PVN-2018-18 Klage over Datatilsynets pålegg om anonymisering av enkelte personopplysninger på Internett

Personvernnemndas vedtak 24. mai 2019 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem)

Saken gjelder klage fra A på Datatilsynets vedtak 9. mars 2018 om å anonymisere utvalgte ytringer på nettstedet http://offentlig.info (offentlig.info) på grunn av manglende behandlingsgrunnlag, jf. personopplysningsloven 2000 § 11 bokstav a, jf. §§ 8 og 9 og 46 siste ledd.

Sakens bakgrunn

Den 10. november 2015 mottok Datatilsynet en henvendelse fra X fylkeskommune. Henvendelsen gjaldt nettstedet http://kollega.info (kollega.info), der A skrev om fylkeskommunen og enkelte av de ansatte. Enkelte av ytringene var framsatt i e-bøker i pdf-format, henholdsvis «Kollega Bok I» og «Kollega Bok 2». De ansatte oppfattet omtalen som sjikanøs og belastende, og fylkeskommunen ba om at den negative omtalen av de ansatte på nettstedet skulle fjernes.

A har tidligere vært ansatt som lærer i fylkeskommunen, men ansettelsesforholdet opphørte etter en arbeidsrettslig tvist med påfølgende rettsforlik i januar 2015. I rettsforliket forpliktet partene seg blant annet til ikke å gi negativ omtale av hverandre. A så seg ikke bundet av rettsforliket og publiserte opplysninger om saken på nettstedet kollega.info. I tillegg til ytringer om identifiserbare enkeltpersoner i fylkeskommunen, inneholdt nettstedet kopier av politianmeldelser av offentlig ansatte samt e-bøkene skrevet av A.

Den 7. april 2016 varslet Datatilsynet vedtak om pålegg overfor A. Datatilsynet varslet slikt vedtak:

«A pålegges i medhold av i personopplysningsloven § 42 tredje ledd nr. 3),
- å stanse publiseringen av opplysninger om ansatte i X Fylkeskommune på nettsiden www.kollega.info.
- å slette opplysninger om ansatte i fylkeskommunen som allerede er publisert på nettsiden www.kollega.info,
da behandlingen ikke tilfredsstiller grunnkravene for behandling av personopplysninger i personopplysningsloven § 11 bokstav a) jf. § 8.»

Datatilsynet vurderte at personopplysningene i de to e-bøkene «Kollega Bok 1» og «Kollega Bok 2» ble behandlet utelukkende for litterære formål og dermed var lovlig, jf. personopplysningsloven 2000 § 7. Personopplysningene publisert i de to e-bøkene var derfor ikke omfattet av varselet.

Fylkeskommunen iverksatte også rettslige skritt for å tvangsfullbyrde partenes forpliktelse etter forliket til ikke å gi negativ omtale av hverandre. Bergen tingrett ila tvangsbot inntil omtalen av saken opphørte på nettstedet. Tvangsboten ble stadfestet av Gulating lagmannsrett 1. juli 2016. Personopplysningene ble etter dette fjernet fra kollega.info og flyttet til et nytt nettsted, offentlig.info, hvor de samme/tilsvarende opplysningene ble publisert.

Nettstedet offentlig.info inneholdt på dette tidspunktet fire e-bøker: «Kollega Bok 1», «Kollega Bok 2», «OVERGREPSBOKA Kollega-Bok 3» og «UTEN DEN DAG Bok 4». Nettstedet var inndelt i ulike undersider (omtalt som kapitler) og inneholdt beskrivelser av As opplevelser knyttet til sitt arbeidsforhold i fylkeskommunen og den senere arbeidsrettssaken.

Grunnet skifte av domene, varslet Datatilsynet nytt vedtak overfor A i oktober 2016, og traff deretter 5. januar 2017 slikt vedtak:

«A pålegges å fjerne politianmeldelser og nedsettende kommentarer om offentlig ansatte på kollega.info eller andre nettsider han innehar eller vil inneha da behandlingen mangler behandlingsgrunnlag, jf. personopplysningsloven § 11 bokstav a, jf. §§ 8 og 9.»

A klaget vedtaket inn for Personvernnemnda. Personvernnemnda opphevet vedtaket 29. juni 2017 (sak PVN-2017-06). Nemnda mente at vedtaket, slik det var formulert, ikke gjorde det mulig for nemnda å vurdere hvilke formuleringer Datatilsynet mente falt innenfor og hvilke formuleringer som falt utenfor personopplysningsloven 2000 § 7.

Datatilsynet traff slikt nytt vedtak i saken 9. mars 2018:

«1. A pålegges å anonymisere følgende ytringer fra nettsiden offentlig.info:

a. på http://offentlig.info (forsiden), under overskriften «Anmeldte overgripere».

