Personvernnemndas vedtak 5. desember 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A v/B på Datatilsynets avgjørelse 16. mars 2023 om å avslutte sak om retting/sletting av personopplysninger uten å gi pålegg.
Sakens bakgrunn
A henvendte seg til Datatilsynet 20. oktober 2022 og klaget over at han ikke hadde fått medhold hos NAV for sitt krav om sletting, eventuelt retting, av det A oppfatter er ulovlige vedtak truffet av NAV i 2017.
I brev til A 16. mars 2023 avsluttet Datatilsynet saken uten å gi NAV pålegg om retting eller sletting. Datatilsynet besluttet, under henvisning til reglene om arkivplikt og kassasjonsforbud i arkivlova, ikke å gjøre nærmere undersøkelser i saken og konkluderte med at det var lite sannsynlig at A hadde krav på retting eller sletting. I brevet opplyste Datatilsynet at beslutningen om ikke å gjøre nærmere undersøkelser ikke er et enkeltvedtak som kan påklages.
As far, B, klaget likevel på Datatilsynets avgjørelse 4. mai 2023. A sendte 16. juni 2023 inn fullmakt hvor han bekreftet at B opptrer på hans vegne i saken.
Datatilsynet vurderte klagen og omgjorde sin beslutning 16. mars 2023 om at A ikke hadde klagerett. I omgjøringsvedtaket la Datatilsynet til grunn at tilsynets beslutning om å avslutte saken uten å gjøre nærmere undersøkelser og gi pålegg, var et enkeltvedtak, jf. forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og at A hadde klagerett etter forvaltningsloven § 28.
Datatilsynet vurderte også innholdet i klagen, men opprettholdt sin avgjørelse. Saken ble oversendt Personvernnemnda 18. september 2023. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt sine merknader i brev til nemnda 6. og 9. oktober 2023.
Saken ble behandlet i nemndas møte 5. desember 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth.
Datatilsynets vurdering i korte trekk
Datatilsynet skal etter personvernforordningen artikkel 57 nr. 1 bokstav f behandle og undersøke klager i den grad det er hensiktsmessig. Tilsynet vurderer hvilke nærmere undersøkelser saken krever, blant annet ut fra hvor alvorlig et eventuelt lovbrudd vil være.
Personvernforordningen artikkel 17 nr. 1 gir deg rett til å få opplysninger om deg selv slettet på visse vilkår. Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse (bokstav b) eller for arkivformål i allmennhetens interesse (bokstav d). Disse unntakene gjør seg gjeldende for en stor del av offentlig forvaltning, fordi alle offentlige organer er forpliktet av arkivlovgivningen.
I forarbeidene til personopplysningsloven1 er det gitt følgende omtale av unntakene fra
sletteplikten i artikkel 17 nr. 3 bokstav b og d:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Datatilsynet har derfor begrenset myndighet til å overprøve forvaltningsorganets egen vurdering av om opplysningene er arkivpliktige. Vurderingen av opplysningenes arkivverdighet beror på et faglig skjønn som forvaltningsorganet selv er nærmest til å utøve.
Riksarkivaren har veilednings- og tilsynsansvar for arkivarbeidet i offentlige organ, jf. arkivlova § 7. Datatilsynet kan innhente synspunkter fra Riksarkivaren dersom vi anser det nødvendig for vår saksbehandling. Det vil være aktuelt i tilfeller hvor vi finner grunn til å betvile forvaltningsorganets egen vurdering av arkivplikten. I denne saken vurderer tilsynet det som lite sannsynlig at klager har krav på sletting eller retting og har ikke funnet det hensiktsmessig eller nødvendig å innhente synspunkter verken fra NAV eller fra Riksarkivaren.
Avslutningsvis gjør tilsynet klager oppmerksom på at det ikke er slik at forvaltningsvedtak bortfaller ved sletting. Kassasjonsforbudet i arkivlova skal blant annet sørge for at saksbehandlingsfeil dokumenteres, slik at en part i en sak kan dokumentere grunnlaget for eventuelle rettigheter slike feil gir utspring til.
