Saken startet da en kvinne oppdaget at hennes navn og fødselsopplysninger var publisert i en digital slektstavle. Hun ba om at opplysningene ble fjernet, noe nettstedet etterkom. Likevel dukket slektstavlen fortsatt opp i Google-søk, og hun valgte derfor å klage forholdet inn til Datatilsynet. Fire måneder senere foreligger nå svaret fra Datatilsynet, som gir en viktig prinsipiell avklaring for slektsforskere.
Svaret det danske datatilsynet ga bygger på EUs personvernforordning (GDPR) og er derfor relevant utover Danmarks grenser. I all hovedsak er det to hovedpunkter man skal være særskilt bevisst på når man som slektsforsker jobber med persondata også for nålevende personer, alminnelige personopplysninger og særlige kategorier personopplysninger. Sistnevnte er også kjent som sensitive persondata. Her finner vi ting som helseopplysninger, politisk eller religiøs tilhørighet, etnisk opprinnelse eller lignende.
Alminnelige personopplysninger er derimot informasjon slektsforskere normalt er mer opptatt av. Opplysninger som navn, fødselsdato, fødested, familieforhold og yrke er alle å regne som slike personopplysninger av mindre sensitiv art. Alminnelige persondata om nålevende personer kan, i følge det danske datatilsynet, publiseres uten uttrykkelig samtykke, så lenge behandlingen bygger på en legitim interesse og ikke krenker den registrertes rettigheter. Dette følger av GDPR artikkel 6 nr. 1 bokstav f – den såkalte interesseavveiningen.
Sletting av personopplysninger
En viktig del av avgjørelsen gjelder retten til å protestere og kreve sletting. GDPR gir enhver rett til å motsette seg behandling av egne opplysninger. Men denne retten er ikke absolutt.
Datatilsynet presiserer at det må foreligge tungtveiende grunner for at sletting skal kreves når behandlingen bygger på legitim interesse. Eksempler kan være beskyttet identitet, trusselsituasjon eller risiko for alvorlig skade. For ordinære slektsopplysninger vil terskelen for sletting derfor være relativt høy.
Det skilles mellom indeksering og publisering
I dette tilfellet fjernet den som publiserte navn og fødselsdato på vedkommende, selv om det i ettertid viste seg at det danske datatilsynet mente dette ikke var nødvendig.
Vedkommende var fortsatt ikke fornøyd siden informasjonen fortsatt var synlig i Googles trefflister, men her skiller datatilsynet på ansvaret. Søkemotorer håndterer egne krav om fjerning, og dette er en separat prosess.
Hva betyr dette for slektsforskere utenfor Danmark?
Selv om saken gjelder Danmark, bygger vurderingen på EUs personvernforordning (GDPR), som også gjelder i Norge og resten av EU. Prinsippene vil derfor i stor grad være de samme her.
For deg som publiserer slekt på nett betyr det:
- Vær bevisst forskjellen mellom alminnelige og sensitive opplysninger.
- Ha en tydelig kontaktmulighet for dem som ønsker retting eller dialog.
- Gjør en enkel interesseavveining før publisering.
Slektsforskning handler om historie, men også om levende mennesker. Det ansvaret må vi ta på alvor. Samtykke en svært viktig del av publisering av persondata også når det kommer til alminnelige personopplysninger.
Det norske datatilsynet har publisert en egen artikkel om slektsforskning og publisering på nett og papir, som du kan lese her: https://www.datatilsynet.no/personvern-pa-ulike-omrader/internett-og-apper/slektsgransking/
