Rettslig grunnlag ved bruk av rettsavgjørelser i tilpassing av KI

I motsetning til andre kilder som er kan brukes for å tilpasse en juridisk KI-løsning, slik for eksempel lover, forskrifter, forarbeider, rundskriv, veiledninger og maler, inneholder dommer og kjennelser ofte omfattende mengder personopplysninger – herunder personopplysninger som kan være svært sensitive for de som er involvert. Dette gjelder blant annet for rettsavgjørelser fra arbeidsrett og tilgrensende felt, som er det aktuelle rettsområdet for dette prosjektet.

Den første problemstillingen i sandkasseprosjektet er i hvilken grad rettsavgjørelser som dommer og kjennelser kan brukes for å tilpasse LawAi. Problemstillingen gjelder kravet om rettslig grunnlag i personvernforordningen artikkel 6 nr. 1, samt de særlige kravene for behandling av personopplysninger som nevnt i artikkel 9 og 10. Dersom rettslig grunnlag forutsetter at det iverksettes tiltak for å begrense personvernulempene, skal slike mulige tiltak vurderes.

Tilgang til rettsavgjørelser og domstolenes behandling av personopplysninger

Domstolenes egen behandling av personopplysninger er i stor grad unntatt personopplysningsloven og personvernforordningen gjennom det såkalte rettspleieunntaket i personopplysningsloven § 2 annet ledd bokstav b, som unntar behandling for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.).

Dommers offentlighet reguleres av domstolloven § 124. Rettsmøtene er offentlige og forhandlingene og rettsavgjørelsene kan gjengis offentlig, hvis ikke annet er bestemt i lov eller av retten i medhold av lov. Det er likevel en rekke unntak fra dette, blant annet i § 129 og § 130.

I sivile saker har enhver i henhold til tvisteloven § 14-2 som hovedregel rett til å kreve innsyn i rettsavgjørelser og andre rettsbøker. En tilsvarende hovedregel er gitt i straffesaker i straffeprosessloven § 28, men gjelder i utgangspunktet bare for dommer og enkelte typer kjennelser, og ikke alle avgjørelser. Innsynskravet kan imidlertid alltid avslås hvis avgjørelsen er eldre enn fem år eller den som krever utskrift bare identifiserer avgjørelsen ved siktedes navn.

Domstolene kan legge ut rettsavgjørelser på åpne nettsider for allmennheten og på lukkede nettsider for pressen, jf. forskrift om offentlighet i rettspleien § 11. Det følger imidlertid flere begrensninger i bestemmelsen, blant annet dersom det foreligger forbud mot å gi utskrift. I tillegg er det krav om anonymisering av siktede hvor siktelsen ikke er alminnelig kjent, anonymisering av fornærmede med mindre identifisering er ubetenkelig, og at rettsavgjørelser i sivile saker som berører forhold av svært sensitiv karakter bare kan legges ut i anonymisert form.

Forhold av svært sensitiv karakter kan blant annet inkludere medisinske opplysninger eller opplysninger om seksuelle forhold.[1] Uanonymiserte rettsavgjørelser skal fjernes fra åpne og lukkede nettsider innen tre måneder, men unntak kan gjøres for avgjørelser i sivile saker som ikke berører forhold av særlig sensitiv karakter.

Av domstolene er det kun Høyesterett som regelmessig publiserer sine rettsavgjørelser i avidentifisert form på sine åpne nettsider.[2] De publiserte avgjørelsene omfatter i dag avgjørelser tilbake til år 2000. Utover dette er det ikke andre domstoler som normalt publiserer avidentifiserte avgjørelser på åpne nettsider, og eventuelle viderebrukere av slike rettsavgjørelser må få tilgang til rettsavgjørelsene gjennom å be om innsyn hos domstolene.

Begrepet «anonymisering» knyttet til rettsavgjørelser i rettspleielovene og forskriften forstås ikke på samme måte som begrepet «anonymisering» tilknyttet personvernregelverket, og det praktiseres ikke like strengt. I praksis bytter domstolene ut navn, fødselsdato, boligadresse og enkelte andre opplysninger som er nødvendig for å redusere risiko for identifisering med bokstaver eller lignende. Selv om en avgjørelse er anonymisert i tråd med hvordan forskrift om offentlighet i rettspleien praktiseres, vil imidlertid opplysningene i dommene normalt fortsatt indirekte kunne knyttes til enkeltpersoner, jf. personvernforordningen artikkel 2 nr. 1. De vil dermed inneholde personopplysninger.

