PVN-2024-16 Klage på Datatilsynets avvisning av en henvendelse som ikke gjelder behandling av personopplysninger

Saken gjelder klage fra A på Datatilsynets avvisning av hennes henvendelse fordi den ikke representerer en klage etter personvernforordningen artikkel 77 nr. 1.

1. Sakens bakgrunn

A kontaktet Datatilsynet 8.og 14. august 2023 og opplyste at hun opplever seg urettferdig behandlet av Nav i de saker hun har til behandling der. A antydet videre at hun vil reise et erstatningskrav mot Nav. Henvendelsene ble oppfattet som en anmodning om bistand fra Datatilsynet.

Datatilsynet orienterte i brev til A 2. oktober 2023 om forventet saksbehandlingstid på ett år.

I e-poster til Datatilsynet 3., 4. og 7. oktober 2023 og 19. februar 2024 gjorde A nærmere rede for Navs behandling av bidragssaken.

A purret på svar fra Datatilsynet 13. februar 2024. Hunklaget deretter til Sivilombudet over at hun ikke fikk snakke med Datatilsynets saksbehandler. I brev 14. mars 2024 til Datatilsynet viste Sivilombudet til forvaltningsloven § 11 d, som fastslår at en part på nærmere vilkår skal gis adgang til å snakke med en tjenestemann ved det forvaltningsorgan som behandler saken. Sivilombudet la til grunn at Datatilsynet ville gi A tilbakemelding på anmodningen innen timelig tid.

I mars 2024 oversendte A et brev fra Nav 19. desember 2022 vedrørende en undersøkelse av to Nav-ansattes oppslag på A i sine datasystemer. Bakgrunnen var at A 16. november 2022 hadde bedt Nav undersøke om det var foretatt urettmessige søk på henne. I svarbrevet opplyste Nav at de aktuelle oppslagene hadde sammenheng med saksbehandlingen av As sak. Hun ble samtidig gjort oppmerksom på at hun har adgang til å klage over Navs behandling av personopplysninger til Datatilsynet.  

I telefonsamtale med Datatilsynet 19. mars 2024 fikk A snakke med en saksbehandler, slik hun hadde bedt om.

I Datatilsynets vedtak 20. mars 2024 ble klagen over Navs saksbehandling i bidragssaken avvist. Vedtaket har slik slutning:

 «Klagen avvises. Klagen gjelder etter vår vurdering ikke NAVs behandling av personopplysninger om deg, jf. personvernforordningen artikkel 77 nr. 1. Datatilsynet har derfor ikke kompetanse til å behandle saken etter personvernforordningen artikkel 55.»

Når det gjaldt oppslagene i Navs datasystemer, skrev Datatilsynet følgende i e-post 20. mars 2024 til A:

«Dersom du mener at ansatte i NAV har gjort ulovlige oppslag på deg, er det riktig at du kan påklage dette forholdet til Datatilsynet. Imidlertid vil oppslagenes lovlighet bero på om den som gjorde oppslaget hadde en saklig grunn til det. En slik vurdering må ta utgangspunkt i den ansattes arbeidsoppgaver. Det er NAV som kjenner den ansattes arbeidsoppgaver, og følgelig er det NAV som må vurdere om oppslagene var saklige. Det fremgår av vedlegget at NAV har undersøkt de aktuelle oppslagene og kommet til at de er gjort med saklig grunn («tjenstlig behov»). Dette representerer et faglig skjønn som Datatilsynet har begrensede forutsetninger for å overprøve, og vi vurderer at det heller ikke er hensiktsmessig.»

A påklaget avvisningvedtaket 9. april 2024. Datatilsynet behandlet klagen og opprettholdt sin avgjørelse. Saken ble oversendt til Personvernnemnda ved brev 6. juni 2024. Det ble oversendt en del tilleggsdokumentasjon 11. juni 2024. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A hadde dialog med nemndas sekretariat om saksbehandlingstid i desember 2024. Nemnda har ikke mottatt ytterligere kommentarer fra A.  

Saken ble behandlet i nemndas møte 24. februar 2025. Personvernnemnda hadde følgende sammensetning: Marius Stub (leder), Ruth Louise Osborg (nestleder), Morten Goodwin, Malin Tønseth, Malgorzata Agnieszka Cyndecka, Heri Ramampiaro og Bjørn Aslak Juliussen. Utredningsleder Anette Klem Funderud var også til stede.

 2. As syn på saken i korte trekk

A gjør gjeldende at Datatilsynet har plikt til å hjelpe henne i bidragssaken. Nav har gjort mange feil under saksbehandlingen, men erkjenner aldri at de har gjort noe galt.

