Personvernnemndas vedtak 10. oktober 2023 (Mari Bø Haugstad, Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets beslutning 9. desember 2022 om ikke å følge opp et mottatt varsel om ulovlig utlevering av personopplysninger fra Arkivverket som databehandler.
Sakens bakgrunn
Stiftelsen romanifolkets/taternes kulturfond (Stiftelsen) ble opprettet i 2004 som en økonomisk støtteordning for å fremme bevaring og utvikling av romanifolkets/taternes kultur, språk og historie.
Stiftelsen etablerte Veiledningstjenesten i 2012. Veiledningstjenesten ga rettshjelp og juridisk veiledning til personer som søkte om rettferdsvederlag fra staten. Veiledningstjenesten ble overført fra Stiftelsen til Romanifolkets/taternes senter (Senteret) i 2014. Veiledningstjenesten ble deretter helt utskilt som egen organisasjon 23. august 2017.
Kommunal- moderniseringsdepartementet avslo i november 2017 en søknad fra Veiledningstjenesten om finansiering. Veiledningstjenesten kontaktet etter dette Arkivverket for å deponere (ikke avlevere) klientmapper. Klientmappene inneholdt personopplysninger om klientene og deres familie og slekt. Veiledningstjenesten deponerte dokumenter hos Arkivverket fra januar 2018. Også Stiftelsen (Stiftelsen romanifolkets/taternes kulturfond) og Senteret (Romanifolkets/taternes senter) deponerte dokumenter hos Arkivverket. Det ble ikke inngått noen skriftlig avtale mellom de behandlingsansvarlige og Arkivverket.
I desember 2017 gikk Senteret konkurs, og i januar 2018 gikk Stiftelsen konkurs. Det ble oppnevnt samme bostyrer for begge boene. I forbindelse med bobehandlingen, ble en representant for bostyrer sendt til Arkivverket i januar 2018 for å hente relevante dokumenter. Klager i denne saken mener at det har skjedd en ulovlig utlevering av personopplysninger fra Arkivverket til bostyrers representant.
Datatilsynet har tidligere, etter henvendelse fra Veiledningstjenesten på vegne av en registrert, foretatt undersøkelser knyttet til Arkivverkets behandling av opplysninger deponert hos Arkivverket fra Veiledningstjenesten. Datatilsynet konkluderte i vedtak 7. desember 2022 med at Arkivverket var å anse som databehandler for Veiledningstjenesten da Veiledningstjenesten deponerte arkivmateriale hos Arkivverket. Datatilsynet påpekte at mangelen på skriftlige avtale mellom den behandlingsansvarlige og databehandleren, representerte et brudd på personvernforordningen artikkel 28 nr. 3. Datatilsynet fant det tilstrekkelig å påpeke bruddet, uten å ilegge den behandlingsansvarlige eller databehandleren noen reaksjon. Når det gjaldt utleveringen av arkivmateriale fra Arkivverket til bostyrer da Stiftelsen og Senteret gikk konkurs, fant Datatilsynet det ikke sannsynliggjort at klientmappene som tilhørte Veiledningstjenesten var utlevert. Denne delen av vedtaket ble klaget inn til Personvernnemnda av den registrerte. Personvernnemnda opprettholdt Datatilsynets vedtak (PVN-2023-07).
Den 28. januar 2022 mottok Datatilsynet et «Varsel om alvorlig brudd på personopplysningsloven – Arkivverket». Varselet kom fra Stiftelsen romanifolkets/taternes kulturfond c/o Veiledningstjenesten og var signert av A. Varselet omhandlet ulovlig utlevering av Stiftelsens arkiv fra Arkivverket til Stiftelsens bostyrer for konkursboet i januar 2018.
Etter at Datatilsynet 7. desember 2022 traff vedtak i saken som gjaldt Veiledningstjenestens klientmapper og Arkivverket (jf. ovenfor), avsluttet tilsynet også denne saken 9. desember 2022. Tilsynet la til grunn at sakene var sammenlignbare og fant det ikke hensiktsmessig å gjøre ytterligere undersøkelser i klagen fra Stiftelsen/A.
Den 4. januar 2022 etterlyste A status i saken han hadde varslet om (ulovlig utlevering av sensitive personopplysninger fra arkivet etter Stiftelsen romanifolket/taternes kulturfond). Han understrekte i henvendelse at hans varsel både var sendt av ham som tidligere styreleder i Stiftelsen romanifolket/taternes kulturfond, og som et varsel fra ham personlig.
Datatilsynet oversendte saken til Personvernnemnda 19. april 2023. Det framkommer i oversendelsesbrevet at Datatilsynet opprettholder sin avgjørelse om ikke å ta klagen til behandling. Tilsynet anser den avgjørelsen som et enkeltvedtak som kan påklages, men påpeker også at varselet fra A ikke er å anse som en klage etter personvernforordningen artikkel 77 som Datatilsynet plikter å behandle.
