Personvernnemndas vedtak 18. juni 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 22. juni 2023 der tilsynet avsluttet sak med krav om innsyn i, informasjon om og sletting av personopplysninger hos NAV uten å gi pålegg.
Sakens bakgrunn
A henvendte seg til Datatilsynet 15. februar 2022 og klaget på det han mente var NAVs manglende etterlevelse av hans rett til innsyn i, sletting av og informasjon om behandlingen av egne personopplysninger.
Datatilsynet ba NAV 7. desember 2022 om å redegjøre for saken. NAV ga slik redegjørelse i brev 17. januar 2023.
Datatilsynet konkluderte 22. juni 2023 med at NAV ikke hadde brutt personopplysningsloven og avsluttet saken uten å gi noen pålegg. Datatilsynet konkluderte slik i vedtaket:
«Klager har ikke rett til å få slettet de aktuelle personopplysningene om seg hos NAV, jf. personvernforordningen artikkel 17 nr. 1, jf. nr. 3.
Klager har ikke rett til informasjon om hvilke internt ansatte som har hatt tilgang til de aktuelle personopplysningene, jf. personvernforordningen artikkel 15 nr. 1 bokstav c.
NAV brøt ikke informasjonsplikten etter personopplysningsloven (2000) § 20 da personopplysningene ble innhentet.»
A ba om innsyn i alle sakens dokumenter og ba om utsatt klagefrist til 4. september 2023. Anmodningen ble etterkommet av tilsynet. A klaget deretter 31. august 2023 rettidig på Datatilsynets vedtak og utdypet klagen ytterligere 4. september 2023. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse. Saken ble oversendt Personvernnemnda 19. oktober 2023. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. NAV har gitt sine merknader i e-post 17. januar 2024. A har gitt sine merknader i brev 16. januar 2024, samt i flere etterfølgende e-poster.
Saken ble behandlet i nemndas møte 18. juni 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Hans Marius Tessem og Malin Tønseth. Utredningsleder Anette Klem Funderud og førstekonsulent Emilie Winther Løvli var også til stede.
Sakens faktum
Da A søkte om uføretrygd i 2017 henviste NAV ham til en psykiatrisk undersøkelse. Under konsultasjonen hos vedkommende psykiater oppstod det en konflikt og As oppfatning er at han ikke fikk noen psykiatrisk undersøkelse ved dette besøket. Psykiateren utarbeidet likevel en spesialisterklæring, datert 14. juli 2017, som ble sendt til NAV. A og NAV er enige om at A ikke mottok noen kopi av denne erklæringen.
A oppfatter at denne spesialisterklæringen er årsaken til at han fikk avslag på søknaden om uføretrygd.
A kontaktet sitt lokale NAV-kontor i februar 2019 og ba om å få slettet spesialisterklæringen. Den 28. februar 2019 fikk A opplyst av NAV at erklæringen kunne slettes, ettersom den ikke var vektlagt av rådgivende lege i forbindelse med søknaden om uføretrygd. Det lokale NAV-kontoret ba NAV Fagpost om å utføre sletting 4. mars 2019. NAV Fagpost svarte at dokumentet var journalført og at det derfor bare kunne settes som feilregistrert, ikke slettes.
Den 19. mars 2019 ble det igjen sendt en anmodning fra det lokale NAV-kontoret til NAV Fagpost om sletting, med samme svar fra NAV Fagpost. Veilederen til A informerte ham deretter om at dokumentet var slettet, i strid med beskjeden fra NAV Fagpost. I forbindelse med en trygderettssak i lagmannsretten i 2021, hvor den samme spesialisterklæringen ble fremlagt av NAV, oppdaget A at dokumentet ikke var slettet.
Ifølge NAVs redegjørelse har det, i forbindelse med at NAV Klageinstans skulle behandle klagers anke til Trygderetten, trolig blitt oppdaget at spesialisterklæringen manglet i saksoversikten. Dokumentet er da funnet som et feilregistrert dokument og tilbakeført til dokumentoversikten i fagarkivet.
NAV har videre forklart at lokale NAV-kontor ikke har myndighet til å ta avgjørelser om sletting etter personopplysningsloven. Denne myndigheten er utelukkende gitt til NAV Klageinstans Styringsenhet ved delegasjon fra Arbeids- og velferdsdirektoratet.
