1 Innledning

Saken gjelder klage på vedtak om å slette publiserte personopplysninger fra nettsider som følge av manglende behandlingsgrunnlag.

2 Sakens bakgrunn

Datatilsynet mottok den 10. november 2015 en henvendelse fra Advokatfirmaet Thommessen AS på vegne av Hordaland fylkeskommune. Henvendelsen gjaldt nettstedet kollega.info, der en privatperson (anonymisert av Personvernnemnda til «A») omtalte fylkeskommunen og enkelte av de ansatte. De ansatte i fylkeskommunen oppfattet omtalen på nettstedet som sjikanøs og belastende.

A var tidligere ansatt i fylkeskommunen, men ansettelsesforholdet kom til opphør gjennom en arbeidsrettslig tvist med påfølgende rettsforlik.

Den 7. april 2016 varslet Datatilsynet vedtak om pålegg overfor A. Det varslede pålegget gikk ut på at A måtte stanse publiseringen av personopplysninger på kollega.info.

I rettsforliket med Hordaland fylkeskommune forpliktet A seg til ikke å omtale fylkeskommunen negativt. Fylkeskommunen iverksatte rettslige skritt for å tvangsfullbyrde forliket, og Bergen tingrett ila derfor tvangsbot. Tvangsboten ble stadfestet av Gulating lagmannsrett 1. juli 2016. A fjernet etter dette personopplysningene fra kollega.info.

Datatilsynet oppdaget at A hadde publisert personopplysninger på nettstedet offentlig.info. I tillegg til ytringer om offentlig ansatte, inneholder siden gjengivelse av politianmeldelser av offentlig ansatte samt e-bøker skrevet av A.

Den 5. januar 2017 fattet Datatilsynet følgende vedtak:

A pålegges å fjerne politianmeldelser og nedsettende kommentarer om offentlig ansatte på kollega.info eller andre nettsider han innehar eller vil inneha da behandlingen mangler behandlingsgrunnlag, jf. personopplysningsloven § 11 bokstav a, jf. §§ 8 og 9.

A påklaget dette vedtaket 25. januar 2017.

A påpekte at formuleringen «eller vil inneha» i vedtaket kan innebære ulovlig forhåndssensur. Tilsynet omgjorde derfor eget vedtak med hjemmel i forvaltningsloven § 35:

A pålegges å fjerne politianmeldelser og nedsettende kommentarer om offentlig ansatte på kollega.info eller andre nettsider han innehar da behandlingen mangler behandlingsgrunnlag, jf personopplysningsloven § 11 bokstav a, jf. §§ 8 og 9.

Datatilsynet krever i sitt vedtak at de omstridte personopplysningene avpubliseres. A har påklaget dette.

Saken ble oversendt Personvernnemnda 1. mars 2017, som mottok saken 7. mars 2017. A ble orientert om dette i brev fra nemnda datert 8. mars 2017, med frist til uttalelse innen 3. april 2017.

A har kommentert saken i brev av 6. mars, 14. mars, 24. mars, 3. april og 24. april 2017.

3 Klagers anførsler

For det første krever A at nemnda bistår ham i å få hans legejournaler utlevert/overlevert. For det andre har A anførsler knyttet til selve publiseringen.

Når det gjelder det første kravet, viser A til at Hordaland fylkeskommune har fått utlevert hans legejournaler som følge av en kjennelse fra tingretten. A mener at fylkeskommunen har utført et rettsbedrag og at de er i ulovlig besittelse av journalene. Han har bedt Datatilsynet om å sørge for at journalene tilbakeføres til ham uten å nå frem. Han ber nå om Personvernnemndas bistand til å få disse overlevert til ham.

Når det gjelder selve publiseringen, anfører A at han ikke har publisert personopplysninger, men sakprosa. Videre anfører A at publiseringene er hans bøker og således beskyttet av åndsverksloven. Nettstedene er gratisversjoner av hans bøker. Bøkene kan også kjøpes via hans forlag. Han påberoper at en forfatters åndsverk ikke kan kreves redigert slik Datatilsynet gjør.

A anfører videre at Datatilsynets vedtak strider mot ytringsfriheten i Grunnloven, jf. Grl. § 100, og den europeiske menneskerettighetskonvensjonen (EMK) art 19.

