Personvernnemndas avgjørelse av 15. mai 2018 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Line Coll, Petter Bae Brandtzæg, Ellen Blinkenberg)

 

 

1 Innledning

Saken gjelder klage på Datatilsynets avgjørelse om å avslutte en påbegynt tilsynssak, uten realitetsvurdering.

2 Sakens bakgrunn og faktum

Keolis Norge AS (heretter Keolis) driver Bybanen i Bergen. Keolis har overvåkningskamera montert på alle sine holdeplasser, og formålet med kameraovervåkningen er passasjersikkerhet og trygg trafikkavvikling.

I brev 2. desember 2016 ble Datatilsynet anmodet av Yrkestrafikkforbundet (heretter YTF) om å starte tilsynssak hos Keolis og fatte vedtak etter personopplysningsloven § 46. Bakgrunnen for anmodningen var bedriftens bruk av tre videoopptak i en sak om oppsigelse av en vognfører. Keolis hadde mottatt to skriftlige kundeklager mot vognføreren, og bedriften ønsket å verifisere innholdet i kundeklagene ved å sjekke videoopptakene på de ulike holdeplassene. Det ene videoopptaket viste at vognførerens sporvogn oppholdt seg på en holdeplass i 1 minutt og 24 sekunder. Dette brukte Keolis for å dokumentere at vognføreren hadde diskutert med kunden, i stedet for å kjøre videre. Det andre videoopptaket, som var fra endestasjonen i Bergen sentrum, viste vognføreren i diskusjon med kunden. YTF mente at denne bruken var i strid med det opprinnelige formålet med behandlingen, jf. personopplysningsloven § 11 bokstav c.

Datatilsynet påla Keolis i brev 2. februar 2017 å redegjøre for de forhold som YTF hadde påpekt i sin anmodning. Datatilsynet mottok 27. februar 2017 en redegjørelse fra advokat Johannes Straume hos NHO Transport, som representerer Keolis.

Etter at Datatilsynet hadde mottatt redegjørelsen, ble det klart at oppsigelsessaken mellom vognføreren og Keolis skulle behandles av Bergen tingrett i løpet av våren 2017. Også spørsmålet om bruken av kameraopptak var i henhold til personopplysningsloven, skulle behandles av tingretten i samme sak. Datatilsynet besluttet da å avvente videre saksbehandling til avgjørelsen fra Bergen tingrett forelå. YTF og Keolis v/NHO Transport ble orientert om dette i brev 29. mars 2017.

Tingretten kom i dom og kjennelse 2. juni 2017 til at vognføreren måtte fratre sin stilling, og videre at bruken av de aktuelle kameraopptakene ikke var uforenlig med det opprinnelige formålet med kameraovervåkingen. Tingretten mente at opptakene angikk forhold som hadde med sikkerhet for passasjerer og trafikkgjennomføring å gjøre. Fremhenting av opptak til avklaring av en episode som gjaldt en persons kryssing av bybanesporet var ikke uforenlig med det opprinnelige formålet, da dette gjaldt passasjerenes opplevelse av trygghet. Vognføreren anket tingrettens dom, og anken ble i november 2017 hevet som forlikt under rettsmekling i lagmannsretten.

I brev 16. juni 2017 ble sakens parter informert om at Datatilsynet hadde avsluttet saken uten å fatte vedtak om pålegg eller overtredelsesgebyr etter personopplysningsloven § 46. I begrunnelsen for beslutningen om å avslutte saken heter det:

«Datatilsynets oppgave er å føre kontroll etter personopplysningsregelverket slik at enkeltpersoner ikke blir krenket gjennom bruk av opplysninger som kan knyttes til dem. Med de ressursene vi har til rådighet må vi foreta en streng prioritering av hvilke henvendelser vi skal følge opp. Som følge av dette har vi besluttet å avslutte denne saken. Den nærmere begrunnelsen for dette er at et eventuelt vedtak etter personopplysningsloven § 46 i denne saken vil ha liten praktisk betydning, da avgjørelse i sak for domstolen er bindende for sakens parter. Å fatte vedtak etter personopplysningsloven § 46 fremstår som en lite hensiktsmessig bruk av tilsynets ressurser, da denne saken allerede er behandlet i rettsapparatet. Denne oppfatningen gjelder også ved en eventuell ankebehandling av kravet om erstatning etter personopplysingsloven § 49 for lagmannsretten.

