Personvernnemndas vedtak 30. august 2022 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth, Heidi Talsethagen)
Saken gjelder klage fra A på Datatilsynets vedtak 15. november 2021 om avslag på krav om sletting av personopplysninger hos NAV.
Sakens bakgrunn
NAV mottok 24. mai 2019 søknad om økonomisk krisehjelp fra A. I NAVs vedtak 29. mai 2019 ble As søknad delvis innvilget. Vedtaket ble senere omgjort, da A ble innvilget arbeidsavklaringspenger og NAV anså henne som økonomisk selvhjulpen fra og med juni måned. A påklaget vedtaket 19. juni 2019, og trekker i klagen blant annet fram behovet for økonomisk bistand til svømmetrening. Hun påpeker også at saksbehandleren uriktig har angitt i vedtaket at hun har «nerveproblemer», mens hun i virkeligheten har nevropati som følge av cellegiftbehandling.
A framsetter 26. august 2019 krav om at NAV sletter de uriktige opplysningene om at hun lider av «nerveproblemer». I brev 4. september 2019 beklager NAV den uriktige opplysningen og redegjør for at dette vil bli rettet:
«… vil innledningsvis igjen beklage at det er brukt feil begrep for årsak til behov for trening/ svømming. Behovet for trening/svømming ble formidlet fra brukers mor, da hun kom til NAV […] med en kontoutskrift som vi hadde etterspurt i forbindelse med søknaden. NAV […] er enig i at de notatførte opplysningene kan oppfattes som feilaktige og misvisende. Det vil derfor bli opprettet et notat hvor det framkommer at opplysningene kan tolkes feil, og at bruker lider av nevropati og ikke har «nerveproblemer». Dette notatet vil bli linket opp til brukers sak.»
I brev til NAV 5. november 2019 opprettholder A sitt krav om sletting av opplysningene. NAV svarer på kravet i brev 17. februar 2020 og opprettholder sin vurdering om at kravet er oppfylt ved retting.
A brakte saken inn for Datatilsynet 6. mars 2020 og opprettholdt sitt krav om sletting, jf. personvernforordningen artikkel 17.
Datatilsynet ba NAV redegjøre for saken 28. april 2021, hvilket NAV gjorde i brev til tilsynet 27. mai 2021.
I vedtak 15. november 2021avsluttet Datatilsynet saken, og konkluderte slik:
«Datatilsynet har kommet til at klager ikke har krav på å få slettet de aktuelle personopplysningene om seg hos NAV […], jf. personvernforordningen artikkel 17 nr. 1, jf. nr. 3.
Klager har fått oppfylt sin rett til retting av opplysningene, jf. personvernforordningen artikkel 16.»
Etter å ha fått utsatt klagefrist klaget A rettidig over Datatilsynets vedtak 17. desember 2021.
Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Datatilsynet oversendte saken til Personvernnemnda 29. april 2022. Partene ble orientert om saken i brev fra nemnda 4. mai 2022, og fikk anledning til å komme med kommentarer. Ingen av partene har inngitt kommentarer.
Saken ble behandlet i nemndas møte 30. august 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth og Heidi Talsethagen.
Datatilsynets vurdering i korte trekk
Datatilsynet drøfter først to mulige rettslige grunnlag for å pålegge sletting: 1) sletting som følge av ulovlig behandling av personopplysninger, jf. personvernforordningen artikkel 17 nr. 1 bokstav d) og 2) sletting som følge av fremsatt protest, jf. artikkel 17 nr. 1 bokstav c.
Sletting på grunn av ulovlig behandling
Datatilsynet mener at all dokumentasjon i saken må ses i sammenheng og viser til at A ba NAV om informasjon om muligheten til å søke støtte til trening/svømming samtidig som hun søkte økonomisk sosialhjelp. As mor leverte nødvendig dokumentasjon i forbindelse med søknaden. NAV behandlet saken og fattet vedtak. Da A klaget på vedtaket trakk hun også fram behovet for økonomisk støtte til svømmetrening.
Datatilsynet konkluderer med at NAV ikke har behandlet personopplysninger om A ulovlig, jf. personvernforordningen artikkel 6 nr. 1. Sletting i medhold av personvernforordningen artikkel 17 nr. 1 bokstav d kan derfor ikke skje.
Sletting etter protest fra den registrerte
Datatilsynet legger til grunn at inngangsvilkåret etter artikkel 21 nr. 1 er oppfylt ved at NAV utøver offentlig myndighet når de vurderer en søknad fra klager om en offentlig ytelse, samt at NAVs behandling av personopplysninger for arkivformål har sitt rettslige grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e, jf. arkivloven § 6 med forskrifter.
