Personvernnemndas vedtak 18. desember 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 19. desember 2023 der Datatilsynet konkluderte med at konkursboet til [virksomhet] AS hadde rettslig grunnlag til å dele boets innberetning med fordringshaverne.
Sakens gang
A kontaktet Datatilsynet i mars 2021 fordi han mente hans personvernrettigheter var krenket av bostyrer i [virksomhet] AS, dets konkursbo, advokat B.
A og en forretningspartner drev tidligere [virksomhet] AS. Det ble åpnet konkurs i virksomheten 25. august 2020. I forbindelse med konkursbehandlingen sendte bostyrer blant annet bostyrers innberetning av 1. oktober 2020 til fordringshaverne, skyldneren og konkursregisteret, jf. konkursloven § 120 fjerde ledd. I innberetningen omtales en politianmeldelse mot A og forretningspartneren fra huseieren hvor selskapet drev sin virksomhet.
Datatilsynet skrev 28. november 2022 et brev til bostyreren for konkursboet med overskriften «Påpeking av plikt – Grunnleggende krav til behandling av personopplysninger» hvor tilsynet redegjorde for reglene i personvernforordningen, uten at tilsynet tok stilling til om loven var brutt eller ikke. Datatilsynet sendte også et brev til A og orienterte om at saken var avsluttet, men at tilsynet hadde sendt bostyrer et brev med påpeking av plikt.
A klaget deretter til Sivilombudet, som ikke tok saken til behandling idet den ikke var endelig avgjort i forvaltningen.
A klaget deretter på Datatilsynets avslutning av saken. Datatilsynet mente at beslutningen om å avslutte saken i medhold av artikkel 57 nr. 1 bokstav f ikke var et enkeltvedtak og at vilkårene for klagerett ikke var oppfylt, jf. forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og forvaltningsloven § 28. Datatilsynet avviste deretter klagen 20. mars 2023, og orienterte om at avvisningsvedtaket kunne påklages, jf. forvaltningsloven §§ 28 og 29.
A klaget på avvisningsvedtaket 30. mars 2023. Datatilsynet vurderte klagen og la til grunn at beslutningen om å avslutte saken i medhold av artikkel 57 nr. 1 bokstav f var et enkeltvedtak og innrømmet A klagerett etter forvaltningsloven i vedtak 26. april 2023.
Etter en ny vurdering opprettholdt Datatilsynet sin avgjørelse om å avslutte saken uten å foreta nærmere undersøkelser og uten å ta stilling til om As personopplysninger var behandlet ulovlig. Saken ble oversendt Personvernnemnda 5. juni 2023. I vedtak 7. november 2023 opphevet nemnda Datatilsynets vedtak og returnerte saken til Datatilsynet for realitetsbehandling.
Datatilsynet fattet slikt vedtak 19. desember 2023:
«Konkursboet til [virksomet] AS hadde rettslig grunnlag til å dele opplysninger om anmeldelsen av deg og din forretningspartner med fordringshaverne i boet, jf. personvernforordningen artikkel 6 nr. 1 bokstav c, jf. konkursloven § 120, første ledd nr. 5, jf. fjerde ledd.»
A klaget rettidig på Datatilsynets avgjørelse 10. januar 2024. Datatilsynet behandlet klagen og opprettholdt sin avgjørelse. Saken ble oversendt Personvernnemnda 4. april 2024. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Han har inngitt merknader i e-post 10. mai 2024.
Saken ble behandlet i nemndas møte 18. desember 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Utredningsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
Spørsmålet i denne saken er hvorvidt konkursboet hadde behandlingsgrunnlag for å dele anmeldelsen av A og hans forretningspartner som en del av boets innberetning.
Konkursloven oppstiller en rettslig plikt til å dele boets innberetning med fordringshaverne i boet, herunder informasjon om mulige straffbare forhold. En anmeldelse kan anses som slik informasjon. Tilsynet anser det derfor som sannsynlig at konkursboet hadde behandlingsgrunnlag for delingen av personopplysningene inntatt i boets innberetning.
Basert på den informasjonen A har framlagt legger tilsynet til grunn at bostyrer delte boets innberetning med fordringshaverne. Tilsynet viser til at dette er en rettslig plikt som påhviler bostyrer etter konkursloven § 120. Konkursboet har derfor behandlingsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav c.
Delingen av personopplysninger i denne saken er ikke i strid med personvernregelverket.
As syn på saken i korte trekk
Bostyrer i [virksomhet] AS krenket hans personvern da han 6. oktober 2020 sendte ut bostyrers innberetning til ham og 23 andre mottakere der det ble fremsatt påstander om at han var delaktig i flere straffbare forhold. I innberetningen er det sitert fra en politianmeldelse der han blant annet blir beskyldt for å ha bidratt til å underslå varer fra konkursboet. Loven sier at en bostyrer ikke skal dele opplysninger på den måten.
