Personvernnemndas vedtak 18. mars 2019 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem).

 

Saken gjelder klage fra A på Datatilsynets vedtak 23. april 2018 om avslag på krav om sletting av dokumenter i personalmappe hos X videregående skole og Y fylkeskommune.

Sakens bakgrunn

A er lærer og var i perioden 1992 – 2014 fast ansatt ved X videregående skole. I 2008 oppstod en konflikt mellom A og arbeidsgiveren og rektor traff beslutning om å ta A ut av all matematikkundervisning i tre klasser ved skolen. Beslutningen om å ta A ut av undervisningen ble iverksatt umiddelbart og for A utgjorde dette en 40 % reduksjon av undervisningsarbeidet. A stevnet deretter Y fylkeskommune med krav om oppreisning og erstatning etter urettmessig suspensjon. Etter rettsmekling inngikk partene rettforlik 22. august 2008.På dette tidspunktet hadde rektor omgjort sin beslutning om å ta A ut av undervisningen. Rettsforliket innebar en avtale om at X videregående skole skulle iverksette og betale for et veiledningsopplegg for a, med bistand fra Høyskolen i Y. Forliket innebar også en erstatningsutbetaling fra Y fylkeskommune til A på 45 000 kroner.

Etter et nytt søksmål i 2012/2013, som i henhold til A gjaldt krav om erstatning for trakassering på arbeidsplassen, ble det inngått et utenrettslig forlik i oktober 2013 som innebar fratreden fra stillingen for A og formell avslutning av arbeidsforholdet 31. juli 2014, mot en økonomisk kompensasjon. Avtalen ble skrevet under av As prosessfullmektig og ifølge A var han selv uenig i denne avtalen. Han tok ut søksmål mot Y fylkeskommune for å få kjent avtalen ugyldig, men fikk ikke medhold.A har opplyst at han i ettertid også har stevnet sin daværende advokat som undertegnet avtalen om opphør av arbeidsavtalen med Y fylkeskommune. Denne saken var pr 15. mars 2018 ikke avsluttet.

De dokumentene som A ønsker slettet fra sin personalmappe er ulike dokumenter blitt til i perioden fra 2005 til 2011. I brev til X videregående skole datert 27. april 2017 lister A opp 43 ulike dokumenter som han ber om blir slettet. A mener opplysningene i dokumentene er feilaktige og viser til at innholdet i dokumentene i stor grad går ut på at han har dårlig evne til samarbeid og at elevene ikke lærer noe, noe han mener er uriktig.

A har i perioder etter fratredelsen hatt vikariater og dagsoppdrag som lærer gjennom bemanningsselskapet Adecco, men han ønsker å bli ansatt i fast lærerstilling i Y fylkeskommune til han er 70 år (han er i dag 62 år). A mener at dokumentene som er arkivert i personalmappen hans ved X videregående skole og i Y fylkeskommune er til hinder for ny ansettelse i fylkeskommunen. Rektor ved X videregående skole avslo hans anmodning om sletting av dokumentene.

A kontaktet Datatilsynet 6. juni 2017 med krav om bistand til å få slettet dokumenter med det han oppfattet inneholdt uriktige påstander.

Datatilsynet skrev til X videregående skole i januar 2018 og ba om en redegjørelse for formålet med å lagre dokumentene videre, hvordan de aktuelle opplysningene lagres, hvem som har tilgang til dem og hvor lenge opplysningene skal oppbevares. X videregående skole ga en slik redegjørelse i brev til tilsynet 20. februar 2018. X videregående skole avviste kravet om sletting av dokumentene, blant annet på grunn av behovet for på et senere tidspunkt å kunne dokumentere saksbehandlingshistorikken ved et mulig senere søksmål fra A.

I brev til Datatilsynet 15. mars 2018 har A foretatt en prioritering av de dokumentene han synes det er viktigst å få slettet og listet opp 14 dokumenter som «særlig ønskes slettet nå, de øvrige på listen kan vente litt.»

Datatilsynet konkluderte i vedtak 23. april 2018 med at det ikke var grunnlag for å pålegge arbeidsgiver å slette de aktuelle dokumentene i As personalmappe, jf. personopplysningsloven 2000 §§ 27 og 28.

