Personvernnemndas vedtak 10. november 2020 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder klage fra Sbanken på Datatilsynets vedtak 18. mai 2020 der tilsynet påla Sbanken å rette navnet Navn Van Navnesen til Navn van Navnesen i bankens behandlingssystemer.
Sakens bakgrunn
Navn van Navnesen (A) har et kundeforhold i Sbanken ASA. Han har i flere år vært i dialog med banken om å få rettet måten de skriver navnet hans på. Sbanken skriver navnet hans med stor bokstav i «van» (Navn Van Navnesen, i stedet for Navn van Navnesen). Da banken avslo anmodningen om retting i bankens behandlingssystemer under henvisning til at skrivemåten ikke representerte en uriktig personopplysning, brakte A saken inn for Datatilsynet 12. desember 2018.
Henvendelsen ble ved en feil liggende ubehandlet hos Datatilsynet i ett år. I brev 21. november 2019 ba Datatilsynet Sbanken om en redegjørelse. Sbanken redegjorde for sitt syn i brev 21. november 2019 og fastholdt at den registrerte ikke kan kreve retting etter personvernforordningen artikkel 16.
Sbanken opplyser at bankens behandlingssystemer henter kundeopplysninger fra Folkeregisteret. I Folkeregisteret er alle navn skrevet med store bokstaver og Sbanken har et program som automatisk endrer skrivemåten for navn fra store til små bokstaver med unntak av første bokstav som skrives med stor bokstav: fra «NAVN VAN NAVNESEN» til «Navn Van Navnesen». Bakgrunnen for dette valget er at de fleste kundene skriver alle navn med stor forbokstav i tråd med norsk navnetradisjon.
Datatilsynet varslet Sbanken 22. januar 2020 om at tilsynet ville pålegge banken å rette navnet i bankens behandlingssystemer. Sbanken innga kommentarer til varselet 10. februar 2020. A innga også merknader 20. februar 2020.
Datatilsynet fattet følgende vedtak 18. mai 2020:
«I medhold av personvernforordningen artikkel 58 nr. 2 bokstav g, jf. personvernforordningen artikkel 16, pålegger vi Sbanken å rette klagers personnavn i deres behandlingssystemer til det korrekte "Navn van Navnesen".»
Etter anmodning fra Sbanken besluttet Datatilsynet forlenget klagefrist og ga vedtaket, dersom det ble påklaget innen fristen, oppsettende virkning til klagesaken var avgjort.
Sbanken innga rettidig klage 27. juli 2020. I klagen opprettholdt Sbanken at A ikke hadde krav på retting, men tilbød likevel retting i form av en mellomløsning hvor A fikk anledning til å rette navnet i nettbanken slik at det der ville framkomme i tråd med hans ønske, men at skrivemåten ikke ble endret i bankens bakenforliggende systemer som ikke er tilgjengelig for kunder. Sbanken ba Datatilsynet om tilbakemelding på hvorvidt dette var en akseptabel form for retting fordi en endring som foreslått ville medføre behov for systemendringer som ikke ville bli igangsatt dersom denne løsningen ikke ble akseptert. Banken ba også om at forslaget ble forelagt klager. Dersom foreslått løsning ikke ble akseptert, ba Sbanken om at klagen ble behandlet.
Datatilsynet forela klagen, inkludert forslaget til løsning for retting, for A. Han opplyste at han aksepterte løsningsforslaget forutsatt at det ble fastslått at banken hadde retteplikt og derfor ville følge det opp også ved eventuelle senere avvik.
Datatilsynet tok klagen til behandling og fant ikke grunn til å endre sitt vedtak. Etter tilsynets vurdering tilfredsstilte ikke den foreslåtte løsningen kravene til retting av uriktige personopplysninger i personvernforordningen artikkel 16. Saken ble oversendt Personvernnemnda 25. september 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Sbanken innga kommentarer i brev 20. oktober 2020. De ba samtidig om å få møte- og talerett under nemndas behandling av saken. Nemnda anser den framlagte dokumentasjonen tilstrekkelig til å ta stilling til saken og avslo anmodningen i brev til Sbanken 26. oktober 2020.
