Datatilsynets referanse: 16/00028-5/RBT

PVN-2016-05 Sletting av saksdokumenter i Datatilsynet

Klage over Datatilsynets avslag på krav om sletting av saksdokumenter i sak hos Datatilsynet

Personvernnemndas avgjørelse av 27. oktober 2016 (Eva I E Jarbekk, Arve Føyen, Ørnulf Rasmussen, Hans Marius Graasvold, Marta Ebbing, Ann R Sætnan, Gisle Hannemyr)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage over avslag på krav om sletting av saksdokumenter i sak hos Datatilsynet.

2 Saksgang

Saken gjelder krav om sletting av saksdokumenter og personopplysninger, jf personopplysningsloven § 28.

Klager tok kontakt med Datatilsynet i mars 2015 og ba om hjelp til å få slettet søketreff fra Google søkemotor. Søketreffene viste informasjon fra et nettforum av wiki-type (---) hvor det var skrevet negative karakteristikker om klager av anonyme personer. Klager hadde bedt om å få søketreffene fjernet av Google, men fikk avslag. Dette avslaget ba han Datatilsynet om å overprøve. Klager opplyste at han også hadde kontaktet politiet.

Datatilsynet startet en innledende undersøkelse og ba om å få tilsendt informasjon som kunne belyse hvorfor klager mente han hadde rett til å få søketreffene slettet. Tilsynet ba også klager presisere hvilke søketreff (URL'er) som han ville ha fjernet. Klager sendte over slik informasjonen til Datatilsynet.
Videre oppfølging av saken ble liggende til sommeren 2015 grunnet stor arbeidsmengde hos Datatilsynet. Datatilsynet tok opp saken i juni 2015, men fant da ikke lenger de aktuelle søketreffene om klager. Tilsynet tok da kontakt med klager og spurte om saken hadde løst seg. Klager svarte i brev datert 12. august 2015 at han hadde merket at søketreffene var borte, men at han fortsatt ønsket Datatilsynets bistand. Den 25. august orienterte klager Datatilsynet om at han trakk klagen mot Google fordi saken hadde løst seg. Han ba imidlertid om Datatilsynets uttalelse om det fantes ytterligere muligheter for å skjule informasjon fra nettet, blant annet muligheter for å få blokkert fremtidige søketreff i Google søkemotor. Han oppfordret også Datatilsynet om å sende en bekymringsmelding til svenske Datainspektionen for å følge opp overfor moderatoren av det aktuelle nettforumet, som er en svensk statsborger. Datatilsynet besvarte klagers spørsmål og ga råd og veiledning om hvilke regler som gjelder for publiseringer på nettfora og at forhåndssensur av Googletreff ikke vil være tillatt på grunn av ytringsfriheten.

I begjæring av 26. september 2015 fremsatte klager krav om at alle saksdokumenter Datatilsynet hadde om han, skulle slettes. Han anførte at Datatilsynet ikke egentlig hadde behandlet saken hans fordi den hadde løst seg uten at Datatilsynet hadde varslet noe vedtak. Han anførte i tillegg at Datatilsynet hadde etterspurt flere opplysninger enn det som var nødvendig for å behandle saken, uten å presisere nærmere hvilke opplysninger som hadde vært unødvendige. Subsidiært begjærte klager at sterkt belastende personopplysninger om ham skulle slettes fra Datatilsynet saksarkiv, jf personopplysningsloven § 28 tredje ledd. Han anførte at personopplysningene om ham samlet sett matte karakteriseres som «sterkt belastende». Klager spesifiserte ikke hvilke personopplysninger som er sterkt belastende, han skrev at han ønsket slettet opplysninger om seg selv i så stor grad som mulig.
Datatilsynet fant ikke grunnlag for å etterkomme begjæringen. Begjæringen om sletting ble avslått i vedtak av 26. november 2015. Avslaget ble påklaget av klager innen klagefristen.

Saken ble oversendt Personvernnemnda 18. april 2016, som mottok saken 28. april 2016. Klager ble orientert om dette i brev fra nemnda datert 29. april 2016, med frist til uttalelse innen 20. mai 2016. Klager har ikke kommentert saken innen fristen.

