3 Merknader frå Kommunal- og moderniseringsdepartementet til Personvernnemndas årsrapport

I meldingsåret tok Personvernnemnda imot i alt 24 klagesaker frå Datatilsynet, noko som er ein betydeleg auke frå 2019, da nemnda tok imot 16 klagesaker frå Datatilsynet. Som følgje av ein restanse frå 2019 har nemnda hatt totalt 27 saker til behandling i 2020. Éi av klagesakene vart trekt frå behandling av klagaren. Ni saker var ubehandla ved utgangen av 2020 og vart derfor overførte til behandling i 2021. Totalt vart det gjort realitetsvedtak i 17 saker i løpet av året. Berre eitt vedtak er gjort med dissens. Datatilsynets vedtak vart endra i 9 av dei 17 sakene nemnda ferdigbehandla i meldingsåret. Dette utgjer ein omgjeringsandel på 47 prosent, ein auke samanlikna med ein omgjeringsandel på 25 prosent for 2019. Samtidig er omgjeringsandelen for 2020 på nivå med tidlegare år. Med tanke på at Datatilsynet gjorde 683 vedtak i 2020, er det totale talet på omgjeringar i nemnda svært lågt.

I årsrapporten påpeiker leiaren av nemnda at 2020 har vore eit spennande, men krevjande år òg. Koronapandemien har påverka arbeidet til nemnda. Smittevernomsyn og reiserestriksjonar har vore til hinder for å gjennomføre fysiske møte, kurs og seminar. To nemndmøte vart avlyste, mens resten vart gjennomført digitalt. Personvernnemnda har erfart at videomøte er eit godt alternativ til fysiske møte. Samtidig er fysiske møte, med samtalar og diskusjonar ansikt til ansikt, i nokon tilfelle å føretrekkje.

Totalt heldt nemnda åtte møte i meldingsåret. Fleirtalet av sakene vart behandla og avgjorde i løpet av eitt nemndmøte. Dette var mogleg på grunn av god saksførebuing frå sekretariatet. Den gjennomsnittlege saksbehandlingstida er redusert til 2,3 månader, samanlikna med 5,6 månader i 2019. Samtidig er restansane i 2020 på same nivået som i 2019, noko som truleg må tilskrivast auken i talet på innkomne klager. Vedtaka til nemnda blir publiserte i anonymisert form på personvernnemnda.no og Lovdata.

Også i 2020 har Personvernnemnda hatt mål om å skrive fagleg gode vedtak, slik at desse kan gje rettleiing for seinare liknande saker. Departementet deler vurderinga til nemnda av kor viktig det er at vedtaka er skrivne slik at dei eignar seg til framtidig rettleiing – for både publikum, behandlingsansvarlege og Datatilsynet. Departementet meiner det er positivt at Personvernnemnda har halde fram med innsatsen for å skrive fagleg gode vedtak, samtidig som nemnda har klart å redusere saksbehandlingstida.

Til liks med dei to føregåande åra har Personvernnemnda i meldingsåret merka overgangen frå personopplysningsloven 2000 til personopplysningsloven 2018. Nemnda har derfor også i 2020 måtta ta fatt på ny og delvis «upløgd mark» i fleire saker. Fleire av sakene har reist varierte og til dels nye problemstillingar. Eitt eksempel er PVN-2020-111 der nemnda måtte ta stilling til om Datatilsynets irettesetjing av den behandlingsansvarlege etter personvernforordninga (artikkel 58 nr. 2 bokstav b) var eit enkeltvedtak som gav klagerett etter forvaltningsloven. Nemnda svarte bekreftande på dette spørsmålet.

Eit anna tilfelle der Personvernnemnda måtte ta stilling til ein ny type problemstilling, var i sak PVN-2020-122, der nemnda måtte vurdere forholdet mellom ekomloven og personopplysningsloven. Meir konkret tok nemnda stilling til kva plikt behandlingsansvarlege har til å gje Datatilsynet den informasjonen tilsynet har etterspurt, i situasjonar der opplysningane som blir behandla, er regulerte i ekomloven. I den konkrete saka la nemnda til grunn at sjølv om ekomloven og kommunikasjonsverndirektivet regulerer «lagring» og «tilgang» til opplysningar i kommunikasjonsutstyret til ein brukar, er det ingenting i lova eller forarbeida som tilseier at reglane i personvernforordninga ikkje kjem i bruk når opplysningane som blir behandla, er personopplysningar. Som følgje av dette konkluderte nemnda med at den behandlingsansvarlege plikta å gje Datatilsynet den informasjonen tilsynet hadde etterspurt.

