Vi viser til Sivilombudets brev 8. januar 2025, der Personvernnemnda blir bedt om å gjøre rede for sitt syn på spørsmålet om det er klagerett over Datatilsynets valg av korrigerende tiltak. Henvendelsen har sammenheng med Personvernnemndas avgjørelse i sak PVN-2024-01, hvor det ble lagt til grunn at en arbeidstaker ikke har klagerett over en avgjørelse som retter seg mot arbeidsgiveren.
I det følgende vil Personvernnemnda knytte noen kommentarer til de spørsmål som reises i brevet. Saksforholdet i den aktuelle saken forutsettes kjent, og gjennomgås derfor ikke her.
Spørsmål 1
Spørsmål 1 lyder slik:
«Kan retten til domstolprøving etter GDPR artikkel 78 nr. 1 tilsi at den registrerte også har administrativ klageadgang til Personvernnemnda over Datatilsynets vedtak om reaksjon/korrigerende tiltak overfor den behandlingsansvarlige i sin klagesak, jf. forvaltningsloven § 28 første ledd?»
Etter personopplysningsloven § 22 annet ledd kan Datatilsynets vedtak som hovedregel klages inn for Personvernnemnda. Loven gir ikke nærmere regler om klagebehandlingen, og det er derfor de alminnelige klagereglene i forvaltningsloven som får anvendelse, jf. Prop. 56 LS (2017–2018) punkt 26.5 og 27.5.
Enkeltvedtak kan påklages av «en part eller annen med rettslig klageinteresse», jf. forvaltningsloven § 28. En «part» er en «person som en avgjørelse retter seg mot eller som saken direkte gjelder», jf. forvaltningsloven § 2 første ledd bokstav e. Dette omfatter bl.a. adressaten for vedtaket. Det er på det rene at klageren i sak PVN-2024-01 ikke var «part» i saken. Spørsmålet blir derfor om hun hadde «rettslig klageinteresse».
Forvaltningsloven har ingen definisjon av hvem som har «rettslig klageinteresse». I juridisk teori er det lagt til grunn at andre enn partene kan ha klagerett dersom «tilknytningen er av slik art og styrke at det er rimelig å gi et rettskrav på å få vedtaket overprøvd», jf. Torstein Eckhoff og Eivind Smith, Forvaltningsrett, 12. utgave, Oslo 2022 s. 306. Hans Petter Graver og Henriette N. Tøssebro mener for sin del at det må kreves at vedtaket har «klare faktiske virkninger» for vedkommende, jf. Alminnelig forvaltningsrett, 6. utgave, Oslo 2024 s. 504. Begge disse tilnærmingsmåtene innebærer at rekkevidden av klageretten bl.a. vil bero på en avveining av hensynet til klageren på den ene side, mot hensynet til parten på den annen. Jo videre klageretten er, desto mer usikker blir partens stilling. Dette har sammenheng med at Personvernnemnda – i motsetning til domstolene – har full kompetanse, jf. forvaltningsloven § 34 annet ledd, og kan treffe en ny realitetsavgjørelse.
Det har imidlertid vært vanlig å anta at klageretten etter forvaltningsloven iallfall ikke kan være snevrere enn søksmålsretten etter tvisteloven § 1-3, jf. Inge Lorange Backer, Rettslig interesse for søksmål, skjønn og klage, Oslo 1984 s. 44 og Torstein Eckhoff og Eivind Smith, Forvaltningsrett, 12. utgave, Oslo 2022 s. 306. Hovedsynspunktet er at en person som kan anlegge søksmål om gyldigheten av et vedtak, i stedet bør kunne påklage det. I HR-2017-1130-A avsnitt 37 slutter Høyesterett seg til dette utgangspunktet, selv om det i avsnitt 57 understrekes at klageretten og søksmålsadgangen «ikke nødvendigvis er sammenfallende». Ved fastleggingen av hvem som har klagerett, har derfor rekkevidden av søksmålsretten en viss interesse, selv om den ikke uten videre vil være avgjørende. Dette er også lagt til grunn i utkastet til ny forvaltningslov, jf. NOU 2019: 5 Ny forvaltningslov punkt 24.8.3.