NAV har utarbeidet retningslinjer om hvordan slettekrav skal håndteres. Ifølge retningslinjene skal alle sletteforespørsler sendes til NAV Klageinstans for vurdering. Dersom klageinstansen kommer til at det er grunnlag for sletting, vil slettingen utføres ved en bestilling til NAV Fagpost. Det er derfor på det rene at det lokale NAV-kontoret handlet i strid med retningslinjene.
NAV behandlet As krav om gjenopptakelse av kjennelsen fra Trygderetten i april 2022. NAV ble da oppmerksom på at klager også hadde fremmet krav om sletting. NAV Klageinstans vurderte slettekravet og besluttet at kravet ikke kunne etterkommes fordi dokumentet var arkivpliktig. Beslutningen ble sendt til klager 6. mai 2022.
Datatilsynets vurdering i korte trekk
Retten til sletting
Etter at kravet om uføretrygd er ferdig behandlet, oppbevarer NAV spesialisterklæringen på grunnlag av arkivformål. De aktuelle grunnlagene for vurdering av slettekravet er personvernforordningen artikkel 17 nr. 1 bokstav a, c, og d.
Tilsynet viser til at artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse (bokstav b) eller for arkivformål i allmennhetens interesse, og sletting sannsynligvis vil «gjøre det umulig eller i alvorlig grad vil hindre» at arkivformålet nås (bokstav d).
Datatilsynet viser til at det for offentlige organer er forbudt å slette «arkivmateriale», jf. arkivlova § 9 bokstav c. Tilsynet viser videre til at opplysninger som har inngått i saksbehandlingen til NAV i utgangspunktet må regnes som arkivmateriale uavhengig av om opplysningene har vært direkte bestemmende for utfallet i saken. Opplysningene vil være nødvendige for å forstå saken, og dermed ivareta et rettslig eller forvaltningsmessig dokumentasjonsbehov.
Datatilsynet konkluderer med at NAV har godtgjort at det foreligger en «rettslig forpliktelse» til å behandle erklæringen for arkivformål, og at spesialisterklæringen derfor ikke kan slettes, jf. artikkel 17. nr. 3 bokstav b (og eventuelt d).
Datatilsynet retter kritikk mot NAV for at de har gitt klager villedende informasjon om hans rettigheter. Dette er i strid med prinsippene om rettferdighet og åpenhet etter personvernforordningen artikkel 5 nr. 1 bokstav a, og har medført at behandlingen av As personopplysninger ikke har vært forutsigbar for ham. Videre er det kritikkverdig at NAV har oversittet fristen etter artikkel 12 nr. 3 for å svare på As anmodninger og ikke fulgt egne rutiner. Datatilsynet finner likevel ikke grunn til å forfølge disse forholdene videre.
Retten til innsyn
Datatilsynet drøfter tolkningen av personvernforordningen artikkel 15 nr. 1 bokstav c, og særlig hva som ligger i informasjon om «mottakerne eller kategoriene av mottakere» som ens egne personopplysninger er blitt eller vil bli «utlevert til».
Etter en tolkning av reglene i personvernforordningen sett i sammenheng med Personvernrådets veileder 18. januar 2022 om innsynsretten etter personvernforordningen artikkel 15, avsnitt 20 og 114-115 (Guidelines 01/2022 on data subject rights - Right of Access), legger tilsynet til grunn at forordningen må forstås slik at internt ansatte faller utenfor mottakerbegrepet, slik dette er definert i artikkel 4 nr. 9.
Datatilsynet konkluderer med at personvernforordningen artikkel 15 nr. 1 bokstav c ikke gir rett til informasjon om hvilke internt ansatte som har hatt tilgang til personopplysningene. Tilsynet viser til at EU-domstolen avsa 22. juni 2023 dom i sak C-579/21 (Pankki S) med samme konklusjon.
Retten til informasjon
Datatilsynet behandler spørsmålet om A har fått oppfylt sin rett til informasjon etter personopplysingsloven 2000, som var gjeldende rett på det tidspunktet spesialisterklæringen ble innhentet (2017). Datatilsynet viser til at den behandlingsansvarliges informasjonsplikt fulgte av personopplysningsloven § 20 første ledd, jf. § 19. Tilsynet viser videre til at § 20 andre ledd bokstav c, som er likelydende med personvernforordningen artikkel 14. nr. 5, gjorde unntak fra informasjonsplikten dersom «det er på det rene at den registrerte allerede kjenner til informasjonen varslet skal inneholde».
