Vi viser til Sivilombudets brev 13. mars 2025, der Personvernnemnda blir bedt om å gjøre rede for sitt syn på hvorvidt Forbrukerrådet har adgang til å representere enkeltpersoner i saker for Datatilsynet og Personvernnemnda.
Henvendelsen har sammenheng med Personvernnemndas avgjørelse i sak PVN-2022-22, hvor det ble lagt til grunn at personvernforordningen artikkel 80 nr. 1 ikke gir rett til det.
I det følgende vil Personvernnemnda besvare de spørsmål som reises i brevet. Saksforholdet i den aktuelle saken er uten betydning for de spørsmål som er reist, og gjennomgås derfor ikke her.
Spørsmål 1
Spørsmål 1 lyder slik:
«Personvernnemnda synes i PVN-2022-22 å legge avgjørende vekt på at Forbrukerrådet er et forvaltningsorgan, og dermed ikke faller inn under den type organisasjoner som etter nemndas vurdering kan representere klagere, jf. det første kriteriet i GDPR artikkel 80 (1). Mener Personvernnemnda at vilkåret ‘ideell organisasjon’ – eller ‘not-for-profit body’ i den engelske versjonen av vilkåret – må tolkes slik at den utelukker rettssubjekter som er statlige, slik som Forbrukerrådet?»
I personvernforordningen artikkel 80 nr. 1 er det gitt regler om hvem som kan representere den registrerte overfor nasjonale tilsynsmyndigheter. I den danske språkversjonen lyder bestemmelsen slik:
«Artikel 80 Repræsentation af registrerede
1. Den registrerede har ret til at bemyndige et organ, en organisation eller en sammenslutning, der er etableret i overensstemmelse med en medlemsstats nationale ret, som ikke arbejder med gevinst for øje, hvis vedtægtsmæssige formål er af almen interesse, og som er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger, til at indgive en klage på sine vegne, til at udøve de rettigheder, der er omhandlet i artikel 77, 78 og 79, på sine vegne og til, hvis det er fastsat i medlemsstaternes nationale ret, at udøve retten til at modtage erstatning som omhandlet i artikel 82 på sine vegne.»
Bestemmelsen rommer flere vilkår. For å kunne vurdere om Forbrukerrådet oppfyller vilkårene, er det grunn til å gi et riss av Forbrukerrådets organisering og oppgaver.
Forbrukerrådet er et forvaltningsorgan med særskilte fullmakter, og ble opprettet ved kongelig resolusjon 7. juli 1953. Forbrukerrådets organisering og oppgaver før lovendringen i 2020 er beskrevet slik i Prop. 55 L (2019–2020) punkt 3.1.2:
«3.1.2 Forbrukerrådet
Forbrukerrådet er et uavhengig forvaltningsorgan med særskilte fullmakter. Rådet reguleres av vedtekter fastsatt av departementet. Rådet er underlagt bestemmelser som gjelder for forvaltningsorganer og føringer gitt i tildelingsbrev og øvrig styringsdialog, jf. vedtektene § 3. Forbrukerrådet har et eget styre som har det overordnede ansvaret for virksomheten, jf. vedtektene § 5. Rådet ledes av en direktør som ansettes på åremål, med mulighet for gjenoppnevning, jf. vedtektene § 6.
Forbrukerrådet har tre hovedoppgaver, jf. vedtektene § 2:
- drive interessepolitisk arbeid overfor myndigheter, organisasjoner og næringsdrivende
- bistå og dyktiggjøre forbrukere gjennom informasjon, råd og veiledning
- tilby mekling i klagesaker mellom forbrukere og næringsdrivende.»
Gjennom vedtakelsen av lov 23. juni 2020 nr. 98 om behandling av forbrukerklager i Forbrukertilsynet og Forbrukerklageutvalget (forbrukerklageloven) ble Forbrukerrådets rolle som «interesseorganisasjon for forbrukerne» rendyrket, jf. Prop. 55 L (2019–2020) punkt 1. I vedtektene punkt 1 og 2 er Forbrukerrådets formål og oppgaver sammenfattet slik:
«1. Forbrukerrådets formål
Forbrukerrådet skal arbeide for økt forbrukerinnflytelse i samfunnet, bidra til en forbrukervennlig utvikling, og fremme tiltak som kan bedre forbrukernes stilling. I dette ligger at Forbrukerrådet skal være en interessepolitisk pådriver.
