PVN-2024-22 Klage på Datatilsynets avslutning av sak om innsynskrav

Saken gjelder klage fra A på Datatilsynets vedtak 5. april 2024 om avslutning av sak om krav på innsyn etter personvernforordningen..

1. Sakens bakgrunn

A kontaktet Datatilsynet 2. desember 2022 og opplyste at hun ikke fikk innsyn i egne personopplysninger hos sin tidligere arbeidsgiver, som var […] i X kommune.

Parallelt med dette henvendte A seg til kommunens personvernombud i e-post 4. januar 2023. I kommunens e-post til A 6. februar 2023 ble det opplyst at det var gitt innsyn i alle personopplysninger om henne som kommunen hadde behandlet. Retten til innsyn etter forordningen artikkel 15 var derfor oppfylt. Det ble videre opplyst at det ikke var gitt innsyn i opplysninger som finnes i tekst som er utarbeidet for intern saksforberedelse, jf. personvernforordningen artikkel 23 og personopplysingsloven § 16 første ledd bokstav e.

Datatilsynet anså henvendelsen fra A som et varsel om kritikkverdige forhold etter reglene i arbeidsmiljøloven kapittel 2A. Datatilsynet gjorde oppmerksom på at hun måtte oppheve Datatilsynets taushetsplikt overfor hennes tidligere arbeidsgiver dersom saken skulle undersøkes ytterligere. A opphevet taushetsplikten 14. desember 2023.

På bakgrunn av As henvendelse skrev Datatilsynet 19. desember 2023 et brev til X kommune med overskriften «Påpekning av plikt – Innsyn i personalopplysninger».A fikk kopi av brevet. I brevet veiledet Datatilsynet blant annet om kommunens plikt til å legge til rette for at den registrerte kan utøve sine rettigheter etter forordningen artikkel 12 nr. 2, om retten til innsyn i personopplysninger i artikkel 15 og om unntak fra retten til innsyn i personopplysningsloven § 16. Datatilsynet la til grunn at kommunen ville behandle As innsynskrav i tråd med disse reglene, og avsluttet deretter saken.

Da A ikke hørte noe mer fra kommunen kontaktet hun Datatilsynet på nytt 25. januar 2024.

Datatilsynet ringte X kommune 29. februar 2024. I Datatilsynets telefonnotat fra samtalen fremkommer det at kommunen mente at As innsynskrav er behandlet, og at hun har fått underretning om kommunens avgjørelse gjennom korrespondanse på e-post. Avgjørelsen av innsynsspørsmålet er opprettholdt av statsforvalteren.

Videre fremgår det av notatet at […] og den aktuelle byrådsavdelingen ikke utelukket at andre avdelinger i kommunen kunne ha opplysninger om A i forbindelse med en sak der kommuneadvokaten i X var involvert, men at det i tilfelle var tale om opplysninger knyttet til intern saksforberedelse som kommunen ikke er forpliktet å gi innsyn i. Kommunen anså derfor saken som avsluttet.

I Datatilsynets vedtak 5. april 2024 avsluttet Datatilsynet saken. Vedtaket har slik slutning:

«X kommune har behandlet innsynskravet ditt i henhold til personvernforordningen artikkel 15 og artikkel 23, jf. personopplysningsloven § 16 første ledd bokstav e.»

Datatilsynet orienterte X kommune i brev 5. april 2024 om at kommunen ikke hadde brutt personvernregelverket ved behandlingen av As innsynskrav, og at saken var avsluttet fra Datatilsynets side.

A påklaget vedtaket rettidig 17. april 2024. Datatilsynet behandlet klagen og opprettholdt sin avgjørelse. Saken ble oversendt til Personvernnemnda ved brev 3. juli 2024. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt kommentarer i e-post 15. juli 2024.X kommune har ikke inngitt kommentarer.

Personvernnemnda kontaktet Datatilsynet 18. mars 2025 for å få ytterligere informasjon om tilsynets vurderinger knyttet til vilkårene i § 16 første ledd bokstav e.

Saken ble behandlet i nemndas møte 24. mars 2025. Personvernnemnda hadde følgende sammensetning: Marius Stub (leder), Ruth Louise Osborg (nestleder), Morten Goodwin, Malin Tønseth, Heri Ramampiaro og Bjørn Aslak Juliussen. Utredningsleder Anette Klem Funderud var også til stede.