Utgangspunktet etter tvisteloven § 1-3 er at det først og fremst er «den myndighetsutøvelsen retter seg mot», som har søksmålsadgang, jf. Ot.prp. nr. 51 (2004-2005) s. 366. Noen vedtak er for øvrig så av personlig art at det bare er partene som kan anlegge søksmål, f.eks. vedtak om utvisning etter utlendingsloven, jf. Rt-1995-139-U, HR-2016-935-U avsnitt 15 og HR-2017-1130-A avsnitt 40. I andre tilfeller vil også enkelte andre vil kunne ha søksmålsadgang, men dette forutsetter at den som anlegger søksmål «blir klart berørt av vedtaket», jf. Ot.prp. nr. 51 (2004-2005) s. 366:
«Generelt vil saksøkeren ha tilstrekkelig tilknytning i sak om rettmessigheten av myndighetsutøvelse dersom saksøkeren er berørt i en slik grad at det framtrer som naturlig at vedkommende opptrer som saksøker og gjør gjeldende krav fundert på hensyn som ivaretas av den aktuelle forvaltningsbestemmelse, se utredningen del II kap 5.2 (s. 188). Også ellers hvor saksøkeren blir klart berørt av vedtaket, kan det foreligge en tilstrekkelig tilknytning. I dette ligger det en viss utvidelse av søksmålsadgangen sammenlignet med gjeldende rett, for eksempel sammenlignet med Rt-1982-908. Hvorvidt saksøkeren ville hatt rettslig klageinteresse etter forvaltningsloven § 28, vil også kunne vektlegges, se Rt-1986-1164 og Rt-1993-445.»
Dette vurderingskriteriet vil kunne reise vanskelige avgrensingsspørsmål, jf. Jørgen Aandal Vangsnes, «Tilknytning som vilkår for sivilt søksmål», Jussens Venner 2018 s. 306–328 med videre henvisninger. For Personvernnemnda er det ikke grunn til å gå nærmere inn på det.
Denne sammenhengen mellom reglene innebærer at en eventuell utvidelse av søksmålsadgangen, indirekte kan lede til en tilsvarende utvidelse av klageadgangen. Dette gjelder uavhengig av om utvidelsen har sammenheng med rettsutviklingen innenfor EØS eller EMK, eller om den i større grad hviler på et internrettslig grunnlag – som i HR-2020-2472-P.
I den foreliggende sak er spørsmålet reist i tilknytning til GDPR artikkel 78, som gir rett til et effektivt rettsmiddel overfor en tilsynsmyndighet. Bestemmelsens første ledd lyder slik:
«Artikkel 78. Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet
1. Uten at det berører annen administrativ eller ikke-rettslig prøving, skal enhver fysisk eller juridisk person ha rett til et effektivt rettsmiddel overfor en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet»
Bestemmelsen gir rett til «effektivt rettsmiddel» overfor «en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet». I forarbeidene til personopplysningsloven er det forutsatt at «de norske reglene om adgang til å prøve forvaltningsvedtak for domstolene oppfyller forordningens krav til et effektivt rettsmiddel overfor tilsynsmyndigheten», jf. Prop. 56 LS (2017–2018) punkt 29.3.
Spørsmålet i den foreliggende sak er om retten til effektivt rettsmiddel etter artikkel 78 kan påberopes av en person som har klaget til et tilsynsorgan, men som ikke selv er adressat for det vedtaket som senere treffes.
I fortalepunkt 143 heter det at «enhver fysisk eller juridisk person [bør] ha rett til effektiv rettslig prøving ved vedkommende nasjonale domstol av en beslutning som er truffet av en tilsynsmyndighet, og som har rettsvirkning for vedkommende”. Dette peker i retning av at retten til effektivt rettsmiddel i utgangspunktet bare kan påberopes av den eller dem vedtaket er bindende for. Andre berørte vil i så fall ikke uten videre ha søksmålsrett, heller ikke den som i sin tid klaget forholdet inn for Datatilsynet.
Denne anvisningen er fulgt opp i EU-domstolens dom 26. november 2018 i sak T-458/17 (Shindler) avsnitt 30:
“30 In that regard, it follows from settled case-law that an action for annulment must be available in the case of all measures adopted by the institutions, whatever their nature or form, which are intended to have legal effects that are binding on, and capable of affecting the interests of, the applicant by bringing about a distinct change in his legal position (judgments of 11 November 1981, IBM v Commission, 60/81, EU:C:1981:264, paragraph 9, and of 26 January 2010, Internationaler Hilfsfonds v Commission, C‑362/08 P, EU:C:2010:40, paragraph 51).”
