Fornyings- og administrasjonsdepartementet (FAD) viser til tidligere utsendt hefte med retningslinjer for utarbeidelse av lokale varslingsrutiner i staten, publikasjonsnummer P-0939B.

Av Riksarkivaren er vi gjort oppmerksom på at punktet «Sletting av personopplysninger» på side 16 i det trykte heftet ikke gir uttrykk for riktig forståelse av arbeidsgivers adgang til å slette personopplysninger i forbindelse med en varslingssak. Vi har derfor utarbeidet en ny tekst til dette punktet som er i tråd med riktig fortolkning av arkivlovens og personopplysningslovens bestemmelser.

FAD vil legge inn ny tekst i den elektroniske utgaven av retningslinjene, og vil be om at den trykte teksten erstattes med følgende tekst:

«Personopplysningslovens (popplyl.) § 27 krever at den behandlingsansvarlige skal rette mangelfulle personopplysninger etter eget tiltak eller etter begjæring fra den registrerte. For arkivpliktige personopplysninger er utgangspunktet at retting skal skje ved supplering av opplysningene.

Popplyl. § 28 pålegger den behandlingsansvarlige ikke å lagre personopplysninger lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Hvis ikke personopplysningene deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes.

Hva som er arkivpliktig må avgjøres etter arkivloven med tilhørende forskrifter. Dersom arbeidsgiver er i tvil om en eller flere konkrete personopplysninger er arkivpliktige, må det tas kontakt med Riksarkivaren for å få klarlagt spørsmålet. Personopplysninger som ikke er arkivpliktige skal slettes etter reglene i popplyl. § 28 første ledd.

Når det gjelder mangelfulle personopplysninger har den behandlingsansvarlige plikt til å sørge for retting, eller eventuelt sletting, jf. popplyl. § 27 tredje ledd. Arbeidsgiver som vurderer å slette eller sperre slike opplysninger, bør ta kontakt med Datatilsynet og/eller Riksarkivaren for å få avklart om vilkårene for et slikt vedtak er til stede. 

Den registrerte, som i varslersaker kan være både varsleren og den/de det er varslet om, kan kreve at opplysninger som er sterkt belastende for ham/henne sperres eller slettes, jf. popplyl. § 28 tredje ledd. Også her bør den behandlingsansvarlige ta kontakt med Datatilsynet og/eller Riksarkivaren før vedtak treffes.

Mens virksomheten selv kan beslutte sperring av arkivverdige opplysninger, må Datatilsynet treffe vedtak om sletting etter å ha hørt riksarkivaren, jf. popplyl. §§ 27 tredje ledd og 28 fjerde ledd.»