Personopplysningsloven og gravplassmyndigheten

Personopplysningsloven og personvernforordningen (PVF)

EUs personvernforordning (forkortet som "PVF") som trådte i kraft i EU 25. mai 2018 er med visse tilpasninger gjort til norsk lov gjennom personopplysningsloven av 15. juni 2018 som trådte i kraft 20. juli 2018. Dette regelverket regulerer håndtering av personopplysninger. Som personopplysninger regnes enhver opplysning om en identifisert eller identifiserbar fysisk person ("den registrerte").

Lokal gravplassmyndighet behandler blant annet personopplysninger om den som sørger for gravferden, ansvarlig for fri grav, samt festere. I tilknytning til behandling av konkrete klagesaker vil ulike typer personopplysninger kunne bli behandlet, slik som blant annet helseopplysninger.

Særlig om avdøde personer

Loven og forordningen gjelder ikke for behandling av personopplysninger om avdøde personer.¹ En personopplysning om en avdød person vil dermed bare omfattes av lovens og forordningens regler hvis opplysningen samtidig er en personopplysning om en levende person.² Det er ikke helt rett frem å vurdere om opplysning samtidig er en personopplysning om en levende person, men normalt vil nok ikke dette komme på spissen i gravplassforvaltningssammenheng.³

Noen hensyn bak regelverket

I forordningens art. 1 fremkommer det at formålet med forordningen er å sikre vern av fysiske personers grunnleggende rettigheter og friheter, særlig deres rett til vern av personopplysninger.⁴ I fortalen pekes det på at den raske teknologiske utviklingen samt globaliseringen har skapt nye utfordringer med hensyn til vern av personopplysninger.⁵ Det vises til at omfanget av innsamlingen og utveksling av personopplysninger har økt betraktelig. Teknologien gjør det mulig for både private selskaper og offentlige myndigheter å benytte seg av personopplysninger i sitt arbeid i et helt nytt omfang. Fysiske personer gjør i stadig større grad personopplysninger offentlig tilgjengelig, også globalt. Alt dette er med og bidrar til at det har kommet på plass en sterk og mer sammenhengende ramme for vern av personopplysninger i EU/EØS.⁶

Personvernprinsippene, definisjoner i personvernforordningen og behandlingens lovlighet

Utover å forstå hensynene bak regelverket, kan kjennskap til følgende tre forhold være nøkler til å forstå personvernforordningen:

• Kjennskap til personvernprinsippene i personvernforordningen (artikkel 5), men dette må sees i sammenheng med at arkivloven for offentlige organer gjelder, ref. nedenfor.
• Kjennskap til definisjonene i personvernforordningen (artikkel 4 og artikkel 9 nr. 1 om "særlige kategorier av personopplysninger"). Her bør en særlig merke seg at "behandling" av personopplysning er et vidt begrep som omfatter mye.
• Kjennskap til behandlingens lovlighet (henholdsvis artikkel 6 og artikkel 9 med utgangspunktet om at det er forbudt å behandle "særlige kategorier av personopplysninger".

Bruk av fødselsnummer o.l.

Gravplassmyndighetene må også være klar over at det gjelder tilleggsvilkår i personopplysningsloven § 12 for behandling av fødselsnummer og andre entydige identifikasjonsmidler. 

Der vilkårene for behandling av fødselsnumre ol. er til stede må det legges til grunn at slike numre ikke skal gjøres tilgjengelige for uvedkommende tredjeparter gjennom usikret elektronisk kommunikasjon.⁷

Fødselsnumre el som sendes i postsendinger skal ikke gjøres tilgjengelig for andre enn adressaten.⁸

Datatilsynets veiledning og personvernerklæring

Datatilsynet har, som rett myndighet på personvernområdet, veiledning for hvordan prinsippene og de nærmere reglene i personopplysningsloven og personvernforordningen skal følges. Datatilsynet har blant annet en nettside som omhandler virksomhetens plikter, men merk at denne veiledningen er rettet mot virksomheter generelt. Gravplassmyndighetene må huske at de også er underlagt arkivloven for offentlige organer, noe som eksempelvis gjør at Datatilsynets generelle veiledning til virksomhetens plikter knyttet til sletting av personopplysninger ikke gjelder. Datatilsynet er et offentlig organ som er underlagt forvaltningsloven, offentlighetsloven, arkivloven og personopplysningsloven, og det kan derfor være nyttig å lese Datatilsynets personvernerklæring.

Gravplassloven og regulering av behandling av personopplysninger mv.

Gravplassloven § 26 er som følger:

"§ 26. Behandling av personopplysninger mv.

Gravplassmyndigheten, godkjente krematorier, statsforvalteren og kommunen kan behandle personopplysninger, også personopplysninger som nevnt i personvernforordningen artikkel 9, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her eller for å ivareta etterlattes valg av tros- eller livssynssamfunn til å gjennomføre gravferdsseremonien. Departementet kan gi forskrift om behandlingen, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, og om adgangen til viderebehandling, retting og sletting.

Så langt det er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her eller for å ivareta etterlattes valg av tros- eller livssynssamfunn til å gjennomføre gravferdsseremonien, kan offentlige og private virksomheter, domstolene og forvaltningsorganer dele opplysninger uten hinder av taushetsplikt. Departementet kan gi forskrift om

1. 1. plikt til å dele opplysninger uten hinder av taushetsplikt
   2. hvilke private virksomheter som er omfattet av delingsadgangen etter første punktum
   3. at enkelte opplysninger ikke skal kunne deles etter første punktum
   4. vilkår for deling av opplysninger etter første punktum."

Departementet har gitt en egen forskrift om Digital gravferdsmelding:

https://lovdata.no/dokument/SF/forskrift/2024-06-05-940

Teksten er oppdatert per 26. juli 2024.

¹ Personvernforordningens fortalepunkt 27.

² Prop. 56 LS (2017-2018) s. 26.

³ For omtale av grensegangen, se NOU 2019:9 Fra kalveskinn til datasjø pkt. 10.2.1 under overskriften Hvem er vernet av forordningen?

⁴ Det er også gitt regler om fri utveksling av personopplysninger, men det kommer vi ikke nærmere inn på her.

⁵ Fortalepunkt 6.

⁶ Fortalepunkt 7.

⁷ Prop. 56 LS (2017-2018) s. 56. Dette synes også å være i tråd med tenkningen i eForvaltningsforskriften.

⁸ Prop. 56 LS (2017-2018) s. 56.