Personvernnemndas vedtak 22. juni 2021 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets vedtak 1. mars 2021 der tilsynet avviste hennes klage på grunn av manglende klagerett.
Sakens bakgrunn
A mottok et gjenpartsbrev fra kredittopplysningsbyrået Bisnode AS 6. september 2019 med opplysning om at X AS hadde forsøkt å foreta en kredittvurdering av henne. I og med at det var registrert en kredittsperre på A, ble kredittvurdering ikke foretatt og X AS fikk opplyst at kredittsperren måtte oppheves før kredittvurdering kunne foretas.
A henvendte seg til Datatilsynet i brev 6. oktober 2019 og meldte fra om det hun mener er ulovlig kredittvurdering av henne.
På Datatilsynets anmodning 16. juni 2020 redegjorde X AS i brev til tilsynet 26. juni 2020 for at A ikke har noe kundeforhold hos selskapet. X AS opplyste at det ikke var selskapet som utførte søket hos Bisnode AS, men at det var en ansatt i selskapet som hadde brukt kredittopplysningstjenesten til å finne As postadresse med henblikk på å kontakte A i et privat anliggende. X AS mente derfor at kredittvurdering verken ble eller forsøkt foretatt. X AS meldte heller ikke hendelsen som avvik til tilsynet.
På bakgrunn at redegjørelsen fra X AS besluttet tilsynet å avslutte saken. Datatilsynet la til grunn at X AS' forsøk på å kredittvurdere A ble stoppet av kredittsperringen, og at selskapet ikke hadde behandlet kredittopplysninger om henne. I brev til X AS 27. november 2020 påpekte tilsynet hvilke plikter selskapet har etter personvernforordningen, herunder kravet til rettslig grunnlag for innhenting av personopplysninger. A ble ikke orientert om Datatilsynets undersøkelser og avslutning av saken.
A tok kontakt med tilsynet 20. januar 2021 og etterspurte status i saken. Tilsynet oversendte A brevet om avslutning av saken.
A påklaget Datatilsynets beslutning om å avslutte saken i e-post 20. januar 2021 og brev 9. februar 2021.
Datatilsynet la til grunn at tilsynets brev til X AS 27. november 2020 med påpeking av plikt ikke utgjør et enkeltvedtak og at A ikke har klagerett. Datatilsynet la til grunn at A heller ikke har klagerett på Datatilsynets beslutning om å avslutte saken. Datatilsynet fattet følgende vedtak 1. mars 2021:
«Klagen avvises, jf. forvaltningsloven § 33 annet ledd.»
A framsatte rettidig klage over Datatilsynets vedtak i brev 16. mars 2021.
Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 29. april 2021. A ble orientert om saken i brev fra nemnda 6. mai 2021, og fikk anledning til å komme med kommentarer. Det er ikke inngitt ytterligere kommentarer.
Saken ble behandlet i nemndas møte 22. juni 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Hans Marius Graasvold, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Påpeking av plikt - klagerett
Datatilsynet viser til forvaltningsloven § 28 første ledd som fastsetter at et enkeltvedtak kan påklages av en «part eller annen med rettslig klageinteresse», og til § 2 første ledd bokstav b, jf. bokstav a som fastsetter at et enkeltvedtak er en «avgjørelse som treffes under utøving av offentlig myndighet» og som er «bestemmende for rettigheter eller plikter til en eller flere bestemte personer».
Datatilsynet fastslår deretter at tilsynets brev til X AS 27. november 2020 med påpeking av plikt og avslutning av sak ikke er et enkeltvedtak etter forvaltningsloven § 2 som gir klagerett etter forvaltningsloven. Påpeking av plikt innebærer at forvaltningen påpeker hvilke rettigheter eller plikter som springer direkte ut av lov eller forskrift. Tilsynet viser til at forvaltningslovutvalget i NOU 2019:5 konkluderer med at reaksjonsformen «påpeking av plikt» ikke er et vedtak, jf. lovavdelingens uttalelse 25.02.1998 (Saksnummer: 1998/554 E).
Beslutning om å avslutte saken
Datatilsynet kommer til at A heller ikke har klagerett på Datatilsynets beslutning om å avslutte saken etter å ha påpekt selskapets plikter.
Datatilsynet viser til at de mottar et svært høyt antall klager. Etter personvernforordningen artikkel 57 nr. 1 bokstav f, skal Datatilsynet behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 80, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet.
