Personvernnemndas avgjørelse av 11. april 2012 (Arve Føyen, Ørnulf Rasmussen, Tom Bolstad, Leikny Øgrim, Gisle Hannemyr, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets planlagte kontroll mot Rekruttering AS.
2 Saksgang
På bakgrunn av oppslag i media, blant annet i Aftenposten 9.1.2012 «Bygger opp database med alle landets studenter», besluttet Datatilsynet å gjennomføre en stedlig kontroll hos Rekruttering AS den 2. februar 2012. I varsel om kontroll som Datatilsynet sendte til Rekruttering AS den 17.1.2012 fremgikk det at formålet med kontrollen var «å vurdere om de behandlinger av personopplysninger som eventuelt utføres er i samsvar med de relevante vilkårene i personopplysningsloven og personopplysningsforskriften». Av varselet fremgikk også hvilke spørsmål som klager måtte forberede. Det ble også bedt om dokumentasjon, med frist for oversendelse til Datatilsynet 27.1.2012.
Den 23.1.2012 mottok Datatilsynet klage på Datatilsynets beslutning om å gjennomføre en stedlig kontroll, jf forvaltningsloven §§ 14 og 15. Spørsmål og dokumentasjon ble besvart i klagen.
Datatilsynet besvarte klagen i e-post av 26.1.2012 og brev av 27.1.2012, hvor Datatilsynet begrunnet hvorfor tilsynet fant det «påtrengende nødvendig» å gjennomføre den planlagte kontrollen.
Klagen ble fulgt opp med en faks fra klagers advokat av 1.2.2012, hvor klager gjentok at spørsmål var besvart og kontroll var unødvendig.
Saken ble oversendt Personvernnemnda 1.2.2012, som mottok saken 10.2.2012. Klager ble orientert om dette i brev fra nemnda datert 15.2.2012, med frist til uttalelse innen 1.3.2012. Klager har ikke uttalt seg innen fristen. Klager sendte imidlertid en e-post til Datatilsynet den 9.2.2012, som Datatilsynet har videresendt til Personvernnemnda.
3 Faktum
Klager er et privat rekrutteringsfirma som er i ferd med å bygge opp en database med navn og adresse på alle landets uteksaminerte studenter de siste 15-20 år. Klager fikk klarsignal for dette fra Kunnskapsdepartementet.
4 Klagers anførsler
Klager har oppgitt at Rekruttering AS er et personlig eid aksjeselskap uten ansatte. Virksomhetens adresse er samme som klagers privatadresse. Opplysningene som Rekruttering AS innhentet fra universitetet er innhentet på lovlig måte i henhold til offentleglova, og skal brukes i lovlig virksomhet i forbindelse med karrierebistand. Opplysningene skal ikke utleveres til andre, sletterutiner er i henhold til §§ 27 og 28, og det foreligger ingen umiddelbar informasjonsplikt til de registrerte, jf § 20 annet ledd. Klager mener at han har svart på alle tilsynets spørsmål og kan derfor ikke se at kontrollen er nødvendig.
Klager er ikke enig i at han har uttalt til media at han har manglende kontroll over personopplysningene. Klager har sagt at det totale elevtall fra landets høyskoler og universiteter kan bli så stort at kontroll av oppfølgningen kan bli mangelfull i forhold til intensjon uten flere kvalifiserte medarbeidere. Klager påpeker også at ingen av personopplysningene er sensitive.
5 Datatilsynets vurdering
Datatilsynet vurderte klagen og besluttet i henhold til forvaltningsloven § 14 likevel å gjennomføre kontrollen, fordi Datatilsynet fant det «påtrengende nødvendig». Datatilsynet viser til sakens omfang og karakter. Rekruttering AS er i besittelse av personopplysninger, som navn, adresse, telefonnummer og studieretning, om mange tusen nåværende og tidligere studenter. Opplysningene er ikke sensitive. Datatilsynet har ikke mottatt klager. Datatilsynet mener at vilkåret i forvaltningsloven § 14 er oppfylt også fordi klager har uttalt til media at han ikke kjenner det eksakte antallet studenter som er registrert. Videre har klager i samme artikkel uttalt at det ikke finnes ansatte til å håndtere personopplysningene. Videre legger Datatilsynet vekt på at det vil kunne hemme tilsynets arbeid dersom klagere rutinemessig ville innrømmes retten til oppsettende virkning i henhold til forvaltningsloven § 14 i forbindelse med planlagte kontroller. Det er lovgivers forutsetning at Datatilsynet skal ha vidtgående muligheter til å gjennomføre kontroller i henhold til personopplysningsloven § 44.
