25 Tilsynsmyndighetens organisering
25.1 Gjeldende rett
Personopplysningsloven § 42 gir det rettslige grunnlaget for Datatilsynet og fastsetter hvilke oppgaver Datatilsynet har. I henhold til § 42 skal Datatilsynet føre tilsyn med at personopplysningslovens regler overholdes. Videre skal tilsynet gi råd og veiledning i spørsmål om personvern. Datatilsynet er også pålagt en rekke nærmere bestemte oppgaver, som behandling av søknader om konsesjon.
Det følger av 95-direktivet at tilsynsmyndigheten skal være fullstendig uavhengig når den utfører sine oppgaver. Datatilsynet er administrativt underlagt Kongen og departementet, jf. personopplysningsloven § 42 første ledd. Kompetansen etter bestemmelsen er delegert til Kommunal- og moderniseringsdepartementet. Det følger klart av bestemmelsen at Kongen og departementet ikke kan gi instruks om eller omgjøre Datatilsynets utøving av myndighet i enkelttilfeller etter loven.
Datatilsynet ledes av en direktør som utnevnes av Kongen. Etter personopplysningsloven § 42 annet ledd kan direktøren utnevnes på åremål. Den sittende direktøren er utnevnt på åremål i samsvar med de alminnelige reglene om åremål i den dagjeldende tjenestemannsloven med forskrifter, som nå er erstattet av lov om statens ansatte mv. (statsansatteloven) 16. juni 2017 nr. 67. Direktøren er en uavsettelig embetsmann. Det er Kongen i statsråd som er tilsettingsmyndighet, men departementet som har arbeidsgiveransvar for direktøren i Datatilsynet. For å sikre direktørens uavhengighet er lønnen ikke knyttet til lederlønnssystemet i staten, men reguleres i stedet i samsvar med lønnsregulering for stortingsrepresentantene.
25.2 Forordningen
Det følger av forordningen artikkel 51 at hver stat skal opprette en uavhengig tilsynsmyndighet som skal ha ansvar for å overvåke anvendelsen av forordningen i sitt hjemland, samt bidra til enhetlig anvendelse av forordningen. En stat kan ha mer enn én tilsynsmyndighet.
Etter artikkel 52 skal tilsynsmyndigheten opptre fullstendig uavhengig når den utfører sine oppgaver etter forordningen. Medlemmene av tilsynsmyndigheten skal ikke kunne påvirkes utenfra, og skal verken be om eller ta imot instrukser fra noen. De skal også avstå fra aktiviteter som er uforenlige med oppgaven i tilsynsmyndigheten, uavhengig av om aktivitetene er inntektsbringende eller ikke. Landene pålegges å sørge for at tilsynsmyndigheten har de ressurser og den bemanning den behøver for å løse sine oppgaver på en effektiv måte. Tilsynsmyndigheten skal tildeles et særskilt budsjett og underlegges revisjon på en slik måte at det ikke går ut over uavhengigheten. Videre skal medlemsstatene sørge for at tilsynsmyndigheten velger sitt eget personell og at de ansatte utelukkende skal stå under ledelse av tilsynsmyndigheten.
Artikkel 53 angir vilkår for utnevning og avskjedigelse av medlemmer av tilsynsmyndigheten. Medlemmene skal tilsettes gjennom en åpen prosess, og tilsettingsmyndighet skal være parlamentet, regjeringen, statsoverhodet eller et uavhengig organ som i nasjonal lovgivning er gitt i oppgave å forestå tilsettingen. Medlemmene skal ha kvalifikasjoner, kompetanse og erfaring, særlig om personvern, som gjør dem i stand til å gjennomføre sine oppgaver og utøve sin myndighet. I henhold til artikkel 53 nr. 3 vil et medlems oppgaver opphøre ved utløpet av utnevnelsesperioden, ved avgang eller ved avsettelse i samsvar med nasjonal rett. Et medlem kan i henhold til artikkel 53 nr. 4 bare avskjediges ved alvorlig forsømmelse eller dersom medlemmet ikke lenger oppfyller vilkårene for å utføre oppgavene.