2. As syn på saken i korte trekk

A gjør gjeldende at hun har krav på innsyn i interne dokumenter knyttet til sitt ansettelsesforhold i […] i X kommune. Så langt har hun kun fått innsyn i egne dokumenter. A vil vite hvilke opplysninger hun ikke får innsyn i og hva som er grunnen til det.

Personopplysningene knytter seg til As ansettelsesforhold, og til arbeidskonflikten hun var involvert i da hun ble oppsagt via e-post. A gjør gjeldende at hun har rett til innsyn i egne opplysninger i dokumenter fra kommunens jurister som var involvert i saken, og at hun har krav på innsyn i hvem som har og har hatt tilgang til disse opplysningene.

A er dessuten kritisk til at Datatilsynet baserer vedtaket på muntlig kommunikasjon med kommunen, fremfor å innhente en skriftlig redegjørelse.

3.  Personvernnemndas vurdering

X kommune har gitt A delvis innsyn i personopplysninger om henne som knytter seg til hennes arbeidsforhold i kommunen, jf. personvernforordningen artikkel 15. Saken reiser spørsmål om det er grunnlag for å avslå kravet om ytterligere innsyn med hjemmel i personopplysningsloven § 16 første ledd bokstav e.

3.1 Rettslig utgangpunkt

Etter personvernforordningen artikkel 15 har den registrerte rett til innsyn i personopplysninger som behandles om seg. Innsynsretten etter personopplysningsloven gjelder ved siden av retten til innsyn etter forvaltningsloven og offentleglova.

Etter personopplysningsloven § 16 første ledd bokstav e, jf. personvernforordningen artikkel 23 nr. 1, omfatter innsynsretten ikke opplysninger som:

«utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser».

I Prop. 56 LS (2017–2018) side 217 omtales dette unntaket slik:

«Første ledd bokstav e gjør unntak for opplysninger som utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig for å sikre forsvarlige interne avgjørelsesprosesser. Unntaket viderefører § 23 første ledd bokstav e i gjeldende lov, men oppstiller et ytterligere krav om at det bare kan gjøres unntak så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser. Dette vilkåret svarer til vilkåret i offentleglova § 15 første ledd, og denne bestemmelsen kan gi veiledning for vurderingen. På samme måte som etter offentleglova § 15 første ledd er det ikke bare hensynet til den interne saksforberedelse i den enkelte saken som kan vektlegges, men også hensynet til avgjørelsesprosessene i fremtidige saker.»

3.2 Den konkrete vurderingen

I Datatilsynets vedtak er det lagt til grunn at kommunen hadde adgang til å avslå As krav om innsyn i personopplysninger i interne dokumenter i medhold av personopplysningsloven § 16 første ledd bokstav e. I begrunnelsen heter det:

«Datatilsynet er bundet av forvaltningsloven og skal påse at saken er så godt opplyst som mulig, jf. forvaltningsloven § 17. I denne saken har vi fått tilsendt dokumentasjon av korrespondanse mellom deg og [X] kommune i forbindelse med innsynssaken. Vi har også vært i kontakt med [X] kommune og fått informasjon om kommunens vurderinger i saken.

Ettersom saken ikke gjelder administrative sanksjoner, er beviskravet i saken

sannsynlighetsovervekt. Det innebærer at vi skal legge til grunn det faktum som fremstår som mest sannsynlig.

Vi har ikke mottatt informasjon som sannsynliggjør at kommunen behandler flere opplysninger om deg enn det du allerede har fått innsyn i, ut over eventuelle opplysninger som har blitt eller blir behandlet i forbindelse med intern saksforberedelse. Vi har heller ikke mottatt informasjon som sannsynliggjør at eventuelle opplysninger som blir behandlet i forbindelse med intern saksforberedelse har blitt delt med andre, eller at denne behandlingen ikke er nødvendig for å sikre interne avgjørelsesprosesser.»

