PVN-2014-11 Gjensidige

Personvernnemndas avgjørelse av 16. desember 2014 (Olav Torvund, Nina Melsom, ørnulf Rasmussen, Ann R Sætnan, Gisle Hannemyr, Marta Ebbing)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vedtak om overtredelsesgebyr for Gjensidige Forsikring ASA for å ha hentet inn sensitive personopplysninger, gjennom blant annet skjult observasjon og skjult videopptak av privatperson, uten at det forelå et behandlingsgrunnlag etter personopplysningslovens §§ 8 og 9.

2 Saksgang

Datatilsynet har mottatt en klage på Datatilsynets vedtak fattet 12. mars 2014. Den 26. juni 2013 mottok tilsynet en klage fra en privatperson vedrørende Gjensidige Forsikring ASA (Gjensidige) innhenting av personopplysninger i forbindelse med utredning av hans krav om yrkesskadeerstatning. Tilsynet ble bedt om å vurdere hvorvidt behandlingen falt innenfor personopplysningslovens virkeområde og om lovens krav til behandlingsgrunnlag var oppfylt, jf hhv lovens §§ 3 og 11. Datatilsynet besluttet ikke å ta saken opp til behandling. Dette ble begrunnet i prioriteringshensyn og i hensynet til god forvaltningsskikk overfor Gjensidige, som også er part i tilsynets kontrollsak 13/00328.

Den 29. august 2013 ga tilsynet klager en generell tolkningsuttalelse, uten å ta stilling til de spørsmål som ble reist. De faktiske omstendighetene rundt selskapets utredningsvirksomhet ble ytterligere opplyst i forbindelse med domstolsbehandlingen av erstatningssaken, høsten 2013. Klager anmodet tilsynet derfor på nytt om å ta saken opp til behandling, og tilsynet besluttet å etterkomme anmodningen. Ved vurderingen ble det tatt hensyn til at kontrollsaken mot Gjensidige nærmet seg en avslutning, idet vedtaket i kontrollsaken var påklaget til Personvernnemnda.

Den 6. november 2013 ba tilsynet om en redegjørelse fra selskapet, med hjemmel i personopplysningsloven § 44, jf § 42 tredje ledd nr 3.

Med bakgrunn i selskapets redegjørelse av 29. november 2013, varslet tilsynet vedtak om overtredelsesgebyr den 23. januar 2014. Etter å ha vurdert selskapets tilsvar av 13. februar
2014 fattet tilsynet følgende vedtak den 12. mars 2014, med hjemmel i personopplysningslovens § 46 jf § 11 bokstav a:

Gjensidige Forsikring pålegges å betale et overtredelsesgebyr til statskassen, pålydende 600.000 kr – kroner seks hundre tusen – for å ha hentet inn sensitive personopplysninger, gjennom blant annet skjult observasjon og skjult videopptak av (privatperson), uten at det forelå et behandlingsgrunnlag etter personopplysningslovens §§ 8 og 9.

Datatilsynet mottok 1. april 2014 en klage fra Gjensidige. Gjensidige oversendte også kopi av kjennelse av 7. april 2014, fra Borgarting lagmannsrett (14-048321ASK-BORG/04). Denne gjelder spørsmål om bevisavskjæring, for personopplysninger innhentet av Gjensidige ved bruk av skjult observasjon i en annen sak enn den foreliggende.

Saken ble oversendt Personvernnemnda 26.5.2014, som mottok saken 2.6.2014. Klager ble orientert om dette i brev fra nemnda datert 10.6. 2014, med frist til uttalelse innen 26.6.2014, som senere ble utsatt til 10.8.2014. Datatilsynet kommenterte saken i brev av 1.7.2014. Gjensidige kommenterte saken i brev av 8.8.2014, 26.8.2014, 11.9.2014 og 9.10.2014.

3 Faktum

Saken omhandler overtredelsesgebyr som Datatilsynet har ilagt Gjensidige Forsikring ASA for å ha hentet inn sensitive personopplysninger, gjennom blant annet skjult observasjon og skjult videopptak av privatperson, uten at det forelå et behandlingsgrunnlag etter personopplysningslovens §§ 8 og 9. Gjensidige på sin side anfører at det forelå behandlingsgrunnlag for observasjonen.

4 Klagers anførsler

4.1 Innledning

Datatilsynet har, med referanse til Borgarting lagmannsretts kjennelse av 7.4.2014, i oversendelse av klagesaken til Personvernnemnda lagt til grunn at

… en rekke rettslige spørsmål […] må anses å være nærmere avklart med lagmannsrettens kjennelse.

Gjensidige fikk i kjennelsen medhold i at de der foretatte observasjonene etter en konkret interesseavveining var i samsvar med personopplysningsloven. Borgarting lagmannsrett har 17.6.2014 behandlet ytterligere en sak om det samme temaet. Kjennelsen underbygger og forsterker at det etter personopplysningsloven skal foretas en konkret interesseavveining.

Datatilsynets påstander, så vel i vedtak som i andre ulike sammenhenger, om at det må foreligge spesifikk lovhjemmel for at observasjon kan benyttes, har vært utfordrende mens denne saken har versert. Først i oversendelsen av klagesaken til Personvernnemnda har Datatilsynet frafalt dette synspunktet, og i stedet lagt seg på linje med domstolenes lovanvendelse. Datatilsynet aksepterer nå at det er en konkret interesseavveining som avgjør hva som er lovlig behandling av personopplysninger. Videre bagatelliserer Datatilsynet den økonomiske betydningen denne type saker har for forsikringskollektivet. Dette er bakgrunnen for at Gjensidige i denne saken oppfatter at Datatilsynet ikke har foretatt en balansert og reell interesseavveining.

I Borgarting lagmannsretts kjennelse av 17.6.2014 kom lagmannsretten til at utredningen, slik den var innrettet, var i strid med personopplysningsloven. Utrederen hadde tatt kontakt med svikmistenkte for å skaffe opplysninger som kunne bekrefte eller avkrefte forsikringsselskapenes mistanke om svik. Klager mener at interesseavveiningen er feil. Det tas heller ikke hensyn til at vurderingen bare gjelder i forhold til rapporten fordi det øvrige materialet er slettet. Det mulige svikets art og størrelse er, etter klagers mening, heller ikke tilstrekkelig hensyntatt i avgjørelsen. Mistenkte hadde også krevd Gjensidige for et betydelig beløp. Gjensidige valgte på sin side å honorere kravet. Dette viser i hvert fall at Gjensidige foretar vurderinger i hver enkelt sak, og at de vurderingene selskapet har gjort til nå er i tråd med de vurderinger som per i dag foreligger fra domstolene.

Når så Datatilsynet i nærværende sak ilegger Gjensidige det høyeste straffegebyret som noen gang er ilagt for forhold som uavhengige og godt opplyste domstoler vurderer på samme måte som Gjensidige, oppleves det sterkt urimelig og som en uvanlig forvaltningspraksis.

Nærværende sak dreier seg om en konkret klage. Klagers syn har også blitt prøvd av lagmannsretten, jf kjennelse av 14.10.2013. Forberedende dommer kom til at observasjonen av klager var i samsvar med personopplysningsloven. Det foreligger således tre lagmannsrettsavgjørelser som bekrefter Gjensidiges lovforståelse og skjønnsutøvelse.