3 Faktum

Datatilsynet har mottatt krav om sletting av saksdokumenter og personopplysninger fra en privatperson (heretter klager). Klager har en sak registrert hos Datatilsynet som gjelder sletting av søketreff fra Googles søkemotor. Klager krever prinsipalt at saken hans skal fjernes fra Datatilsynets arkiv, jf personopplysningsloven § 28 første ledd. Subsidiært krever han å få sterkt belastende personopplysninger slettet fra saken, jf personopplysningsloven § 28 tredje ledd.

Datatilsynet har avslått den prinsipale begjæringen med henvisning til at tilsynets saksdokumenter er arkivpliktige. Den subsidiære anførselen er avslått fordi det ikke har funnet vilkåret om at opplysningene er «sterkt belastende» oppfylt.

4 Klagers anførsler

Klager krever prinsipalt at saken hans skal fjernes fra Datatilsynets arkiv, jf personopplysningsloven § 28 første ledd. Subsidiært krever han å få sterkt belastende personopplysninger slettet fra saken, jf personopplysningsloven § 28 tredje ledd..

5 Datatilsynets vurdering

Datatilsynet har vurdert klagers begjæring om sletting av saksdokumentene med utgangspunkt i personopplysningsloven § 28 første ledd, som lyder:

Den behandlingsansvarlige skal ikke lagre personopplysninger lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Hvis ikke personopplysningene deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes.

Datatilsynet har i denne saken behandlet personopplysninger om klager for å gi klager bistand i en klagesak. Sakens dokumenter omfatter korrespondanse frem og tilbake mellom klager og
Datatilsynet over en periode på ca. seks måneder. Saksdokumentene inneholder informasjon fra klager som belyser hvorfor han mener han har rett til fjerning av søketreff i Google søkemotor.

Datatilsynet kan ikke se at det har blitt etterspurt eller lagret unødvendig informasjon i klagers sak i strid med § 28 første ledd. Klager har ikke selv presisert hvilken informasjon som var unødvendig å innhente for å behandle hans klage mot Google.

Datatilsynet antar at formålet med behandlingen var oppnådd da klager erklærte at han ikke lenger ønsket bistand fra Datatilsynet. Etter utgangspunktet i § 28 første ledd kunne derfor dokumentene i klagers saksmappe vært slettet i september 2015.

Sletting etter § 28 første ledd er imidlertid bare aktuelt så lenge arkivloven ikke pålegger lengre lagring. Det følger av personopplysningsloven 28 første ledd annet punktum. Det er som utgangspunkt ikke tillatt å slette arkivverdig materiale, jf arkivloven § 9.

Datatilsynet har vurdert det slik at saksdokumentene i klagers sak er arkivpliktige etter arkivloven. Tilsynet viser til at Datatilsynet er et offentlig forvaltningsorgan som er omfattet av arkivlovens bestemmelser. Arkivloven pålegger offentlige virksomheter å oppbevare sitt arkiv på en trygg mate, slik at dokumentene sikres som informasjonskilder for samtiden og ettertiden, jf arkivloven § 6. Arkiv er definert i arkivloven § 2 bokstav b «dokument som vert til som lekk i ei verksemd». Definisjonen omfatter både innkommende og utgående dokumenter, se Norsk lovkommentar ved Stein Sægrov, www.rettsdata.no, merknad til arkivloven § 2.

Alle dokumentene i klagers sak har blitt til som ledd i Datatilsynets virksomhet. Datatilsynet viser til at klagers sak ble opprettet på bakgrunn av klagers anmodning om bistand fra tilsynet. Datatilsynet mener det ikke er relevant for vurdering av arkivplikt om saken endte med formelt vedtak eller ikke. Det hender ikke sjelden at saker Datatilsynet behandler løser seg uten at det fattes vedtak. Dokumentene er likevel arkivpliktige på grunn av dokumentasjonsverdien for bade nåtid og ettertid, jf arkivloven § 2, jf arkivloven § 6.

Datatilsynets konklusjon er at begjæringen om sletting ikke kan etterkommes, fordi saksdokumentene har vært nødvendige for å behandle klagers sak og de er arkivpliktige, jf personopplysningsloven § 28 første ledd annet punktum, jf arkivloven § 6.

Klager har med henvisning til personopplysningsloven § 28 tredje ledd krevd sletting av personopplysninger i saken som han anfører er «sterkt belastende». Personopplysningsloven § 28 tredje ledd lyder:

Den registrerte kan kreve at opplysninger som er sterkt belastende for ham eller henne skal sperres eller slettes dersom dette
 a) ikke strider mot annen lov, og
 b) er forsvarlig ut fra en samlet vurdering av bl.a. andres behov for dokumentasjon, hensynet til den registrerte, kulturhistoriske hensyn og de ressurser gjennomføringen av kravet forutsetter.

