Personvernnemndas vedtak 28. mars 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 26. september 2022 der Datatilsynet avviste klage på tilsynets avgjørelse om å avslutte saken uten å foreta nærmere undersøkelser.
Sakens bakgrunn
A kontaktet Datatilsynet 24. juni 2022 og klaget på NAV registerkontroll (NAV) og X kommunes behandling av hans personopplysninger. Klagen gjaldt for det første at NAV i 2009 innhentet opplysninger om hans stillingsprosent fra X kommune uten hans samtykke. Videre gjaldt klagen opplysninger i et notat hos NAV fra 2009 hvor det framkommer at han skulle ha vært «til samtale» en ettermiddag, noe han mener er uriktig. Etter As syn er notatet forfalsket.
Datatilsynet vurderte det som lite sannsynlig at personvernreglene var brutt i saken. Tilsynet skriver også at et eventuelt brudd på regelverket i saken neppe ville føre til at Datatilsynet ville ilegge korrigerende tiltak overfor innklagede. Tilsynet anså det ikke hensiktsmessig å foreta nærmere undersøkelser i saken, og avsluttet saken 9. september 2022.
A klaget på Datatilsynets avgjørelse om å avslutte saken 23. september 2022. Datatilsynet avviste klagen i vedtak 26. september 2022, jf. forvaltningsloven § 33 andre ledd. Datatilsynet la til grunn at tilsynets beslutning om å avslutte saken ikke er et enkeltvedtak, jf. forvaltningsloven § 2 første ledd bokstav b.
A klaget på avvisningsvedtaket 30. september 2022 og sendte ytterligere merknader til klagen i e-poster 3. og 5. oktober 2022. Datatilsynet vurderte klagen og opprettholdt sin vurdering. Det framkommer av oversendelsesbrevet til nemnda at Datatilsynet vurderte at NAV hadde behandlingsgrunnlag for å innhente opplysninger om As stillingsprosent i X kommune og at de ikke fant grunn til å undersøke nærmere påstandene om dokumentfalsk. Tilsynet opprettholdt sin prinsipale vurdering om at deres avslutning av saken var en beslutning som ikke ga klagerett og at klagen skulle avvises. Tilsynet sendte saken til Personvernnemnda 21. november 2022. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Han har ikke inngitt kommentarer.
Saken ble behandlet i nemndas møte 28. mars 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
Ifølge forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, er enkeltvedtak en «avgjørelse som treffes under utøving av offentlig myndighet» og som er «bestemmende for rettigheter eller plikter til en eller flere bestemte personer». Vår vurdering er at vårt brev med avslutning av sak ikke er et «enkeltvedtak», jf. forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a.
Datatilsynet mottar et svært høyt antall klager. Etter personvernforordningen artikkel 57 nr. 1 bokstav f, har Datatilsynet en undersøkelsesplikt og skal behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 80, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet.
Utfra en skjønnsmessig hensiktsmessighetsvurdering velger Datatilsynet hvilke saker tilsynet ser behov for å gjøre nærmere undersøkelser i og vurderer om tilsynet går videre med undersøkelser ut fra hvor sannsynlig det er at det foreligger brudd og hvor alvorlige et mulig brudd på personvernregelverket vil være.
I dette tilfellet er sakens dokumenter gjennomgått, og tilsynet kan ikke se at det er beskrevet forhold som gir grunnlag for nærmere undersøkelser. Tilsynet anser det som lite sannsynlig at personvernreglene er brutt i saken. I tillegg tilsier arten av et eventuelt brudd at Datatilsynet neppe vil gi korrigerende tiltak, i tråd med personvernforordningen art. 58 nr. 2.
Tilsynets konklusjon er etter dette at beslutningen om å avslutte saken ikke utgjør et «enkeltvedtak», jf. forvaltningsloven § 2 første ledd bokstav b. Vilkårene for klagerett i forvaltningsloven § 28 første ledd er dermed ikke oppfylt, og klagen avvises, jf. forvaltningsloven § 33 andre ledd tredje punktum.
