Personvernnemndas vedtak 13. desember 2022 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Heidi Talsethagen, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 26. august 2022 der tilsynet avviste saken under henvisning til personopplysningsloven § 2 andre ledd bokstav b.
Sakens bakgrunn
Datatilsynet mottok 6. desember 2021 en henvendelse fra A om det han mener er ulovlig behandling av personopplysninger fra kommunens side. A mener at kommuneadvokaten brøt personvernforordningen ved måten han oversendte et prosesskriv til A på i forbindelse med en sivil sak for domstolen hvor A representerte sin sønn. Kommuneadvokaten oversendte A en tilgangskode på SMS som skulle benyttes for å få tilgang til et prosesskriv fra kommunen.
Datatilsynet avviste klagen i vedtak 26. august 2022 under henvisning til rettspleielovunntaket i personopplysningsloven § 2 andre ledd bokstav b.
A klaget rettidig på vedtaket 28. august 2022. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 12. september 2022. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt kommentarer i brev 16. september 2022.
Saken ble behandlet i nemndas møte 13. desember 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Heidi Talsethagen, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
I personopplysningsloven § 2 er lovens saklige virkeområde beskrevet. I bestemmelsens andre ledd bokstav b, framgår det at personvernregelverket ikke gjelder «for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv)».
Denne saken gjelder kommuneadvokatens utsendelse og håndtering av et prosesskriv i en pågående sivil sak som skal opp til domstolsbehandling.
Etter tilsynets syn er det klart at klagen omfattes av det såkalte rettspleielovunntaket i personopplysningsloven § 2 andre ledd bokstav b. Bestemmelsen gjelder også i forberedelsesfasen, det vil si etter at stevning eller tiltale er tatt ut, men før saken er behandlet i domstolene.
At rettspleielovunntaket gjør seg gjeldende innebærer at tilsynet ikke har myndighet til å behandle saken. Datatilsynet anser derfor ikke vilkårene for å behandle saken oppfylt og avviser saken, jf. forvaltningsloven § 33 andre ledd tredje punktum.
As syn på saken i korte trekk
Det er ikke riktig at denne saken faller utenfor personopplysningslovens virkeområde. Datatilsynets avvisning bygger på feil lovforståelse og mangler saklig grunnlag.
Denne saken gjelder ikke selve saksinnholdet i tvistesaken, og heller ikke om saken skal «behandles» og «avgjøres» i medhold av rettspleielovene, slik tilsynet legger til grunn.
Denne saken gjelder måten prosesskrivet ble sendt fra kommuneadvokaten til ham på, hvor kommuneadvokaten oversendte en SMS med en tilgangskode på mobil. At kommuneadvokaten sendte ham tilgangskode på SMS, med en link som eneste mulighet for tilgang til et prosesskriv sendt fra kommunen, er i strid med personopplysningsloven. Den tekniske forsendelsen ved å sende tilgangskoden på SMS kan innebære fremtidige aktiveringer av sporingselementer dersom han sender e-posten videre til andre involverte i saken som også måtte bruke samme tilgangskode for å åpne dokumentet. På denne måten ville kommuneadvokaten få tilgang til informasjon om hvem han sendte dokumentet i kopi til i rettsprosessen mot kommunen.
Han var ikke klar over sporingselementene da han i e-post, på kommuneadvokatens forespørsel, aksepterte at tilgangskode ble sendt på SMS. Han har aldri samtykket til at kommuneadvokaten kan sende ham en SMS med tilgangskode som åpner for bruk av det som kan generere sporingskode til det sendte dokumentet.
Personvernnemndas vurdering
Personopplysningsloven og personvernforordningen gjelder ved helt eller delvis automatisert behandling av personopplysninger og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register. Loven og forordningen gjelder ikke når annet er bestemt i eller i medhold av lov, jf. personopplysningsloven § 2 første ledd.
Personopplysningsloven § 2 andre ledd bokstav b oppstiller unntak fra personopplysningslovens saklige anvendelsesområde slik:
«Loven og personvernforordningen gjelder ikke
[...]
b) for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.)»
Spørsmålet i denne saken er om rettspleielovunntaket også omfatter advokaters behandling av personopplysninger når de yter bistand i saker som behandles eller avgjøres i medhold av rettspleielovene, herunder ved deres oversendelse av personopplysninger i prosesskriv til private parter.
Dagens rettspleielovunntak representerer en videreføring av tilsvarende unntak i den tidligere personopplysningsforskriften § 1-3. I Prop. 56 LS (2017–2018) omtaler departementet rettspleielovunntaket slik i punkt 4.5.7:
«Departementet foreslår at loven ikke skal gjelde for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.), se lovforslaget § 2 annet ledd bokstav b. Dette er en videreføring av någjeldende personopplysningsforskrift § 1-3, som har identisk ordlyd.»