Bestemmelsen gir den registrerte på nærmere vilkår rett til å få slettet personopplysninger som er sterkt belastende. En forutsetning er at dette ikke strider mot annen lov, jf § 28 tredje ledd bokstav a. Arkivloven § 6 pålegger som nevnt Datatilsynet å oppbevare saksdokumenter som har blitt til som ledd i virksomheten. Dette omfatter personopplysningene i saksdokumentene i denne saken. Personopplysningsloven § 28 tredje ledd gir dermed ikke adgang for sletting.

Personopplysningsloven § 28 fjerde ledd åpner for sletting av personopplysninger på tross av arkivplikten. Datatilsynet kan - etter at Riksarkivaren er hørt - treffe vedtak om at retten til sletting etter tredje ledd går foran reglene i arkivloven 4. desember 1992 nr. 126 § 9 og § 18. Betingelsen for å få slettet personopplysninger er at opplysningene er «sterkt belastende» for den registrerte, jf § 28 tredje ledd. Sletting etter personopplysningsloven § 28 fjerde skal bare skje for kvalifisert belastende opplysninger, jf. Ot.prp.nr.92 (1998-1999) side 125.

Klagers subsidiære anførsel reiser spørsmål om hvilken adgang en person har til å kreve personopplysninger, som anføres å være «sterkt belastende», slettet fra Datatilsynets arkiv med grunnlag i personopplysningsloven § 28 fjerde ledd, jf tredje ledd. Dette er en bestemmelse som gir Datatilsynet en særskilt kompetanse til å bestemme at tungtveiende personvernhensyn skal gå foran arkiveringsplikt.

Spørsmålet er om Datatilsynet har kompetanse til å treffe vedtak etter denne bestemmelsen når tilsynet selv er behandlingsansvarlig for personopplysningene som kreves slettet. Situasjonen er svært spesiell, fordi den innebærer at Datatilsynet i realiteten må treffe vedtak rettet mot seg selv.

Datatilsynet har imidlertid i denne saken lagt til grunn at det kan bruke sin kompetanse etter § 28 fjerde ledd fordi det motsatte vil innebære at en som er registrert hos Datatilsynet ikke vil ha adgang til å få slettet personopplysninger av sterkt belastende karakter slik som hos andre behandlingsansvarlige. Tilsynet har valgt å ikke problematisere bruk av § 28 fjerde ledd nærmere, all den tid det ikke har mottatt noen begjæring om sletting av opplysninger i tilsynets arkiv tidligere, og heller ikke anser det som sannsynlig at det vil komme mange slike forespørsler i fremtiden.

Klager har vist til at informasjonen han har oversendt Datatilsynet gjelder en straffesak. Han anfører at en kriminell liga som vil skade ham star bak uttalelsene. Klager viser til at anonyme personer på nett ærekrenker ham i strid med straffeloven, og at dette må karakteriseres som opplysninger som er «sterkt belastende», jf personopplysningsloven § 28 tredje ledd. Klager viser for eksempel til påstander om at han er ... . Krenkelsen forsterkes av nedlatende bemerkninger og sitatfusk om hva klager skal ha uttalt på andre nettsteder. Klager har opplyst til Datatilsynet at det er helheten i påstandene som er belastende, ikke nødvendigvis det enkelte utsagn.

Datatilsynet viser til at terskelen for å få slettet personopplysninger etter personopplysningsloven § 28 fjerde ledd, jf tredje ledd, er høy. Det skal etter en objektiv vurdering være påkrevd med sletting, for eksempel på grunn av personopplysningenes belastende innvirkning på en persons integritet. Datatilsynet finner etter en samlet vurdering ikke grunnlag for å betegne enkeltopplysninger om klager som «sterkt belastende». Samtlige opplysninger er gitt av klager til Datatilsynet for a begrunne hvorfor han mente søketreffene skulle fjernes fra Google. Det fremgår tydelig av saksdokumentene at klager selv mener det dreier seg om usanne beskyldninger mot ham uten rot i virkeligheten. Datatilsynet finner etter en samlet vurdering ikke grunnlag for å betegne enkeltopplysninger i klagers saksmappe som «sterkt belastende».

