PVN-2024-25 Klage på Datatilsynets pålegg om innsyn i Facebook-gruppe

Saken gjelder klage fra A på Datatilsynets vedtak 3. mai 2024, der han ble pålagt å gi B innsyn i innlegg som er postet i Facebook-gruppen «Advokater som ikke anbefales».

1. Sakens bakgrunn

B kontaktet Datatilsynet 14. august 2023 og opplyste at A, som er administrator av Facebook-gruppen «Advokater som ikke anbefales», nektet B innsyn i personopplysninger som er publisert der. B viste til e-post fra A 9. august 2023, der A opplyste at det ikke fantes opplysninger om B i gruppen. B la også ved en skjermdump fra Facebook-gruppen, hvor det fremgår i et innlegg datert […] at B «er siktet for […]». I samme innlegg var det en lenke til et oppslag i […] med tittelen «Advokat [Bs] bevilling […]». Det fremgår av skjermdumpen at B også omtales i kommentarfeltet under innlegget.

På bakgrunn av henvendelsene fra B og en annen person skrev Datatilsynet 20. desember 2023 et brev til A med overskriften «Påpekning av plikt – Rett til innsyn». Datatilsynet veiledet i brevet om hvem som er behandlingsansvarlig for behandling av personopplysninger, om kravet til rettslig grunnlag, om plikten til å legge til rette for at de registrerte kan utøve sine rettigheter, og om de registrertes rett til innsyn i personopplysninger og krav på informasjon. Datatilsynet veiledet også om unntaket fra personopplysningsloven og personvernforordningen og for behandling av personopplysninger for journalistiske formål, og avsluttet deretter saken. B fikk kopi av brevet og ble bedt om å ta kontakt med Datatilsynet om saken ikke løste seg.

B var i kontakt med A 3. januar 2024 og ble innvilget innsyn 4. januar 2024 fra kl. 15.00 til kl. 16.00, men fikk ikke benyttet tilgangen som følge av sykdom. Etter dette ville ikke A gi B ny tilgang med mindre han fremla legeerklæring på sykdom i det aktuelle tidspunktet.

B kontaktet Datatilsynet på ny 23. januar og 19. februar 2024 og opplyste at han fremdeles ikke fikk innsyn i Facebook-gruppen, og oversendte følgende melding han hadde mottatt fra administrator 19. februar 2024:

«Tilbakemelding

Other

Du hadde som kjent muligheten til medlemskap en kort tid, men den benyttet du deg ikke av. Advokater lyver generelt svært meget så dette med sygdom tror vi ikke å, denne gang. Vi må ha bevis for sygdommen var reel slik at vi kan åpne for deg, en kort»

Datatilsynet varslet A 11. mars 2024 om at tilsynet vurderte å pålegge ham å etterkomme Bs anmodning om rett til innsyn, eller alternativt å grunngi et eventuelt avslag.

B opplyste i telefonsamtale med Datatilsynet 25. april 2024 at han fremdeles ikke hadde fått innsyn.

Datatilsynet fattet vedtak med pålegg til A 3. mai 2024 i samsvar med det utsendte forhåndsvarselet. Vedtaket har slik slutning:

«[A] pålegges å imøtekomme den registrertes anmodning om rett til innsyn etter personvernforordningen artikkel 15, alternativt grunngi eventuelt avslag, jf. artikkel 12 nr. 4 og personopplysningsloven § 16 (3).»

I vedtaket ble det opplyst at fristen for å gjennomføre pålegget var to uker etter klagefristens utløp, med mindre A påklaget vedtaket innen klagefristen på tre uker.

Datatilsynet mottok rettidig klage på vedtaket fra A 28. mai 2024.

Datatilsynet behandlet klagen og opprettholdt sin avgjørelse. Saken ble oversendt til Personvernnemnda ved brev 5. august 2024. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Både B og A har gitt kommentarer i e-post til nemnda 26. september 2024.

Saken ble behandlet i nemndas møte 28. april 2025. Personvernnemnda hadde følgende sammensetning: Marius Stub (leder), Cecilie Tandberg Hallan, Morten Goodwin, Malin Tønseth, Malgorzata Agnieszka Cyndecka, Heri Ramampiaro og Bjørn Aslak Juliussen. Utredningsleder Anette Klem Funderud var også til stede.

 2.  As syn på saken i korte trekk

A gjør gjeldende at B er gitt mulighet til å få innsyn i Facebook-gruppen, men han benyttet seg ikke av denne adgangen, angivelig på grunn av sykdom. Gruppen har bedt om å få fremlagt en legeattest for å få dette bekreftet, men B motsetter seg det. A har opplysninger som tilsier at B var på ferie i det aktuelle tidsrommet.

A opplyser at det ikke står ett eneste ord om B i Facebook-gruppen, bare det som er delt fra øvrig presse. Det står derimot en del om […] som også har mistet advokatbevillingen.

