Personvernnemndas avgjørelse av 11. oktober 2016 (Eva I E Jarbekk, Ørnulf Rasmussen, Nina Melsom, Marta Ebbing, Ann R Sætnan, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage over ileggelse av overtredelsesgebyr for bruk av kjøreboken ABAX til andre formål.
2 Saksgang
Datatilsynet mottok 5. oktober 2014 en klage fra en ansatt ved Vaktmester Andersen AS vedrørende virksomhetens bruk av opplysninger fra den elektroniske kjøreboken ABAX. Det fremkom i klagen at arbeidsgiver hadde benyttet opplysningene i kjøreboken til å kontrollere at ansatte overholdt arbeidstiden og at de møtte til rett arbeidssted.
I brev av 8. oktober 2014 ba Datatilsynet Vaktmester Andersen AS om en redegjørelse i sakens anledning, herunder svar på en rekke spørsmål.
Vaktmester Andersen AS ved Codex Advokat AS redegjorde i brev av 10. november 2014.
I brev av 21. april 2015 varslet Datatilsynet vedtak om overtredelsesgebyr. I brev av 22. mai 2015 kommenterte Vaktmester Andersen AS varselet om vedtak og overtredelsesgebyr. Den 16. november 2015 fattet Datatilsynet vedtak om overtredelsesgebyr. I brev av 1. desember 2015 påklaget Vaktmester Andersen AS vedtak om overtredelsesgebyr.
Saken ble oversendt Personvernnemnda 19. mai 2016, som mottok saken 31. mai 2016. Klager ble orientert om dette i brev fra nemnda datert 1. juni 2016, med frist til uttalelse innen 15. august 2016.
3 Faktum
Saken gjelder Vaktmester Andersen AS’ bruk av opplysninger fra den elektroniske kjøreboken ABAX til andre formål enn det den opprinnelig var tenkt brukt til.
Den 16. november 2015 fattet Datatilsynet følgende vedtak:
- Vaktmester Andersen AS pålegges i medhold av personopplysningsloven § 46, 1. ledd betale et overtredelsesgebyr stort kroner 100 000 – hundre tusen 00/100 – for overtredelse av personopplysningsloven § 11 bokstav c ved at sammenstillingen av ansattes ukeplan med den elektroniske kjøreboken ikke var forenlig med det opprinnelige formålet for bruken av elektronisk kjørebok.
- Vaktmester Andersen AS pålegges i medhold av personopplysningsloven § 46, 4. ledd avslutte sin praksis med å sammenstille ansattes ukeplan og opplysninger fra den elektroniske kjøreboken uten at det foreligger et rettslig grunnlag.
4 Klagers anførsler
Vaktmester Andersen AS anfører at de opprettholder de prinsipale og subsidiære innsigelser og merknader som er inngitt tidligere i saken og viser til brev av 10. november 2014 og 22. mai 2015.
Den prinsipale innsigelsen går ut på at Vaktmester Andersen hadde hjemmel etter personopplysningsloven § 8 bokstav a), jf. § 11 bokstav a) for å behandle opplysningene. Det vises til avtale inngått med de ansatte. Avtalen gikk ut på en prøveordning om den ansattes adgang til å benytte fleksitid, møte direkte på arbeidssted og benytte firmaets bil mellom hjem og arbeidsplass. At dette var en prøveordning fremgår av kulepunkt 1 og 2 og side 2 i avtalen ved at partene hadde avtalt at ordningen kunne forlenges eller opphøre på nærmere angitte vilkår.
Hva angår avtalens formål hitsettes det fra ingressen:
Avtalen regulerer arbeidstagers tilgang til å benytte fleksitid og muligheten til å møte direkte på arbeidsstedet (eiendomsadresse) uten å møte på firmaets kontor ved arbeidsdagens begynnelse, samt å benytte firmaets bil mellom hjem og arbeidsplass.