Gitt omstendighetene rundt og årsaken til den psykiatriske undersøkelsen, slutter Datatilsynet seg til NAVs vurdering om at det måtte fremstå som klart for A at undersøkelsen ville resultere i en vurdering som skulle sendes til NAV. Tilsynet finner det sannsynliggjort at A kjente til informasjonselementene i § 19 første ledd bokstav a, b og c («a. navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b. formålet med behandlingen, c. [om] opplysningene vil bli utlevert, og eventuelt hvem som er mottaker»).
Tilsynet konkluderer med at NAV ikke har brutt informasjonsplikten etter personopplysningsloven overfor A.
As syn på saken i korte trekk
Retten til sletting
Spesialisterklæringen fra psykiater B 14. juli 2017 og eventuelle reproduksjoner av dokumentet må slettes, jf. personvernforordningen artikkel 17 nr. 3 bokstavene b og d.
Det foreligger ingen rettslig forpliktelse for NAV til å arkivere spesialisterklæringen, da erklæringen aldri skulle vært sendt fra B. Erklæringen var ikke ferdig og er derfor ikke et gyldig dokument. Et dokument som ikke er innhentet på korrekt vis er ikke omfattet av arkivplikten og kan slettes, jf. forskrift om offentlige arkiv § 14. Dokumentet skulle ikke vært sendt i utgangspunktet.
NAV må ta ansvar for at etaten faktisk lover å slette dokumentet, men likevel unnlater å gjøre det. At NAV internt ikke fulgte egne retningslinjer tyder også på at de ikke overholder arkivforskriften, jf. § 12, som pålegger NAV å utarbeide rutine. Han ble heller ikke informert om endringer i dokumentets status da det dukket opp igjen. Dokumentet NAV mener er arkivverdig, og som fortsatt er arkivert, fremkommer ikke i NAVs dokumentoversikt pr. 5. januar 2024.
I kjennelsen fra Trygderetten 30. juni 2023 refereres NAV på at dokumentet er slettet og at «NAV klageinstans» er part i saken. Hvem som er part har betydning i relasjon til Datatilsynets vedtak som refererer at dette er det nivået som etter interne rutiner skal ha med sletting av opplysninger å gjøre.
Han forholdt seg til at dokumentet ikke var et saksdokument i forbindelse med prosessene knyttet til klagen og anke over trygderettens beslutning. Det var dermed umulig for ham å vite hva klagen og anken skulle rette seg inn mot. NAV lokalt slettet dokumentet allerede i 2017, slik at vedtaksinstansen ikke hadde tilgang til dokumentet i 2018. At dokumentet dukker opp i forbindelse med saken, fremstår som urimelig overfor den som skal ha beskyttelse av opplysninger om seg selv. Personvernreglene skal sikre forutberegnelighet. Det har han ikke hatt når det gjelder dokumentets status over tid.
Datatilsynet tar ikke direkte stilling til om dokumentet faktisk er arkivpliktig materiale på grunn av tilblivelsesmangler og forvaltningens egen håndtering av det. Uklarheter om dokumentets formelle eksistens har påvirket hans rett til å vite hvilke opplysninger forvaltningen behandler om ham. Han har fått mangelfull informasjon om hva som er del av saken og hva som ikke er.
NAV mener at dokumentet ikke er viktig for de beslutninger som er fattet, noe Datatilsynet også legger til grunn. Derfor er det mindre viktig å beholde dokumentet for fremtiden. Disse forholdene sammen med manglene som dokumentet lider av, samt gjentatte beskjeder om at dokumentet er slettet, tilsier at det er urimelig om det ikke slettes.
Subsidiært krever han at dokumentet må sperres for bruk og innsyn. Det vil ivareta arkivhensynet og samtidig skjerme ham fra misbruk av opplysningene i dokumentet.
Retten til innsyn
Han ønsker å få innsyn i hvilke av NAVs ansatte som har sett erklæringen.
Retten til informasjon
Spørsmålet er om det «var på det rene» at han kjente til at B ville sende en uttalelse til NAV, jf. folketrygdloven § 21-4 c og personopplysningsloven § 19 slik den lød før lovendringen.