To ansatte i Nav har dessuten foretatt ulovlige opplag på henne i sine datasystemer. Dette utgjør en krenkelse av hennes personvern, som Datatilsynet må følge opp.

3.  Personvernnemndas vurdering

3.1 Rettslig utgangpunkt

Datatilsynet har lagt til grunn at As klage 14. august 2023 over saksbehandlingen i bidragssaken ikke gjelder Navs behandling av personopplysninger om henne. Klagen ble derfor avvist på grunn av manglende kompetanse.

En avgjørelse om avvisning av en sak om enkeltvedtak, er et enkeltvedtak som kan påklages, jf. forvaltningsloven § 2 tredje ledd og § 28.

Det følger av personvernforordningen artikkel 77 at enhver registrert skal ha rett til å klage til en tilsynsmyndighet dersom den registrerte anser at behandlingen av personopplysninger som gjelder vedkommende, er i strid med personvernforordningen. Det følger direkte av ordlyden at den registrerte må gjøre gjeldende at vedkommendes personopplysninger er behandlet i strid med forordningen. Det kan med andre ord utledes et krav om en viss konkretisering av det påstått ulovlige, og at ulovligheten må ramme den som fremsetter klagen.

En slik tolkning underbygges av forordningens fortalepunkt 141, hvor det blant annet fremgår at den registrerte har rett til å klage til et nasjonalt tilsyn «dersom vedkommende anser sine rettigheter i henhold til denne forordning for krenket» (nemndas kursivering).

Tolkningen har videre støtte i EFTA-domstolens dom 10. desember 2020 i sak E-11/19 og E-12/19 avsnitt 53:

«Further, a complaint lodged by a data subject pursuant to Article 77 of the GDPR must be qualified in the sense that the alleged infringement of the GDPR relates to the processing of personal data of that data subject.»

I EU-domstolens dom 28. april 2022 i sak C-319/20 legges det på tilsvarende måte (i avsnitt 75) til grunn at individklager etter artikkel 77 nr. 1 er et rettsmiddel som «en enkelt person, der er individuelt og konkret berørt af en krænkelse af retten til beskyttelse af vedkommendes personoplysninger, kan anlægge mod den, der har begået denne krænkelse» (dansk versjon).

3.2 Klage på urettferdig behandling av Nav

As henvendelser til Datatilsynet i august 2023 gjelder Navs håndtering av saker hun har til behandling der. Det fremgår av det hun skriver at hun er misfornøyd med innholdet av de vedtak som er truffet, og med Navs forutgående saksbehandlingen.

Personvernnemnda er enig med Datatilsynet i at henvendelsene ikke ser ut til å gjelde Navs behandling av hennes personopplysninger, jf. personvernforordningen artikkel 77 nr. 1. En slik forståelse underbygges av den dokumentasjonen som A har oversendt, som iallfall i det vesentlige gjelder forhold som faller utenfor Datatilsynets ansvarsområde. Tilsynet har da verken rett eller plikt til å realitetsbehandle hennes henvendelse, jf. personvernforordningen artikkel 77 nr. 1. og artikkel 55.

Denne delen av klagen tas derfor ikke til følge.

3.3 Henvendelse om oppslag i Navs datasystemer

I e-post 18. mars 2024 oversendte A redegjørelsen fra Nav om oppslagene i Navs datasystemer. Hun utdypet ikke hva formålet med oversendelsen var, men skrev følgende: «Vennligst les e-postene jeg sendte deg nøye og se på vedleggene.»

Det fremgår av Datatilsynets e-post 20. mars 2024 til A at henvendelsen ble oppfattet som en anmodning om veiledning, som deretter ble gitt. I e-posten heter det således at de spørsmålene som gjelder oppslagene, «er et annet tema enn du har tatt opp i klagen til Datatilsynet 4. september 2023 – slik vi har forstått klagen».

Etter Personvernnemndas syn er det rimelig å oppfatte As henvendelse som en klage over Navs oppslag i datasystemet. Denne delen av saken ble ikke avgjort i vedtaket om avvisning 20. mars 2024, og må derfor sendes tilbake til Datatilsynet for realitetsbehandling.

Vedtaket er enstemmig.

3.4 Konklusjon

1. Datatilsynet må realitetsbehandle As klage over oppslagene i Navs datasystemer.
2. For øvrig tas klagen ikke til følge.

Oslo, 24. februar 2025

Marius Stub

leder