Personvernnemndas avgjørelse av 3. mars 2008 (Jon Bing, Gro Hillestad Thune, Leikny Øgrim, Siv Bergit Pedersen, Jostein Halgunset, Hanne I Bjurstrøm, Tom Bolstad)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet av 30.11.2007 mottatt klage på tilsynets vedtak av 5.2.2007 om å ikke foreta seg mer i vedkommendes sak (avvisningsvedtak). Klager hadde begjært innsyn i dokumenter hos OBOS, jf personopplysningsloven § 18, og mener blant annet at Datatilsynet skulle ha foretatt stedlig kontroll overfor OBOS i denne saken.
2 Saksgang
Datatilsynet har siden 2002 mottatt en rekke henvendelser fra klager. Konkret gjaldt saken begjæring om innsyn i opplysninger i forbindelse med en konflikt mellom et OBOS-borettslag og klagers mor, jf personopplysningsloven § 18.
Datatilsynet henvendte seg til OBOS i brev av 4.2.2004. Etter lengre tids korrespondanse med OBOS – tilsynet henvendte seg til OBOS i sakens anledning til sammen syv ganger i løpet av tre år – fant tilsynet det lite hensiktsmessig å følge opp innsynsbegjæringen videre.
I vedtak av 5.2.2007 avsluttet Datatilsynet saken og avviste å foreta seg mer i saken.
Den 14.9.2007 varslet Datatilsynet om kontroll (tilsyn) hos OBOS-megleren, jf personopplysningsloven § 44, jf § 42, 3. ledd nr 3. Kontrollen ble gjennomført 2.10.2007.
Klager henvendte seg til Datatilsynet i forbindelse med kontrollen hos OBOS-megleren. Klager ble da informert om bakgrunnen for kontrollen og at denne ikke hadde noe med vedkommendes sak å gjøre.
I brev av 11.11.2007 påklager klager at tilsynet ikke gjennomførte en stedlig kontroll overfor OBOS i forbindelse med klagers sak. Tilsynet anser dette som en klage på avvisningsvedtaket av 5.2.2007. Det ble ikke opplyst i brevet av 5.2.2007 om at det var et avvisningsvedtak som kunne påklages til Personvernnemnda. Datatilsynet anser dette som en saksbehandlingsfeil og reparerer denne feilen ved å ta klagen til behandling til tross for at klagefristen etter forvaltningsloven er oversittet, jf forvaltningsloven § 31, 1. ledd litra b.
Personvernnemnda mottok saken fra Datatilsynet 12.12.2007. Klager ble orientert om dette i brev fra nemnda samme dag, med frist til uttalelse innen 8.1.2008.
Klager sendte i e-post av 25.12.2007 flere vedlegg i saken. I e-post av 7.1.2008 sendte klager nemnda ytterligere vedlegg i saken.
3 Faktum
Klager har gjentatte ganger bedt om innsyn i dokumenter om vedkommende hos OBOS, jf personopplysningsloven § 18.
Innsynsbegjæringen er ikke blitt innvilget. OBOS har opplyst at de eneste personrelaterte opplysninger som finnes om klager hos OBOS er hos OBOS advokatkontor, i den ansvarlige advokats saksmappe. OBOS har derfor hele tiden fastholdt at innsyn ikke kan gis fordi opplysningene er unntatt fra innsynsretten etter personopplysningsloven § 23 litra d, med bakgrunn i advokaters taushets- og konfidensialitetsplikt, jf domstolloven § 224 og advokatforskriftens kap 12 pkt 2.3.
Datatilsynet har etter en del korrespondanse med OBOS kommet til at tilsynet ikke har grunnlag for å overprøve OBOS standpunkt om at dokumentene er unntatt innsyn. Datatilsynet vedtok derfor at saken ikke skal forfølges videre. Datatilsynet opplyste klager om dette i et avvisningsvedtak av 5.2.2007. Klager har påklaget vedtaket av 5.2.2007.
4 Klagers anførsler
Klager mener at OBOS har samlet inn og benyttet personopplysninger om han på en urettmessig måte. Klager anfører at han ikke har fått innsyn i dokumenter hos OBOS som vedkommende har krav på etter personopplysningsloven § 18. Klager mener videre at Datatilsynet burde ha foretatt en stedlig kontroll hos OBOS i forbindelse med denne saken.
5 Datatilsynets vurdering
Datatilsynet viser til forvaltningsloven § 17 om at ”forvaltningsorganet skal påse at saken er så godt opplyst som mulig før vedtak treffes” og mener at tilsynet utredet saken på en tilfredsstillende måte før saken ble avsluttet.
Utredningsplikten vurderes konkret i den enkelte sak, blant annet ut fra om ressursbruken står i forhold til sakens alvorlighetsgrad. Datatilsynet har en særlig plikt etter personverndirektivet art 28 nr 4, 2. ledd, til å bistå den registrerte i saker hvor det gjøres innhogg i de registrertes individuelle rettigheter med hjemmel i direktivets art 13, jf tilsvarende personopplysningsloven § 23 om unntak fra rett til innsyn og informasjon.
Klager ba om innsyn i dokumenter hos OBOS, jf personopplysningsloven § 18. Datatilsynet henvendte seg til OBOS en rekke ganger og ba om at OBOS ga klager innsyn i egne opplysninger i samsvar med personopplysningsloven § 18.