Klagen ble opprinnelig ikke tatt til behandling av Datatilsynet fordi den ble inkludert i den da verserende tilsynssaken mot Gjensidige. Som kjent ble den tilsynssaken avgjort av Datatilsynet gjennom vedtak/brev den 20.9.2013. Etter dette tidspunkt tok likevel Datatilsynet klagen til behandling i sin fulle bredde. Hva som har inngått i vurderingene og påvirket den første avgjørelsen mot Gjensidige er uklart. Det er i alle fall grunn til å tro, i lys av Datatilsynets eget brev til klager om at klagers opplysninger vil bli tatt hensyn til i den pågående tilsynssaken og hvordan Datatilsynet har kommunisert offentlig hva som ble sanksjonert i tilsynssaken (observasjonspraksisen generelt, herunder nærværende sak), at samme forhold er behandlet 2 ganger. Og likeledes sanksjonert med overtredelsesgebyr 2 ganger. Personvernnemnda må derfor oppheve Datatilsynets vedtak.

Dobbeltbehandlingen gjelder riktignok ikke oppmøte på det som viste seg å være bostedsadressen til klager. Gjensidige har fått klar støtte fra domstolen på at det i denne saken var behov for å klarlegge bostedsadressen. Det var ingen annen intensjon med oppmøtet enn å avklare nettopp det. Det blir derfor svært tendensiøst å kalle dette et «hjemmebesøk». Og språkbruken tyder på at tilsynet ikke har hatt en balansert og objektiv tilnærming til faktagrunnlaget som inngår i vedtakets begrunnelse. Saksbehandlingen til Datatilsynet er også på dette punkt av en slik art at det må oppheves med henvisning til saksbehandlingsfeil.

4.2 Generelle kommentarer

Gjensidige har i merknadene til varsel om vedtak og i klagen gjort gjeldende at det foreligger behandlingsgrunnlag etter personopplysningsloven §§8 f) og 9 e) for de personopplysningene Datatilsynet har vurdert fordi:

• Gjensidige fikk under saksforberedelsen til hovedforhandling for tingretten en berettiget grunn til å mistenke at det forelå svik fra klagerens side (kvalifisert mistanke).
• De tiltak som ble iverksatt fra Gjensidiges side under de rådende omstendigheter var berettigete, nødvendige og relevante ut fra formålet med tiltakene på tidspunktene tiltakene ble iverksatt:
  • Fremmøte på den aktuelle eiendommen som ledd i å få avklart hvor klageren bodde.
  • Skjult observasjon for å få avklart hvorvidt den informasjonen klageren ga om sine muligheter til fysisk aktivitet var korrekt.

• Klagerens personverninteresse oversteg ikke Gjensidiges berettigete interesse med hensyn til å få avklart hvorvidt det forelå svik fra klagerens side.

Gjensidige har derfor ikke overtrådt personopplysningsloven i forhold til klageren, og det foreligger derfor heller ikke grunnlag for ileggelse av gebyr.

Den nære tilknytningen mellom nærværende sak og tilsynssaken fremkommer i Datatilsynets brev til klager av 29.8.2013, jf vedlegg, hvor Datatilsynet besluttet ikke å forfølge denne saken. Datatilsynet skriver i tredje avsnitt:

Datatilsynet antar at De er kjent med tilsynets løpende kontrollsak overfor Gjensidige, som berører mange av de problemstillingene som er aktuelle også i Deres sak. Datatilsynet har den 30. juli 2013 mottatt selskapets tilsvar til sitt varsel om vedtak. Tilsynet er nå i en fase hvor vi vurderer de anførslene som selskapet fremmer der, før det eventuelt fattes vedtak i saken. I den forbindelse vil vi også ta hensyn til opplysninger som fremkommer i Deres klage.

Nærværende sak ligger forut i tid for tilsynssaken og er allerede behandlet og sanksjonert som ledd i tilsynssaken. Datatilsynets gjenopptak er således i strid med forvaltningsretten samtidig som ileggelsen av det nye gebyret utgjør en dobbeltstraff. I det hele tatt synes saksbehandlingen i denne klagesaken, og den samlede behandlingen av Gjensidige, å være ekstraordinær.

Gjensidige forstår Datatilsynets beslutning vedrørende tilsynssaken, jf Datatilsynets brev av 2.7.2014 til Gjensidige, som en erkjennelse av at Datatilsynet har tatt feil i sin lovforståelse når Datatilsynet tidligere har lagt til grunn at filming som del av skjult observasjon ikke kan hjemles  i personopplysningsloven slik den nå lyder. På denne bakgrunn burde Datatilsynet ut fra god forvaltningsskikk samtidig også omgjort det ugyldige vedtaket som er fattet i nærværende sak fordi vedtaket bygger på en feilaktig lovforståelse. Klageren har ikke noen rettslig interesse i at gebyret opprettholdes.

Ved en behandling i samsvar med det som er angitt ovenfor ville Datatilsynet på en dokumenterbar måte skapt klarhet om sin lovforståelse. Slik saken nå står, er ikke lovforståelsen uttrykkelig og offentlig trukket tilbake. Dette er svært uheldig. Det fremkommer også ved at det i saker for domstolen henvises til Datatilsynets kontrollrapport, vedtak og oversendelsesbrev i tilsynssaken samt Datatilsynets tolkningsuttalelse som ble benyttet av klager i lagmannsrettssaken, hvor den feilaktige lovforståelsen fremkommer. Datatilsynet har etter Gjensidiges oppfatning et selvstendig ansvar for å etablere klarhet og forutberegnelighet omkring lovforståelse og sine vurderinger.

I tillegg til det som er angitt foran anføres det subsidiært at gebyrvedtaket er urimelig overfor Gjensidige og utgjør en forskjellsbehandling i forhold til andre forsikringsselskaper. Datatilsynet kan derfor etter alminnelige forvaltningsmessige prinsipper ikke ansees å ha grunnlag for vedtaket om gebyr. Det siste gjelder fordi:

4.3 Spesielle kommentarer

Det er i Gjensidiges merknader til varsel om vedtak om gebyr og i klagen utførlig redegjort for de forhold som Gjensidige påberoper seg. Gjensidige har likevel noen spesielle kommentarer til Datatilsynets oversendelsesbrev.

4.3.1 Behandlingsgrunnlag

Når det spesifikt gjelder kjennelsen av 7.4.2014 fra Borgarting lagmannsrett, så understrekes det at Gjensidige er enig i de rettslige utgangspunkter som retten foretar. Disse er i samsvar med den rettsoppfatning Gjensidige hele tiden har hatt og som det er redegjort for i klagen og i tilsynssaken, og som Datatilsynet nå omsider har lagt til grunn.

Datatilsynet referer til «at lagmannsretten tidligere har behandlet foreliggende sak konkret, og konkludert med at observasjonen og filmingen i denne saken var utilbørlig av hensyn til den registreres personvern». Samme rett mente imidlertid at innhentingen var i samsvar med personopplysningsloven. Det vises til kjennelse av 14.10.2013 fra Eidsivating lagmannsrett. Det kan heller ikke legges til grunn slik Datatilsynet gjør, at forberedende dommer hadde kommet til et annet resultat dersom forberedende dommer hadde lagt til grunn at vurderingen av utilbørlighetskriteriet er sammenfallende i personopplysningsloven og tvisteloven.

