Personvernnemndas vedtak 18. februar 2019 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder X kommunes publisering av saksframlegg til et kommunestyremøte på kommunens nettside. Klagerne, A, B og C, som alle var omtalt i saksframlegget, mener at publiseringen innebar et brudd på personopplysningsloven og at de publiserte personopplysningene var taushetsbelagte etter forvaltningsloven.
Sakens bakgrunn
Saken har bakgrunn i en varslersak i X kommune fra 2016 som gjaldt rådmannens lederstil. Seks personer i kommunens administrasjon, herunder assisterende rådmann A, økonomirådgiver B og HR-leder C ga alle sin støtte til varsleren. Rådmannen fikk etter en intern prosess i kommunen fortsette i stillingen.
Kommunen vurderte deretter om det skulle igangsettes personalsak mot A, B og C knyttet til mulige kritikkverdige handlinger i forbindelse med rådmannssaken. Forut for kommunestyremøte 3. april 2017 ble saksframlegget til kommunestyremøtet publisert på kommunens nettside. I det publiserte saksfremlegget ble saken mot A, B og C omtalt. Som vedlegg til saksframlegget fulgte utsendt forhåndsvarsel om oppsigelse av stilling, samt protokoll fra drøftingsmøte for henholdsvis A og C. Det framgår av saksframlegget at setterådmannen vurderte at det ikke var grunnlag for å fremme noen personalsak mot A, men at han foreslo at C og B skulle gis en tilrettevisning. I dokumentene var opplysninger om sykmeldinger sladdet, øvrige opplysninger var offentlige. Publiseringen ble oppdaget av A og B 28. mars 2017. Etter anmodning fra A og B, ble saksframlegget fjernet fra kommunens nettside samme dag. Kommunen holdt fast ved at dokumentene var offentlige og at det ikke var rettslig grunnlag for å unnta dem for innsyn.
A og B klaget X kommune inn til Datatilsynet 10. oktober 2017. Klagen gjaldt publiseringen av saksframlegget til kommunestyremøte som klagerne mente inneholdt taushetsbelagte personopplysninger.
Saken ble også bragt inn for Sivilombudsmannen. Sivilombudsmannen viste i brev 12. februar 2018 til at alle klagemuligheter i forvaltningen må være utprøvd før ombudsmannen vurderer saken.
Etter at X kommune hadde redegjort for sitt syn i begge klagesakene, fattet Datatilsynet vedtak henholdsvis 27. og 28. februar 2018. Datatilsynet konkluderte med at de publiserte personopplysningene ikke var sensitive, jf. personopplysningsloven 2000 § 2 nr. 8 og uttalte at de ikke var rett myndighet til å vurdere omfanget av taushetspliktsbestemmelsene i forvaltningsloven. Datatilsynet anbefalte at denne vurderingen burde foretas av Kommunal- og moderniseringsdepartementet (KMD).
Klagerne brakte deretter spørsmålet inn for KMD, som i brev 14. mars 2018 returnerte saken og viste til at det er fylkesmannen som er klageinstans for kommunens vurderinger og vedtak etter offentleglova.
Datatilsynet mottok deretter rettidig klage på vedtakene fra A og B. Også C klaget på vedtakene og stilte seg bak klagen fra A og B. C ba om at tilsynet behandlet de tre klagesakene under ett. Selv om C aldri formelt har klaget saken inn for Datatilsynet, valgte Datatilsynet å behandle sakene under ett, da de omfatter samme forhold mot kommunen.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda 3. mai 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer, og redegjøre for sitt syn på felles forening av de tre sakene. Det var ingen innvendinger mot at sakene undergis felles behandling.
Partene og Datatilsynet ble i brev fra nemnda 14. november 2018 varslet om forlenget saksbehandlingstid og orientert om ny personvernlovgivning fra 20. juli 2018, med mulighet til å inngi merknader knyttet til ny lov. X kommune har gitt sine tilleggsbemerkninger i brev 17. desember 2018. Datatilsynet har i brev til nemnda 31. januar 2019 bemerket at saken gjelder tilsynets manglende kompetanse og at ny personvernlovgivning ikke har noen innvirkning på den aktuelle klagesaken. X kommune er enig med Datatilsynet i dette.