OBOS på sin side hevdet at opplysningene er unntatt fra innsynsretten etter personopplysningsloven § 23 litra d. OBOS påberopte seg advokaters taushetsplikt, jf domstolloven § 224 og advokatforskriftens kap 12 pkt 2.3.
Datatilsynet besluttet på denne bakgrunn å avslutte saken med den begrunnelse at innsynsrett etter § 18 ikke kom til anvendelse, jf personopplysningsloven § 23 litra d og advokatforskriftens kap 3. Det ligger utenfor Datatilsynets kompetanse å vurdere rekkevidden av advokaters lovpålagte taushetsplikt. I forhold til personopplysningsloven § 23 litra d, er det tilsynets oppgave å påse at den behandlingsansvarlige selv har gjort en forsvarlig begrunnet vurdering vedrørende dette. Tilsynet fant ikke grunnlag for å sette OBOS egne vurderinger til side i dette konkrete tilfellet.
6 Personvernnemndas merknader
Personvernnemnda skal først slå fast at OBOS-megleren, som Datatilsynet hadde kontroll hos, er et eget rettssubjekt og er denne saken uvedkommende. Denne saken gjelder et OBOS borettslag. Klager begjærte innsyn i opplysninger i forbindelse med en konflikt mellom borettslaget, klager og klagers mor, jf personopplysningsloven § 18. Slik nemnda forstår det, har OBOS advokatkontor bistått borettslaget i diverse saker, herunder denne konflikten. De dokumentene som klager begjærte innsyn i, befant seg derfor hos OBOS advokatkontor.
Det er på det rene at personopplysningsloven § 18 gir enhver rett til å få vite hva slags behandling av personopplysninger en virksomhet foretar. Dersom vedkommende er registrert, har han i tillegg krav på å få opplyst hvilke opplysninger om vedkommende som behandles. Imidlertid er det slik at advokaters taushetsplikt går foran personopplysningsloven. Det følger av personopplysningsloven § 23 litra d at innsyn etter § 18 ikke omfatter opplysninger som det i medhold av lov gjelder taushetsplikt for. Advokaters taushetsplikt følger av domstolloven § 224, jf forskrift til domstolloven kap 11 (advokatforskriften), kap 12 pkt 2.3.
I denne saken har Datatilsynet bedt om at OBOS gir klager innsyn etter personopplysningsloven § 18. OBOS advokatkontor har imidlertid påberopt seg advokatens taushetsplikt og nektet klager innsyn i de dokumentene hvor klager er nevnt. OBOS advokatkontor har begrunnet dette skriftlig, jf personopplysningsloven § 23, 3. ledd.
Personvernnemnda skal bemerke at advokaters taushetsplikt ikke er til hinder for å gi innsyn for den opplysningene gjelder (den registrerte). Videre kan klager uansett kreve å få opplysninger om den behandlingsansvarlige, formålet med behandlingen, beskrivelser av hvilke typer personopplysninger som behandles osv, jf personopplysningsloven § 18, 1. ledd, selv om selve opplysningene tilbakeholdes. Taushetsplikten kan imidlertid påberopes av hensyn til andre enn den registrerte. I kommentarutgaven til personopplysningsloven (Wiik Johansen, Kaspersen, Bergseng Skullerud, side 180) skriver forfatterne at:
Selv om taushetsbestemmelser ikke er til hinder for å gi innsyn for den opplysningene gjelder, kan hensynet til tredjemann gjøre at innsynsretten må begrenses. Dersom innsyn i opplysningene som gjelder en selv, innebærer at en får opplysninger om en annen person som med hjemmel i lov har krav på taushet, må innsynsretten vike.
Slik Personvernnemnda oppfatter saken, er klager blitt nektet innsyn i dokumentene av hensyn til de øvrige parter i konflikten, det vil si beboere eller styremedlemmer i borettslaget.
Datatilsynet kunne ha bedt om tilgang på opplysningene som ble unntatt, for å avgjøre om unntakshjemmelen som ble påberopt kunne anvendes i dette tilfellet (jf Wiik Johansen, Kaspersen, Bergseng Skullerud, kommentarutgaven til personopplysningsloven side 183). Det er på det rene at Datatilsynet vurderte om det var nødvendig å gjennomføre en stedlig kontroll i denne saken, men fant at det ikke var grunnlag for å betvile OBOS standpunkt. Nemnda er av den oppfatning at Datatilsynet har gjort grundige undersøkelser i denne saken og fulgt opp klagers henvendelser på en hensiktsmessig måte. Ut fra opplysningene i saken kan ikke nemnda se at det er grunnlag for å si at det er en saksbehandlingsfeil at tilsynet ikke overprøvde OBOS standpunkt om at dokumentene er omfattet av taushetsplikten. Nemnda antar at opplysningene heller ikke kunne ha blitt gitt i anonymisert form, fordi klager ut fra omstendighetene likevel vil kunne identifisere hvem opplysningene gjelder.
Personvernnemnda kan ikke se at det er grunnlag for å si at kravene i forvaltningsloven ikke er oppfylt i denne saken. Datatilsynets utredningsplikt etter forvaltningsloven kan ikke gå så langt at tilsynet som en del av denne saken burde ha utført en stedlig kontroll hos OBOS, jf personopplysningsloven § 44, jf § 42, etter at OBOS hadde opplyst at innsynsretten ikke kunne utøves på grunn av advokatens taushetsplikt.
7 Vedtak
Klagen tas ikke til følge. Datatilsynets vedtak opprettholdes.
Oslo, 3. mars 2008
Jon Bing
Leder