29 Domstolsprøving

29.1 Gjeldende rett

Etter gjeldende rett kan vedtak fra Datatilsynet og Personvernnemnda bringes inn for domstolene etter tvisteloven § 1-3. Det er også adgang for en registrert til å bringe en sak mot en behandlingsansvarlig eller databehandler direkte inn for domstolene etter samme bestemmelse. Det følger av personopplysningsloven § 43 femte ledd at søksmål om gyldigheten av Personvernnemndas avgjørelser rettes mot staten ved Personvernnemnda. Det er ikke fastsatt noen tilsvarende bestemmelse for Datatilsynet.

Når det gjelder Datatilsynets adgang til selv å ta ut søksmål, må dette gjøres på grunnlag av tvistelovens alminnelige regler. Departementet kjenner ikke til at spørsmålet har vært aktualisert.

29.2 Forordningen

Etter artikkel 58 nr. 4 skal landene sørge for at den myndighet som tilsynsmyndigheten gis i henhold til artikkel 58, skal være underlagt nødvendige «garantier», herunder effektive rettsmidler og rettferdig rettergang fastsatt i unionsretten eller nasjonal rett.

Artikkel 78 nr. 1 gir enhver fysisk eller juridisk person rett til et effektivt rettsmiddel overfor et bindende vedtak som gjelder dem. En sak mot tilsynsmyndigheten skal anlegges i den stat der tilsynsmyndigheten er etablert. Dersom det gjelder en sak hvor vedtaket har blitt truffet etter en uttalelse eller en avgjørelse fra Personvernrådet, skal tilsynsmyndigheten fremlegge uttalelsen eller avgjørelsen for domstolen. Etter artikkel 78 nr. 2 skal enhver registrert ha rett til et effektivt rettsmiddel dersom den kompetente tilsynsmyndigheten ikke behandler en klage eller ikke underretter den registrerte innen tre måneder om utfallet av saken eller om behandlingsforløpet.

Forordningen artikkel 79 omhandler retten til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler. Det er der bestemt at saken skal bringes inn for domstolene i den staten der den behandlingsansvarlige eller databehandleren er etablert eller der den registrerte er bosatt. Dersom den behandlingsansvarlige eller databehandleren er en offentlig myndighet, og saken gjelder utøvelse av offentlig myndighet, kan saken bare behandles i den staten der den offentlige myndigheten er etablert.

Artikkel 80 nr. 1 fastsetter at en registrert kan la seg representere av en ideell organisasjon eller sammenslutning som tilfredsstiller visse vilkår overfor tilsynsmyndigheten og domstolene.

I henhold til artikkel 58 nr. 5 skal medlemsstatene fastsette i lov at tilsynsmyndigheten har myndighet til å opplyse rettshåndhevende myndigheter om overtredelser av forordningen. Der det er relevant, skal tilsynsmyndigheten videre ha myndighet til å innlede eller på annen måte opptre i rettssaker.

Artikkel 81 nr. 1 pålegger en domstol i en medlemsstat å informere en domstol i en annen medlemsstat dersom den har kunnskap om at det verserer en sak om samme saksgjenstand mot samme behandlingsansvarlig eller databehandler. Artikkel 81 nr. 2 åpner for at en domstol i disse tilfellene kan utsette saken.

29.3 Forslaget i høringsnotatet

Det ble i høringsnotatet vist til at forordningen fastsetter at det skal være adgang til rettslig prøving av Datatilsynets vedtak, jf. artikkel 78. Departementet la i høringsnotatet til grunn at de norske reglene om adgang til å prøve forvaltningsvedtak for domstolene oppfyller forordningens krav til et effektivt rettsmiddel overfor tilsynsmyndigheten.

Det ble i høringsnotatet vist til at det etter artikkel 79 kreves at de registrerte skal kunne bringe en behandlingsansvarlig eller databehandler inn for domstolene dersom de mener at deres rettigheter er krenket. Departementet fremholdt i høringsnotatet at tvistelovens regler oppfyller kravet til et effektivt rettsmiddel.

I høringsnotatet viste departementet til at artikkel 80 nr. 1 fastsetter at en part kan la seg representere overfor tilsynsmyndighetene og domstolene av en ideell organisasjon eller sammenslutning som tilfredsstiller visse vilkår. Departementet fremholdt at bestemmelsen må forstås slik at organisasjonen eller sammenslutningen må følge nasjonale prosessregler i utøvelsen av rettigheten. Departementet viste til bestemmelsene i tvisteloven §§ 1-4 første ledd, 3-3 fjerde ledd og 15-7, og foreslo ingen ytterligere nasjonale regler.

Det ble i høringsnotatet vist til at etter artikkel 58 nr. 5 skal nasjonal rett fastsette at tilsynsmyndigheten skal ha adgang til å opplyse rettshåndhevende myndigheter om overtredelser av forordningen. Videre ble det vist til at tilsynsmyndigheten skal, der det er relevant, ha anledning til å delta i en rettslig prosess for å sikre etterlevelse av forordningens bestemmelser. Departementet viste til reglene i tvisteloven §§ 1-4 og 15-7, og la til grunn at disse er tilstrekkelige til å oppfylle forordningen artikkel 58 nr. 5.