Saken ble behandlet i nemndas møte 10. november 2020. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg og Hans Marius Tessem. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vedtak i hovedtrekk
Retten til sletting følger av personvernforordningen artikkel 16 og fastsetter at den registrerte skal ha rett til å få «uriktige personopplysninger» om seg selv rettet av den behandlingsansvarlige uten ugrunnet opphold. Bestemmelsen krever etter sin ordlyd ingen kvalifisert grad av uriktighet, og åpner ikke for en risikobasert tilnærming til når den registrertes rettigheter kan gjøres gjeldende.
Objektivt uriktige personopplysninger skal rettes ved at de erstattes med opplysninger som er objektivt riktige, se kap. III i «ajourført versjon av Personvernforordningen, lovkommentar», desember 2019, Skullerud m.fl. Objektive personopplysninger er for eksempel den registrertes alder, adresse, personnavn eller andre opplysninger med en objektiv standard. Når man skal vurdere riktigheten av slike opplysninger etter artikkel 16 vil objektive størrelser som den registrertes fødeår, folkeregistrerte adresse eller fødenavn være avgjørende.
Dersom den behandlingsansvarlige er uenig i kravet om retting har vedkommende bevisbyrden for at opplysningene er riktige, jf. kommentarutgaven kapittel III avsnitt 16.
Datatilsynet har mottatt flere dokumenter fra van Navnesen, herunder et nederlandsk pass og en vigselsattest som viser etternavnets objektive riktige skrivemåte. Sbankens skrivemåte avviker fra den objektivt riktige skrivemåten han har dokumentert, og vilkårene for å kreve retting etter personvernforordningen artikkel 16 er oppfylt.
Riktighetsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav d begrenser ikke As rett til retting, men fastsetter den behandlingsansvarliges selvstendige plikt til, på eget initiativ, å gjennomgå og sikre riktigheten av opplysninger i sitt behandlingssystem. Plikten gjelder uavhengig av om den behandlingsansvarlige er blitt kontaktet med krav om retting fra den registrerte.
«Rimelige tiltak» i artikkel 5 nr. 1 bokstav d skal sikre at vedlikeholdsarbeidet ikke blir uforholdsmessig byrdefullt sett i lys av formålet med behandlingen. Når den registrerte kontakter den behandlingsansvarlige og krever retting av uriktige personopplysninger, krever dette noe mer av den behandlingsansvarlige enn den generelle vedlikeholdsplikten etter artikkel 5 nr. 1 bokstav d. Dette har støtte i forarbeidene, se Prop. 56 LS (2017-2018) der departementet uttaler følgende i punkt 10.3.5:
«Departementet har merket seg Telia Norge AS’ synspunkt om at retting i noen tilfeller kan være svært ressurskrevende, og at det kan være behov for en snever unntaksregel for disse situasjonene. Etter departementets vurdering bør det ikke fastsettes slike unntaksregler før rettighetene har fått virke i praksis».
En slik forståelse er også lagt til grunn av danske og britiske datatilsynsmyndigheters veiledning om retten til retting.
Sbanken mener at et pålegg om retting vil være svært arbeidskrevende fordi det innebærer at banken må gjennomgå hele sin kundedatabase for å sjekke om de bruker riktig skrivemåte for alle kunder med etternavn som inneholder små bokstaver som «van Navnesen». Et pålegg om retting av en registrert sine personopplysninger innebærer ikke et generelt pålegg om at banken skal gjennomgå sine behandlingssystemer og lete etter uriktig skrivemåte slik banken anfører.
Sbankens forslag om å rette As navn i nettbanken, men ikke i bankens bakenforliggende systemer, er ikke i tråd med personvernforordningen. Personvernforordningen artikkel 16 skiller ikke mellom retting i systemer som er synlige for den registrerte og ikke. Når det er konstatert brudd på den registrertes rettigheter og fastslått at han har rett til retting av sine personopplysninger i bankens systemer kan ikke Datatilsynet se at personvernforordningen åpner for en slik løsning som banken foreslår.