Videre er Datatilsynet av den oppfatning at tingretten har foretatt en konkret og grundig vurdering av personopplysingslovens bestemmelser i forbindelse [med] oppsigelsessaken for domstolen. Vi avslutter med dette denne saken hos oss.»

YTF anmodet Datatilsynet i brev 27. juni 2017 om at saken ble gjenåpnet, men dette ble avslått i brev 28. august 2017. Avslaget ble i brev 14. september 2017 påklaget av YTF, og det er denne klagen som skal behandles av Personvernnemnda.

Personvernnemnda fikk 5. januar 2018 oversendt saken fra Datatilsynet. Partene ble i brev fra nemnda samme dag orientert om oversendelsen, og fristen for uttalelse ble satt til 22. januar 2018. Nemnda mottok 12. januar 2018 et udatert støtteskriv fra, lokal hovedtillitsvalgt i YTF Bybanen Keolis Norge. Videre mottok nemnda i brev 22. januar 2018 kommentarer fra YTF. Keolis har ikke inngitt uttalelse.

4 YTF har i hovedsak anført

Avslaget om gjenåpning av saken er begrunnet i ressursmangel. Det er overraskende at Datatilsynet, før de begrunner at saken avsluttes grunnet ressursmangler, igangsetter en sak, involverer begge parter, som igjen engasjerer advokater i korrespondansen med Datatilsynet, dernest informerer om at saken utsettes inntil dom foreligger, for så å informere om at saken avsluttes nærmere seks måneder etter at Datatilsynet påbegynte saken.

Det faktum at Datatilsynet har konkludert med at tingretten «har foretatt en konkret og grundig vurdering av personopplysingslovens bestemmelser», tilsier ut fra en naturlig språklig forståelse av ordlyden at Datatilsynet har foretatt en tilstrekkelig grundig vurdering, uten å treffe vedtak i saken. Dette har medført at YTF ikke er gitt muligheten til å angripe dette synspunktet og få en rettslig avklaring av om slik bruk av opptak fra kameraovervåking er i tråd med reglene i personopplysningsloven.

At Datatilsynets uttalelse om tingrettens behandling av spørsmålet tolkes som en realitetsvurdering, støttes opp av at Keolis i anketilsvaret viser til Datatilsynets uttalelse som støtte for sitt syn om at behandlingen er lovlig.

Påstanden om at saken er avsluttet som følge av ressursmangel er i beste fall utenforliggende, og avgjørelsen fremstår som uforsvarlig og mangelfull saksbehandling.

Det er ikke tilstrekkelig å vise til at hensynet til den registrerte er tilstrekkelig ivaretatt all den tid vedkommende har fått prøvd saken sin for domstolene. Det er ikke vedkommende arbeidstaker som er part i denne saken og saken har betydning for andre arbeidstakere enn vedkommende. Rettstilstanden nå er uklar og partene i den saken som gikk for domstolene er uenige om hvordan Datatilsynets uttalelse er å forstå. Det er derfor nødvendig at Datatilsynet realitetsbehandler saken og treffer en avgjørelse.

Datatilsynet foretar en uriktig sammenblanding av parten i det sivile søksmålet med den kollektive klageren YTF. Anken fremmet av vognføreren ble hevet som forlikt under rettsmekling i lagmannsretten i november 2017. Henvisning til tingrettens dom, som aldri har vært rettskraftig, har ingen betydning i denne saken. At saken er hevet som forlikt belyser imidlertid hovedpoenget om at YTF og vognføreren er uavhengig av hverandre, og at klagesaken og det sivile søksmålet er uavhengig da saksgangen og partenes interesser er vidt forskjellige.

Det sivile søksmålet omhandler oppreisingserstatning individuelt for vognføreren. Hun står således i en unik posisjon til å forlike det rettslige erstatningskravet på vegne av seg selv. Dersom resultatet av det sivile søksmålet skulle påvirke YTFs klageadgang til Datatilsynet kan Keolis ha egeninteresse i å forhandle med vognføreren i den individuelle sivile rettssaken for å unngå at klagesaken blir behandlet mot dem som selskap ved en senere anledning. Dette er lite forenlig med formålet bak personopplysningsloven og Datatilsynets tilsynskompetanse, samt klagers, i dette tilfelle YTFs medlemmers, rettssikkerhet.