29.4 Høringsinstansenes syn

Næringslivets Hovedorganisasjon mener at Datatilsynets vedtak i saker om overtredelsesgebyr bør kunne bringes direkte inn for domstolene, uten at saken først må behandles i Personvernnemnda.

Forbrukerrådet peker på forordningens regler om domstolskontroll og fremholder at Forbrukerrådet selv kan reise selvstendig søksmål uavhengig av fullmakt fra registrerte til vern av personverninteresser, jf. artikkel. 80 nr. 2. Forbrukerrådet peker også på muligheten til å utforme et skriftlig innlegg som legges frem i rettssaken til belysning av allmenne interesser som en sak reiser «innenfor rammene av deres formål og naturlige virkeområde» med hjemmel i tvisteloven § 15-8.

Datatilsynet mener at tilsynet må gis uttrykkelig adgang til å angripe nemndas vedtak for domstolene. Datatilsynet peker på at det for eksempel kan være slik at saken reiser prinsipielle og uavklarte spørsmål, eller nemndas avgjørelse kolliderer med praksis og avklaringer som er blitt til gjennom samarbeid- og konsistensmekanismen, og følgelig går mot den harmoniseringen som er forordningens grunntanke og som tilsynsmyndighetene har en særskilt oppgave med å fremme. Datatilsynet viser videre til at det følger av forarbeidene til tvisteloven § 1-4 at «bestemmelsen vil ikke ha selvstendig betydning for tilsynsorganer i forhold til den lovgivningen de har som oppgave å håndheve», og mener på denne bakgrunn det er behov for uttrykkelig regulering for å gjøre det klart at Datatilsynet kan bringe saker inn for retten.

29.5 Departementets vurdering

Prosessuelle regler faller i utgangspunktet ikke inn under EØS-avtalens anvendelsesområde. Reglene om domstolsprøving er likevel en integrert del av regelverket, og departementet antar at regelverket i forordningen om domstolsprøving bør tas inn i norsk rett i sin helhet sammen med forordningen ellers.

Forordningen gir utfyllende regler om domstolsprøving av saker som gjelder behandling av personopplysninger. Adgangen til domstolsprøving av tilsynsmyndighetens vedtak kan etter departementets syn bli viktigere i praksis når forordningen gir grunnlag for svært høye overtredelsesgebyrer. Det å gå til domstolene for å gjøre gjeldende et krav direkte mot en behandlingsansvarlig kan også etter omstendighetene tenkes å være av stor praktisk betydning. Etter departementets syn vil forordningens regler sett i sammenheng med tvistelovens generelle regler regulere adgangen til domstolsprøving innenfor forordningens virkeområde, og det er i all hovedsak verken rom eller behov for noen særskilt nasjonal regulering. Artikkel 78 nr. 2 om retten til et effektivt rettsmiddel der tilsynsmyndigheten ikke behandler en klage eller ikke underretter den registrerte om klagebehandlingsforløpet eller utfallet av klagen innen tre måneder, vil for eksempel, etter departementets syn, kunne påberopes direkte for norske domstoler i et søksmål om hvorvidt tilsynet har oppfylt sine forpliktelser etter forordningen.

Departementet har ikke funnet grunn til å fastsette noen særskilte regler om organisasjoners og sammenslutningers adgang til å representere den registrerte uavhengig av fullmakt, jf. artikkel 80 nr. 2.

Departementet finner imidlertid grunn til å knytte noen særlige merknader til Datatilsynets tilgang til domstolene. Datatilsynet ber i sin høringsuttalelse både om at tilsynet gis uttrykkelig adgang til å angripe nemndas vedtak for domstolene og en regulering av tilsynets mulighet til å ta saker for retten. Når det gjelder spørsmålet om Datatilsynet skal ha adgang til å angripe nemndas vedtak for domstolene, foreslår departementet i denne omgang ingen slik adgang for Datatilsynet. En slik eventuell adgang bør etter departementets syn være gjenstand for nærmere utredning.

Når det gjelder tilsynets mulighet til å opptre for domstolene utover dette, ser departementet at det kan være grunn til å avklare tilsynets partsstilling nærmere i personopplysningsloven. Det foreslås derfor en bestemmelse om at Datatilsynet opptrer som part på vegne av staten i søksmål som er knyttet til tilsynsvirksomheten. Etter departementets syn vil dette sikre at Datatilsynet i tråd med forordningen artikkel 58 nr. 5 vil kunne innlede eller på annen måte opptre i rettssaker med det som mål å håndheve bestemmelsene i forordningen, der dette er relevant. Bestemmelsen innebærer blant annet at eventuelle søksmål om gyldigheten av tilsynets vedtak rettes mot staten ved Datatilsynet og at Datatilsynet i slike tilfeller utøver partsbeføyelsene selvstendig. Departementet legger for øvrig til grunn at tilsynets håndheving av forordningens regler i all hovedsak vil skje gjennom utøvelsen av øvrig kompetanse etter artikkel 58. Adgangen til å erklære partshjelp etter tvisteloven § 15-7 kan for eksempel likevel tenkes å bli aktuell.