1. «person B»,
2. «person C»,
3. «person D»,
4. «person E»,

b. på http://offentlig.info (forsiden), under overskriften «Forord», setningen:

1. «'IA-bedriften' X Fylkeskommune driver til en hver tid en grufull virksomhet mot sine eldste seniorer i sårbar livssituasjon og dypeste livskrise ved å gi oss avskjed med ord på veien fra X Fylkeskommune sin kriminaliserte HR-direktør B som "Miljøbombe"»,

c. på http://offentlig.info/Overgriperne/Overgriperne anmeles - X Fylkeskommune.html:

1. ikopi av politianmeldelse,

d. http://offentlig.info/SPK/Svindel av NAV og SPK.html. da behandlingen av personopplysninger mangler behandlingsgrunnlag, jf. personopplysningsloven § 11 bokstav a, jf. §§ 8 og 9.

2. A pålegges å anonymisere de i punkt 1 nevnte formuleringene fra http://offentlig.info/OVERGREPSBOKA-Kollega-Bok3.pdf. da behandlingen av personopplysninger mangler behandlingsgrunnlag, jf. personopplysningsloven § 11 bokstav a, jf. §§ 8 og 9.»

I vedtaket presiserte Datatilsynet:

«Med anonymisering menes at en ytring ikke skal knyttes til en bestemt person, hverken direkte (gjennom for eksempel navn) eller indirekte (gjennom for eksempel tittel eller kontekst). Veiledning om anonymisering finnes på datatilsynet.no.

Dette vedtaket påvirker ikke andre ytringer enn de som er uttrykkelig nevnt.»

Nemnda forstår denne siste presiseringen slik at det bare er de konkrete spesifiserte ytringene som skal anonymiseres og at pålegget ikke har noen betydning for As bruk av navn og tittel på de ulike personene i X fylkeskommune andre steder på nettstedet, eller i lenker som leder til andre offentlige dokumenter hvor de samme navnene framgår. Det innebærer at behandlingen av personopplysninger både i e-boka og på det aktuelle nettstedet av Datatilsynet i hovedsak er ansett å være omfattet av unntaket i personopplysningsloven 2000 § 7 (nå personopplysningsloven 2018 § 3) og dermed ikke i strid med personopplysningsloven.

A framsatte rettidig klage på Datatilsynets vedtak 3. april 2018. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda som mottok saken 6. august 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har i brev til nemnda 12. september 2018 gitt sine merknader. X fylkeskommune har ikke inngitt noen merknader i saken.

Partene og Datatilsynet ble i brev fra nemnda 9. november 2018 varslet om forlenget saksbehandlingstid og orientert om ny personvernlovgivning fra 20. juli 2018, med mulighet til å inngi merknader knyttet til ny lov.

Saken ble behandlet i nemndas møte 24. mai 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Hans Marius Graasvold og Hans Marius Tessem. Nemndas sekretær, Anette Klem Funderud var også tilstede.

A har i hovedsak anført

Nettstedet offentlig.info må forstås som en multimodal bok med tittelen «Overgrepsboka». For å synliggjøre dette leder nå offentlig.info til overgrepsboka.no. Formålet med boken er utelukkende kunstnerisk litterært. Boken er del av en serie på fem bøker, har ISBN-nummer og plikteksemplar er avlevert Nasjonalbiblioteket. Personopplysningene lå først på kollega.info i en annen form. Dette må anses som bearbeidelse av manuskriptet som ledet fram til Overgrepsboka.

Datatilsynets vedtak er ugyldig. Overgrepsboka er vernet av personopplysningsloven 2018 § 3 som gir full åpning for å utgi en selvbiografi.

Datatilsynet pålegger anonymisering. Det er ikke mulig å anonymisere noe i en utgitt bok. I andre litterære verk henges folk ut til spott og spe uten at forfatteren må anonymisere opplysningene.

Politianmeldelsen ble henlagt. Derfor er den ikke lenger å regne som en politianmeldelse, men forfatterens åndsverk. Dessuten er anmeldelsen viktig for å dokumentere at politi endrer anmeldelser om begåtte overgrep etter eget forgodtbefinnende for å beskytte overgripere.

Kriminalitet fra de som skal beskytte borgerne er viktig å framføre kunstnerisk og litterært. Forfatterens språkbruk, innlevelse og engasjement skiller seg overhodet ikke ut på noen som helst måte.

Datatilsynet har lagt til grunn en uriktig definisjon av «overgrep». Dette må forstås som å gjøre inngrep i eller krenke andres rettigheter. Han har blitt utsatt for overgrep, og er i sin fulle rett til å referere eller gi sakprosaisk beskrivende fortelling om personer som har utført overgrep. Dette har intet med å «behandle personopplysninger» å gjøre, slik Datatilsynet hevder.