YTF er ikke avskåret fra å anvende tilsvarende faktum i sin klagesak som vognføreren har anvendt i det individuelle erstatningskravet. Formålet til YTF er å få en avklaring i saken for medlemmene, for å hindre brudd på loven. De ansattes forhandlingssituasjon og arbeidshverdag avhenger av muligheten til klage til Datatilsynet. Denne muligheten er avskåret når Datatilsynet avviser saken som følge av vognførerens sivile søksmål.

Datatilsynets rolle er å påse at personopplysningsloven er overholdt, og overholdes, for å sikre mot fortsatt og fremtidige overtredelser. YTFs medlemmer har interesse i at Datatilsynet behandler saken og det bes om at saken ikke avvises og at Datatilsynet fatter vedtak i nevnte sak.

5 Støtteskriv fra lokal hovedtillitsvalgt YTF Bybanen Keolis

Hovedtillitsvalgt for YTF Bybanen Keolis har anmodet om at saken gjenopptas. Det pekes på at klagen ble fremsatt på vegne at YTFs medlemmer, og ikke på vegne av vognføreren. For de ansatte er det en reell frykt for at videoopptak også i fremtiden vil bli brukt i strid med personopplysningsloven. Det foreligger en vedvarende uenighet mellom arbeidsgiver og arbeidstakerne i denne saken. At vognføreren fremmer et sivilt søksmål mot Keolis, kan følgelig ikke være til hinder for at Datatilsynet fatter vedtak i saken.

6 Datatilsynets vurdering

Datatilsynets oppgave er å føre kontroll etter personopplysningsregelverket slik at enkeltpersoner ikke blir krenket gjennom bruk av opplysninger som kan knyttes til dem. Med de ressursene tilsynet har til rådighet må det foretas en streng prioritering av hvilke henvendelser som skal følges opp.

Datatilsynet har derfor ikke foretatt noen realitetsbehandling, herunder fattet vedtak, i den opprinnelige klagesaken som ble forelagt Datatilsynet om Keolis' bruk av opptak fra overvåkningskamera i den aktuelle oppsigelsessaken. Dette er presisert overfor YTF i brev 16. juni 2017, 28. august 2017 og i e-post 15. september 2017.

Begrunnelsen for å avslutte saken er i tilsynets brev 16. juni 2017 begrunnet slik:

«Den nærmere begrunnelsen for dette er at et eventuelt vedtak etter personopplysningsloven § 46 i denne saken vil ha liten praktisk betydning, da avgjørelse i sak for domstolen er bindende for sakens parter. Å fatte vedtak etter personopplysningsloven § 46 fremstår som en lite hensiktsmessig bruk av tilsynets ressurser, da denne saken allerede er behandlet i rettsapparatet. Denne oppfatningen gjelder også ved en eventuell ankebehandling av kravet om erstatning etter personopplysningsloven § 49 for lagmannsretten.

Videre er Datatilsynet av den oppfatning at tingretten har foretatt en konkret og grundig vurdering av personopplysningslovens bestemmelser i forbindelse med oppsigelsessaken for domstolen.»

Denne begrunnelsen opprettholdes og vises til i tilsynets brev 28. august 2017 hvor Datatilsynet avslår YTFs anmodning om gjenåpning av saken.

Når det gjelder Keolis' tolkning av ordlyden i Datatilsynets brev 16. juni 2017 presiserer tilsynet at det ikke er Datatilsynets, men YTFs oppgave, å overbevise retten om en forståelse av ordlyden som kan tale for den siden som YTF representerer. Tilsynet presiserer igjen at det ikke er foretatt noen realitetsbehandling av saken.

Det er tilsynets vurdering at tingretten har fattet avgjørelse i saken. Datatilsynet kan ikke overprøve eller korrigere tingrettens avgjørelse idet det er domstolene som skal drive med kontroll av forvaltningen og ikke omvendt.

Datatilsynet har vurdert anførslene og kommet frem til at det opprettholder sitt vedtak om ikke å realitetsbehandle saken.

7 Personvernnemndas vurdering

Denne saken reiser to hovedspørsmål. For det første om Datatilsynet har foretatt en realitetsvurdering i saken. For det andre (forutsatt at det ikke er fortatt noen realitetsvurdering), hvilken adgang Datatilsynet har til å velge ikke å realitetsbehandle en sak, herunder betydningen av at saken (med delvis andre parter) har vært behandlet av domstolene.

Personvernnemnda vil først vurdere om Datatilsynet må anses for å ha foretatt en realitetsvurdering av de spørsmålene saken reiser.