As syn på saken i hovedtrekk
Han heter Navn van Navnesen, og er registrert som «NAVN VAN NAVNESEN» i Folkeregisteret. Sbanken manipulerer dataene banken mottar fra Folkeregisteret, og skriver navnet hans feilaktig «Navn Van Navnesen». Han vil at banken skal rette navnet og bruke riktig skriveform.
Banken mener at navnet er registrert riktig og viser til rekkefølgen og bokstavene. De fleste er enige i at det er feil å skrive for eksempel «SiljE eriksen» eller «Ole martin Moe», og da må det samme gjelde for «Navn Van Navnesen», da heller ikke denne skrivemåten er riktig. Banken sprer den uriktige bruken til underleverandørers IT-systemer.
Sbanken viser til høye kostnader ved retting. Det er Sbanken som har valgt å bruke store og små bokstaver, og kan enkelt forholde seg til det som står i Folkeregisteret (kun store bokstaver for alle kunder) og derved unngå hele problemet.
Sbankens forslag til løsning om å rette navnet hans til riktig skriveform i nettbanken er OK for ham, forutsatt at banken erkjenner sin retteplikt etter personvernforordningen.
Sbankens syn på saken i hovedtrekk
Saken faller utenfor personvernforordningens saklige virkeområde fordi bruk av stor eller liten forbokstav i prefikset «van» ikke utgjør en «personopplysning» om den registrerte, jf. personvernforordningen artikkel 4 nr. 1.
Prefikset «van» er generisk både ved bruk av stor eller liten forbokstav, og er ikke spesifikt for den registrertes identitet. En ren visuell utforming av en bokstav er ikke et forhold som knytter seg til en identifisert eller identifiserbar fysisk person. Den registrerte kan identifiseres uavhengig av om «van» skrives med stor eller liten forbokstav. Det er kombinasjonen av fornavnet foran, og etternavnet bak prefikset, som er de identifiserende elementene for den fysiske personen. Bruk av stor eller liten forbokstav er også uten betydning for hvordan prefikset leses og uttales.
For det tilfellet at en visuell utforming av en enkelt bokstav utgjør en «personopplysning», får ikke retteplikten anvendelse. Bruk av stor eller liten forbokstav utgjør ikke en «uriktig» personopplysning etter personvernforordningen artikkel 16.
En naturlig språklig forståelse av hva som utgjør «uriktige personopplysninger» tilsier at opplysningene er uriktige dersom de er misvisende med hensyn til faktiske forhold. En slik ordlydsfortolkning taler med tyngde for at ulik visuell utforming av en forbokstav i et prefiks ikke er misvisende med hensyn til den faktiske identifiseringen av den registrerte.
Hvorvidt en behandlingsansvarlig plikter å rette personopplysninger må tolkes i lys av artikkel 5 nr. 1 bokstav d, som innebærer at hvorvidt en personopplysning anses for å være uriktig må vurderes i lys av formålet med behandlingen, jf. Irlands Data Protection Commission (DPC).
Departementet uttalelse i Prop. 56 LS (2017-2018) punkt 10.3.5 knyttet til høringsinnspill fra Telia Norge AS om ønske om en snever unntaksregel fra retteplikten, er ikke overførbar til faktum i denne saken.
Formålet med Sbankens behandling av Navn van Navnesens personopplysninger er å administrere kundeforholdet i banken. Sbanken oppnår dette formålet ved den nåværende skrivemåten av den registrertes navn.
Riktighetsprinsippet og bestemmelsen om rimelighet gjelder ved enhver behandling av personopplysninger, jf. artikkel 5, også ved behandling av personopplysninger etter artikkel 16. Denne tolkningen av artikkel 16 legges til grunn i blant annet Pellerud, m.fl., i Personvernforordningen, Lovkommentar, og Öman, Dataskyddförordningen (GDPR) m.m. En kommentar, Norsteds Juridik AB, 2019, side 329.