I kommentaren til artikkel 78 i Waltraut Kotschy, “Right to an effective judicial remedy against a supervisory authority”, i: Kuner, Bygrave og Docksey, The EU General Data Protection Regulation (GDPR), Oxford University Press 2020 side 1130 sammenfattes rettstilstanden slik:
“It is a measure, whatever its nature or form, which is ‘intended to have legal effects that are binding on, and capable of affecting the interests of, the applicant by bringing about a distinct change in his legal position̕̕.”
I henvendelsen fra Sivilombudet er det imidlertid reist spørsmål ved om to nye avgjørelser fra EU-domstolen må forstås slik at de innebærer en viss utvidelse av søksmålsadgangen, og om dette i tilfelle indirekte innebærer en tilsvarende utvidelse av klageadgangen.
Den første avgjørelsen er EU-domstolens dom 7. desember 2023 i sakene C-26/22 og
C-64/22 (SCHUFA Holding), som er en prejudisiell avgjørelse.
I avgjørelsen gjengir EU-domstolen det første spørsmålet slik (dansk versjon):
« 47 Den forelæggende ret ønsker med det første spørgsmål nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 78, stk. 1, skal fortolkes således, at domstolsprøvelsen af en klageafgørelse, der er vedtaget af en tilsynsmyndighed, er begrænset til, om myndigheden har behandlet klagen, undersøgt dens genstand i rimeligt omfang og underrettet klageren om resultatet af undersøgelsen, eller om denne afgørelse er underlagt en fuldstændig domstolsprøvelse, der omfatter beføjelsen for den ret, der skal behandle søgsmålet, til at pålægge tilsynsmyndigheden at træffe en konkret foranstaltning.»
Personvernnemnda bemerker at spørsmålsstillingen tyder på denne delen av avgjørelsen ser ut til å gjelde rekkevidden av domstolenes prøvelsesrett når det først er anlagt et søksmål. Dette er i så fall et annet spørsmål enn spørsmålet om hvem som har søksmålsadgang.
I henvendelsen fra Sivilombudet vises til det særlig avsnitt 68 og 69. Disse avsnittene lyder slik:
«68 Det skal imidlertid tilføjes, at selv om tilsynsmyndigheden som nævnt i denne doms præmis 56 skal behandle klager med den fornødne omhu, har den hvad angår de korrigerende foranstaltninger, der er opregnet i databeskyttelsesforordningens artikel 58, stk. 2, et skøn med hensyn til valget af de midler, der er hensigtsmæssige og nødvendige (jf. i denne retning dom af 16.7.2020, Facebook Ireland og Schrems, C-311/18, EU:C:2020:559, præmis 112).
69 Selv om en national domstol, for hvilken der er anlagt en sag i henhold til databeskyttelsesforordningens artikel 78, stk. 1, som fastslået i denne doms præmis 52, bør have fuld jurisdiktion til at undersøge alle faktiske og retlige omstændigheder vedrørende den pågældende tvist, indebærer garantien for en effektiv retsbeskyttelse ikke, at den har beføjelse til at sætte sit eget skøn med hensyn til valget af hensigtsmæssige og nødvendige korrigerende foranstaltninger i stedet for tilsynsmyndighedens, men kræver, at den undersøger, om tilsynsmyndigheden har holdt sig inden for grænserne af sit skøn.»
Personvernnemnda er enig med Sivilombudet i at avsnitt 68 slår fast at valget av korrigerende tiltak etter artikkel 58 nr. 2 er overlatt til tilsynsmyndighetens skjønn, og at avsnitt 69 slår fast at domstolene må kunne prøve om avgjørelsen ligger innenfor skjønnsfrihetens rammer. Dette løser imidlertid ikke spørsmålet om rekkevidden av søksmålsadgangen, som er et forutgående spørsmål.
Den neste avgjørelsen er EU-domstolens dom 26. september 2024 i sak C-768/21 (Land Hessen), som også er en prejudisiell avgjørelse.
