Personvernnemndas vedtak 2. september 2019 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Heidi Talsethagen og Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets vedtak 22. januar 2019 om å avslutte behandlingen av en innsynssak uten å gi pålegg.
Sakens bakgrunn
A var ansatt i X fylkeskommune på en videregående skole, i perioden 2007 til 2010. I e-post til fylkeskommunen 18. mars 2018 ba A om «innsyn i alt av opplysninger som er registrert i min personalmappe». Han ba samtidig om informasjon om en rekke forhold knyttet til fylkeskommunens behandling av hans personopplysninger.
A fikk innsyn i sin personalmappe ved brev 16. april 2018 og fylkeskommunen ga utfyllende informasjon om behandlingen av As personopplysninger.
Etter dette var det ytterligere korrespondanse mellom partene med oppfølgingsspørsmål fra A og svar fra fylkeskommunen. På anmodning fra A oversendte fylkeskommunen saken og korrespondansen med A til Datatilsynet 30. mai 2018.
Etter å ha klarlagt hva As krav gjaldt, ba Datatilsynet om en redegjørelse fra fylkeskommunen. Datatilsynet oppfattet at saken gjaldt hvilke personopplysninger om A som var utlevert fra hans personalmappe og til hvem. Tilsynet ba fylkeskommunen om å undersøke og redegjøre for hvem som hadde vært mottakere av As personopplysninger.
I svar til Datatilsynet 14. november 2018 opplyste fylkeskommunen at de hadde undersøkt sine systemer, og at innholdet i As personalmappe ikke hadde blitt videreformidlet eller på annen måte utlevert til andre enn de som har tilgang til opplysningene på skolen (rektor og arkivar) eller i sentraladministrasjonen (HR, dokumentasjonsstab og juridisk stab ved behov). Det ble i tillegg redegjort for fylkeskommunens systemer for registrering av interne tilgangshenvendelser og ekstern kommunikasjon via saksbehandlingssystemet.
I vedtak 22. januar 2019 la Datatilsynet til grunn at fylkeskommunen hadde oppfylt sin forpliktelse overfor A til å gi ham innsyn og informasjon om mottakere av hans personopplysninger, jf. GDPR artikkel 15. Datatilsynet konkluderte med at fylkeskommunen hadde etterlevd personopplysningsregelverket og avsluttet saken.
A sendte 2. mars 2019 en ny begjæring til fylkeskommunen om opplysninger om og innsyn i «personopplysninger om meg i deres datasystemer eller registre». Han var interessert i «alle opplysninger som er lagret i alle systemer, registre og dokumenter». I tillegg stilte han en rekke spørsmål ved behandlingen. Fylkeskommunen besvarte henvendelsen i brev 25. mars 2019. Fylkeskommunen oversendte samtidig en oversikt på 16 sider med en opplisting av samtlige dokumenter som var registrert og ba A om å ta kontakt dersom han ønsket innsyn i disse dokumentene.
Etter å ha hatt dialog med Datatilsynet om klageadgang siden januar 2019 klaget A på Datatilsynets vedtak 3. mars 2019. Datatilsynets oversendte klagen til fylkeskommunen og ba om deres uttalelse. Fylkeskommunen redegjorde for sitt syn i brev 12. april 2019. Fylkeskommunen holdt fast ved at det ikke er utlevert opplysninger fra As personalmappe. Samtidig ble det redegjort for at A i juni 2018 hadde begjært innsyn i opplysninger knyttet til «utlyst stilling ved […] videregående skole» høsten 2014. Fylkeskommunen besvarte innsynshenvendelsen samme dag og viste til at samme innsynsbegjæring var mottatt og behandlet tidligere. A påklaget fylkeskommunens avgjørelse og klagen ble deretter oversendt Fylkesmannen for endelig behandling. Som vedlegg til klagen sendte fylkeskommunen dokumentene som det var begjært innsyn i, hvor det også fremkommer personopplysninger om A.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda 9. mai 2019. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. Ingen av partene har gitt kommentarer.
Saken ble behandlet i nemndas møte 2. september 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem og Heidi Talsethagen. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A har i hovedsak anført
Han vil ha innsyn i sin personalmappe hos fylkeskommunen, og har i flere skriv redegjort både for hvilken informasjon han ønsker og sitt syn på saken, jf. blant annet i e-poster til Datatilsynet 18. mars 2018, 28. januar, 1. februar, 3. mars og 29. april 2019, og i e-poster til fylkeskommunen 21. april og 21. mai 2018.
