Personvernnemndas vedtak 10. oktober 2023 (Mari Bø Haugstad, Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 7. desember 2022 der tilsynet kom til at det ikke var sannsynliggjort utlevering av personopplysninger fra A klientmappe i arkivet til Veiledningstjenesten til romanifolket/taterne som var deponert hos Arkivverket.
Sakens bakgrunn
A kontaktet Datatilsynet 16. september 2019 fordi han mente at Arkivverket ulovlig hadde utlevert hans personopplysninger fra deponerte klientmapper tilhørende rettshjelptiltaket Romanifolkets/taternes senter - Veiledningstjenesten (senere Veiledningstjenesten til romanifolket/taterne), heretter omtalt som Veiledningstjenesten.
Datatilsynet ba 12. mars 2020 Arkivverket om å redegjøre for utleveringen av personopplysninger fra det deponerte arkivet. Etter å ha mottatt Arkivverkets redegjørelse om at det ikke hadde skjedd noen utlevering avsluttet Datatilsynet saken uten å gi pålegg i brev 27. april 2020. A klaget 19. mai 2020 på Datatilsynets avslutning av saken. Datatilsynet fant grunn til å undersøke saken nærmere, og etter ytterligere saksforberedelse sendte Datatilsynet et varsel om irettesettelse til Arkivverket 28. oktober 2021 for å ha brutt sine forpliktelser som databehandler ved ikke å ha gjennomført egnede tekniske og organisatoriske tiltak, jf. personvernforordningen artikkel 32.
I februar 2022 meddelte A at han hadde gitt Veiledningstjenesten fullmakt til å representere seg for den videre behandlingen av saken.
Arkivverket sendte sine merknader til varselet i brev til Datatilsynet 31. januar 2022. A v/Veiledningstjenesten (representert ved B) ga sine kommentarer 8. mars 2022. Veiledningstjenesten ved B oversendte også 11. mars 2022 merknader fra Stiftelsen romanifolkets/taternes kulturfond. Også Stiftelsen var representert ved B.Datatilsynet avsluttet saken i vedtak 7. desember 2022 med følgende konklusjon:
«Datatilsynet har kommet til at det ikke er sannsynliggjort at det har skjedd en behandling av personopplysninger i klientmappene i Veiledningstjenestens arkiv.
Arkivverket har brutt personvernforordningen artikkel 28 nr. 3 ved at det ikke ble inngått skriftlige databehandleravtaler med Stiftelsen, Senteret og Veiledningstjenesten.»
A v/Veiledningstjenesten framsatte rettidig klage 28. desember 2022 over den delen av Datatilsynets vedtak som gjaldt behandling av personopplysninger i klientmappene. Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 19. april 2023. Partene ble orientert om saken i brev fra nemnda 2. mai 2023, og fikk anledning til å komme med kommentarer. Ingen har inngitt merknader.
Saken ble behandlet i nemndas møte 10. oktober 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Faktum i saken
Stiftelsen romanifolkets/taternes kulturfond (Stiftelsen) ble opprettet i 2004 som en økonomisk støtteordning for å fremme bevaring og utvikling av romanifolkets/taternes kultur, språk og historie.
Veiledningstjenesten ble etablert av Stiftelsen i 2012. Veiledningstjenesten ga rettshjelp og juridisk veiledning til personer som søkte om rettferdsvederlag fra staten. Veiledningstjenesten ble registrert som et rettshjelptiltak av Tilsynsrådet for advokatvirksomhet 11. april 2013. Veiledningstjenesten ble overført fra Stiftelsen til Romanifolkets/taternes senter (Senteret) i 2014. Veiledningstjenesten ble deretter helt utskilt som egen organisasjon 23. august 2017.
Kommunal- moderniseringsdepartementet avslo i november 2017 en søknad fra Veiledningstjenesten om finansiering. Veiledningstjenesten kontaktet etter dette Arkivverket for å deponere (ikke avlevere) klientmapper. Klientmappene inneholdt personopplysninger om klientene og deres familie og slekt. Klientsakene var knyttet til søknader om rettferdsvederlag, barnevern og gjeldsordning. Veiledningstjenesten deponerte dokumenter hos Arkivverket fra januar 2018. Også Stiftelsen (Stiftelsen romanifolkets/taternes kulturfond) og Senteret (Romanifolkets/taternes senter) deponerte dokumenter hos Arkivverket. Det ble ikke inngått noen skriftlig avtale mellom de behandlingsansvarlige og Arkivverket. Klientmappene ble tilbakelevert til Veiledningstjenesten 4. mai 2020.