I brev til nemnda 27. april 2023 skriver Datatilsynet, etter en ny vurdering, at det ikke foreligger noen klage fra en registrert og at det er opp til Datatilsynet å vurdere hvordan tilsynet behandler et mottatt varsel. En slik avgjørelse er ikke et enkeltvedtak og kan ikke påklages. Tilsynet ber nemnda vurdere avvisning av saken. Veiledningstjenesten til romanifolket/taterne har fått kopi av brevet.
Veiledningstjenesten til romanifolket/taterne v/ A ble orientert om saken i brev fra nemnda 2. mai 2023, og fikk anledning til å komme med kommentarer. Nemnda har ikke mottatt merknader.
Saken ble behandlet i nemndas møte 10. oktober 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Personvernnemndas vurdering
Det følger av personvernforordningen artikkel 77 at enhver registrert skal ha rett til å klage til en tilsynsmyndighet dersom den registrerte anser at behandlingen av personopplysninger som gjelder vedkommende er i strid med personvernforordningen.
Klagen til Datatilsynet er i dette tilfelle sendt fra A. Ifølge A fremsetter han klagen både på vegne av Stiftelsen romanifolkets/taternes kulturfond (som er opphørt og slettet fra enhetsregisteret) og fra seg personlig. Det er imidlertid ingen konkrete opplysninger i klagen om hvilke opplysninger om A personlig som inngikk i Stiftelsens arkivmateriale og hvilke av disse som han mener ble ulovlig utlevert til bostyrer. Det er derfor ikke naturlig å forstå det innsendte varselet som en klage fra en registrert, men heller som et tips til Datatilsynet om at det har skjedd et brudd på personopplysningsloven. Et slikt varsel kan medføre at Datatilsynet åpner en tilsynssak og ber om en redegjørelse fra den behandlingsansvarlige, eller det kan ende med at tilsynet legger saken bort. Dersom tilsynet åpner tilsynssak og treffer et pålegg vil det være den behandlingsansvarlige, eventuelt databehandleren som har behandlet opplysninger på vegne av den behandlingsansvarlige, som er å anse som part, ikke varsleren. Selve Datatilsynets beslutning om å åpne en tilsynssak eller ikke er ikke et enkeltvedtak som er bestemmende for noens rettigheter eller plikter, jf. forvaltningsloven § 2 første ledd bokstav b. Det er derfor heller ikke en avgjørelse som gir klagerett.
Ut fra de opplysninger som foreligger i denne saken er det mest nærliggende å se på klagen fra A som et varsel om ulovlig behandling av personopplysninger fra Stiftelsens deponerte arkiv hos Arkivverket. Datatilsynets beslutning om ikke å følge opp varselet videre utgjør da ikke et enkeltvedtak som kan påklages, og klagen til nemnda skal avvises.
Selv om det ikke er av betydning for nemndas avgjørelse i denne saken vil nemnda peke på at ikke alle henvendelser med påstander om ulovlig behandling av noens personopplysninger medfører en plikt for Datatilsynet til å behandle saken etter artikkel 77. Det følger av personvernforordningen artikkel 57 nr. 1 bokstav a at Datatilsynet blant annet skal «føre tilsyn med og håndheve anvendelsen av denne forordning». Datatilsynets undersøkelsesplikt etter forordningen gjelder «i den grad det er hensiktsmessig», jf. artikkel 57 nr. 1 bokstav f. I dette ligger at tilsynet i noen grad selv har myndighet til å vurdere om det i det enkelte tilfellet er nødvendig å foreta nærmere undersøkelser og hvilke undersøkelser som er hensiktsmessige. Særlig må det gjelde for påståtte brudd på personopplysningsloven som ligger tilbake i tid, er avsluttet (ikke pågående) og hvor den behandlingsansvarlige (i dette tilfellet Stiftelsen) er oppløst og slettet fra enhetsregisteret og ikke lenger har noen lovlig representant. Dersom en undersøkelse i dette tilfellet skulle avdekke en ulovlig behandling av personopplysninger ville adgangen til å ilegge overtredelsesgebyr være foreldet etter personopplysningsloven § 28. Dersom det har skjedd ulovlig behandling av personopplysninger hos Arkivverket som databehandler, ville det dessuten være naturlig også å trekke inn den behandlingsansvarlige og dennes ansvar for opprettelsen og innrettelsen av arkivet. Når stiftelsen er opphørt og ikke lenger har noen lovlig representant blir dette umulig. I et slikt tilfelle vil klageren, etter nemndas vurdering, ikke ha en aktuell interesse i få sin klage behandlet.
Klagen har ikke ført fram.
Vedtaket er enstemmig.
Konklusjon
Klagen avvises.
Oslo, 10. oktober 2023
Mari Bø Haugstad
Leder