Om forutsetningene for prøveordningen hitsettes:
Avtalen baserer seg på et absolutt tillitsforhold og informasjonsplikt mellom den enkelte ansatte og firmaet v/ledelsen.
Med henvisning til kulepunkt 4 på side 1 i avtalen hitsettes:
Arbeidstageren kan fritt disponere sin egen arbeidstid forutsatt at alle gitte oppgaver i eiendommene løses, og besøksfrekvens og evt. fastsatt besøksdag opprettholdes.
Det var en bekymringsmelding om den ansattes manglende overholdelse av oppmøtetid- og sted (besøksfrekvens og besøkstidspunkt) som utløste Vaktmester Andersens oppslag i kjøreboken. Den ansattes manglende overholdelse av sine oppgaver utgjorde da ikke bare et generelt brudd på den lojalitets- og samarbeidsplikt enhver arbeidstaker har, men et uttrykkelig brudd på den avtalte prøveordningen om fleksitid mv. Med de klausuler om avtalens forutsetninger, formål og betingelser som er gjengitt ovenfor, kan det ikke være tvil om at den ansatte rimeligvis måtte forvente en kontroll fra arbeidsgivers side ved brudd eller mistanke om brudd på avtalen.
For øvrig skal det bemerkes at det også i Avfallsservicedommen henvises til «hensynet til tillit i arbeidsforholdet». Det må i denne sammenheng understrekes at tillit i et arbeidsforhold skal være gjensidig. Tillitsforholdet i seg selv tilsier nettopp at den som blir utsatt for tillitsbrudd (her arbeidsgiver) må kunne kontrollere den som har utvist tillitsbruddet (her arbeidstaker).
Subsidiært anfører klager at overtredelsesgebyret er for høyt. I sitt forhåndsvarsel har Datatilsynet sammenlignet denne sak med Retura Sør-Trøndelagsaken. Sakene kan imidlertid ikke sammenlignes idet den ansatte som ble kontrollert i sistnevnte sak ble oppsagt fra sin stilling, og på grunn av de opplysninger som ble behandlet av arbeidsgiver. I nærværende sak medførte ikke behandlingen noen form for reaksjon overfor den ansatte, verken oppsigelse, advarsel eller annet. Vaktmester Andersen hadde heller ikke til hensikt å meddele noen reaksjon. I samtalen med den ansatte etter bekymringsmeldingen var målet utelukkende et ønske om å få svar på årsaken til at han ikke hadde vært på jobb som forutsatt. VA var åpen for å tilrettelegge for den ansatte basert på årsaken, enten det var tale om personlige forhold (sykdom, familiære forhold, mv) eller jobbrelaterte forhold (konflikt med ledelsen, kollegaer, mv). Det synes sterkt urimelig å ilegge klager et like stort overtredelsesgebyr som en arbeidsgiver som faktisk benyttet opplysningene til å si opp en arbeidstaker.
Vaktmester Andersen AS anfører videre i sin klage av 1. desember at det fremstår som en urimelig forskjellsbehandling at Datatilsynet ilegger overtredelsesgebyr i deres sak, mens Datatilsynet ikke fant grunnlag for å ilegge overtredelsesgebyr i Avfallsservicesaken.
5 Datatilsynets vurdering
Klager anfører at de hadde hjemmel i personopplysningsloven § 8 bokstav a) jf. § 11 bokstav a) til å sammenstille opplysninger. Datatilsynet har konkludert med at sammenstillingen av opplysningene for kontrollmessige formål var uforenlig med det opprinnelige formålet og at behandlingen derfor var ulovlig. Virksomheten opprettholder sin anførsel om at den hadde hjemmel i avtale. Det vises i den forbindelse til avtalen om fleksibel arbeidstid som inneholder et punkt om at avtalen baserer seg på et absolutt tillitsforhold og informasjonsplikt mellom den enkelte ansatte og firmaet v/ ledelsen. Bakgrunnen for at Vaktmester Andersen foretok et oppslag i kjøreboken var en bekymringsmelding om at den ansatte ikke overholdt oppmøtetid og sted. Innføringen av GPS-systemet og bruk av GPS-data til å føre en elektronisk kjørebok og til å ha flåtestyring var begrunnet i effektivitets- og rapporteringshensyn. Sammenstillingen av opplysningene fra GPS-systemet opp mot den ansattes ukeplan/ kjørerute innebar altså bruk av opplysningene til et annet formål enn det opprinnelig var tenkt brukt til. Tilsynet legger til grunn at det er enighet om dette utgangspunktet. Med andre ord var ikke kontrollformål et av de opprinnelige formålene.