2. Hovedoppgaver
Forbrukerrådet skal
- drive interessepolitisk arbeid overfor myndigheter, organisasjoner og næringsdrivende, og sette forbrukerspørsmål på dagsorden i samfunnsdebatten.
- bistå og dyktiggjøre forbrukere gjennom å gi informasjon, råd og veiledning om rettigheter, plikter og andre relevante forbrukerspørsmål.
Forbrukerrådet kan prøve enkelte prinsipielle saker for retten.»
Med dette som bakteppe går nemnda over til å drøfte vilkårene i artikkel 80 nr. 1.
Artikkel 80 nr. 1 krever i den danske språkversjonen for det første at fullmektigen må være «et organ, en organisation eller en sammenslutning». Bestemmelsen avgrenser dermed mot fysiske personer, jf. Döhmann mfl. (red.), General Data Protection Regulation. Article-by-Article Commentary (2023) s. 1032. For øvrig ligger det neppe noen vesentlig avgrensning i de alternativene som nevnes. Det er de øvrige vilkårene som først og fremst avgrenser hvilke juridiske personer som kan opptre som fullmektig. Det må derfor antas at Forbrukerrådet er et «organ» i forordningens forstand. En slik tolkning er best i samsvar med en naturlig språklig forståelse av ordlyden.
I norsk rett er det en fremmed tanke at et forvaltningsorgan skal kunne opptre som fullmektig for en privatperson, jf. forvaltningsloven § 12 annet ledd. I utkastet til ny forvaltningslov § 18 annet ledd foreslås det at forvaltningsorganer ikke kan være fullmektig, og videre at en «som er ansatt i et forvaltningsorgan innenfor forvaltningsområdet som saken hører under, ikke kan være fullmektig», jf. Prop. 79 L (2024–2025) s. 490 jf. s. 411. Nemnda kan imidlertid ikke se at det er grunnlag for å tolke artikkel 80 nr. 1 innskrenkende, slik at forvaltningsorganer faller utenfor bestemmelsen. Det ville i så fall være vanskelig å se hvilken selvstendig betydning alternativet «organ» skulle ha ved siden av de øvrige alternativene i bestemmelsen. Dette har en viss støtte i Döhmann mfl. (red.), General Data Protection Regulation. Article-by-Article Commentary (2023) s. 1032, hvor det antas at “public and private organisations are included”.
I den norske oversettelsen av artikkel 80 nr. 1 er «et organ» oversatt med «et ideelt organ». Dette minner om den engelske språkversjonen, hvor betegnelsen «a not-for-profit body» er brukt. I den svenske språkversjonen heter det derimot bare «ett organ», på samme måte som i den danske. Slik er det også på tysk («eine Einrichtung»), fransk («un organisme»), spansk («una entidad») og nederlansk («een orgaan»). Det ligger imidlertid neppe noen realitetsforskjell i dette, for i disse språkversjonene er et tilsvarende krav plassert andre steder i setningen. I den danske språkversjonen er eksempelvis ett av vilkårene i artikkel 80 at organet, organisasjonen eller sammenslutningen «ikke arbejder med gevinst for øje». Nemnda antar etter dette at ordet «ideelt» i den norske oversettelsen må leses som en henvisning til disse kravene.
Artikkel 80 nr. 1 krever videre (1) at organet «er etableret i overensstemmelse med en medlemsstats nationale ret», (2) at organet «ikke arbejder med gevinst for øje», (3) at organets «vedtægtsmæssige formål er af almen interesse», og (4) at organet «er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger». Det nærmere innholdet av disse fire vilkårene er drøftet i Kuner mfl. (red.), The EU General Data Protection Regulation (GDPR). A Commentary (2020) s. 1147–1148 og i Döhmann mfl. (red.), General Data Protection Regulation. Article-by-Article Commentary (2023) s. 1033.