A gjør gjeldende at advokatstanden er en tvilsom yrkesgruppe med svært varierende kvalitet. Facebook-gruppen gir medlemmene et bedre grunnlag for å velge advokat. Ytringene som fremsettes der, er vernet av ytringsfriheten. At gruppen allerede har 5 000 medlemmer og vokser, viser at det er behov for gruppen.

I gruppens statutter fremgår det at det enkelte medlem selv er ansvarlig for innlegg om advokater som postes i gruppen.

Som administrator er A forpliktet til å ivareta personvernet til medlemmene. Ved å gi innsyn, vil personvernet til medlemmene krenkes. Det er ikke akseptabelt.

3.  Personvernnemndas vurdering

3.1 Innledning

Saken gjelder Datatilsynets vedtak 3. mai 2024 om å pålegge A å gi innsyn i personopplysninger i en lukket Facebook-gruppe.

Etter personvernforordningen artikkel 15 nr. 1 har den som det behandles opplysninger om, rett til innsyn i personopplysninger som behandles om seg. Retten til innsyn gir både krav på å få bekreftelse på om personopplysninger om vedkommende behandles, og eventuelt innsyn i personopplysningene. I tillegg vil den registrerte ha krav på å få informasjon om blant annet formålene med behandlingen (bokstav a), hvem opplysningene er blitt eller vil bli utlevert til (bokstav c), retten til å be om retting eller sletting eller begrensning av behandlingen og til å protestere mot den (bokstav e), og retten til å klage til en tilsynsmyndighet (bokstav f).

I utgangspunktet har B krav på innsyn og informasjon etter artikkel 15. Spørsmålet er om Facebook-gruppen omfattes av unntaket for personlige- eller familiemessige aktiviteter (punkt 3.2), og om pålegget om å gi innsyn er i strid med ytringsfriheten (punkt 3.3).

 3.2 Unntak for personlige eller familiemessige aktiviteter?

Facebook-gruppen er lukket i den forstand at bare gruppens administrator kan gi andre tilgang ved å godkjenne medlemsforespørsler. Det kan reises spørsmål ved om dette innebærer at gruppen faller utenfor personopplysningslovens og personvernforordningens virkeområde.

Personopplysingsloven § 2 annet ledd bokstav a slår fast at loven og personvernforordningen ikke gjelder ved behandling av personopplysninger som en fysisk person utfører i forbindelse med «rent personlige eller familiemessige aktiviteter». Det samme fremgår av forordningen artikkel 2 nr. 2 bokstav c.

I forordningens fortalepunkt 18 uttales det blant annet:

«Denne forordning får ikke anvendelse på behandling av personopplysninger som en fysisk person utfører i forbindelse med rent personlige eller familiemessige aktiviteter, og som derfor ikke er knyttet til en yrkes- eller forretningsvirksomhet. Personlige eller familiemessige aktiviteter kan omfatte korrespondanse og føring av adresselister eller aktiviteter på sosiale nettverk samt aktiviteter på internett i forbindelse med slike aktiviteter […].»

Fortalen er ikke rettslig bindende, men den kan likevel gi bidrag til tolkingen av den bindende delen av rettsakten, jf. Torje Sunde, Jon Lunde og Ida Sørebø, EØS-lovgivningen. Fra EU-rett til EØS-rett og norsk rett, Universitetsforlaget, 2023 side 174.

EU-domstolen har i dom 11. desember 2014 i sak C-212/13 (František Ryneš) avsnitt 28 og 29 fastslått at unntaket for «rent personlige eller familiemessige aktiviteter» skal tolkes strengt. I HR-2021-966-A avsnitt 33 til 35 slutter Høyesterett seg til dette. Selv om dommen fra EU-domstolen direkte gjelder EUs personverndirektiv artikkel 3 nr. 2 (direktiv 95/46/EF), legger nemnda til grunn at dommen også er relevant for tolkingen av personvernforordningen. Dette har sammenheng med at unntaket i forordningen artikkel 2 nr. 2 bokstav c er en videreføring av direktivet artikkel 3 nr. 2.

Nemnda finner det klart at Facebook-gruppen ikke omfattes unntaksbestemmelsen for «rent personlige eller familiemessige aktiviteter», jf. personopplysingsloven § 2 annet ledd bokstav a og forordningen artikkel 2 nr. 2 bokstav c. Det er forutsatt i forarbeidene at unntaket ikke omfatter det å legge ut personopplysninger på Internett, jf. Prop. 158 L (2020-2021) punkt 4.1.1 (s. 34):

«Offentliggjøring av personopplysninger på internett slik at opplysningene blir tilgjengelig for et ubestemt antall personer, dekkes ikke av unntaket for rent personlige eller familiemessige aktiviteter, jf. EU-domstolens avgjørelse i Lindqvist, C-101/01, avsnitt 47 om det tilsvarende unntaket i 95-direktivet:

‘Denne undtagelse skal derfor fortolkes således, at den udelukkende vedrører de aktiviteter, der indgår i den enkelte borgers privatliv eller familieliv, hvilket åbenbart ikke er tilfældet med hensyn til behandling af personoplysninger, som består i, at de offentliggøres på internettet, hvorved disse oplysninger bliver tilgængelige for et ubestemt antal personer.’»