Det er snakk om offentlige personer ansatt på høyere og høyeste nivå i fylkeskommunen. Disse fire personenes ulovlige handlinger danner forløpet for reaksjonene fra fylkesdirektørene, fylkesrådmannen, fylkesordføreren og ca. 100 fylkespolitikere. Disse ansatte er de som styrer fylkeskommunen fra innsiden. Varsling av slike forhold er ønsket av samfunnet. Det er viktig å oppgi navn for unngå forveksling med forløpere og etterfølgere. Personene omtales ikke som privatpersoner. Overgrepsboka omhandler deres offentlige rolle og utøvelsen av denne rollen.

Datatilsynet mener at navnene på forsiden listes opp uten kontekst. Det er fordi det er snakk om overskrifter i en innholdsfortegnelse. Han viser til en definisjon på overskrift fra Wikipedia. Det er ikke nødvendig å utdype overskrifter.

Anonymisering går imot formålet med boka. Det vil ikke være interessant for samtiden og ettertiden å skrive bok om statsministeren uten å spesifisere hvilken statsminister det er snakk om. Det er personene som bedriver svindel, ikke fylkeskommunen, og dette begrunner omtalen av navn.

A påviser og dokumenterer svindel ved sin publisering. Dette er ikke noen forhåndsdømming slik Datatilsynet angir, men gjengivelse av fakta. Dette er ønsket varsling fra samfunnets side. Datatilsynet legger feil definisjon til grunn når de hevder at «svindel» er en nedsettende ytring, forhåndsdømming eller å henge ut. Han er i sin fulle rett til å berette om den type svindel som har skjedd. Det er kun en fortelling, og det behøves ingen domstol for å avgjøre faktumet.

Det vil neppe være ulovlig å rope ut ytringene på et torg eller slå dem opp som teser på kirkedører. Det er ikke snakk om behandling av personopplysninger, men bare helt alminnelige fakta. Ordene som brukes er i tråd med definisjonene av dem.

Datatilsynet mener bøkene har et hevnmotiv, og bruker begrepet «personlig vendetta». Et vendetta er ifølge Store norske leksikon en blodfeide, som innebærer at han som krenket er pålagt å ta blodhevn og ta livet av overgriperne eller deres slektninger. Dette er skremmende, injurierende og ærekrenkende fra Datatilsynet i et offisielt dokument. Tilsynets betraktninger om hans motiver er likegyldige. Det er snakk om offentliggjøring av ren samfunnskriminalitet som trenger å belyses så detaljert som mulig. Han bedriver ikke hevn.

Interessen av å publisere ytringene veier uansett tyngre enn den enkeltes personvern.

Datatilsynet vurderer det dithen at Overgrepsboka ikke er en litterær ytring, mangler litterære sjangertrekk og ikke er litterært nok bearbeidet. Han stiller spørsmålstegn ved tilsynets kompetanse til å vurdere dette.

Overgrepene overfor ham og tilknyttet saksutvikling er av offentlig interesse. Det er mange som utsettes for dette og det er viktig at lesere av hans bøker får klargjort faremomentene ved varsling. Han viser til Varslingsutvalgets utredning om varsling i arbeidslivet, NOU 2018: 6 Varsling - verdier og vern, herunder sitt eget høringssvar.

Hovedpunktene i Datatilsynets vurdering

Når man skal vurdere om en behandling av personopplysninger er vernet av ytringsfriheten,må man stille følgende spørsmål:

- Blir personopplysninger behandlet for utelukkende kunstneriske, litterære eller journalistiske formål?
- Hvis svaret er nei, har behandlingen behandlingsgrunnlag i personopplysningsloven § 8 (og eventuelt § 9)?
- Lar eventuelle inngrep i ytringsfriheten seg forsvare opp mot Grunnloven § 100?
- Lar eventuelle inngrep i ytringsfriheten seg forsvare opp mot EMK art. 10?

Dersom man kommer til at ytringene er vernet av ytringsfrihet, er det snakk om et inngrep i personvernet. Et slikt inngrep må la seg forsvare opp mot Grunnloven § 102 og EMK art. 8.

Når det gjelder e-bøkene «Kollega bok 1», «Kollega bok 2» og «Uten en dag bok 4» har Datatilsynet kommet til at personopplysningene som behandles i disse e-bøkene behandles utelukkende for litterære formål, jf. personopplysningsloven 2000 § 7. Det faller dermed utenfor Datatilsynets kompetanse å avgjøre om publiseringen er lovlig.

Når det gjelder e-boka «Overgrepsboka Kollega-Bok 3» så er dette en kopi av nettstedet i pdf-format. Denne boka behandles derfor på samme måte som nettstedet i det følgende.

