Personvernnemndas avgjørelse av 23. januar 2018 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Line Coll, Hans Marius Tessem, Ellen Blinkenberg)

1 Innledning

Saken gjelder klage på Datatilsynets vedtak om overtredelsesgebyr for publisering på Facebook av stillbilder fra kameraopptak.

2 Sakens bakgrunn og faktum

Kolbotn Bil AS ble frastjålet en svart Audi A7 Quattro mandag 30. januar 2017. Tyveriet skjedde etter stengetid, men lokalene var åpne og det var ansatte til stede. Kolbotn Bil AS publiserte syv stillbilder på sin Facebook-side av en person som de mistenkte å ha stjålet bilen. Kolbotn Bil AS hadde tidligere på dagen lånt ut nøkler til bilen til den samme mannen, som deretter leverte nøklene tilbake, før han forlot butikken. Noen timer senere ble bilen stjålet. Bildene viser den aktuelle personen som går rundt i lokalene til virksomheten. Bildene viser ikke at bilen blir stjålet.

Bildene ble publisert på Facebook 1. februar 2017 sammen med teksten «Kolbotn Bil ble utsatt for tyveri mandag 30.01.17 kl. 18:15. Ta en titt på bildene, er det noen som gjenkjenner eller vet hvem denne personen er? Solid dusør utloves ved informasjon som fører til at gjerningspersonen blir tatt. All informasjon og tips holdes anonymt. Ta kontakt med politiet eller gi oss beskjed. Bilen som forsvant er en uregistrert svart Audi A7 quattro, 3.0L, lx S-Line.»

Etter å ha mottatt to tips om publiseringen, sendte Datatilsynet Kolbotn Bil AS varsel om vedtak 19. april 2017. Innlegget på Facebook hadde på varseltidspunktet blitt delt 798 ganger.

Kolbotn Bil AS kommenterte varselet i brev 12. mai 2017.

Datatilsynet fattet følgende vedtak om overtredelsesgebyr 14. juni 2017:

«Med hjemmel i personopplysningsloven § 46 første ledd pålegges Kolbotn Bil AS å betale et overtredelsesgebyr til statskassen på 75 000 – syttifem tusen – kroner for å ha utlevert opptak gjort ved kameraovervåking i strid med personopplysningsloven § 39 ved å publisere syv stillbilder på sin Facebook-side for å innhente tips og informasjon om en uidentifisert person».

Facebook-innlegget var fjernet på vedtakstidspunktet.

Kolbotn Bil AS påklaget vedtaket i brev 4. juli 2017. Datatilsynet vurderte klagen og opprettholdt sitt vedtak.

Personvernnemnda mottok saken 24. oktober 2017. Klager ble orientert om saken i brev fra nemnda samme dag, med frist for eventuell uttalelse innen 13. november 2017.

Personvernnemnda stilte spørsmål til Kolbotn Bil AS for å klargjøre faktum. Kolbotn Bil AS ga tilleggsopplysninger i brev 10. desember 2017 og e-post 19. januar 2018.

3 Kolbotn Bil AS’ anførsler

Personopplysningslovens § 39 rammer ikke opptaket i seg selv, den regulerer adgangen til å levere ut personopplysninger til andre enn den behandlingsansvarlige eller politiet. Et bilde av tilstrekkelig kvalitet til å kjenne igjen en person oppfyller normalt definisjonen av en personopplysning. Det må imidlertid vurderes i det konkrete tilfellet. Om den antatte gjerningsmannen er maskert kan det stilles spørsmål om det er en «personopplysning» som leveres ut. Bildene viser ikke selve tyveriet. Bildene viser «noen» som er i nærheten av en bil og kan ikke være nok til at dette er identifiserbart. Bildene viser ikke vedkommende i en situasjon som er sensitiv i seg selv. Det er eventuelt påstanden om at den avbildede er tyven som gjør dette sensitivt.

Tyveriet ble anmeldt til politiet og det var politiet som anmodet om at Kolbotn Bil AS skulle legge ut bildene på nett. Representanten fra Kolbotn Bil AS som var på politistasjonen i Ski fikk på spørsmål om det var i orden å legge bildene ut på nettet aksept for dette fra vedkommende som satt i skranken hos politiet.

Det at politiet godkjente publiseringen, gjør at Kolbotn Bil AS’ skyld må ansees mindre enn det som angis av tilsynet i vedtaket.

Publiseringen på Facebook kan sammenlignes med de tilfellene politiet er med på å publisere og massekringkaste tilsvarende bilder. Forskjellen her er at det skjer i sekvens, politiet forespørres og så legges det ut - ikke parallelt, som eksempelvis TV-programmet Åsted Norge.

Intensjonen med å legge ut bildene var ikke selvtekt, men å bidra til at gjerningspersonen(e) ble tatt, jf. formuleringen i teksten «[..] som fører til at gjerningspersonen blir tatt.» Formålet med publiseringen var at vedkommende skulle identifiseres overfor politiet.

Kriminalitet er et samfunnsproblem for alle, privatpersoner og virksomheter. Det er i denne saken ikke snakk om å begi seg inn på statens maktmonopol, men yte et bidrag til at politiet settes i stand til å oppklare tyveriet. Politiet prioriterer erfaringsmessig ikke slik kriminalitet og sannsynligheten for oppklaring er svært lav uten bidrag til informasjon i saken.

I denne saken – om man hadde visst hvem dette var – kunne man antagelig sagt at vedkommende var anmeldt for tyveri ved å bruke ytringsfriheten sin. Det ville ikke være ærekrenkende da man kunne føre bevis for innholdet i ytringen. Her bruker man bilder fra et overvåkningskamera i stedet for ord. Friheten til å ytre seg på bekostning av personvernet er omtalt i NOU 1999:27, blant annet på side 127.

Det er en balanse mellom kriminalitetsbekjempelse og vernet om formuesverdier og den påståtte gjerningsmanns personvern. Datatilsynets mandat er å ivareta personvernet, men når det skal utmåle en repressiv reaksjon bør også en offentlig tilsynsmyndighet i større grad se hen til andre beskyttelsesverdige interesser og i større grad benytte seg av sin diskresjonære kompetanse.

Utmålingen må også ta hensyn til folks rettsoppfatning. Det vises til oppslaget på www.nrk.no 4. juli 2017 «Dette skader folks rettsoppfatning» som handler om en liknende sak hvor reaksjonene retter seg både mot politiets manglende prioritering og tilsynets reaksjon på tilsvarende handling som denne saken dreier seg om. Selv om man skulle legge til grunn at personvernregler er brutt, strider det mot den alminnelige rettsoppfatning at offer i straffesaker ilegges straffegebyr for sine ofte feilaktige og klumsete forsøk på å hindre tap.