Rett nok er det tale om en lukket Facebook-gruppe, men A har opplyst at den har om lag 5 000 medlemmer og at medlemstallet er økende. Det er ingen begrensninger i adgangen til å videreformidle innlegg som legges ut der eller å fortelle andre om det man har lest. Det må derfor legges til grunn at personopplysninger som postes i denne gruppen, praktisk sett er tilgjengelige for et ubegrenset antall personer. Et tilsvarende synspunkt er lagt til grunn i HR-2020-174-A avsnitt 21, hvor det uten videre ble lagt til grunn en ytring som var fremsatt i en lukket Facebook-gruppe med 20 000 medlemmer, var fremsatt «offentlig», jf. straffeloven § 10.

Nemnda legger etter dette til grunn at både personopplysningsloven og personvernforordningen i utgangspunktet får anvendelse for behandlingen av personopplysninger i Facebook-gruppen «Advokater som ikke anbefales».

3.3 Unntak av hensyn til ytringsfriheten?

A har i e-post 26. september 2024 vist til ytringsfriheten. Nemnda antar at han med dette gjør gjeldende at ytringsfriheten er til hinder for å pålegge ham å gi innsyn i tråd med personvernforordningen artikkel 15.

Retten til ytringsfrihet er bl.a. er vernet i Grunnloven § 100 og EMK artikkel 10. Selv om ytringsfriheten verner både retten til å opprette Facebook-gruppen og de ytringene som fremsettes der, utgjør ikke innsynsretten etter artikkel 15 noen begrensning av denne retten.  Det kan heller ikke antas at retten til innsyn vil avholde gruppens medlemmer fra å ytre seg, eller at den vil ha en så stor nedkjølende effekt at det er tale om noe inngrep i ytringsfriheten. Rett nok kan det tenkes at omfanget av eventuell sjikane vil bli redusert, men sjikanøse ytringer har uansett et nokså beskjedent vern, jf. f.eks. HR-2020-185-A avsnitt 19. Nemnda har derfor kommet til at ytringsfriheten ikke er til hinder for å pålegge ham å gi innsyn i tråd med personvernforordningen artikkel 15.

3.4 Oppsummering

Det følger av drøftelsen i punktene 3.2 og 3.3 at behandlingen av personopplysninger i Facebook-gruppen omfattes av personopplysningsloven og personvernforordningens regler. Spørsmålet blir da om A har plikt å gi B innsyn i sine personopplysninger, jf. personvernforordningen artikkel 15.

Nemnda er enig med Datatilsynet i at A er behandlingsansvarlig for behandlingen av personopplysninger i kraft av å være gruppens administrator, jf. bl.a. EU-domstolens dom 5. juni 2018 i sak C-210/16 (Fanpage) avsnitt 44.

Nemnda legger videre til grunn at de fremlagte skjermdumpene sannsynliggjør at det er lagt ut personopplysninger om B på Facebook-gruppen. Rett nok har A bestridt dette, også overfor nemnda, men han har ikke villet gi nemnda tilgang til gruppen, slik at dette kunne ha vært undersøkt nærmere. A har heller ikke fremlagt bevis som sår tvil om hvor skjermdumpene stammer fra. Slik saken er opplyst for nemnda, er det mer sannsynlig at det er lagt ut personopplysninger om B på Facebook-gruppen, enn at det ikke er det.

På denne bakgrunn er nemnda enig med Datatilsynet i at A har plikt til å gi B innsyn i egne personopplysninger i medhold av artikkel 15. B har derimot ikke krav på innsyn i personopplysninger om andre personer. Verken personopplysningsloven eller personvernforordningen gir rett til å få informasjon om hvilke personer som kan knyttes til innleggene på Facebook-gruppen, jf. PVN-2021-06.

På bakgrunn av det som har kommet frem under saken, finner nemnda grunn til å understreke at den behandlingsansvarlige ikke har anledning til å begrense den innsynsretten som følger av forordningen. Det er derfor ikke adgang til å oppstille snevre tidsmessige rammer for når innsyn gis, eller å kreve legeattest dersom en slik tidsbegrensning ikke overholdes.

Datatilsynets pålegg om innsyn stadfestes.

* * *

Vedtaket er enstemmig.

3.5 Konklusjon

Klagen tas ikke til følge.

Oslo, 28. april 2025

Marius Stub

leder