A framsatte rettidig klage på Datatilsynets vedtak 26. april 2018. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda som mottok saken 2. juli 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har i brev til nemnda 25. oktober og 19. desember 2018, 5. og 24. januar 2019, og 16. og 27. februar 2019 gitt sine kommentarer. X videregående skole/Y fylkeskommune har ikke inngitt noen skriftlig uttalelse.

Partene og Datatilsynet ble i brev fra nemnda 14. november 2018 varslet om forlenget saksbehandlingstid og orientert om ny personvernlovgivning fra 20. juli 2018, med mulighet til å inngi merknader knyttet til ny lov. Ingen av partene har gitt noen kommentarer til lovvalgspørsmålet. Datatilsynet har i brev til nemnda 31. januar 2019 bemerket at nemnda bør vurdere om denne saken skal behandles etter personopplysningsloven 2000, til tross for at nemnda i sin praksis etter 20. juli 2018 har lagt personopplysningsloven 2018 og EUs personvernforordning (GDPR) til grunn. Det redegjøres nærmere for Datatilsynets vurdering av dette spørsmålet nedenfor under «Datatilsynets vurdering».

A har i e-post til nemnda 5. mars 2019 opplyst at han har en pågående sak mot X videregående skole i Diskrimineringsnemnda. A har i den saken anført at X videregående skole har foretatt ulovlig diskriminering av han på grunn av alder, når de ikke har innkalt han til jobbintervju. Diskrimineringsnemnda vil behandle saken tidligst i september 2019.

Saken ble behandlet i nemndas møte 18. mars 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem og Ellen Økland Blinkenberg. Nemndas sekretær, Anette Klem Funderud var også tilstede.

A har i hovedsak anført

Det er flere dokumenter i personalmappen han ønsker slettet fra samtlige fysiske og digitale arkiv, dvs. personalmappe og digitalt ephorte-arkiv, ved skolen og i Y fylkeskommune, fordi dokumentene inneholder uriktige påstander og er til hinder for at han igjen kan ansettes i Y fylkeskommune, jf. personopplysningsloven 2000 §§ 27 og 28.

Han er særlig opptatt av brev av 28. januar 2008 fra avdelingsleder C hvor hun omtaler et møte mellom henne og klasse 1 HSD. Det omtalte møtet har aldri funnet sted, noe han har vitne på. Det er heller ikke riktig som C her skriver at det foreligger noen skriftlig klage fra elevene. Formålet med Cs notat er å sette ham i et dårlig lys. Hun handlet etter anvisninger fra rektoren som ble fornærmet da han (A) allerede 6. oktober 2007 ønsket sletting av dokumenter. Hans forespørsel ble besvart med et skred av useriøse og trakasserende brev som ble lagt i personalmappen og ephorte-arkivet.

Daværende rektor ved X videregående skole, B, har senere blitt overflyttet til en annen skole, og får ikke lenger være skoleleder. B har aldri vært tilstede i hans undervisningstimer. Det samme gjelder avdelingsleder D, E og C. Deres påstander, som er lagret i skolens arkiver, er grunnløse og ikke i samsvar med de faktiske forhold. Det er B som er ansvarlig for alle produserte brev og e-poster med usant og trakasserende innhold.

Brev fra konstituert rektor F til NITO 25. juni 2010 inneholder feilaktig påstander om at han har manglende kompetanse til å undervise i matematikk. I samme personalmappe ligger et brev fra Y fylkeskommune hvor det fremgår at matematikk er et av de fagene han har sensorkompetanse i. At to dokumenter med motstridende beskrivelse av hans kompetanse viser at personalmappen brukes til å samle opp dokumenter med mest mulig negativt innhold om han, uten at riktigheten av dette sjekkes.

Dette er bakgrunnen for at dokumentene forlanges slettet. Han har ingen tro på at flere brev til skolen med vedlegg fra vitner vil endre på den negative innstilling som rektor B spredte om ham i de 18 årene B var rektor ved X videregående skole.

Etter at han fratrådte lærerstillingen ved X videregående skole, har han arbeidet i vikariater ved flere skoler. Han har ikke mottatt noen klager, og har gode referanser fra ulike skoleledere ved disse skolene. Arbeidsmiljøet ved X videregående skole var uakseptabelt. Han viser til framlagte sakkyndige uttalelse 28. september 2010 fra spesialist i arbeids- og organisasjonspsykologi, Roald A. Bjørklund.