Vidare trekkjer Personvernnemnda i årsrapporten særleg fram PVN-2020-133, ei sak som gjaldt korleis kommunane behandla personopplysningar i kartleggingsverktøyet Spekter – eit verktøy som mellom anna blir brukt for å kartleggje mobbing i skolen. Eitt av spørsmåla i saka var om Arendal kommune hadde tilstrekkeleg rettsleg grunnlag i opplæringslova, i tråd med krava etter personvernforordninga, for å bruke det digitale verktøyet. Datatilsynet hadde konkludert med at opplæringslova ikkje gav tilstrekkeleg rettsleg grunnlag. Personvernnemnda kom til det motsette resultatet. Nemnda konkluderte likevel med at det var andre reglar i personvernforordninga som kommunen ikkje oppfylte. For å kunne halde fram med å bruke kartleggingsverktøyet meinte nemnda at kommunen måtte etablere internkontrolldokumentasjon og rutinar for å sikre at dei retta seg etter personvernforordninga.

Ein tilbakevendande tematikk som Personvernnemnda har behandla dei siste åra, er saker med krav om sletting av personopplysningar frå ulike register eller saksmapper. Dette kan dreie seg om elevmapper, ulike typar journalar, personalmapper eller barnevernssaker. I meldingsåret behandla nemnda fire saker av denne typen. Personvernnemnda trekkjer òg fram at spørsmål om kor lovleg privat kameraovervaking er, er ein gjentakande sakstype, og at nemnda tok imot tre slike saker i 2020.

Ein annan tilbakevendande sakstype gjeld spørsmål om sletting av søkjetreff i Google (avindeksering på nett). I meldingsåret behandla nemnda to slike saker. Til samanlikning behandla nemnda tre slike saker i 2019, to i 2018, og éi i 2017.

Tendensen viser at saker om interesseavveginga mellom ytringsfridom og personvern er aktuelle. Forutan dei nemnde sakene om avindeksering på nett var problemstillinga sentral i saka om Legelisten.no. Nemnda tok til å behandle saka i 2018 og gjorde vedtak i 2019. Hovudspørsmålet var om behandlinga av personopplysningar på Legelisten.no var i tråd med personopplysningsloven. Personvernnemnda kom (under dissens) til at Legelisten.no hadde behandlingsgrunnlag for å samle inn og publisere subjektive vurderingar av helsepersonell, utan at helsepersonell hadde ein generell reservasjonsrett for slike vurderingar. Nemnda gjorde vedtaket sitt i januar i 2019. Sommaren 2019 tok Den norske legeforening (Legeforeningen) ut søksmål mot staten v/Personvernnemnda, med påstand om at vedtaket var ugyldig. Oslo tingrett gav staten medhald hausten 2019. Legeforeningen anka dommen, og i avgjerda til Borgarting lagmannsrett frå februar 2021 fekk staten også medhald. Retten uttalte at saka har prinsipielle sider og gjeld eit område som i avgrensa utstrekning har vore behandla av norske domstolar. Lagmannsretten hadde vore noko i tvil, og Legeforeningen vart friteken for ansvaret for sakskostnadene. I mars 2021 anka Legeforeningen saka inn for Høgsterett. Høgsteretts ankeutval har tillate anken fremja. Lagmannsrettens avgjerd er derfor per august 2021 ikkje rettskraftig. Departementet legg til at Legeliste.no-saken ikkje berre er første gongen tolkinga norske myndigheiter har gjort av personvernforordninga, blir prøvd rettsleg. Det er òg første gongen, sidan nemnda vart oppretta i 2001, at eit vedtak gjort av Personvernnemnda blir prøvd rettsleg.

I vurderinga si av framtidsutsiktene peiker Personvernnemnda på at samfunnet stadig blir meir digitalisert, og at den raske teknologiske utviklinga kan setje personvernet til den enkelte under press. Ivaretakinga av personvernomsyn føreset eit godt handhevingsapparat, irekna ei velfungerande klageordning med tilstrekkelege ressursar.

Nemnda viser til at personvernforordninga gjev den enkelte styrkte rettar, samtidig som pliktene for dei behandlingsansvarlege og databehandlarane er skjerpte. Det er enno for tidleg å seie noko sikkert om kva effekt dette over tid vil få for saksmengda til Personvernnemnda. Nemnda har hatt ein auke i saksomfanget på 50 prosent frå 2019 til 2020, men det er for tidleg å seie om dette kjem av normal variasjon eller er eit teikn på ein varig auke. Nemnda peiker likevel på at det generelt er eit større medvit om rettar og plikter i samfunnet, og at dette vil kunne påverke arbeidsmengda til nemnda òg. Nye og komplekse reglar, med stort behov for avklaring gjennom tolking og grensegang, kan òg forventast å påverke saksmengda til nemnda. Slik nemnda oppfattar det, er det lite sannsynleg at saksmengda vil gå ned. Departementet deler denne vurderinga.

Vidare er vurderinga til departementet at fleire av sakene som nemnda har behandla dei siste åra, er meir komplekse og krevjande enn før. Dette har samanheng med at nye juridiske problemstillingar har oppstått som følgje av gjennomføringa av personvernforordninga i norsk rett i 2018. Departementet er fornøgd med at nemnda held fram med å utarbeide kvalitativt gode vedtak, som eignar seg for rettleiing i liknande framtidige saker, samtidig som saksbehandlingstida er redusert. Restansane blir òg haldne låge. Samla sett er det vurderinga til departementet at nemnda gjer eit svært godt arbeid innanfor dei tildelte ressursane.