som utgangspunkt forbudt, jf. personvernforordningen artikkel 9 nr. 1. Et av unntakene i artikkel 9 nr. 2 må gjøre seg gjeldende for at behandlingen skal være lovlig.

Det relevante unntaket i artikkel 9 nr. 2 bokstav g tillater behandling av særlige kategorier av personopplysninger når det «er nødvendig av hensyn til viktige allmenne interesser, på grunnlag av (…) medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».

Bestemmelsen stiller altså uttrykkelige krav til at det skal foreligge tiltak (garantier) ved behandling av særlige kategorier av personopplysninger. Slik vi leser forarbeidene til bestemmelsen, går de langt i å anbefale at det utformes spesifikke regler i det nasjonale regelverket om særlige og egnede tiltak/garantier der dette er mulig. Eksempler på egnede og særlige tiltak kan være begrensninger i lagringstid, tilgangsstyring, regler om arkivering, bruk av pseudonyme opplysninger der dette er mulig m.m.

Departementet har tatt inn flere slike tiltak/garantier i lovforslaget. Tilgangen til opplysningene er begrenset til kommisjonens medlemmer (eller oppdragstakere), og den gjelder kun så lenge kommisjonen består. Det fremgår uttrykkelig av lovforslaget at det skal gjøres vurderinger av nødvendigheten av opplysningene, at ikke-arkivverdig materiale skal kasseres og at det er forbud mot bruk av opplysningene i en senere straffesak. Det er også eksplisitt stadfestet at den strengere taushetsplikten som eventuelt gjelder vil følge opplysningene også når det er levert til arkivdepot.

Dette er i stor grad uttrykk for allerede gjeldende regler, men vi mener det er et godt pedagogisk grep å ta bestemmelsene direkte inn i loven.»

Datatilsynet uttaler at tilsynet ser at det kan være en hensiktsmessig løsning at Ekstremismekommisjonen selv er behandlingsansvarlig etter personvernregelverket. Datatilsynet ber departementet ta stilling til hvem som skal være behandlingsansvarlig etter at kommisjonen opphører å eksistere. Utlendingsdirektoratet (UDI) og Kripos mener det bør framgå eksplisitt av loven at Ekstremismekommisjonen selv skal være behandlingsansvarlig etter personvernforordningen artikkel 4 nr. 7. UDI mener videre at det også bør framgå eksplisitt av loven at kommisjonen opphører å være behandlingsansvarlig når kommisjonens arbeid er avsluttet og at Arkivverket vil være behandlingsansvarlig for materiale som avleveres til dem.

KS ønsker en fyldigere begrunnelse for hvorfor det i høringsforslag § 5 andre ledd gjøres unntak fra personvernforordningens artikkel 15. Organisasjonen uttaler blant annet:

«Dette gjelder særlig siden innsyn fremstår som et naturlig motstykke både til at taushetsplikt er foreslått satt til side og at behandlingen av personopplysninger foreslås å kunne skje uten samtykke fra dem opplysningene gjelder. Det bemerkes her at det kan tenkes tilfeller hvor det ikke er forholdsmessig å foreta behandling av personopplysninger uten samtykke. Selv om samme unntak ble gjort for eksempelvis koronakommisjonen, er det ikke tilstrekkelig begrunnelse i seg selv. Ekstremismekommisjonens arbeid er mer vidtgående og kan berøre svært sensitiv informasjon.»

Politidirektoratet (POD) og Kripos uttaler at opplysninger som er taushetsbelagte etter politiregisterloven § 23 andre ledd vil være unntatt fra retten til innsyn etter personvernforordningen, jf. personopplysningsloven § 16 første ledd bokstav d. POD og Kripos uttaler at politiet må kontaktes for en vurdering av om opplysningene er omfattet av unntaket, ved behandling av begjæring om innsyn i eventuelle opplysninger som er utlevert fra politiet.

Videre understreker POD og Kripos at dersom kommisjonen behandler begjæringer om innsyn i opplysninger utlevert fra politiets registre, må den behandlingsansvarlige for registeret få anledning til å gi føringer for hvilke opplysninger den registrerte kan få innsyn i. De viser til at Kripos er behandlingsansvarlig for 18 av de sentrale politiregistrene.

Politiets sikkerhetstjeneste (PST) viser til at lovforslaget legger opp til at det kan bes om innsyn i kommisjonens materiale og at Datatilsynet vil være klageinstans. PST uttaler at det ikke er innsynsrett i saker hos PST etter PSTs regelverk for behandling av opplysninger, jf. politiregisterloven § 66. I tillegg er det egne regler i sikkerhetsloven for innsyn i graderte opplysninger. PST uttaler at det må sikres at de samme reglene gjelder der det bes om innsyn hos kommisjonen.

