Datatilsynet har sendt et varsel om irettesettelse til Den norske kirke (DNK) for brudd på personvernforordningen. Bakgrunnen for saken er at DNK samlet inn fødselsmeldinger til medlemmers barn fra Folkeregisteret i en og en halv måned etter at tillatelsen deres til å motta disse folkeregisteropplysningene opphørte.
Saken startet med en klage fra Human-Etisk Forbund på vegne av åtte klagere i 2020.
Klagerne reagerte på at deres barn var registrert som tilhørige i DNK uten deres kunnskap, til tross for at de aldri foretok seg noe aktivt i form av innmelding, dåp eller kirkelig konfirmasjon.
Frem til 1. januar 2021 fulgte det av den nå opphevede kirkeloven at mindreårige hvor minst en av foreldrene var medlem av DNK, skulle registreres som tilhørige i DNKs medlemsregister. DNK hadde frem til 1. oktober 2018 tillatelse etter folkeregisterregelverket til å automatisk motta meldinger om fødsler hvor en av foreldrene var medlem av DNK, slik at disse kunne føres inn i medlemsregisteret.
DNKs innsamling av fødselsmeldinger ble imidlertid ikke stoppet før en og en halv måned etter at denne tillatelsen hadde opphørt.
Datatilsynet har konkludert med at innsamlingen og den videre lagringen av fødselsmeldingene mottatt fra Folkeregisteret etter at tillatelsen opphørte, manglet behandlingsgrunnlag
- Behandlingsgrunnlagene som DNK har bygget på for innsamling og lagring, krever at behandlingen må ha hjemmel i lov eller forskrift. Siden behandlingen av personopplysningene i fødselsmeldingene var i strid med folkeregisterregelverket, var ikke dette vilkåret oppfylt, sier juridisk seniorrådgiver Anders Obrestad.
I tillegg har Datatilsynet konkludert med at det ikke ble gitt lett tilgjengelig informasjon om innsamlingen av fødselsmeldingene fra Folkeregisteret.
- Etter personvernforordningen skal all påkrevd informasjon gis på en kortfattet, åpen, forståelig og lett tilgjengelig måte, og på et klart og enkelt språk. Det kan ikke være slik at de registrerte må aktivt lete etter informasjonen, sier Obrestad.
Den automatiske tilhørighetsordningen ble opphevet da den nye trossamfunnsloven trådte i kraft ved nyttår, og personopplysningene om alle tilhørige er bekreftet slettet av DNK. Datatilsynets varsel handler derfor om behandlinger av personopplysninger som ikke lenger pågår.
Bakgrunnen for at Datatilsynet ikke har valgt en strengere reaksjon, er blant annet at saken har enkelte formildende omstendigheter.
DNK har frist til 12. august 2021 med å komme med eventuelle merknader til varselet.
Varsel om vedtak om irettesettelse - Behandling av mindreåriges personopplysninger (pdf)
Påpeking av plikt - Behandling av personopplysninger i Den norske kirke (pdf)