Det er ingen lovpålagt plikt til å skille mellom store og små bokstaver ved behandling av personnavn og prefikser. Den aktuelle tekniske løsningen er derfor verken uriktig eller lovstridig.
Opplysninger i pass eller vigselsattest er ingen fasit for bruk av store og små bokstaver i navn som Sbanken plikter å følge. Det nærmeste vi kommer en standard i Norge er Folkeregisterets registrering, hvor alle personnavn registreres i blokkbokstaver. Når A aksepterer at navnet skrives kun med store bokstaver, viser det at han er åpen for flere alternativer og at det ikke bare foreligger ett alternativ som er riktig.
Bruken av stor forbokstav for prefikset er i tråd med norsk navnetradisjon, og bruken av stor forbokstav for prefikset skiller seg klart fra feilstavelser og utelatelser av tegn eller bokstaver.
Dersom Personvernnemnda likevel anser valg av bokstavstørrelse som en uriktig opplysning, anføres at retting i alle baksystemer ikke anses som et rimelig tiltak.
Sbanken har ikke kontroll over hvordan leverandørene og samarbeidspartnere skriver kundenavn. Retting i tråd med Datatilsynets vedtak vil innebære en svært omfattende, tidkrevende og kostbar endring av bankens systemer og integrasjonsløsninger.
Det vil være i strid med prinsippet om å fatte «rimelige tiltak» i personvernforordningen artikkel 5 nr. 1 bokstav d om det skal kreves endring i enhver registrering, også de som ikke har noen praktisk betydning for den registrerte. Det er ikke et fornuftig forhold mellom innsatsen som kreves av banken og den personvernulempen det eventuelt er at det er en annen bokstavstørrelse enn ønsket i prefikset. Å pålegge retting i slike situasjoner vil også påføre samfunnet store kostnader ved at ansvarlige for andre IT-systemer kan bli pålagt tilsvarende endringer.
Å rette prefikset fra stor til liten bokstav i alle baksystemer er uforholdsmessig tyngende og sterkt urimelig, også i lys av at den registrertes grunnleggende rett til personvern er ivaretatt ved den nåværende tekniske løsningen ved dagens skrivemåte.
Personvernnemndas vurdering
Det følger av personopplysningsloven § 2 og personvernforordningen artikkel 2 nr. 2 at loven og forordningen kommer til anvendelse ved behandling av personopplysninger. Personopplysninger er i forordningen artikkel 4 nr. 1 definert slik:
«enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.»
Nemnda er enig med Datatilsynet i at personnavn faller inn under begrepet «personopplysning» og dermed også faller inn under det saklige virkeområde til personopplysningsloven og forordningen.
Spørsmålet for nemnda er om et navn skrevet på en annen måte enn slik innehaveren av navnet ønsker navnet skrevet, eller skrevet på en annen måte enn slik navnet skrives i det landet hvor navnet har sin opprinnelse, representerer en uriktig personopplysning som kan kreves rettet etter artikkel 16.
Nemnda legger for sin vurdering til grunn at den korrekte måten å skrive As navn på i Nederland hvor han kommer fra, er med liten forbokstav i van, jf. framlagt kopi av nederlandsk pass og vigselsattest hvor skrivemåten framkommer.
I vår sak er spørsmålet om bruk av stor V i prefikset «van» representerer en uriktig personopplysning. Tilsvarende spørsmål kan oppstå, ikke bare ved valget mellom stor eller liten forbokstav, men også ved bruk av ulike alfabetiske og diakritiske tegn. Det er derfor, slik nemnda ser det, nødvendig å ta et noe bredere perspektiv ved vurderingen av hva som utgjør en uriktig personopplysning enn bare å se på hva som er rett skrivemåte i navnets opprinnelsesland.