Forholdsmessighetsprinsippet i EMK art 10 tilsier at et kontrolltiltak må være proporsjonalt med målet for kontrolltiltaket. Det skal vurderes om målet kan oppnås ved mindre inngripende midler. Datatilsynet har vurdert om kontrollen kan gjennomføres i tilsynets lokaler i stedet for på klagerens forretningsadresse/privatadresse. Tilsynet har også vurdert andre virkemidler, som brevlig kontroll og råd- og veiledningsmøter. Tilsynet konkluderte med at dette ikke ville være hensiktsmessig i denne saken og besluttet å gjennomføre en stedlig kontroll.
Tilsynet ga ikke klagen oppsettende virkning, men gjennomførte kontrollen før Personvernnemnda fikk anledning til å behandle klagen. Datatilsynet la avgjørende vekt på momentet om at opplysningene gjelder svært mange personer og at klager i uttalelser til media har innrømmet manglende kontroll over opplysningene.
6 Personvernnemndas merknader
Leder i Personvernnemnda, Eva Jarbekk, har vært rådgiver for Universitetet i Oslo i denne saken og er således inhabil. Hun fratrådte da nemnda behandlet saken.
Personvernnemnda skal vurdere hvorvidt Rekruttering AS pliktet å finne seg i en kontroll, og hvorvidt denne kunne gjennomføres før klagen over at den ble vedtatt utført ble avgjort.
Når det gjelder det første spørsmålet, følger det av lovteksten hva det kan klages over, jf forvaltningsloven § 14. Bestemmelsen lyder:
Blir noen pålagt å gi opplysninger, skal heimelen for pålegget angis. Vedkommende har rett til å klage over pålegget dersom han mener at han ikke har plikt eller lovlig adgang til å gi opplysningene. Han skal gjøres oppmerksom på klageadgangen i forbindelse med pålegget. Klage, som kan være muntlig, må framsettes straks når den pålegget angår er til stede, og ellers innen 3 dager. Dersom vedkommende forvaltningsorgan finner det påtrengende nødvendig for å gjennomføre sine oppgaver etter loven, kan det kreve at opplysningene blir gitt før klagesaken er avgjort. For øvrig gjelder bestemmelsene i kapittel VI tilsvarende så langt de passer.
Det følger av ordlyden at klageadgangen begrenser seg til to forhold. Klagegrunnene kan være enten at han ikke har plikt til å gi opplysningene eller at han ikke har lovlig adgang til å gi opplysningene. I denne saken har klager påberopt at det ikke var hensiktsmessig eller nødvendig å gjennomføre en stedlig kontroll fordi han hadde svart på tilsynets spørsmål skriftlig. Etter nemndas syn er dette ikke klagegrunner etter lovteksten. Vi viser til at også i den juridiske litteratur er bestemmelsen tolket i samsvar med sin ordlyd, jf Jan Fridthjof Bernts kommentarer til forvaltningsloven i Rettsdata og Woxholth (Forvaltningsloven med kommentarer 2006). Hensiktsmessigheten og nødvendigheten av pålegget kan således ikke prøves. Rekruttering AS har ikke klagegrunn overfor beslutningen om å foreta kontroll, slik loven definerer disse klagegrunner.
Det andre spørsmålet er om det kan gjennomføres kontroll før klagen er behandlet. Dette er også regulert av lovteksten. Det kan gjennomføres kontroll såfremt kontrollorganet selv finner at det er «påtrengende nødvendig». Slik nemnda tolker ordlyden er det ikke adgang for en klageinstans å overprøve om det var «påtrengende nødvendig». Det er organet selv som må finne det påtrengende nødvendig og avgjørelsen ligger under organets frie skjønn. Det er derfor alene Datatilsynet som vurderer og avgjør om det er det. Nemnda har vurdert saken og kan ikke se at det foreligger myndighetsmisbruk.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 11. april 2012
Arve Føyen
Nestleder