Det var en annen rektor enn B som ansatte han, og i de årene han var ansatt hadde han omkring 150 lærerkollegaer som han hadde et godt forhold til, bortsett fra rektor B og tre andre lærerkollegaer som gikk utenom ham og direkte til skolens ledelse.

Han ønsker å jobbe som lærer i Y fylkeskommune til han er 70 år, men dokumentene i personalmappen hans er til hinder for dette da de i stor grad går ut på at han har dårlig evne til samarbeid og at elevene ikke lærer noe. Det er ikke riktig. Fremlagt dokumentasjon fra daværende NITO-representant, tidligere kollegaerog tidligere elev viser at uttalelsene som framgår av hans personalmappe er feilaktige.

X videregående skole/Y fylkeskommune har i hovedsak anført

Flere av dokumentene som A viser til i sitt brev 27. april 2017 til X videregående skole, er ikke å finne verken i arkivet i sentraladministrasjonen i Y fylkeskommune eller i arkivet på X videregående skole. Hvilke dokumenter som finnes i nevnte arkiver, er A orientert om i brev fra X videregående skole 15. desember 2017.

Formålet med fortsatt lagring av dokumentene er skolens behov for å sikre dokumentasjon på den saksbehandlingen som er gjort. A har, både før og etter at han sluttet i Y fylkeskommune, tatt ut søksmål mot fylkeskommunen. A har også sendt prosessvarsel mot flere ansatte i fylkeskommunen. Dokumentene kan derfor også være viktige å oppbevare for fylkeskommunen som dokumentasjon ved eventuelle senere søksmål.

Det stilles spørsmål ved om dokumentene som kreves slettet av A er å anse som «personregister eller delar av personregister», jf. arkivlova § 9 bokstav c tredje punkt, jf. også personopplysningsloven 2000 § 2 nr. 3, jf. nr. 1.

Vilkårene for sletting av dokumentene etter personopplysningsloven 2000 § 28 tredje ledd, jf. fjerde ledd er ikke oppfylt. Vilkåret for sletting, «sterkt belastende», er strengt og skal etter forarbeidene som utgangspunkt vurderes objektivt. Dette vilkåret er ikke oppfylt.

Under enhver omstendighet vises det til at sletting ikke er forsvarlig ut fra en samlet vurdering blant annet av «andres behov for dokumentasjon», jf. personopplysningsloven 2000 § 28 tredje ledd bokstav b. Sletting kan også stride mot annen lov, jf. bokstav a. Etter personopplysningsloven 2000 § 28 fjerde ledd er det et også vilkår for sletting at Riksarkivaren er hørt.

De fleste av dokumentene på listen i brevet av 27. april 2017 fra A er lagret elektronisk i saksbehandlingssystemet ephorte. Dokumentene er unntatt offentlighet. Bare de som har tjenstlig behov har lesetilgang til dokumentene. Øvrige dokumenter som finnes er lagret i det manuelle arkivet på X videregående skole. Dokumentene er unntatt offentlighet, og er oppbevart i et låst arkivskap i et låst arkivrom på skolen. Bare de som har tjenstlig behov har lesetilgang til dokumentene.

Når det gjelder det siste spørsmålet om hvor lenge dokumentene vil bli oppbevart, vil dette bli vurdert etter personopplysningsloven 2000 § 28 første ledd.

Datatilsynets vurdering

At arbeidsgivers oppbevaring av personopplysninger i personalmapper eller lignende er omfattet av begrepet personregister i personopplysningslovens forstand følger av klar praksis i Datatilsynet, og er lagt til grunn av Personvernnemnda, eksempelvis i sakene PVN 2014-18, PVN 2014-15, PVN 2016-12, PVN 2012-13, PVN 2016-08 og PVN 2017-08.

Nærmere om lovvalgsspørsmålet

Datatilsynet har behandlet saken etter personopplysningsloven 2000. Etter at saken ble oversendt til Personvernnemnda er ny personopplysningslov 2018 trådt i kraft. Spørsmålet er om nemnda skal behandle saken etter gammel eller ny lov.

Personvernforordningen har ingen regler om lovvalg i saker som oppstod før forordningen fikk anvendelse, men som løses etter det samme tidspunktet. Personopplysningsloven 2018 § 33 har overgangsregler for saker om overtredelsesgebyr, men sier ikke noe om lovvalget i saker som ikke gjelder overtredelsesgebyr.