Saken ble behandlet i nemndas møte 18. februar 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg og Hans Marius Tessem. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A, B og C har i hovedsak anført
Det er feil når Datatilsynet legger til grunn at tilsynet ikke er riktig myndighetsinstans for å ta stilling til om opplysningene, som ble publisert på nett, var taushetsbelagte opplysninger eller ikke.
Klagen til Datatilsynet gjaldt overtredelse av personopplysningsloven 2000, hvor det framgår av § 11 at personopplysninger bare kan behandles når dette er tillatt etter § 8 og § 9. Klagerne i saken har ikke samtykket til offentliggjøringen. Datatilsynet må derfor ta stilling til om det foreligger hjemmel i lov for behandlingen. Dersom publiseringen var i strid med offentleglova § 10 tredje ledd og offentlegforskrifta § 7 første ledd vil det ikke foreligge behandlingsgrunnlag for å kunne publisere personopplysningene på nett. Datatilsynet må derfor prejudisielt ta stilling til hvorvidt de publiserte personopplysningene er taushetsbelagte.
Formålet med personopplysningloven er å beskytte enkeltindivider mot at deres personvern blir krenket som ledd i behandling av personopplysninger. Formålet blir ikke oppfylt dersom Datatilsynets kompetanse er avgrenset mot å ta stilling til prejudisielle forhold av avgjørende betydning for lovens anvendelse.
Datatilsynets oppgaver etter personopplysningsloven 2000 § 42 tredje ledd nr. 3 - å kontrollere at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt og at feil eller mangler blir rettet - vil heller ikke bli oppfylt med en avgrensing som nevnt.
Datatilsynet har ansvaret for oppfølgingen av eventuelle lovbrudd for personopplysninger som er blitt behandlet elektronisk. Ingen andre instanser har sanksjonsmyndighet etter loven, jf. personopplysningsloven 2000 § 46.
Det er uholdbart at Datatilsynet ikke vurderer sentrale vilkår for om det foreligger brudd på personopplysningsloven, og at enkeltpersoner som mener sitt personvern krenket blir sendt rundt i byråkratiet.
Vernet av den enkeltes personopplysninger må være reelt og håndterbart. Personvernnemnda bes derfor omgjøre Datatilsynets vedtak og sørge for at personvernet ikke smuldrer vekk gjennom ansvarspulverisering.
X kommune har i hovedsak anført
Klagerne i denne saken mener Datatilsynet skal ta stilling til et eventuelt brudd på taushetsplikten i forvaltningsloven § 13, jf. offentlegforskrifta § 7 annet ledd a. Offentleglova § 10 tredje ledd, som klagerne har vist til, unntar eksplisitt taushetsbelagte opplysninger fra offentliggjøring.
Personvernmyndighetene er ikke gitt kompetanse til å behandle brudd på verken offentleglovas eller forvaltningslovens regler. Det ligger dermed utenfor Datatilsynets myndighet å ta stilling til om personopplysninger, som ikke er sensitive, kan være omfattet av den forvaltningsmessige taushetsplikten, jf. personopplysningloven 2000 § 6. Datatilsynet har ikke myndighet til å avgjøre rekkevidden av innsynsretten etter offentleglova, i de tilfellene hvor personopplysningene ikke er sensitive. En klage på eventuelle brudd på den forvaltningsrettslige taushetsplikten kan derfor ikke rettes til Datatilsynet.
Datatilsynet har i denne saken korrekt konkludert med at X kommune ikke har publisert sensitive personopplysninger, slik dette begrepet er definert i personopplysningsloven 2000 § 2. Lovgiver har bestemt at innsynsretten i henhold til offentleglova går lenger enn vernet etter personopplysningsloven.
Det vises til Personvernnemdas vedtak 21. april 2017 i sak PVN-2016-15, «Tromsø kommune II, Begjæring om omgjøring», hvor nemnda omgjorde et tidligere vedtak i nemnda på grunn av kompetanseoverskridelse fordi nemnda i den opprinnelige saken bygget avgjørelsen om innsyn alene på forvaltningsloven § 18 c. Likheten mellom foreliggende sak og «Tromsø kommune II» - saken, er at det bare er Fylkesmannen som er klageinstans ved eventuelle brudd på offentleglova/offentlegforskrifta, men da for det tilfellet at det ikke er gitt/ikke gis innsyn. I dette tilfellet er det gitt innsyn. I en slik situasjon bestemmer offentleglova § 32 første ledd andre setning, jf. offentlegforskrifta § 11, at det ikke foreligger klagerett.