I avgjørelsen gjengir EU-domstolen det forelagte spørsmålet slik, jf. avsnitt 23 (dansk versjon):
«23 Under disse omstændigheder har Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
̔Skal [databeskyttelsesforordningens] artikel 57, stk. 1, litra a) og f), og artikel 58, stk. 2, litra a)-j), sammenholdt med artikel 77, stk. 1, [heri], fortolkes således, at tilsynsmyndigheden altid er forpligtet til at gribe ind i henhold til [denne forordnings] artikel 58, stk. 2, hvis den konstaterer en databehandling, hvorved en registreret persons rettigheder er blevet krænket[?]̕»
EU-domstolen drøfter dette spørsmålet i avsnittene 30 til 50. I avsnitt 37 og 38 fremheves det at artikkel 58 nr. 2 overlater valget av korrigerende tiltak til tilsynsmyndighetens skjønn, men at skjønnsfriheten ikke er ubegrenset:
«37 I denne henseende bemærkes, at databeskyttelsesforordningen overlader tilsynsmyndigheden et skøn med hensyn til den måde, hvorpå den skal afhjælpe den konstaterede mangel, eftersom databeskyttelsesforordningens artikel 58, stk. 2, giver denne myndighed beføjelse til at vedtage forskellige korrigerende foranstaltninger. Som Domstolen allerede har fastslået, er det tilsynsmyndigheden, som skal vælge det middel, som er hensigtsmæssigt og nødvendigt, og som skal foretage dette valg under hensyntagen til samtlige omstændigheder i det konkrete tilfælde og med den fornødne omhu, som kræves af dens opgave bestående i at sikre den fulde overholdelse af databeskyttelsesforordningen (jf. i denne retning dom af 16.7.2020, Facebook Ireland og Schrems, C-311/18, EU:C:2020:559, præmis 112).
38 Dette skøn er imidlertid begrænset af behovet for at sikre et ensartet og højt niveau for beskyttelse af personoplysninger gennem en effektiv håndhævelse, således som det fremgår af syvende og tiende betragtning til databeskyttelsesforordningen.»
I avsnittene 39 og 40 går EU-domstolen nærmere inn på de rammer for skjønnsutøvelsen. som gjelder ved ileggelse av overtredelsesgebyr.
Det fremgår av avsnitt 41 at en klager ikke har et rettskrav på at en virksomhet som er innklaget, uten videre skal ilegges overtredelsesgebyr der vilkårene for det er oppfylt:
«41 Det kan derfor hverken udledes af databeskyttelsesforordningens artikel 58, stk. 2, eller af dennes artikel 83, at der foreligger en forpligtelse for tilsynsmyndigheden til i alle tilfælde, når den konstaterer et brud på persondatasikkerheden, at vedtage en korrigerende foranstaltning, særligt en administrativ bøde, idet dens forpligtelse under sådanne omstændigheder er at reagere på en passende måde med henblik på at afhjælpe den konstaterede mangel. Under disse omstændigheder har klageren, hvis rettigheder er blevet krænket, således som generaladvokaten har anført i punkt 81 i forslaget til afgørelse, ikke en subjektiv ret til at anmode om, at tilsynsmyndigheden skal pålægge en administrativ bøde.»
Tilsynsmyndigheten kan imidlertid i visse tilfeller være forpliktet til å gripe inn for å sikre at personvernforordningen etterleves, jf. avsnittene 42 og 43:
«42 Tilsynsmyndigheden er derimod forpligtet til at gribe ind, når vedtagelsen af en eller flere af de korrigerende foranstaltninger, der er fastsat i databeskyttelsesforordningens artikel 58, stk. 2, under hensyntagen til alle omstændighederne i det konkrete tilfælde er passende, nødvendig og forholdsmæssig med henblik på at afhjælpe den konstaterede mangel og sikre fuld overholdelse af denne forordning.
43 I denne henseende kan det ikke udelukkes, at tilsynsmyndigheden undtagelsesvis og i betragtning af de særlige omstændigheder i det konkrete tilfælde kan undlade at træffe en korrigerende foranstaltning, selv om der er konstateret et brud på persondatasikkerheden. Dette kan navnlig være tilfældet, når den konstaterede overtrædelse ikke har varet ved, f.eks. når den dataansvarlige, der i princippet har gennemført passende tekniske og organisatoriske foranstaltninger som omhandlet databeskyttelsesforordningens i artikel 24, så snart denne er blevet bekendt med overtrædelsen, har truffet passende og nødvendige foranstaltninger for at sikre, at overtrædelsen ophører og ikke gentager sig, under hensyn til sine forpligtelser i henhold til navnlig denne forordnings artikel 5, stk. 2, og artikel 24.