Utfra en skjønnsmessig hensiktsmessighetsvurdering velger Datatilsynet hvilke saker tilsynet ser behov for å gjøre nærmere undersøkelser i og vurderer om tilsynet går videre med undersøkelser ut fra hvor sannsynlig det er at det foreligger brudd og hvor alvorlige et mulig brudd på personvernregelverket vil være.
Datatilsynet gjennomgikk As klage og dokumentene hun sendte, og vurderte at det ikke var beskrevet forhold som ga grunnlag for nærmere undersøkelser enn å innhente en redegjørelse fra X AS.
Datatilsynet anså det lite sannsynlig at personvernreglene var brutt i saken, og at arten av et eventuelt brudd tilsa at Datatilsynet neppe ville gi korrigerende tiltak etter personvernforordningen artikkel 58 nr. 2.
Tilsynet konkluderte med at vilkårene for klagerett i forvaltningsloven § 28 første ledd ikke er oppfylt og at klagen skal avvises, jf. forvaltningsloven § 33 annet ledd, tredje punktum.
I oversendelsen av saken til nemnda 1. mars 2021 uttaler tilsynet at en beslutning om ikke å gjøre nærmere undersøkelser i en sak ikke er bestemmende for klagerens rettigheter eller plikter. I sin begrunnelse viser Datatilsynet til Personvernnemndas vedtak i sak PVN-2020-07 der nemnda avviste en klage i en sak som gjaldt klage over valg av reaksjon ved konstatert brudd på personopplysningssikkerheten.
As syn på saken i korte trekk
X AS har foretatt en ulovlig kredittsjekk av henne. Når en kredittsjekk er gjennomført mottar den det gjelder et gjenpartsbrev, slik hun har mottatt i denne saken.
Hun har ingen tilknytning til X AS, og virksomheten hadde derfor ingen saklig grunn til å søke etter hennes kredittopplysninger hos Bisnode AS. Det er i strid med loven å bruke kredittopplysingstjenesten til å innhente postadresse.
Hun opplever hendelsen som en alvorlig krenkelse av privatlivets fred. At hun hadde lagt inn en kredittsperre og at kredittopplysninger ikke ble utlevert utgjør en ren tilfeldighet.
X AS vil ikke oppgi hvem i selskapet som kredittvurderte henne, men hun har grunn til å tro at det er nåværende samboer til hennes tidligere samboer, som hun har barn med. Vedkommende er ansatt i X AS.
Datatilsynet ga henne ikke opplysninger om klagerett, og tilsynets saksbehandler kunne ikke svare på hvorvidt hun kunne klage på tilsynets beslutning eller ikke. Ved et raskt søk på nettet fant hun informasjon om sin adgang til å klage på Datatilsynets vedtak.
Hun klager på Datatilsynets vedtak om avvisning av saken. Datatilsynet bagatelliserer hendelsen, hvilket er uheldig og sender feil signal til hvordan virksomheter og ansatte kan misbruke sin tilgang til kredittvurderinger.
Personvernnemndas vurdering
Datatilsynet har avvist As klage. Datatilsynets avgjørelse om avvisning anses som enkeltvedtak, jf. forvaltningsloven § 2 tredje ledd. Nemnda skal vurdere Datatilsynets avvisningsvedtak, og ikke ta stilling til hvorvidt X AS foretok en ulovlig kredittvurdering av A.
Datatilsynet avsluttet saken overfor X AS i brev til X AS 27. november 2020, der tilsynet påpekte selskapets plikter ved innhenting av kredittvurderinger. Nemnda er enig med Datatilsynet i at brevet til X AS 27. november 2020 med påpeking av plikt i seg selv ikke er et enkeltvedtak fordi brevet ikke er «en avgjørelse som treffes under utøving av offentlig myndighet og som generelt eller konkret er bestemmende for rettigheter eller plikter til private personer», jf. forvaltningsloven § 2 første ledd bokstav a og b. Verken den brevet er rettet til eller andre vil ha klagerett etter forvaltningsloven over dette brevet.
Spørsmålet for nemnda er om Datatilsynet kan velge å avslutte en sak som dette på denne måten, eller om A har egne partsrettigheter som gjør at hun kan kreve at Datatilsynet behandler saken og tar stilling til om hennes personopplysninger er ulovlig behandlet.
Forvaltningsloven § 2 første ledd bokstav e definerer partsbegrepet som «person som en avgjørelse retter seg mot eller som saken ellers direkte gjelder». Begrepet omfatter både enkeltindivider og juridiske personer (selskaper, foreninger etc.). Det kan ikke være tvil om at X AS har behandlet personopplysninger om A i sin kontakt med Bisnode AS. Selv om det ikke er truffet noen avgjørelse som retter seg mot A, er det ingen tvil om at saken «direkte gjelder» henne og at hun må anses som part i saken som hun har bragt inn for Datatilsynet.