As syn på saken i korte trekk
Datatilsynets skriv framstår automatisert. Det er ikke oppgitt saksbehandler og brevet er heller ikke signert. Dokumentet skal på grunn av dette slettes fra arkivet.
Saken dreier seg om dokumentforfalskning hos NAV. Datatilsynet oppfyller ikke sine plikter etter forvaltningsloven når de ikke går videre med denne saken. Brevet fra Datatilsynet 16. mars 2023 viser at saksbehandler ikke har lest den tilsendte dokumentasjonen i saken. Datatilsynet må foreta en ny vurdering av saken med ny saksbehandler.
A har deretter en gjennomgang av de forholdene han mener representerer alvorlige lovbrudd ved NAVs saksbehandling i ulike saker som gjelder A. De anførte lovbruddene er oppsummert til å gjelde
- 13 dokumentforfalskninger
- 4 grove brudd på klageretten (klager som aldri behandles eller videresendes)
- 8 begjæringer hvor anmerkninger ikke realitetsbehandles
- 1 tilfelle av manglende behandling av retting og sletting av ulovlig vedtak fra NAV klageinstans Styringsenhet. Henvendelsen er ikke behandlet og det er ikke meldt avvik i rapport
- 1 tilfelle av manglende behandling av krav om retting og sletting av ulovlige vedtak sendt Personvernombudet i NAV
A forventer at Datatilsynet utfører sin lovpålagte plikt og behandler saken raskt.
Etter oversendelse av saken til nemnda har A i e-post 9. oktober 2023 bedt om at saken returneres til Datatilsynet og at den vurderes på nytt av en ny saksbehandler, fordi saksbehandleren som har hatt saken etter hans vurdering er inhabil.
Personvernnemndas vurdering
Når Datatilsynet mottar en klage over et vedtak skal tilsynet foreta de undersøkelser klagen gi grunn til, jf. forvaltningsloven § 33. Tilsynet kan oppheve eller endre vedtaket dersom klagen anses begrunnet. Det vil være den klare hovedregelen at den saksbehandleren som behandlet saken i første omgang også forbereder saken når vedtaket er påklaget. At klager ikke fikk medhold hos vedkommende saksbehandler da saken ble behandlet første gang, medfører ikke at saksbehandleren er inhabil til å forberede klagen før oversendelse av saken til nemnda. Det foreligger heller ingen andre særegne forhold som medfører at saksbehandleren hos Datatilsynet er inhabil etter forvaltningsloven § 6. Nemnda kan derfor ikke se at de er noe feil ved saksbehandlingen som tilsier at saken, som følge av inhabilitet, skal returneres til tilsynet for vurdering av en annen saksbehandler, slik A krever.
Personvernnemnda vil for den videre behandlingen først si noe om Datatilsynets avgjørelse i saken og nemndas forståelse av denne.
Datatilsynets oppgaver følger av personvernforordningen artikkel 57. Datatilsynet skal etter bestemmelsen behandle en klage som er inngitt av en registrert og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.
Nemnda har i en rekke saker lagt til grunn at tilsynet har en viss frihet til å avgjøre hvor omfattende undersøkelser den enkelte sak krever. Det ligger imidlertid ikke i dette at Datatilsynet fritt kan velge hvilke klager de skal ta til behandling og hvilke de velger ikke å behandle. Nemnda har lagt til grunn at Datatilsynet plikter å behandle og ta stilling til om personopplysningsloven er brutt når de mottar en klage etter artikkel 77, men at loven åpner for en viss fleksibilitet når det gjelder hvor omfattende undersøkelser av faktum som er nødvendig og/eller hensiktsmessig.
Hvis Datatilsynet har avsluttet en sak uten å ta stilling til om personopplysningsloven er brutt, har Personvernnemnda i sin praksis lagt til grunn at avgjørelsen må vurderes som et vedtak om avvisning, som kan påklages etter forvaltningsloven. I og med at artikkel 77 etter nemndas vurdering pålegger Datatilsynet en plikt til å behandle klager, har slike vedtak blitt opphevet og saken blitt returnert til Datatilsynet for ny behandling.