Forbrukerrådet er opprettet i samsvar med norsk rett. Organet arbeider ikke med gevinst for øye, men tar i stedet sikte på å tjene ideelle formål av allmenn interesse. Som eksempler på hvilke formål bestemmelsen omfatter, nevner Döhmann mfl. (red.), General Data Protection Regulation. Article-by-Article Commentary s. 1033 “the protection of consumers, children or employees”. Å vareta forbrukerinteresser er som nevnt en hovedoppgave for Forbrukerrådet. Nemnda antar videre at Forbrukerrådet – i tråd med prioriteringene i strategidokument for 2021–2025 – arbeider aktivt for å beskytte forbrukernes personverninteresser. Forbrukerrådets engasjement i Grindr-saken (PVN-2022-22) og i Meta-sakene (PVN-2023-31 og PVN-2024-04) er illustrerende eksempler på det. I årsrapporten for 2023 nevnes flere eksempler. I Forbrukerrådets brev til nemnda 29. februar 2024 er dette vilkåret drøftet slik:
«Vi vil for ordens skyld påpeke at det ikke er noen motsetning mellom ‘å veilede forbrukere og påvirke samfunnet i en forbrukervennlig retning’, som er formuleringen fra nettsiden som Personvernnemnda refererer, og å være aktiv på personvernområdet, all den tid retten til personvern er en viktig forbrukerrettighet.
Forbrukerrådet er svært aktiv på området vern av registrertes rettigheter og friheter med hensyn til vern av deres personopplysninger, og har siden 2016 skrevet rapporter som ‘Appfail’, ‘Toyfail’, ‘Deceived by Design’, ‘Out of Control og ‘Time To Ban Surveillance Based Advertising’ der personvern har vært tema. i 2022 mottok Forbrukerrådet den amerikanske digitalrettighetsorganisasjonen EPIC sin ‘International Privacy Champion Award’ for arbeidet.»
Nemnda antar på denne bakgrunn at Forbrukerrådet oppfyller vilkårene i artikkel 80 nr. 1. Bestemmelsen utelukker ikke rettssubjekter som er statlige, såfremt vilkårene er oppfylt.
Spørsmål 2
Spørsmål 2 lyder slik:
«Personvernnemnda legger i PVN-2022-22 til grunn at det også gjelder et krav om at representasjonsadgangen må være nærmere regulert nasjonalt, jf. siste del av GDPR artikkel 80 (1). Vi ber om at Personvernnemnda redegjør nærmere for dette rettslige standpunktet, i lys av vår gjennomgang under de rettslige utgangspunktene.»
Artikkel 80 nr. 1 slår fast at fullmektigen kan gis fullmakt «til at indgive en klage på sine vegne, til at udøve de rettigheder, der er omhandlet i artikel 77, 78 og 79, på sine vegne og til, hvis det er fastsat i medlemsstaternes nationale ret, at udøve retten til at modtage erstatning som omhandlet i artikel 82 på sine vegne».
Den danske språkversjonen peker i retning av at kravet om grunnlag i nasjonal rett bare gjelder «retten til at modtage erstatning». Motsetningsvis tyder dette på at det ikke gjelder noe krav om grunnlag i nasjonal rett når det gjelder retten «til at indgive en klage på sine vegne» og retten «til at udøve de rettigheder, der er omhandlet i artikel 77, 78 og 79».
Et tilsvarende syn er lagt til grunn i juridisk teori, jf. Kuner mfl. (red.), The EU General Data Protection Regulation (GDPR). A Commentary (2020) s. 1148-1149. I Döhmann mfl. (red.), General Data Protection Regulation. Article-by-Article Commentary (2023) s. 1034 antydes det at forskjellen mellom adgangen til å klage og å utøve rettigheter som nevnt i artikkel 77, 78 og 79 på den ene side, og adgangen til å motta erstatning på den annen, har sammenheng med at “the question of damages has always been contentious”.
Nemnda antar på denne bakgrunn at Forbrukerrådet kan gis adgang til å «indgive en klage på sine vegne» og til å «udøve de rettigheder, der er omhandlet i artikel 77, 78 og 79» direkte i medhold av forordningen artikkel 80 nr. 1. Forbrukerrådet kan derimot bare gis adgang til å «modtage erstatning som omhandlet i artikel 82» dersom dette har grunnlag i nasjonal rett.
Med vennlig hilsen
Marius Stub
leder av Personvernnemnda
Kopi:
Forbrukerrådet, Finn.Myrstad@forbrukerradet.no
Datatilsynet, postkasse@datatilsynet.no, Datatilsynets ref. 20/02136