I det følgende vil vi derfor omtale anonymiseringen som domstolene gjør av rettsavgjørelser som en form for «avidentifisering». Der vi bruker begrepet «anonymisering» i fortsettelsen, vil dette være i anonymisering personvernforordningens forstand.

Private rettssubjekter som Stiftelsen Lovdata, Gyldendal Norsk Forlag AS og DIBKunnskap AS har avtaler med domstolene, og publiserer utvalg av rettsavgjørelser i avidentifisert form på sine nettsider. Lovdata publiserer for eksempel alle avgjørelser fra Høyesterett og et utvalg avgjørelser fra lagmannsrettene og tingrettene. I rettspraksis er det slått fast at slike databaser med avidentifiserte rettsavgjørelser har databasevern etter åndsverkloven § 24, jf. HR-2019-1725-A. Viderebruk av rettsavgjørelser fra slike databaser er dermed begrenset av eneretten i åndsverkloven § 24.

Se Lovdatas side for publisering av rettsavgjørelser (ekstern side)

Når det gjelder Lovdata, Rettsdata og DIBKunnskaps behandling av personopplysninger i rettsavgjørelser, har disse aktørene konsesjon fra Datatilsynet etter gammel personopplysningslov § 33 til å behandle personopplysninger som nevnt i artikkel 9 og 10 for formålet om elektronisk publisering av rettsavgjørelser. Konsesjonene er videreført med hjemmel i overgangsregler om behandling av personopplysninger (FOR-2018-06-15-877) § 6 bokstav c for elektronisk publisering av rettsavgjørelser.

De planlagte behandlingsaktivitetene

Juridisk ABC er selv behandlingsansvarlig for behandlingen av personopplysninger i forbindelse med bruk av rettsavgjørelser for å tilpasse LawAi.

For å bruke rettsavgjørelsene til å tilpasse LawAi, må Juridisk ABC først laste ned rettsavgjørelsene fra domstolenes nettsider eller be om å få avgjørelsene oversendt. Det forutsettes at domstolene har vurdert hva det kan gis innsyn i henhold til rettspleielovene.

Rettsavgjørelsene som lastes ned eller mottas vil lagres sikkert og lokalt, hvor et begrenset antall ansatte som har signert taushetserklæring og fått særskilt opplæring i informasjonssikkerhet, har tilgang.

Deretter vil rettsavgjørelsene avidentifiseres i henhold til Juridisk ABCs retningslinjer. Dette arbeidet vil gjøres manuelt, og filene med de fullstendige rettsavgjørelsene vil deretter slettes umiddelbart.

De avidentifiserte rettsavgjørelsene vil deretter indekseres og vektoriseres, og lagres som en del av faginnholdet i det rettslige informasjonssystemet til Juridisk ABC. Gjennom en form for RAG-teknologi vil et kildeutvalg bli utført basert på forespørslene tilsendt til LawAi, hvor relevante utdrag fra det rettslige informasjonssystemet vil bli sendt til språkmodellen sammen med den enkelte forespørselen for generering av et svar. Slike utdrag, sammendrag eller referanser til rettsavgjørelsene vil kunne fremgå i svarene brukerne får av LawAi. Rettsavgjørelsene inngår dermed i kildegrunnlaget til svar generert av LawAi med formålet om å gi mer korrekte og kvalitetssikrede svar.

Er anonymisering av rettsavgjørelser mulig i personvernforordningens forstand?

Personopplysningsloven og personvernforordningen gjelder for behandling av personopplysninger, og ikke for anonyme opplysninger. Dersom rettsavgjørelser i teorien kunne anonymiseres, ville dermed bare personvernregelverket gjelde for behandlingen av personopplysninger frem til anonymisering var gjennomført.

Personopplysninger defineres i personvernforordningen artikkel 2 nr. 1 som:

Det følger av fortalepunkt 26 at «[n]år det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte.»