I tilsynets brev 16. juni 2017 gis det to begrunnelser for beslutningen om å avslutte saken.

Tilsynet viser for det første til at et eventuelt vedtak etter personopplysningsloven § 46 i denne saken ville hatt liten praktisk betydning siden den avsagte tingrettsdommen allerede er bindende for sakens parter. Den samme betraktningsmåten gjøres gjeldende i Datatilsynets oversendelsesbrev 21. desember 2017 til Personvernnemnda:

«I dette tilfellet har tingretten fattet avgjørelse i saken. Datatilsynet kan ikke overprøve eller korrigere tingrettens avgjørelse – det er domstolene som skal drive med kontroll av forvaltningen og ikke omvendt.»

Dette kan vanskelig tolkes på annen måte enn at tilsynet legger til grunn at tingrettsdommen ikke bare har rettskraftsvirkning for partene i det sivile søksmålet, nemlig Keolis som arbeidsgiver og vognføreren som arbeidstaker, men også for den forvaltningsrettslige tilsynssaken mot Keolis som ble åpnet etter anmodning fra YTF.

Videre anføres det i tilsynets begrunnelse for avslutning av saken at:

«Datatilsynet er av den oppfatning at tingretten har foretatt en konkret og grundig vurdering av personopplysingslovens bestemmelser i forbindelse med oppsigelsessaken for domstolen.»

Isolert sett kan nok dette etterlate et visst inntrykk av at tilsynet slutter seg til tingrettens vurdering av at den aktuelle behandlingen av personopplysninger ikke er i strid med det opprinnelige formålet med innsamlingen av opplysningene. Det kan her også tilføyes at tilsynet allerede hadde en viss innsikt i saken, siden det hadde innhentet opplysninger fra Keolis etter at YTF hadde anmodet om at tilsyn ble satt i verk.

Nemnda må for sin vurdering likevel legge til grunn at tilsynet ikke har foretatt en realitetsvurdering i denne saken. At det i avslutningsbrevet ikke er opplyst om en klagefrist, trekker i retning av at tilsynet selv er av den oppfatning at det ikke er truffet et vedtak. Og dette kommer dessuten eksplisitt til uttrykk i e-post 15. september 2017 til advokat Martin Helle Opedal fra Datatilsynets saksbehandler i saken:

«Vi bekrefter med dette at Datatilsynet ikke har fattet vedtak i nevnte sak. Det betyr at vi ikke har foretatt en konkret vurdering og konkludert i spørsmålet om det foreligger et brudd på personopplysningsloven i saken.»

Det samme gjentas i tilsynets brev 4. desember 2017 til advokat Johannes Straume hos NHO Transport. For nemnda er det etter dette klart at avgjørelsen om å avslutte saken er ment å gi uttrykk for at det ikke er foretatt en realitetsvurdering av saken, og at dette skyldes at tilsynet er av den oppfatning at tingrettsdommen i det sivilrettslige søksmålet også er avgjørende for den forvaltningsrettslige tilsynssaken.

Før nemnda vurderer Datatilsynets adgang til å velge ikke å treffe noen realitetsavgjørelse i saken, vil nemnda kort si noe om betydningen av det sivilrettslige søksmålet for den forvaltningsrettslige tilsynssaken.

Slik nemnda ser det har det sivilrettslige søksmålet ingen rettskraftsvirkning for den forvaltningsrettslige tilsynssaken. For det første er parten i forvaltningssaken en annen enn den som var part i det sivile søksmålet. Det er ingen tvil om at domstolens avgjørelser ikke gir rettskraftsvirkninger for andre enn partene selv. For det andre foreligger det ingen rettskraftig rettsavgjørelse som tar stilling til de materielle spørsmålene i saken, herunder om behandlingen av personopplysninger var ulovlig. Saken ble hevet i lagmannsretten etter at partene inngikk forlik etter gjennomført rettsmekling. Det betyr at tingrettens dom, hvor bruken av personopplysningene ble ansett lovlig, klart nok ikke har noen rettskraftsvirkning for partene i denne saken. Nemnda bemerker at dommen i seg selv heller ikke har noen verdi som rettskilde, utover å være et eksempel på hvordan den rettslige vurderingen kan slå ut.

