3 Merknader fra Kommunal- og moderniseringsdepartementet til Personvernnemndas årsmelding

I meldingsåret mottok Personvernnemnda i alt 16 klagesaker fra Datatilsynet. Som følge av en restanse fra 2018, har nemnda hatt totalt 25 saker til behandling i 2019. To av klagesakene ble trukket fra behandling av klager. Tre saker var ubehandlet ved utgangen av 2019, og ble overført til behandling i 2020. Totalt ble det således fattet realitetsvedtak i 20 saker i løpet av året. Kun ett vedtak er fattet med dissens. Datatilsynets vedtak ble endret i fem av de 20 sakene nemnda ferdigbehandlet i meldingsåret. Dette er en lavere omgjøringsandel enn tidligere år. Sett i forhold til at Datatilsynet fattet 285 vedtak i 2019, er antall omgjøringer i nemnda også svært lavt. Personvernnemnda tilkjente klager dekning av sakskostnader i én av de omgjorte klagesakene.

Nemnda avholdt ti møter i meldingsåret. De fleste av sakene ble behandlet og endelig avgjort i løpet av ett nemndsmøte. Nemnda oppgir i sin årsmelding at dette var mulig som følge av god saksforberedelse fra sekretariatets side. Likevel har den gjennomsnittlige saksbehandlingstiden i løpet av året økt fra 4,3 måneder i 2018 til 5,6 måneder i 2019. Nemndas vedtak publiseres i anonymisert form på nemndas hjemmeside, www.personvernnemnda.no, og på Lovdata.

Personvernnemnda har i meldingsåret hatt fokus på kvalitet, og har hatt målsetning om å skrive faglig gode vedtak som kan gi veiledning både for publikum, behandlingsansvarlige og Datatilsynet. Departementet deler Personvernnemndas vurdering av at gode og pedagogiske vedtak skrevet slik at de egner seg som fremtidig veiledning i liknende saker, er viktig. Departementet vurderer derfor at det er en riktig prioritering å fokusere på kvalitet i vedtakene fremfor reduksjon i saksbehandlingstiden.

Nemnda oppgir i årsrapporten at de fleste av de mottatte klagesakene var behandlet i medhold av personopplysningsloven 2000 i førsteinstans. Samtidig følger det av forarbeidene til den nye personopplysningsloven, Prop. 56 LS (2017–2018), at Datatilsynets og Personvernnemndas vedtak i utgangspunktet skal fattes på grunnlag av de til enhver tid gjeldende materielle regler. Unntak gjelder saker om overtredelsesgebyr. Disse sakene skal behandles på grunnlag av reglene som gjaldt på handlingstidspunktet, med mindre anvendelse av den gjeldende lovgivningen på avgjørelsestidspunktet fører til et gunstigere resultat for den ansvarlige. De fleste sakene som Datatilsynet har behandlet etter personopplysningsloven 2000, og som er blitt klaget inn for Personvernnemnda, er dermed blitt behandlet etter den nye personopplysningsloven.

På bakgrunn av dette, påpeker nemndas leder i årsmeldingen at Personvernnemnda også i 2019 har måttet forholde seg til ny og delvis «upløyd mark» i flere saker. En konsekvens av dette er blant annet at Personvernnemnda har måttet foreta selvstendig utredning av de juridiske spørsmålene sakene reiser. Dette har gitt noe lenger saksbehandlingstid i nemnda, da det har vært nødvendig med grundigere utredning av de juridiske spørsmålene i sakene enn normalt. I lys av dette, finner departementet det forståelig at saksbehandlingstiden har gått noe opp. Nemndas vedtak er viktige for den nasjonale tolkningen og forståelsen av personvernforordningen. Departementet mener derfor det har stor betydning at sakene er godt utredet og at vedtakene er skrevet på en måte som gjør at både Datatilsynet, de behandlingsansvarlige og de registrerte kan forstå dem.

To problemstillinger har vært tilbakevendende i sakene som Personvernnemnda behandlet i 2019. Dette var for det første saker om avindeksering på nett (tre saker), og dernest krav om sletting av opplysninger i personalmapper eller andre saker knyttet til arbeidsgiver/arbeidstakerforhold (fem saker). Flere av sakene har vært sammensatte og reist prinsipielle spørsmål.