Under henvisning til departementet uttalelse i Prop.56 LS (2017-2018), side 196 om at vedtak hos Datatilsynet og Personvernnemnda i utgangspunktet må fattes på grunnlag av de til enhver tid gjeldene materielle regler, har Personvernnemnda lagt til grunn at det er de materielle reglene på vedtakstidspunktet som skal anvendes, altså personopplysningsloven 2018 og GDPR.

Datatilsynet har også lagt til grunn dette standpunktet som en hovedregel ved sin behandling av disse sakene. Datatilsynet mener imidlertid at det er grunn til å nyansere dette standpunktet i enkelte tilfeller. Dette gjelder for eksempel i saker som handler om fysiske personers individuelle rettigheter, og hvor en vurdering etter det nye regelverket ville innebære et rettighetstap for det samme individet.

I slike saker mener tilsynet altså at det må vurderes om den registrerte ville hatt bedre rettigheter om saken hadde vært bedømt etter personopplysningsloven 2000, enn hva vedkommende kan påberope etter personopplysningsloven 2018 og personvernforordningen. Selv om et av formålene med personvernforordningen er å styrke den registrertes rettigheter, kan det likevel tenkes at det tidligere regelverket ga individet bedre rettigheter, for eksempel fordi personverndirektivet ga større rom for nasjonale regler enn hva personvernforordningen gjør.

Etter tilsynets vurdering gjør disse hensynene seg gjeldende i noen av sakene som gjelder retting og sletting av personopplysninger. Etter personopplysningsloven 2000 kunne retting, i noen tilfeller, skje ved at opplysningene ble slettet uten å bli erstattet med nye opplysninger, eller at opplysningene ble sperret, se personopplysningsloven 2000 § 27 tredje ledd. Datatilsynet hadde også hjemmel til å vedta sletting av opplysninger som var «sterkt belastende» for den registrerte, etter en helhetsvurdering, jf. 28 tredje ledd. I begge tilfellene kunne Datatilsynets vedtak gå foran reglene i arkivloven §§ 9 og 18, forutsatt at Riksarkivaren først var hørt.

Tilsvarende rett til retting i form av sletting finnes ikke i personvernforordningen. Datatilsynet har heller ikke hjemmel, hverken i personopplysningsloven 2018 eller personvernforordningen, til å fatte vedtak om at sletting av personopplysninger går foran reglene i arkivlova §§ 9 og 18.

Dette mener tilsynet er en endring som kan være egnet til å svekke de registrertes rettigheter. I den forbindelse bør man legge vekt på at klager har fremmet sin klage før det nye regelverket fikk anvendelse. Klager har da hatt en berettiget forventning om at saken ville bli behandlet etter de reglene som gjaldt på klagetidspunktet. Datatilsynet mener at det er gode grunner for at saker som den foreliggende, som gjelder retting av opplysninger i form av sletting etter personopplysningsloven 2000 § 28 tredje ledd, også bør behandles etter personopplysningsloven 2000 i klageomgangen.

Krav om retting av mangelfulle opplysninger - personopplysningsloven 2000 § 27

Personopplysningsloven 2000 § 27 åpner for å kreve retting eller sletting der personopplysningene som behandles er uriktige, ufullstendige eller det ikke er adgang til å behandle dem. A ønsker sletting av dokumentene fordi han mener at opplysningene ikke er korrekte. X videregående skole har ikke uttrykkelig sagt at alt som fremgår i dokumentene er korrekt, men har vist til at de dokumenterer saksbehandlingen i forkant av avtale om fratredelse. Tilsynet mener at et slikt formål tilsier at retting av opplysningene ikke er et alternativ.

Uenighet om de faktiske forhold kan avhjelpes ved at opplysningene suppleres med klagerens syn på saken, jf. personopplysningsloven 2000 § 27 andre ledd. På den måten blir dokumentasjonen mest mulig helhetlig.

Denne saken dreier seg om opplysninger som tidligere arbeidsgiver mener har betydning som dokumentasjon. Supplering i denne sammenheng må bety at A får anledning til å gi sitt syn på hva som er korrekt, og at dette oppbevares sammen med de øvrige dokumentene. På den måten blir det omstridte forhold så korrekt og fullstendig som omstendighetene tillater. Datatilsynet forutsetter at X videregående skole vil supplere personalmappen med eventuelle nye dokumenter fra A som gjelder hans syn på saken, og ser ikke behov for å fatte noe pålegg om dette.