Personopplysningsloven § 11 stiller opp grunnkrav som må være oppfylt for at en behandling av opplysninger skal være lovlig. For det første må det foreligge et behandlingsgrunnlag, jf §§ 8 og 9. Videre stiller § 11 bokstav c) opp et tilleggskrav for å bruke allerede innsamlede opplysninger til et annet formål:
Den behandlingsansvarlige skal sørge for at personopplysningene som behandles
c) ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen uten at den registrerte samtykker.
Bestemmelsen gir uttrykk for et formålsprinsipp (finalité-prinsippet), noe som innebærer at innsamling av opplysninger skal skje til uttrykkelige angitte og saklige formål og at senere behandling ikke må være uforenlig med disse formål. For det tilfellet at en behandling (det vil i dette tilfelle si sammenstillingen av opplysninger) er uforenlig med det opprinnelige formålet og den registrerte ikke har samtykket, er det altså uten betydning for lovligheten at behandlingen oppfylte kravene i personopplysningsloven § 8 bokstav a-f. Dette følger for øvrig direkte av Høyesteretts dom i Avfallsservicesaken Rt 2013 s 143, se dommens avsnitt 50 som viser til lovens forarbeider (Ot.prp. nr 92 (1998-1999) Om lov om behandling av personopplysninger):
Dette betyr at gjenbruk ikke kan forankres direkte i § 8 bokstav f alene; vilkårene i § 11 første ledd bokstav c må også være tilfredsstilt. Foruten at dette siste kan utledes av ordlyden i § 11 første ledd bokstav c, følger det uttrykkelig av det som videre uttales i proposisjonen:
«I tillegg oppstilles det som et særskilt vilkår at det nye formålet ikke må være uforenlig med det eller de formålene som opprinnelig lå til grunn for innsamlingen av personopplysningene, jf bokstav c. Vilkåret gir uttrykk for det såkalte finalitetsprinsippet og vil utgjøre en viktig begrensning bl.a. for adgangen til å bruke elektroniske spor og til å samkjøre registre eller andre informasjonssamlinger...»
Kravet om forenlighet innebærer at det til tross for at det nye formålet er hjemlet i § 8, kan være slik at de innsamlede opplysningene likevel ikke kan brukes for dette formålet. I så fall må den behandlingsansvarlige samle opplysningene inn på nytt».
Tilsynet kan ikke se at det er fremkommet nye opplysninger som skulle tilsi en annen konklusjon. Tilsynet har derfor kommet frem til at det foreligger brudd på personopplysningsloven § 11 bokstav c).
Datatilsynet har, i medhold av personopplysningsloven, anledning til å ilegge et overtredelsesgebyr ved brudd på personopplysningsloven eller forskrift gitt i medhold av loven (personopplysningsforskriften). Adgangen til å ilegge overtredelsesgebyr er gitt som virkemiddel for å sikre effektiv etterlevelse og håndhevelse av personopplysningsloven. Internrettslig er overtredelsesgebyr ikke å anse som straff, men en administrativ sanksjon. Det må imidlertid antas at overtredelsesgebyr er å anse som straff etter EMK (den europeiske menneskerettighetskonvensjonen) art. 6. I samsvar med Høyesteretts praksis, jf. Rt. 2012 side 1556 med videre henvisninger, legger derfor Datatilsynet til grunn at det kreves klar sannsynlighetsovervekt for lovovertredelse for å kunne ilegge gebyr. Saksforholdet og spørsmålet om å ilegge overtredelsesgebyr er vurdert med utgangspunkt i dette beviskravet.