Datatilsynet unnlater å ta stilling til om det forelå berettiget grunn for mistanke som svik. Det kan imidlertid ikke være tvil om at det forelå sterk mistanke om svik. Øvre Romerike tingrett uttaler i sin dom av 5.2.2013 etter full behandling i åpen rett:

Gjennom en helhetsvurdering av hele saken, hvor det fremkommer at det er gitt en rekke større og mindre uriktige opplysninger, og hvor det foreligger sprikende informasjon på vesentlige punkter av betydning for et erstatningskrav, mener retten det foreligger slik klar og sterk bevisovervekt at det må konstateres at han har handlet svikaktig. Retten viser til Rt-1985-211 hvoretter Høyesterett har begrunnet sin avgjørelse ut fra en helhetsvurdering.

Det kan heller ikke være tvil om at observasjon av klagers funksjonsevne på beslutningstidspunktet fremsto som et relevant og nødvendig tiltak for å få bekreftet eller avkreftet klagers på ståtte manglende funksjonsevne. Om resultatet av observasjonen faktisk bekreftet eller avkreftet klagers funksjonsevne har ikke betydning for vurderingen etter personopplysningsloven. Eidsivating lagmannsrett (dom av 17.1.2014) uttalte som kjent at resultatet av observasjonen, etter deres mening og etter å ha hørt alle bevisene, ikke var egnet til å kaste lys over klagers funksjonsevne. Lagmannsretten legger imidlertid til grunn, jf dommens side 19 og 22, at klageren deltar i den daglige drift av selskapet i større grad enn opplyst og at klageren faktisk arbeider og er i stand til å arbeide større grad enn han har opplyst.

4.3.2 Fremmøte på eiendommen

Det fastholdes at fremmøtet på eiendommen var begrunnet i et behov for å få avklart hvor klageren bodde. Bakgrunnen for dette fremkommer også av det Øvre Romerike tingrett uttaler i dom av 5.2.2013:

A har videre forsøkt å tåkelegge forholdene omkring hvor han bor, og om eierforholdene til boligen han faktisk bebor. I retten ga han ulike forklaringer på hvor han var bosatt, og det synes på det rene at han opererer med en fiktiv bopel hos broren, mens han faktisk bebor et hus eiet av et av selskapene han eier. Han har krevet erstatning for fremtidige utgifter til vedlikehold av bolig, mens eiendommen er istandsatt av selskaper A selv har kontrollen over.

Selve fremmøtet var selvfølgelig ikke tilfeldig slik Datatilsynet synes å forstå Gjensidige. Det var samtalen med samboeren og informasjonen om klagerens arbeidsinnsats på eiendommen og hans arbeid for øvrig som var tilfeldig. Det presiseres at vedkommende fra Gjensidige ikke opptrådte anonymt, men under sitt korrekte navn.

4.3.3 Nærmere om observasjonene

Datatilsynet legger til grunn at skjult observasjon ikke var lovlig fordi «observasjon og filming ikke er egnede tiltak for å avklare skadetidspunktet …».

Det sier seg selv at observasjonene ikke ble iverksatt for å avklare skadetidspunktet. Det forhold at det forelå mistanke om svikaktig opptreden på et så sentralt punkt ville i seg selv gjøre at Gjensidige var berettiget til å fatte mistanke om at klageren også forklarte seg uriktig på andre punkter. Gjensidige baserte imidlertid ikke sin mistanke på dette alene, men også på annen informasjon. Det vises til det som siteres ovenfor fra Øvre Romerike tingretts dom av 5.2.2013 under «Behandlingsgrunnlag». Det vises også til det som Eidsivating lagmannsretten legger til grunn i dom av 17.1.2014 hvor retten i tredje avsnitt under rettens merknader uttaler:

Som tingretten finner lagmannsretten at A ikke har sannsynliggjort at vilkårene for erstatning er oppfylt. La mannsretten slutter seg til tingrettens vurdering av bevisførselen øverst på side 20 i dommen, hvor tingretten blant annet uttaler:

Slik retten oppfatter det samlede bevisbildet, er det vanskelig å se at disse gir et entydig bilde av om, når og hvordan det har skjedd en ulykke, hva slags maskin som eventuelt ble brukt og hva som er det reelle bildet av As helsetilstand og funksjonsevne nå. Ved bevisvurderingen av hva som rent faktisk har skjedd, vil de tidsnære bevis veie tyngst. Retten finner det påfallende at så vel tidspunkt, beskrivelsen av hendelsen og beskrivelsen av helsetilstand og funksjonsevne spriker i så stor grad som det faktisk gjør …

I dommen uttaler retten også:

Gjensidige fattet mistanke om at A hadde gitt uriktige opplysninger, blant annet om hans helsetilstand og funksjonsevne. Det ble på denne bakgrunn iverksatt en utredning. Som ledd i denne utredningen ble det foretatt observasjoner av A i perioden 3. september 2012 til 15. oktober 2012.

og

Etter en samlet vurdering finner lagmannsretten at det også på dette punkt foreligger betydelig tvil med hensyn til faktum. Det er etter lagmannsrettens syn uvisst om A - som følge av smertene - er fullt arbeidsfør på det ordinære arbeidsmarkedet. Lagmannsretten finner det imidlertid sannsynliggjort at A faktisk arbeider – og er i stand til arbeide – i større grad enn det han har opplyst.

Øvre Romerike tingrett som avgjorde saken i første instans uttalte i dom av 5.2.2013 følgende:

Som nevnt legger retten til grunn at A har ikke ubetydelige plager i nakken. Disse beskrives av den sakkyndige. Retten kan imidlertid ikke se at den graden av plager og funksjonshemming dr Lundar beskriver, er i samsvar med de beskrivelser A selv har gitt til selskapet og til dem som har skullet vurdere hans funksjonsevne under sakens behandling. Dette gjelder selv om det tas høyde for at formen kan svinge, og at det ikke kan utelukkes at han for eksempel i perioden har var i kontakt med OrbitArena, var betydelig psykisk preget av sine plager og mulige fremtidsutsikter. Han har for eksempel opplyst at han bare i liten grad kan kjøre bil, men er observert bak rattet daglig gjennom lengre tid og i løpet av lange dager.

og

Som beskrivelsen som den sakkyndige har gitt, som de observasjoner som er gjort av ham, viser en mann  med  langt bedre  helsemessig  funksjon enn  det  som  fremkommer i samtaler med  OrbitArena og i hans skriftlige beskrivelse gitt 8. oktober 2012, av  gode og  dårlige dager. Dette gjelder selv om det legges til grunn at han har benyttet arbeidslokalene også til hvile, slik han har forklart.

Gjensidige hadde således kvalifisert mistanke både for så vidt gjaldt skadetidspunkt, men også om klagerens mulighet til fysisk aktivitet. Behovet for å avklare dette oppfyller nødvendighetskravet i personopplysningsloven §§ 8 og 9.

Sett på denne bakgrunn er det ganske uforståelig at Datatilsynet kan konkludere på følgende måte:

Når det gjelder klagers ervervsevne og årsakssammenheng med skade var dokumentene i saken nokså entydige. Det kan vanskelig sies at det forelå kvalifisert mistanke om at klager har forklart seg uriktig vedrørende disse forholdene.

Tiltakene som ble iverksatt er i utgangspunktet egnet til å avklare mulighet for fysisk aktivitet. Det vises også av det som er referert til ovenfor hvor tingretten viser til observasjonene. At lagmannsretten så kom til at man i dette tilfelle ikke kunne trekke relevante konklusjoner ut  fra den foretatte observasjon, kan ikke få noen betydning for hvorvidt observasjonen må anses som et egnet virkemiddel på det tidspunktet den ble foretatt.

