Personvernnemndas vedtak 28. mars 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak om avvisning av hans klage fordi den var for sent framsatt.
Sakens bakgrunn
A kontaktet NAV/X kommune (NAV) og ba om sletting av opplysninger i tre søknader om sosialhjelp, jf. personvernforordningen artikkel 17.
NAV avslo slettekravet 26. januar 2021 under henvisning til blant annet arkivlova § 9 bokstav d. I vedtaket opplyses det om at vedtaket kan påklages til statsforvalteren. A klaget deretter til statsforvalteren som 16. april 2021 avviste klagen og informerte om at Datatilsynet er riktig klageinstans. A kontaktet Datatilsynet 22. april 2021 og ba om bistand til å slette opplysningene hos NAV.
I brev til A 29. april 2021 sier Datatilsynet seg uenig med statsforvalteren i at statsforvalteren ikke er rett klagemyndighet. Deretter redegjør tilsynet for at tilsynet ikke har kompetanse til å pålegge sletting av arkivverdig materiale og avslutter saken. Datatilsynet skriver at tvist om hva som er riktig praktisering av arkivlova må klages inn til statsforvalteren, eventuelt i samråd med Riksarkivaren. I brevet opplyser Datatilsynet at beslutningen om å avslutte saken ikke er et enkeltvedtak etter forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og at beslutningen derfor ikke kan påklages.
Da A i mellomtiden hadde flyttet kom ikke Datatilsynets brev fram og Datatilsynet sendte brevet på nytt 19. mai 2021 med riktig adresse.
A kontaktet statsforvalteren på nytt 26. august 2021. I brev til A 27. oktober 2021 opprettholdt statsforvalteren at det er Datatilsynet og ikke statsforvalteren som er rett klageorgan på avslag om sletting av personopplysninger etter personvernforordningen artikkel 17. Statsforvalteren veiledet også om sin forståelse av reglene. Kopi av brevet ble sendt til Datatilsynet.
A sendte e-post til Datatilsynet 28. oktober 2021 og ba om at tilsynet avklarte hvem som er klage- og tilsynsorgan i denne saken samt ba om at tilsynet behandlet hans sletteanmodning.
I brev til A 25. januar 2022 med overskriften «Melding til klager» sier Datatilsynet seg enig i at tilsynet er klage- og tilsynsorgan når det gjelder As slettekrav, men at spørsmålet om opplysningene kan slettes beror på rekkevidden av kassasjonsforbudet i arkivlova. I og med at tilsynet ikke har kompetanse til å overprøve NAVs vurdering av i hvilken grad opplysningene er arkivpliktige anser ikke Datatilsynet det hensiktsmessig å behandle saken, jf. personvernforordningen artikkel 57 nr. 1 bokstav f og avslutter saken.
A klaget på Datatilsynets avgjørelse 15. mai 2022. I vedtak 18. mai 2022 avviste Datatilsynet klagen under henvisning til at den var framsatt etter klagefristen på tre uker. Datatilsynet fant ikke at det forelå særlige grunner som gjorde det rimelig at klagen likevel skulle prøves, jf. forvaltningsloven § 31 første ledd bokstav b. Brevet kom i retur til Datatilsynet på grunn av uriktig adresse (A hadde flyttet) og ble deretter sendt ut på nytt og mottatt av A først 30. september 2022.
I e-post til Datatilsynet 1. oktober 2022 opplyste A at klagen ikke var ferdig behandlet av statsforvalteren og at statsforvalteren henviste ham til Datatilsynet. Det var derfor fremdeles uklart for ham hvem som er rett klageinstans. A opplyste at han også kontaktet Sivilombudet for en avklaring, men at Sivilombudet avviste saken og henviste ham til Personvernnemnda.
A klaget rettidig på avvisningsvedtaket 21. oktober 2022. Datatilsynet fant ikke grunnlag for å endre sin avgjørelse og sendte saken til Personvernnemnda 21. november 2022. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt kommentarer i e-poster til nemnda 28. og 29. november 2022.
Saken ble behandlet i nemndas møte 28. mars 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
As syn på saken i korte trekk
Han viser til sakens dokumenter og Datatilsynets avvisning av hans klage, først mottatt av ham 30. september 2022.
Han ber Personvernnemnda hente inn dokumentene i saken, herunder Arkivverkets uttalelse til Statsforvalteren i Y. Han har bare fått innsyn i anmodningen om uttalelse. Kjernen i saken for han er å få slettet personopplysninger hos NAV fordi den opphavelige søknaden aldri ble fullført og derfor ikke var komplett. Den konkrete situasjonen ble løst privat uten behov for sosialhjelp.