I denne saken har Datatilsynet konkludert med at det er «lite sannsynlig at A har krav på retting eller sletting» og tilsynet fant det derfor ikke hensiktsmessig å gjøre ytterligere undersøkelser, og avsluttet saken. Ut fra ordlyden i Datatilsynets avgjørelse alene kan det være noe uklart om Datatilsynet har tatt stilling til om personopplysningsloven er brutt eller ikke, eller om tilsynet avsluttet saken uten å konkludere. Datatilsynets formulering må imidlertid leses i sammenheng med tilsynets redegjørelse for forvaltningsorganers arkivplikt sammenholdt med personvernforordningen artikkel 17. Nemnda mener at den siterte formuleringen må tolkes slik at tilsynet har konkludert med at det – ut fra sakens opplysninger og den dokumentasjonen som er sendt inn – ikke er sannsynliggjort at A har et krav på retting eller sletting av opplysninger hos NAV. Nemnda legger derfor i sin behandling av klagen til grunn at Datatilsynet har oppfylt sin plikt etter artikkel 77 til å ta stilling til om personopplysningsloven er brutt.
Nemnda går så over til å vurdere As klage på manglende sletting, eventuelt retting, av personopplysninger hos NAV.
Personvernforordningen artikkel 5 fastsetter prinsipper for behandling av personopplysninger. I artikkel 5 nr. 1 bokstav d framgår det at opplysningene skal være korrekte og om nødvendig oppdaterte og at det må treffes ethvert «rimelig tiltak» for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes.
Personvernforordningen artikkel 16 gir den registrerte rett til retting og etter artikkel 17 har den registrerte på visse vilkår rett til å få personopplysninger om seg selv slettet. Artikkel 17 nr. 3 bokstav b og d gjør imidlertid unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse (bokstav b) eller for arkivformål i allmennhetens interesse (bokstav d).
Når NAV treffer et vedtak, må NAV for det første tolke rettsreglene om når en søker har rett til ytelsen det søkes om, og deretter foreta en bevismessig vurdering av faktum, for å ta stilling til om den faktiske situasjonen er slik at den oppfyller lovens vilkår for å få innvilget ytelsen. Dersom NAV tolker rettsregelen feil eller foretar en uriktig vurdering av faktum, vil dette kunne resultere i et uriktig vedtak. Dersom NAV har basert sitt vedtak på en uriktig forståelse av faktum, herunder også uriktige personopplysninger, vil dette normalt framkomme av begrunnelsen i vedtaket. Slike feil kan endres ved at vedtaket påklages, omgjøres eller endres gjennom et nytt vedtak. Vedtaket kan ikke rettes eller slettes etter bestemmelsene i personvernforordningen artiklene 16 og 17.
Nemnda er enig med Datatilsynet i at det ikke er lagt frem dokumentasjon for, eller redegjort for, et faktum som medfører at det er grunnlag for å pålegge NAV en plikt etter personvernforordningen til å rette eller slette opplysninger om A i hans saker hos NAV. Etter nemndas vurdering har Datatilsynet oppfylt sin utredningsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17 og personvernforordningen artikkel 57 nr. 1 bokstav f. Datatilsynets avgjørelse om ikke å gjøre ytterligere undersøkelser på dette punktet er etter nemndas vurdering forsvarlig og innenfor lovens rammer. Det må være opp til Datatilsynet å vurdere om det er hensiktsmessig og nødvendig å innhente ytterligere opplysninger i saken fra innklagede eller om saken behandles på bakgrunn av den informasjonen A har sendt inn. Det må i utgangspunktet være klagers oppgave å redegjøre for saken og eventuelt legge fram nødvendig dokumentasjon for å sannsynliggjøre sitt krav.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 5. desember 2023
Mari Bø Haugstad
Leder