For ordens skyld opplyses det at lagmannsrettens dom ble påanket av klager til Høyesterett som ved beslutning av 14.5.2014 avgjorde at «Anken tillates ikke fremmet». Begrunnelsen er at «verken avgjørelsens betydning utenfor den foreliggende sak eller andre forhold  tilsier  at saken blir fremmet for Høyesterett».

4.3.4 Interesseavveiningen

Gjensidige har ikke foretatt inngripen i klagers private sfære slik Datatilsynet legger til grunn. Dette kan derfor ikke legges til grunn i interesseavveiningen.

Datatilsynet fastholder for øvrig i oversendelsesbrevet at opplysningene som Gjensidige har innhentet gjennom utredningen er sensitiv informasjon. Dette har imidlertid ingen betydning for Personvernnemndas vurdering av klagesaken, fordi det uansett foreligger  behandlingsgrunnlag uavhengig av om dette er sensitiv informasjon eller ikke, jf den begrunnelsen som er gitt i klagen og rettspraksis som vist ovenfor.

Det som imidlertid må vektlegges er at personopplysningene i alle fall ligger i et grenseland mellom sensitiv og ikke-sensitive opplysninger, og at det må få betydning for den interesseavveiningen som foretas etter personopplysningsloven.

Datatilsynet synes også å mene at Lagmannsrettens kjennelse av 7.4.2014 støtter
Datatilsynets vedtak når Datatilsynet uttaler:

Slik vi ser det holder retten det åpent at utfallet kan bli et annet i denne saken, enn i den saken som kjennelsen direkte gjaldt.

Forholdene i denne saken var imidlertid ikke gjenstand for bevisføring i lagmannsretten. I sjette avsnitt på side 14 skriver lagmannsretten:

For øvrig skiller saken seg fra  …'s sak på flere punkter, bl.a. ved at det ikke – i følge Datatilsynet – forelå kvalifisert mistanke om svik og ved at observasjon fremsto som lite egnet til belyse helsetilstand og ervervsevne ytterligere. Det ble videre utført hjemmebesøk, uten at det ble opplyst at vedkommende var representant for Gjensidige, noe Datatilsynet fant var et uforholdsmessig inngrep.

Lagmannsretten bygger således utelukkende på den begrunnelsen som Datatilsynet har gitt i sitt vedtak av 11.3.2014 og som Gjensidige har imøtegått.

I pkt 5.2.2 angir Datatilsynet at betegnelsen «hjemmebesøk» er en språklig nøytral og presis betegnelse for det som skjedde i denne konkrete saken. Det er det ikke. I forhold til klagesaken er imidlertid ikke dette viktig.  Det viktige er at Personvernnemnda i sin interessevurdering i forhold til personopplysningsloven legger det korrekte faktum til grunn for sin avgjørelse.

Med henvisning til ovenstående og redegjørelsen til merknadene til Datatilsynets varsel om vedtak og i klagen, fastholder Gjensidige at hensynet til klagerens personvern ikke overstiger Gjensidiges berettigete interesse i å få klarlagt hvorvidt det forelå svik eller ikke.

4.3.5 Skille mellom oppmøte på eiendommen og observasjonene

Dette er to forskjellige tiltak med forskjellig formål og de må derfor vurderes hver for seg.  Under pkt 5.2.3 synes Datatilsynet å mene at alle deler av utredningen må vurderes som ett samlet tiltak når man skal vurdere inngrepets tyngde.

På side 8 i Datatilsynets vedtak om gebyr har imidlertid Datatilsynet vurdert tiltakene adskilt og konkludert på følgende måte:

Etter vår vurdering medfører selskapets hjemmebesøk alene et uforholdsmessig inngrep i privatliv. Selskapet forledet samboer til å gi opplysninger om ham som hun ellers ikke ville ha gitt, og som hun heller ikke var pliktig å vitne om i den rettssaken som var under oppseiling. Selv om hjemmebesøket viste seg å være effektivt, jf den seneste dommen fra lagmannsretten, mener vi at dette var en illojal og svært kritikkverdig innhenting av personopplysninger som ikke kan hjemles i personopplysningsloven.

Etter klagers vurdering medfører den skjulte observasjon alene et uforholdsmessig inngrep i privatliv. Tiltaket fremstod ikke å være godt egnet til å opplyse ytterligere de uklarhetene som forelå i saken, hverken hva gjelder skadetidspunktet eller ervervsevnen.

Datatilsynet kan imidlertid ikke ha tillagt «hjemmebesøket» særlig betydning for vedtaket da det ble fattet, idet denne hendelsen ikke er blant de forhold som er opplistet i selve vedtaket. Datatilsynet kan ikke da i oversendelsesbrevet til Personvernnemnda komme med utfyllende vurderinger som trekker i en annen retning enn det vedtaksteksten gir uttrykk for. Det er derfor vanskelig for Gjensidige å forholde seg til vedtaket i denne saken.

Datatilsynets språkbruk i det siterte ligger dessuten utenfor det man kan forvente av et uavhengig forvaltningsorgan. «Selskapet forledet» er et eksempel. «Hjemmebesøket viste seg å være effektivt» er et annet eksempel. Lagmannsretten uttaler i dommen at den ikke har tillit til samboeren, og hennes fremstilling av faktum. Personvernnemnda må derfor legge til grunn Gjensidiges fremstilling. Oppmøtet var dessuten ikke «effektivt» fordi lagmannsretten avgjorde saken til gunst for Gjensidige uavhengig av oppmøtet og senere observasjoner.

5 Datatilsynets vurdering

5.1 Om klagen og Borgarting lagmannsrett kjennelse av 7. april 2014

I brev av l. april 2014 fremmet selskapet klage på tilsynets vedtak. Den 11. april 2014 oversendt selskapet en kjennelse av 7. april 2014 fra Borgarting lagmannsrett, til støtte for sin klage. Kjennelsen er relevant i foreliggende sak, idet domstolen vurderer hvorvidt svikutredningen i en annen sak har behandlingsgrunnlag i personopplysningslovens § 8 og 9. Retten kommenterer også foreliggende kontrollsak konkret, men slik at den selvsagt ikke tar stilling til denne sakens utfall. Slik tilsynet ser det holder retten det åpent at utfallet kan bli et annet i denne saken, enn i den saken som kjennelsen direkte gjaldt. Det vises her også til at retten fastslår at spørsmålet må avgjøres konkret, basert på omstendighetene i hver enkelt sak.

En rekke rettslige spørsmål i foreliggende sak må anses å være nærmere avklart ved lagmannsrettens kjennelse. Slik tilsynet ser det er det derfor ikke nødvendig å gå nærmere inn i alle de anførslene som klagen bygger på, hva gjelder det rettslige hovedspørsmålet. Tilsynet har i stedet vurdert om lagmannsrettens kjennelse rokker ved den lovforståelsen og den skjønnsutøvelsen som lå til grunn for vedtak av 11. mars 2014.

5.2 Om Datatilsynets saksbehandling

I klagen anføres det at tilsynet ikke har opptrådt i tråd med det alminnelige krav til objektivitet som påhviler forvaltningen.

5.2.1 Om sakens faktum

Selskapet hevder at tilsynet har lagt for stor vekt på klagers beskrivelser, og derved lagt til grunn et annet faktum enn hva domstolene har gjort i forbindelse med deres behandling av erstatningssaken. Tilsynet har imidlertid lagt til grunn samme faktum for vedtaket som lagmannsretten har i den seneste dommen av 17. januar 2014, både når det gjelder de metoder og omfang utredningen har hatt i denne saken og hvilket grunnlag selskapet eventuelt kunne bygge mistanke på.

