Høyesterett skjerpet innsynsretten – tåler Personvernnemnda den samme testen?

Introduksjon

Norsk forvaltning liker å snakke varmt om åpenhet. Det låter alltid nobelt helt frem til innsynskravet treffer staten selv. Da blir språket fort mer teknisk, mer innadvendt og mer behagelig for dem som sitter med makten. Det er nettopp derfor sak 25/00549 og PVN-2024-01 er mer enn en diskusjon om dokumenter. De reiser et langt mer ubehagelig spørsmål: Gjelder retten til innsyn fullt ut også når kontrollorganene selv blir kontrollert?

Det rettslige bakteppet er klart. Datatilsynet er Norges tilsynsmyndighet for personvern, mens Personvernnemnda er klageorganet som behandler og avgjør klager over Datatilsynets vedtak, og som kan prøve alle sider av saken, også skjønnsutøvelsen. Nettopp derfor er det avgjørende at dette systemet ikke blir strengest når andre granskes og mykest når det speiler seg selv.

Saken koker ned til én bestemmelse: personopplysningsloven § 16 første ledd bokstav e. Den bestemmelsen er ikke skrevet for å gi forvaltningen en behagelig retrettvei. Den er skrevet som et snevert unntak fra innsynsretten. Når den brukes som standardskjold, er det ikke bare dårlig juss. Det er en maktpolitikk forkledd som metode.

Faktaboks: Tre rettslige premisser som staten ikke kommer unna

• GDPR artikkel 15 gir den registrerte rett til innsyn i personopplysninger som behandles om vedkommende. Personvernnemnda har selv understreket at denne innsynsretten gjelder ved siden av innsyn etter forvaltningsloven og offentleglova.

• § 16 første ledd bokstav e gjelder bare for opplysninger som utelukkende finnes i tekst utarbeidet for intern saksforberedelse, som ikke er utlevert til andre, og bare så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser.

• Høyesterett har i HR-2026-372-A slått fast at innsynsretten skal fungere reelt, at formalistiske omveier ikke kan uthule retten, og at rene bekvemmelighetshensyn ikke kan stanse innsyn

HR-2026-372-A river vekk formalismens røykteppe

Det sterkeste nye rettslige holdepunktet i denne debatten er Høyesteretts dom HR-2026-372-A fra 13. februar 2026. Saken gjaldt riktignok innsyn i hvem som hadde skrevet et journalnotat, men dommens kjerne er langt bredere enn helsejuss. Høyesterett slo fast at journalen må inneholde opplysninger som gjør det mulig å identifisere den som har skrevet notatet, og at innsynsreglene må praktiseres slik at pasienten faktisk får vite hvem det er. Ingen av unntakene fra innsynsretten kunne brukes i den konkrete saken.

Det mest treffende for vår sammenheng er likevel at Høyesterett advarte mot “uholdbar formalisme”. Kommunen forsøkte å gjøre innsynsretten til et prosesspørsmål: Dette var visst egentlig et spørsmål om retting, ikke innsyn. Høyesterett avviste det. Retten sa i praksis at man ikke kan tømme innsynsretten for innhold ved å omklassifisere kravet eller gjemme seg bak feil spor. Det er et signal med betydning langt utover pasientjournaler.

Dommen sier også noe mer som biter direkte inn i § 16-debatten. Høyesterett pekte på at unntakene i personopplysningsloven § 16 bare kan brukes i særlige tilfeller, at vilkårene er strenge, og at rene bekvemmelighetshensyn ikke kan hindre innsyn. Videre avviste retten at belastningene for den ansatte i den konkrete saken var nok til å nekte innsyn. Når Høyesterett snakker så klart, faller mye av forvaltningens vanlige røyk ut av rommet

Personvernnemnda tolker § 16 riktig når Datatilsynet granskes

Her er det polemiske poenget også det juridisk sterkeste: Personvernnemnda har allerede formulert den riktige testen. I PVN-2024-22 slo nemnda fast at spørsmålet ikke er om den registrerte har sannsynliggjort at vilkårene for unntak ikke er oppfylt. Spørsmålet er om lovens vilkår er oppfylt. Nemnda kalte det feil rettsanvendelse når Datatilsynet bygget på det motsatte utgangspunktet. Nemnda sa også at det ikke fremgikk klart hva Datatilsynet bygget på når det ble lagt til grunn at det var nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser.