En dom vil i mange tilfeller inneholde så store mengder personopplysninger at anonymisering i personvernforordningens forstand ikke er praktisk. Selv etter en grundig avidentifisering, vil de gjenværende opplysningene i rettsavgjørelsen ofte kunne kobles med annen informasjon en person for eksempel kan lese i media, selv allerede innehar eller for øvrig kan innhente, og det vil være mulig å finne ut hvem opplysningene gjelder. Ny teknologi, slik som fremveksten KI-verktøy, kan også gjøre det lettere å koble opplysninger. Dersom man har domsreferansen, eller kan få tak i denne, vil denne referansen ofte kunne brukes for å få tak i mer informasjon ved å be om innsyn i dommen fra domstolene. For det tilfelle at anonymisering i personvernforordningens forstand etter omstendighetene er mulig i det enkelte tilfellet, er det i alle tilfeller neppe praktisk for formålene til dette prosjektet, ettersom det ofte vil innebære å fjerne så store mengder opplysninger fra rettsavgjørelsene at de vil miste mye av sin verdi som materiale for å tilpasse LawAi.

Anonymisering i personvernforordningens forstand er derfor ikke aktuelt for rettsavgjørelsene i dette prosjektet, og personvernforordningens vil komme til anvendelse for alle behandlingsaktivitetene knyttet til rettsavgjørelsene.

Hvilke personopplysninger behandles?

Rettsavgjørelser kan inneholde store mengder personopplysninger om partene i saken og andre involverte i sakskompleksene. I mange tilfeller vil dette også omfatte personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Rettsavgjørelser på arbeidsrettfeltet vil i en del tilfeller inneholde helseopplysninger, og de kan også inneholde opplysninger om seksuelle forhold, fagforeningsmedlemskap eller andre særlige kategorier av personopplysninger som nevnt i personvernforordningen artikkel 9. I noen tilfeller vil det også behandles personopplysninger som nevnt i artikkel 10.

Det kan stilles spørsmål ved om det er mulig å fjerne alle opplysninger som direkte eller indirekte kan utlede personopplysninger som nevnt i artikkel 9 og 10, for å unngå at behandlingen faller inn under disse bestemmelsene. Som redegjort for over knyttet til anonymisering, vil dette neppe være mulig i de fleste tilfeller. En slik omfattende prosess vil videre påvirke datakvaliteten og forringe rettsavgjørelsenes verdi som materiale for å tilpasse KI-løsninger på juridiske problemstillinger, slik som LawAi; for eksempel dersom man fjerner alle opplysninger som kan utlede personopplysninger om religion fra rettsavgjørelsen i en avgjørelse som omhandler diskriminering på bakgrunn av religion.

Videre, all den tid domstolene som hovedregel ikke selv avidentifiserer rettsavgjørelsene, og Juridisk ABC må gjøre dette selv, behandler selskapet i alle tilfeller artikkel 9- og 10-opplysninger i rettsavgjørelsene frem til en slik prosess er gjennomført. Juridisk ABC må dermed oppfylle vilkårene for å behandle slike personopplysninger.

Vilkårene for å behandle personopplysninger som nevnt i artikkel 9 og 10

Behandling av personopplysninger som nevnt i artikkel 9 og 10 er underlagt strengere vilkår for å være lovlig. Disse vilkårene kommer i tillegg til kravet om rettslig grunnlag i artikkel 6 nr. 1

For artikkel 9-opplysninger må et av vilkårene i artikkel 9 nr. 2 være oppfylt for at behandlingen skal være lovlig. For artikkel 10-opplysninger er det fastsatt i personopplysningsloven § 11 at slike opplysninger også kan behandles dersom et av unntakene i artikkel 9 nr. 2 bokstav a eller c til f er oppfylt.

Et unntak som må vurderes er om behandlingen av personopplysninger ved bruk av rettsavgjørelser for tilpassingen av LawAi er «nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav», jf. artikkel 9 nr. 2 bokstav f.