Anmeldelsen som huseieren innga, er falsk. Det var tidligere leier av lokalene der [virksomhet] AS holdt til som skyldte huseieren penger, ikke han eller hans virksomhet.
Huseieren var i samtale med bostyrer før ham, og var derfor venn med bostyreren.
Bostyrer har formidlet opplysninger som er underlagt taushetsplikt til flere aktører, leverandører og personer. Beskyldningene er fremsatt uten bevis, og spredningen av opplysningene har ødelagt hans og hans families rykte. Det kan han ikke akseptere.
Personvernnemndas vurdering
All behandling av personopplysninger må, for å være lovlig, ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6, jf. artikkel 5 nr. 1 bokstav a.
Nemnda legger til grunn at det er bostyrer for konkursboet til [virksomhet] AS som er behandlingsansvarlig for behandling av personopplysninger i forbindelse med bobehandlingen, jf. personvernforordningen artikkel 4 nr. 7.
Bostyrer kan behandle opplysninger om skylderen med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse), jf. artikkel 6 nr. 3, jf. konkurslovens bestemmelser om bostyrers plikter under bobehandlingen.
Bostyrer plikter etter konkursloven § 120 innen tre måneder etter konkursåpningen å avgi en innberetning til tingretten. Innberetningen skal ifølge bestemmelsens første ledd nr. 5 og nr. 7 bl.a. inneholde
- opplysning om hvorvidt det i forbindelse med skyldnerens økonomiske virksomhet antas å foreligge forhold som kan gi grunn til strafforfølgning mot skyldneren eller mot noen som har handlet på skyldnerens vegne. Er skyldneren en sammenslutning eller en stiftelse, gis opplysning om hvorvidt forretningsfører eller et styremedlem antas å ha gjort seg skyldig i slikt forhold;
- en vurdering av om det foreligger forhold som omfattes av reglene om konkurskarantene i § 142.
Det følger videre av konkursloven § 142 at en skyldner kan ilegges konkurskarantene dersom vedkommende med skjellig grunn kan mistenkes for en straffbar handling i forbindelse med konkursen eller den virksomhet som har ført til insolvens.
Det er med andre ord en bostyrers plikt å undersøke og omtale eventuelle straffbare forhold hos skyldneren i innberetningen av boet. Ifølge konkursloven § 120 fjerde ledd skal bostyreren gjøre innberetningen kjent for fordringshaverne. Bostyreren skal også sende innberetningen til Konkursregisteret og til skyldneren.
Formålet med bestemmelsen er å gi tingretten, skyldneren og fordringshaverne informasjon om bobehandlingen og boets status, samt å gi fordringshaverne oversikt over dekningsmulighetene, jf. Håvard Wiker og Knut Ro, Kommentarutgave til konkursloven, Universitetsforlaget 2003, side 458.
Da det ble åpnet konkurs i [virksomhet] AS 25. august 2020 sendte bostyrer innberetning i tråd med konkursloven § 120. I innberetningen omtales en politianmeldelse fra huseieren hvor selskapet drev sin virksomhet, mot A og forretningspartneren hans. Etter nemndas vurdering hadde bostyreren en rettslig forpliktelse til å omtale anmeldelsen i boets innberetning, samt til å sende innberetningen til de boets fordringshavere.
Personvernforordningen har en egen bestemmelse om behandling av personopplysninger om straffedommer og lovovertredelser i artikkel 10. Bestemmelsen oppstiller et krav om lovhjemmel for behandling av slike opplysninger med mindre behandlingen skjer under en offentlig myndighets kontroll. I Prop. 56 LS (2017-2018) side 129 uttaler Justisdepartementet at virkeområdet til artikkel 10 er uklart, herunder om bestemmelsen også gjelder for mistanke om lovovertredelser. I og med at bostyrers plikt til å behandle slike opplysninger uansett er uttrykkelig regulert i konkursloven, er det ikke nødvendig for Personvernnemnda å ta stilling til om artikkel 10 omfatter slike opplysninger.
Konkursboet til [virksomhet] AS ved bostyrer hadde behandlingsgrunnlag for å dele opplysningene med fordringshaverne og konkursregisteret, jf. personvernforordningen artikkel 6. nr. 1 bokstav c, med supplerende rettsgrunnlag i konkursloven § 120, slik personvernforordningen artikkel 6 nr. 3 krever.
A har ikke fått medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets vedtak opprettholdes.
Oslo, 18. desember 2024
Mari Bø Haugstad
Leder