I telefonsamtale fra nemndas sekretariat 18. mars 2025 ble Datatilsynet bedt om å redegjøre for tilsynets vurderinger knyttet til vilkårene for å nekte innsyn i personopplysningsloven § 16 første ledd bokstav e. Datatilsynet opplyste at saken var undergitt forenklet saksbehandling, og at det etter kontakten med kommunen ble lagt til grunn som mest sannsynlig at det var nødvendig å nekte innsyn. Datatilsynet fant ikke grunn til å overprøve kommunens vurdering.

Nemnda bemerker innledningsvis at den er enig med Datatilsynet i at saken – når tilsynet først har valgt å realitetsbehandle den, jf. personvernforordningen artikkel 57 nr. 1 bokstav f – må utredes i samsvar med den alminnelige utredningsplikten i forvaltningsloven § 17 første ledd. Nemnda er også enig med Datatilsynet i at beviskravet er sannsynlighetsovervekt, og at dette innebærer at tilsynet – når saken er ferdig utredet – skal legge det mest sannsynlige faktum til grunn for sin avgjørelse. Deretter må de aktuelle rettsreglene tolkes, og det må vurderes om lovens vilkår er oppfylt eller ikke. Disse vurderingene styres av rettskildeprinsippene, og ikke av beviskravet, se Anne Robberstad, «Skyld kan ikke bevises», Lov og Rett 2013 s. 345-357. Strengt tatt er det derfor noe upresist når Datatilsynet i begrunnelsen gir uttrykk for at det ikke er sannsynliggjort at personopplysningslovens vilkår ikke er oppfylt. Dette er rettsanvendelse, og ikke bevisbedømmelse.

Det fremgår av begrunnelsen for Datatilsynets vedtak at tilsynet ikke har «mottatt informasjon som sannsynliggjør at eventuelle opplysninger som blir behandlet i forbindelse med intern saksforberedelse har blitt delt med andre, eller at denne behandlingen ikke er nødvendig for å sikre interne avgjørelsesprosesser». Når man skal vurdere om det er grunnlag for å nekte innsyn etter personopplysningsloven § 16 første ledd bokstav e, vil imidlertid spørsmålet være om lovens vilkår er oppfylt. Datatilsynets vedtak ser ut til å bygge på et motsatt utgangspunkt når det konstateres at det ikke er sannsynliggjort at vilkårene ikke er oppfylt. Dette er i tilfelle feil rettsanvendelse.

Det følger av forvaltningsloven § 24 at enkeltvedtak skal begrunnes. Kravet til begrunnelse tjener flere formål: For det første har begrunnelsen verdi for parten, og vil sette vedkommende i stand til å forstå vedtaket og gi grunnlag for å vurdere om vedtaket skal påklages eller bringes inn for domstolene. For det annet har begrunnelsen verdi for den som skal treffe avgjørelsen. At avgjørelsen må begrunnes skriftlig, kan bidra til at avgjørelsen blir mer gjennomtenkt og at unødige feil unngås. For det tredje har begrunnelsen verdi under en eventuell etterfølgende administrativ eller rettslig prøving av vedtaket. Begrunnelsen gjør det mulig å etterprøve det rettslige og faktiske grunnlaget for den avgjørelse som er truffet. Kravene til begrunnelsens innhold fremgår av forvaltningsloven § 25. Etter annet ledd skal begrunnelsen blant annet nevne «de faktiske forhold som vedtaket bygger på».

I den foreliggende sak har A krevd innsyn i det som måtte finnes av personopplysninger om henne i interne saksdokumenter. Nemnda kan ikke se at det fremgår klart av vedtaket hva Datatilsynet bygger på når det legges til grunn at det er «nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser», jf. personopplysningsloven § 16 første ledd bokstav e. Begrunnelsen er dermed ikke utformet på en måte som gjør det mulig for parten å ta stilling til holdbarheten av vedtaket, eller for nemnda å etterprøve om lovens vilkår – som blant annet må tolkes i lys av de anvisninger som gis i Prop. 56 LS (2017–2018) side 217 – er oppfylt. Kravene til begrunnelse i forvaltningsloven § 25 er dermed ikke oppfylt.

På denne bakgrunn oppheves vedtaket, og saken returneres til Datatilsynet for ny behandling.

As klage har ført frem.

Vedtaket er enstemmig.

3.3 Konklusjon

Datatilsynets vedtak 5. april 2024 oppheves.

Oslo, 24. mars 2025

Marius Stub

leder