Retten til informasjon er en individuell rettighet som det skal mye til for å fravike. Han er ikke enig i Datatilsynets innskrenkende fortolkning av folketrygdloven § 21-4 c fjerde ledd. Det er ikke andre kilder til en slik fortolkning. Avgjørelsen fra Personvernnemnda, som det vises til, støtter ikke denne fortolkningen. At han «måtte forstå» at erklæring ville bli utarbeidet og sendt til NAV er en spekulasjon.
Rettslig sett er det ikke rom for spekulasjon innenfor utrykket «er på det rene». Uttrykket peker i retning av at partene er enige om at de er kjent med opplysningen, eller at det er andre omstendigheter som gjør det klart at den registrerte er kjent med opplysningene. Han var ikke kjent med innholdet eller utleveringen til NAV. Han var overbevist om at han var ferdig utredet. Han anmodet B om en ny utredning av en annen, men det ble ikke hensyntatt.
Han viser til at det er et strengt beviskrav i personopplysningsloven 2000 § 19 til informasjonsplikt når det samles inn opplysninger fra den registrerte, jf. særmerknaden til § 19 i Ot.prp. nr. 92 (1998-1999).
Det er ikke godtgjort at den som påberoper seg et unntak har klarlagt at den registrerte kjente til at opplysningene ville bli utlevert eller innhentet. Det er dermed ikke grunnlag for å unnlate å informere ham om utleveringen og/eller innhentingen. NAVs unnlatelse er et brudd på folketrygdlovens bestemmelse som pålegger informasjonsplikt. NAV hadde plikt til å informere om innhenting og bruk av erklæringen fra B.
Hadde han vært kjent med hvordan NAV håndterte erklæringen ville han kunnet ivaretatt sine rettigheter ved å reagere på innholdet og bedt om en fornyet vurdering, eventuelt supplert med opplysninger han da besatt. Saksbehandlingen i 2018 ville da hatt et komplett grunnlag.
NAVs syn på saken i korte trekk
Da A ba om sletting, fulgte ikke NAV-kontoret rutinen for sletting. NAV Fagpost kan iverksette sletting, men bare etter beslutning fra NAV Klageinstans. De har derfor bare feilregistrert dokumentet. NAV beklager at A mottok feilinformasjon om at sletting av dokumentet var foretatt.
Innhenting av spesialisterklæringen
Retten til sletting etter artikkel 17 henger sammen med spørsmålet om innhenting og behandlingen av spesialisterklæringen er lovlig. Det forutsetter at NAV har et lovlig behandlingsgrunnlag.
Når NAV skal vurdere en brukers rett til ytelser, utøver NAV offentlig myndighet innenfor trygdeområdet. Dette omfatter også retten til å behandle helseopplysninger, jf. artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav b dersom dette er nødvendig for å ta stilling til brukers rett etter nasjonal lov (her folketrygdloven).
NAV har rett til å innhente helseopplysninger, blant annet fra helsepersonell, som er nødvendig for å vurdere retten til en ytelse, jf. folketrygdloven § 21-4 første ledd. Helsepersonell og andre særskilte sakkyndige er pålagt å undersøke eller intervjue en bruker og gi erklæringer som er nødvendig for at NAV skal kunne vurdere retten til ytelse, jf. folketrygdloven § 21-4 andre ledd.
Den som krever en ytelse, plikter også å gi opplysninger som er nødvendige for å vurdere retten til ytelse, herunder helseopplysninger. Dette omfatter også en plikt til å la seg undersøke eller intervjue av den legen eller sakkyndige som NAV bestemmer. Dette er særlig aktuelt der medisinske opplysninger som er innhentet fra fastlege og andre er mangelfulle og det er behov for ytterligere vurdering. NAV har samarbeidende spesialister bruker kan henvises til.
A ble henvist til samarbeidende psykiater 15. mai 2017, da NAV skulle vurdere om han hadde rett til å få forlenget arbeidsavklaringspenger eller om det var grunnlag for å søke uføretrygd. Ut fra sakens medisinske opplysninger vurderte fastlegen at det var behov for ytterligere utredning av psykiske plager. Veileder rådførte seg med NAVs rådgivende lege som anbefalte henvisning til utredning hos NAVs samarbeidende psykiater.