I vurderingen av om overtredelsesgebyr skal ilegges skal det særlig legges vekt på momentene som er listet opp i personopplysningsloven § 46 annet ledd bokstav a til h:
a) hvor alvorlig overtredelsen har krenket de interesser loven verner,
Av personopplysningsloven § 1 annet ledd fremgår det at loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på opplysningene.
Sammenstillingen av opplysninger fra den elektroniske kjøreboken med de ansattes ukeplan/ kjørerute uten at det har vært informert om en slik bruk på forhånd må sies å ligge utenfor hva den registrerte har en rimelig forventning om hva personopplysningene som fremkommer av den elektroniske kjøreboken skal kunne brukes til. Vaktmester Andersen har ved sammenstillingen brutt formålsprinsippet, som innebærer at behandling av opplysninger skal skje for uttrykkelig angitte og saklige formål, og at senere behandling ikke må være uforenlig med disse formål.
b) graden av skyld,
Det fremkommer av forarbeidene til bestemmelsen (Ot.prp. nr. 71 (2007-2008) Om lov om endringer i personopplysningsloven mv. (forskriftshjemmel, overtredelsesgebyr og innkreving av tvangsmulkt) at det med graden av skyld siktes til hvor klanderverdig handlingen er, for eksempel om den bærer preg av et uhell eller om den har et mer systematisk eller planmessig preg. En arbeidsgiver har plikt til å sette seg inn i de lover og regler som regulerer dens virksomhet. Dette gjelder i høy grad de regler som gjelder for overvåking og kontroll av de ansatte. Datatilsynet er av den oppfatning at Vaktmester Andersen AS har overtrådt et regelverk som virksomheten burde ha kjent til.
c) om overtrederen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen,
Det fremkommer av redegjørelsen at Vaktmester Andersen AS, etter at kravet om redegjørelse var mottatt, innkalte de tillitsvalgte til drøftinger. Forut for overtredelsen var det derimot ikke foretatt noen drøftelser med de ansatte og de ansatte var heller ikke informert om at det ble foretatt en sammenstilling av opplysninger fra kjøreboken og den ansattes ukeplan/kjørerute. Datatilsynet legger derfor til grunn at det ikke var utarbeidet noen rutiner for hvordan en slik behandling av personopplysninger skulle gjennomføres. Datatilsynet er av den oppfatning at overtredelsen ville vært unngått dersom virksomheten hadde tatt hensyn til klagers personvern ved valg av fremgangsmåte for å fremskaffe de nødvendige opplysningene, herunder at de hadde foretatt drøftelser med de ansatte før man iverksatte et slikt kontrolltiltak.
d) om overtredelsen er begått for å fremme overtrederens interesser,
e) om overtrederen har hatt eller kunne ha oppnådd noen fordel ved overtredelsen,
Det å sammenstille opplysninger fra kjøreboken med ansattes ukeplan/kjørerute for å kontrollere om den ansatte oppfyller sine arbeidsplikter må, etter tilsynets vurdering, være gjort for å fremme Vaktmester Andersen AS sin interesse. Datatilsynet finner det videre klart at virksomheten har oppnådd en fordel på bekostning av den ansattes personvern ved at den har fått avklart om personen oppfylte sine arbeidsforpliktelser eller ikke.
f) om det foreligger gjentakelse,
I klagen vises det til at flere ansatte har blitt kontrollert på denne maten. I redegjørelsen fra Vaktmester Andersen AS derimot vises det til at en slik sammenstilling kun er gjort i angjeldende tilfelle. Datatilsynet har ikke foretatt noen ytterligere undersøkelser og velger derfor ikke å vektlegge dette punktet i verken den ene eller den andre retningen i skjønnsvurderingen.