Fylkesmannen og domstolene kan imidlertid ta stilling til rekkevidden av innsynsretten etter offentleglova. Sivilombudsmannen vil også kunne uttale seg om dette. Politiet er rette myndighet dersom det foreligger forsettlige brudd på taushetsplikten. I den såkalte Moxnessaken ble daværende bystyrerepresentant Bjørnar Moxnes frikjent for å ha publisert taushetsbelagte opplysninger om ansattes tjenesteforhold, inntatt i en granskningsrapport. Oslo tingretts dom av 15.09.2015 med saksnr. 15-051445MED-OTIR/07 er rettskraftig. Retten sondrer i dommen mellom opplysninger om tjenstlige forhold og personlige forhold.
Datatilsynets vurdering
Saken gjelder spørsmål om X kommune har offentliggjort personopplysninger som er underlagt taushetsplikt etter forvaltningsloven § 13 nr. 1. Datatilsynet har ikke kompetanse til å vurdere rekkevidden av taushetspliktbestemmelsene i forvaltningsloven.
Offentleglova § 10 tredje ledd og offentlegforskrifta § 7 første ledd slår fast at virksomheter som er omfattet av loven kan publisere dokumenter for allmenheten på Internett. Det er opp til den enkelte virksomhet å bestemme om dette skal skje. Offentlegforskrifta § 7 andre ledd regulerer hvilke personopplysninger som ikke kan publiseres på Internett, blant annet personopplysninger som er underlagt taushetsplikt, fødselsnummer og sensitive opplysninger som følger av personopplysningsloven 2000 § 2 nr. 8.
Når kommunen har bestemt at saksframlegg til kommunestyret skal publiseres på Internett, har den gjort et bevisst valg med hensyn til meroffentlighet. I en uttalelse til Dagens Næringsliv gir Justisdepartementets lovavdeling i brev 16. august 2007 sin vurdering av forholdet mellom offentlighetsloven og personopplysningsloven:
«Personopplysningsloven kommer imidlertid til anvendelse når saksdokumentet ikke er underlagt innsynsrett, men hvor forvaltningen likevel har adgang til å gi innsyn ved å utøve meroffentlighet, jf. offentlighetsloven § 2 tredje ledd (nåværende § 11 vår anm.), forutsatt at man er innenfor personopplysningslovens anvendelsesområde for øvrig.»
Internkontrollen, som kommunen er pliktig til å etablere etter personopplysningsloven 2000 § 14, skal inneholde rutiner for «vurdering av formål med behandling av personopplysninger i samsvar med personopplysningsloven § 11 bokstav a», jf. personopplysningsforskriften § 3-1 tredje ledd bokstav b (FOR-2000-12-15-1265). Etter personopplysningsloven 2000 § 11 bokstav a kan det bare behandles personopplysninger når dette er tillatt etter § 8 og § 9. Dette innebærer at kommunen må ha behandlingsgrunnlag etter § 8, og eventuelt § 9 for å kunne publisere personopplysninger på Internett. Slikt behandlingsgrunnlag kan være lovhjemmel.
Det blir deretter en vurdering av om offentleglova § 10, jf. offentlegforskrifta § 7 gir tilstrekkelig hjemmel for en slik behandling.
Konkret blir det en vurdering av hvorvidt kommunen har offentliggjort personopplysninger som er underlagt taushetsplikt, jf. forvaltningsloven § 13 nr. 1. Datatilsynet kan ikke se at dokumentene inneholder opplysninger som kan vurderes som sensitive etter personopplysningsloven 2000 § 2 nr. 8. Hvorvidt dokumentene inneholder taushetsbelagte opplysninger etter forvaltningsloven, er ikke Datatilsynet riktig myndighet til å ta stilling til. Dette ligger utenfor Datatilsynets oppgaver.