Bestemmelsen må sees i lys av retten til en rettferdig rettergang i EMK artikkel 6.[3] Som det følger av Skullerud m.fl. sin kommentarutgave, så er det er ikke noe krav i bestemmelsen om at det må være den behandlingsansvarlige som har et rettskrav, og bestemmelsen kan omfatte advokaters og rettshjelperes behandling av personopplysninger for å kunne gi juridisk rådgivning og bistå i rettslige prosesser. Skullerud m.fl. skriver imidlertid videre:

Annen juridisk litteratur har også vist til at bestemmelsen må tolkes restriktivt og at anvendelsen krever at det foreligger konkrete intensjoner om å gjøre gjeldende et rettskrav i nær fremtid, eller fra perspektivet om å forsvare et rettskrav, eksistensen av et krav eller en rettslig prosess.[4] Bestemmelsen gjelder ikke for behandling av særlige kategorier av personopplysninger uten at det foreligger noen indikasjon om at et bestemt krav eller tvist er nærliggende.

Datatilsynet har også tolket denne bestemmelsen strengt i praksis. Behandlingen må være nødvendig for det enkelte tilfellet, og i ansettelsesforhold har for eksempel Datatilsynet i tidligere saker vurdert at det må være holdepunkter eller en viss sannsynlighet for at det vil oppstå en konkret tvist. Enhver hypotetisk tvist er ikke tilstrekkelig.

For Juridisk ABC foreligger det ikke noen konkret tvist som bakgrunn for behandlingen av rettsavgjørelsene. Selv om rettsavgjørelsene senere kan brukes av selskapets kunder for å få svar på arbeidsrettslige spørsmål hvor det potensielt foreligger en konkret tvist, vurderer Datatilsynet at unntaket i artikkel 9 nr. 2 bokstav f ikke kommer til anvendelse for Juridisk ABCs behandling av personopplysninger ved bruk rettsavgjørelser for tilpassing av LawAi.

Det foreligger heller ikke noen lovhjemmel i særlovgivning knyttet til behandling av rettsavgjørelser som er aktuell å vurdere.

Adgang til å søke om tillatelse til Datatilsynet om tillatelse til å behandle personopplysninger som nevnt i artikkel 9 og 10

Personopplysningsloven § 7 første ledd er gitt med hjemmel i personvernforordningen artikkel 9 nr. 2 bokstav g, og i tråd med denne kan Datatilsynet i særlige tilfeller gi tillatelse til å behandle personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 og artikkel 10 dersom behandling er nødvendig av hensyn til viktige allmenne interesser. Datatilsynet skal i så fall fastsette vilkår for å verne den registrertes grunnleggende rettigheter og interesser.

Om vilkåret «i særlige tilfeller» følger det av forarbeidene:

Denne generelle adgangen i § 7 er dermed svært snever og ikke aktuell for de planlagte behandlingene til Juridisk ABC.

Overgangsregler om behandling av personopplysninger § 6 fjerde ledd jf. første ledd bokstav c, som er gitt i medhold av artikkel 9 nr. 2 bokstav g og personopplysningsloven § 7 andre ledd, åpner imidlertid for å gi nye tillatelser til å behandle personopplysninger som nevnt i artikkel 9 nr. 1 og artikkel 10 for formålet om «elektronisk publisering av rettsavgjørelser». Bestemmelsen viderefører også eksisterende tillatelser for dette formålet, slik Lovdata, Rettsdata og DIBKunnskap har.

Juridisk ABC selv har tatt opp en slik mulighet, og selskapet vurderer å sende inn en slik søknad til Datatilsynet. Vurderingen av en slik søknad er imidlertid ikke en del av dette sandkasseprosjektet, som er et veiledningsprosjekt. Hvorvidt vilkårene for å gi tillatelse etter overgangsregler om behandling av personopplysninger § 6 bokstav c er oppfylt for Juridisk ABCs planlagte behandlinger må vurderes gjennom saksbehandling av en eventuell søknad om tillatelse fra selskapet.

Rettslig grunnlag i artikkel 6 nr. 1

Selv om behandlingen av personopplysninger knyttet til bruk rettsavgjørelsene for tilpassing av LawAi i skrivende stund ikke vil oppfylle noen av unntaksvilkårene for behandling av personopplysninger som nevnt i artikkel 9 og 10 der slike opplysninger behandles, vil rapporten likevel kommentere kravet til rettslig grunnlag i artikkel 6 nr. 1. Vi kan imidlertid ikke gi en generell konklusjon på om slikt rettslig grunnlag foreligger, og hvorvidt det foreligger rettslig grunnlag må vurderes konkret.