Det er uklart hvem som skal behandle klagen og dermed også hvem som kan pålegge NAV å slette de arkiverte opplysningene. Han har også brakt saken inn for Sivilombudet som viser til at det er først når Personvernnemnda har tatt stilling til saken at han kan bringe saken inn for ombudet. Han ber derfor Personvernnemnda ta stilling til slettekravet.
Status nå, er at saken er en kasteball mellom NAV, Statsforvalteren i Y, Datatilsynet og Arkivverket, og ingen tar egentlig stilling til saken.
Han klager på Datatilsynets avgjørelse om å avvise klagen hans.
Personvernnemndas vurdering
Om klagen skal avvises som for sent framsatt
Det er Datatilsynets avgjørelse 25. januar 2022 som avslutter saken og det er denne avgjørelsen som er påklaget. Fristen for å klage på et vedtak er tre uker regnet fra det tidspunktet parten fikk underretning om vedtaket, jf. forvaltningsloven § 29. Det foreligger ingen klare opplysninger om når A mottok Datatilsynets brev datert 25. januar 2022, men As klage er datert 15. mai s.å., dvs. nesten fire måneder senere. Selv om postgangen noen ganger bruker lang tid, legger nemnda til grunn at klagefristen på tre uker er overskredet med flere uker og at klagen er framsatt for sent, jf. forvaltningsloven § 29.
Selv om klageren har oversittet klagefristen, kan klagen tas under behandling såframt parten ikke kan lastes for å ha oversittet fristen eller for å ha drøyd med klage etterpå, eller det av særlige grunner er rimelig at klagen blir prøvd, jf. forvaltningsloven § 31 første ledd bokstav a og b. Ved vurderingen av om klagen bør tas opp til behandling, skal det også legges vekt på om endring av vedtaket kan medføre skade eller ulempe for andre, jf. andre ledd.
I Norsk Lovkommentar, note 841 og 842 uttaler professor Jan Fridthjof Bernt følgende om når fristoversittelsen er unnskyldelig:
«Fristoversittelsen vil først og fremst være unnskyldelig dersom det ikke er gitt orientering om klagefristen som påbudt i [forvaltningsloven] § 27, men også subjektive forhold som ulykke, alvorlig sykdom eller lignende vil etter omstendighetene være grunnlag for å ta klagen under behandling, til tross for at den er for sent fremsatt.»
Om «særlige grunner» uttaler Bernt videre i note 843:
«I lovproposisjonen, Ot.prp. nr. 3 (1976-77) s. 91-92, nevnes særskilt at det ofte vil være rimelig å behandle klager over "rettsanvendelsen" fordi "rettsspørsmålet ikke derved bringes ut av verden". En tok formodentlig sikte på at organet senere likevel kan komme til å måtte vurdere dette igjen, og at det kan komme på spissen gjennom en rettssak bl.a. dersom vedkommende tiltales for å ha overtrådt vedtaket.»
Etter nemndas vurdering er vilkårene for å prøve klagen selv om klagefristen er oversittet klart oppfylt. Nemnda viser til Datatilsynets saksbehandling som ikke har slått heldig ut for A. Han har endt opp med å bli henvist fram og tilbake mellom ulike offentlige myndigheter som ikke er enig om hvem som har kompetanse til å treffe vedtak i saken.
Datatilsynet avsluttet først saken i brev til A 29. april 2021 og opplyste at beslutningen om å avslutte saken ikke var et enkeltvedtak etter forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og at han derfor ikke hadde klagerett på avgjørelsen. Etter en ny runde med behandling av saken hos statsforvalteren som opprettholder at de ikke er rett myndighet til å håndtere slettekrav etter personvernforordningen artikkel 17, havner saken på nytt hos Datatilsynet. Når Datatilsynet deretter avslutter saken igjen 25. januar 2022 i brev med overskriften «Melding til klager» sier tilsynet seg enig med statsforvalteren i at tilsynet er rett klageinstans, men konkluderer likevel med at tilsynet ikke anser det hensiktsmessig å behandle saken. Det gis ingen opplysninger om hvorvidt avgjørelsen kan påklages og den eventuelle fristen for dette.
Nemnda legger etter dette til grunn at fristoversittelsen er unnskyldelig. A kan etter nemndas syn ikke «lastes for å ha oversittet fristen», jf. forvaltningsloven § 31 andre ledd bokstav a.
Om Datatilsynets avgjørelse er et enkeltvedtak som gir klagerett
Det er Datatilsynets brev 25. januar 2022 med overskriften «melding til klager» som er påklaget. Etter forvaltningsloven § 28 første ledd er det enkeltvedtak som kan påklages.