I oversendelsen av saken til nemnda 21. november 2022 utdyper Datatilsynet sin vurdering av hvorfor en beslutning om ikke å gjøre nærmere undersøkelser i en sak ikke skal anses som «bestemmende for klagers rettigheter eller plikter» på en måte som tilsier at det er behov for klageadgang. Datatilsynet viser til Personvernnemndas vedtak i sak PVN-2020-07 hvor nemnda har inntatt en henvisning til Sivilombudets uttalelse i SOM-2010-2482 i vurderingen av hvilke avgjørelser som utgjør enkeltvedtak.
As syn på saken i korte trekk
Han godtar ikke at NAV registerkontroll og X kommune bryter personvernforordningen og at Datatilsynet avslutter saken uten grunn.
Datatilsynet kan ikke avvise klagen på tilsynets brev 9. september 2022 om å avslutte saken. Datatilsynet blander i brevet sammen ordene «beslutning» og «vedtak». Brevet 9. september er et vedtak. Alle vedtak kan klages på. Han krever at saken sendes til Personvernnemnda og at NAV registerkontroll og X kommune ilegges et overtredelsesgebyr.
Saken må behandles av Personvernnemnda før han kan bringe den inn til Sivilombudet.
Personvernnemndas vurdering
Datatilsynets avgjørelse om avvisning er et enkeltvedtak som gir klagerett, jf. forvaltningsloven § 2 tredje ledd. Nemnda skal vurdere om Datatilsynets avgjørelse 9. september 2022 om å avslutte saken uten å gjøre nærmere undersøkelser eller treffe tiltak er et vedtak som gir klagerett til Personvernnemnda, jf. personopplysningsloven § 22.
Personvernforordningen artikkel 78 nr. 1 gir enhver fysisk eller juridisk person rett til et effektivt rettsmiddel overfor «en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet», og overlater til nasjonal rett å fastsette regler om behandling av klagen. Det er de alminnelige saksbehandlingsreglene i forvaltningsloven som gjelder for Datatilsynets og nemndas behandling av klager, jf. Prop. 56 LS (2017–2018) punkt. 26.5 og 27.5.
Av forvaltningsloven § 28 første ledd framgår det at enkeltvedtak kan påklages av en part eller annen med rettslig klageinteresse i saken. En part er en «person som en avgjørelse retter seg mot eller som saken ellers direkte gjelder», jf. forvaltningsloven § 2 første ledd bokstav e.
Etter forvaltningsloven § 2 første ledd bokstav a er «vedtak» definert slik:
«en avgjørelse som treffes under utøving av offentlig myndighet og som generelt eller konkret er bestemmende for rettigheter eller plikter til private personer (enkeltpersoner eller andre private rettssubjekter)».
Forvaltningsloven deler vedtakene i to undergrupper – enkeltvedtak og forskrifter, jf. forvaltningsloven § 2 første ledd bokstav b og c. Enkeltvedtakene er vedtak som «gjelder rettigheter eller plikter til en eller flere bestemte personer», jf. § 2 første ledd bokstav b. Som det framgår, har vedtaksbegrepet i forvaltningsloven et snevrere innhold enn den mer generelle betegnelsen «avgjørelse», som også benyttes i forvaltningsloven, jf. for eksempel lovens § 6 om habilitetskrav.
Skillet mellom enkeltvedtak og andre avgjørelser har stor betydning for hvilke prosessuelle rettigheter partene og andre berørte i forvaltningssaken har, og for hvilke regler offentlige forvaltningsorganer må følge ved behandlingen av saken. Saksbehandlingsreglene i forvaltningsloven kap. IV-VI om bl.a. forhåndsvarsel, utrednings- og opplysningsplikt, dokumentinnsyn, begrunnelse og klage, får bare anvendelse i saker som gjelder enkeltvedtak, jf. forvaltningsloven § 3 første ledd.