Datatilsynet legger til grunn at selv om navngitte personer anklages for å være kriminelle og svindlere på den aktuelle nettsiden og det er lagt ut kopi av en innsendt politianmeldelse, så innebærer ikke dette, i dette konkretet tilfellet, at det er behandlet sensitive opplysninger, jf. personopplysningsloven 2000 § 2 nr. 8. Datatilsynet viser til nemndas vurdering i PVN-2017-06.

Nettstedets undersider er organisert i ulike «kapitler». Forsiden inneholder en introduksjon under overskriften «Forord». Datatilsynet legger til grunn at formen (om nettstedet er organisert som en bok eller ikke) er uten betydning og ikke avgjørende for om noe skal anses for å være av litterær art. Etter Datatilsynets vurdering er det klart at nettstedet ikke framstår som en litterær ytring. Tilsynet viser til at tekstene mangler litterære sjangertrekk og ikke er litterært bearbeidet på samme måte som de tre ovenfor nevnte e-bøkene.

Etter tilsynets vurdering er dette heller ikke behandling av personopplysninger utelukkende for journalistiske formål. Typisk for journalistiske ytringer er at beskyldninger er begrunnet og framgår i en saklig kontekst. De skiller også mellom objektive fakta og subjektive ytringer og holder seg innenfor hva som er etisk forsvarlig.

Journalistisk formål må imidlertid tolkes vidt nok til å inkludere mindretallssynspunkter og meninger som flertallet er uenig i. Det oppstilles ikke et krav om akademisk språkføring eller upartiskhet. Hvem som helst skal kunne ytre seg kritisk om samfunnsforhold slik de ser dem, selv om de ikke skriver for den etablerte pressen. Likevel er Datatilsynets vurdering at en opplisting av såkalte «overgripere» er mer egnet til å henge ut de navngitte personene enn å opplyse offentligheten eller skape debatt.

Det er uklart hva formålet med opplistingen er. A har uttrykt at han ønsker å stille personene til ansvar for handlingene sine, sette søkelys på forvaltningen og søke rettferdighet for det han opplever som urett. Å ramse opp noen som overgripere, går lengre enn som så. En framstilling av saksforholdet vil være tilstrekkelig for å vareta dette. Oppramsing av personer A er i konflikt med, som «overgripere», virker mer som en slags «hevn». Dette er ikke nødvendig for, og går ut over, det journalistiske formålet, jf. Prop.47 L (2011-2012) pkt. 4.6. som eksemplifiserer uthenging av offentlige ansatte som virksomhet Datatilsynet bør gripe inn mot.

Ettersom oppramsingen ikke anses for å ha et utelukkende journalistisk formål, er spørsmålet om den aktuelle publiseringen har behandlingsgrunnlag, jf. personopplysningsloven 2000 § 8 bokstav f. Det må foretas en interesseavveining der personvernet veies opp mot informasjonsverdien.

Å dele ulike synspunkter er en legitim interesse, og i interesseavveiningen vil hensynet til informasjonsfriheten veie tungt.

Her skjer imidlertid behandlingen av personopplysninger på en måte som oppleves som svært krenkende og sjikanøs. Personene som ramses opp innehar lederstillinger i det offentlige, men det er ikke snakk om offentlige personer. Publiseringen bidrar til samfunnsdebatten i begrenset grad, og samfunnet har liten nytteverdi av en liste over As tidligere ledere framstilt som overgripere. Opplysningene framstilles på forsiden uten kontekst og framstår i sin nåværende form som usaklige. Det er ikke på plass tiltak for å vareta hensynet til personvernet og personvernprinsipper som dataminimering. Behandlingen mangler derfor behandlingsgrunnlag.

På forsiden, under overskriften «Forord», omtales HR-direktøren som «kriminalisert». Tilsynet legger til grunn at personvernet veier tyngre enn As interesse i å publisere denne karakteristikken og viser til momentene i interesseavveiningen i forrige underpunkt. Også denne behandlingen mangler derfor behandlingsgrunnlag.

HR-direktøren omtales også ved navn på http://offentlig.info/SPK/Svindel av NAV og SPK.html og handlingen omtales som svindel. Datatilsynet påpeker at A ved dette henger ut en person som ikke har en rolle i det offentlige liv, i stedet for å kritisere virksomheten. Datatilsynet mener at ytringen ikke er vernet av personopplysningsloven 2000 § 7 og mangler behandlingsgrunnlag etter personopplysningsloven 2000 § 8 bokstav f.

