PVN-2025-16 Klage på Datatilsynets avslutning av sak om Sivilombudets utlevering av personopplysninger til UNE

Saken gjelder klage fra A på Datatilsynets vedtak 23. januar 2025 om avslutning av sak. Datatilsynet kom til at Sivilombudet – som ledd i behandlingen av en sak A hadde bragt inn for ombudet – hadde rettslig grunnlag for å utlevere hans personopplysninger til Utlendingsnemnda (UNE), jf. personvernforordningen artikkel 6 nr. 1 bokstav c.

1. Sakens bakgrunn

Den 16. desember 2023 avslo Utlendingsdirektoratet (UDI) As søknad om midlertidig oppholdstillatelse som student i Norge.

A klaget til Sivilombudet på UDIs saksbehandlingstid, som i brev til A 14. august 2024 opplyste at Sivilombudet ikke kan fremskynde saksbehandlingen i forvaltningen dersom forsinkelsen skyldes arbeidssituasjonen og håndteringen av saker er basert på en forsvarlig prioritering. Sivilombudet avsluttet deretter saken, og sendte samme dag en kopi av brevet til UDI. Sivilombudet videresendte brevet til As adresse i utlandet 9. september 2024.

UDIs avslag ble påklaget til UNE. I UNEs vedtak 16. september 2024 ble avslaget stadfestet.

Den 6. november 2024 brakte A saken inn for Sivilombudet, og anførte at UNEs avslag var uriktig og at saksbehandlingstiden også der hadde vært for lang. Sivilombudet tok deretter kontakt med UNE for å undersøke saken nærmere.

Sivilombudet opplyste i brev til A 21. november 2024 at undersøkelsene så langt hadde vist at det ikke var noe å utsette på UNEs behandling av hans sak, og at ytterligere undersøkelser av saken ikke ville føre til et annet resultat. Sivilombudet avsluttet deretter saken og informerte UNE om avgjørelsen ved å sende en kopi av brevet til A.

A kontaktet Datatilsynet 21., 22. og 25. november 2024 og viste til at Sivilombudet hadde sendt sensitive personopplysninger til UNE uten samtykke.

På Datatilsynets anmodning kontaktet A Sivilombudets personvernombud, som svarte på henvendelsen i brev 26. november 2024. Personvernombudet mente at videresendingen av svarbrevet som ble sendt til A, ikke utgjorde et brudd på hans rettigheter. Det ble vist til at brevet ikke inneholdt informasjon om A som UNE ikke allerede hadde tilgang til som en del av sin behandling av saken, bortsett fra det forhold at han hadde klaget til Sivilombudet. Sivilombudet presiserte at det er en forutsetning for ombudets behandling av en klagesak at det aktuelle forvaltningsorganet kan kontaktes.

I Datatilsynets vedtak 23. januar 2025 la tilsynet til grunn at Sivilombudet hadde

rettslig grunnlag for utlevering av As personopplysninger til UNE, jf. personvernforordningen artikkel 6 nr. 1 bokstav c sammenholdt med forvaltningsloven §§ 18 og 27. Datatilsynet avsluttet deretter saken.

Datatilsynet mottok rettidig klage på vedtaket fra A 23. januar 2025.

Datatilsynet behandlet klagen og opprettholdt sin avgjørelse. Saken ble oversendt til Personvernnemnda ved brev 7. februar 2025. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A ga sine kommentarer i e-post 8. mars og 2. april 2025. Sivilombudet innga merknader 1. april 2025.

Saken ble behandlet i nemndas møte 28. april 2025. Personvernnemnda hadde følgende sammensetning: Marius Stub (leder), Cecilie Tandberg Hallan, Morten Goodwin, Malin Tønseth, Malgorzata Agnieszka Cyndecka, Heri Ramampiaro og Bjørn Aslak Juliussen. Utredningsleder Anette Klem Funderud var også til stede.

 2.  As syn på saken i korte trekk

A gjør gjeldende at Sivilombudets deling av hans sensitive personopplysninger med UNE er ulovlig.

Selv om personvernforordningen artikkel 6 nr. 1 bokstav c tillater behandling for å overholde en juridisk forpliktelse, gir ikke av forvaltningsloven §§ 18 og 27 adgang til å dele sensitive personopplysninger med andre uten forhåndsvarsel. Sivilombudets virksomhet reguleres for øvrig heller ikke av forvaltningsloven.

Det er i strid med personvernforordningen at opplysningene ble delt uten at han ble informert på forhånd. Personvernforordningen artikkel 12 til 14 pålegger den behandlingsansvarlige å sikre åpenhet ved behandling av personopplysninger.

Han ble ikke informert om at hans personopplysninger ville bli delt eller hvordan de ville bli brukt i forbindelse med hans klage. Mangelen på åpenhet bryter med personvernforordningen og undergraver hans evne til å beskytte sine rettigheter. Delingen av personopplysningene har fått stor betydning for behandlingen av hans sak.