I desember 2017 gikk Senteret konkurs, og i januar 2018 gikk Stiftelsen konkurs. Det ble oppnevnt samme bostyrer for begge organisasjonene. I forbindelse med bobehandlingen, ble en representant for bostyrer sendt til Arkivverket i januar 2018 for å hente relevante dokumenter. Det er i forbindelse med dette besøket at A v/Veiledningstjenesten mener at det har skjedd en ulovlig utlevering av personopplysninger fra Arkivverket til bostyrer ved at også Veiledningstjenestens klientmapper ble utlevert.
Kort om Datatilsynets vedtak
Datatilsynet la til grunn at selv om den anførte behandlingen skjedde høsten 2017 er det personopplysningsloven fra 2018 som kommer til anvendelse, jf. personopplysingsloven § 33.
Datatilsynet konkluderte, på bakgrunn av sine undersøkelser i saken, at klientmappene befant seg i et låst skap hos Arkivverket og at dette aldri ble åpnet for bostyrers representant og dermed heller ikke utlevert. Klientmappene ble derfor ansett som tilstrekkelig sikret, jf. personvernforordningen artikkel 32.
Datatilsynet la videre til grunn at Arkivverket var engasjert av Veiledningstjenesten for å håndtere arkivmaterialet som ble deponert høsten 2017. Datatilsynet anser relasjonen for å utgjøre et databehandlerforhold, slik at Arkivverket var en databehandler som behandlet (lagret) personopplysninger på vegne av Veiledningstjenesten.
Det følger av personvernregelverket at et slikt oppdrag skal være nedfelt i en skriftlig avtale, noe det ikke var i dette tilfellet. At det ikke ble inngått skriftlige avtaler om databehandleroppdraget er et brudd på personvernforordningen artikkel 28 nr. 3. Datatilsynet fant det tilstrekkelig å påpeke bruddet, uten å ilegge noen reaksjon.
A v/Veiledningstjenestens syn på saken i korte trekk
De samtidige og nære kildene underbygger at klientmapper ble utlevert til bostyrer eller hans representant. Bostyrers representant har selv skriftlig bekreftet at han har sett klientmapper. Dette er en sentral opplysning fra saksframstillingen som Datatilsynet har utelatt. Også Arkivverkets fagdirektører har overfor Veiledningstjenesten og Taternes Landsforening beklaget utlevering av klientmappene.
Det er også av betydning at ingen av de som på Arkivverkets vegne svarte Datatilsynet under klagesaken, hadde noe med deponeringen eller utleveringen å gjøre. Svarene er gitt over to år etter at utleveringen skjedde. Arkivverkets svar framstår som etterfølgende tilpasninger. Datatilsynets bevisvurdering er ikke i samsvar med forvaltningsrettslige regler.
Det framgår av dokumentene at Arkivverket hadde intensjon om å utlevere både Stiftelsens og Veiledningstjenestens arkiv en bloc til bostyrer. Det ble ikke foretatt noen utredning av hjemmelen for en slik utlevering. Arkivverket hadde åpenbart en feilaktig lovforståelse, både når det gjelder EMK, forvaltningsloven og tvisteloven, samt konkurslovgivningen og domspraksis.
Det foreligger derfor både klart uttalt intensjon om utlevering, klare uttalelser fra både avgivende og den mottakende part om utlevering av klientmapper og etterfølgende uttalelser som opplagt er tilpasninger for å skjule brudd på personvernlovgivningen.
Det kreves derfor at Datatilsynets vedtaket oppheves og at det fastslås at personsensitive opplysninger er utlevert i strid med personvernlovgivningen.
Arkivverkets syn på saken i korte trekk
Saken gjelder opplysninger rundt tilgang til deponert arkiv RA/PA-1959, som inneholder arkivmateriale fra Stiftelsen romanifolket/taternes kulturfond (RT-fondet, org nr 992 140 127) og Foreningen Romanifolkets/taternes senter (RT-senteret, org nr 913 438 442), og i tillegg klientmapper fra sistnevnte som senere viste seg å tilhøre Veiledningstjenesten for Romanifolket (org nr 919 673 435). Klagen gjelder de sistnevnte klientmappene. Arkivverket har ikke utlevert personopplysninger fra klientmappene.