Forordningen gir landene et visst handlingsrom med hensyn til organisering av tilsynsmyndigheten. Samtidig er tilsynsmyndighetens uavhengighet etter 95-direktivet tolket svært strengt av EU-domstolen, se blant annet sak C-614/10 mot Østerrike, C-518/07 mot Tyskland og C-288/12 mot Ungarn. Med bakgrunn i blant annet disse sakene åpnet ESA våren 2016 sak mot Norge for uriktig gjennomføring av personverndirektivets bestemmelser om tilsynsmyndighetens uavhengighet. Etter dialog med ESA har Norge begrenset sin styring av Datatilsynet til et minimum. I vurderingen av hvordan handlingsrommet forordningen gir til landene, skal benyttes, er det derfor nødvendig å se hen til eksisterende rettspraksis etter direktivet, samt ESAs vurderinger av det norske Datatilsynets uavhengighet.
Etter artikkel 54 skal medlemsstatene fastsette regler om opprettelse av tilsynsmyndigheten. Reglene skal inneholde bestemmelser om opprettelse av hver tilsynsmyndighet, medlemmenes kvalifikasjoner og forutsetninger for oppdraget, regler om utnevnelse, funksjonsperiode og gjenutnevnelse, samt regler om bierverv og roller som ikke er forenlige med stillingen i tilsynsmyndigheten både under og etter arbeidsforholdet. Endelig skal det fastsettes regler om opphør av arbeidsforholdet og om taushetsplikt for medlemmer og ansatte ved tilsynsmyndigheten.
25.3 Forslaget i høringsnotatet
25.3.1 Tilsynsmyndigheten
Departementet foreslo i høringsnotatet å videreføre Datatilsynet som det organet som skal håndheve personvernregelverket og ivareta de oppgavene forordningen pålegger tilsynsmyndigheten.
Det ble foreslått at Datatilsynet fortsatt skal være administrativt underordnet Kongen og departementet. Videre ble det foreslått at Stortinget skal fastsette de årlige budsjettene til Datatilsynet etter forslag fra departementet. Departementet mente det var tilstrekkelig at bestemmelser om adgangen til å ansette personell mv. er fastsatt i instruks, og fant ikke grunn til å foreslå nærmere regler om ordningen.
Departementet foreslo en videreføring av gjeldende forskriftshjemmel til å fastsette forskrifter om dekning av Datatilsynets utgifter ved kontroll, og at et slikt krav er tvangsgrunnlag for utlegg.
25.3.2 Tilsetting av Direktøren i Datatilsynet
Det ble i høringsnotatet vist til at det i samsvar med artikkel 53 skal fastsettes nasjonale regler om tilsetting av medlemmer av tilsynsmyndigheten, og at dette i Norge vil være Datatilsynets direktør. Det ble foreslått å videreføre en regel om at direktøren ansettes av Kongen i statsråd. Det ble foreslått at direktøren fremdeles bør være embetsmann og beskyttet av oppsigelsesvernet i Grunnloven § 22 annet ledd. Det ble videre foreslått å videreføre gjeldende regel om at Datatilsynets leder kan tilsettes på åremål.
25.4 Høringsinstansenes syn
Det er få høringsinstanser som har hatt merknader til forslagene knyttet til tilsynsmyndighetens organisering. Datatilsynet deler departementets vurderinger av de krav som forordningen stiller til tilsynsmyndigheten, slik de er beskrevet i forordningen kapittel VI.
Forbrukerrådet mener det er grunn til å tro at det omfattende ansvaret Datatilsynet pålegges med å sikre at forordningens regler forstås, gjennomføres og følges opp, samlet sett vil medføre et merarbeid. Høringsinstansen understreker derfor at dersom de nye reglene skal få den ønskede effekt, er det avgjørende at Datatilsynet til enhver tid blir tilført tilstrekkelige ressurser.
25.5 Departementets vurdering
En uavhengig myndighet som fører tilsyn med behandling av personopplysninger, er etter departementets syn en svært viktig institusjon i dagens informasjonssamfunn. Det er av avgjørende betydning for den enkelte, og for samfunnet som helhet, at borgerne har en lett tilgjengelig klageordning dersom de opplever misbruk av egne personopplysninger, samt tilgang på god informasjon og veiledning om hvilke regler som gjelder ved behandling av personopplysninger. Departementet ser svært positivt på det at forordningen viderefører og understreker reglene om tilsynsmyndighetens uavhengighet, da uavhengighet er helt sentralt for å sikre tilliten til institusjonen.