Sivilombudets svar ble gitt på norsk, til tross for at den tidligere kommunikasjonen var på engelsk. Dette hindrer hans evne til å svare effektivt. Personvernforordningen artikkel 12 stiller krav om klar og tydelig kommunikasjon. Kravet om forståelighet er ikke oppfylt når Sivilombudets svar er skrevet på et språk som han ikke forstår.

A ber om en offisiell engelsk oversettelse av Sivilombudets brev. Han ber videre om en grundig gjennomgang av om Sivilombudets deling av hans personopplysninger oppfyller nødvendighets- og proporsjonalitetstestene som fremgår av personvernforordningen. Personvernnemnda oppfordres endelig til å vurdere om den ulovlige delingen bidro til gjengjeldelse fra UNE og om dette krenker hans rettigheter under personvernforordningen og norsk rett.

3.  Sivilombudets syn på saken i korte trekk

Sivilombudet slutter seg til Datatilsynets vurdering av om Sivilombudet hadde grunnlag for utleveringen etter personvernforordningen artikkel 6 nr. 1 bokstav c.

Etter sivilombudsloven § 1 skal Sivilombudet føre kontroll med offentlig forvaltning og alle i dens tjeneste for å hindre at det øves urett mot den enkelte. Sivilombudet kan videre behandle personopplysninger når det er nødvendig for å utføre oppgaver etter sivilombudsloven, jf. sivilombudsloven § 27.

Forvaltningsloven gjelder ikke for Sivilombudet, jf. forvaltningsloven § 4 fjerde ledd.

4.  Personvernnemndas vurdering

4.1. Har Datatilsynet og Personvernnemnda kompetanse til å føre tilsyn med Sivilombudets virksomhet?

Sivilombudet er et organ for Stortinget og skal føre kontroll med forvaltningen. Det er gitt egne regler for Sivilombudets saksbehandling i sivilombudsloven. Det er imidlertid på det rene at også personvernforordningen gjelder for Sivilombudet. I utgangspunktet innebærer dette at Datatilsynet har adgang til å føre tilsyn med Sivilombudets etterlevelse av reglene i personvernforordningen, jf. personopplysningsloven § 20.

Det følger av sivilombudsloven § 6 første og annet ledd at Sivilombudet er uavhengig av forvaltningen, og at forvaltningen ikke kan utøve myndighet overfor ombudet «som kan påvirke den uavhengige og upartiske utøvelsen av ombudsvervet». Det er imidlertid klart forutsatt i lovens forarbeider at bestemmelsen ikke er til hinder for at det føres kontroll med etterlevelsen av personvernforordningen. I Dokument 21 (2020–2021) s. 109 uttrykkes dette slik av utvalget som utredet Stortingets kontrollfunksjon:

«Innenfor personvernforordningens virkeområde gir ikke forordningen selv grunnlag for å gjøre generelt unntak fra tilsynsfunksjonen og tilsynskompetansen som tilligger Datatilsynet. I den utstrekning personvernforordningen selv fastsetter det, må derfor Datatilsynet ha formell tilsynskompetanse overfor ombudet.»

Stortingets kontroll- og konstitusjonskomité fulgte opp utvalgets arbeid og uttalte blant annet følgende om Datatilsynets kompetanse og personvernforordningens virkeområde i Innst. 409 L (2020–2021) s. 27:

«Forholdet mellom ombudet og Datatilsynet aktualiserer i utgangspunktet de samme generelle problemstillingene som ellers oppstår hvor forvaltningen etter loven kan utøve myndighet overfor ombudet, og hvor alminnelig lovgivning ikke passer for ombudets virksomhet. På grunn av forordning (EU) 2016/679, General Data Protection Regulation («personvernforordningen»), kommer imidlertid spørsmålene her i en annen stilling. Forordningen er del av EØS-retten og er folkerettslig bindende for Norge. Den er også inkorporert i personopplysningsloven, som trådte i kraft 20. juli 2018. Med dette utgjør personvernforordningen en folkerettslig skranke for hvilke tilpasninger som kan gjøres når det gjelder Datatilsynets tilsynskompetanse og virkeområdet for personvernforordningens materielle bestemmelser.

Personvernforordningen åpner ikke selv for generelt å unnta ombudet fra forordningens virkeområde eller fra tilsynsordningen den foreskriver. Den samme rettsoppfatningen synes å ha vært lagt til grunn i både Danmark og Sverige, hvor de parlamentariske ombudsmennene er omfattet av personvernforordningen og den tilhørende tilsynsordningen.

Som hos oss er den danske ombudsmannen underlagt parlamentet. Et lignende standpunkt er inntatt i engelsk rett, hvor det er lovfestet at forordningen gjelder for parlamentet og underliggende virksomhet.