Utfra disse hensyn mener Kolbotn Bil AS at gebyret skal falle bort.

Gebyret må uansett etter Kolbotn Bil AS’ oppfatning settes betydelig ned, både ut fra det som er nevnt over og holdt opp mot resultatet for virksomheten som Datatilsynet selv har vist til i vedtaket. Et gebyr på over 25 % av resultatet må ansees lite proporsjonalt selv om summen skulle være i henhold til tidligere utmålte gebyrer fra Datatilsynet.

Gebyret på kr 75 000 rammer denne virksomheten hardere enn andre. Hensikten med at like saker skal håndteres likt må være at reaksjonen synes like belastende for alle og ikke hardere for de med svakere økonomi.

Tilsynets argumentasjon synes å gå i retning av en standardisert sats for denne type overtredelser og det er ikke i henhold til personopplysningsloven § 46 andre ledd bokstav h. Bruken av sjablonggebyr i saken er etter klagers syn lite skjønnsomt og praksisen egner seg over tid til å underminere tillit til samfunnets kontrollorganer.

Sett hen til bakgrunnen for bruddet ville en advarsel vært tilstrekkelig i denne saken. Den valgte reaksjonen bærer ikke preg av konkret vurdering i forhold til sakens art.

4 Datatilsynets vurdering

Etter personopplysningsloven § 39 er det ikke lov å utlevere opptak fra kameraovervåking med mindre den som er avbildet samtykker, adgang til å utlevere følger av lov eller utlevering skjer til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker.

Selv om Kolbotn Bil AS fikk aksept av personen i skranken på politistasjonen i Ski på spørsmål om det var i orden å legge bildene ut på nettet, kan ikke publiseringen likestilles med en utlevering til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker. Utleveringen kan heller ikke likestilles med en utlevering foretatt av politiet, selv om politiet skal ha akseptert at Kolbotn Bil AS publiserte bildene. Tilsynet konstaterer derfor brudd på personopplysningsloven § 39, og dette er bakgrunnen for vedtaket om overtredelsesgebyr.

Det er på det rene at bildene er personopplysninger, det vil si at de kan knyttes til en enkeltperson. Den antatte gjerningsmannen er ikke maskert, men går med lue og briller (ikke solbriller). Bildene viser personen fra ulike vinkler og i ulike positurer, i helfigur og ansikt. Det er klart at bildene er egnet til å identifisere en enkeltperson.

Kameraovervåking er særdeles krenkende for personvernet, og et brudd på reglene om kameraovervåking kan derfor ha store konsekvenser for den registrerte. Det skal fremkomme i en internkontroll at publisering av kameraopptak kun skal skje i overenstemmelse med personopplysningsloven § 39. Utlevering av kameraopptak i strid med klare regler i personopplysningsloven bekrefter en svikt i internkontrollen.

Personopplysningslovens forhold til ytringsfriheten er regulert i personopplysningsloven § 7. Personopplysningsloven § 39 er spesielt unntatt denne bestemmelsen. Datatilsynet legger derfor til grunn at lovgiver har vurdert at hovedregelen i § 39 om forbud mot utlevering av opptak gjort med kameraovervåking lar seg forsvare holdt opp imot ytringsfrihetens begrunnelse i sannhetssøken, demokrati og individets frie meningsdannelse, jf. Grunnloven § 100.

Datatilsynet mener det er nødvendig å reagere på overtredelsen av personopplysningsloven § 39 og ilegge overtredelsesgebyr, jf. personopplysningsloven § 46.

I samsvar med Høyesteretts praksis (jf. Rt-2012-1556) legger tilsynet til grunn at overtredelsesgebyr er å anse som straff etter den europeiske menneskerettighetskonvensjonen art 6. Det kreves derfor klar sannsynlighetsovervekt for lovbrudd for å kunne ilegge gebyr.

Datatilsynet kan ilegge overtredelsesgebyr etter en skjønnsmessig helhetsvurdering. Ved vurderingen og utmålingen skal det særlig legges vekt på:

a) hvor alvorlig overtredelsen har krenket de interesser loven verner,

b) graden av skyld,

c) om overtrederen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen,

d) om overtredelsen er begått for å fremme overtrederens interesser,

e) om overtrederen har hatt eller kunne ha oppnådd fordel ved overtredelsen,

f) om det foreligger gjentakelse,

g) om andre reaksjoner som følge av overtredelsen blir ilagt overtrederen eller noen andre som har handlet på vegne av denne, blant annet om noen enkeltperson blir ilagt straff,

h) overtrederens økonomiske evne.

Datatilsynet finner det klart at Kolbotn Bil AS har utlevert opptak gjort ved kameraovervåking i strid med personopplysningsloven § 39.

I vurderingen av om overtredelsesgebyr skal ilegges, legger Datatilsynet særlig vekt på at overtredelsene betydelig har krenket grunnleggende interesser som loven verner, jf. § 46 andre ledd bokstav a. Loven verner om grunnleggende personverninteresser som den personlige integritet og privatlivets fred, jf. lovens § 1.

Lovgiver har vurdert kameraovervåking som et særskilt inngrep i personvernet, og derfor er dette spesialregulert. Reglene setter klare grenser for hvordan kameraopptak skal behandles. Reglene for utlevering skal blant annet sikre at opptak med personopplysninger ikke spres slik at inngrepet i personvernet blir større enn nødvendig. Videre sikrer reglene at opptak ikke brukes til selvtekt – det er opp til politiet å utføre etterforskning. Virksomheten har klart krenket disse personverninteressene ved å publisere stillbilder fra kameraovervåking på Facebook. Datatilsynet legger til grunn at formålet med publiseringen på Facebook var å spre bildene for finne den angivelige tyven. Krenkelsen blir dermed større da det er klart hvorfor han henges ut, og han blir derfor målskive i kommentarer som følger innlegget.

Når det gjelder graden av skyld, jf. personopplysningsloven § 46 andre ledd bokstav b, forklarer lovens forarbeider at det med graden av skyld siktes til hvor klanderverdig handlingen er, for eksempel om den bærer preg av et uhell eller om den har et mer systematisk eller planmessig preg.

I denne saken er det på det rene at overtredelsen ikke skyldes et uhell – utlevering og publisering av opptaket på Facebook var en villet handling. Det er virksomhetens ansvar å sette seg inn i reglene for kameraopptak når slikt utstyr installeres, og med det vite at det er klare regler for når et opptak kan utleveres, uavhengig av formål. Det er Datatilsynet og ikke politiet som fører tilsyn med personopplysningloven, og det bør være kjent for den behandlingsansvarlige. Selv om politiet skal ha oppfordret virksomheten til å dele bildene, burde den behandlingsansvarlige hatt en internkontroll som avklarte spørsmålet og som sikret etterlevelse av personopplysningsloven før kameraovervåking ble montert. Kolbotn Bil AS ville da vært klar over at opptak fra kameraovervåking med personer ikke under noen omstendigheter kunne publiseres av virksomheten. Det fremstår som åpenbart for Datatilsynet at virksomheten i denne saken kunne forhindret eller forebygget overtredelsen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak, jf. § 46 andre ledd bokstav c.