Forvaltningslovutvalget uttaler i NOU 2019: 5 side 307 blant annet følgende om vedtaksbegrepet i gjeldende rett:
«Det første vilkåret er at det må være truffet en «avgjørelse». Å treffe en avgjørelse vil si å ta endelig standpunkt til noe, f.eks. til et spørsmål under saksbehandlingen eller til hvilket utfall saken skal få. Utenfor faller utsagn som ikke innebærer avgjørelse av et konkret saksforhold, f.eks. deskriptive utsagn («vi holder til i annen etasje») eller råd, veiledning, uttalelser mv.
[…]
Avgjørelsen må være truffet «under utøving av offentlig myndighet». I dette ligger et krav om at avgjørelsen må bygge på et offentligrettslig kompetansegrunnlag. I kjernen ligger avgjørelser om påbud, forbud, fritak eller tillatelse. Avgjørelser om tildeling eller opphør av økonomiske ytelser blir også ofte ansett som enkeltvedtak, især der det er tale om ytelser som noen har et lovbestemt krav på, eller som tildeles etter en fast ordning.
[…]
Avgjørelsen må være «bestemmende for rettigheter eller plikter». I dette ligger at avgjørelsen må stifte, endre eller oppheve en rett, plikt eller kompetanse. Også avgjørelser som knytter seg til kvalifikasjonsregler, som fastsetter hva som hører til en bestemt kategori, og eventuelt hvilket navn den har, vil omfattes, iallfall der kvalifiseringen har sammenheng med fastsetting av en rett, plikt eller kompetanse. Et eksempel er en særskilt avgjørelse om at et tiltak er konsesjonspliktig. Utenfor faller avgjørelser som ikke tar sikte på å ha rettsvirkninger, f.eks. avgjørelser om å foreta faktiske handlinger og utsagn om hvordan en lovbestemmelse er å forstå. En bindende forhåndsuttalelse (hvis det er adgang til å gi det) vil derimot være et enkeltvedtak. Uttrykket «rettigheter» skal forstås vidt. Det er uten betydning om parten har et rettskrav på det saken gjelder, eller om avgjørelsen hører under forvaltningens skjønn. Man kan si det slik at uttrykket omfatter både tilfeller der avgjørelsen realiserer rettigheter som følger av loven, og tilfeller der avgjørelsen skaper en rettighet.»
Om den nærmere avgrensningen mellom enkeltvedtak og andre avgjørelser sier Sivilombudet i SOM-2010-2482:
«Den nærmere avgrensingen mellom enkeltvedtak og andre avgjørelser må skje etter en konkret vurdering. Utgangspunktet må tas i ordlyden, men vurderingen kan ikke begrenses til en drøftelse av om avgjørelsen etter en språklig tolkning faller inn under legaldefinisjonen i lovens § 2. Også reelle hensyn vil stå sentralt. Det må spørres om avgjørelsen er av en slik karakter at forvaltningslovens regler om enkeltvedtak bør komme til anvendelse. Hensynet til partenes rettssikkerhet, forvaltningens arbeidsbyrde og andre praktiske forhold vil måtte tillegges vesentlig vekt.
Det må altså foreligge en 'avgjørelse' som er 'bestemmende for rettigheter eller plikter'. Disse to vilkårene henger tett sammen. Det er ikke klagerett over prosessledende beslutninger. Det tradisjonelle utgangspunktet er at forvaltningens unnlatelse av å bruke sin kompetanse til inngrep, ikke er en avgjørelse som er bestemmende for rettigheter og plikter, med mindre det motsatte fremgår av loven. Utgangspunktet utfordres imidlertid i visse tilfeller. I Graver, Alminnelig forvaltningsrett (3. utgave 2007) s. 401 flg. tas det til orde for at 'spørsmålet løses ... best gjennom lovgivning i tilknytning til det enkelte forvaltningsområde, bl.a. ut fra en legislativ vurdering av om inngrepskompetansen først og fremst er begrunnet i mer generelle samfunnsmessige hensyn, eller om den også er begrunnet i hensynet til tredjemann, slik at denne bør gis konkrete rettigheter i saksbehandlingen.' Videre argumenteres det for at '[h]vorvidt det er et vedtak i forvaltningslovens forstand når et forvaltningsorgan unnlater å bruke en inngrepskompetanse etter oppfordring fra en som mener seg berørt, beror på en konkret fortolkning av den aktuelle inngrepskompetansen.»