9.3 Departementets vurderinger

9.3.1 Innledning

Departementet foreslår at forslaget i høringsnotatet videreføres, og at det også tilføyes tredje ledd i lovforslaget § 5 om hvem som er behandlingsansvarlig.

9.3.2 Hjemmel for behandling av personopplysninger

Departementet legger til grunn at § 5 første ledd i lovforslaget gir grunnlag for behandling av personopplysninger, og at denne hjemmelen også omfatter særlige kategorier av personopplysninger etter personvernforordningen artikkel 9 og personopplysninger om straffedommer og lovovertredelser etter samme forordning artikkel 10. Departementet vurderer at behandling av særlige kategorier av personopplysninger er forholdsmessig sett opp mot samfunnsnytten av kommisjonens arbeid. De tiltakene som er foreslått fastsatt i loven – begrensning av tilgang til opplysninger hva gjelder innhold, personkrets og tid, kassering av dokumenter som ikke er arkivverdig og forbud mot bruk av informasjonen i senere rettssaker og tilsynssaker – er tilstrekkelige for å verne den registrertes grunnleggende rettigheter og interesser. Departementet er videre enig med Datatilsynet og Legeforeningen i viktigheten av at kommisjonen som behandlingsansvarlig selv tar ansvar for at de personopplysningene kommisjonen behandler, er adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for, jf. personvernforordningen artikkel 5 nr. 1 bokstav c. Det vises videre til vurderingen i høringsnotatet inntatt i punkt 9.1 ovenfor. Ut fra dette opprettholdes forslaget fra høringsnotatet.

Departementet opprettholder at det ikke tas inn en bestemmelse i loven om informasjonsplikt etter personvernforordningen. Det vises til vurderingene i høringsnotatet inntatt i punkt 9.1 ovenfor.

Departementet opprettholder sitt syn i høringsforslaget om at Ekstremismekommisjonen selv vil være behandlingsansvarlig etter personvernforordningen artikkel 4 nr. 7, at kommisjonen opphører å være behandlingsansvarlig når kommisjonens arbeid er avsluttet, og at Arkivverket vil være behandlingsansvarlig for arkivmateriale som avleveres til dem. Departementet er enig i høringsinnspill blant annet fra UDI, om at det bør fremgå eksplisitt av loven hvem som er behandlingsansvarlig. Departementet foreslår derfor at dette framgår av lovforslaget § 5 tredje ledd.

9.3.3 Kommisjonen må foreta en personvernkonsekvensvurdering

Departementet legger til grunn at kommisjonen før den behandler personopplysninger skal foreta en vurdering av personvernkonsekvenser, jf. personvernforordningen artikkel 35. Departementet viser til at artikkel 35 nr. 7 oppstiller minimumskrav til hva vurderingen skal inneholde.

9.3.4 Særlig om den registrertes rett til innsyn

Utgangspunktet etter personvernforordningen artikkel 15 er at den registrerte har rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og dersom dette er tilfellet, innsyn i personopplysningene. Det finnes imidlertid unntak fra dette. Departementet viser til at det følger av personopplysningsloven § 16 at retten til informasjon og innsyn etter personvernforordningen artikkel 13, 14 og 15 ikke omfatter opplysninger som

1. er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser, når den behandlingsansvarlige kan unnta opplysningene etter offentleglova §§ 20 eller 21

2. det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger

3. det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær

4. i lov eller med hjemmel i lov er underlagt taushetsplikt

5. utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser

6. det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om

Alle disse unntakene vil i praksis kunne være aktuelle for kommisjonen, dersom registrerte ber kommisjonen om innsyn. Personopplysningsloven § 17 har også regler om unntak fra den registrertes rettigheter ved behandling av personopplysninger for arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål og statistiske formål.

Sikkerhetsgradert informasjon er underlagt taushetsplikt jf. sikkerhetsloven § 5-4 andre ledd, dersom den er gyldig gradert, og det vil ikke være innsynsrett i slike opplysninger.

Departementet viser til høringsuttalelsen fra POD og Kripos knyttet til politiregisterloven § 23 annet ledd. Bestemmelsen gjelder taushetsplikten til de som er ansatt i eller utfører tjeneste eller arbeid for politiet eller påtalemyndigheten og gir strengere regler om taushetsplikt enn det som følger av forvaltningsloven. Der politiet gir kommisjonen opplysninger som er undergitt strengere regler om taushetsplikt enn det som følger av forvaltningsloven, skal disse strengere reglene etter lovforslaget gjelde for kommisjonen og de som utfører arbeid eller tjeneste for kommisjonen, jf. lovforslaget § 4 andre ledd. Spørsmålet om å nekte den registrerte innsyn med hjemmel i personopplysningsloven § 16 første ledd bokstav d må da vurderes ut fra denne strengere taushetsplikten. Dersom politiet har pålagt kommisjonen taushetsplikt om utleverte opplysninger, jf. politiregisterloven § 35, kan den registrerte også nektes innsyn med hjemmel i personopplysningsloven § 16 første ledd bokstav d. De andre unntakene i § 16 første ledd kan også etter en konkret vurdering kunne komme til anvendelse.