På nettsiden er det også publisert en kopi av As politianmeldelse av X fylkeskommune samt HR-direktør, HR-sjef, rektor og avdelingsleder. I politianmeldelsene er navnene gjennomgående markert med fet skrift. A beskriver personenes faktiske handlinger og hvordan han ser på dem. Publiseringen går likevel mye lengre enn det som er nødvendig for å peke på kritiske forhold i samfunnet og gjør dette nærmest til en offentlig gapestokk. Behandlingen framstår som uforholdsmessig sett opp mot den enkeltes rettigheter og friheter, herunder retten til personvern. Behandlingen mangler derfor behandlingsgrunnlag.

Datatilsynet påpeker at et pålegg om anonymisering representerer et inngrep i ytringsfriheten. Inngrepet er etter Datatilsynets vurdering hjemlet i personopplysningsloven 2000 § 46 og kan la seg forsvare opp mot Grunnloven § 100 og EMK artikkel 10. Tilsynet mener videre at denne saken skiller seg fra den svenske dommen fra Högsta domstolen, NJA 2001 side 409 (Ramsbo), blant annet ved at den svenske dommen handler om en systemkritikk knyttet til bankkrisen med stor aktualitet og samfunnsinteresse, som ikke er situasjonen i foreliggende sak.

Personvernnemndas vurdering

Datatilsynet har vurdert saken etter personopplysningsloven 2000, før de oversendte den til Personvernnemnda i juli 2018. Ny lov om behandling av personopplysninger (personopplysningsloven 2018) trådte i kraft 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.

Personvernnemnda har behandlet saken etter personopplysningsloven 2018, jf. Prop. 56 LS (2017-2018) side 196, hvor departementet blant annet uttaler:

«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven [2018]. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».

Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018, slik også Datatilsynet har lagt til grunn i brev til nemnda 31. januar 2019.

Saken gjelder publisering av personopplysninger på Internett. Det er ingen tvil om at den beskrevne publiseringen av personopplysninger representerer en behandling av personopplysninger, jf. personopplysningsloven 2018 § 2 og GDPR artikkel 2. A er behandlingsansvarlig for personopplysninger som publiseres på hans ulike nettsteder, jf. GDPR artikkel 4 nr. 7, uavhengig av om behandlingen foretas av han personlig eller av hans enkeltmannsforetak.

Datatilsynets vedtak om å pålegge anonymisering av enkelte personopplysninger på et nettsted og i e-boka «Overgrepsboka-Bok 3» viser til behandling av personopplysninger på domenet offentlig.info. De aktuelle personopplysningene er per mai 2019 ikke lenger tilgjengelig på offentlig.info, men er etter det nemnda forstår re-publisert av A under andre domenenavn. Selv om Datatilsynets pålegg knytter seg til behandlingen av personopplysninger på konkrete domener, legger nemnda for sitt vedtak til grunn at saken gjelder behandlingen av personopplysninger, uavhengig av hvilket domene personopplysningene befinner seg på, forutsatt at det er de samme personopplysningene som publiseres.

Det aktuelle nettstedet og e-boka «Overgrepsboka-Bok 3» finnes også i papirversjon. Papirutgaven av boka er ikke omfattet av Datatilsynets pålegg om anonymisering idet personopplysningene i papirutgaven ikke «inngår i et register», jf. personopplysningsloven 2018 § 2 og GDPR artikkel 2 nr. 1.

Spørsmålet for nemnda er om den beskrevne behandlingen av personopplysninger faller inn under unntaket i personopplysningsloven 2018 § 3, som gjelder for «behandling av personopplysninger utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer». Dersom den aktuelle behandlingen faller inn under dette unntaket, kan Datatilsynet ikke pålegge anonymisering av enkelte personopplysninger på nettstedet eller i den publiserte e-boka.

Bestemmelsen i § 3 har sitt utspring i GDPR artikkel 85, som er begrunnet i hensynet til ytringsfriheten, slik denne rettigheten er vernet av Grunnloven § 100, EMK artikkel 10 og artikkel 19 i FNs konvensjon om sivile og politiske rettigheter (SP). Det framkommer av forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018), kap. 38.1, og 14.2 at § 3 viderefører rettstilstanden som fulgte av personopplysningsloven 2000 § 7 og EUs personverndirektiv 95/46/EF artikkel 9.

Bestemmelsen omfatter alle som behandler personopplysninger uavhengig av profesjon så lenge behandlingen skjer utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer. Loven kommer til anvendelse på vanlig måte når behandlingen delvis har andre formål, for eksempel reklame for varer og tjenester, jf. Prop. 56 LS (2017-2018), kap. 14.1. Det avgjørende er virksomhetens art og ikke hvilken formell eller yrkesmessig status den behandlingsansvarlige har.