Dette er ikke bare en teknisk nyanse. Det er hele rettsstatens nerve i slike saker. Det er staten som nekter innsyn. Da er det staten som må vise at unntaksvilkårene er oppfylt. Ikke borgeren som må kjempe seg frem i blinde og bevise at myndighetenes mørklegging er ulovlig. På dette punktet traff Personvernnemnda Datatilsynet helt korrekt.

Det er derfor denne saken blir så interessant. Når nemnda krever en streng, konkret og etterprøvbar vurdering av Datatilsynet, etablerer den samtidig en målestokk for seg selv. Og det er nettopp der ubehaget begynner.

Når samme test treffer Personvernnemnda, blir saken ubehagelig

I PVN-2024-01 er ikke det sentrale spørsmålet hva Personvernnemnda mener om andres praksis. Spørsmålet er om nemnda tåler den samme juridiske testen når innsynskravet gjelder nemndas egen behandling. Hvis svaret blir vagere, mykere eller mer prosessuelt unnvikende, står vi ikke lenger i en diskusjon om dokumentforvaltning. Da står vi i en diskusjon om institusjonell selvbeskyttelse.

Her blir HR-2026-372-A helt sentral. Høyesterett viste at innsynsretten ikke kan reduseres til et spill om etiketter. Et krav om innsyn kan ikke tømmes for substans ved å plasseres i en annen boks, gis en annen overskrift eller møtes med et prosessuelt skuldertrekk. Overført til dette sakskomplekset er poenget skarpt: Et artikkel 15-krav må behandles som et artikkel 15-krav. Hvis det i stedet skyves over i et mer behagelig spor, er det ikke nøytral saksbehandling. Det er rettighetsforvitring.

Hvorfor ordet «utelukkende» er sprengstoff

§ 16 første ledd bokstav e er bygd opp rundt et ord som forvaltningen ofte behandler som pynt, men som i realiteten er dynamitt: utelukkende. Unntaket gjelder bare opplysninger som utelukkende finnes i intern tekst, som ikke er utlevert til andre, og bare så langt det er nødvendig å nekte innsyn. Personvernnemnda har selv fremhevet denne strukturen ved å sitere bestemmelsen og forarbeidene i PVN-2024-22.

Det betyr at et organ ikke kan slippe unna med generelle fraser om “interne vurderinger”. Det må vises konkret hva slags personopplysninger som faktisk holdes tilbake, hvorfor de bare finnes i intern tekst, hvorfor de ikke er delt, og hvorfor delvis innsyn eller nærmere forklaring ikke er tilstrekkelig. Nettopp her er både PVN-2024-22 og HR-2026-372-A ødeleggende for enhver komfortabel standardbegrunnelse. Den ene avgjørelsen sier at det er myndigheten som må bevise at vilkårene er oppfylt. Den andre sier at innsynsretten ikke kan knebles med formalistiske omveier.

Dette handler ikke bare om innsyn. Det handler om rettsstatens moral.

Forvaltningen elsker å gjøre slike saker små. Da kalles de tekniske. Prosessuelle. Dokumentnære. Men det er en avledningsmanøver. For det egentlige spørsmålet er mye enklere: Tåler staten samme kontroll når kontrollen rammer den selv?

Når Datatilsynet granskes, skal § 16 tolkes strengt. Når Personvernnemnda gransker Datatilsynet, skal begrunnelsen være konkret og etterprøvbar. Fint. Men hvis denne presisjonen blir elastisk når innsynskravet rettes mot Personvernnemnda selv, får vi ikke lenger et prinsipp. Da får vi et hierarki: streng juss nedover, smidig juss oppover.