I e-post til Datatilsynet 23. juli 2018 skriver A blant annet:
«Jeg påpekte i mine skriv til [fylkeskommunen] at jeg ønskede informasjon om grunnleggende regler for utsendelser av personalmapper til/hos (før-dette) ansatte hos [fylkeskommunen]. Er det regler idet hele tatt eller er det regler som presenteres brukt i praksis hos [fylkeskommunen].....?
Jeg har også ønsket etter fullstendig og kompletterende liste over alle som har fått min dossier tilsendt. Skal [fylkeskommunen] ikke kunne informere om det iht til loven, det er strengt med tildeling av personalmapper til folk, vel!!
Jeg har også ønsket etter fullstendig og kompletterende informasjon hvordan har mine dossier har vært sendt ut av [fylkeskommunen].
Jeg har også ønsket etter fullstendig og kompletterende informasjon i hvilken tilgang, dvs hva er årsaken til at mine dossier sendes ut fra [fylkeskommunen].
Jeg har også ønsket etter fullstendig og kompletterende informasjon om hvem har mulighet til å sende dossier videre, og hvem har sendt mine dossier ut og da til hvilke er det send til.
Jeg har også ønsket etter informasjon hvorfor jeg nektes innsyn i mine dossier (personalmappe) som er hos andre enn [fylkeskommunen].
Jeg har også ønsket etter informasjon hvorfor det nektes innsyn når lovverket står klart på min side i å ha rett til innsyn i mine dossier, unnsett hvor dossier finner seg.»
Datatilsynets saksbehandling har ikke vært forsvarlig. Tilsynet har ikke utredet saken tilstrekkelig og har opptrådt partisk.
Fylkeskommunen har i hovedsak anført
Fylkeskommunen har gjennom svarene som er gitt og i den dialogen som har vært med A opptrådt i overenstemmelse med sine forpliktelser til å gi innsyn etter GDPR artikkel 15.
A har bedt om informasjon om alle som har lest hans personalmappe, men det føres ikke en slik logg over de medarbeidere som leser personalmapper ettersom tilgangen til personalmapper er sterkt begrenset.
Fylkeskommunen har ikke utlevert personopplysninger som ligger lagret i personalmappen til noen utenfor fylkeskommunen. Det gjelder også Fylkesmannen i Y.
Datatilsynets vurdering
Det har vært vanskelig å forstå hva klagen fra A nøyaktig går ut på. Etter at As presiserte sin klage til Datatilsynet 23. juli 2018,la tilsynet til grunn at saken gjaldt utlevering av personopplysninger fra personalmappen.
Fylkeskommunen ble derfor bedt om å undersøke og gi svar på hvem som har vært mottakere av de aktuelle personopplysningene. I brev 14. november 2018 har fylkeskommunen forklart at den har foretatt nærmere undersøkelser for å finne ut av om opplysninger fra personalmappen er utlevert/delt med andre enn de som har tjenstlig tilgang på opplysningene på skolen og i sentraladministrasjonen. Fylkeskommunen har opplyst at de ikke kan finne at opplysninger fra personalmappen er videreformidlet eller på annen måte utlevert til andre enn de ved skolen og sentraladministrasjonen som skal ha tilgang.
Datatilsynet mener at fylkeskommunen har oppfylt sine forpliktelser overfor A til å gi innsyn, herunder informasjon, etter personvernforordningen artikkel 15, både gjennom den informasjonen som de har gitt ham og gjennom brevet av 14. november 2018. Han har også fått slik informasjon han har krav på om mottakere av hans personopplysninger.
Klagen til Personvernnemnda synes delvis å være begrunnet med at informasjonen fylkeskommunen har gitt til Datatilsynet er feil. A hevder at personopplysninger faktisk er utlevert til Fylkesmannen i Y. Fylkeskommunen har forklart at det er riktig at det er utlevert personopplysninger dit, men det har skjedd i forbindelse med at A har påklaget avslag på innsyn etter offentleglova og dreier seg ikke om videreformidling av personopplysninger fra personalmappen. Utlevering skjedde ved oversendelse av de relevante og nødvendige saksdokumenter til fylkesmannen som klageinstans.