Personvernnemnda har i løpet av året fattet flere avgjørelser som gjaldt klage på Datatilsynets vedtak om avslag på begjæring om sletting av personopplysninger i personalmappe. I disse sakene har nemnda, som Datatilsynet, lagt seg på en linje som innebærer at det skal mye til før den ansatte får medhold i sitt slettekrav. Gjennomgående legger både Datatilsynet og nemnda stor vekt på arbeidsgivers berettigede behov for å behandle opplysninger i den hensikt å ivareta sine interesser i pågående eller langvarige arbeidskonflikter.

Nemnda har i rapporteringsperioden behandlet tre klager i saker som gjelder Googles avslag på anmodning om å få slettet søketreff på internett, såkalt avindeksering. Nemnda avgjorde også to slike saker i 2018, samt én i 2017. Tendensen viser at saker hvor interesseavveiningen mellom ytringsfrihet og personvern står sentralt, er svært aktuelle. Problemstillingen var blant annet sentral i saken om Legelisten.no, som nemnda mottok til behandling i 2018. Saksbehandlingen ble påbegynt i 2018, men vedtak ble først fattet i 2019. Hovedspørsmålet i saken var om behandlingen av personopplysninger på nettstedet Legelisten.no var i tråd med personopplysningsloven, og saken reiste flere underproblemstillinger. Nemnda kom blant annet (under dissens) til at Legelisten.no har behandlingsgrunnlag for å samle inn og publisere subjektive vurderinger av helsepersonell, uten at helsepersonell gis en generell reservasjonsrett for slike vurderinger. Nemnda fattet sitt vedtak i møte 21. januar 2019. Sommeren 2019 tok Den norske legeforening ut søksmål mot Staten ved Personvernnemnda med påstand om at vedtaket måtte kjennes ugyldig. Saken ble behandlet i Oslo tingrett i november 2019. Den norske legeforening fikk ikke medhold i sitt krav. Dommen er anket, og ankebehandling er foreløpig berammet til mars 2021. Legeliste-saken er ikke bare første gang norske myndigheters tolkning av personvernforordningen prøves rettslig. Det er også første gang, siden nemnda ble opprettet i 2001, at et vedtak fattet av Personvernnemnda blir prøvet rettslig.

I sin vurdering av fremtidsutsiktene, peker Personvernnemnda på at samfunnet stadig blir mer digitalisert, og at den raske teknologiske utviklingen kan sette den enkeltes personvern under press. Ivaretakelse av personvernhensyn forutsetter et godt håndhevingsapparat, herunder en velfungerende klageordning med tilstrekkelige ressurser.

Nemnda viser til at personvernforordningen gir den enkelte registrerte styrkede rettigheter samtidig som pliktene for de behandlingsansvarlige og databehandlerne skjerpes. Det er for tidlig å si noe om hvilken effekt dette over tid vil få for saksmengden i Personvernnemnda. Nemnda peker likevel på at det er en generelt økende bevissthet om rettigheter og plikter i samfunnet, og at dette også vil kunne påvirke nemndas arbeidsmengde. Nye og komplekse regler med stort behov for avklaring gjennom tolkning og grensedragning kan også forventes å påvirke nemndas saksmengde. Videre viser Personvernnemnda til at stadig mer komplekse saker fører til at flere av klagerne lar seg bistå av advokat i klageprosessen. I den grad klagerne får medhold, kan dette i sin tur føre til flere krav om dekning av sakskostnader etter forvaltningsloven § 36. Dette er kostnader som dekkes over nemndas budsjett, og departementet påpeker at det er tatt hensyn til en viss økning i saksomkostningskrav i de siste års budsjetter.

Sakene har de siste årene tilsynelatende blitt mer komplekse og krevende. Samtidig har nemnda for en stor del utredet de juridiske spørsmålene i sakene fra bunnen av som følge av at Datatilsynet har behandlet sakene etter personopplysningsloven 2000, mens nemnda har behandlet dem etter personopplysningsloven 2018. Departementet er derfor tilfreds med at saksbehandlingstiden i nemnda ikke har økt urovekkende i rapporteringsperioden, og at restansene er svært lave. Departementet vurderer at nemnda, samlet sett, gjør meget godt arbeid innenfor de tildelte ressursene.