Nemnda legger videre til grunn at YTF har tilstrekkelig tilknytning til saken til å ha rettslig klageinteresse, jf. forvaltningsloven § 28. De er derfor ikke avskåret fra å be om Datatilsynets vurdering av saken selv om vognføreren selv (som saken direkte gjelder) har valgt å benytte adgangen til sivilt søksmål til domstolene.

Spørsmålet blir etter dette hvilken adgang Datatilsynet har til å velge å ikke treffe noen realitetsavgjørelse i saker som bringes inn for tilsynet.

Datatilsynets mandat og oppgaver følger av personopplysningsloven § 42 tredje ledd, som lyder:

«Datatilsynet skal

1) føre en systematisk og offentlig fortegnelse over alle behandlinger som er innmeldt etter § 31 eller gitt konsesjon etter § 33, med opplysninger som nevnt i § 18 første ledd jf. § 23.

2) behandle søknader om konsesjoner, motta meldinger og vurdere om det skal gis pålegg der loven gir hjemmel for dette,

3) kontrollere at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt, og at feil eller mangler blir rettet,

4) holde seg orientert om og informere om den generelle nasjonale og internasjonale utviklingen i behandlingen av personopplysninger og om de problemer som knytter seg til slik behandling

5) identifisere farer for personvernet, og gi råd om hvordan de kan unngås eller begrenses,

6) gi råd og veiledning i spørsmål om personvern og sikring av personopplysninger til dem som planlegger å behandle personopplysninger eller utvikle systemer for slik behandling, herunder bistå i utarbeidelsen av bransjevise atferdsnormer,

7) etter henvendelse eller av eget tiltak gi uttalelse i spørsmål om behandling av personopplysninger, og

8) gi Kongen årsmelding om sin virksomhet.»

Datatilsynet har med andre ord mange forskjellige oppgaver, både typiske tilsynsoppgaver som angitt i bestemmelsens nr. 2 og 3, og oppgaver som mer typisk omtales som ombudsoppgaver i bestemmelsen nr. 4 og 5. Nemnda antar at tilsynets mulighet for å prioritere saker er videre når de opptrer som ombud enn når de utfører typiske tilsynsoppgaver. I denne saken har tilsynet åpnet en tilsynssak etter henvendelse fra YTS. Tilsynet påla Keolis 2. februar i 2017 å gi tilsynet en redegjørelse i saken, jf. personopplysningsloven § 44. Det er i brevet redegjort for at pålegget er et enkeltvedtak som kan påklages. Slik nemnda ser det, kan ikke Datatilsynet deretter fritt velge ikke å treffe noe vedtak.

Personvernnemnda bemerker også at en avgjørelse om å avslutte en sak uten realitetsbehandling er bestemmende for partenes rettigheter til å få avgjort det spørsmålet tilsynssaken gjelder og er å anse som et enkeltvedtak, jf. forvaltningsloven § 2, bokstav b.

I PVN-2017-09 Behandling av personopplysninger hos Lotteri- og stiftelsestilsynet – Datatilsynets avvisning av sak – uttalte nemnda følgende:

«Personvernnemnda legger til grunn at Datatilsynet som tilsynsmyndighet etter personopplysningsloven, har anledning til å foreta en viss prioritering av saker i form av at ikke alle henvendelser behandles like grundig. En slik prioritering forutsetter at Datatilsynet i det aktuelle tilfellet har oppfylt sin utrednings- og informasjonsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17, samt at tilsynets skjønnsutøvelse med hensyn til hvor grundig de vurderer lovligheten av den aktuelle behandlingen av personopplysninger fremstår forsvarlig. Ved denne forsvarlighetsvurderingen vil personvernhensyn være sentralt jf. lovens formål i § 1.»

En slik prioritering innebærer imidlertid ikke at tilsynet kan velge ikke å ta stilling til de materielle spørsmålene som reises i saken. Det innebærer bare en viss adgang til velge hvor grundig en sak skal behandles. For eksempel kunne Datatilsynet i foreliggende sak vist til den vurderingen som ble gjort av personopplysningsloven i tingretten, dersom Datatilsynet mente at dette var en tilstrekkelig og forsvarlig vurdering. I så fall kunne den parten som eventuelt var uenig i den vurderingen bringe saken videre for ny behandling.

Datatilsynets vedtak om ikke å treffe noen realitetsavgjørelse i saken må etter dette oppheves. Saken sendes tilbake til tilsynet for realitetsbehandling.

8 Vedtak

YTF gis medhold i klagen.

Oslo, 15. mai 2018

 

Mari Bø Haugstad

Leder