A anfører dessuten at politianmeldelsene ikke utgjør sensitive personopplysninger, siden anmeldelsene ble registrert av politiet under titlene «Arbeidsmiljøloven, diverse» og «Arbeidskonflikt».

A fremholder at det ikke er ulovlig å offentliggjøre tittel eller navn på overgripere så lenge innholdet er sant/selvopplevd. A anfører at nettstedet er hans selvbiografi og at dette er en fortløpende pågående selvbiografisk bokutgivelse i tråd med dagens medievirkelighet og informasjonsteknologi. A har rett til å offentliggjøre nøyaktig hvilke overordnede/titler som har begått det han påstår er overgrep og hvilke overgrep som er begått.

Videre mener A at publiseringen er av journalistisk art, jf personopplysningsloven § 7.

A mener at publiseringene har en større samfunnsmessig interesse enn hva Datatilsynet har lagt til grunn. Det er snakk om overgrep og svindel fra velutdannede mennesker i høye stillinger i samfunnet, og det er viktig å formidle både stilling og navn. Det foreligger gjentakelsesfare og reelle, fortsatt forekommende overgrep mot ulike personer.

Uansett har en eventuell publisering av personopplysninger behandlingsgrunnlag i personopplysningsloven § 8 bokstav d. A mener at ytringene han publiserer har stor allmenn interesse og at det er nødvendig å publisere dem for hindre nye overgrep mot både ham selv og andre.

A er uenig i at å omtale enkeltpersoner som onde, svindlere eller overgripere, er nedsettende kommentarer. A har gjort rede for definisjonene av overgrep, ondskap og svindel og argumenterer for at slik omtale ikke er nedsettende.

4 Datatilsynets vurdering

Når det gjelder A første krav om utlevering av legejournaler, anfører Datatilsynet at det ikke har kompetanse eller myndighet til å overprøve tingrettens kjennelse. Dessuten gjelder ikke personopplysningsloven for behandling av personopplysninger i medhold av rettspleielovene, jf. personopplysningsforskriften § 1-3.

For øvrig bemerker tilsynet at A har bedt om innsyn hos offentlige organer for å se hvilke personopplysninger disse lagrer om ham, og Datatilsynet bistår ham i denne forbindelse.

Når det gjelder As publisering av personopplysninger og sensitive personopplysninger på sine nettsider, viser tilsynet til definisjonen av «personopplysninger» i personopplysningsloven § 2 nr. 1. Alle opplysninger og vurderinger som kan knyttes til en enkeltperson, regnes som personopplysninger. Her er det tale om beskrivelser av navngitte personer eller deres handlinger. Dette er personopplysninger.

Videre viser tilsynet til definisjonen av sensitive personopplysninger i personopplysningsloven § 2 nr. 8. Det at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling er i seg selv en sensitiv personopplysning, jf. bokstav b. Her rettes det mistanke om slike handlinger mot navngitte personer. Handlingene det er tale om kan være straffbare etter arbeidsmiljøloven § 19-1. Det har ingenting å si hvorvidt mistanken rettes eller kommuniseres i form av en politianmeldelse eller på annet vis. Det avgjørende er hvorvidt den registrerte har vært «mistenkt» etter en normal språklig forståelse av ordet. Det oppstilles ikke krav til at politiet må ha foretatt seg noe i saken (jf. forskjellen mellom «mistenkt» og «siktet» i straffeprosessuell forstand).

Lovgiver har satt visse grenser i retten til å ytre seg om andre. Derfor er det ikke nødvendigvis slik at man alltid har rett til å offentliggjøre tittel eller navn på overgripere, slik A anfører. Datatilsynet har vurdert klagers kommentarer og politianmeldelser. Datatilsynet har kommet til at formålet med de respektive publiseringene ikke er utelukkende kunstneriske, litterære eller journalistiske, jf. personopplysningsloven § 7. Videre mangler publiseringene behandlingsgrunnlag, jf. personopplysningsloven § 11, jf. §§ 8 og 9. Datatilsynet har videre vurdert forholdet til grunnloven § 100 og EMK og kommet frem til at ytringsfriheten ikke er til hinder for inngrep.