Etter artikkel 54 skal medlemsstatene fastsette regler om opprettelse av tilsynsmyndigheten. Det fremgår at statene ved lov skal fastsette opprettelse av hver tilsynsmyndighet, de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli utnevnt som medlem av en tilsynsmyndighet, reglene og fremgangsmåten for utnevnelse av medlemmet av hver tilsynsmyndighet, varigheten av mandatet til medlemmet, om mandatet til medlemmet kan fornyes, og eventuelt hvor mange ganger. Det skal videre fastsettes vilkår som gjelder for forpliktelsene til medlemmet av hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter utnevningsperioden, samt regler om avslutning av arbeidsforholdet. Medlemmene og personellet hos hver tilsynsmyndighet skal etter artikkel 54 nr. 2 også være bundet av taushetsplikt, se nærmere om dette i kapittel 28.
Det er ikke kommet innvendinger i høringen mot å videreføre dagens regler om Datatilsynets organisering. Departementet fastholder derfor forslagene om at det fastsettes i personopplysningsloven at Datatilsynet skal være tilsynsmyndighet etter forordningen artikkel 51. Videre foreslås det å videreføre ordningen med at Datatilsynet skal være administrativt underordnet Kongen og departementet. Stortinget skal etter forslaget her fortsatt fastsette de årlige budsjettene til Datatilsynet etter forslag fra departementet.
Når det gjelder kvalifikasjoner, foreslås det ikke å lovfeste noen særlige regler om kvalifikasjoner for Datatilsynets direktør i personopplysningsloven. Det følger av statsansatteloven § 3 første ledd at den best kvalifiserte søkeren skal ansettes eller utnevnes i ledig stilling eller embete, med mindre det er gjort unntak i lov eller forskrift. Det følger videre av statsansatteloven § 3 annet ledd at det ved vurderingen av hvem som er best kvalifisert, skal legges vekt på utdanning, erfaring og personlig egnethet, sammenholdt med kvalifikasjonskravene som er fastsatt i utlysningen. Det ble ved forrige tilsetting av direktør i Datatilsynet stilt krav om blant annet god forståelse for personvern, samfunnsengasjement og integritet i utlysningen.
I Norge vil Datatilsynets direktør være den som omfattes av begrepet «medlemmer av tilsynsmyndigheten». Departementet foreslår å videreføre en regel om at direktøren ansettes av Kongen i statsråd. Dermed vil kravene i forordningen artikkel 53 om at medlemmene skal tilsettes gjennom en åpen prosess, og at tilsettingsmyndigheten skal være parlamentet, regjeringen, statsoverhodet eller et uavhengig organ som i nasjonal lovgivning er gitt i oppgave å forestå tilsettingen, være oppfylt.
Når det gjelder kravet om nasjonale regler om varigheten av mandatet og adgangen til fornyelse, er det etter gjeldende rett slik at Kongen kan bestemme at Datatilsynets direktør skal ansettes på åremål. Dagens direktør er ansatt på åremål for en periode på seks år, og har blitt gjenutnevnt én gang. Statsansatteloven er nylig vedtatt og satt i kraft. Loven inneholder i § 10 regler om bruk av åremål, herunder en hjemmel til å fastsette nærmere regler om dette i forskrift. I forskrift til statsansatteloven fremgår det at åremål ikke kan benyttes for statsansatt som er øverste leder for en virksomhet, dersom virksomheten i hovedsak har kontrollerende funksjoner overfor arbeids- eller næringsliv, eller hvor det for øvrig er særlig viktig at lederen har en uavhengig stilling. Det vises imidlertid i statsrådsforedraget, se Kongelig resolusjon 21. juni 2017 punkt 6.4.1, til at bruk av åremålsstillinger skal utredes nærmere. Departementet fastholder forslaget fra høringsnotatet om at det i forbindelse med en generell utredning av bruk av åremålsstillinger også kan være naturlig å foreta en vurdering av vilkårene for ansettelse av Datatilsynets direktør. Det må imidlertid fastsettes en ordning som skal fungere i hvert fall frem til et slikt arbeid gjennomføres.
Departementet har merket seg at utgangspunktet etter forskrift til lov om statens ansatte mv. § 5 er at åremål ikke skal benyttes der virksomheten har kontrollerende funksjoner overfor arbeids- eller næringsliv, eller hvor det for øvrig er særlig viktig at lederen har en uavhengig stilling. Etter departementets vurdering vil Datatilsynets virksomhet være dekket av angivelsen i nevnte bestemmelse. Bruk av åremål kan imidlertid reguleres i særlov, og vilkårene i nevnte forskriftsbestemmelse vil da ikke gjelde. I forordningen artikkel 54 nr. 1 bokstav d synes det å være forutsatt at tidsbegrensede mandater kan benyttes ved tilsetting av Datatilsynets leder. Departementet forstår imidlertid ikke bestemmelsen som noe krav om at Datatilsynets leder må ansettes på åremål, og at det dermed i fravær av en slik løsning må kunne vises til at ansettelsen etter nasjonal rett i utgangspunktet vil være tidsubegrenset.