NAV hadde dermed hjemmel for å be psykiater om å foreta utredning og utarbeide en spesialisterklæring. Psykiater var videre forpliktet til å ta oppdraget og sende NAV en erklæring og klager var forpliktet til å la seg intervjue av psykiater, jf. folketrygdloven §§ 21-3 og 21-4. NAV hadde derfor behandlingsgrunnlag for å innhente spesialisterklæringen datert 14. juli 2017. At det var behov for videre medisinsk utredning for å avklare helsetilstand og behandlingsmuligheter med tanke på retten til ytelser, er senere opprettholdt av både Trygderetten og Borgarting lagmannsrett i forbindelse med klagers krav om uføretrygd.
Sletting av spesialisterklæringen
Spesialisterklæringen er brukt i saksbehandlingen. Dokumentet er arkivpliktig etter arkivlovas bestemmelser og er omfattet av arkivlovas kassasjonsforbud, jf. §§ 1 og 6. Dokumenter som er innhentet og brukt i NAVs saksbehandling må lagres av hensyn til rettssikkerhet og kontrollhensyn. En slik lovforståelse støttes av Prop. 56 LS (2017-2018) side 81, og er lagt til grunn av Personvernnemnda i sak PVN 2020-05 og senere avgjørelser.
Spesialisterklæringen som kreves slettet er utvilsomt blitt til som et ledd i NAVs behandling, innvilgelse og utbetaling av arbeidsavklaringspenger og deretter i forbindelse med avslag på uførekrav, herunder klage- og ankebehandling i klageinstansen og Trygderetten og i sak for domstolen. Erklæringen er omtalt konkret i mange dokumenter, blant annet uttalelse fra rådgivende lege, vedtak, kjennelse fra Trygderetten og i dommen fra Borgarting lagmannsrett. Det kommer likevel tydelig fram at den ikke er vektlagt ved spørsmålet om retten til uføretrygd fordi den er ufullstendig.
Selv om erklæringen ikke er vektlagt som bevis har den likevel vært en del av saksgrunnlaget for NAV og Trygderettens behandling og er derfor arkivpliktig. For Borgarting lagmannsrett var det As prosessfullmektig som la fram dokumentet. A har per 17. januar 2023 fortsatt gående prosess i uføresaken ved at han har krevd gjenopptak av Trygderettens kjennelse i uføresaken. NAV har derfor fortsatt behov for å bruke dokumentet.
Arkivplikten går foran retten til sletting, jf. personvernforordningen artikkel 17 nr. 3 bokstav b og d. NAV hadde rettslig grunnlag for å innhente erklæringen, jf. personvernforordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav b, sammenholdt med folketrygdloven § 21-4 mv. A har derfor ikke krav på sletting etter artikkel 17 nr. 1.
Retten til innsyn
NAV fører ikke logg over hvilke saksbehandlere som har åpnet dokumenter i fagsystemene, og NAV har derfor ikke mulighet til å gi A den informasjonen han har bedt om innsyn i.
Retten til informasjon
NAV har ikke brutt informasjonsplikten i denne saken.
Da NAV henviste A til utredning hos psykiater for utarbeiding av en spesialisterklæring, hadde han mottatt arbeidsavklaringspenger i nær fire år og retten til denne ytelsen utløp i juni 2017. Han hadde derfor aktiv oppfølging fra NAV med sikte på å få avklart videre rett til livsoppholdsytelse i form av enten videre arbeidsavklaringspenger etter unntaksbestemmelsen eller uføretrygd.
NAV foretok en arbeidsevnevurdering av A 5. mai 2017, og det ble vurdert at han blant annet hadde behov for medisinsk behandling hos psykiater. Vurderingen ble sendt til A og henvisning sendt psykiater samme dag. Vedtaket om forlengelse av perioden med arbeidsavklaringspenger 19. mai 2017 var begrunnet i behovet for videre medisinsk utredning.
I vedtaket vises det også til arbeidsevnevurderingen av 15. mai 2017 og at det er en forutsetning for den videre retten til arbeidsavklaringspenger at han gjennomfører planlagt aktivitet. NAV kan ikke se at han kom med innsigelser til dette. Han fikk innkalling til utredningen fra psykiater og har også møtt opp hos spesialisten.