Av de alternative rettslige grunnlagene i artikkel 6 nr. 1, er det kun artikkel 6 nr. 1 bokstav f som er aktuell for behandlingen av personopplysninger ved bruk av rettsavgjørelser for tilpassing av LawAi.

Det må dermed vurderes om behandlingen av personopplysninger ved bruk av rettsavgjørelsene for tilpassing av LawAi er nødvendig for et formål knyttet til en berettiget interesse som forfølges av Juridisk ABC eller tredjeparter. Videre må det vurderes om den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger.

Berettiget interesse

Den mest sentrale interessen bak de aktuelle behandlingene er Juridisk ABCs interesse i å videreutvikle LawAi, som de leverer til sine kunder mot betaling, og behandlingen av personopplysningene i rettsavgjørelsene for tilpassing av LawAi er et formål som er knyttet til denne interessen. EU-domstolen har lagt til grunn at et bredt spekter av interesser kan anses å være berettigede, og en slik forretningsmessig og økonomisk interesse oppfyller dette vilkåret.[5] Kundene til LawAi har også en viss interesse i at tjenestene de bruker skal bli mer treffsikre, slik at de kan i større grad kan forutse sin rettsstilling og ta bedre informerte avgjørelser i arbeidsrettslige spørsmål.

Nødvendighetskravet

Deretter må man vurdere nødvendighetskravet, som skal tolkes strengt. Spørsmålet er om behandlingen av personopplysningene i rettsavgjørelsene for tilpassing av LawAi er nødvendig for formålet, eller om samme formålet med rimelighet kan oppnås like effektivt gjennom metoder eller midler som er mindre inngripende for personvernet.[6]

Man kan ikke utvikle en KI-løsning som skal svare på arbeidsrettslige spørsmål, og oppnå like gode svar, uten å bruke en helt sentral rettskilde som rettsavgjørelser. Spørsmålet er om man kan, og eventuelt må, iverksette tiltak for å gjøre behandling mindre inngripende. Avidentifisering er her et viktig tiltak, ettersom anonymisering normalt ikke er mulig. Det er Datatilsynets vurdering at formålet med rimelighet kan oppnås like effektivt dersom rettsavgjørelsene er avidentifisert, og slik avidentifisering er dermed en forutsetning for at nødvendighetsvilkåret er oppfylt. Datatilsynet går nærmere inn på avidentifisering og graden av dette i interesseavveiningen nedenfor.

Dersom det hadde vært mulig å innhente allerede avidentifiserte rettsavgjørelser, ville dette vært en metode for å kunne nå formålet like effektivt på en måte som er mindre inngripende for personvernet, ettersom man da ikke hadde trengt å innhente og midlertidig lagre de mer fullstendige rettsavgjørelsene frem til avidentifisering. Som vi har redegjort for over i punktet om tilgang til rettsavgjørelser, er imidlertid ikke dette per i dag mulig for Juridisk ABC for alle typer rettsavgjørelser.

Interesseavveiningen

For det tredje må det vurderes om de berettigede interessene bak behandlingen veier tyngre enn inngrepet den innebærer for de registrertes interesser eller grunnleggende rettigheter og friheter. Her må det blant annet tas hensyn til de registrertes rimelige forventninger på grunnlag av forholdet mellom dem og den behandlingsansvarlige, jf. fortalepunkt 47. De registrertes interesser og grunnleggende rettigheter kan særlig gå foran den behandlingsansvarliges interesser dersom personopplysninger behandles for formål eller under omstendigheter som den registrerte ikke med rimelighet ville forvente.[7]

En forutsetning i denne vurderingen er at rettsavgjørelsene effektivt avidentifiseres før de lagres som en del av det rettslige informasjonssystemet brukt av LawAi, og at de fullstendige rettsavgjørelsene raskt slettes. Uten avidentifisering vurderer Datatilsynet som nevnt at behandlingen ikke oppfyller nødvendighetsvilkåret, men for øvrig også at hensynet til personvern for de registrerte i alle tilfeller vil veie tyngre. Hva som er nødvendig å avidentifisere må vurderes konkret ut ifra hvilke opplysninger som bidrar til risiko for identifisering av de registrerte. I tillegg til personnavn, vil dette blant annet ofte gjelde:

• detaljerte stedsnavn, adresser og navn på bygninger, sjøfartøy og lignende;
• navn på arbeidsgivere eller arbeidssteder med færre ansatte;
• selskapsnavn på mindre selskap og enkeltpersonforetak.