g) om andre reaksjoner som følge av overtredelsen blir ilagt overtrederen eller noen som har handlet på vegne av denne, blant annet om noen enkeltperson blir ilagt straff
Det er ikke aktuelt for Datatilsynet å ilegge andre reaksjoner enn overtredelsesgebyr for denne overtredelsen.
h) overtrederens økonomiske evne
Dette momentet vil i utgangspunktet ha større betydning for utmåling av overtredelsesgebyret, enn for vurderingen av om overtredelsesgebyr skal ilegges. Det fremkommer av forarbeidene at dette momentet vil ha nokså begrenset betydning dersom overtredelsen er vurdert som grov, jf § 46 bokstav a. Virksomhetens økonomiske evne må etter årsregnskapet for regnskapsåret 2014 anses som god. Datatilsynet har etter dette kommet til at et overtredelsesgebyr bør ilegges.
Det er de samme momenter man vurderer når det gjelder spørsmål om ileggelse av gebyr som skal tillegges vekt ved fastsettelsen av gebyrets størrelse. De forhold Datatilsynet har vist til ovenfor taler for et gebyr av en viss størrelse. Et overtredelsesgebyr skal også, etter Datatilsynets vurdering, settes så høyt at det ikke «lønner seg» økonomisk å begå lovbruddet. Ved utmåling av gebyret er det videre sett hen til både allmen- og individualpreventive hensyn. Datatilsynets vurdering er at et overtredelsesgebyr på kr 100 000 er passende.
Datatilsynet vil til slutt knytte noen merknader til anførselen om hvorfor Datatilsynet ikke fattet vedtak om ileggelse av overtredelsesgebyr i Avfallsservicesaken. Tilsynet viser i den forbindelse til sin kommentar av 11. februar 2013 om Høyesteretts dom i Avfallsservicesaken der tilsynet kommenterer hvorfor det ikke ila overtredelsesgebyr:
Spørsmålet om hvorfor Datatilsynet ikke ila et overtredelsesgebyr i saken har blitt reist av flere aktører. Datatilsynet vil derfor gi en kort begrunnelse på hvorfor tilsynet ikke gjorde dette.
Datatilsynet har kompetanse til å ilegge overtredelsesgebyr, jf. personopplysningsloven § 46. Vurderingen av om det skal ilegges et overtredelsesgebyr beror på en skjønnsmessig helhetsvurdering, der momentene i personopplysningsloven § 46 annet ledd bokstav a) til h) særlig skal vektlegges.
I tillegg til disse momentene må tilsynet ta hensyn til at overtredelsesgebyr ikke er straff i internrettslig forstand, men vil kunne bli ansett som straff etter den europeiske menneskerettskonvensjonen (EMK):
Høyesterett har ved en rekke avgjørelse (sic) sett nærmere på spørsmålet om beviskrav ved administrative sanksjoner, senest Rt-2012-1556:
Etter mitt syn har Høyesterett i storkammer avgjort at det helt generelt følger av EMK artikkel 6 at det for administrative sanksjoner som etter artikkelen har karakter av straff, må oppstilles et strengere beviskrav enn alminnelig sannsynlighetsovervekt. Det følger riktignok av flertallets begrunnelse i storkammerdommen at hvor strengt beviskravet er, må vurderes konkret for hvert enkelt rettsområde og sanksjon. Men det fremgår av dommen at kravet til bevis ikke kan være lavere enn klar sannsynlighetsovervekt.
Datatilsynet har i tråd med Høyesteretts avgjørelser derfor lagt til grunn at beviskravet i saker om overtredelsesgebyr etter personopplysningsloven vil kreve en klar sannsynlighetsovervekt.