Som nevnt over har lovgiver ønsket å sikre at opptak med personopplysninger ikke spres slik at inngrepet i personvernet blir større enn nødvendig. Kolbotn Bil AS har publisert bildene på internett, slik at spredning ikke kan kontrolleres. Leseren blir i tillegg lovet en «solid dusør» for informasjon som leder til at gjerningspersonen blir tatt. Det er egnet til å bidra til ytterligere spredning av bildene. Facebook-innlegget hadde på varselstidspunktet blitt delt 798 ganger. Selv om innlegget er fjernet, har ikke virksomheten kontroll over hvem som har lagret bildene, kopiert dem eller gjenbrukt dem i andre sammenhenger. Disse forholdene er klart klanderverdige.

Datatilsynet har forståelse for at det er provoserende å bli frastjålet verdier, og det er ønskelig å få hjelp fra publikum til å finne den eventuelle gjerningsmannen. Det er imidlertid slik at det er politiet som skal etterforske og forfølge straffbare handlinger. Politiet har retningslinjer og lovbestemmelser de er bundet av ved etterforskningen av kriminelle handlinger. Disse reglene skal ivareta en balansert etterforskning og sikre rettighetene til både mistenkte og fornærmede. Politiet hadde ikke hjemmel til å oppfordre til selvtekt, men kan selv innhente tips fra publikum.

Det er heller ikke tvilsomt at overtredelsen er begått for å fremme overtrederens interesser, jf. personopplysningsloven § 46 andre ledd bokstav d. Etter Datatilsynets oppfatning henger publiseringen av opptakene sammen med vern av virksomhetens verdier. Det kan derfor ikke utelukkes at Kolbotn Bil AS har hatt, eller kunne fått en fordel av overtredelsen, jf. § 46 andre ledd bokstav e.

Det skal også legges vekt på overtrederens økonomiske evne, jf. personopplysningsloven § 46 andre ledd bokstav h. Dette er særlig relevant for vurderingen av utmåling. Kolbotn Bil AS hadde en omsetning på kr 30 957 000 i 2015, som var en økning på 109 % fra 2014. Resultat før skatt lå på kr 254 000, en nedgang på 63 % fra 2014. Datatilsynet finner etter dette at virksomheten har evne til å bære en økonomisk sanksjon av en viss størrelse.

Tilsynet kan ikke se at de andre momentene i § 46 andre ledd gjør seg gjeldende.

Kolbotn Bil viser til at de har vært aktsomme ved å forhøre seg med politiet vedrørende publiseringen.

Andre momenter som taler for overtredelsesgebyr veier forholdsmessig tyngre.

Datatilsynet er etter en helhetsvurdering kommet til at overtredelsesgebyr bør ilegges.

Når det gjelder gebyrets størrelse, skal de samme momenter som ved vurdering av om gebyr skal ilegges, tillegges særlig vekt. Gebyret bør settes så høyt at det får den nødvendige virkning også utover den konkrete saken. Samtidig må gebyrets størrelse stå i et rimelig forhold til overtredelsen.

Tilsynet viser til sak 16/01382 og PVN-2017-02 hvor det ble ilagt overtredelsesgebyr på henholdsvis kr 100 000 og kr 75 000 som følge av kredittvurdering uten saklig behov.

I saker som gjelder publisering av kameraopptak vises det til sak 17/00678 og 16/01382, der det ble ilagt gebyr på kr 75 000 og kr 50 000. Det vises også til PVN-2015-16 der Personvernnemnda var enig med Datatilsynet om at overtredelsesgebyr som hovedregel skal ilegges ved ulovlig publisering av opptak. Videre har Datatilsynet lenge hatt en etablert praksis på at det gis overtredelsesgebyr på kr 75 000 ved urettmessig innsyn i e-post. Datatilsynet anser personvernkrenkelsene ved publisering av opptak fra kameraovervåking i strid med personopplysningsloven § 39 som sammenlignbar med krenkelsen ved kredittvurdering uten saklig behov og urettmessig innsyn i e-post. Alle krenkelsene medfører brudd på klare bestemmelser i personopplysningsloven som har til hensikt å hindre ulovlig behandling av verneverdige personopplysninger.

Kolbotn Bil AS har bedt om at overtredelsesgebyret settes betydelig ned, både på grunn av at politiet ble forespurt før publiseringen, og fordi gebyret utgjør 25 % av resultatet i 2015.

Som nevnt over veier andre momenter forholdsmessig tyngre enn aktsomheten. Bruddet viser mangler ved internkontroll, samt at det har blitt delt sensitive opplysninger. Datatilsynet reduserer ikke gebyret selv om det utgjør 25 % av resultatet for 2015. Hadde resultatet vært negativt, ville saken kunne stilt seg annerledes.

Etter en helhetsvurdering av overtredelsens art og overtrederens økonomiske evne, har tilsynet kommet frem til at et overtredelsesgebyr på 75 000 kroner er passende.

5 Personvernnemndas syn

Personopplysningsloven § 39 lyder:

«Personopplysninger som er innsamlet ved opptak gjort ved kameraovervåking, kan bare utleveres til andre enn den behandlingsansvarlige dersom den som er avbildet samtykker eller utleveringsadgangen følger av lov. Opptak kan likevel utleveres til politiet ved etterforskning av straffbare handlinger eller ulykker hvis ikke lovbestemt taushetsplikt er til hinder.»

Personopplysningsloven § 2 nr. 1) definerer en personopplysning som opplysninger eller vurderinger som kan knyttes til en enkeltperson. I Ot.prp. nr. 92 (1998-1999) på side 102 er dette nærmere omtalt slik:

«I nr 1 defineres «personopplysning» som opplysninger og vurderinger som knytter seg til en enkeltperson (den registrerte). Med uttrykket «enkeltperson» menes en person som direkte eller indirekte kan identifiseres, f.eks ved hjelp av navn, identifikasjonsnummer eller et annet kjennetegn som er spesielt for personens fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sosiale identitet, jf direktivet artikkel 2 a. Eksempler på personopplysninger kan være opplysninger som foreligger i form av bilde, personens stemme, fingeravtrykk eller genetiske kjennetegn. Hvilket lagringsmedium som benyttes, er uten betydning så lenge identifikasjon er mulig.

