Personvernnemndas vedtak 6. februar 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth og Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets vedtak 1. mars 2023 der Datatilsynet konkluderte med at A hadde fått oppfylt sin innsynsrett etter personvernforordningen artikkel 15, og ikke ga ham medhold i sitt slettekrav etter personvernforordningen artikkel 17.
Sakens bakgrunn
A kontaktet Datatilsynet 4. april 2022 og ba om bistand til å få innsyn i sin personalmappe hos tidligere statlige arbeidsgiver. Han mente arbeidsgiveren lagret opplysninger om han i personalmappen som ham kunne kreve slettet. Datatilsynet varslet A 19. april 2022 om at tilsynet hadde en saksbehandlingstid på minst tre – seks måneder og ga A veiledning om hvordan han skulle gå fram for å kreve innsyn, herunder at han burde ta kontakt med virksomhetens personvernombud.
Datatilsynet ba arbeidsgiveren redegjøre for sin behandling av As innsynskrav 19. januar 2023. Arbeidsgiveren ga slik redegjørelse 15. februar 2023 og redegjorde for at A hadde fått innsyn.
I brev 1. mars 2023 til arbeidsgiver avsluttet tilsynet saken og konkluderte med at A hadde fått oppfylt sitt krav om innsyn, jf. personvernforordningen artikkel 15, og viste til at han kunne få ytterligere innsyn gjennom arbeidsgivers innsynsportal. Når det gjaldt kravet om sletting redegjorde tilsynet for reglene i personvernforordningen artikkel 16 og 17 og konkluderte med at A var gitt rett til å supplere opplysningene i personalmappa, jf. artikkel 16, og fant ikke grunnlag for å pålegge sletting etter artikkel 17. A mottok kopi av brevet. Det framgikk ikke av brevet at det var truffet et vedtak som kunne påklages av A.
I e-post til Datatilsynet 14. mars 2023 etterlyste A Datatilsynets vurderinger knyttet til at artikkel 17 ikke ga ham rett til sletting. Han ba særlig tilsynet vurdere hans slettekrav i lys av hans rett til å protestere etter artikkel 21.
Datatilsynet vurderte innsigelsene, men opprettholdt sin avgjørelse. I brev til A 18. april 2023 skriver Datatilsynet at den behandlingsansvarlige i dette tilfellet anses å ha behandlingsgrunnlag i artikkel 6 nr. b og c, og at artikkel 21 dermed ikke kommer til anvendelse.
A klaget rettidig på Datatilsynets avgjørelse 19. april 2023.
Datatilsynet vurderte klagen, men fant ikke grunn for å endre sitt vedtak. Datatilsynet oversendte saken til Personvernnemnda 6. juli 2023. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Han har ikke gitt noen merknader. I e-post fra nemnda 2. januar 2024 ble A orientert om forlenget saksbehandlingstid.
Saken ble behandlet i nemndas møte 6. februar 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Hans Marius Tessem og Malin Tønseth. Utredningsleder Anette Klem Funderud var også til stede.
Datatilsynets vedtak i korte trekk
Datatilsynet har lagt til grunn at arbeidsgiver har behandlingsgrunnlag i personvernforordningen artikkel 6 bokstav b (nødvendig for oppfyllelse av avtale) og c (rettslig forpliktelse) for det aktuelle dokumentet.
Datatilsynet redegjør for reglene om retting og sletting av personopplysninger i personvernforordningen artikkel 16 og 17.
Datatilsynet redegjør for at dokument 21/8780-6 (som A krever slettet) omhandler en dockingstasjon som er kommet på avveie. A er, etter at han sluttet i sin stilling, blitt bedt om å redegjøre for denne. As svar på dette er arkivert sammen med brevet i personalmappen. Datatilsynet legger til grunn at A ved dette har fått supplert opplysningene, slik at ulike syn på faktum framkommer. Tilsynet finner på denne bakgrunn ikke grunn for å gi arbeidsgiver noe pålegg om retting eller sletting av personopplysninger.
Datatilsynet vurderer at personvernforordningen artikkel 21 ikke kommer til anvendelse i denne saken idet arbeidsgiver har behandlingsgrunnlag for sin lagring av opplysningene i personvernforordningen artikkel 6 nr. 1 bokstav b og/eller c.
As syn på saken i korte trekk
Datatilsynet har ikke gitt noen forklaring på hvorfor artikkel 17 ikke medfører at opplysningene skal slettes. Det framkommer ikke av dokumentene at den behandlingsansvarlige har vurdert dette. Det er bare Datatilsynets egne synsinger i saken som er gjengitt. Det er viktig å vite hva den behandlingsansvarlige mener.
Han ønsker at den behandlingsansvarlige redegjør for hvilke tvingende berettigede grunner arbeidsgiver har for å lagre dette etter at han har protestert, jf. personvernforordningen artikkel 21 nr. 1.
Han har ikke fått tilfredsstillende svar på disse spørsmålene.
Arbeidsgivers syn på saken i korte trekk
Redegjørelsen nedenfor er hentet fra arbeidsgivers personvernombuds redegjørelse til A 26. april 2022. Nemnda har ikke funnet det nødvendig å innhente ytterligere uttalelse fra arbeidsgiver.
