Personvernnemndas vedtak 7. november 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets avgjørelse 28. november 2022 der Datatilsynet avsluttet en sak uten å foreta nærmere undersøkelser og uten å ta stilling til om As rettigheter etter personopplysningsloven var brutt.
Sakens gang
A kontaktet Datatilsynet 4. mars 2021 fordi han mente hans personvernrettigheter var krenket av bostyrer advokat Kjell Holst Sæther i X AS, dets konkursbo.
A og en forretningspartner drev tidligere X AS. Det ble åpnet konkurs i virksomheten 25. august 2020. I forbindelse med konkursbehandlingen sendte bostyrer blant annet bostyrers innberetning av 1. oktober 2020 til fordringshaverne, skyldneren og konkursregisteret, jf. konkursloven § 120 fjerde ledd. I innberetningen omtales en politianmeldelse mot A og forretningspartneren fra huseieren hvor selskapet drev sin virksomhet.
Datatilsynet skrev 28. november 2022 et brev til bostyreren for konkursboet med overskriften «Påpeking av plikt – Grunnleggende krav til behandling av personopplysninger» hvor tilsynet redegjorde for reglene i personvernforordningen, uten at tilsynet tok stilling til om loven var brutt eller ikke. Datatilsynet sendte også et brev til A og orienterte om at saken var avsluttet med at tilsynet hadde sendt bostyrer et brev med påpeking av plikt. Om avgjørelsen skriver Datatilsynet:
«Saken er med dette avsluttet. Til orientering er vår beslutning om å behandle saken ved å påpeke plikter ikke et enkeltvedtak etter forvaltningsloven § 2 første ledd bokstav b. Du kan derfor ikke klage på beslutningen. Det følger av forvaltningsloven § 28.»
A klaget deretter til Sivilombudet, som ikke tok saken til behandling idet den ikke var endelig avgjort i forvaltningen. Sivilombudet viste i brev 8. februar 2023 til PVN-2021-07 og skrev: «I den aktuelle saken kom Personvernnemnda til at Datatilsynets avgjørelse om å avslutte saken uten å ta stilling til om klagers personopplysninger var behandlet ulovlig, måtte anses som en avgjørelse som var bestemmende for hennes rettigheter og dermed et enkeltvedtak, jf. forvaltningsloven § 2».
A klaget deretter på Datatilsynets avslutning av saken. Klagen ble mottatt hos tilsynet 14. februar 2023. Datatilsynet traff 20. mars 2023 slikt vedtak:
«Klagen avvises på grunnlag av at vilkårene for klagerett ikke foreligger. Vår beslutning om å avslutte saken i medhold av artikkel 57 nr. 1 bokstav f er ikke et enkeltvedtak, jf. forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og klageretten etter forvaltningsloven § 28 gjelder derfor ikke.»
Det fremkommer av brevet at vedtaket om avvisning kan påklages, jf. forvaltningsloven §§ 28 og 29.
Den 30. mars 2023 klaget A på avvisningsvedtaket. Datatilsynet vurderte klagen og traff 26. april 2023 slikt vedtak:
«Klagen på Datatilsynets vedtak om avvisning av klage tas til følge, og Datatilsynets vedtak av 20. mars 2023 omgjøres med dette. Vår beslutning om å avslutte saken i medhold av artikkel 57 nr. 1 bokstav f er et enkeltvedtak, jf. forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og du har klagerett etter forvaltningsloven.»
Om den videre saksbehandlingen skriver tilsynet:
«Datatilsynet vil innen kort tid foreta en ny vurdering av din opprinnelige klage på at vi avsluttet saken uten å gjøre nærmere undersøkelser. Dersom vi opprettholder beslutningen om ikke å gjøre nærmere undersøkelser i saken, vil vi sende saken til Personvernnemnda for klagebehandling, jf. personopplysningsloven § 22. Du vil i så fall få kopi av vårt brev til Personvernnemnda.»
Etter en ny vurdering opprettholdt Datatilsynet sin avgjørelse om å avslutte saken uten å foreta nærmere undersøkelser og uten å ta stilling til om As personopplysninger var behandlet ulovlig. Saken ble oversendt Personvernnemnda 5. juni 2023. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Han har ikke inngitt merknader.
Saken ble behandlet i nemndas møte 7. november 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Utredningsleder Anette Klem Funderud var også til stede.
Kort om Datatilsynets vurdering ved oversendelse av saken til nemnda
Datatilsynet redegjør innledningsvis for at klagen er for sent fremsatt, men at den likevel bør tas til behandling fordi parten ikke kan lastes for å ha oversittet fristen, jf. forvaltningsloven § 31 bokstav a. Tilsynet begrunner sin vurdering med at tilsynet i sitt brev hadde gitt uriktige opplysninger om As klagerett.
Om sin vurdering av klagen skriver Datatilsynet:
«I denne saken har vi gjennomgått og vurdert informasjonen vi har mottatt fra klager. På bakgrunn av klagen søkte vi opp [X] AS Konkursbo med organisasjonsnummer […], i Enhetsregisteret i Brønnøysundregistrene. Vi fikk da opplyst at konkursboet ble slettet 5. august 2021. På denne bakgrunn anså vi det ikke hensiktsmessig å gjøre ytterligere undersøkelser i saken, og saken ble dermed avsluttet fra vår side med hjemmel i personvernforordningen artikkel 57 nr. 1 bokstav f.