I vurderingen av om personen lar seg identifisere, skal det tas i betraktning alle hjelpemidler som det er rimelig å tro at noen kan komme til å anvende for identifiseringsformål, jf direktivets fortale punkt 26. […] Og det vil dreie seg om en personopplysning selv om tilknytningen mellom personen og opplysningen bare er kjent av noen få personer.»

Personvernnemnda legger, som Datatilsynet, til grunn at bildekvaliteten i dette tilfellet åpenbart er slik at bildene kan knyttes til en enkeltperson. Ved all bilde- og videoidentifisering er det en forutsetning at man har forhåndskunnskaper om personen i bildet eller videoen. Den behandlingsansvarlige må dessuten ta høyde for at tredjepersoner kan benytte teknologiske virkemidler for å identifisere personene i opptaket. Bildene som i dette tilfellet er publisert, viser personen fra ulike vinkler og i ulike positurer, i helfigur og ansikt. Det er derfor ingen tvil om at bildene anses som personopplysninger.

Når bilder som er tatt ved hjelp av kameraovervåking er å anse som personopplysninger, kan de bare utleveres til andre enn den behandlingsansvarlige (og politiet på visse vilkår) dersom den som er avbildet samtykker eller utleveringsadgangen følger av lov, jf. personopplysningsloven § 39. Bestemmelsen innebærer en begrensning i adgangen til å utlevere personopplysninger når personopplysningene er innsamlet ved opptak gjort ved kameraovervåking. Mens personopplysninger ellers kan utleveres når det foreligger behandlingsgrunnlag i personopplysningsloven § 8 og § 9, begrenses utleveringsadgangen av personopplysninger som er innsamlet ved opptak gjort ved kameraovervåking til samtykke eller lovhjemmel, det vil si det er ikke tilstrekkelig at en av de andre behandlingsgrunnlagene i §§ 8 og 9 foreligger. Personopplysningsloven skiller ikke mellom sensitive og ikke-sensitive opplysninger på dette punktet.

Personvernnemnda finner det hensiktsmessig innledningsvis å si noe om bakgrunnen for denne lovbestemmelsen, herunder forholdet mellom denne bestemmelsen og de øvrige bestemmelsene i personopplysningsloven.

I Norge fikk vi, med virkning fra 1. januar 1994, egne regler om fjernsynsovervåking i et eget kapittel (kapittel 9a) i dagjeldende personregisterlov. I forbindelse med lovendringen påpekte departementet at rettskildebildet ikke var klart med hensyn til om opptak gjort ved fjernsynsovervåking var å anse som personregistre og dermed omfattet av reglene i personregisterloven eller ikke. Med bakgrunn i lovens ordlyd, forarbeidene og Høyesteretts avgjørelse i Rt-1991-616 (Gatekjøkkendommen), konkluderte departementet med at slike opptak normalt ville falle utenfor registerbegrepet, og at det derfor var behov for egne regler om fjernsynsovervåking, se Ot.prp. nr. 56 (1992-1993) side 4.

EU-direktivet, som personopplysningsloven bygger på, har ingen særlige regler om kameraovervåking. Det er de alminnelige bestemmelsene om behandling av personopplysninger som gjelder etter EU-direktivet. I Norge ønsket man likevel å videreføre egne regler om fjernsynsovervåking. I Ot.prp. nr. 92 (1998-1999) kap. 8.5 sier departementet:

«Departementet er enig med utvalget og høringsinstansene i at det er behov for skjerpet kontroll med fjernsynsovervåking. Omfanget av denne typen overvåking øker jevnt og dukker opp i stadig nye sammenhenger. Diskusjonen om overvåking i drosjer er ett av flere eksempler på dette. Selv om fjernsynsovervåking i mange sammenhenger oppfattes som en sikkerhet f.eks mot kriminalitet, kan den også føles som en trussel mot personvernet. Vissheten om at man overvåkes i stadig flere situasjoner i løpet av en vanlig dag kan i seg selv oppleves som belastende og inngripende. Ved å innføre meldeplikt for fjernsynsovervåking i kombinasjon med kompetanse for Datatilsynet til å gripe inn mot overvåking som foretas i strid med lovens behandlingsregler, vil man gi tilsynsmyndigheten nye og gode virkemidler til å kontrollere lovligheten av den overvåkingen som finner sted.

Det vil følge av lovens generelle virkeområde at den overvåkingen som utgjør en elektronisk behandling av personopplysninger uten videre faller inn under lovens samlede regelsett. Selv om det elektroniske behandlingsbegrepet som lovforslaget bygger på er videre enn registerbegrepet i personregisterloven, vil det fremdeles være en del typer fjernsynsovervåking som faller utenfor lovforslagets alminnelige virkeområde. F eks vil fjernsynsovervåking som overføres direkte til en tv - skjerm uten at billedopptak blir lagret, neppe være noen behandling av personopplysninger slik direktivet og lovforslaget nytter uttrykkene. Departementet er derfor enig med utvalget i at man bør videreføre personregisterlovens system med at overvåking som ikke faller inn under lovens alminnelige regler, reguleres særskilt. For å gjøre særreglene om overvåking lettere tilgjengelig for brukerne går departementet inn for å samle dem i et eget kapittel VII i lovforslaget.»

Personvernnemnda legger etter dette til grunn at de særlige reglene om fjernsynsovervåking som var gitt i personopplysningsloven kapittel VII opprinnelig var beregnet for fjernsynsovervåking som ikke var omfattet av lovens alminnelige regler. Lovens § 37 som fastsatte virkeområde for reglene om fjernsynsovervåking lød slik:

«Reglene i §§ 38-41 gjelder for all fjernsynsovervåking. Det samme gjelder § 8, § 9, § 11, § 31 og § 32. Fjernsynsovervåking som har som formål å avdekke opplysninger som nevnt i § 2 nr. 8 bokstav b, er likevel tillatt, selv om vilkårene i § 9 første ledd ikke er oppfylt.

Når billedopptak fra fjernsynsovervåking lagres på en måte som gjør det mulig å finne igjen opplysninger om en bestemt person, jf. § 3 første ledd, gjelder også lovens øvrige bestemmelser. Konsesjonsplikten etter § 33 gjelder likevel ikke for slik fjernsynsovervåking som har som formål å avdekke opplysninger som nevnt i § 2 nr. 8 bokstav b.»

Personvernnemnda forstår dette slik at all type behandling av billedopptak gjort ved fjernsynsovervåking, krevde rettslig behandlingsgrunnlag i personopplysningsloven § 8 og eventuelt § 9 dersom det dreide seg om sensitive opplysninger. Dette, sammen med at det ble innført meldeplikt, samt at Datatilsynet ble gitt kompetanse til å stanse fjernsynsovervåking som etter loven var ulovlig, innebar en klar innskjerping av reglene om fjernsynsovervåking.