De innsigelser som selskapet hadde mot det faktum som lå til grunn for tilsynets varsel om vedtak, ble i det vesentlige hensyntatt og endret i forbindelse med vedtaket. Slik tilsynet ser det var endringene uten betydning for sakens utfall.

5.2.2 Betegnelser og innfallsvinkler

Selskapet hevder videre at tilsynet har benyttet betegnelser og innfallsvinkler på utredningsvirksomheten for «å sette Gjensidiges fremgangsmåte i et uheldig lys».

Selskapet viser til at tilsynet har benyttet betegnelsen «hjemmebesøk». Dette er etter tilsynets oppfatning en språklig nøytral og presis betegnelse for det tilfellet hvor utreder bevisst oppsøkte klagers bolig og hadde en samtale med hans samboer.

Selskapet viser også til at tilsynet har benyttet betegnelsen «sensitive personopplysninger», uten at tilsynet har vært helt konsekvent. Tilsynet mener at behandlingen i dette tilfellet omfatter sensitive personopplysninger, slik dette begrepet er definert i personopplysningslovens § 2 nr 8. Det har derfor vært nødvendig og naturlig å benytte denne betegnelsen, for blant annet å vurdere om personopplysningslovens § 9 kom til anvendelse på forholdet.

Selskapet mener også at tilsynet uriktig har lagt til grunn at selskapet har foretatt «en inngripen i klagers private sfære». Dette står tilsynet fast ved, jf også lagmannsrettens uttalelse i kjennelsen av 7. april. Her uttaler retten at «… skjult observasjon og filming er belastende og inngripende for den som utsettes for det». Hvor stort inngrepet er, vil naturligvis variere utfra de konkret omstendighetene.

5.2.3 Oppsummering

Tilsynet har lagt til grunn og beskrevet et faktum i denne saken som er i tråd med den fremstillingen som ligger til grunn for lagmannsrettens kjennelse i samme sak. Dette må etter tilsynets oppfatning være klart forsvarlig. Tilsynet har hatt en objektiv tilnærming til saken, og foretatt en balansert avveining av de interessene som står mot hverandre. Resultatet av saksbehandlingen er imidlertid at tilsynet mener at det er grunn til å reise kritikk mot selskapet og sanksjonere deres handlinger. Tilsynets konklusjoner og uttalelser i den forbindelse vil nødvendigvis være kritiske. Slik tilsynet ser det har man behandlet denne saken i overenstemmelse med forvaltningslovens bestemmelser og ulovfestede prinsipper om god forvaltningsskikk.

5.3 Om hvorvidt det forelå et behandlingsgrunnlag for utredningen

5.3.1 Generelt om tilsynets lovanvendelse

Slik tilsynet ser det, har lovanvendelsen i foreliggende sak vært i tråd med den lovanvendelsen som lagmannsrettens la til grunn for sin kjennelse av 7. april 2014. Retten slår fast at både personopplysningslovens § 8 og§ 9 kommer til anvendelse, når opplysningene «er samlet inn for å dokumentere funksjonsevne» i kravstillers arm. Formålet med innsamlingen tilsier etter domstolens vurdering at den gjelder sensitive personopplysninger, i form av opplysninger om helseforhold jf personopplysningslovens § 2 nr 8 bokstav c). Dette er i tråd med tilsynets lovanvendelse.

Retten slår videre fast at bestemmelsene gir anvisning på en konkret interesseavveining, hvor hensynet til kravstillers personvern må veies opp mot selskapets interesse i å belyse hans
funksjonsevne. Også dette er i tråd med tilsynets lovanvendelse i foreliggende sak.

Retten angir videre hvilke momenter som er relevante ved interesseavveiningen etter nevnte bestemmelser. For det første uttaler retten at det er «en klar forutsetning» for skjult observasjon og filming at det foreligger «en kvalifisert mistanke om svik, at det er foretatt øvrige undersøkelser for å avklare forholdet og at filmingen fremstår som nødvendig og målrettet for å avklare mistanken». Dette er momenter som inngikk i den forholdsmessighetsvurderingen som tilsynet la til grunn for sitt vedtak. Det kan endog hevdes at domstolen legger til grunn en noe høyere terskel enn det tilsynet har gjort. Det vises til både at domstolen mener det er en «klar forutsetning» at det foreligger mistanke, og at mistanken skal være «kvalifisert».

Retten legger også vekt på hvor observasjonen og filmingen har pågått. Når dette er gjort
«Utendørs og på et offentlig tilgjengelig sted», vil det bli å anse som mindre inngripende enn filming innendørs og i mer private omgivelser. Tilsynet forstår allikevel ikke retten slik at filming utendørs og på offentlige steder bestandig vil være tillatt. Det vises til at retten uttaler det motsatte, nemlig at slik innsamling «ikke alltid vil være i strid med personopplysningsloven». Dette er også i tråd med tilsynets vedtak.

5.3.2 Nærmere om skjult observasjon og filming

5.3.2.1 Utredningen var utilbørlig

Tilsynet vil innledningsvis presisere at lagmannsretten tidligere har behandlet foreliggende sak konkret, og konkludert med at observasjonen og filmingen i denne saken var utilbørlig av hensyn til den registreres personvern. Dette taler med styrke for at behandlingen også var
uforholdsmessig, og derved i strid med personopplysningslovens §§ 8 og 9. Det vises her til at også lagmannsretten, i kjennelsen av 7. april 2014, legger til grunn at
«personopplysningsloven her legger opp til en forholdsmessighetsvurdering som langt på vei faller sammen med vurderingen i tvisteloven § 22-7 av om bevisene er skaffet til veie på en utilbørlig måte».

5.3.2.2 Mistanke om svik eller forsøk på svik

Selskapet anfører i klagen at det forelå mistanke om svik. I lagmannsrettens seneste avgjørelse slår retten fast at det en klar forutsetning at det foreligger kvalifisert mistanke, for at det skal være anledning til å iverksette skjult observasjon og skjult filming. Tilsynet forstår dette som et krav om at det må foreligge en sterk mistanke om svik, basert på objektive holdepunkter.

Mistanken i foreliggende sak knyttet seg først og fremst til at klager forklarte seg uriktig om skadetidspunktet, idet det fremkom ulike tidspunkter i sakens dokumenter. Om det i seg selv er tilstrekkelig til å etablere sterk mistanke om svik må bero også på øvrige forhold i saken – for eksempel om inkonsistensen har en plausibel forklaring. Saken er ikke tilstrekkelig opplyst til at tilsynet kan konkludere endelig vedrørende dette. Da tilsynet uansett mener at observasjon og filming ikke er egnede tiltak for å avklare skadetidspunktet, jf neste punkt, er konklusjonen her uten betydning for sakens utfall.

Når det gjelder klagers ervervsevne og årsakssammenheng med skaden var dokumentene i saken nokså entydige. Det kan vanskelig sies at det forelå kvalifisert mistanke om at klager har forklart seg uriktig vedrørende disse forholdene. Selskapets utredere vurderte det slik at
medisinske uttalelser som underbygget klagers påstand var «ikke så heldig». Dette tyder på manglende objektivitet i deres vurderinger.