Samtidig med at vi avsluttet saken, sendte vi et brev til tidligere bostyrer i X AS Konkursbo, hvor vi ga veiledning om grunnleggende krav til behandling av personopplysninger (påpeking av plikt).
Vi kan ikke se at det fremkommer noe nytt i klagen som gir grunnlag for å endre vår beslutning om å avslutte saken uten nærmere undersøkelser.»
As syn på saken i korte trekk
Bostyrer i X AS krenket hans personvern da han 6. oktober 2020 sendte ut bostyrers innberetning til ham og 23 andre mottakere der det ble fremsatt påstander om at A var delaktig i flere straffbare forhold. I innberetningen er det sitert fra en politianmeldelse der A blant annet blir beskyldt for å ha bidratt til å underslå varer fra konkursboet.
Bostyrer har formidlet opplysninger som er underlagt taushetsplikt til flere aktører, leverandører og personer. Beskyldningene er fremsatt uten bevis, og spredningen av opplysningene har ødelagt hans rykte.
Personvernnemndas vurdering
Nemnda er enig med Datatilsynet i at klagen skal tas under behandling, jf. forvaltningsloven § 31 første ledd bokstav a, idet A ikke kan klandres for å ha fremsatt klagen for sent.
Spørsmålet for nemnda er om Datatilsynet kan velge å avslutte en sak ved å sende et orienteringsbrev til den behandlingsansvarlige uten å ta stilling til om personopplysningsloven er brutt, eller om A kan kreve at Datatilsynet behandler saken og tar stilling til om hans personopplysninger er ulovlig behandlet.
Etter at A mottok bostyrers innberetning hvor en av fordringshavernes anmeldelse av ham var omtalt, klaget han bostyrer inn til Datatilsynet 4. mars 2021. A benyttet med dette sin rett til å klage til en tilsynsmyndighet etter personvernforordningen artikkel 77, jf. forordningens fortalepunkt 141. Artikkel 77 fastsetter at enhver som «anser at behandlingen av personopplysninger som gjelder vedkommende, er i strid med denne forordning» har rett til å inngi klage til tilsynsmyndigheten, og at tilsynsmyndigheten som klagen er inngitt til «skal underrette klageren om klagebehandlingsforløpet og utfallet av klagen». Det følger også av forvaltningsloven § 11 a at forvaltningsorganet skal forberede og avgjøre saken uten ugrunnet opphold.
Datatilsynets oppgaver følger av personvernforordningen artikkel 57. Datatilsynet skal etter bestemmelsen behandle en klage som er inngitt av en registrert og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.
Nemnda har i en rekke saker lagt til grunn at tilsynet har en viss frihet til å avgjøre hvor omfattende undersøkelser den enkelte sak krever. I PVN-2017-09 uttaler nemnda:
«Personvernnemnda legger til grunn at Datatilsynet som tilsynsmyndighet etter personopplysningsloven, har anledning til å foreta en viss prioritering av saker i form av at ikke alle henvendelser behandles like grundig. En slik prioritering forutsetter at Datatilsynet i det aktuelle tilfellet har oppfylt sin utrednings- og informasjonsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17, samt at tilsynets skjønnsutøvelse med hensyn til hvor grundig de vurderer lovligheten av den aktuelle behandlingen av personopplysninger framstår forsvarlig. Ved denne forsvarlighetsvurderingen vil personvernhensyn være sentralt jf. lovens formål i § 1.»
Det ligger imidlertid ikke i dette at Datatilsynet fritt kan velge hvilke klager de skal ta til behandling og hvilke de velger ikke å behandle. Fleksibiliteten loven åpner for vil, slik nemnda ser det, i første rekke gjelde hvor omfattende undersøkelser av faktum som er nødvendig og/eller hensiktsmessig. I en sak som denne, hvor det ikke er tvil om faktum, men et spørsmål om tolkning av loven, kan ikke tilsynet velge ikke å ta stilling til om behandlingen er lovlig eller ikke. En slik valgfrihet vil etter nemndas vurdering være i strid med personvernforordningen artikkel 77.
Datatilsynet må derfor foreta en materiell vurdering av saken og ta stilling til om bostyrer har behandlet As personopplysninger uten å ha gyldig behandlingsgrunnlag, og dersom han har det, vurdere om det skal besluttes korrigerende tiltak, jf. personvernforordningen artikkel 58 nr. 2.
Nemnda har i PVN-2020-07 lagt til grunn at Datatilsynets valg av reaksjon overfor de behandlingsansvarlige ikke var en avgjørelse som rettet seg mot de registrerte og dermed heller ikke bestemmende for deres rettigheter og plikter. Dette er imidlertid noe annet enn retten til å få vurdert om personopplysninger om seg selv er behandlet ulovlig.
Saken returneres Datatilsynet for en materiell vurdering av om As personopplysninger er behandlet ulovlig eller ikke.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak oppheves og saken returneres Datatilsynet for ny behandling.
Oslo, 7. november 2023
Mari Bø Haugstad
Leder