Det er i utgangspunktet ikke en umiddelbar bevisførsel for Datatilsynet. Datatilsynet har imidlertid kompetanse til å foreta stedlige kontroller. Virksomheter plikter i den anledning å gi de opplysninger tilsynet finner nødvendige for å kontrollere at personopplysningslovens regler blir fulgt, jf. personopplysningsloven § 44.Datatilsynets saksbehandling i Avfallsservice-saken var ikke basert på en umiddelbar bevisførsel, men i likhet med lagmannsretten fant tilsynet at det ikke var sannsynliggjort at Avfallsservice hadde uttrykkelig uttalt at GPS-systemet ville bli brukt til kontrollformål. Tilsynet konkluderte deretter med at Avfallsservice ikke hadde et behandlingsgrunnlag i personopplysningsloven § 8 for sammenstillingen av timelistene med loggen fra GPS-enheten.
Datatilsynet vurderte ileggelse av overtredelsesgebyr i saken, men fant ikke at faktum var tilstrekkelig klart til å kunne ilegge et overtredelsesgebyr.
I foreliggende sak, fant Datatilsynet derimot at det forelå klar sannsynlighetsovervekt for at Vaktmester Andersen AS hadde overtrådt personopplysningsloven § 11 bokstav c) og formålsprinsippet ved å sammenstille opplysninger fra den elektroniske kjøreboken med de ansattes ukeplan/ kjørerute uten at det var informert om en slik bruk på forhand.
I klagers redegjørelse i brev av 10. november 2014 står det følgende:
Til orientering opplyses om at VA [Vaktmester Andersen] nå har igangsatt en prosess med å etablere et tilleggsformål: Å kontrollere at de ansatte oppfyller sine arbeidsplikter, herunder overholder arbeidstiden og møter til rett arbeidssted. I denne forbindelse vil [det] bli innkalt informasjonsmøte, jf. arbeidsmiljøloven § 9-2.
Det fremkommer altså tydelig av sakens opplysninger at sammenstillingen av opplysningene for kontrollformål ikke var et av de opprinnelige formålene og at de ansatte ikke var blitt informert om en slik bruk av opplysningene for sammenstillingen faktisk fant sted.
Vaktmester Andersen AS har anført at Datatilsynet synes altså utelukkende å legge vekt på det personvernmessige inngrepet og ikke resultatet av inngrepet. Datatilsynet deler ikke denne oppfatningen. Tilsynet vurderer at den personvernmessige konsekvensen av sammenstillingen er like inngripende for den det gjelder uansett om resultatet er oppsigelse eller ikke. Poenget er at det rettslige grunnlaget for sammenstillingen skal være til stede for personopplysningene behandles. På dette tidspunktet er naturlig nok resultatet ikke klart og fremstår som et utenforliggende hensyn i vurderingen av om behandlingen, det vil si sammenstillingen, er lovlig eller ikke. Datatilsynet har notert seg klagers innsigelser vedrørende sammenligningen med Retura Sør-Trøndelagsaken. Datatilsynet er av den oppfatning at selv om disse to sakene for så vidt har ulikt utfall, innebærer den ulovlige behandlingen av opplysningene et like stort personvernmessig inngrep. Datatilsynet kan derfor ikke se at det er grunnlag for endring av beslutningen om å ilegge et gebyr på kr 100 000.
6 Personvernnemndas syn
Personvernnemnda skal vurdere Datatilsynets ileggelse av overtredelsesgebyr, herunder gebyrets størrelse.
Datatilsynet har ilagt et gebyr på kr 100 000. Tilsynet har konkludert med at klagers sammenstilling av opplysninger fra elektroniske kjøreboken ABAX med opplysninger om arbeidstid og arbeidssted for kontrollformål var uforenlig med det opprinnelige formålet og at behandlingen derfor var ulovlig. Virksomheten har anført at behandlingen hadde hjemmel i avtale.