Det måtte fremstå klart for A at spesialistens undersøkelse ville resultere i en skriftlig vurdering som skulle sendes til NAV. A hadde allerede informasjonen, artikkel 14 nr. 5 bokstav a, slik at informasjonsplikten ikke kom til anvendelse.
Personvernnemndas vurdering
Behandlingsgrunnlag for innhenting av spesialisterklæringen
Etter nemndas vurdering hadde NAV rettslig grunnlag til å innhente og lagre spesialisterklæringen fra B i forbindelse med oppfølging og vurdering av As ytelser etter folketrygdloven. Hjemmelen for dette er personvernforordningen artikkel 6 nr. 1 bokstav e (utøve offentlig myndighet), jf. nr. 3 og artikkel 9 nr. 2 bokstav b (nødvendig for å oppfylle sine forpliktelser), med supplerende rettsgrunnlag i folketrygdloven § 21-4. Helsepersonell og andre særskilte sakkyndige er pålagt å undersøke eller intervjue en bruker og gi erklæringer som er nødvendig for at NAV skal kunne vurdere retten til ytelse, jf. folketrygdloven § 21-4 andre ledd. At A mener erklæringen er uferdig eller mangelfull, medfører ikke at NAV ikke hadde gyldig behandlingsgrunnlag for å innhente den.
Slettekravet
Personvernforordningen artikkel 17 nr. 1 gir den registrerte rett til å få opplysninger om seg slettet på visse vilkår. Artikkel 17 nr. 3 bokstav b gjør unntak fra retten til sletting blant annet dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse som krever behandling i henhold til nasjonal rett, eller for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Den gjør også i bokstav d unntak fra retten til sletting dersom fortsatt behandling av opplysningene er nødvendig for arkivformål i allmennhetens interesse.
Personvernnemnda er enig med NAV i at dokumentet er arkivpliktig etter arkivlovas bestemmelser. Spesialisterklæringen er innhentet og brukt i NAVs saksbehandling og er omfattet av det offentlige organets arkivplikt. Arkivplikten er begrunnet både i hensynet til rettssikkerhet og kontrollhensyn og skal sikre arkivet «som informasjonskjelder for samtid og ettertid», jf. forskrift om offentlege arkiv § 1.
NAV beskriver hvordan dokumentet er inngått i saksbehandlingen slik:
«Spesialisterklæringen som kreves slettet er utvilsomt blitt til som et ledd i NAVs behandling, innvilgelse og utbetaling av arbeidsavklaringspenger og deretter i forbindelse med avslag på uførekrav, herunder klage- og ankebehandling i klageinstansen og Trygderetten og i sak for domstolen. Erklæringen er omtalt konkret i mange dokumenter, blant annet uttalelse fra rådgivende lege, vedtak, kjennelse fra Trygderetten og i dommen fra Borgarting lagmannsrett. Det kommer likevel tydelig frem at den ikke er vektlagt ved spørsmålet om retten til uføretrygd fordi den er ufullstendig.
Selv om den ikke er vektlagt som bevis har den likevel vært en del av saksgrunnlaget for NAVs og Trygderettens behandling og er derfor arkivpliktig. For Borgarting lagmannsrett var det As prosessfullmektig som la frem dokumentet. A har per 17. januar 2023 fortsatt gående prosess i uføresaken ved at han har krevd gjenopptak av Trygderettens kjennelse i uføresaken. NAV har derfor fortsatt behov for å bruke dokumentet.»
Nemnda legger disse opplysningene til grunn og det er da ingen tvil om at spesialisterklæringen er omfattet av NAVs arkivplikt og at fortsatt lagring av erklæringen har hjemmel i artikkel 6 nr. 1 bokstav c (rettslig forpliktelse), jf. arkivlova § 9 og forskrift om offentlege arkiv § 14 og artikkel 9 nr. 2 bokstav j (arkivformål i allmennhetens interesser).
I og med at nemnda har kommet til at spesialisterklæringen er omfattet av NAVs arkivplikt har A ikke krav på sletting, jf. artikkel 17 nr. 3 bokstav b og d.
A fyller heller ikke vilkårene for å kreve begrenset behandling av opplysningene i spesialisterklæringen etter artikkel 18.
As krav om sletting tas ikke til følge.