Personvernnemndas vurdering
Saken gjelder klage på at X kommune har gitt allmennheten innsyn i personopplysninger ved å publisere på Internett kommunens saksframlegg til et kommunestyremøte. Saksframlegget inneholdt personopplysninger som klagerne anfører var taushetsbelagte.
Nemnda bemerker innledningsvis at Datatilsynet ikke formelt har truffet noe vedtak i saken som gjelder C, før saken ble oversendt nemnda. Nemnda anser dette forholdet reparert ved at saksforholdet for alle tre klagerne er sammenfallende og alle partene har gitt sin tilslutning til en felles klagebehandling.
Datatilsynet har vurdert saken etter personopplysningsloven 2000, før de oversendte den til Personvernnemnda i juni 2018.
Ny lov om behandling av personopplysninger (personopplysningsloven 2018) trådte i kraft 20. juli 2018. Det følger av personopplysningsloven 2018 § 1 at Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller forordningen), gjelder som norsk lov fra 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.
I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 196, uttaler departementet om lovvalgspørsmålet:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven [2018]. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018.
Nemnda vil først si noe om forholdet mellom personopplysningsloven (både 2000-loven og 2018-loven) og offentleglova.
I personopplysningsloven 2000 ble lovbestemt innsynsrett etter andre lover regulert av § 6, hvor første ledd lød slik:
«Loven her begrenser ikke innsynsrett etter offentleglova, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger.»
Innsynsretten etter andre lover kunne med andre ord gå lenger enn det som fulgte av personopplysningsloven 2000, og man kunne ikke bruke innsynsretten etter personopplysningsloven 2000 som argument for å innskrenke innsynsretten som fulgte av andre lover. Bestemmelsen innebar at i de situasjoner hvor for eksempel offentlighetsloven 1970 ga noen en innsynsrett, kom ikke personopplysningslovens bestemmelser til anvendelse, mens vilkårene i personopplysningsloven 2000 §§ 8 og 9 måtte være oppfylt for å utlevere opplysninger i situasjoner hvor offentlighetsloven 1970 ikke ga en innsynsrett, men bare åpnet for slikt innsyn (meroffentlighet), se Lovavdelings uttalelse 16. juli 2004 (JDLOV-2004-4600). Offentleglova 2006 videreførte denne rettstilstanden.
I personopplysningsloven 2018 er lovens saklige virkeområde og forholdet til andre lover omtalt i § 2. Bestemmelsens første ledd annet punktum lyder:
«Loven og personvernforordningen gjelder ikke når annet er bestemt i eller med hjemmel i lov.»
Departementet mente det var overflødig å lovfeste en ytterligere presisering av at forordningen ikke er til hinder for innsyn etter offentleglova slik det fremgikk av personopplysningsloven 2000 § 6 første ledd, siden forordningen artikkel 86 avklarer forholdet til offentleglova, og forordningen vedtas som norsk lov, jf. forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) punkt 15.3.
GDPR artikkel 86 regulerer uttrykkelig hvordan reglene om personopplysningsvern forholder seg til nasjonale regler om innsyn i offentlige dokumenter:
«Personopplysninger i offentlige dokumenter som en offentlig myndighet eller et offentlig eller privat organ er i besittelse av for å utføre en oppgave i allmennhetens interesse, kan utleveres av myndigheten eller organet i samsvar med unionsretten eller medlemsstatenes nasjonale rett som den offentlige myndigheten eller organet er underlagt, for å bringe allmennhetens rett til innsyn i offentlige dokumenter i samsvar med retten til vern av personopplysninger i henhold til denne forordning».
Departementet uttaler følgende om artikkel 86 i Prop. 56 LS (2017-2017) punkt 15.2:
«I forordningen er det, i motsetning til i direktivet, uttrykkelig regulert hvordan reglene om personopplysningsvern forholder seg til nasjonale regler om innsyn i offentlige dokumenter. Etter forordningen artikkel 86 kan personopplysninger utleveres etter nasjonale regler om allmennoffentlighet, og det er tilstrekkelig at utleveringen er «i samsvar med» de nasjonale reglene. Ettersom artikkel 86 ikke stiller andre krav til utleveringen av personopplysningene enn at den er "i samsvar med" reglene om allmennoffentlighet, går forordningen på dette punktet noe lenger i retning av offentlighet enn unntaksregelen i dagens lov. Mens unntaksregelen i personopplysningsloven § 6 første ledd kun gjelder ved innsynsrett etter offentleglova, omfatter unntaket i forordningen artikkel 86 også de tilfellene der offentleglova bare gir adgang, og ikke plikt, til å gi innsyn, jf. offentleglova § 11 om meroffentlighet.»