Det ble deponert to arkiver. Først deponering i 2017 fra Stiftelsen romanifolket/taternes kulturfond (RT-fondet) og eventuelt Foreningen Romanifolkets/Taternes senter (RT-senteret) og et arkiv med de nevnte klientmappene som ble levert Riksarkivet 8. januar 2018 (nå tilbakelevert Veiledningstjenesten). Dette arkivet er en egen serie med klientmapper fra Veiledningstjenesten, som ble holdt atskilt fra øvrig arkiv.
Ved de to deponeringene i 2017 fikk ikke Arkivverket informasjon som tilsa at dette kunne være to separate arkiver, men at dette var arkiv tilhørende RT-fondet. Arkivet er ikke ordnet, men er i etterkant løpende registrert på stykkenivå i ASTA.
Vedrørende deponeringen av arkivet med klientmapper som nå er tilbakelevert Veiledningstjenesten ble Arkivverket informert om at dette opprinnelig var et arkiv tilhørende RT-senteret.
Klientmappene fra Veiledningstjenesten ble plassert et annet sted enn arkivmaterialet som ble avlevert høsten 2017, i et skap med lås. De klientmappene som er omtalt i en e-post fra bostyrer gjelder ikke disse klientmappene. Bostyrer fikk aldri tilgang til det låste skapet med klientmapper og spurte heller aldri etter slik tilgang.
Vedkommende Arkivverket hadde kontakt med for alle deponeringene var samme person.
Arkivstykkene som ble gitt tilgang er serier i arkivkatalog A møteprotokoller, og deler av F saksarkiv. Når bostyrer omtaler det han fikk se, er det altså arkivet etter Stiftelsen og eventuelt Senteret, ikke klientmappene fra Veiledningstjenesten, se kvittering for eksternt utlån fra Stiftelsen til bostyrer. Arkivverket hadde ikke anledning til å registrere innholdet i dette arkivmaterialet for å skille ulike typer fra hverandre. Innsynsforespørsel kom fra bostyrer allerede 22. januar 2018, slik at verken Stiftelsen eller klientmappene/materialet fra Veiledningstjenesten hadde blitt registrert i katalogsystemet. Det er bakgrunnen for at bostyrer selv gjennomgikk det som senere ble katalogført i serie A og F.
Personvernnemndas vurdering
Saken gjelder spørsmål om utlevering av personopplysninger i tiden før personopplysningsloven 2018 trådte i kraft.
I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017–2018) side 196, uttaler departementet blant annet følgende om valget mellom gammel og ny lov:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
For de saker hvor det treffes vedtak om overtredelsesgebyr har personopplysningsloven 2018 overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et gunstigere resultat for den behandlingsansvarlige.
I denne saken er det ikke ilagt overtredelsesgebyr. Det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak. Bare dersom behandlingen av personopplysninger er ulovlig etter den nye loven, og det dermed kan være aktuelt å ilegge overtredelsesgebyr, vil det være nødvendig å vurdere om det samme følger av gammel lov eller om anvendelsen av denne fører til et gunstigere resultat.
Nemnda vil innledningsvis påpeke at det er Veiledningstjenesten, som i dette tilfellet representerer den registrerte, som er behandlingsansvarlig for utleveringen (deponeringen) av klientmappene til Arkivverket. Opprinnelig var Veiledningstjenesten en del av Romanifolkets/taternes senter, men etter at Veiledningstjenesten ble skilt ut som egen organisasjon i august 2017 må det legges til grunn at Veiledningstjenesten var behandlingsansvarlig. Nemnda forstår det også slik at etter at Romanifolkets/taternes senter gikk konkurs i desember 2017, så har det ikke vært virksomhet i den organisasjonen. Selv om Datatilsynets vedtak er utformet slik at det er rettet mot Arkivverket (at Arkivverket som databehandler har brutt artikkel 28 nr. 3 ved at det ikke ble inngått skriftlige databehandleravtaler med Stiftelsen, Senteret og Veiledningstjenesten), så er det ingen tvil om at det er den som foretar deponeringen (Veiledningstjenesten) som er ansvarlig for at nødvendige avtaler er på plass. Datatilsynet konkluderte i sitt vedtak med at Arkivverket var å anse som databehandler for Veiledningstjenstesten og at det derfor var nødvendig å inngå databehandleravtale etter personvernforordningen artikkel 28 nr. 3. Denne delen av vedtaket er ikke påklaget og er ikke en del av denne saken.