Innsynskravet
Det følger av personvernforordningen artikkel 15 nr. 1 bokstav c at den registrerte har rett til innsyn i «mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner».
Nemnda er enig med Datatilsynet i at artikkel 15 nr. 1 bokstav c ikke gir den registrerte rett til informasjon om hvilke internt ansatte som har hatt tilgang til personopplysningene. Med henvisning til C-579/21 (Pankki S) slutter nemndas seg til Datatilsynets vurderinger. EU-domstolen uttaler følgende i avsnitt 83 (dansk versjon):
«Det følger af ovenstående betragtninger, at databeskyttelsesforordningens artikel 15, stk. 1, skal fortolkes således, at information vedrørende søgninger i en persons personoplysninger og vedrørende datoerne for og formålet med disse søgninger udgør information, som den berørte person i henhold til denne bestemmelse har ret til at få fra den dataansvarlige. Denne bestemmelse foreskriver derimod ikke en sådan ret for så vidt angår information om identiteten på de af den dataansvarliges ansatte, som har foretaget søgningerne under den dataansvarliges ledelse og efter instruks fra denne, medmindre denne information er nødvendig for, at den registrerede effektivt kan udøve sine rettigheder i henhold til denne forordning, og forudsat at de ansattes rettigheder og frihedsrettigheder iagttages.
As krav om innsyn tas ikke til følge.
Retten til informasjon
Den aktuelle erklæringen ble utlevert til NAV i 2017. Det var før personopplysningsloven 2018 og personvernforordningen trådte i kraft 20. juli 2018. Datatilsynet har behandlet informasjonsspørsmålet etter personopplysningsloven slik den lød på handlingstidspunktet.
I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017–2018) side 196, uttaler departementet blant annet følgende om valget mellom gammel og ny lov:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
For de saker hvor det treffes vedtak om overtredelsesgebyr har personopplysningsloven 2018 overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et gunstigere resultat for den behandlingsansvarlige.
Nemnda legger til grunn at ved vurderingen av om NAV som behandlingsansvarlig i 2017 overholdt sin informasjonsplikt etter personopplysningsloven, kan ikke vedtakelsen av en ny personopplysningslov i 2018, i den grad den medfører en strengere informasjonsplikt, gis tilbakevirkende kraft.
De to lovenes regler om den behandlingsansvarliges informasjonsplikt ved innhenting av opplysninger fra andre enn den registrerte selv, er på de områder som er aktuelle for denne saken, de samme.
Det følger av personvernforordningen artikkel 14, som det gjorde av personopplysningsloven 2000 § 20, at den behandlingsansvarlige plikter å gi den registrerte informasjon dersom personopplysninger har blitt innsamlet fra andre enn den registrerte selv. Artikkel 14. nr. 5 bokstav a gjør unntak fra retten til informasjon dersom «den registrerte allerede har informasjonen». Det samme fulgte av personopplysningsloven 2000 § 20 andre ledd bokstav c, som gjorde unntak fra informasjonsplikten dersom «det er på det rene at den registrerte allerede kjenner til informasjonen varslet skal inneholde».
A var på det aktuelle tidspunktet under aktiv oppfølging og medisinsk utredning fra NAVs side for å avklare hvorvidt han hadde rett på varige trygdeytelser. NAVs arbeidsevnevurdering av 5. mai 2017 ble sendt til A, og i vedtak til A 19. mai 2017 fremgikk det at forlengelsen av perioden med arbeidsavklaringspenger var begrunnet i behovet for videre medisinsk utredning. A fikk innkalling til utredningen fra psykiater og møtte opp hos spesialisten. Nemnda legger i likhet med NAV og Datatilsynet til grunn at A på dette tidspunktet allerede hadde informasjon om at NAV innhentet personopplysninger fra den psykiateren NAV hadde henvist ham til.
Nemnda er enig med Datatilsynet i at NAV ikke har brutt informasjonsplikten i denne saken.
Oppsummeringsvis har Personvernnemnda i denne saken kommet til at:
1) spesialisterklæringen fra 14. juli 2017 ikke skal slettes i NAVs arkiv,
2) A har ikke rett til informasjon om hvilke internt ansatte som har hatt tilgang til erklæringen, og
3) NAV har ikke brutt informasjonsplikten da erklæringen ble innhentet.
A får ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 18. juni 2024
Mari Bø Haugstad
Leder