Personvernnemndas vedtak 12. juni 2018 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg, Petter Bae Brandtzæg)
Saken gjelder klage fra en privatperson (heretter «A») på Datatilsynets vedtak 5. desember 2017 om avslutning av sak om innsynsbegjæring.
Sakens bakgrunn
A, tidligere ansatt ved B, ba om innsyn i egne personopplysninger hos B, først ved begjæring 3. august 2017, og senere ved gjentatte purringer.
Da A ikke fikk svar på sin innsynsbegjæring kontaktet han Datatilsynet i brev 13. september 2017 og meldte B for brudd på personopplysningsloven. Han henviste til bestemmelsen i personopplysningsloven § 16 som pålegger den behandlingsansvarlige å svare på henvendelser om innsyn uten ugrunnet opphold.
Datatilsynet påpekte dette forholdet i brev til B 3. oktober 2017, og ba B effektuere As innsynsbegjæring.
I brev 27. september 2017 mottok A svar fra B hvor det ble opplyst hvilken informasjon skolen har lagret om ham.
A mente informasjonen fra B ikke tilfredsstilte lovens krav og påpekte dette i brev til B 5. oktober 2017.
Datatilsynet avviste saken i vedtak 5. desember 2017 med følgende begrunnelse:
«Datatilsynet har hjulpet deg i ovennevnte sak slik at du har fått innsyn i opplysninger om deg selv. Datatilsynet har stort arbeidspress for tiden, og finner ikke å kunne prioritere deres nye henvendelse».
Ved en feil viste overskriften i brevet til en annen sak som A har kontaktet Datatilsynet om, nemlig B utsendelse av lønnsslipper til ansatte via e-post. A påklaget Datatilsynets vedtak 18. desember 2017.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda, som mottok saken 5. mars 2018. A og B ble orientert om saken i brev fra nemnda, med frist for komme med eventuelle kommentarer innen 9. april 2018. Personvernnemnda har ikke mottatt kommentarer fra noen etter dette.
Saken ble behandlet i nemndas møte 12. juni 2018. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg og Petter Bae Brandtzæg. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A har i hovedsak anført
Klagen gjelder manglende innsyn i personopplysninger, ikke utsendelse av lønnsslipper.
B behandling av innsynsbegjæringen er ikke i samsvar med personopplysningsloven.
Følgende forhold er ikke i samsvar med loven:
- virksomheten har ikke svart rettidig (30 dagers frist)
- manglende informasjon om hvem som er behandlingsansvarlig
- manglende informasjon om hvem opplysningene vil bli utlevert til
- arbeidsavtalen mangler underskrift
- mangelfull timeliste (han har jobbet oftere)
- mangelfulle opplysninger i informasjonssystemet, bl.a. mangler diverse e-poster
Datatilsynets vurdering
Ved en inkurie har overskriften på avvisningsvedtaket blitt en annen enn innholdet i vedtaket. Overskriften lyder «Ny klage på B Høyskole for utsendelse av lønnsslipper ukryptert». Dette har imidlertid ingen betydning for resultatet av vedtaket da det tydelig kommer fram at det er videre saksbehandling av innsynsbegjæringer som er avvist.
Datatilsynet kan ikke gå inn i enkeltsaker på en måte som klager ønsker. Tilsynet har overfor B påpekt klagers rettigheter, og han har fått innsyn, om enn noe senere enn lovens krav. Dermed er lovbruddet reparert og normaltilstanden gjenopprettet. Datatilsynet ser ingen grunn til å ta ytterligere skritt i denne del av klagen.
At skolen skulle ha opplyst hvem som er behandlingsansvarlig og hvem personopplysningene ville bli utlevert til følger av personopplysningsloven § 18 første ledd. Dette er en formell feil som skolen skulle ha innarbeidet i sine rutiner. Datatilsynet velger ikke å forfølge dette, da bestemmelsen i personopplysningsloven § 18 første ledd vil bli opphevet ved ikrafttredelse av den nye personopplysningsloven.
At klager mener at oversikten over personopplysningene er mangelfull er et forhold mellom klager og skolen. Datatilsynet har ingen forutsetninger til å vurdere hvilke e-poster som skulle være registrert eller hvorvidt timelistene er korrekte. Det er heller ikke Datatilsynets oppgave å kontrollere og påpeke at arbeidsavtalen som ble forelagt klager ikke er underskrevet.