As påstand om at fylkeskommunen gir feilaktig informasjon er for øvrig ikke dokumentert eller underbygget. Med mindre det er foreligger klare indikasjoner på at informasjonen er feil, legger Datatilsynet som utgangspunkt til grunn at tilsynet mottar korrekt informasjon. I denne saken foreligger det ikke tilstrekkelige indikasjoner på at fylkeskommunens informasjon er feil.
A synes videre å være av den oppfatning at Datatilsynet skulle ha foretatt undersøkelser overfor Fylkesmannen i Y.
I henhold til GDPR artikkel 57 nr. 1 f skal Datatilsynet «behandle klager som er inngitt av en registrert (…), og undersøke, i den grad det er hensiktsmessig, klagens gjenstand (…)». Bestemmelsen gir Datatilsynet et visst spillerom med hensyn til om og i hvilket omfang undersøkelser skal gjøres i den enkelte klagesak, jf. PVN-2018-06. I nærværende sak har Datatilsynet gjort konkrete undersøkelser opp mot fylkeskommunen og har uttrykkelig bedt denne gi informasjon om alle mottakere av klagerens aktuelle personopplysninger. Datatilsynet har også veiledet A om hans rett til å be om innsyn overfor fylkesmannen, jf. GDPR artikkel 15.
Datatilsynet har ikke funnet det hensiktsmessig å gjøre ytterligere undersøkelser opp mot
Fylkesmannen i Y. Saken er behandlet adekvat og forsvarlig, og i samsvar med de forpliktelser Datatilsynet har til å behandle klager etter GDPR artikkel 57 nr. 1 bokstav f, og i samsvar med alminnelige forvaltningsrettslige krav.
Personvernnemndas vurdering
Den registrertes rett til innsyn følger av GDPR artikkel 15. Artikkel 15 nr. 1 lyder slik:
«1. Den registrerte skal ha rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og, dersom dette er tilfellet, innsyn i personopplysningene og følgende informasjon:
a) formålene med behandlingen,
b) de berørte kategoriene av personopplysninger,
c) mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner,
d) dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret, eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden,
e) retten til å anmode den behandlingsansvarlige om retting eller sletting av personopplysninger eller begrensning av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere mot nevnte behandling,
f) retten til å klage til en tilsynsmyndighet,
g) dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra,
h) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.»
A fikk innsyn i personalmappen ved brev fra fylkeskommunen 16. april 2018. Ifølge brevet gis det informasjon om hvilke personopplysninger som var lagret i hans personalmappe på det tidspunktet (både i papirversjon og saker i ephorte), og det ble redegjort for formålet med behandlingen av personopplysningene. Han fikk samtidig dokumentene oversendt. I tillegg har fylkeskommunen gjentatte ganger opplyst at opplysninger fra personalmappen ikke er utlevert til andre enn ansatte ved skolen og sentraladministrasjonen som skal ha tilgang.
Etter at A brakte saken inn for Datatilsynet har også tilsynet foretatt undersøkelser av dette ved ulike henvendelser til fylkeskommunen. Datatilsynet har konkludert med at A har fått det innsynet han etter loven har krav på, og at det ikke har skjedd noen ulovlig eller lovlig utlevering av opplysninger som det ikke er redegjort for. Tilsynet har deretter avsluttet saken.
Datatilsynets oppgaver følger av GDPR artikkel 57. Ifølge bestemmelsen nr. 1 bokstav a skal Datatilsynet blant annet «føre tilsyn med og håndheve anvendelsen av denne forordning». Å ta stilling til om en enkeltperson har fått det innsynet forordningen gir rett til, er en av oppgavene som ligger innenfor Datatilsynets plikter etter loven.
Etter GDPR artikkel 57 nr. 1 bokstav f skal Datatilsynet:
«behandle klager som er inngitt av en registrert [...] og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist [...].»
Etter nemndas vurdering har Datatilsynet etterkommet As anmodning og foretatt nødvendige undersøkelser. Nemnda er også enig med Datatilsynet i at fylkeskommunen har gitt A det innsynet og den informasjonen han har krav på etter GDPR artikkel 15. I tillegg har Datatilsynet informert og veiledet A, også om hans rett til å be om innsyn hos Fylkesmannen. Datatilsynets avgjørelse om å avslutte saken uten å gi pålegg er både forsvarlig og innenfor lovens rammer.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak om å avslutte saken uten å gi pålegg opprettholdes.
Oslo, 2. september 2019
Mari Bø Haugstad
Leder