Tilsynet kan i henhold til personopplysningsloven 2000 § 27 tredje ledd pålegge retting eller sperring dersom tungtveiende personvernhensyn tilsier det. Datatilsynet har forståelse for klagers opplevelse av saken. Den underliggende saken er imidlertid kompleks og det er vanskelig for Datatilsynet å si hva som er korrekte opplysninger og ikke. Personaladministrative saker i arbeidslivet vil innbefatte behandlingen av personopplysninger hvor det kan oppstå uenighet om de faktiske forhold mellom arbeidsgiver og arbeidstaker. Generelt er Datatilsynet tilbakeholden med å ta stilling til hvorvidt opplysningene er uriktige.

Supplering av personalmappen med As framstilling av saken vil gi en tilfredsstillende løsning ved at det bringer balanse inn i dokumentene som oppbevares. Da framgår det at innholdet i dokumentene er omstridt, og behandlingen av personopplysningene

blir derfor i størst mulig grad forenlig med grunnkravene i personopplysningsloven 2000 § 11 om korrekthet og fullstendighet. Objektivt sett gir ikke supplering en åpenbart utilfredsstillende løsning.

Krav om sletting av personopplysninger – nødvendighetsvurdering – personopplysningsloven 2000 § 28 første ledd

Personopplysninger skal ikke lagres «lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen». Det opprinnelige formålet med behandlingen av opplysningene i dokumentene er ikke lenger tilstede, siden arbeidsforholdet er avsluttet. Formålet med skolens fortsatte lagring av disse dokumentene er å kunne bruke dem som dokumentasjon på saksbehandlingen, herunder ved eventuelle senere rettslige skritt fra A. Dette er altså et annet formål enn det opprinnelige, som var personaladministrasjon.

Det aktuelle rettslige grunnlaget for formålet dokumentasjon vil være personopplysingsloven 2000 § 8 bokstav f om berettiget interesse. Formålet dokumentasjon ved eventuelle rent hypotetiske fremtidige rettskrav vil vanskelig kunne begrunne lagring i lang tid, men her er det snakk om en konflikt som har versert over mange år og siste rettslige skritt ligger ikke langt tilbake i tid.

Hvor lenge det er anledning til å oppbevare dokumenter slik det her er snakk om må vurderes konkret i hver enkelt sak ut fra formålet. Det er formålet med den aktuelle behandlingen av personopplysninger som er styrende for hva som er nødvendig eller unødvendig lagring.

Nødvendighetskriteriet vurderes skjønnsmessig, og tilsynet er prinsipielt tilbakeholden med å overprøve arbeidsgivers vurdering i slike saker, så lenge lagring fremstår som rimelig og forsvarlig. Det er også lagt til grunn av Personvernnemnda.

Praksis fra Personvernnemnda viser videre at terskelen for sletting av personopplysninger i personalmapper er høy så lenge det er tale om opplysninger som anses nødvendig å lagre videre. Det vises til PVN-2014-18, PVN-2016-08 og PVN-2017-08.

Etter tilsynets vurdering fremstår skolens begrunnelse for hvorfor opplysningene lagres som forsvarlig. Det er ikke grunnlag for å overprøve arbeidsgivers vurdering. Det foreligger ikke noe brudd på personopplysningsloven 2000 § 28 første ledd og skolen har adgang til å oppbevare de aktuelle dokumentene videre.

Krav om sletting av personopplysninger som er «sterkt belastende» – personopplysningsloven 2000 § 28 tredje ledd

Den registrerte kan kreve sletting eller sperring av opplysninger som er sterkt belastende dersom dette ikke strider mot annen lov og er forsvarlig ut fra en samlet vurdering. Bestemmelsen gir den registrerte et ekstra vern i tilfeller hvor behandlingen, herunder lagringen, i utgangspunktet er lovlig etter lovens øvrige bestemmelser. Bestemmelsen innebærer en konkret og helhetlig avveiing av de ulike interessene som gjør seg gjeldende i det enkelte tilfelle. Dersom sletting vil stride mot arkivloven er Datatilsynet gitt særskilt kompetanse i § 28 fjerde ledd til å bestemme at retten til sletting i tredje ledd likevel skal gjelde.