I tillegg ble det i personopplysningsloven § 39 gitt en bestemmelse om utlevering av personopplysninger, som i henhold til § 37 skulle gjelde for all fjernsynsovervåking (i og med at den gjelder personopplysninger og ikke billedopptak, var anvendelsen likevel i praksis begrenset til å gjelde utlevering som allerede var omfattet av lovens øvrige bestemmelser). Bestemmelsen var likelydende da som nå, med den endring at loven benyttet «billedopptak gjort ved fjernsynsovervåking» i stedet for dagens ordlyd «opptak gjort ved kameraovervåking». Det er i forarbeidene sagt lite om bakgrunnen for denne bestemmelsen og behovet for en egen bestemmelse om utlevering, utover at departementet i merknadene til de enkelte bestemmelsene sier om denne:

«Bestemmelsen viderefører pregl § 37 b første ledd. Departementet ser i motsetning til utvalget behov for å beholde en særlig regel om utlevering av billedopptak som er gjort ved fjernsynsovervåking.»

Personregisterloven § 37 b regulerte utlevering av «billedopptak gjort ved fjernsynsovervåking», og var viktig blant annet fordi det var usikkert i hvilken grad slike billedopptak var å anse som personregistre (jf. ovenfor) og dermed omfattet av personregisterlovens øvrige bestemmelser. Situasjonen var annerledes ved vedtakelsen av personopplysningsloven. Utlevering av «personopplysninger som er innsamlet ved billedopptak gjort ved fjernsynsovervåking» vil alltid innebære en behandling av personopplysninger, jf. personopplysningsloven § 2 nr. 2 og være omfattet av alle lovens bestemmelser. Uten en egen bestemmelse om utlevering i § 39 ville utlevering av slike personopplysninger ikke kunne skje med mindre det forelå behandlingsgrunnlag etter lovens § 8 og eventuelt § 9. Med andre ord ville utlevering av slike personopplysninger kreve samtykke eller lovhjemmel, med mindre utleveringen var nødvendig etter et av alternativene i § 8 bokstav a – f, og eventuelt et av alternativene i bokstav c – h i § 9 hvis det dreide seg om sensitive opplysninger. Det er derfor misvisende å kalle dette en videreføring av personregisterloven § 37 b første ledd.

Når man likevel innfører en egen bestemmelse om utlevering av personopplysninger som forutsetter enten samtykke eller lovhjemmel (uavhengig av om opplysningene er sensitive eller ikke), og dermed utelukker de andre behandlingsgrunnlagene i hhv § 8 og § 9, må dette forstås som en slik begrensning, selv om motivene og begrunnelsene for dette ikke fremkommer av lovforarbeidene. En annen forståelse av denne lovbestemmelsen ville innebære at den er helt innholdsløs. Det er også slik bestemmelsen er blitt praktisert av Datatilsynet, og denne forståelsen støttes til en viss grad også av de endringene i ordlyden som ble foretatt i 2012 (Prop.47 L (2011-2012)) hvor overskriften på de ulike bestemmelsene ble endret slik at § 37 angir «alminnelige vilkår» og §§ 38-40 angir «tilleggsvilkår». Departementet sier om dette i Prop.47 L (2011-2012), kap. 7.3.7:

«Systemet for reglene om kameraovervåking fremgår indirekte gjennom henvisningsbestemmelsen i personopplysningsloven § 37. Her gis dels de øvrige regler i personopplysningsloven anvendelse for kameraovervåking, dels vises det til spesialreglene i §§ 38-40. Formålet med en slik systematikk har vært å tydeliggjøre at kameraovervåking i mange tilfeller er en så inngripende type behandling av personopplysninger at de skranker som ellers gjelder i personopplysningsloven ikke er nok.

Departementet har imidlertid mottatt signaler om at det ikke fremgår klart nok av personopplysningsloven at kameraovervåking som utgangspunkt er underlagt et slikt dobbelt sett av regler. Under høringsrunden har også flere høringsinstanser pekt på et behov for å få klart frem at kameraovervåking ikke kan finne sted uten at disse reglene er oppfylt.

Departementet foreslår derfor at det tilføyes en ny bestemmelse i § 36 annet ledd, der det tydelig fremgår at kameraovervåking bare kan finne sted der vilkårene for dette er oppfylt etter § 37 (alminnelige vilkår) og §§ 38-40 (tilleggsvilkår).»

Det ble ikke gjort noen endringer i bestemmelsen om utlevering utover at «fjernsynsovervåking» ble byttet ut med «kameraovervåking». Om endringsbehovet for øvrig knyttet til utlevering, sier departementet i kap. 7.7:

«Departementet har ikke mottatt signaler om et behov for materielle endringer i personopplysningsloven § 39 om utlevering av bildeopptak.

Ettersom bestemmelsen på samme måte som § 38 i realiteten er et tilleggsvilkår ved kameraovervåking, mener departementet imidlertid at det vil være hensiktsmessig at overskriften også endres her.»

Etter ordlyden skulle dette tilsi at departementet mener at utlevering av personopplysninger som er samlet inn ved kameraovervåking for det første krever behandlingsgrunnlag i § 8 (og evt § 9), og at det i tillegg kreves samtykke eller lovhjemmel. Personvernnemnda legger til grunn at loven ikke kan forstås slik. «Tilleggsvilkår» må derfor i relasjon til § 39 bety «unntak» eller «begrensninger i behandlingsgrunnlag».

Personvernnemnda er på denne bakgrunn enig med Datatilsynet i at loven må forstås slik at for en spesifikk type behandling (nemlig utlevering) av personopplysninger, så oppstiller loven særskilte krav til behandlingsgrunnlaget, når personopplysningene er samlet inn ved bruk av kameraovervåking: bare samtykke eller hjemmel i lov er tilstrekkelig. Dette gjelder uavhengig av om personopplysningene som utleveres er sensitive eller ikke. Det er gjort spesifikt unntak for utlevering til politiet ved etterforskning av straffbare handlinger eller ulykker.

Personvernnemnda legger etter dette, i likhet med Datatilsynet, til grunn at Kolbotn Bil AS har brutt personopplysningsloven § 39.

Etter personopplysningsloven § 46 kan Datatilsynet pålegge den som har brutt personopplysningsloven eller forskrifter i medhold av den, å betale et overtredelsesgebyr til statskassen på inntil ti ganger grunnbeløpet i folketrygden. Etter andre punktum kan fysiske personer bare ilegges overtredelsesgebyr når overtredelsen er forsettlig eller uaktsom. Tredje punktum fastsetter at et foretak ikke kan ilegges overtredelsesgebyr når overtredelsen skyldes forhold utenfor foretakets kontroll. Det stilles etter rettspraksis krav om klar sannsynlighetsovervekt for å ilegge sanksjoner som har karakter av straff etter EMK art. 6, jf. Rt-2008-1409 og Rt-2012-1556. Det innebærer at ileggelse av overtredelsesgebyr etter personopplysningsloven § 46 forutsetter klar sannsynlighetsovervekt ved vurderingen av bevisene, både når det gjelder objektive og subjektive forhold.