Rettsavgjørelser inneholder ofte omfattende mengder og potensielt sensitive personopplysninger for de involverte i sakskompleksene. At private rettssubjekter som de registrerte ikke har noe forhold til, systematisk innhenter rettsavgjørelser på et rettsområde som arbeidsrett for formålet om å utvikle tjenester, kan dermed oppleves som inngripende for de registrerte – selv ved rask og effektiv avidentifisering.

Selv etter at rettsavgjørelsene avidentifiseres, vil det i de fleste tilfeller likevel være mulig å finne tilbake til de personopplysningene gjelder – enten gjennom å kombinere med andre opplysninger eller ved å be om innsyn i rettsavgjørelsene fra domstoladministrasjonen basert på domsreferansen. Datatilsynet vurderer imidlertid at det, forutsatt en effektiv avidentifisering, normalt vil kreve en viss innsats for å identifisere de registrerte på bakgrunn av informasjon som blir vist i svarene på forespørslene i LawAi. Personvernkonsekvensene ved at de avidentifiserte rettsavgjørelsene lagres som faginnhold i det rettslige informasjonssystemet, og ved at relevante utdrag av rettsavgjørelsene og henvisninger til disse fremgår i svar på forespørsler i LawAi, knytter seg særlig til å skape mer oppmerksomhet rundt avgjørelsene og opplysninger i dem, slik at brukerne av tjenesten eventuelt kan bruke sin lovbestemte rett til innsyn i avgjørelsene fra domstolene for å få tak i mer informasjon.

Tilgang til rettsavgjørelser er en viktig samfunnsinteresse i en rettsstat og et demokratisk samfunn.[8] Dette illustreres av lovgivningen knyttet til offentligheten av rettsavgjørelsene som redegjort for over, og det er også lagt til grunn av lovgiver gjennom adgangen til å gi tillatelser i overgangsregler om behandling av personopplysninger § 6 bokstav c. Rettsavgjørelser er en sentral rettskilde for å kunne forutse sin rettsstilling, og samfunnet har interesse av innovasjon og tjenester som kan bidra til dette. LawAi er imidlertid forretningsmessig begrunnet, slik at de samfunnsmessige interessene i behandlingen ikke kan tillegges for stor vekt i interesseavveiningen.

De registrerte har ikke noe forhold til Juridisk ABC, og behandlingen vil dermed kunne komme overraskende på dem. Samtidig har alle anledning til å be om innsyn i rettsavgjørelser med begrensningene som følger av rettspleielovene. At avidentifiserte rettsavgjørelser brukes for formål knyttet til å svare på rettslige spørsmål, må med rimelighet forventes. Dette må til en viss grad også gjelde for utvikling av forretningsmessige KI-løsninger for slike formål. Datatilsynet påpeker også på generelt grunnlag at det i større grad må forventes bred bruk av rettsavgjørelser desto høyere opp i rettssystemet en rettsavgjørelse stammer fra, ettersom rettskildeverdien dermed er høyere. I de tilfellene hvor det kan innhentes rettsavgjørelser som allerede er underlagt en form for avidentifisering, slik som rettsavgjørelsene Høyesterett selv publiserer, vil inngrepet i personvernet til de registrerte også være mindre.

Samlet vurderer Datatilsynet at behandlingen av personopplysninger i rettsavgjørelser for tilpassing av LawAi, avhengig av omstendighetene og med effektiv avidentifisering, vil kunne bestå interesseavveiningen i artikkel 6 nr. 1 bokstav f. Lovlig behandling forutsetter imidlertid at et av unntaksvilkårene for behandling av personopplysninger som nevnt i artikkel 9 og 10 er oppfylt der slike opplysninger behandles, noe som i skrivende stund ikke er tilfelle.