Nemnda har i sin praksis lagt til grunn at en registrert som får sine personopplysninger behandlet av en behandlingsansvarlig er å anse som part i en sak hvor Datatilsynet vurderer om den behandlingsansvarlige har behandlet personopplysningene om den registrerte i tråd med loven. Personvernnemnda har videre lagt til grunn at Datatilsynets avgjørelse om at den behandlingsansvarliges behandling av personopplysninger om den registrerte ikke er ulovlig og i strid med personopplysningsloven, er en avgjørelse som er bestemmende for rettigheter og plikter for den registrerte og dermed et enkeltvedtak som kan påklages. En slik lovforståelse følger av entydig praksis fra Personvernnemnda, blant annet PVN-2018-10, PVN-2019-05, PVN-2019-12 og PVN-2020-24. Datatilsynet avsluttet disse sakene etter en kort realitetsvurdering, og den registrerte i hver sak klaget Datatilsynets vedtak om avslutning til nemnda. Nemnda kom til at Datatilsynets avgjørelse om å avslutte saken var forsvarlig og innenfor lovens rammer. Nemnda la i alle tilfellene til grunn at Datatilsynets avgjørelse om å avslutte en sak uten nærmere undersøkelser eller uten å pålegge tiltak, var et enkeltvedtak som kunne påklages.
Personvernforordningen pålegger de behandlingsansvarlige en rekke plikter, og den gir også rettigheter til den enkelte registrerte. Etter artikkel 79 skal for eksempel enhver registrert ha rett til et effektivt rettsmiddel dersom vedkommende anser at vedkommendes rettigheter etter personvernforordningen er blitt behandlet i strid med hva forordningen bestemmer. Personvernnemnda har lagt til grunn at Datatilsynet har en viss frihet til å avgjøre hvor omfattende undersøkelser den enkelte sak krever, jf. for eksempel PVN-2017-09 hvor nemnda uttaler:
«Personvernnemnda legger til grunn at Datatilsynet som tilsynsmyndighet etter personopplysningsloven, har anledning til å foreta en viss prioritering av saker i form av at ikke alle henvendelser behandles like grundig. En slik prioritering forutsetter at Datatilsynet i det aktuelle tilfellet har oppfylt sin utrednings- og informasjonsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17, samt at tilsynets skjønnsutøvelse med hensyn til hvor grundig de vurderer lovligheten av den aktuelle behandlingen av personopplysninger framstår forsvarlig. Ved denne forsvarlighetsvurderingen vil personvernhensyn være sentralt jf. lovens formål i § 1.»