Avgjørelsen av om overtredelsesgebyr skal ilegges, skal bero på en skjønnsmessig helhetsvurdering, men andre ledd bokstav a til h angir momenter som det særlig skal legges vekt på ved vurderingen. Disse momentene skal også vektlegges i vurderingen av hvor stort et eventuelt overtredelsesgebyr skal være.

Hvor alvorlig overtredelsen har krenket de interesser loven verner, § 46 bokstav a

Etter bokstav a skal det legges vekt på hvor alvorlig overtredelsen har krenket de interesser loven verner. Av personopplysningsloven § 1 andre ledd følger at loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger. Personvernnemnda vil i det følgende si noe om hvilke momenter som etter nemndas syn har betydning for vurderingen av overtredelsens alvor.

For det første er det nødvendig å se på hvilke personopplysninger som er utlevert i strid med § 39. Selv om § 37 ikke skiller mellom sensitive og ikke-sensitive opplysninger, vil dette skillet ha betydning for vurderingen av overtredelsens alvorlighet etter § 46 bokstav a.

Hvilke personopplysninger som etter personopplysningsloven anses som sensitive er definert i § 2 nr. 8. Bokstav b i denne bestemmelsen definerer «opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling» som sensitive opplysninger. Det følger videre av § 37 fjerde ledd at kameraovervåking kun skal «anses som behandling av sensitive personopplysninger der slike utgjør en vesentlig del av opplysningene som overvåkingen omfatter». Det kreves ikke at det er innledet straffesak hos politiet for å bli ansett som «mistenkt for en straffbar handling», jf. merknadene til personregisterloven (1978) §§ 6 og 9 i Ot.prp. nr. 34 (1986-87) side 24, som er videreført i personopplysningsloven. Det fremgår der at registre opprettet av private vaktselskap over personer som er pågrepet med stjålne varer uten at det er inngitt anmeldelse kan anses som sensitive personopplysninger. I PVN-2017-06 (Kollega.info) har Personvernnemnda avgrenset mot blant annet åpenbart uholdbare politianmeldelser og ikke ansett en privatpersons omtale av personer som påståtte lovbrytere på en nettside som behandling av sensitive personopplysninger. Nemnda legger til grunn at opplysning om at en person er anmeldt, ikke i seg selv medfører at personopplysningen er å regne som sensitiv, med mindre det foreligger visse holdepunkter for at vedkommende rent faktisk også er «mistenkt».

I dette tilfellet har Kolbotn Bil publisert bildene av en person som går rundt i lokalene sammen med følgende tekst:

«Kolbotn Bil ble utsatt for tyveri mandag 30.01.17 kl. 18.15. Ta en titt på bildene, er det noen som gjenkjenner eller vet hvem denne personen er? Solid dusør utloves ved informasjon som fører til at gjerningspersonen blir tatt. All informasjon og tips holdes anonymt. Ta kontakt med politiet eller gi oss beskjed. Bilen som forsvant er en uregistrert svart Audi A7 quattro, 3.0L, 1x S-Line.»

Teksten kan vanskelig tolkes på annen måte enn at Kolbotn Bil AS kobler tyveriet til den avbildede mannen og derfor ber om opplysninger «som fører til at gjerningspersonen blir tatt». I og med at nemnda har begrenset kunnskap om bakgrunnen for den mistanken som presenteres, avstår nemnda i dette tilfellet fra å konkludere om hvorvidt det dreier seg om sensitive personopplysninger i personopplysningslovens forstand. Uansett mener nemnda at bildene, sammenholdt med teksten, gjør publiseringen belastende for den avbildede, noe som nemnda mener må få betydning for vurderingen av overtredelsens alvor.

Måten personopplysningene er utlevert på, er også av betydning. Kolbotn Bil AS har publisert bildene på Facebook, noe som medfører at videre spredning og bruk ikke kan kontrolleres. Sammen med bildene er det gitt løfte om en «solid dusør» til den som bidrar med informasjon som gjør at gjerningsmannen blir tatt. Personvernnemnda er enig med Datatilsynet i at dette er egnet til ytterligere å bidra til spredning av bildene. På tidspunktet da Datatilsynet sendte varsel om vedtak, var innlegget blitt delt 798 ganger. Selv om innholdet nå er fjernet, har virksomheten ikke kontroll over hvem som har lagret, kopiert eller gjenbrukt bildene i andre sammenhenger. Dette medfører at den ulovlige utleveringen av personopplysninger anses mer alvorlig enn om utleveringen skjedde på annen måte.

Når det gjelder hensynet til den avbildedes personlige integritet og vektleggingen av hensynet til privatlivets fred, finner nemnda det hensiktsmessig å redegjøre noe nærmere for hvilke momenter som etter nemndas syn er relevante. Selv om personopplysningsloven § 39 begrenser adgangen til å utlevere personopplysninger innsamlet ved opptak gjort ved kameraovervåking, sammenlignet med utlevering av andre personopplysninger, kan ikke forarbeidene (jf. gjennomgangen ovenfor) forstås slik at utlevering av denne typen opplysninger alltid representerer et like stort inngrep i personvernet til den enkelte. Etter nemndas syn er det nødvendig å foreta en nyansering av de ulike situasjonene.

I Ot.prp. nr. 56 (1992-1993) foreslås det en nærmere regulering av visse sider av fjernsynsovervåking. På side 11 sier Justisdepartementet følgende om bakgrunnen for forslaget:

«Normalt vil ikke den omstendighet at enkelte foretak eller organer sitter med slike billedopptak, innebære noen fare eller trussel mot dem som er avbildet. Formålet med fjernsynsovervåkningen er f.eks å forebygge straffbare handlinger, eller å være et hjelpemiddel ved etterforskningen. For den som foretar overvåkningen, vil det meste av billedmaterialet være uten interesse og ikke bli brukt. En fare eller trussel mot den enkelte vil billedopptakene særlig være overfor den som måtte ha forgått seg (f.eks ved en straffbar handling), slik at opptakene av den grunn blir interessante for overvåkeren og eventuelt andre. I slike tilfeller vil den avbildede ofte ikke ha en like berettiget interesse i å få være beskyttet mot at opptakene benyttes. Hvis man legger en slik betraktning til grunn, kan det reises spørsmål om det er noen grunn til å sette skranker for fjernsynsovervåkning i det hele tatt. De fleste vil nok til tross for dette mene at det er behov for en regulering (slik det også er kommet til uttrykk fra høringsinstansenes side.)»