5.3.2.3 Nødvendig og målrettet

• • Saken uansett må anses å ligge i et grensetilfelle slik at en eventuell overtredelse ikke kan anses som særlig graverende, samtidig som gebyret likevel er det høyeste gebyret som Datatilsynet har gitt for overtredelse av personopplysningsloven. Dette må også sees i lys av at det det ved bruk av sanksjoner må anses å gjelde et forholdsmessighetsprinsipp hvor det også kreves betydelig klarhet med hensyn til en lovovertredelse før overtredelsen sanksjoneres. Det vises til Personvernnemndas egen avgjørelse i Teletopia­ saken. Den konkrete klagesaken omfatter skjønnsmessige spørsmål hvor Datatilsynet selv uttaler at det stort sett vil være opp til den behandlingsansvarlige selv å vurdere lovligheten av behandlingen, samtidig som de domstolsavgjørelser som Gjensidige tidligere har referert til viser at domstolene er av den oppfatning at det foreligger behandlingsgrunnlag etter personopplysningsloven i denne konkrete saken. I tillegg kommer at både tingretten og lagmannsretten i avgjørelsen av selve erstatningssaken i forhold til klageren kommer til at Gjensidige har vært utsatt for svikaktig opptreden fra klagerens side.
  • Praksisen som Gjensidige har fulgt er en bransjepraksis som flere forsikringsselskaper har fulgt.
  • Fremgangsmåten er i samsvar med retningslinjene fra bransjeorganisasjonen Finans Norge (FNO) som nå også har videreutviklet en ny norm for utredningsarbeid.
  • Datatilsynet må ha hatt kjennskap, eller må lett ha kunnet skaffe seg kjennskap over, bransjepraksisen og således tidligere tatt forholdet opp med Finans Norge (FNO).
  • Det vises også til at Datatilsynet ut fra prioriteringshensyn og god forvaltningsskikk overfor Gjensidige først besluttet ikke å behandle saken fra klageren, jf Datatilsynets oversendelsesbrev til Personvernnemnda. Det må anses å være i strid med god forvaltningsskikk av Datatilsynet å endre dette standpunktet uten at det gis en særskilt begrunnelse som viser at dette var nødvendig ut fra etterfølgende omstendigheter. Slik begrunnelse er ikke gitt. Gjensidige på sin side kan ikke se at det under domstolsbehandlingen av erstatningssaken høsten 2013 fremkom nye faktiske omstendigheter rundt Gjensidiges utredningsvirksomhet som skulle tilsi en omgjøring av dette vedtaket. Datatilsynet må imidlertid på dette tidspunkt ha vært kjent med at tingretten i dommen 5.2.2013 var kommet til at klageren hadde opptrådt svikaktig, og Datatilsynet burde således opprettholdt sitt standpunkt og ikke tatt saken opp til behandling.
• I den seneste avgjørelsen la domstolen vekt på at observasjon og filming var nødvendig og målrettet, for å avklare en kvalifisert mistanke om at kravstiller forklarte seg uriktig om egen funksjonsevne.

   

  I foreliggende sak har tilsynet lagt til grunn at skjult observasjon og filming ikke var et egnet tiltak for å avklare et skadetidspunkt som ligger flere år til bake i tid. Det fastholder tilsynet. Tilsynet fastholder at det uansett ikke var nødvendig å gjennomføre skjult observasjon og videofilming i det omfanget som selskapet har gjort i denne saken, dersom formålet var å avklare om klager forklarte seg uriktig om sin funksjonsevne.

  5.3.3 Nærmere om hjemmebesøket

  Lagmannsrettens uttalelser i kjennelsen av 7. april 2014 gjelder direkte for skjult observasjon og filming. Slik tilsynet ser det er de samme momentene relevante også for annen innsamling av personopplysninger i forbindelse med utredning, herunder for det hjemmebesøket som ble foretatt i foreliggende sak. Tilsynet kan ikke se at det kommer frem momenter i den seneste dommen fra lagmannsretten som medfører endringer i forholdsmessighetsvurderingen på dette punktet.

  I klagen viser selskapet til at utreder ikke var inne i klagers bolig. Tilsynet mener at dette ikke har avgjørende betydning. Krenkelsen bestod i at selskapet oppsøkte klagers nærstående, på deres private eiendom, og henter personopplysninger om ham fra henne, uten at premissene for dette var avklart.

  Selskapet hevder at hjemmebesøket, og samtalen med klagers samboer, var «mer tilfeldig». Til det vil tilsynet bemerke at klagers bolig ligger nokså avsides til, inne på en skogseiendom. At selskapets utreder kom til klagers bolighus og snakket med de personer som befant seg der, kan neppe sies å bero på en tilfeldighet. Det må sies å være resultatet av en bevisst handling, og det må kunne legges til grunn at hensikten var å fremskaffe opplysninger av betydning for erstatningssaken.

  Tilsynet kan ikke se at det kommer frem momenter i klagen som medfører endringer i tilsynets forholdsmessighetsvurdering på dette punktet.

  5.3.4 Konklusjon

  I klagen anføres det at hjemmebesøket ikke var en del av observasjonen. Selskapet mener tilsynet må skille mellom de ulike delene av utredningen, slik at man ser på henholdsvis hjemmebesøket og den skjulte observasjonen for seg. Tilsynet mener imidlertid at alle deler av utredningen må vurderes som ett samlet tiltak, når man skal vurdere inngrepets tyngde. At disse tiltakene kan ha ulik egenvekt er etter tilsynets oppfatning ikke til hinder for en slik tilnærming.

  Tilsynet fastholder at utredningen i dette tilfellet medførte et uforholdsmessig inngrep i klagers personvern, og derved manglet behandlingsgrunnlag i personopplysningslovens §§ 8 og 9. Dette er å anse som et brudd på personopplysningslovens § 11 bokstav a.

  5.4 Om overtredelsesgebyr

  5.4.1 Om bransjens praksis og Datatilsynets rolle

  Selskapet anfører at det er urimelig av tilsynet å treffe et vedtak om overtredelsesgebyr. Selskapet viser til at det har opptrådt i henhold til en bransjepraksis som var velkjent for Datatilsynet, og at tilsynet skulle ha veiledet bransjen fremfor å kontrollere den enkelte aktør.

  Tilsynet vil presisere at personopplysningsloven bygger på et tillitsforhold, hvoretter det påhviler den behandlingsansvarlige å sette seg inn i lovens vilkår og å påse at disse etterleves. Tilsynsmyndighetens rolle er i all hovedsak å bistå med veiledning, og å gjennomføre etterkontroller av de behandlingene som iverksettes. Tilsynet ikke har ikke hatt nærmere kunnskap om bransjens utredningspraksis, eller praksisen i det enkelte selskapet, utover det som tilfeldig er formidlet gjennom enkeltstående oppslag i pressen. Utredningsvirksomheten har ikke vært presentert for tilsynet, selv ikke når selskapene har søkt om konsesjon for behandling av personopplysninger i forbindelse med forsikringsvirksomhet. Tilsynet har heller ikke hatt forespørsler fra bransjen eller dens enkeltaktører om veiledning i hvordan utredningsvirksomheten bør innrettes for å ivareta personopplysningslovens bestemmelser. Dette til tross for at det må være åpenbart for selskapene at slik behandling lett vil komme i konflikt med personvernhensyn.

  Tilsynet mener at bransjen, og det enkelte selskapet, selv må bære risikoen for å ha etablert en praksis som ikke er i overensstemmelse med loven.

  5.4.2 Om rammen for vedtaket

  Selskapet mener at vedtaket retter seg utelukkende mot skjult observasjon og skjult
  videopptak, og derved ikke omfatter den innsamling som fant sted i forbindelse med hjemmebesøket.