I EUs personverndirektiv 95/46/EF var forholdet til ytringsfriheten regulert i artikkel 9, og denne bestemmelsen sammenfaller i det vesentlige med GDPR artikkel 85. I sak C-73/07 uttalte EU-domstolen følgende om tolkningen av direktivets artikkel 9 (avsnitt 55 og 56):

«In order to reconcile those two “fundamental rights” for the purposes of the directive, the Member States are required to provide for a number of derogations or limitations in relation to the protection of data and, therefore, in relation to the fundamental right to privacy, specified in Chapters II, IV and VI of the directive. Those derogations must be made solely for journalistic purposes or the purpose of artistic or literary expression, which fall within the scope of the fundamental right to freedom of expression, in so far as it is apparent that they are necessary in order to reconcile the right to privacy with the rules governing freedom of expression.

In order to take account of the importance of the right to freedom of expression in every democratic society, it is necessary, first, to interpret notions relating to that freedom, such as journalism, broadly. Secondly, and in order to achieve a balance between the two fundamental rights, the protection of the fundamental right to privacy requires that the derogations and limitations in relation to the protection of data provided for in the chapters of the directive referred to above must apply only in so far as is strictly necessary.»

EU-domstolen gir her anvisning på at unntakene fra personopplysningsvernet i direktivet ikke kan være mer omfattende enn nødvendig («necessary») for å sikre ytringsfriheten. Nemnda viser i den forbindelse også til Prop. 56 LS (2017-2018), kap. 14.2. hvor det framgår at det ikke skal gjøres unntak fra personopplysningsvernet i større grad enn det som er nødvendig av hensyn til ytrings- og informasjonsfriheten, og at rekkevidden av unntaksregelen derfor er avhengig av hvilke krav reglene om ytrings- og informasjonsfrihet stiller, jf. Grunnloven § 100 og EMK artikkel 10. Avveiningen mellom personvernet og ytringsfriheten skal med andre ord skje med utgangpunkt i en forholdsmessighetsvurdering. EU-domstolen presiserer videre at unntakene fra vernet i direktivet ikke kan gå lengre enn strengt nødvendig («strictly necessary»), en formulering som normalt indikerer en særlig streng forholdsmessighetsvurdering, og i den sammenhengen dette framkommer her er det klart at det er hensynet til personopplysningsvernet som tilgodeses.

Nemnda anser at den ovenfor siterte uttalelsen fra EU-domstolen, selv om den gjaldt direktivets artikkel 9, også har relevans for tolkningen av GDPR artikkel 85, og nemnda legger for sin del til grunn at også GDPR artikkel 85 gir anvisning på en forholdsmessighetsvurdering. Unntak fra vernet i forordningen kan bare gjøres dersom dette er nødvendig for å sikre tilstrekkelig armslag for ytringsfriheten.

Personopplysningsloven 2000 § 7 (som nå er videreført i personopplysningsloven 2018 § 3) ble endret ved lov 20. april 2012 nr. 18 med sikte på en viss innsnevring av unntaket for journalistiske formål slik dette ble praktisert, jf. Prop.47 L (2011–2012) punkt 4 side 10 flg. Den opprinnelige ordlyden omhandlet «utelukkende for kunstneriske, litterære eller journalistiske, herunder opinionsdannende formål.» Ved lovendringen ble «herunder opinionsdannende» sløyfet. I forarbeidene begrunner departementet lovendringen slik:

«I likhet med utrederne mener departementet at loven gir Datatilsynet tilstrekkelig kompetanse til å prøve grensene etter § 7 som ledd i tilsynsarbeidet, og at Datatilsynet både kan og bør benytte denne kompetansen til å pålegge opphør av behandlinger som foretas i strid med bestemmelsen, jf. personopplysningsloven § 46. Dette vil typisk kunne være behandlinger av personopplysninger som ikke kan anses omfattet av unntaket i bestemmelsen, men som like fullt gjennomføres uten at personopplysningslovens krav er oppfylt. Et eksempel kan være nettsteder hvor offentlige ansatte henges ut med navn, bilde, stilling eller lignende, og hvor det er nokså klart at nettstedet neppe «utelukkende» bedriver virksomhet med journalistiske formål.

Et illustrerende eksempel på de problemstillinger som § 7 ofte representerer er Personvernnemndas sak PVN-2010-11. Saken gjaldt en persons klage på Datatilsynets vedtak om sletting av informasjon om private beredskapshjem som var lagt ut på Internett. Den aktuelle nettsiden hadde blant annet et diskusjonsforum hvor konkrete barnevernssaker, herunder altså personopplysninger knyttet til et beredskapshjem, ble drøftet. Nemnda kom til at publiseringene var vernet av ytringsfriheten, slik at den som drev nettstedet altså ikke var omfattet av personopplysningsloven.