Tilsynet er enig i at en behandling av personopplysninger kan ha journalistiske formål selv om man ikke er journalist av yrke eller følger etablerte mediers fremgangsmåter og arbeidsmetoder. Tilsynet er også enig i at det til dels foreligger et ønske å formidle kritikkverdige forhold i samfunnet. Datatilsynets helhetsvurdering er likevel at ytringene det er snakk om ikke utelukkende har journalistiske formål. De aktuelle ytringene er ikke av en journalistisk art, men fremstår mer som en uthengning av enkeltpersoner i en digital gapestokk for hevn eller «ansvarliggjøring». Dessuten har klager en sterk egeninteresse i saken ut over det journalistiske, så personopplysningene behandles ikke utelukkende for journalistiske formål.

Graden av samfunnsmessig interesse er relevant i vurderingen av både personopplysningsloven § 7, grunnloven § 100 og EMK artikkel 10. Tilsynet er enig i at visse anliggender og kritikkverdige forhold i en offentlig virksomhet etter omstendighetene kan ha betydelig samfunnsmessig interesse. Tilsynet er derimot ikke enig i at det er av særlig samfunnsmessig interesse å publisere nedsettende ytringer om og politianmeldelser av enkeltpersonene i denne saken. Det er tvilsomt om ytringene om enkeltpersonene i sin nåværende form i noen grad bidrar til en meningsfylt samfunnsdebatt. Videre har ikke enkeltpersonene det er snakk om, så høye stillinger at de er offentlige personer eller spiller en rolle i det offentlige liv.

Når det gjelder behandlingsgrunnlag, jf. personopplysningsloven § 8 bokstav d, finner tilsynet at det å publisere eget syn på en pågående konflikt ved å henge ut enkeltpersoner ikke har en allmenn interesse. Personopplysningsloven § 8 bokstav d er heller ikke ment å verne enkeltpersoners publisering av personopplysninger på internett. Personopplysningslovens forarbeider eksemplifiserer behandlinger som kan ha behandlingsgrunnlag i § 8 bokstav d.

Eksempler på slike oppgaver kan være behandling av personopplysninger som ledd i arkivering eller i forbindelse med statistisk, historisk eller vitenskapelig virksomhet. Det samme gjelder offentlige eller private informasjonssystemer som er tilgjengelige for allmenheten.

Etter tilsynets mening driver ikke As nettsteder med statistisk, historisk eller vitenskapelig virksomhet. Nettsidene tilbyr heller ikke et informasjonssystem som sådant.

Personopplysningsloven § 8 bokstav d er basert på personverndirektivet artikkel 7 bokstav e, og personopplysningsloven er ment å inkorporere personverndirektivet i norsk rett. Derfor må § 8 bokstav d tolkes i tråd med artikkel 7 bokstav e. Artikkel 29-gruppen, et rådgivende organ opprettet med hjemmel i personverndirektivet artikkel 29, har gitt retningslinjer om hvordan artikkel 7 bokstav e er å forstå. Av retningslinjene fremgår det at bestemmelsen har ment å dekke situasjoner der den behandlingsansvarlige er tillagt offentlig myndighet eller oppgaver i det offentliges interesse eller blir anmodet av en med offentlig myndighet om å utlevere opplysninger. Den konkrete behandlingen av personopplysninger må være nødvendig for å utføre denne typen oppgaver. Tilsynet kan ikke se at A driver med behandling av personopplysninger for slike oppgaver.

Tilsynet mener at publiseringen også mangler behandlingsgrunnlag i personopplysningsloven § 8 bokstav f. Sensitive personopplysninger må også ha behandlingsgrunnlag i personopplysningsloven § 9. As publisering av de kategoriene personopplysninger som denne saken handler om, mangler derfor behandlingsgrunnlag.

5 Personvernnemndas syn

Problemstilling og rettslig utgangspunkt

A har bedt om Personvernnemndas bistand til å få legejournaler utlevert/overlevert. Nemnda bemerker at den ikke har kompetanse til å overprøve tingrettens beslutning. En eventuell overprøving av tingrettens avgjørelse må gjøres ved anke til lagmannsretten.