Departementet vil understreke det forhold som også er nevnt ovenfor under punkt 5.3 om hvilke saker kommisjonen skal se på. Etter politiregisterloven § 54 tredje ledd gis det en begrunnelse som ikke tilkjennegir at det foreligger en registrering, dersom den registrerte ber om innsyn i egne personopplysninger og får avslag. Den samme muligheten vil ikke foreligge for kommisjonen der kommisjonen får krav om innsyn fra den registrerte. Kommisjonen vil måtte vise til hvilken hjemmel som foreligger for avslag etter personopplysningsregelverket, og dermed tilkjennegi det dersom kommisjonen behandler personopplysninger om den som ber om innsyn. Politiet må derfor før de utleverer opplysninger til kommisjonen ta dette i betraktning.

Kommisjonen bør vurdere å innhente politiet eller påtalemyndighetens syn før kommisjonen beslutter om den registrerte skal gis innsyn i opplysninger innhentet fra politiet eller påtalemyndigheten. Det er imidlertid kommisjonen som tar den endelige beslutningen. Departementet foreslår imidlertid ikke å fastsette en konsultasjonsplikt i loven. Det sentrale vil i alle tilfelle være om opplysningene er av en slik karakter at det er grunn til å vurdere nærmere om det er behov og grunnlag for unntak fra innsynsretten etter personopplysningsloven §§ 16 eller 17. Det bør vurderes ut fra de konkrete opplysningene og omstendighetene for øvrig om en skal kontakte politiet eller påtalemyndigheten for å få innspill på dette. Det samme gjelder etter avlevering til arkivdepot.

Departementet viser til PSTs høringsuttalelse om at det ikke er innsynsrett i saker hos PST jf. politiregisterloven § 66, at det er egne regler i sikkerhetsloven om innsyn i graderte dokumenter, og at det må sørges for at de samme reglene gjelder der det bes om innsyn hos kommisjonen. For kommisjonen vil det være personopplysningsloven og personvernforordningens regler som er avgjørende i tillegg til de spesielle reglene i dette lovforslaget. Departementet legger til grunn at politiregisterlovens § 66 om innsyn, ikke kan gis tilsvarende anvendelse for kommisjonen, men at PSTs interesser kan ivaretas gjennom at sikkerhetsgraderte opplysninger og andre opplysninger som er underlagt taushetsplikt i lov eller med hjemmel i lov kan unntas fra innsyn, jf. personopplysningsloven § 16 første ledd bokstav d. Departementet viser til at PST kan pålegge kommisjonen taushetsplikt ved utleveringen, jf. politiregisterloven § 35. Videre kan også de andre unntakene i personopplysningsloven etter en konkret vurdering kunne komme til anvendelse.

9.3.5 Unntak fra rett til innsyn etter personvernforordningen § 15 dersom det krever en uforholdsmessig stor innsats å gi innsyn

Departementet opprettholder også forslaget til § 5 andre ledd, som innebærer et unntak fra den registrertes rett til innsyn i personopplysningene om vedkommende etter personvernforordningen artikkel 15 dersom det kreves uforholdsmessig stor innsats å gi innsyn. Det vises her til vurderingen i høringsnotatet inntatt i punkt 9.1 ovenfor. Departementet vil framheve at dette unntaket fra innsynsretten kun gjelder «dersom det vil kreve en uforholdsmessig stor innsats å gi innsyn». Dette innebærer at den registrerte fortsatt har rett til innsyn i opplysninger om vedkommende selv etter personvernforordningen artikkel 15 dersom det ikke krever en uforholdsmessig stor innsatts å gi vedkommende innsyn. Videre skal kommisjonens arkivmateriale avleveres til Arkivverket når kommisjonen har avsluttet sitt arbeid, jf. lovforslaget § 8 første ledd, og den registrerte kan da be om innsyn overfor Arkivverket, som er ny behandlingsansvarlig. Personopplysningsloven § 17 kan imidlertid gi hjemmel for begrensinger i retten til innsyn også etter avlevering til arkivdepot. Når det gjelder muligheten for å få overprøvd et eventuelt avslag på innsynskrav etter lovforslaget § 5 andre ledd, viser departementet til at det er mulig å klage til Datatilsynet. Siden Datatilsynet er den alminnelige klageinstansen for klager over avslag på slike innsynskrav, opprettholder departementet at det ikke er grunn til å fastsette dette uttrykkelig i lovforslaget.