Personvernnemndas vedtak 28. februar 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 21. desember 2022 der tilsynet avviste klagen fra A på grunn av manglende klagerett til Personvernnemnda i en sak om grenseoverskridende behandling av personopplysninger, jf. personopplysningsloven § 22 andre ledd andre punktum.
Sakens bakgrunn
A kontaktet Datatilsynet 14. november 2019 og klaget over Equinor ASAs behandling av hans personopplysninger i forbindelse med en rekrutteringsprosess. Datatilsynet identifiserte saken som en grenseoverskridende sak som er underlagt egne regler etter personvernforordningen.
Tilsynet startet 3. februar 2020 prosedyren i det felleseuropeiske saksbehandlingssystemet, Internal Market Information System (IMI) for å identifisere den ledende og de berørte tilsynsmyndighetene, jf. personvernforordningen artikkel 56.
Som ledende tilsynsmyndighet fattet Datatilsynet 11. november 2022 vedtak om avslutning av saken. Vedtaket ble sendt til A og Equinor ASA samme dag. Datatilsynet opplyste at vedtaket ikke kunne klages inn til Personvernnemnda, men kunne bringes inn for norske domstoler, jf. personvernforordningen artikkel 78 nr. 1.
A klaget 23. november 2022 på Datatilsynets vedtak. Datatilsynet avviste 21. desember 2022 klagen på grunn av manglende klagerett til Personvernnemnda, jf. personopplysningsloven § 22 andre ledd andre punktum.
A klaget på avvisningsvedtaket 28. desember 2022.Datatilsynet fant ikke grunnlag for å endre sin avgjørelse og sendte saken til Personvernnemnda 30. januar 2023. A og Equinor ASA ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt kommentar i e-poster 7. og 14. februar 2023. Equinor ASA har i brev 21. februar 2023 opplyst at de ikke har kommentarer til saken ettersom de ikke er part i avvisningssaken.
Saken ble behandlet i nemndas møte 28. februar 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
As syn på saken i korte trekk
Datatilsynets påstand om at vedtak som er fattet i henhold til personvernforordningen artikkel 56 og kapittel VII ikke kan påklages til Personvernnemnda, er uriktig og ulovlig. Verken artikkel 56 eller kapittel VII uttaler at tilsynsmyndighetens vedtak ikke kan påklages til klage-/ankeinstansen når vedtaket er fattet etter artikkel 56 eller kapittel VII.
Personvernforordningen er EU-lov og går foran nasjonal lov. Datatilsynets bruk av nasjonal lov er uberettiget og i strid med artikkel 78 nr. 1. Bestemmelsen gir en ubetinget rett til å klage på tilsynsmyndighetens behandling og avgjørelser. Når en klage er inngitt, plikter
Datatilsynet å videresende klagen til klage-/ankeinstansen. Nasjonal lov som begrenser borgeres rett til å klage er ulovlig og må settes til side. I Norge er det Personvernnemnda som behandler klager over Datatilsynets vedtak.
Et avvisningsvedtak er alltid enkeltvedtak. Et enkeltvedtak kan alltid påklages. Det er ulovlig å hevde at klager over Datatilsynets avgjørelser er begrenset til avgjørelser som påvirker noens situasjon på en ikke ubetydelig måte. Tilsynet bryter sine plikter etter artikkel 77 nr. 2.
Personvernnemnda må oppheve eller omgjøre Datatilsynets beslutning 21. desember 2022 om å avvise klagen. Han krever sakskostnader knyttet til sitt arbeid med saken for Datatilsynet og klageinstansen, og krever oppreisning etter personvernforordningen artikkel 78 nr. 2.
Personvernnemndas vurdering
Datatilsynets avgjørelse om avvisning er et enkeltvedtak som gir klagerett, jf. forvaltningsloven § 2 tredje ledd.
A klage mot Equinors behandling av personopplysninger i rekrutteringsprosesser er av Datatilsynet vurdert som en sak om grenseoverskridende behandling av personopplysninger og tilsynet har behandlet saken etter personvernforordningen artikkel 56 og kapittel VII.
Personvernnemndas kompetanse framkommer av personopplysningsloven § 22 andre ledd:
«Personvernnemnda avgjør klager over Datatilsynets vedtak med mindre noe annet er særskilt fastsatt. Datatilsynets vedtak etter personvernforordningen artikkel 56 og kapittel VII kan ikke påklages til Personvernnemnda.»
Nemnda har dermed ikke kompetanse til å behandle klagen fra A og saken skal avvises.
Klage på vedtak truffet etter personvernforordningen artikkel 78 skjer ved søksmål for de alminnelige domstolene.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets avvisning av klagen opprettholdes.
Oslo, 28. februar 2023
Mari Bø Haugstad
Leder