Problemstillingen for nemnda er om A kan pålegges å fjerne publiserte politianmeldelser og nedsettende kommentarer fra ulike nettsider på grunn av manglende behandlingsgrunnlag eller om publiseringene er omfattet av personopplysningsloven § 7.

Nemnda mener i likhet med Datatilsynet at klager har publisert opplysninger som er personopplysninger i personopplysningslovens forstand, jf. personopplysningsloven § 2 nr. 1. Det vises her til Datatilsynets begrunnelse som er dekkende for nemndas syn.

Etter personopplysningsloven § 11 bokstav a skal den behandlingsansvarlige sørge for at personopplysningene som behandles bare behandles når dette er tillatt etter § 8 og § 9.

Vilkårene for behandling av sensitive personopplysninger fremgår av personopplysningsloven § 9 første ledd bokstav a-h.

Personopplysningsloven § 7 regulerer forholdet til ytringsfriheten. Etter denne bestemmelsen gjelder blant annet ikke kravet til behandlingsgrunn §§ 8 og 9 for behandling av personopplysninger utelukkende for kunstneriske, litterære eller journalistiske formål.

Vurdering av enkeltvedtakets utforming og begrunnelse

Tilsynets vedtak går ut på at A skal «fjerne politianmeldelser og nedsettende kommentarer» fra kollega.info «eller andre nettsider han innehar».

Etter nemndas syn er enkeltvedtaket utformet og begrunnet på en måte som ikke oppfyller forvaltningslovens krav til enkeltvedtak, jf. forvaltningsloven §§ 23, 24 og 24.

Slik nemnda ser det har Datatilsynet tatt utgangspunkt i en helt generell henvendelse fra Hordaland fylkeskommunes advokatforbindelse, hvor det i liten grad er konkretisert hvilke ytringer man mente var fremsatt i strid med personopplysningsloven, og deretter fattet et vedtak på et tilsvarende lite konkretisert grunnlag. Etter nemndas syn kan ikke tilsynet pålegge en person helt generelt å slette «politianmeldelser og nedsettende kommentarer» fra «nettsider» uten at det samtidig konkretiseres hvilke opplysninger som må fjernes og hvorfra de må slettes. Vedtaket konkretiserer ikke pålegget, og gjør det således umulig for den vedtaket retter seg mot å innrette seg etter vedtaket på en hensiktsmessig måte. Etter nemndas syn strider tilsynets vedtak også med det alminnelige forholdsmessighetsprinsippet som gjelder for forvaltningen. Nemnda viser her til Eckhoff/Smith, Forvaltningsrett 10. utgave side 368-369. Vedtakets rekkevidde vil i dette tilfellet gå ut over de formål personopplysningsloven skal beskytte.

Verken vedtakets begrunnelse, tilsynets korrespondanse med klager eller selve vedtaket gir klager mulighet til å avgjøre hva slags type ytringer tilsynet mener er i strid med personopplysningsloven og den konkrete rettslige begrunnelsen for et slikt syn. Det er etter nemndas syn på det rene at personopplysningsloven ikke hjemler nedleggelse av forbud mot å ytre enhver nedsettende kommentar om et enkeltindivid, bl. a. i tilfeller hvor hensynet til ytringsfriheten tilsier at en slik ytring må være tillatt.

Nemnda finner at Datatilsynets vedtak ikke tilfredsstiller de alminnelige krav til begrunnelse og konkretisering mht. hvilke handlinger vedtaket retter seg mot som følger av forvaltningsloven §§ 24 og 25.

Nemnda ser at den konkrete saken omfatter svært mange ytringer, og at det lett vil kunne bli svært ressurskrevende for både den som mener seg krenket og for Datatilsynet å behandle en klage, og utforme et vedtak. Dette endrer imidlertid ikke nemndas syn på hvilke krav som må stilles til begrunnelsen og utformingen av et enkeltvedtak. Dette illustrerer dessuten at personopplysningsloven ikke nødvendigvis er det ideelle rettsgrunnlaget for å forfølge denne typen saker.

På dette grunnlag er nemnda kommet til at vedtaket må oppheves og sendes tilbake til Datatilsynet for ny behandling, jf. forvaltningsloven § 34 siste ledd.