Under høringsrunden påpekte flere høringsinstanser at det var uklarheter med det dagjeldende rettspleielovunntaket i personopplysningsforskriften, herunder Datatilsynet og Juristforbundet. Juristforbundet uttalte at det særlig er behov for å avklare unntakets rekkevidde for saker som behandles etter tvisteloven. Datatilsynet viste blant annet til at bestemmelsen ikke gir anvisning på hvilke aktører som omfattes av unntaket, noe Datatilsynet mente var problematisk ettersom det i tilknytning til saker som behandles eller avgjøres av rettspleielovene kan være en rekke forskjellige behandlingsansvarlige.
Departementet opprettholdt likevel den samme ordlyden, med slik begrunnelse i lovforarbeidene pkt. 4.5.7:
«Departementet vil til dette bemerke at bestemmelsen viderefører gjeldende rett, slik at det ikke er nye tolkningsspørsmål som reises. Samtidig har departementet notert seg uttalelsene fra høringsinstansene, og mener det kan være aktuelt å ta bestemmelsen opp til nærmere vurdering. Departementet foreslår likevel ingen endring av bestemmelsen i proposisjonen her, se punkt 2.3.»
Justis- og beredskapsdepartementet har opplyst at de har til behandling en utredning knyttet til rekkevidden av rettspleielovunntaket. Det foreligger ingen opplysninger om når dette arbeidet ventes ferdigstilt.
Også i forarbeidene til advokatloven, Prop. 214 L (2020–2021) omtales rekkevidden av rettspleielovunntaket. Justis- og beredskapsdepartementet uttaler blant annet følgende om gjeldende rett i punkt 15.1:
«Behandling av personopplysninger ved utøvelse av advokatvirksomhet er ikke særskilt regulert. Det følger imidlertid av personopplysningsloven § 2 andre ledd bokstav b at loven og personvernforordningen ikke gjelder for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.). Det er uklart hvorvidt bestemmelsen skal forstås slik at advokater er omfattet av unntaket når de yter bistand i saker som behandles eller avgjøres i medhold av rettspleielovene. Personopplysningsloven § 2 andre ledd bokstav b forstås imidlertid ikke slik at den generelt gjør unntak for advokatvirksomhet etter domstolloven kapittel 11[…]»
Og videre i punkt 15.4.2. framgår departementets vurderinger om personvern:
«Departementet går ikke inn for utvalgets forslag om å innta en henvisning til personopplysningsloven § 2 første ledd i advokatloven. Henvisning til personopplysningsloven kan være nødvendig i tilfeller der det ellers vil kunne oppstå uklarhet om rekkevidden av bestemmelser i en lov. Dette gjelder imidlertid ikke for advokatloven.
Som påpekt av Datatilsynet, innebærer ikke utvalgets forslag en klargjøring av forholdet til personopplysningsloven § 2 andre ledd bokstav b om unntak for saker som behandles eller avgjøres i medhold av rettspleielovene. Denne grensedragningen foreslås ikke regulert i advokatloven, da personopplysningslovens anvendelsesområde etter departementets vurdering bør følge av personopplysningsloven og ikke av advokatloven.
Dersom det skulle være behov for særlige regler om behandling av personopplysninger i forbindelse med advokatvirksomhet, mener departementet at reguleringen bør finne sted i forskrift. Departementet foreslår derfor at regler om behandling av personopplysninger tilknyttet advokatvirksomhet kan gis ved forskrift.»
Nemnda legger til grunn at unntaket for saker som behandles etter rettspleielovene er begrunnet i hensynet til en uavhengig rettspleie, samt at personvernet anses ivaretatt gjennom de alminnelige rettssikkerhetsgarantiene som rettspleielovene gir. Selv om det i ulike lovforarbeider har vært påpekt uklarhet med hensyn til rekkevidden av rettspleielovunntaket så har departementet i forarbeidene til personopplysningsloven 2018 gitt uttrykk for at tidligere rettstilstand videreføres. Datatilsynet har i sin praksis lagt til grunn at unntaket også omfatter advokaters behandling av personopplysninger når de yter bistand i saker som behandles eller avgjøres i medhold av rettspleielovene. Nemnda kan ikke se at det foreligger personvernhensyn som tilsier en innstramming av denne etablerte forvaltningspraksisen. Dette gjelder også spørsmål om måten aktørene i rettspleien gir partene tilgang til personopplysninger, som denne saken gjelder. Nemnda er enig i den tolkningen av rettspleielovunntaket som Datatilsynet her gir uttrykk for.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets vedtak om avvisning opprettholdes.
Oslo, 13. desember 2022
Mari Bø Haugstad
Leder