Departementets lovforslag representerer et ønske om en viss endring i praksis i forhold til den avveining som nemnda foretok i den angitte sak. I den grad det er forenelig med Grunnloven § 100 og Norges konvensjonsforpliktelser bør hensynet til ytringsfriheten således tillegges noe mindre vekt i tilsvarende, fremtidige saker.»

Personvernnemnda har i minst tre saker før denne lovendringen vurdert omfanget av unntaket i personopplysningsloven 2000 § 7: PVN-2005-03 og PVN-2007-05, i tillegg til PVN-2010-11 som særskilt nevnes av departementet. Etter ikrafttredelse av GDPR og personopplysningsloven 2018 har nemnda vurdert den samme bestemmelsen (personopplysningsloven 2018 § 3) i PVN-2018-14.

Nemnda legger, som Datatilsynet, til grunn for sin vurdering at ved vurderingen av hva som utgjør en litterær ytring er det ikke avgjørende hva formålet med litteraturen er. Litterære verk kan ha flere formål: underholde, skape debatt, belyse samfunnsområder eller skildre personlige opplevelser. Det finnes flere eksempler på at bøker blir skrevet for å ta et oppgjør med enkeltpersoner. Datatilsynet nevner som eksempler på dette «Fredens sekretær» av Geir Lundestad og «Politikk er å ville» av Erik Solheim. Det er ingen tvil om at også andre typer verk som historiske beskrivelser, biografier og skjønnlitterære verk er omfattet av bestemmelsen. Datatilsynet har i sitt varsel om vedtak 7. april 2016 en gjennomgang av ulike momenter av betydning for den samlede vurderingen av hva som skal anses som «litteratur». Om dette sier Datatilsynet:

«Hvorvidt verket retter seg mot et videre publikum må tillegges vesentlig vekt. At et verk er eller skal publiseres trekker klart i retning av at det retter seg mot et videre publikum og at det dermed omfattes av unntaket i § 7. At et verk er utgitt på et forlag vil som regel være et sterkt argument for at det skal være å anse som et litterært verk. Samtidig uttaler departementet i forarbeidene til personopplysningsloven (Ot. prp. 92 1998-99 s. 107): «Unntaket for behandling av personopplysninger for litterære, kunstneriske og journalistiske formål gjelder uavhengig av hva slags medium den behandlingsansvarlige benytter - det være seg avis, magasin, bok eller ulike former for elektronisk publisering, f. eks. via internett.» På bakgrunn av dette er [det] klart at unntaket må forstås slik at også selvpubliserte bøker må kunne regnes som litterære verk. Det at bøkene i dette tilfellet er publisert taler for at de retter seg mot et videre publikum, selv om de er selvpublisert.

Etter vår oppfatning kan ikke bøkenes kvalitet tillegges vekt. Loven kan ikke forstås slik at kun bøker av høy kvalitet eller med et originalt budskap skal vernes. Samtidig kan språket, sammen med andre sjangertrekk være momenter i vurderingen. Språket i litteratur kjennetegnes ofte av litterære virkemidler, dette er det utstrakt bruk av i bøkene denne saken gjelder.

Videre kjennetegnes ofte litteratur av at det forsøker å formidle noe utover det rent umiddelbare. I de omtalte bøkene har As historie hovedvekt, karakteristikken av enkeltpersoner i fylkeskommunen fremstår ikke som det sentrale, men snarere som egnet til å belyse hans opplevelse av situasjonene. Dette trekker i retning av at publiseringen har et litterært formål.»

Nemnda er enig i at dette er relevante momenter ved vurderingen. Datatilsynets vurdering ovenfor var i varsel om vedtak 7. april 2016 knyttet til e-bøkene «Kollega Bok 1» og «Kollega Bok 2» og Datatilsynets konklusjon var at bøkene hadde et litterært formål, jf. personopplysningsloven 2000 § 7 og at behandlingen av personopplysninger i de omtalte bøkene derfor ikke stred mot personopplysningsloven. Nemnda er enig i den vurderingen.

Nettstedet hvor blant annet disse e-bøkene ble omtalt ble imidlertid av Datatilsynet vurdert annerledes. Senere er dette nettstedet også utgitt som bok, «Overgrepsboka Kollega-Bok 3» som nemnda legger til grunn er et pdf-format av det aktuelle nettstedet med tilsvarende innhold. Det er denne behandlingen av personopplysninger (på det aktuelle nettstedet og i e-boka) som er til vurdering i denne saken.

Nemnda har kommet til at også de ytringene Datatilsynet har pålagt anonymisert på dette nettstedet og i den aktuelle e-boka, er omfattet av unntaket i personopplysningsloven 2018 § 3. Nemnda vil begrunne sin avgjørelse nærmere i det følgende.