Datatilsynet viser videre til at for at den registrerte skal kunne protestere mot behandlingen etter artikkel 21 nr. 1, må det foreligge «grunner knyttet til vedkommendes særlige situasjon». Hvis dette er tilfelle, kan den behandlingsansvarlige ikke fortsette å behandle personopplysningene med mindre den behandlingsansvarlige kan påvise at det foreligger «tvingende berettigede grunner» for å behandle opplysningene samt at disse grunnene «går foran den registrertes interesser, rettigheter og friheter», eller at behandlingen er nødvendig «for å fastsette, gjøre gjeldende eller forsvare rettskrav».
Datatilsynet legger til grunn at klager opplever at NAVs behandling av feilaktige opplysninger om at hun har «nerveproblemer» er en belastning for henne. Hun er i et skjevt maktforhold overfor NAV der NAV har myndighet til å beslutte om hun skal innvilges offentlige ytelser. Tilsynet mener derfor at det foreligger «grunner knyttet til vedkommendes situasjon» som gir klager rett til å protestere mot den aktuelle behandlingen av personopplysninger.
Datatilsynet konkluderer likevel med at NAV har tvingende berettigede grunner til å behandle opplysningene og at disse grunnene må gå foran klagers behov for å få opplysningene slettet. Tilsynet viser til at NAV har en plikt til og et behov for å dokumentere den nærmere behandlingen av klagers sak, samt at NAV også har en lovpålagt arkivplikt for nødvendige og arkivverdige opplysninger, jf. arkivloven § 6 med forskrifter. Klager har dermed heller ikke rett til å få opplysningene slettet i medhold av personvernforordningen artikkel 17 nr. 1 bokstav c.
Unntak fra retten til sletting
Etter å ha konkludert med at A ikke har krav på sletting etter artikkel 17 nr. 1 bokstav c eller d, påpeker Datatilsynet, subsidiært, at personvernforordningen artikkel 17 nr. 3 bokstav b og d uansett er til hinder for sletting i dette tilfellet.
Tilsynet viser til nødvendigheten av å dokumentere for ettertiden NAVs vurderinger og grunnlaget for disse, den fortløpende saksbehandlingen og etterfølgende korrespondanse. Datatilsynet legger til grunn at opplysningene som er nødvendig dokumentasjon i en sak også vil være arkivverdige opplysninger. Arkivloven med forskrifter og den påfølgende arkivplikten vil etter Datatilsynets vurdering uansett være til hinder for å slette de aktuelle personopplysningene, jf. personvernforordningen artikkel 17 nr. 3 bokstav b.
Retting
Datatilsynet legger til grunn at A har fått oppfylt sin rett til retting av opplysningene, jf. personvernforordningen artikkel 16.
As syn på saken i hovedtrekk
NAV har behandlet personopplysningene hennes ulovlig. NAV opprettet en søknad og registrerte sensitive opplysninger om henne uten hennes samtykke eller medvirkning. Hun har krav på sletting av alle data som er registrert om henne i denne forbindelse, jf. artikkel 17 nr. 1 bokstav d.
Det er riktig at hun søkte om økonomisk sosialhjelp 22. mai 2019, men hun søkte ikke om støtte til svømmetrening i den forbindelse. I sin henvendelse til NAV 23. mai 2019 etterspør hun informasjon om støtteordninger. Hun fremsetter ikke en faktisk søknad, noe som understøttes i svaret fra NAV.
Det fremgår derimot av brev fra NAV til hennes advokat 4. september 2019at «Behovet for trening/svømming ble formidlet fra klagers mor, da hun kom til NAV med en kontoutskrift som vi har etterspurt i forbindelse med søknaden». NAV kan ikke høres med at klagers mor samtidig overleverte nødvendig dokumentasjon for søknad om økonomisk støtte til svømming/trening.
Hennes mor hadde ikke fullmakt til å representere henne utover å avlevere en konvolutt som inneholdt en kontoutskrift.
Opplysningene om at hun lider av «nerveproblemer» er åpenbart feilaktige og må slettes. Hun er alvorlig kreftsyk og opplever disse opplysningene som en tilleggsbelastning Det er ikke tilstrekkelig at NAV har opprettet et notat hvor det framkommer at opplysningene kan oppfattes som misvisende og feilaktig.
NAV har behandlet As personopplysninger ulovlig og hun har rett til å få opplysningene slettet, jf. personvernforordningen artikkel 17. nr. 1 bokstav d.
NAV bør ilegges et overtredelsesgebyr, jf. personopplysningsloven § 26.
NAVs syn på saken i hovedtrekk
Det er ikke riktig at NAV opprettet søknad om økonomisk støtte på bakgrunn av en samtale med klagers mor. A søkte selv om økonomisk støtte, og mor var sendt av datter til NAV-kontoret for å levere etterspurt dokumentasjon som var nødvendig for å behandle saken.
Den registrerte har ikke rett til sletting av personopplysninger dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. personvernforordningen artikkel 17 nr. 3 bokstav b. NAV må kunne dokumentere hvordan en behandling og retting har foregått.
Det er i NAVs særlige interesse å kunne dokumentere den nærmere behandlingen av saken og oppfylle sin arkiveringsplikt, jf. Riksarkivarens forskrift § 7-30 første ledd bokstav c.