Departementet ser at åremål kan utfordre tilsynets uavhengighet, slik det synes å være forutsatt i forskrift til lov om statens ansatte mv. § 5. Etter departementets syn vil dette i første rekke komme på spissen der det gis adgang til gjenutnevnelse. Dersom det ikke gis adgang til gjenutnevnelse vil lederen på samme måte som ved en tidsubegrenset stilling med sterkt oppsigelsesvern stå fritt i forholdet til den myndigheten som ansetter.
Forskrift til lov om statens ansatte mv. § 5 gir også regler om åremålets lengde og adgangen til gjenutnevnelse. Det følger av § 5 annet ledd at «åremålsperiodene for statsansatt som er øverste leder i en virksomhet, og for embetsmann, skal være seks år. Det kan fastsettes en kortere periode i særlige tilfeller. Ansettelse på åremål kan bare gjentas én gang for hver statsansatt i samme stilling og for hver embetsmann i samme embete.» Etter departementets syn kan det i dette tilfellet være gode grunner for å fravike normalordningen med seks års åremålsperioder og adgang til gjenutnevnelse. En mulig løsning for å sikre tilsynsmyndighetens uavhengighet er at åremålsperioden settes til mellom åtte og ti år, men uten adgang til å gjenta utnevnelsen.
Etter departementets syn vil det være mest hensiktsmessig at det overlates til Kongen i forskrift å fastsette nærmere regler for bruk av åremål, dette gjelder både om åremål skal benyttes, lengden på åremålet og adgangen til gjenutnevnelse. Dette vil gi større fleksibilitet til å vurdere behov for eventuelle endringer i reglene for tilsettingen, herunder ta høyde for konklusjonene i en eventuell generell utredning av temaet som forespeilet i Prop. 94 L (2016–2017) punkt 13.4.6 side 124. Etter departementets syn bør imidlertid dette nedfelles som generelle forskriftsregler, og ikke besluttes kun med sikte på den enkelte ansettelse, slik ordningen er i dag.
Når det gjelder fastsettelse av vilkår for medlemmet av og personellet hos tilsynsmyndigheten etter artikkel 54 nr. 1 bokstav f, viser departementet til de generelle reglene i Hovedtariffavtalen. I punkt 1.1.4. fremgår blant annet følgende:
«Arbeidstakere må ikke inneha bistillinger, bierverv, styreverv eller andre lønnede oppdrag som kan hemme eller sinke deres ordinære arbeid med mindre det foreligger særskilt pålegg eller tillatelse.»
Ulovfestede forvaltningsrettslige prinsipper innebærer også at statsansatte skal vurdere alle relevante hensyn, behandle like tilfeller likt og ikke ta utenforliggende eller vilkårlige hensyn. Kommunal- og moderniseringsdepartementet har videre fastsatt etiske retningslinjer for statsansatte der blant annet følgende fremgår:
«Ansatte i statsforvaltningen skal ledes av både allmennetiske og forvaltningsetiske verdier og normer. Enhver ansatt har et selvstendig ansvar for å bidra til at virksomhetens tillit og anseelse blir ivaretatt. Statsansatte skal ikke la egne interesser påvirke saksbehandlingen eller arbeidet for øvrig, og heller ikke la hensynet til egen eller virksomhetens bekvemmelighet eller prestisje påvirke handlinger eller avgjørelser.»
Direktøren vil etter forslaget her fortsatt være embetsmann og beskyttet av det særlige oppsigelsesvernet i Grunnloven § 22 annet ledd. Nasjonale regler om avslutning av arbeidsforholdet følger dermed av Grunnloven § 22 og statsansatteloven §§ 27 og 28.
Forordningen artikkel 52 krever at tilsynsmyndigheten skal opptre fullstendig uavhengig når den utfører sine oppgaver og bruker sin myndighet etter forordningen. Kongen og departementet kan derfor ikke på noen måte påvirke Datatilsynets myndighetsutøvelse. Dette er en videreføring av gjeldende rett.
Departementet foreslår en videreføring av gjeldende forskriftshjemmel til å fastsette forskrifter om dekning av Datatilsynets kostnader ved kontroll og at et slikt krav er tvangsgrunnlag for utlegg.