Alle saksdokumenter som arbeidsgiver mottar eller sender skal journalføres og arkiveres etter arkivloven. Begrunnelsen for det er at det skal være mulig å kontrollere det offentlige og ettergå deres saksbehandling. Det skal kunne dokumenteres hvilke avgjørelser etaten har tatt og hva som er grunnlaget for det. Dette kan best gjøres ved at dokumenter blir journalført og arkivert etter de kravene som arkivloven setter.
Dokumenter som er knyttet til et arbeidsforhold, skal registreres i den enkelte ansattes personalmappe. En personalmappe er en del av det samlede arkivet som arbeidsgiver har opprettet. At det opprettes en personalmappe, er bare en ekstra sikkerhet. Det er en strengere tilgang til en personalmappe, for å sikre den enkeltes konfidensialitet.
Det er den generelle arkiveringsplikten som ligger til grunn for at dokument 21/8780-6 er lagret på As personalmappe og som da heller ikke skal slettes. Lagringstiden bestemmes ut fra arkivlovens bestemmelser om lagringstid. Det vises til tidligere oversendte retningslinjer.
Dersom noen protesterer mot behandlingen av personopplysninger i henhold til artikkel 21, skal det knyttes til vedkommendes særlige situasjon. A har ikke redegjort for noen slik særlig situasjon.
Artikkel 21 gjelder profilering, direkte markedsføring og tilsvarende. Arbeidsgivers behandling av As personopplysninger benyttes ikke til slike formål. Som tidligere nevnt er formålet en lovpålagt arkiveringsplikt.
Personvernnemndas vurdering
Spørsmålet for nemnda er om arbeidsgiver skal pålegges å slette et arkivert dokument som inneholder personopplysninger om A fra hans personalmappe. Nemnda legger til grunn at dokumentet omtaler en dockingstasjon som er kommet på avveie og at A blir bedt om å redegjøre for dette. Nemnda har ikke innhentet det aktuelle dokumentet, men legger til grunn As beskrivelse om at brevet insinuerer at dockingstasjonen er stjålet av A, og at det er bakgrunnen for at han ønsker dette slettet.
Personvernforordningen artikkel 17 nr. 1 gir den registrerte rett til å få opplysninger om seg slettet på visse vilkår. Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse (bokstav b) eller for arkivformål i allmennhetens interesse (bokstav d).
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov. I motsetning til gjeldende personopplysningslov gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov § 27 tredje ledd og § 28 fjerde ledd.»
Dette innebærer at A ikke kan kreve opplysningene om seg slettet fra arbeidsgivers arkiv dersom fortsatt lagring av opplysningene er begrunnet i arkivformål i allmennhetens interesse, jf. personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. personopplysningsloven § 8.
Nemnda legger til grunn at arbeidsgivers formål med innsamling av personopplysningene opprinnelig var knyttet til hans arbeidsforhold. Arbeidsforholdet er avsluttet og arbeidsgivers formål med fortsatt oppbevaring av opplysningene er begrunnet i arkivformål i allmennhetens interesse i tråd med bestemmelsene i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med loven er ifølge § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift 19. desember 2017 nr. 2286 § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
Det rettslige utgangspunktet er et kassasjonsforbud, jf. arkivlova § 9 bokstav c, og innebærer at offentlig arkiv ikke kan kasseres uten en kassasjonstillatelse.
I forskriftens del II er det fastsatt hvilke sakstyper i statlige organer som ikke kan slettes (gjøres til gjenstand for kassasjon). I § 7-11 første ledd er det bestemt at saker knyttet til personalforvaltning, blant annet rekruttering og tilsetting samt oppfølging av den enkelte ansatte, herunder avslutning av arbeidsforhold, skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon.
Nemnda legger etter dette til grunn at arbeidsgiver har behandlingsgrunnlag for fortsatt lagring av personopplysningene i personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. personopplysningsloven § 8.
Når de aktuelle personopplysningene representerer materiale som er underlagt bevaringsplikt etter arkivlova § 6 jf. § 9, har arbeidsgiver også en rettslig forpliktelse til å oppbevare opplysningene jf. personvernforordningen artikkel 6 nr. 1 bokstav c. Formålsbegrensningsprinsippet i artikkel 5 første ledd bokstav c innebærer at opplysningene ikke kan behandles til andre formål enn arkivformål.
Nemnda er enig med Datatilsynet i at artikkel 21 nr. 1 om retten til å protestere ikke kommer til anvendelse i denne saken, da denne retten knytter seg til behandlinger som skjer med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav e eller f. arbeidsgiver har i dette tilfellet behandlingsgrunnlag i artikkel 6 nr. 1 bokstav c (rettslig forpliktelse).
Vedtaket er enstemmig.
Konklusjon
A får ikke medhold i sitt krav om sletting av opplysninger i arkivet til arbeidsgiver, jf. personvernforordningen artikkel 17 nr. 3 bokstav b og d.
Oslo, 6. februar 2024
Mari Bø Haugstad
Leder