Nemnda går over til å vurdere om det er sannsynliggjort at det har skjedd en utlevering av personopplysninger ved at bostyrers representant har fått innsyn i klientmappene i Veiledningstjenestens arkiv som var deponert hos Arkivverket.
Arkivverket og A v/Veiledningstjenesten er uenige om hva som er riktig faktum i saken. Ut fra sakens dokumenter er nemnda enig med Datatilsynet i at det ikke er sannsynliggjort at Arkivverket har utlevert personopplysninger fra klientmappene i Veiledningstjenesten arkiv som var deponert hos Arkivverket.
Nemnda har ved bevisvurderingen lagt vekt på følgende forhold:
Arkivverket opplyser at da bostyrers representant besøkte arkivet befant klientmappene seg i et låst skap og ble oppbevart et annet sted enn tidligere avlevert arkivmateriale fra Stiftelsen og Senteret. Det er ingen grunn til å betvile Arkivverket når de hevder at klientmappene fra Veiledningstjenesten ikke var en del av det arkivmateriale bostyrer gjennomgikk i januar 2018. Arkivverkets forklaring støttes også av bostyrers representant som uttaler at klientmappene verken ble lest eller tatt med av ham.
Nemnda viser også til Oslo Byfogdembetes kjennelse 23. november 2018. Veiledningstjenesten og A begjærte i september 2018 midlertidig forføyning mot staten v/Arkivverket og Stiftelsen romanifolkets/taternes kulturfond, dets konkursbo. I begjæringen ble det blant annet framsatt krav om at Arkivverket skulle pålegges å opplyse hvor klientmappene til Veiledningstjenesten befant seg. Det framkommer av kjennelsen at saksøkerne i prosesskriv opplyste at begjæringen deres «dels var etterkommet eller ikke lenger hadde aktualitet» og at det som gjenstod for retten å ta stilling til var sakskostnadene. I kjennelsen hvor retten konkluderte med at A og Veiledningstjenesten skulle betale sakskostnadene til staten og til boet, heter det:
«Etter rettens syn foreligger det i dette tilfellet ikke tungtveiende grunner som tilsier at det gjøres unntak fra sakskostnadskravet. Retten viser i denne forbindelse til at Arkivverket i brev 7. september 2018 opplyste at bostyrer hadde fått tilgang til deler av arkivet. Noen indikasjoner på at arkivmaterialet var utlevert til andre forelå ikke, jf. også e-post fra veiledningstjenesten v/Dag Berg 28. august 2018. Retten viser også til at begjæringen knyttet seg til utleveringen av dokumenter/informasjon til bostyrer.
Ved å henvende seg til bostyrer ville saksøkerne fått den informasjonen som ble krevd fremlagt, jf. forføyningskravet slik det fremgikk av påstanden som saksøkerne la ned. Det vises særlig til advokat Koefoeds prosesskriv 24. oktober 2018, der det er opplyst at saksøkerne ble invitert til å gjennomgå dokumentene boet hadde fått utlevert, og til bostyrers redegjørelse for hva som er utlevert av dokumenter, gjennomgått og kopiert i prosesskriv 15. november 2018. Bostyrers redegjørelse viser for øvrig at han ikke har tatt med seg klientmappene eller gjennomgått disse, jf. også advokat Aarsæthers prosesskriv 16. oktober 2018.»
A og Veiledningstjenestens standpunkt i saken for nemnda synes dels å representere en omkamp på standpunkter og krav som ble behandlet av retten i 2018, uten at det førte fram. Nemnda undrer seg over at det ikke foreligger noen opplysninger fra Veiledningstjenesten om hva organisasjonen, som behandlingsansvarlig, foretok seg i 2017 og 2018 dersom de mente at Arkivverket utleverte opplysninger i strid med forutsetningen for deponeringen.
Nemnda er enig i Datatilsynets vurdering. Det er ikke sannsynliggjort at det er utlevert personopplysninger fra Veiledningstjenestens deponerte klientmapper hos Arkivverket.
A, representert ved Veiledningstjenesten, får ikke medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets vedtak om at det ikke har skjedd utlevering av opplysninger fra Veiledningstjenestens klientmapper opprettholdes.
Oslo, 10. oktober 2023
Mari Bø Haugstad
Leder