Departementet påpeker her at den avbildede som har begått en straffbar handling «ofte ikke [vil] ha en like berettiget interesse i å få være beskyttet mot at opptakene benyttes». Nemnda legger til grunn at dette først og fremst gjelder der det ikke dreier seg om noen skjult overvåking, og det er den avbildede selv som velger å begå en kriminell handling på et sted hvor det er synlige varsler om at stedet er overvåket. Det er likevel en alminnelig oppfatning at man ikke ønsker «gapestokk»-tendenser i det offentlige rom, slik at også den kriminelles interesser i å få være anonym er vernet gjennom blant annet personvernlovgivningen. Det er politiet som har ansvaret for å etterforske og straffeforfølge personer som mistenkes for straffbare forhold og det er egen lovgivning som regulerer politiets behandling av personopplysninger i den forbindelse. Nemnda mener likevel at personvernhensynene gjør seg gjeldende i mindre grad for personer som velger å begå kriminelle handlinger i lokaler med tydelig varsel om at stedet er kameraovervåket, og at utlevering av personopplysninger innsamlet ved billedopptak ikke representerer noen grov krenkelse av disse personenes personvern, vurdert opp mot interessene til de som blir rammet av de kriminelle handlingene (med mindre utleveringen bare har som formål å plassere noen i gapestokken). Nemnda antar også at dette er i tråd med folks allmenne rettsoppfatning, hvilket er viktig for å styrke respekten og forståelsen for lovgivningen.

I dette tilfellet viser imidlertid billedopptakene ingen kriminelle handlinger, og koblingen til det oppgitte tyveriet av Audien er gjort av Kolbotn Bil AS selv. Hvor godt begrunnet mistanken er, er det vanskelig for nemnda å ta stilling til uten også å ha innhentet den avbildedes versjon av hendelsesforløpet. Det er i alle fall ikke noe ved billedopptakene i seg selv som tilsier at den avbildede også er tyven. I en slik situasjon gjør hensynet til den avbildedes personlige integritet seg klart sterkere gjeldende enn om bildene viste at han for eksempel hadde brutt seg inn i forretningen og stjålet bilen.

Personvernnemnda ser ikke bort fra at det er nødvendig å reagere strengere enn tidligere på denne typen saker, slik Datatilsynet gir uttrykk for. Nemnda mener imidlertid at det blir for unyansert å mene dette generelt om all type «publisering av opptak fra kameraovervåking». Etter nemndas syn må det foretas en konkret vurdering av overtredelsens alvor basert på opplysningenes karakter, hvor berettiget interesse den avbildede har i å få være beskyttet, samt en vurdering av i hvilken grad den behandlingsansvarlige har en berettiget interesse i å utlevere opplysningene. Denne vurderingen og interesseavveiningen må foretas ved vurderingen av om det skal ilegges overtredelsesgebyr, samt ved fastsettelsen av gebyrets størrelse.

Nemnda er enig med Datatilsynet i at overtredelsens alvor i dette tilfellet tilsier at det ilegges gebyr.

Graden av skyld, § 46 bokstav b

Loven oppstiller ikke krav om subjektiv skyld når det er et foretak som ilegges overtredelsesgebyr. Ved vurdering av skyldgrad etter § 46 bokstav b er det likevel naturlig å vurdere skyldgraden hos den som i dette tilfellet har handlet på vegne av selskapet. Det dreier seg da om en forsettlig overtredelse av loven ved at foretakets representant med vitende og vilje har publisert bildene fra kameraovervåkingen på Facebook. Foretakets anførsel om at han trodde det var i orden å publisere bildene, får bare betydning i den grad hans uvitenhet om rettsregelen var aktsom, jf. straffeloven § 26. Etter Personvernnemndas vurdering foreligger det ingen unnskyldelig rettsvillfarelse. Det er virksomhetens, og den som handler på virksomhetens vegnes, ansvar å sette seg inn i reglene for kameraopptak når slikt utstyr monteres. Dette ansvaret faller ikke bort ved at en, ikke navngitt person på politistasjonen, sier at publiseringen er i orden. Det er Datatilsynet og ikke politiet, som fører tilsyn med personopplysningsloven, og nemnda er enig med Datatilsynet i at dette bør være kjent for den behandlingsansvarlige.

Graden av skyld tilsier etter dette også at det ilegges gebyr.

I hvilken grad kunne overtredelsen vært forebygget, § 46 bokstav c

Personvernnemnda er enig med Datatilsynet i at virksomheten kunne forhindret eller forbygget overtredelsen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak. I og med at personopplysningsloven § 39 forbyr all utlevering av personopplysninger innsamlet ved opptak gjort ved kameraovervåking til andre enn politiet, med mindre det foreligger samtykke eller hjemmel i lov, ville det være enkelt å etablere internkontrollrutiner som sikret overholdelse av denne regelen, først og fremst ved å sørge for kunnskap om den.

At overtredelsen lett kunne vært forebygget, er et forhold som tilsier at det ilegges gebyr.

Er overtredelsen begått for å fremme overtrederens interesser, og har eller kunne foretaket oppnådd noen fordel ved overtredelsen, § 46 bokstav d og e

Det er ingen tvil om at overtredelsen er begått for å fremme Kolbotn Bil AS’ interesser ved å verne om egne verdier, samt forsøke å bringe den stjålne bilen tilbake til eierne. Etter Personvernnemndas syn er dette et forhold som ikke er tungtveiende for at det skal ilegges gebyr i denne saken, idet Kolbotn Bils interesse er forståelig og til en viss grad må anses berettiget. Personvernnemnda understreker at det ikke medfører at publiseringen blir lovlig. Ved vurderingen av om den diskresjonære adgangen til å ilegge gebyr skal benyttes, samt ved vurderingen av gebyrets størrelse, vil imidlertid dette (som de øvrige momentene) og vektingen av disse, være av betydning. Datatilsynet påpeker at overtredelsen er begått for å fremme overtrederens interesse, samt at det ikke «utelukkes at Kolbotn Bil AS har hatt, eller kunne fått en fordel av overtredelsen». Det fremgår ikke av vedtaket hvordan disse momentene er vektlagt og i hvilken grad de begrunner ileggelsen av gebyr og fastsettelsen av gebyrets størrelse. Det er etter Personvernnemndas syn uheldig.

Selv om Kolbotn Bil AS må sies å ha en berettiget interesse i å ivareta egne verdier og igangsette tiltak for å bringe tyvgods tilbake til foretaket, er det grunn til å påpeke at Kolbotn Bil AS selv, med enkle tiltak, kunne forbygget hendelsen og redusert behovet for å gå ut med en etterlysning for å finne identiteten til den personen de mistenker er gjerningsmann. Det er opplyst at de har lånt ut bilnøkkel til vedkommende person, og dersom de hadde rutiner som innebar en registrering av hvem som låner bilnøkkel (f.eks. ved å ta bilde av førerkort), ville spørsmålet om identitet være enkelt å avklare.