Nemnda legger etter dette til grunn at rettstilstanden etter personopplysningsloven 2018 og GDPR er slik at utlevering av personopplysninger «i samsvar med» offentleglova ikke krever behandlingsgrunnlag i artikkel 6 og 9.
Offentleglova § 10 tredje ledd og offentlegforskrifta § 7 første ledd slår fast at virksomheter som er omfattet av loven kan publisere dokumenter for allmenheten på Internett. Det er opp til den enkelte virksomhet å bestemme om dette skal skje. Offentlegforskrifta § 7 andre ledd regulerer hvilke personopplysninger som ikke kan publiseres på Internett. Bestemmelsens første og andre ledd lyder:
«Organ som er omfatta av offentleglova, kan gjere dokument tilgjengelege for ålmenta på Internett. Følgjande skal ikkje gjerast tilgjengeleg på Internett:
- opplysningar som er underlagde teieplikt i lov eller i medhald av lov
- opplysningar som det kan gjerast unntak frå innsyn for etter § 9 i forskrifta her
- opplysningar som nemnde i personvernforordninga artikkel 9 og 10
- fødselsnummer, personnummer og nummer med tilsvarande funksjon
- opplysningar om lønn og godtgjering til fysiske personar, med unntak for opplysningar om lønn og godtgjering til personar i leiande stillingar i det offentlege og i leiande stillingar eller i styret i sjølvstendige rettssubjekt
- materiale som ein tredjepart har immaterielle rettar til, med unntak for slikt materiale som er nemnd i § 5 fyrste ledd andre punktum og for materiale der rettshavaren samtykkjer til at materialet blir gjort tilgjengeleg»
Datatilsynet har vurdert innholdet i det aktuelle saksframlegget og har konkludert med at det ikke inneholdt sensitive personopplysninger, jf. personopplysningsloven 2000 § 2 nr. 8. Nemnda deler den vurderingen og legger til grunn at saksframlegget ikke inneholder opplysninger som angitt i GDPR artikkel 9 eller 10, jf. bokstav c ovenfor.
Når det gjelder hvorvidt personopplysningene i saksframlegget er å anse som «noens personlige forhold» og dermed underlagt taushetsplikt etter forvaltningsloven § 13 så fremgår det at kommunen har foretatt en konkret vurdering av dokumentene og kommet til at opplysningene, med et par unntak som er blitt sladdet, ikke er underlagt taushetsplikt. Nemnda deler Datatilsynets vurdering av at tilsynet ikke er rett myndighet til å foreta en overprøving av kommunens tolkning av taushetspliktbestemmelsene i forvaltningsloven og deres anvendelse av offentleglova i denne saken.
Det følger av offentleglova § 32 at avgjørelser etter offentleglova kan påklages og at Fylkesmannen er klageorgan for kommunalt organ. Etter bestemmelsens andre punktum kan avgjørelser om å gi innsyn ikke påklages. I Norsk Lovkommentar, note 434, uttaler Jan Fridthjof Bernt om dette:
«Dette betyr at verken vedkommende forvaltningsorgan eller privatpersoner eller organer som blir berørt av at det gis innsyn, har mulighet til å få overprøvd beslutning om å gi innsyn ved forvaltningsklage. Men den som mener at hans eller hennes rett er krenket ved at det gis innsyn, i praksis ut fra personvernhensyn, forretningsmessige hensyn eller vern av immaterielle rettigheter, vil kunne klage en slik avgjørelse inn for Sivilombudsmannen eller reise søksmål om spørsmålet, i praksis gjerne i form av erstatningskrav.»
Nemnda har etter dette kommet til at det ikke har skjedd en utlevering av personopplysninger som omfattes av bestemmelsene i personopplysningsloven 2018 og det foreligger ikke rettslig grunnlag for å gi pålegg etter denne loven.
Klagen har ikke ført fram.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 18. februar 2019
Mari Bø Haugstad
Leder