EU-domstolen understreker samtidig at tilsynsmyndighetens realitetsavgjørelse skal være undergitt «fuldstændig domstolsprøvelse», jf. avsnitt 49:
«49 Da klageafgørelser, der er vedtaget af en tilsynsmyndighed, er underlagt en fuldstændig domstolsprøvelse (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 70), påhviler det den forelæggende ret at efterprøve, om HBDI har behandlet den pågældende klage med den fornødne omhu, og om HBDI ved vedtagelsen af den i hovedsagen omhandlede afgørelse har overholdt grænserne for det skøn, som HBDI er tillagt ved databeskyttelsesforordningens artikel 58, stk. 2 (jf. analogt dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 68 og 69 og den deri nævnte retspraksis).»
Sammenfatningsvis mener Personvernnemnda at dommen tilsier (1) at valget av korrigerende tiltak etter artikkel 58 nr. 2 er overlatt til tilsynsmyndighetens skjønn, (2) at det gjelder visse rammer for skjønnsutøvelsen, (3) at en klager som er utsatt for krenkelser av sine rettigheter etter forordningen, ikke har rettskrav på at det skal ilegges overtredelsesgebyr selv om vilkårene for det skulle være oppfylt, og (4) at tilsynsmyndighetens realitetsavgjørelse skal være undergitt «fuldstændig domstolsprøvelse» ved en eventuell rettslig prøving. Dommen ser ikke ut til å si noe direkte om rekkevidden av søksmålsadgangen.
Dersom man tolker EU-domstolens avgjørelser på denne måten, foreligger det ikke noen utvidelse av søksmålsadgangen som indirekte kan lede til en utvidelse av klageadgangen. Utenfor rammen av forordningen har medlemsstatene prosessuell autonomi – innenfor de rammer de generelle EØS-rettslige prinsippene om effektivitet og ekvivalens setter. Det beror derfor på alminnelig norsk forvaltningsrett om klageren i den aktuelle saken hadde klagerett.
I Personvernnemndas vedtak i sak 2024-01 ble den delen av klagen fra […] som gjaldt Datatilsynets valg av reaksjon overfor […] AS, avvist. Det ble vist til at dette valget ikke er et enkeltvedtak som kan påklages, og at […] uansett ikke var part i saken.
På bakgrunn av Sivilombudets undersøkelse har Personvernnemnda vurdert om det er grunn til å vurdere spørsmålet om klagerett annerledes.
Personvernnemnda ser at det kan reises spørsmål ved om det var naturlig å avvise klagen under henvisning til at Datatilsynets valg av reaksjon ikke i seg selv utgjør et enkeltvedtak. Det ville antakelig ha vært mer naturlig å oppfatte klagen slik at det var avgjørelsen om å ilegge en irettesettelse, som var gjenstand for klage. Denne avgjørelsen er et enkeltvedtak. De innvendinger som […] hadde mot valget av reaksjon, må i stedet oppfattes som grunnlaget for klagen.
Personvernnemnda holder derimot fast ved at […] ikke hadde klagerett. Hun var som nevnt ikke part, og nemnda kan heller ikke se at hun hadde rettslig klageinteresse. Rettslig klageinteresse kan lettest tenkes å foreligge i tilfeller hvor det foreligger en fortsatt krenkelse av klagerens rettigheter etter forordningen, og hvor valget av reaksjon kan få betydning for hvorvidt – og i tilfelle når – den pågående krenkelsen opphører. Dette er ikke situasjonen her. Rettslig klageinteresse kan videre tenkes å foreligge i tilfeller hvor Datatilsynet har unnlatt å ilegge en reaksjon som kunne ha redusert virkningene av den krenkelsen klageren er utsatt for. Heller ikke dette er situasjonen her. Valget mellom irettesettelse eller overtredelsesgebyr har dermed ingen påviselige faktiske virkninger for […] – ut over den interesse som eventuelt ligger i et ønske at Datatilsynet burde ha reagert strengere. Hun har imidlertid ikke noe rettskrav på at arbeidsgiveren skal ilegges overtredelsesgebyr der vilkårene for det er oppfylt, jf. EU-domstolens dom 26. september 2024 i sak C-768/21 (Land Hessen) avsnitt 41. Hennes interesse er da ikke av en slik art og styrke at den kan oppveie arbeidsgiverens interesse i å kunne innrette seg etter vedtaket.