Personvernnemndas vurdering
Saken gjelder klage på Datatilsynets vedtak 5. desember 2017 om avvisning av sak om innsynsbegjæring.
Personvernnemnda vil først bemerke at det ikke dreier seg som en prosessuell avvising i dette tilfelle, men heller en avslutning av saken etter at det er foretatt en realitetsvurdering.
Personvernnemnda vil derfor først si noe om Datatilsynets plikter etter loven, samt tilsynets mulighet innenfor loven til å prioritere mellom ulike saker.
Datatilsynets mandat og oppgaver følger av personopplysningsloven § 42. I følge bestemmelsens tredje ledd, nummer tre, skal Datatilsynet «kontrollere at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt, og at feil eller mangler blir rettet». Å ta stilling til om en enkeltperson har fått sine rettigheter oppfylt etter loven eller ikke, er åpenbart en oppgave som ligger innenfor Datatilsynets plikter etter loven. I samme ledd, nummer to, fremgår det at Datatilsynet skal «vurdere om det skal gis pålegg der loven gir hjemmel for dette». Det innebærer, slik Personvernnemnda ser det, at Datatilsynet er gitt en skjønnsmessig adgang til å vurdere om det, ut fra hensynet til personvernet, skal gis pålegg for å sikre at behandlingen av personopplysninger skjer i tråd med de lover og regler som gjelder, se for eksempel nemndas avgjørelse i PVN-2017-09. Med hjemmel i personopplysningsloven § 46 fjerde ledd kan Datatilsynet gi pålegg når behandlingen av personopplysninger skjer i strid med loven. Det innebærer at de også kan velge ikke å gi pålegg, der de mener det ikke foreligger tilstrekkelig grunn til det. Forutsatt at Datatilsynets skjønn er forsvarlig og ikke medfører en vilkårlig forskjellsbehandling, har de etter loven en relativt vid adgang til å vurdere om de vil gi pålegg eller ikke.
A ba om innsyn i egne personopplysninger hos B første gang 3. august 2017, men da han ikke fikk svar på sin innsynsbegjæring kontaktet han Datatilsynet. Datatilsynet har i brev til B 3. oktober 2017 bistått A. I brevet påpekte tilsynet at A ikke hadde mottatt svar på sin innsynsbegjæring, og presiserte overfor B at han hadde krav på et slikt innsyn innen en frist på 30 dager, jf. personopplysningsloven § 16. B har i brev til A 27. september 2017 delvis etterkommet innsynsbegjæringen.
Nemnda finner etter dette at A, med tilsynets hjelp, har fått innsyn i sine personopplysninger hos B, selv om dette skjedde senere enn etter 30 dager, slik loven krever.
Nemnda er enig med Datatilsynet i at B ikke har oppfylt sine plikter fullt ut etter personopplysningsloven § 18. Når det gjelder begrunnelsen for hvorfor tilsynet mener det ikke er nødvendig å forfølge dette videre, uttales det:
«Datatilsynet velger ikke å forfølge dette, da bestemmelsen i personopplysningsloven § 18 første ledd vil bli opphevet ved ikrafttredelse av den nye personopplysningsloven.»
Til dette bemerker nemnda at de samme pliktene videreføres i ny personopplysningslov, jf. blant annet GDPR artikkel 15.
På bakgrunn av ovenstående legger nemnda til grunn at B for det første har oversittet 30-dagers fristen for å gi innsyn, og for det andre, bare delvis har gitt A det innsynet han har krav på etter loven. Nemnda forutsetter at B i fremtiden innretter sine rutiner ved innsynsbegjæringer i samsvar med personopplysningsloven.
Nemnda deler imidlertid Datatilsynets vurdering av at personvernhensynene i denne saken er tilstrekkelig ivaretatt, og at saken ikke foranlediger ytterligere behandling fra Datatilsynets side, jf. nemndas redegjørelse ovenfor vedrørende personopplysningloven §§ 42 og 46.
Når det gjelder As påstand om at oversikten over personopplysningene er mangelfulle, er nemnda enig med tilsynet i at dette er et forhold mellom A og B. Heller ikke Personvernnemnda har forutsetning for å vurdere hvilke e-poster som skulle være registrert eller hvorvidt timelistene er korrekte.
A får ikke medhold i klagen.
Nemndas vedtak er enstemmig.
Vedtak
Datatilsynets vedtak om å avslutte saken opprettholdes.
Oslo, 12. juni 2018
Mari Bø Haugstad
Leder