Irettesettelse til Den norske kirke for behandling av barns personopplysninger
Datatilsynet har sendt et vedtak om irettesettelse til Den norske kirke (DNK) for brudd på personvernforordningen.
Bakgrunnen for saken er at DNK samlet inn fødselsmeldinger til medlemmers barn fra Folkeregisteret i én og en halv måned etter at tillatelsen deres til å motta disse folkeregisteropplysningene opphørte.
Saken startet med en klage fra Human-Etisk Forbund på vegne av åtte klagere i 2020.
Klagerne reagerte på at barna deres var registrert som tilhørige i DNK uten at de kjente til det, og til tross for at de aldri foretok seg noe aktivt i form av innmelding, dåp eller kirkelig konfirmasjon.
Tillatelse til innsamling opphørte
Frem til 1. januar 2021 fulgte det av den nå opphevede kirkeloven at mindreårige hvor minst en av foreldrene var medlem av DNK, skulle registreres som tilhørige i DNKs medlemsregister. DNK hadde frem til 1. oktober 2018 tillatelse etter folkeregisterregelverket til å automatisk motta meldinger om fødsler hvor en av foreldrene var medlem av DNK, slik at disse kunne føres inn i medlemsregisteret.
DNKs innsamling av fødselsmeldinger ble imidlertid ikke stoppet før én og en halv måned etter at denne tillatelsen hadde opphørt.
Brudd på personvernforordningen
Datatilsynet har konkludert med at innsamlingen og den videre lagringen av fødselsmeldingene som ble mottatt fra Folkeregisteret etter at tillatelsen opphørte, manglet behandlingsgrunnlag
- Behandlingsgrunnlagene som DNK har bygget på for innsamling og lagring, krever at behandlingen må ha hjemmel i lov eller forskrift. Siden behandlingen av personopplysningene i fødselsmeldingene var i strid med folkeregisterregelverket, var ikke dette vilkåret oppfylt, sier juridisk seniorrådgiver Anders Obrestad.
I tillegg har Datatilsynet konkludert med at det ikke ble gitt lett tilgjengelig informasjon om innsamlingen av fødselsmeldingene fra Folkeregisteret.
- Etter personvernforordningen skal all påkrevd informasjon gis på en kortfattet, åpen, forståelig og lett tilgjengelig måte, og på et klart og enkelt språk. Det kan ikke være slik at de registrerte aktivt må lete etter informasjonen, sier Obrestad.
Opplysningene er slettet
Vedtaket er det samme som tidligere ble varslet i saken. I merknadene til varselet, beklaget DNK bruddene og tok Datatilsynets konklusjon til etterretning.
Den automatiske tilhørighetsordningen ble opphevet da den nye trossamfunnsloven trådte i kraft 1. januar 2021, og personopplysningene om alle tilhørige er bekreftet slettet av DNK. Datatilsynets vedtak handler derfor om behandling av personopplysninger som ikke lenger pågår.
Bakgrunnen for at Datatilsynet ikke har valgt en strengere reaksjon, er blant annet at saken har enkelte formildende omstendigheter.
DNK har tre ukers frist til å klage på vedtaket.