Utgangspunktet er at personvernforordningen gjelder for ombudet.

Dette har betydning for Datatilsynets formelle tilsynskompetanse overfor ombudet og hvilke materielle bestemmelser om personvern som gjelder for ombudet. Det har også betydning for hvilke særlige rettsgrunnlag ombudet må ha for behandling og viderebehandling av personopplysninger.

I ombudsmannens brev til Stortingets presidentskap av 19. juni 2019 foreslår ombudsmannen en lovbestemmelse som generelt unntar ombudet fra Datatilsynets tilsyns- og kontrollvirksomhet. Som begrunnelse vises det til de konstitusjonelle og prinsipielle betenkelighetene ved gjensidig kontroll.

Datatilsynets tilsynsmyndighet følger av personopplysningsloven § 20, hvor det blant annet fremgår at Datatilsynet er tilsynsmyndighet etter personvernforordningen artikkel 51. Personvernforordningen angir virkeområdet for tilsynet, samt sentrale deler av Datatilsynets tilsynskompetanse.

Innenfor personvernforordningens virkeområde gir ikke forordningen selv grunnlag for å gjøre generelt unntak fra tilsynsfunksjonen og tilsynskompetansen som tilligger Datatilsynet. I den utstrekning personvernforordningen selv fastsetter det, må derfor Datatilsynet ha formell tilsynskompetanse overfor ombudet.»

Nemnda legger etter dette til grunn at personopplysningsloven § 20 gir Datatilsynet adgang til å føre tilsyn med Sivilombudets etterlevelse av reglene i personvernforordningen. Klager over Datatilsynets vedtak behandles på vanlig måte av nemnda, jf. personopplysningsloven § 22.

 4.2 Behandlingsgrunnlag?

Sivilombudets deling av As personopplysninger med UNE utgjør behandling av personopplysninger, jf. artikkel 4 nr. 1 og 2. Dette innebærer at behandlingen bare er lovlig dersom det foreligger et behandlingsgrunnlag etter personvernfordringen artikkel 6 nr. 1.

Det aktuelle behandlingsgrunnlaget i denne saken er artikkel 6 nr. 1 bokstav c, som gir adgang til behandling der det er «nødvendig for å oppfylle en rettslig forpliktelse». Etter artikkel 6 nr. 3 må forpliktelsen være fastsatt i unionsretten (bokstav a) eller i nasjonal rett (bokstav b). I tillegg må formålet med behandlingen være fastsatt i det rettslige grunnlaget.

Sivilombudets adgang til å behandle personopplysninger er fastsatt i sivilombudsloven § 27, som lyder slik:

Ǥ 27. Behandling av personopplysninger

Sivilombudet kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utføre oppgaver etter loven her.

Krav på kopi av personopplysninger i saksdokumenter som er utarbeidet eller innhentet under forvaltningens opprinnelige behandling av en sak, jf. personvernforordningen artikkel 15 nr. 3, rettes mot vedkommende forvaltningsorgan.»

Bestemmelsens første ledd gir Sivilombudet adgang til å behandle personopplysninger «når dette er nødvendig for å utføre oppgaver etter loven her». Behandlingsadgangen gjelder for øvrig også særlige kategorier av personopplysninger etter artikkel 9.

Sivilombudets mandat er å «føre kontroll med den offentlige forvaltningen og alle i dens tjeneste for å hindre at det øves urett mot den enkelte, og for å bidra til at forvaltningen respekterer og sikrer menneskerettighetene», jf. sivilombudsloven § 1.

Da Sivilombudet mottok klagen fra A på UNEs behandling av hans sak, kontaktet ombudet UNE for å undersøke om A hadde sendt inn anmodning om omgjøring. Dette hadde sammenheng med sivilombudsloven § 8 første ledd, som fastsetter at Sivilombudet først behandler en klage etter at klageren ha brukt alle mulighetene for å klage. Sivilombudets kontakt med UNE var nødvendig for å avklare dette.

Videre følger det av sivilombudsloven § 13 at Sivilombudet skal underrette klageren eller dem saken angår, om resultatet av sin behandling av saken. A ble underrettet i brev 21. november 2024. Det fremgår uttrykkelig av brevet at Sivilombudet ville «inform [UNE] of the outcome of our investigation into your case, by sending them a copy of this letter». Sivilombudet sendte deretter en kopi av brevet til UNE, slik ombudet har plikt til å gjøre.