Vurdering av forholdet til ytringsfriheten etter personopplysningsloven § 7

Nemnda mener videre at Datatilsynet må vurdere på nytt om As publiseringer omfattes av personopplysningsloven § 7, slik at det ikke er krav om behandlingsgrunnlag etter personopplysningsloven § 8 eller § 9.

Nemnda mener Datatilsynet har lagt til grunn en for snever forståelse av hva som skal regnes som «journalistiske formål», jf. personopplysningsloven § 7.

Nemnda vil i den sammenheng påpeke at loven er medienøytral, og at journalistisk virksomhet må anses å omfatte mer enn den profesjonelle nyhetsjournalistikk. Dette følger allerede av forarbeidene til personopplysningsloven, se Ot. Prp. nr. 92 (1998-99), hvoretter departementet understreker på side 80 at

[d]ette betyr f.eks at det ikke kan gis unntak bare for journalister, men for enhver som behandler personopplysninger i journalistisk øyemed. Sett fra et ytringsfrihetsynspunkt er dette positivt, fordi enkelte grupper ikke får bedre mulighet til å ytre seg enn andre.

Nemnda viser i denne sammenheng også til Dag Wiese Schartum, Lovkommentar, som legger til grunn at «unntaket i § 7 går lenger enn det direktivet legger opp til, men det kan likevel være tvil om unntaket går langt nok i forhold til EMK art. 10». Etter nemndas syn understreker dette betydningen av å vurdere de enkelte, konkrete ytringer, i tillegg til at det er grunn til å vurdere om EMK art. 10 supplerer personopplysningsloven § 7.

Nemnda viser til tidligere saker hvor dette er blitt vurdert, jf. blant andre PVN-2005-03 og PVN-2007-05.

Når det gjelder avveiningen mellom EMK art 8 og art 10, anser nemnda at Högsta domstolens avgjørelse i den såkalte «Ramsbro-dommen», NJA 2001 s 409, vil være relevant.

En privatperson (Ramsbro) opprettet en nettside ved navn Stiftelsen Mot Nordbanken (SMN) hvor han publiserte personopplysninger om bankers og finansselskapers skadeforvoldelser før, under og etter bankkrisen. Ramsbro ble anklaget for å ha lagt ut integritetskrenkende personopplysninger på internett.

Svensk høyesterett frifant Ramsbro. Høyesterett viste til EMK art 10 og foretok en avveining mellom art 8 og 10. Domstolen uttalte:

Den i artikel 10 föreskrivna rätten till åsiktsfrihet och till att utan offentlig myndighets inblandning ta emot och sprida uppgifter och tankar är inte inskränkt till någon viss grupp av personer utan avser var och en. Utövandet av yttrandefriheten får i lag underkastas bl.a. sådana formföreskrifter, villkor, inskränkningar eller straffpåföljder som i ett demokratiskt samhälle är nödvendiga till skydd för annans goda namn och rykte eller rättigheter. En rättighet som kan föranleda inskränkningar är den i artikel 8 skyddade rätten til privatliv. En sådan indskränkning kan sträcka sig längre än vad som behövs för skydd av annans goda namn eller rykte.

…

Av vad som anförts ovan framgår att rättigheterna enligt artikel 8 och 10 i Europakonventionen i enskilda fall kan komma i konflikt med varandra. För att avgöra sådana konflikter tillämpar Europadomstolen den s.k. proportionalitetsprincipen vilket innebär att en avvägning görs mellan intresset av skydd för privatlivet och intresset av yttrandefrihet. Det får antas att det i personuppgiftslagen föreskrivna, på direktivet grundade, undantaget för journalistiska ändamål utgör ett forsök att i mer generella termer ge uttryck för en sådan intresseavvägning. Att yttrycket journalistiska ändamål använts kan under sådana förhållanden inte antas vara i avsikt att privilgiera etablerade massmedier eller personer som är yrkesverksamma inom sådana medier. Med uttrycket torde snarare få antas vara avsett att betona vikten av en fri informationsspridning i frågor av betydelse för allmänheten eller för grupper av människor och en fri debatt i samhällsfrågor.

…

Oavsett ordvalet står det klart att avsikten med dessa uttalanden inte varit att hävda att avgränsningen skulle ske med tillämpning av någon form av kvalitetskriterium när det gäller innehållet utan endas syftat till att ange karaktären av en bedriven verksamhet.