Det framgår ikke av Datatilsynets brev som avslutter saken at det er et vedtak. Tilsynet skriver både at det er rett klage- og tilsynsorgan når det gjelder slettekrav, men også at det ikke har kompetanse eller myndighet til å overprøve NAVs egen vurdering av det framsatte kravet om sletting. Videre uttaler Datatilsynet: «Det ligger altså innanfor Datatilsynets mynde- og kompetanseområde å behandle slettekravet ditt, men av ovannemnte grunner ser vi det ikkje som formålstenleg». Nemnda oppfatter disse uttalelsene som motstridende og antar at dette kan ha ført til at saken har blitt sendt fram og tilbake mellom statsforvalter og Datatilsynet.
Nemnda understreker at det er Datatilsynet som er tilsynsmyndighet når det gjelder krav om sletting etter artikkel 17 nr. 1. Det innebærer at Datatilsynet blant annet skal ta stilling til rekkevidden av unntakene som følger av artikkel 17 nr. 3 bokstav b og d. Dette gjelder også krav om sletting av arkiverte dokumenter hos offentlige myndigheter. Ved Datatilsynets behandling av et slettekrav har tilsynet mulighet til å innhente en uttalelse fra Riksarkivaren i saker der tilsynet anser det nødvendig for å kunne ta stilling til slettekravet. At den offentlige myndighetens egen vurdering av om opplysningene er nødvendig for arkivformål skal tillegges stor vekt, endrer ikke på at Datatilsynet er rette myndighet for å ta imot og behandle slettekrav etter artikkel 17.
Til tross for den påpekte uklarheten i Datatilsynets brev 25. januar 2022 anser nemnda samlet sett at brevet må forstås som et avvisningsvedtak som kan påklages.
Om A kan kreve sine personopplysninger slettet hos NAV
Datatilsynet har ikke foretatt en realitetsvurdering av As slettekrav. Med denne sakens historikk, ser nemnda det som lite hensiktsmessig å sende saken tilbake til Datatilsynet for en ny vurdering av dette spørsmålet. Nemnda vil derfor ta stilling til As slettekrav.
Personvernforordningen artikkel 17 nr. 1 gir den registrerte rett til å få opplysninger om seg slettet på visse vilkår. Det aktuelle alternativet for å kreve sletting i dette tilfellet er artikkel 17. nr. 1 bokstav c (den registrerte protesterer mot behandlingen etter artikkel 21 nr. 1 og det ikke finnes mer tungtveiende grunner til behandlingen).
Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse (bokstav b) eller for arkivformål i allmennhetens interesse (bokstav d).
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til
sletting, jf. § 28 første ledd i dagens lov. I motsetning til gjeldende personopplysningslov gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov § 27 tredje ledd og § 28 fjerde ledd.»
Dette innebærer at A ikke kan kreve opplysningene om seg slettet fra NAVs arkiv dersom fortsatt lagring av opplysningene er begrunnet i arkivformål i allmennhetens interesse, jf. personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. personopplysningsloven § 8.
Nemnda legger til grunn at NAVs formål med innsamling av personopplysningene opprinnelig var å behandle tre søknader om sosialhjelp. Saken er avsluttet hos NAV og formålet med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse i tråd med bestemmelsene i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Det rettslige utgangspunktet er et kassasjonsforbud, jf. arkivlova § 9 bokstav c, og innebærer at offentlig arkiv ikke kan kasseres uten en kassasjonstillatelse.
Nemnda viser til Statsforvalteren i Ys redegjørelse for reglene i brev til NAV, med kopi til A og Datatilsynet, 27. oktober 2021:
«Det følger av arkivlova § 6, sammenholdt med bestemmelsene i arkivforskriftens kapittel 2, at NAV har plikt til å arkivere alle saksdokumentene i saker om sosialhjelp. Følgelig er sletting også utelukket etter artikkel 17 nr. 3 bokstav d.
Vi vurderer derfor at A ikke har rett til å få slettet noen dokumenter eller personopplysninger i hans saker som omhandler søknad om sosialhjelp. Tvert imot har NAV etter arkivregelverket plikt til å ha alle disse dokumentene i sitt arkiv.»
Nemnda slutter seg til denne lovforståelsen. At de registrerte opplysningene etter As syn gir et misvisende bilde at situasjonen endrer ikke på NAVs arkivplikt.
At A mener saken i NAV ikke var komplett, endrer ikke på NAVs arkivplikt.
A får ikke medhold i sitt krav om sletting.
Vedtaket er enstemmig.
Konklusjon
A gis oppreising for oversittelse av klagefristen.
Datatilsynets avgjørelse er et enkeltvedtak som gir klagerett.
A får ikke medhold i sitt krav om sletting av opplysninger i NAVs arkiv, jf. personvernforordningen artikkel 17 nr. 3 bokstav b og d.
Oslo, 28. mars 2023
Mari Bø Haugstad
Leder