Etter at A mottok gjenpartsbrevet fra Bisnode AS 6. september 2019 med informasjon om at X AS hadde forsøkt å foreta en kredittvurdering av henne, klaget A X AS inn til Datatilsynet 6. oktober 2019. A benyttet med dette sin rett til å klage til en tilsynsmyndighet etter personvernforordningen artikkel 77, jf. forordningens fortalepunkt 141. Artikkel 77 fastsetter at enhver som «anser at behandlingen av personopplysninger som gjelder vedkommende, er i strid med denne forordning» har rett til å inngi klage til tilsynsmyndigheten, og at tilsynsmyndigheten som klagen er inngitt til «skal underrette klageren om forløpet av klagebehandlingsforløpet og utfallet av klagen». Det følger også av forvaltningsloven § 11 a at forvaltningsorganet skal forberede og avgjøre saken uten ugrunnet opphold.
Datatilsynets oppgaver følger av personvernforordningen artikkel 57. Datatilsynet skal etter bestemmelsen behandle en klage som er inngitt av en registrert og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.
Etter at A klaget til Datatilsynet i september 2019 har ikke Datatilsynet underrettet A om klagebehandlingsforløpet eller om utfallet av klagen, verken da X AS redegjorde for saken i juni 2020, og heller ikke da Datatilsynet avsluttet saken ved brev til X AS 27. november 2020. A ble først orientert om saken og fikk oversendt brevet fra tilsynet til X AS da hun selv kontaktet tilsynet 20. januar 2021 og etterspurte status i saken.
Nemnda har i sin praksis lagt til grunn at en registrert som får sine personopplysninger behandlet av en behandlingsansvarlig er å anse som part i en sak hvor Datatilsynet vurderer om den behandlingsansvarlige har behandlet personopplysningene om den registrerte i tråd med loven. Personvernnemnda har videre lagt til grunn at Datatilsynets avgjørelse om at den behandlingsansvarliges behandling av personopplysninger om den registrerte ikke er ulovlig og i strid med personopplysningsloven, er en avgjørelse som er bestemmende for rettigheter og plikter for den registrerte og dermed et enkeltvedtak som kan påklages. En slik lovforståelse følger av entydig praksis fra Personvernnemnda, blant annet PVN-2018-10, PVN-2019-05, PVN-2019-12 og PVN-2020-24. Datatilsynet avsluttet disse sakene etter en kort realitetsvurdering, og den registrerte i hver sak klaget Datatilsynets vedtak om avslutning til nemnda. Nemnda kom til at Datatilsynets avgjørelse om å avslutte saken var forsvarlig og innenfor lovens rammer. Det var ikke tvilsomt at den registrerte i disse sakene hadde klagerett på Datatilsynets vedtak om avslutning av sak. Det er vanskelig å se hvorfor det skulle være annerledes i en sak hvor Datatilsynet unnlater å ta stilling til om det er skjedd brudd på personvernforordningen.
Etter nemndas vurdering må Datatilsynets avgjørelse om å avslutte en sak uten å ta stilling til om klagerens personopplysninger er behandlet ulovlig, anses som en avgjørelse som er bestemmende for As rettigheter, og er dermed et enkeltvedtak som gir henne klagerett, jf. forvaltningsloven § 2 første ledd bokstav a og b og § 28 første ledd.
Vilkårene for å behandle As klage er oppfylt. Datatilsynet må foreta en materiell vurdering av saken og ta stilling til om X AS har behandlet As personopplysninger uten å ha gyldig behandlingsgrunnlag, og dersom de ikke har det, vurdere om det skal besluttes korrigerende tiltak, jf. personvernforordningen artikkel 58 nr. 2.
Nemnda har i PVN-2020-07 lagt til grunn at Datatilsynets valg av reaksjon overfor de behandlingsansvarlige ikke var en avgjørelse som rettet seg mot de registrerte og dermed heller ikke bestemmende for deres rettigheter og plikter. Dette er imidlertid noe annet enn retten til å få vurdert om personopplysninger om seg selv er behandlet ulovlig.
A har fått medhold i sin klage.
Konklusjon
Vilkårene for å behandle As klage er oppfylt. Saken sendes til Datatilsynet for realitetsvurdering.
Vedtaket er enstemmig.
Oslo, 22. juni 2021
Mari Bø Haugstad
Leder