Personvernnemnda er for øvrig ikke kjent med praksis i tilknytning til tvisteloven § 1-3 som tilsier en annen konklusjon i den foreliggende sak. Praksis peker snarere i motsatt retning. I HR-2016-935-U la Høyesteretts ankeutvalg til grunn at en samboer ikke har rettslig interesse i å reise søksmål om gyldigheten av et utvisningsvedtak. I HR-2017-1130-A kom Høyesterett i avdeling til at heller ikke en ektefelle eller parets fire barn hadde tilstrekkelig tilknytning til å angripe et slikt vedtak. I begge tilfeller hadde vedtakene langt sterkere faktiske virkninger for de som ønsket å reise søksmål, enn Datatilsynets vedtak overfor […] AS har for […]. Et annet eksempel gir Rt-1986-1173, hvor en vordende far ikke fikk fremme begjæring om midlertidig forføyning for å hindre en mulig abort.
Personvernnemndas konklusjon er etter dette at […] ikke hadde klagerett – heller ikke når det tas hensyn til forordningen artikkel 78 nr. 1 sammenholdt med de to nevnte avgjørelsene fra EU-domstolen.
Spørsmål 2
Spørsmål 2 lyder slik:
«Hvis nei på spørsmål 1, mener i så fall Personvernnemnda at den registrerte må gå til domstolene for å få full rettslig prøving av om Datatilsynet har behandlet vedkommendes klagesak på en måte som er «appropriate, necessary and proportionate», jf. EU-domstolens avgjørelser C-26-22 og C-64/22 (SCHUFA) avsnitt 69 og C-768-21 (Land Hessen) avsnitt 49?
Hvis ja på spørsmål 2, betyr det at Personvernnemnda legger til grunn at søksmålsadgangen for den registrerte etter GDPR artikkel 78 nr. 1 er videre enn adgangen til administrativ klage over Datatilsynets vedtak?»
Etter Personvernnemndas syn vil svaret på dette spørsmålet bero på omstendighetene.
Dersom Datatilsynets vedtak har klare faktiske virkninger for klageren, vil klageren kunne ha rettslig klageinteresse. I så fall vil vedkommende ha klagerett, jf. forvaltningsloven § 28. Det vil som nevnt rett ovenfor kunne være situasjonen hvor det foreligger en fortsatt krenkelse av klagerens rettigheter, og hvor valget av reaksjon kan få betydning for hvorvidt – og i tilfelle når – krenkelsen opphører. I slike tilfeller vil det ikke være nødvendig å gå til domstolene.
Dersom vedtaket ikke har slike virkninger, vil det ikke foreligge rettslig klageinteresse. I slike tilfeller er det bare parten – som i disse tilfellene vil være den reaksjonen retter seg mot – som kan kreve en ny prøving av spørsmålet om reaksjonsileggelsen er «appropriate, necessary and proportionate». Den som i sin tid klagde saken inn for Datatilsynet, har verken klagerett eller søksmålsadgang i tilfeller hvor vedtaket ikke har noen faktiske virkninger for vedkommende. Vedkommende må i så fall nøye seg med å begjære omgjøring etter forvaltningsloven § 35. Dette gir klageren en mulighet til å argumentere for at vedtaket bør endres, samtidig som det i utgangspunktet vil være opp til forvaltningens skjønn å avgjøre om vedtaket skal omgjøres, jf. Ot.prp. nr. 3 (1976–77) s. 98. Alternativt vil saken kunne bringes inn for Sivilombudet.
Når det gjelder Sivilombudets underspørsmål (spørsmål 2a), nøyer Personvernnemnda seg med å bemerke at den for sin del antar at klageretten i utgangspunktet svarer til søksmålsadgangen, jf. HR-2017-1130-A avsnitt 37. I samme avgjørelse fremheves det imidlertid også at det kan være «visse nyanser» mellom disse regelsettene (avsnitt 37), og at disse nyansene innebærer at «vilkårene for rettslig klageinteresse etter forvaltningsloven § 28 og selvstendig søksmålsinteresse etter tvisteloven § 1-3 ikke nødvendigvis er sammenfallende» (avsnitt 57). Det vil derfor bero på en konkret vurdering om det foreligger klagerett eller ikke.
Med vennlig hilsen
Marius Stub
leder av Personvernnemnda