  Tilsynet mener imidlertid at det fremgår klart at rammen for vedtaket er utredningen i sin helhet, og ikke er avgrenset til skjult observasjon og skjult videoopptak. Tilsynet viser for det første til ordlyden i selve vedtaket, hvor det fremgår at selskapet pålegges å betale et overtredelsesgebyr «for å ha hentet inn sensitive personopplysninger gjennom blant annet
  skjult observasjon og skjult videoopptak …». Det vises også til den nærmere begrunnelsen for
  vedtaket, hvor det fremgår klart at det er utredningen som helhet som medfører et uforholdsmessig inngrep. Det fremgår blant annet at tilsynet har lagt stor vekt på den innhentingen som har skjedd i forbindelse med hjemmebesøket.

  Tilsynet vil også presisere at gebyret ikke knytter seg til det forhold at selskapet ikke kan dokumentere i dag at det ble gjort en tilfredsstillende vurdering av om lovens vilkår ble oppfylt. Vedtaket knytter seg til at lovens vilkår rent faktisk ikke var oppfylt på utredningstidspunktet. Vurderingen er gjort med bakgrunn i hvordan saken var opplyst for selskapet når beslutningene skulle treffes. Det kan ikke være tvilsomt at tilsynet har anledning overprøve selskapets egne skjønnsmessige vurderinger, dersom disse er mangelfulle eller gir et åpenbart uriktig resultat.

  5.4.3 Konklusjon

  Tilsynet fastholder at vilkårene for å ilegge et overtredelsesgebyr er oppfylt i denne saken. Tilsynet fastholder videre at gebyret bør settes høyt, for å sikre en preventiv effekt. At selskapet i klagen erklærer at det «vil innrette seg etter en korrekt forståelse av personopplysningsloven», har ikke avgjørende betydning for dette spørsmålet.

  Som en konsekvens av kontroller mot Gjensidige har Finans Norge (FNO) tatt initiativ til å utvikle en norm for utredningsarbeid i forsikringsbransjen. Tilsynet har vært involvert i dette arbeidet, som er ventet sluttført i løpet av sommeren 2014.

  5.5 Ytterligere dokumentasjon

  Datatilsynet sendte ytterligere dokumentasjon i saken i brev av 1.7.2014 med Borgarting lagmannsretts kjennelse av 17. juni 2014 (14-035455ASK­ BORG/04). Denne gjelder et annet forsikringsselskaps utredning av et annet erstatningskrav, men er etter tilsynets mening en relevant rettskilde i foreliggende klagesak. Det vises til at det ene hovedspørsmålet som lagmannsretten tar stilling til er om personopplysningslovens bestemmelser om behandlingsgrunnlag er brutt i forbindelse med selskapets innhenting av personopplysninger.

  Slik Datatilsynet ser det støtter kjennelsen opp under lovanvendelsen og skjønnsutøvelsen knyttet til personopplysningslovens lovkrav i klagesaken.

  5.5.1 Rettens generelle vurderinger av lovkravet for den aktuelle metodebruken

  Lagmannsretten uttaler at det er tvilsomt om personopplysningsloven gir hjemmel til bruk av skjult observasjon/filming og bruk av skjult identitet:

  Undersøkelser i form av skjult observasjon/filming og bruk av skjult identitet er et svært inngripende tiltak i den private sfæren som står klart i konflikt med sentrale personverninteresser. Det kan etter lagmannsrettens syn være tvilsomt om personopplysningslovens § 9 første ledd bokstav e gir tilstrekkelig hjemmel for å tillate skjult observasjon/filming, hensett til at slik overvåkning generelt sett er et så belastende tiltak at tunge personvernhensyn må gå foran med mindre annet er uttrykkelig hjemlet i lov.

  Lagmannsretten viser for øvrig også til tilsynets forståelse av lovkravet, slik dette ble formulert i vårt vedtak av 20. september 2013 mot Gjensidige:

  Vi fastholder at innhenting av helseopplysninger ved bruk av skjult observasjon og skjult lyd- og bildeopptak krever hjemmel i lov, jf både EMK art 8 og personopplysningsloven § 11 jf § 9. Dette må gjelde særlig når formålet er å opplyse noens helsetilstand. Personopplysningslovens§ 9 litra e er ikke en tilfredsstillende lovhjemmel for slike tiltak.

  5.5.2 Rettens vurderinger av om lovkravet er oppfylt i den konkrete saken

  I likhet med Datatilsynet vurderer lagmannsretten allikevel om den aktuelle utredningen tilfredsstiller kravet til nødvendighet og proporsjonalitet, etter personopplysningsloven § 9. Tilsynet ber nemnda merke seg at faktum i denne sak har store likhetstrekk med den saken som ble vurdert i lagmannsretten.

  I begge sakene fremstod utrederne med uriktig/skjult identitet, og hentet inn informasjon under dekke av å ha et annet ærend.

  I begge saker var det satt frem betydelige erstatningskrav. I begge sakene hadde forundersøkelsene avdekket «en viss motstrid» mellom forsikringstakers forklaringer og sakens øvrige opplysninger. Det kan i begge saker legges til grunn at forholdene neppe kunne ha blitt opplyst på annen måte enn ved skjult observasjon.

  Lagmannsretten kom allikevel til at omfanget av undersøkelsene var langt mer inngripende enn nødvendig, og konkluderer med at

  Hensynet til personvernet anses å overstige den berettigede interessen selskapene hadde i å foreta observasjon av funksjonsnivå.

  Retten legger, i likhet med Datatilsynet, vekt på det konkrete omfanget av den skjulte observasjonen og filmingen. Tilsynet gjør oppmerksom på at det kan synes som om observasjonen i vår sak var langt mer omfattende i tid, enn i den saken som ble vurdert av retten.

  I begge saker var observasjonen gjennomført dels i det offentlige rom, og dels på den observertes arbeidssted. Etter lagmannsrettens syn var overvåkningen i deres sak «mer inngripende enn observasjon på offentlig sted, og i en gråsone mot det private rom». Tilsvarende kan anføres også om overvåkningen i vår sak, især hva gjelder hjemmebesøket hos privatpersonen.

  Lagmannsretten gjør, i likhet med tilsynet, en konkret vurdering av om den skjulte observasjonen var et egnet tiltak.  Retten fant at observasjon i deres sak «i begrenset grad kan bidra til å kaste nytt lys over sakens opplysning». Det er verdt merke seg at retten, i likhet med tilsynet, knytter vurderingen til utredningstidspunktet, sett hen til hvilke øvrige opplysninger og dokumentasjon som da forelå. Hvilket resultat utredningen faktisk ga synes ikke å være avgjørende for retten – heller ikke ved vurderingen av om beviset senere skulle tillates ført etter tvisteloven § 22-7.

  Datatilsynet ber om at nemnda tar hensyn til domstolens vurderinger og konklusjoner ved behandling av vår klagesak. Dette gjelder også det generelle spørsmålet om hvorvidt personopplysningsloven gir tilstrekkelig klar hjemmel for bruk av skjult observasjon/filming og bruk av skjult identitet.

  6 Personvernnemndas merknader

  Personvernnemnda skal i denne saken vurdere overtredelsesgebyret som Datatilsynet har ilagt Gjensidige Forsikring for å ha innhentet sensitive personopplysninger, blant annet ved skjult observasjon og skjult videopptak av privatperson, idet tilsynet mener at dette ble foretatt uten at det forelå behandlingsgrunnlag etter personopplysningsloven.