At Kolbotn Bil AS i stedet for på enkelt vis å sikre gode egne rutiner, velger å publisere personopplysninger i strid med personopplysningsloven § 39, tilsier at det reageres med et gebyr.

Foreligger det gjentakelse, § 46 bokstav f

Etter det Personvernnemnda er kjent med er dette foretakets første brudd på personopplysningsloven. Ved gjentakelse ville behovet for å reagere vært større enn ved første gangs overtredelse, som her. Det ville også kunne begrunne en økning av gebyret.

Om andre reaksjoner blir ilagt foretaket eller noen som handler på vegne av foretaket, som følge av overtredelsen, § 46 bokstav g

Etter det Personvernnemnda er kjent med er det ikke aktuelt med andre reaksjoner mot foretaket eller noen som har handlet på foretakets vegne som følge av denne overtredelsen. Dersom det hadde vært det, ville det kunne være et moment som trakk i retning av at det ikke skulle ilegges gebyr, eller at gebyrets størrelse skulle reduseres.

Overtrederens økonomiske evne, § 46 bokstav h

Også overtrederens økonomiske evne skal vektlegges, jf. personopplysningsloven § 46 bokstav h. Det er opplyst at foretaket hadde en omsetning på kr 30.957.000 i 2015, og et resultat etter skatt på kr 178.000. For 2016 er tallene henholdsvis kr. 46.752.000 og 316.000,-.

Personvernnemnda er enig med Datatilsynet i at foretakets økonomiske situasjon i dette tilfellet ikke er utslagsgivende verken i positiv eller negativ retning.

Etter en samlet vurdering av de ulike momentene, er Personvernnemnda enig med Datatilsynet i at Kolbotn Bil AS bør ilegges et gebyr for sin ulovlige utlevering av personopplysninger innsamlet ved opptak gjort ved kameraovervåking.

Gebyrets størrelse

Gebyrets størrelse skal fastsettes etter en skjønnsmessig vurdering hvor de samme momentene angitt i § 46 a – h også skal vektlegges. Gebyret skal virke avskrekkende, samtidig som det må stå i forhold til overtredelsens alvorlighetsgrad.

Datatilsynet har opplyst at tilsynet de senere årene har mottatt flere henvendelser om publisering av opptak fra kameraovervåking, samt saker om usaklig kredittvurdering, og at denne utviklingen har medført at Datatilsynet har skjerpet sin tidligere praksis, og at gebyrene på disse områdene på denne bakgrunnen er økt. Datatilsynet har blant annet vist til PVN-2015-16 hvor Personvernnemnda opprettholdt Datatilsynets vedtak om ileggelse av kr 25.000 i gebyr for ulovlig publisering av billedopptak fra kameraovervåking, men samtidig vist til at tilsynet på nåværende tidspunkt har en strengere praksis. Endelig har Datatilsynet vist til at de har en etablert praksis med at det gis overtredelsesgebyr på kr. 75.000 ved urettmessig innsyn i e-post og at publisering av opptak fra kameraovervåking, samt kredittvurdering uten saklig behov alle innebærer sammenliknbare krenkelser av personvernet som tilsier at de behandles likt.

Personvernnemnda vil innledningsvis bemerke at nemnda ikke har den nødvendige oversikten i denne saken til å ta stilling til hvorvidt det er riktig at de tre ulike typer personvernkrenkelser som Datatilsynet viser til, i utgangspunktet bør behandles likt med hensyn til utmåling av overtredelsesgebyr. Uansett mener Personvernnemnda at en slik sammenlikning bare kan ha nytte som et utgangspunkt og at den konkrete utmålingen må skje etter en bred skjønnsmessig vurdering, herunder ved en vurdering av de ulike momentene oppregnet i § 46 a – h.

PVN-2015-16 gjaldt publisering av en overvåkingsfilm på Facebook hvor opptaket viser en person som stjeler varer fra en butikk. Personvernnemnda opprettholdt der Datatilsynets vedtak om ileggelse av et overtredelsesgebyr på kr. 25.000,-. Personvernnemndas vurdering er kortfattet, men nemnda viser til Datatilsynets vurdering som tiltres, både når det gjelder ileggelse av gebyr og gebyrets størrelse. Det fremgår av gjengivelsen av Datatilsynets vurdering at Datatilsynet ila gebyr på kr 25.000 i tråd med daværende praksis, og viste til hensynet til likebehandling og forutberegnelighet. De vektla i skjerpende retning at det dreide seg om utlevering av sensitive opplysninger, samt at utleveringen skjedde på en nettside hvor den som la ut opplysningene mistet kontrollen over den videre bruken av dem. Datatilsynets vedtak i PVN-2015-16 ble truffet 23. april 2015. Etter klagebehandling i nemnda ble saken sendt Personvernnemnda først i november 2015. Nemnda traff sitt vedtak 13. mai 2016.

Personvernnemnda har forståelse for at Datatilsynet kan ha behov for å justere sin praksis, alt etter den generelle utviklingen i samfunnet, samt i tråd med hva tilsynet opplever som nye eller endrede utfordringer for personvernet. Nemnda mener likevel at en vesentlig skjerping av overtredelsesgebyrets størrelse, ut fra hensynet til likebehandling og forutberegnelighet, bør skje gradvis. I den grad PVN-2015-16 og denne saken er sammenliknbare, synes derfor en økning av gebyret fra kr 25 000 til 75 000 i løpet av ett år, noe brått. En slik økning ville etter nemndas vurdering kreve en særlig begrunnelse, noe nemnda ikke kan se er gitt.

I PVN-2015-16 har nemnda lagt til grunn at opptaket viser personer som stjeler varer, mens bildene i denne saken ikke viser noen kriminelle handlinger og omtalen av den avbildede som tyv er basert på en (mer eller mindre godt begrunnet) mistanke fra den behandlingsansvarlige. Det innebærer, slik nemnda ser det, at den avbildedes interesse i beskyttelse mot bruk av opptakene i denne saken, er mer berettiget enn i PVN-2015-16 (jf. nemndas vurdering av dette momentet ovenfor).

Disse forholdene, samt det faktum at det anses nødvendig med en gradvis skjerping av reaksjonen ved ulovlig publisering av personopplysninger innsamlet ved opptak gjort ved kameraovervåking, gjør at gebyret etter nemndas vurdering bør settes til kr. 50 000.

6 Vedtak

Klagen tas delvis til følge, ved at overtredelsesgebyrets størrelse settes til kr. 50 000.

 

 

Oslo, 23. januar 2018

Mari Bø Haugstad

Leder