…

Att elektroniskt eller på annat sätt publicerade texter innehåller kränkande eller nedvärderande uppgifter eller omdömen innebär emellertid inte i sig att det inte är fråga om journalistiska ändamål. Tvärtom får sådant anses utgöra ett normalt inslag inom ramen för en kritisk samhällsdebatt. Som Europadomstolen framhållit innefatta ryttrandefriheten även rätten att framföra sådan information och sådana åsikter och tankar som kränker, chockerar eller stör.

Den svenske personuppgiftslagen viser til den svenske trykkfrihetslagen og ytringsfrihetsgrunnloven. Den danske loven viser også direkte til EMK art 10.

Slik Datatilsynets vedtak er formulert, blir det ikke mulig for nemnda å ta stilling til hvilke formuleringer som faller innenfor og utenfor § 7. Det vises her til nemndas drøftelse ovenfor.

Nemnda har etter dette kommet til at vedtaket lider av lovanvendelsesfeil, i tillegg til saksbehandlingsfeil knyttet til vedtakets utforming og begrunnelse, jf. forrige avsnitt.

Vurderingen av om A har behandlingsgrunnlag etter personopplysningsloven §§ 8 og 9.

Når det gjelder spørsmålet om A behandler sensitive personopplysninger, jf. personopplysningsloven § 2 nr. 8 bokstav b), mener nemnda at Datatilsynets lovtolkning ikke er korrekt. Datatilsynet skriver i vedtaket at begrepet «mistenkt» skal tolkes etter en alminnelig språklig forståelse.

Nemnda bemerker at personene som omtales av A har aldri har vært mistenkt etter straffeprosesslovens bestemmelser, men er utelukkende anmeldt av A for ulike angivelige lovbrudd. Etter ren språklig forståelse av ordlyden faller dette utenfor personopplysningslovens definisjon av sensitive personopplysninger. Opplysningene i saken gir ingen holdepunkter for at personene A omtaler på noe tidspunkt har vært mistenkt. Personopplysningslovens begrep "mistenkt" kan omfatte tilfeller der det ikke er innledet straffesak. Det vises her til merknadene til personregisterloven (1978) §§ 6 og 9 i Ot.prp.nr. 34 (1986-87) side 24, som er videreført i personopplysningen. Det fremgår der at registre opprettet av private vaktselskap over personer som er pågrepet med stjålne varer uten at det er inngitt anmeldelse kan anes som sensitive personopplysninger. Nemnda mener imidlertid faktum i saken skiller seg vesentlig fra dette eksempelet. Nemnda har tidligere vurdert begrepet «mistenkt» i PVN-2008-02, hvor det ble lagt til grunn at en beslutning om varetektsfengsling faller inn under ordlyden i § 2 nr. 8 bokstav b. En person som er varetektsfengslet har imidlertid status som siktet etter straffeprosessloven.

Nemnda mener derfor Datatilsynets lovtolkning av begrepet "mistenkt" i § 2 nr. 8 bokstav b er uriktig. En eventuell utvidelse av lovens anvendelsesområde til personer som er anmeldt er en lovgiveroppgave. Nemnda har forståelse for at As omtale av personene som påståtte lovbrytere oppfattes som belastende og sjikanøse. Dette medfører imidlertid ikke at det er tale om behandling av sensitive personopplysninger. Etter nemndas syn er Datatilsynets lovanvendelse på dette punkt uriktig, og vedtaket må også av denne grunn oppheves.

Datatilsynet har uttalt i saksdokumentene at e-bøker er unntatt vedtaket, jf. bl. a. oversendelsesbrev fra tilsynet til nemnda datert 1.3.2017. Dette fremgår vel å merke ikke av vedtaket, men nemnda forstår korrespondansen i saken slik at tilsynet mener e-bøker ikke er omfattet.

Oppsummeringsvis er nemnda kommet til at vedtaket lider av både formelle feil og lovanvendelsesfeil.

6 Vedtak

Datatilsynets vedtak oppheves. Saken sendes tilbake til Datatilsynet for ny behandling.

 

Oslo, 29. juni 2017

Mats Wilhelm Ruland

Leder

 

---