  Rapport fra skjult observasjon og skjult videopptak av privatperson utført av forsikringsselskap i forbindelse med en forsikringssak, er behandling av personopplysninger, jf personopplysningsloven § 2 nr 1, ”opplysninger og vurderinger som kan knyttes til en enkeltperson”. Det må således foreligge et behandlingsgrunnlag etter personopplysningsloven § 8, eventuelt § 9 dersom det er tale om sensitive personopplysninger.

  Borgarting lagmannsrett har behandlet en tilsvarende sak i april i år (LB-2014-048321). I forbindelse med bevisavskjæringsspørsmålet, tok lagmannsretten stilling til behandlingsgrunnlag etter personopplysningsloven §§ 8 og 9. Lagmannsretten uttalte følgende:

  Den fremlagte filmen og rapporten viser A i ulike dagligdagse aktiviteter. Opplysningene om aktivitetene er samlet inn for å dokumentere funksjonsevnen i hans høyre arm/hånd. Ut fra formålet med innsamlingen, finner lagmannsretten at innsamlingen gjelder sensitive opplysninger, jf. personopplysningsloven § 2 nr. 8, nærmere bestemt om "helseforhold" etter bestemmelsen bokstav c. Det følger av forarbeidene at begrepet "helseforhold" favner relativt vidt, jf. Ot. Prp. Nr. 92 (1998-1999) side 104:
  Bokstav c, opplysninger om "helseforhold", er noe forkortet i forhold til utvalgets forslag til § 2 nr 8 bokstav c, men innholdet er det samme. Uttrykket "helseforhold" omfatter opplysninger om en persons tidligere, nåværende og fremtidige fysiske eller psykiske tilstand, inkludert opplysninger om medisin- og narkotikamisbruk.[…]
  Innsamling av sensitive personopplysninger er bl.a. tillat om vilkårene i personopplysningsloven §§ 8 og 9 er oppfylt. Etter § 9 må innsamlingen være nødvendig for at Gjensidige skal kunne "gjøre gjeldende eller forsvare et rettskrav", jf. personopplysningsloven § 9 første ledd bokstav e. Lagmannsretten legger til grunn at dette vilkåret er oppfylt. Lagmannsretten bemerker at Datatilsynet, i kontrollrapport og vedtak av 20. september 2013, la til grunn at " forsikringsselskapets behandling av sensitive personopplysninger med det formål å fastsette korrekt oppgjør i et forsikringstilfelle etter sin art kan omfattes av dette alternativet", jf. rapportens punkt 6.2.2.3.
  Innsamling forutsetter videre at ett av vilkårene i personopplysningsloven § 8 er oppfylt.
  I denne saken foreligger det ikke samtykke. Spørsmålet er da om det var "nødvendig" å samle inn opplysningene for "å ivareta en berettiget interesse og at hensynet til den registrertes personvern ikke overstiger denne interessen", jf. § 8 bokstav f.
  (…)
  Lagmannsretten er kommet til at observasjonene og filmingen i denne saken ikke er i strid med personopplysningsloven eller ellers samlet innpå en utilbørlig måte. Lagmannsretten viser for det første til at beslutningen om å foreta observasjon/filming ble tatt etter at Gjensidige hadde kvalifisert mistanke om at A hadde gitt uriktige opplysninger om egen funksjonsevne. Lagmannsretten slutter seg til tingrettens uttalelse om dette i kjennelse på side 14:
  "Det forelå grunnlag for kvalifisert mistanke om at det var blitt gitt uriktige opplysninger i forbindelse med skadeoppgjøret. Det vises blant annet til at det til tross for manglende bruk av hånd/underarm, verken ble gjort funn av muskelsvinn og/eller osteoporose hos saksøker, hvilket (som anført) ville vært å forvente ved lang inaktivitet i høyre hånd/underarm. Ifølge dr. Reigstad erklæring forelå det videre en "tilhelet scaphoidfractur som etter vellykket primærbehandling vanligvis ikke fører til noen medisinsk invaliditet", og at "pasienten ikke orker bruke høyre hånd på tross av manglende patologi ved den kliniske og røntgenologiske undersøkelse". […] "
  Gjensidige hadde videre - før observasjon/filming ble besluttet - innhentet opplysninger fra As arbeidsgiver og A selv om hans funksjonsevne. Etter lagmannsrettens syn gjensto det ikke da andre uprøvde, mindre inngripende tiltak, som var egnet til å kaste lys over As faktiske funksjonsevne i høyre arm/hånd. Dette underbygger både at observasjonen/filmingen var "nødvendig" for å ivareta Gjensidiges berettiget interesse" etter personopplysningsloven § 8, og at bevisene ikke var skaffet til veie på en utilbørlig måte etter tvisteloven § 22-7.
  Lagmannsretten peker videre på at observasjonene og filmingen var målrettet mot å kartlegge As funksjonsevne i høyre arm/hånd. Ut over å kaste lys over om A har gitt uriktige opplysninger, inneholder verken filmen eller rapporten opplysninger som i seg selv er belastende. Observasjonene og filmingen skjedde videre utendørs og i det offentlige rom. Selv om innsamlingen av opplysningene klart berører As personvern, fremstår ikke inngrepet som grovt eller svært belastende. Også disse forholdene trekker i retning av at innsamlingen var "nødvendig" for å ivareta en berettiget interesse etter personopplysningsloven § 8, og at bevisene ikke var skaffet til veie på en utilbørlig måte etter tvisteloven § 22-7.
  Både observasjonene og filmingen var videre begrenset i omfang. Det ble foretatt 10 observasjoner i perioden juni - september 2012, hvorav A ble observert under fire av dem. Det er totalt filmet i 22 minutter og 35 sekunder med håndholdt kamera. Filmen er senere redigert ned til 8 minutter og 24 sekunder. As har fått tilgang til alt råmaterialet fra filmopptaket, og kan kontrollere om den redigerte filmen som er lagt frem er representativ. Også dette er relevante momenter ved vurderingen av om bevisene ikke er skaffet til veie i strid med personopplysningsloven eller på en utilbørlig måte etter tvisteloven § 22-7.
  Lagmannsretten er etter en helhetsvurdering kommet til at innsamlingen av bevisene har skjedd i tråd med personopplysningsloven § 8 bokstav f, jf. § 9 første ledd bokstav e. Lagmannsretten har videre kommet til at bevisene ikke er skaffet til veie på en utilbørlig måte, og at verken den redigerte filmen, rapportene eller vitneforklaringen kan avskjæres med hjemmel i tvisteloven § 22-7.

  Personvernnemnda mener at lagmannsrettens resonnement bygger på en korrekt forståelse av personopplysningsloven og er således relevant for nærværende sak. Rapport fra skjult observasjon og skjult filming må alltid vurderes konkret og individuelt i den enkelte sak. Nemnda er av den oppfatning at dette var forholdsmessige tiltak i den aktuelle saksutredningen og ble ikke utført på utilbørlig måte. I denne saken fremstår tiltakene berettiget, i og med at det forelå kvalifisert mistanke om svik. Ved slik mistanke vil tiltak av denne typen ofte være den eneste muligheten foretaket har for å sikre bevis. Etter en konkret helhetsvurdering foreligger det behandlingsgrunnlag etter personopplysningsloven § 8 f) og § 9 e). Overtredelsesgebyr bortfaller dermed.

  7 Vedtak

  Klagen tas til følge.

  Oslo, 16. desember 2014
  
  Olav Torvund
  Leder