Etter nemndas vurdering var Sivilombudets behandling av As personopplysninger «nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige», jf. artikkel 6 nr. 1 bokstav c. Behandlingen har supplerende rettsgrunnlag i sivilombudsloven § 27 første ledd. Nemnda finner det klart at delingen var nødvendig for å oppfylle plikten til å gi underretning etter sivilombudsloven § 13, og at den står «i rimelig forhold til det berettigede målet som søkes oppnådd», jf. artikkel 6 nr. 3 annet ledd siste punktum. Det aktuelle brevet inneholdt ingen opplysninger som ikke UNE var kjent med fra før – ut over at saken var brakt inn for Sivilombudet. Når As inngir en klage til Sivilombudet, må han også være forberedt på at Sivilombudet vil ta kontakt med vedkommende forvaltningsorgan for å undersøke saken nærmere.

Denne delen av klagen tas ikke til følge.ke anbefales».

4.3 Brudd på varslingsplikten?

A har vist til Sivilombudet utleverte personopplysninger til UNE uten at han ble informert på forhånd. Han mener det er i strid med personvernforordningen artikkel 12 til 14. 

Den behandlingsansvarlige har plikt til å sikre at behandlingen av personopplysninger skjer på en lovlig, rettferdig og åpen måte, jf. personvernforordningen artikkel 5, slik at blant annet de registrertes rettigheter fastsatt i personvernforordningen kapittel III varetas.

Nemnda legger til grunn at de personopplysningene som ble oversendt til UNE, er samlet inn fra den registrerte selv. Når personopplysninger samles inn fra den registrerte, pålegger blant annet personvernforordningen artikkel 13 nr. 1 bokstav e den behandlingsansvarlige å gi den registrerte på tidspunktet for innsamlingen informasjon om:

«e) eventuelle mottakere eller kategorier av mottakere av personopplysningene»

Forordningens fortalepunkt 62 begrenser den behandlingsansvarliges informasjonsplikt slik:

«Det er imidlertid ikke nødvendig å pålegge en plikt til å informere dersom den registrerte allerede har informasjonen, dersom registrering eller utlevering av personopplysninger er uttrykkelig fastsatt ved lov, eller dersom det viser seg å være umulig eller vil kreve en uforholdsmessig stor innsats å informere den registrerte […].»

Selv om fortalepunktene ikke er rettslig bindende, gir de bidrag til tolkingen av den bindende delen av forordningen, jf. Torje Sunde, Jon Lunde og Ida Sørebø, EØS-lovgivningen. Fra EU-rett til EØS-rett og norsk rett, Universitetsforlaget, 2023 side 174.

Nemnda legger til grunn at sivilombudsloven § 13 pålegger Sivilombudet en uttrykkelig plikt til å underrette «dem saken angår» om resultatet av behandlingen av saken. Dette gjelder også UNE. At Sivilombudet ikke informerte A på forhånd, utgjør dermed ikke et brudd på personvernforordningen.

Denne delen av klagen tas ikke til følge.

4.4 Brudd på retten til klar og tydelig informasjon?

A mener at Sivilombudet ikke oppfyller kravet til klar og tydelig kommunikasjon i artikkel 12, siden deler av korrespondansen i saken er på norsk.

Artikkel 12 nr. 1 lyder slik:

«Den behandlingsansvarlige skal treffe egnede tiltak for å framlegge for den registrerte informasjonen nevnt i artikkel 13 og 14 og all kommunikasjon i henhold til artikkel 15-22 og 34 om behandlingen på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk, især når det gjelder informasjon som spesifikt er rettet mot et barn. Informasjonen skal gis skriftlig eller på en annen måte, herunder elektronisk dersom det er hensiktsmessig. På anmodning fra den registrerte kan informasjonen gis muntlig, forutsatt at den registrertes identitet bevises på andre måter.»

Sivilombudets brev til nemnda 1. april 2025 er skrevet på norsk. A fikk tilsendt kopi av brevet. Brevet er adressert til nemnda, og forvaltningsspråket i Norge er norsk. Nemnda kan ikke se at dette brevet utgjør et brudd på artikkel 12.

Sivilombudets brev til A 14. august, 9. september og 21. november 2024 er skrevet på engelsk. Det gjelder også brevet fra Sivilombudets personvernombud 26. november 2024. Den informasjonen som Sivilombudet ellers plikter å gi i henhold til forordningen kapittel III, er inntatt i Sivilombudets personvernerklæring. Erklæringen er tilgjengelig både på norsk og engelsk på Sivilombudets nettsider. Det er også gitt opplysninger om hvordan man kan klage en sak inn for Sivilombudet, om klagebehandlingen og om behandlingen av personopplysninger under en klagesak. I tillegg er det gitt svar på en del spørsmål som ofte stilles. Samlet sett er nemnda ikke i tvil om at disse opplysningene oppfyller alle de krav som stilles i artikkel 12.

Denne delen av klagen tas ikke til følge.

* * *

Vedtaket er enstemmig.

4.5 Konklusjon

Klagen tas ikke til følge.

Oslo, 28. april 2025

Marius Stub

leder