For å gi et eksempel på at navn skrives ulikt i ulike land, kan man se på hvordan den tidligere statslederen i Sovjetunionen, Mikhail Gorbatsjov, er gjengitt på ulike måter i Wikipedia: Russisk: «Михаил Сергеевич Горбачёв», engelsk: «Mikhail Sergeyevich Gorbachev», norsk «Mikhail Sergejevitsj Gorbatsjov», svensk «Michail Sergejevitj Gorbatjov», dansk «Mikhail Sergejevitj Gorbatjov», finsk «Mihail Sergejevitš Gorbatšov», tysk «Michail Sergejewitsch Gorbatschow», fransk «Mikhaïl Sergueïevitch Gorbatchev» og spansk «Mijaíl Serguéyevich Gorbachov». Nemnda legger til grunn at ulikhetene skyldes ulike transkriberingsstandarder for ulike språk, uten at man av den grunn kan si at noen av dem utgjør en uriktig personopplysning. Tilsvarende vil mange nordmenn som har bokstavene æ, ø og å i sitt navn oppleve at bokstavene endres til ae, oe og aa i for eksempel internasjonale flyselskapers kunderegistre. Heller ikke dette skal etter nemndas vurdering ses på som en behandling av uriktige personopplysninger.
Eksemplene som her er gitt viser at ulike land har ulike regler for hvordan personnavn skrives. Det er ikke holdepunkter for at man ved vedtakelsen av EUs personvernforordning 679/2016 av 27. april 2016, har ment også å innføre felles europeiske regler for navns skrivemåte i den forstand at innehaveren av et navn (den registrerte) kan kreve at navnet skal skrives på tilsvarende måte som i navnets opprinnelsesland for ikke å utgjøre en uriktig opplysning. Det betyr også at man må være varsom med å definere en objektivt sett riktig måte å skrive et navn på.
Norsk navnelov bygger på at man i Norge har et fornavn og etternavn, samt eventuelt et mellomnavn. Det er ingen regler i loven om prefiks som «von», «van», «de» eller lignende, men det anses som en del av etternavnet som man kan velge om man ønsker å ha med eller ikke, jf. rundskriv fra Justis- og politidepartementet G-2002-20 Om ny navnelov, punkt. 3.5.9. Det er derfor ikke prefikset «van» som er spesifikt for den registrertes identitet og valget mellom liten eller stor bokstav har ingen betydning for den faktiske identifiseringen av den registrerte. Selv om Språkrådet på sine sider angir at denne typen prefiks i navn «normalt alltid [har] liten forbokstav», betyr ikke det at man ved å bruke stor forbokstav behandler en uriktig personopplysning.
Nemnda legger til grunn at en behandlingsansvarlig i utgangspunktet selv må kunne velge om han vil benytte store bokstaver ved registrering av personnavn. Dersom Sbanken hadde benyttet navnet slik de mottar det fra Folkeregisteret, med bare store bokstaver, er dette åpenbart ikke en uriktig opplysning som kan kreves rettet. Nemnda antar at dette også ville være tilfellet for en behandlingsansvarlig som av en eller annen grunn skrev alle navn med bare små bokstaver. Selv om dette etter norske rettskrivingsregler ville være feil måte å skrive navn på, ville det, slik nemnda ser det, ikke foreligge noen uriktige personopplysninger. Tilsvarende ville for eksempel en tastefeil hos en behandlingsansvarlig som førte til at et navn ble registrert med en stor bokstav midt i navnet (for eksempel «Ola NorDmann»), som utgangspunkt heller ikke utgjør en uriktig personopplysning.
Det er et grunnleggende prinsipp at personopplysningenes riktighet må vurderes i lys av formålet de behandles for, jf. artikkel 5 nr. 1 bokstav d. Formålet med Sbankens behandling av den registrertes navn er å administrere kundeforholdet i banken. Sbanken oppnår dette formålet ved den nåværende skrivemåten av den registrertes navn og bruken av stor eller liten bokstav medfører ingen fare for feilidentifisering. Det foreligger da ingen uriktig personopplysning som kan kreves rettet etter personvernforordningen.
Sbanken har fått medhold i sin klage.
Konklusjon
Datatilsynets vedtak omgjøres slik at Sbanken ikke pålegges å endre skrivemåten for As navn i sine behandlingssystemer.
Vedtaket er enstemmig.
Oslo, 10. november 2020
Mari Bø Haugstad
Leder