Datatilsynets konklusjon er at personopplysninger om klager ikke kan slettes med grunnlag i personopplysningsloven § 28 fjerde ledd, jf tredje ledd. På grunn av denne konklusjonen har tilsynet ikke innhentet Riksarkivarens uttalelse.

Datatilsynets vurdering er at klagers krav om sletting ikke kan tas til følge fordi dokumentene i saken hans sak er arkivpliktige. Videre er vurderingen at det ikke foreligger sterkt belastende personopplysninger om klager i saksdokumentene som tilsier at enkeltopplysninger i saken skal slettes. Hvis Personvernnemnda vurderer saken annerledes - altså at klagers personvernrettigheter skal gå foran arkivplikten - vil det være påkrevd å innhente uttalelse fra Riksarkivaren før det eventuelt skal treffes vedtak om sletting. Det følger uttrykkelig av personopplysningsloven § 28 fjerde ledd. Datatilsynet anmoder om at nemnda innhenter slik uttalelse hvis den finner å kunne imøtekomme klagers krav.

6 Personvernnemndas syn

Personvernnemnda skal vurdere krav om sletting av saksdokumenter hos Datatilsynet. Datatilsynet har selv stilt spørsmålet om tilsynet har kompetanse til å treffe vedtak etter § 28 fjerde ledd når tilsynet selv er behandlingsansvarlig for personopplysningene som kreves slettet. Nemnda mener at samme problemstilling gjør seg gjeldende ved Datatilsynets rolle ved behandlingen av klage over vedtak etter § 28 første og tredje ledd. Datatilsynet har besluttet å behandle saken med den begrunnelse at det kan bruke sin kompetanse etter § 28 fjerde ledd fordi det motsatte ville innebære at en som er registrert hos Datatilsynet ikke vil ha adgang til å få slettet personopplysninger av sterkt belastende karakter som hos andre behandlingsansvarlige.

Personvernnemnda anser at Datatilsynet i denne saken er inhabil både ved behandling av krav vurdert etter § 28 fjerde ledd/ § 27 tredje ledd og ved førsteinstansbehandling av klagen, på grunn av sin rolle som behandlingsansvarlig. Imidlertid ser nemnda i denne saken ikke at dette vil gi noen rettslige virkninger, idet denne saksbehandlingsfeil blir reparert gjennom nemndas behandling av klagen, jf forvaltningsloven § 41.

Spørsmålet for nemnda er hvorvidt den registrerte har et krav på sletting. Klager har anført dels at han ønsker å få sin sak slettet fra Datatilsynets arkiv, subsidiært at bestemte opplysninger som han anser uriktige blir slettet. Disse spørsmål skal vurderes etter henholdsvis § 28 tredje ledd og § 27 tredje ledd. Nemnda ser saken slik at vurderingstemaet i begge tilfelle, er en avveining av på den ene siden behovet for dokumentasjon av saksbehandlingen, mot på den annen side de personvernmessige ulemper for den registrerte. I begge tilfelle kreves en klar interesseovervekt i favør av personverninteresser i denne vurderingen, jf lovens ordlyd «tungtveiende personvernhensyn», § 27 tredje ledd, og «sterkt belastende», § 28 tredje ledd.

Utgangspunktet er at slike saksdokumenter er arkivpliktige, jf arkivloven § 6, og det er av vesentlig betydning at kontrollorgans sakshåndtering i ettertid kan dokumenteres. På den annen side åpner lovgivningen for at det under visse omstendigheter likevel kan foretas sletting. En forutsetning for dette er at opplysningene anses som henholdsvis sterkt belastende eller det foreligger tungtveiende personvernhensyn, men dette er ikke tilstrekkelige vilkår alene. Det skal foretas en samlet avveining av motstridende interesser og det må foreligge klar interesseovervekt i favør av sletting om kravet skal innfris.

I denne saken vil nemnda vise til at saken er unntatt offentlighet, jf offentlighetsloven § 13, og Datatilsynets ansatte har taushetsplikt. Dette medfører at belastningen ved at dokumentene ligger i Datatilsynets saksarkiv er begrenset. Etter en samlet vurdering finner nemnda det klart at det ikke er tilstrekkelig grunnlag for å pålegge sletting.

7 Vedtak

Klagen tas ikke til følge.

 

 

Oslo, 27. oktober 2016

Eva I E Jarbekk
Leder