Det er akkurat her Personvernvokterens grunnintuisjon er riktig: rettigheter blir sjelden fjernet åpent. De blir i stedet omdefinert, forsinket eller administrert bort i så høflige former at bare den som følger nøye med, ser hva som skjer. Resultatet er like fullt det samme. Den registrerte mister reelt innsyn, mens systemet beholder sin egen komfort.

Konklusjon

Sak 25/00549  og PVN-2024-01 bør leses i lys av HR-2026-372-A. Ikke fordi dommen gjelder en annen sektor, men fordi den slår fast et prinsipp som går rett inn i denne konflikten: Innsynsretten skal virke i virkeligheten. Den skal ikke dø i formaliteter, og den skal ikke tømmes for innhold ved at myndighetene svarer på noe annet enn det som faktisk er krevd.

Personvernnemnda har tolket § 16 bokstav e riktig når den har korrigert Datatilsynet. Nettopp derfor må den tåle at den samme lovforståelsen brukes mot nemnda selv. Hvis ikke blir § 16 ikke et snevert unntak, men en institusjonell nødbrems som trekkes i det øyeblikk innsynet blir ubehagelig.

Det er ikke personvern. Det er makt med korrektur

Call to Action

Krev at § 16 bokstav e brukes slik loven krever: snevert, konkret og etterprøvbart. Krev at artikkel 15 behandles som artikkel 15, ikke som et prosessuelt biprodukt. Og krev at også Personvernnemnda tåler samme juridiske lys som den med rette retter mot Datatilsynet.

FAQ

Hva er hovedpoenget med § 16 bokstav e?

At unntaket er snevert. Opplysninger kan bare holdes tilbake når vilkårene i bestemmelsen faktisk er oppfylt, og nødvendigheten må begrunnes konkret.

Hvorfor er HR-2026-372-A så viktig her?

Fordi Høyesterett avviser at innsynsretten kan uthules gjennom “uholdbar formalisme” og understreker at unntakene er strenge. Det treffer rett inn i forsøk på å skyve et innsynskrav over i et annet spor.

Hva sa Personvernnemnda i PVN-2024-22?

Nemnda sa at Datatilsynet tok feil når det bygget på at det ikke var sannsynliggjort at vilkårene for unntak ikke var oppfylt. Spørsmålet er om vilkårene er oppfylt.

Hvorfor er dette mer enn et dokumentspørsmål?

Fordi innsyn er kontroll. Hvis kontroll bare virker mot andre, men svekkes når staten selv blir kontrollert, er rettigheten hul.

Hva er den polemiske kjernen i saken?

At staten gjerne prediker streng lovtolkning for andre, men altfor ofte ber om smidighet når speilet vendes mot den selv.

When Section 16(e) Becomes the State’s Shield Against Access

The real issue in these cases is not paperwork. It is whether access rights remain real when the spotlight turns toward the authorities themselves. Datatilsynet is Norway’s Data Protection Authority, and Personvernnemnda is the Privacy Appeals Board reviewing Datatilsynet’s decisions. That institutional design only deserves trust if the same legal standard applies both downward and inward.

That is why HR-2026-372-A matters so much. The Supreme Court rejected what it called “untenable formalism” and made clear that access rights cannot be emptied of substance by procedural relabelling. The Court also stressed that the exceptions in Section 16 are strict and cannot be driven by mere convenience.

Personvernnemnda itself made the right point in PVN-2024-22: the issue is not whether the data subject failed to prove that an exception does not apply. The issue is whether the authority has shown that the legal conditions for the exception are actually met. That is the correct standard. It becomes explosive, however, when that same standard is turned against Personvernnemnda itself in PVN-2024-01.

If the law is strict when authorities review others but flexible when scrutiny turns inward, that is not principle. It is institutional self-protection in legal language.