Dette er etter nemndas vurdering i overensstemmelse med personvernforordningen artikkel 57. Ifølge bestemmelsen nr. 1 bokstav a skal Datatilsynet blant annet «føre tilsyn med og håndheve anvendelsen av denne forordning». Datatilsynets undersøkelsesplikt etter forordningen gjelder «i den grad det er hensiktsmessig», jf. artikkel 57 nr. 1 bokstav f. I dette ligger at tilsynet i noen grad selv har myndighet til å vurdere om det i det enkelte tilfellet er nødvendig å foreta nærmere undersøkelser og hvilke undersøkelser som er hensiktsmessige. At Datatilsynet helt fritt skal kunne velge ikke å behandle enkelte av de registrertes klager er imidlertid noe annet. En slik begrensning i de registertes mulighet for et effektivt rettsmiddel mot det de opplever som en ulovlig behandling av deres personopplysninger bør i så fall utredes og reguleres nærmere i loven. Nemnda viser til Graver, Alminnelig forvaltningsrett, 5. utgave, 2019 side 389, hvor han omtaler tilsvarende problemstilling:
«Spørsmålet løses etter mitt syn best gjennom lovgivning i tilknytning til det enkelte forvaltningsområde, bl.a. ut fra en legislativ vurdering av om inngrepskompetansen først og fremst er begrunnet i mer generelle samfunnsmessige hensyn, eller om den også er begrunnet i hensynet til tredjemann, slik at denne bør gis konkrete rettigheter i saksbehandlingen. Fra EØS-reglene ser vi dessuten at det å gi konkrete rettigheter til tredjemann kan være en måte å effektivisere forvaltningens etterlevelse av sine tilsynsoppgaver på. Men det viser også at tredjemannsrettigheter da vil gripe direkte inn i forvaltningsorganets adgang til selv å prioritere sine ressurser. Dette kan unngås ved at forvaltningen gis adgang til å avslå en anmodning med at «allmenne hensyn» ikke tilsier inngrep eller lignende. Slik kan man forene hensynet til at tredjemanns henvendelse blir behandlet seriøst med at forvaltningen beholder sin vurderingsfrihet der denne anses viktig.
Hvorvidt det er et vedtak i forvaltningslovens forstand når et forvaltningsorgan unnlater å bruke en inngrepskompetanse etter oppfordring fra en som mener seg berørt, beror på en konkret fortolkning av den aktuelle inngrepskompetansen. Som nevnt finnes eksempler på at den enkelte lov uttrykkelig fastslår at virkningene av en unnlatelse av å bruke en kompetanse skal være at et vedtak anses for å være truffet. I andre tilfeller har forvaltningen en uttrykkelig plikt til å vurdere å gripe inn på oppfordring.»
Nemnda har etter dette kommet til at Datatilsynets avgjørelse om å avslutte saken uten å gjøre nærmere undersøkelser er et enkeltvedtak som gir klagerett. Det neste spørsmålet er om Datatilsynet da det traff sin avgjørelse hadde oppfylt sine forpliktelser etter personvernforordningen artikkel 57, samt oppfylt sin utrednings- og informasjonsplikt, jf. forvaltningsloven § 17.
Det framgår både av Datatilsynets avgjørelse 9. september 2022 og avvisningsvedtaket 26. september 2022 at Datatilsynet også har vurdert realiteten i saken og har konkludert med at det ikke er sannsynlig at personvernreglene er brutt. Tilsynet skriver videre at et eventuelt brudd på regelverket i saken uansett neppe ville føre til at Datatilsynet ville ilegge korrigerende tiltak overfor innklagede. Det framkommer også at Datatilsynet vurderte at NAVs innhenting av opplysninger fra X kommune var hjemlet i arbeidsmarkedsloven § 19 og folketrygdloven § 21-4 og dermed lovlig etter personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. folketrygdloven § 21-4.
Etter nemndas vurdering er lovligheten av NAVs behandling av personopplysninger om A tilbake i 2007 tilstrekkelig og forsvarlig vurdert av Datatilsynet og nemnda er enig med tilsynet i at det ikke er hensiktsmessige med ytterligere undersøkelser.
Nemnda har på dette grunnlaget kommet til at behandlingen av personopplysningene om A i foreliggende sak har skjedd i samsvar med loven. Når det gjelder As klage over at det er en uriktig opplysning i et notat hos NAV, anses retteplikten oppfylt ved at A har tilskrevet NAV om dette slik at hans syn også er journalført. Formålene med behandlingen av disse opplysningene i 2009 tilsier ikke ytterligere tiltak i den anledning.
Datatilsynets vurdering av sakens realitet opprettholdes.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets avgjørelse om å avslutte saken er et enkeltvedtak som gir klagerett.
NAV og X kommunes behandling av personopplysninger om A, beskrevet i denne saken, er ikke i strid med personopplysningsloven.
Oslo, 28. mars 2023
Mari Bø Haugstad
Leder