Arkivlovens regler om kassasjon og innskrenket råderett går foran retten til sletting. NAV har ingen plikt til å slette de aktuelle opplysningene.
Retting gjennom et tilleggsnotat 4. september 2019 er det korrekte tiltaket i saken, jf. personvernforordningen artikkel 16. Retting ivaretar prinsippet om korrekte saksopplysninger. A blir derfor i svært liten grad påvirket av behandlingen. Notatet er et saksdokument utarbeidet som ledd i saksbehandlingen som ligger til grunn for offentlige ytelser til A. Notatet er registrert i et internt saksbehandlingssystem og er kun tilgjengelig for ansatte med tjenstlig behov og A selv.
Personvernnemndas vurdering
Krav om sletting
Personvernforordningen artikkel 17 nr. 1 gir den registrerte rett til å få opplysninger om seg slettet på visse vilkår.
A har for det første vist til artikkel 17 nr. 1 bokstav d som grunnlag for sletting av sine personopplysninger, fordi «personopplysningene er blitt behandlet ulovlig».
Nemnda er enig med Datatilsynet i at NAV ikke har behandlet personopplysninger om A ulovlig. A har søkt NAV om økonomisk sosialhjelp i forbindelse med at hun i en overgangsfase fikk utbetalt for lite sykepenger. Hun har selv i klagen over NAVs vedtak redegjort for at hun trenger å trene og svømme i varmtvannsbasseng på grunn av nevropati og lagt ved legeerklæring om dette. NAV hadde behandlingsgrunnlag for å behandle As personopplysninger, herunder de nevnte helseopplysningene, etter personvernforordningen artikkel 6 nr. 1 bokstav e (utøvelse av offentlig myndighet) og artikkel 9 nr. 2 bokstav h (yting av helse- og sosialtjenester) og As helseopplysninger var nødvendig i forbindelse med forvaltning av helse- og sosialtjenester, jf. personvernforordningen artikkel 9 nr. 2 bokstav h, jf. lov om sosiale tjenester. NAV-ansatte er underlagt taushetsplikt etter sosialtjenesteloven § 44, slik at kravet i artikkel 9 nr. 3 er oppfylt.
Selv om den opprinnelige behandlingen av personopplysningene er lovlig, har den registrerte på visse vilkår rett til å kreve sletting av opplysningene, jf. artikkel 17 nr. 1. Artikkel 17 nr. 3 åpner imidlertid for flere unntak fra denne retten til å kreve sletting. De relevante unntakene fra sletteplikt i denne saken følger av artikkel 17 nr. 3 bokstav b og d. De lyder slik:
«Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig
[…]
b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
[…]
d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Nemnda legger til grunn at formålet med innsamling av personopplysningene opprinnelig var å behandle As søknad om økonomisk sosialhjelp. NAV har ikke lenger noen søknader fra A om økonomisk støtte, og NAVs formål med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse i tråd med bestemmelsene om arkivverdig materiale i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova (lov-1992-12-04-126) med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med lova er ifølge § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift 19. desember 2017 nr. 2286 § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
I forskriften del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23 og § 7-30. I forskriften § 7-30 første ledd bokstav c er det bestemt at sosialtjenesten (NAV) i saker om enkeltindivider skal bevare følgende dokumentasjon for ettertiden: «saker om rettigheter og plikter med hjemmel i helse- og omsorgstjenesteloven med forskrifter og lov om sosiale tjenester med forskrifter som kan danne grunnlag for erstatning». Disse opplysningene skal ikke gjøres til gjenstand for kassasjon og NAV kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen artikkel 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav c, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).
Kravet om sletting tas etter dette ikke til følge.
Krav om retting
Personvernforordningen artikkel 5 fastsetter prinsipper for behandling av personopplysninger. I artikkel 5 nr. 1 bokstav d framgår det at opplysningene skal være korrekte og om nødvendig oppdaterte og at det må treffes ethvert «rimelig tiltak» for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes.
Personvernforordningen artikkel 16 gir den registrerte rett til retting:
«Den registrerte skal ha rett til å få uriktige personopplysninger om seg selv rettet av den behandlingsansvarlige uten ugrunnet opphold. Idet det tas hensyn til formålene med behandlingen skal den registrerte ha rett til å få ufullstendige personopplysninger komplettert, herunder ved å framlegge en supplerende erklæring."
Det er enighet om at opplysningen om at A har «nerveproblemer» representerer en uriktig personopplysning i hennes sak hos NAV. Opplysningen er rettet ved at NAV i et notat i saken 4. september 2019 har presisert at hun lider av nevropati og ikke har «nerveprobleme.
I likhet med Datatilsynet legger nemnda etter dette til grunn at A har fått oppfylt sin rett til retting etter personvernforordningen artikkel 16.
A har ikke fått medhold i sin klage.
Konklusjon
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 30. august 2022
Mari Bø Haugstad
Leder