Nemnda er enig med Datatilsynet i at «Overgrepsboka Kollega-Bok 3» i liten grad framstår litterært bearbeidet. Det er i stor grad en publisering av ulike offentlige dokumenter fra politi og påtalemyndighet, samt domstolene i anledning ulike rettslige prosesser A har vært part i. Dokumentene er publisert sammen med As egne kommentarer og vurderinger av det som er gjort. Det framgår av nettsiden at formålet med publiseringen er å beskrive og få fram det A opplever som «overgrep» mot seniorer i X fylkeskommune i form av dårlig og urettferdig behandling, eksemplifisert gjennom egen avskjedssak. I den forbindelse navngir han en rekke offentlig ansatte, herunder offentlig ansatte i X fylkeskommune som han mener har begått til dels store feil, herunder straffbare handlinger. Det samme gjelder personer i påtalemyndighet og domstoler.

Et slikt ønske om å redegjøre for å vise hva slags urett som begås mot seniorer i fylkeskommunen dekkes etter nemndas vurdering av ordlyden «journalistisk formål». Det kan ikke oppstilles noe krav om at påstandene i tillegg må være begrunnede eller saklige, for å være vernet. Det er heller ikke noe krav at teksten skal være objektiv eller ha god kvalitet. Også eventuelle udokumenterte og usaklige ytringer om hvordan fylkeskommunen behandler sine ansatte kan framsettes med et journalistisk formål. De personene som er navngitt på nettstedet og i e-boka «Overgrepsboka-Bok 3» under overskriften «Anmeldte overgripere» er også omtalt andre steder på nettstedet og i e-boka. Omtalen av dem er knyttet til deres utøvelse av forskjellige lederstillinger i fylkeskommunen og gjelder ikke private forhold. Dette er etter nemndas vurdering noe annet enn å ha et samtaleforum på nettet hvor det publiseres navn og adresser og andre personopplysninger knyttet til konkrete beredskapshjem barneverntjenesten benytter, jf. omtalen av PVN-2010-11 ovenfor og særlig departementets vurdering av denne saken i Prop.47 L (2011–2012) punkt 4.

Etter nemndas vurdering kan man ikke med hjemmel i personopplysningsloven bestemme at personer kan omtales ved navn på et nettsted når det gjøres ved å lenke til offentlige dokumenter etc., mens de må anonymiseres når de på det samme nettstedet er ramset opp under overskriften «Anmeldte overgripere». En slik detaljregulering av innholdet og layouten på et nettsted er ikke hjemlet i personopplysningsloven og viser at personopplysningsloven ikke nødvendigvis er det ideelle rettsgrunnlaget for å forfølge denne typen saker. Det samme gjelder pålegget om anonymisering av politianmeldelsen, den framsatte påstanden om svindel på nærmere spesifisert sted, og omtalen av en av personene som «kriminalisert». Personopplysningene som framkommer i disse dokumentene framkommer også ved lenker til andre dokumenter og e-bøker på nettstedet, og det er vanskelig å forstå hvorfor de er vernet av ytringsfriheten i én kontekst, men ikke i en annen.

Nemnda bemerker avslutningsvis at det også finnes andre regler som kan begrense retten til å formidle personopplysninger, selv om publiseringen av personopplysningene ikke anses å være i strid med personopplysningsloven 2018 på grunn av unntaket i § 3. Privatlivet beskyttes også av Grunnloven § 102 og EMK artikkel 8. Begge bestemmelsene setter skranker for behandling av personopplysninger. Enkelte bestemmelser i straffeloven vil dessuten kunne begrense ytringsfriheten, herunder straffeloven § 267 om krenkelse av privatlivets fred og § 266 om hensynsløs atferd. Man kan også bli erstatningsansvarlig for å framsette ærekrenkelser etter skadeserstatningsloven § 3-6 a. Personer/parter kan også inngå rettslig forpliktende avtaler som begrenser adgangen til å ytre seg, jf. som eksempel rettsforliket mellom A og X fylkeskommune hvor partene forpliktet seg til ikke å gi negativ omtale av hverandre og som resulterte i at A i ettertid ble pålagt tvangsbot inntil omtalen av saken opphørte på nettstedet. Personvernnemnda har ikke vurdert, og skal heller ikke vurdere, lovligheten av de publiserte opplysningene i relasjon til disse ulike bestemmelsene.

A får etter dette medhold i sin klage og Datatilsynets vedtak omgjøres.

Vedtaket er enstemmig.

Vedtak

De personopplysningene som Datatilsynet i sitt vedtak har pålagt skal anonymiseres, anses å være omfattet av unntaket i personopplysningsloven 2018 § 3. Elektronisk publisering av opplysningene er dermed ikke i strid med personopplysningsloven 2018.

 

Oslo, 24. mai 2019

Mari Bø Haugstad

Leder