Kontrolltiltak i en bedrift må innføres i samsvar med arbeidsmiljøloven kapittel 9, det må være åpenhet om at den planlagte bruken har et kontrollformål og tiltaket må drøftes med de tillitsvalgte. Nemnda kan ikke se at tiltaket er innført med et eksplisitt formål om å kontrollere de ansattes bruk av arbeidstiden og klager har heller ikke fulgt de saksbehandlingsreglene som følger av arbeidsmiljøloven § 9-1 og § 9-2. Nemnda er enig med tilsynet i at bruken til kontrollformål er uforenlig med det opprinnelige formålet med innsamlingen. Vaktmester Andersen har således handlet i strid med personopplysningsloven.
Det følger av personopplysningsloven § 46 annet ledd at ved vurderingen av om overtredelsesgebyr skal ilegges, og ved utmålingen, skal det særlig legges vekt på de momenter som er nevnt i bokstavene a til h.
Etter bokstav a) skal det legges vekt på hvor alvorlig overtredelsen har krenket de interesser loven verner. I denne saken besto overtredelsen i å ha sammenstilt ulike innsamlede data uten et rettslig grunnlag, og sammenstillingen ble gjort for å kontrollere de ansatte. Etter nemndas syn representerer dette forholdsvis grove brudd på personopplysningsloven. Det var således tale om krenkelser av de interesser som personopplysningsloven verner, slik som grunnleggende personvernhensyn, herunder behovet for personlig integritet, jf § 1 annet ledd.
Når det gjelder graden av skyld, jf § 46 bokstav b), skal det ved vurderingen legges vekt på om overtredelsen er resultat av et uhell eller en planmessig, villet handling. Her finner nemnda at skyldgraden er forholdsvis høy. Da legger nemnda særlig vekt på at klager med viten og vilje utførte handlingene for å kontrollere om ansatte overholdt arbeidstiden og at de møtte til rett arbeidssted. Dersom man har mistanke om at dette ikke er tilfelle, må klager likevel forholde seg til regelverket.
Videre skal det ifølge § 46 bokstav c) legges vekt på om overtrederen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen. Dette var en bevisst og planmessig utført handling, jf drøftelsen under punkt b) ovenfor, og spørsmålet om klager kunne forebygget hendelsen er mindre aktuelt.
Ifølge § 46 bokstav d) skal det vektlegges om overtredelsen er begått for å sikre overtrederens interesser. Nemnda er av den oppfatning at når klager gjør dette for å sjekke om arbeidstid og arbeidssted overholdes så er det gjort for å sikre overtrederens interesser. Nemnda er enig i Datatilsynets resonnement.
Videre skal det legges vekt på om overtrederen har hatt eller kunne ha oppnådd noen fordel ved overtredelsen, jf bokstav e). Nemnda ser at klager kan ha en berettiget interesse i å avdekke mulige brudd på arbeidstid og –sted. Nemnda finner imidlertid grunn til å understreke at et slikt kontrolltiltak også må vurderes med utgangspunkt i arbeidsmiljølovens bestemmelser.
Det følger av § 46 bokstav f) at det skal vektlegges om det foreligger gjentakelse. Etter nemndas oppfatning har overtredelsen mest sannsynlig skjedd mer enn en gang, men velger å ikke legge vekt på dette momentet.
Det skal legges vekt på om andre reaksjoner som følge av overtredelsen blir ilagt overtrederen eller noen som har handlet på vegne av denne, blant annet om noen enkeltperson blir ilagt straff, jf bokstav g). Det er ikke tilfelle i denne saken.
Endelig skal det legges vekt på overtrederens økonomiske evne, jf bokstav h). Vaktmester Andersen hadde et resultat på 5,7 millioner i 2015 og virksomhetens økonomiske evne anses god. Utmåling av gebyr på kr 100 000 synes å ligge på linje med Datatilsynets gebyrpraksis, jf PVN-2015-08 Windsor Door. Nemnda ser ingen grunn til å endre gebyret.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 11. oktober 2016
Eva I E Jarbekk
Leder