Det følger av forarbeidene til personopplysningsloven 2000, Ot.prp. nr. 92 (1998-1999) side 125 at vilkårene for sletting etter § 28 tredje ledd er strenge.

Datatilsynet har forståelse for at A opplever saken som belastende, men har ikke funnet å kunne legge avgjørende vekt på det ved å pålegge sletting. I denne saken hvor det har vært en arbeidskonflikt foreligger det et behov for videre oppbevaring i skolens personalmappe. Det vil da være uforsvarlig å slette dokumentene. Det foreligger heller ingen andre spesielle omstendigheter i saken som på avgjørende måte tilsier at hensynet til A må veie tyngre enn skolens dokumentasjonsbehov.

Dokumenter oppbevares i låst arkiv i tilfelle dokumentasjonsbehovet skulle gjøre seg gjeldende. Det legges til grunn at skolen ivaretar konfidensialitetsbehovet ved håndteringen av sitt arkiv, for eksempel gjennom tilgangsstyring, slik at opplysningene sikres mot uautorisert innsyn.

Vilkårene for å pålegge sletting etter personopplysningsloven 2000 § 28 tredje ledd er ikke oppfylt.

Personvernnemndas vurdering

Personvernnemnda skal ta stilling til om A, som ikke lenger er ansatt i fylkeskommunen, kan kreve at arbeidsgiveren skal slette en rekke opplistede dokumenter fra As personalmappe. De dokumentene det gjelder er blitt til i perioden fra 2005 til 2011, og gjelder særlig dokumenter utarbeidet i anledning den arbeidskonflikten som oppstod i 2008 og som i ettertid har vært bakgrunn for flere rettslige prosesser.

Lovvalg

Nemnda vil først si noe om hvilken lov som kommer til anvendelse.

A brakte saken inn for Datatilsynet 6. juni 2017. Datatilsynet vurderte saken etter personopplysningsloven 2000 før tilsynet oversendte saken til Personvernnemnda i juni 2018.

Ny lov om behandling av personopplysninger (personopplysningloven 2018) trådte i kraft 20. juli 2018. Det følger av personopplysningsloven 2018 § 1 at Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller forordningen), gjelder som norsk lov fra 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.

De materielle reglene i forordningen er i stor grad en videreføring og videreutvikling av personopplysningsloven 2000. Samtidig innebærer reglene en rekke endringer, både på detaljnivå og av mer grunnleggende karakter. De registrertes rettigheter er på flere punkter styrket, jf. forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017–2018) side 9.

Datatilsynet har gitt uttrykk for at ettersom A klaget før GDPR trådte i kraft, og således hadde en berettiget forventning om at saken ville bli behandlet etter reglene som gjaldt på klagetidspunktet, tilsier rimelighetshensyn at nemnda behandler denne saken etter personopplysningsloven 2000.

Nemnda er ikke enig i den vurderingen.

Ved innføringen av nye personvernregler i juli 2018 vurderte lovgiver hvorvidt det skulle gis overgangsregler, og vedtok å innføre overgangsregler om overtredelsesgebyr, jf. personopplysningsloven 2018 § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et mer gunstig resultat for den behandlingsansvarlige. I denne saken er det ikke spørsmål om ileggelse av overtredelsesgebyr, og det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.

Dette er også omtalt i forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017-2018) side 196, hvor departementet blant annet uttaler:

«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven [2018]. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».

Lovgiver har med andre ord valgt ikke å bestemme at personopplysningsloven 2000 fortsatt skal komme til anvendelse for saker som er kommet inn, enten til Datatilsynet eller til Personvernnemnda, før personopplysningsloven 2018 trådte i kraft. Dersom lovvalgspørsmålet i den enkelte sak som følge av dette skulle avhenge av en konkret vurdering av om gammel eller ny lov gir den registrerte bedre eller dårligere rettigheter, ville det innebære en svært uoversiktlig situasjon både for de registrerte og de behandlingsansvarlige. Nemnda legger til grunn at de nye bestemmelsene som følger av personopplysningsloven 2018 og GDPR er et resultat av en avveining av den registrertes behov for å ha kontroll på personopplysninger om seg selv og den behandlingsansvarliges behov for å behandle personopplysninger. Selv om enkeltelementer ved den registrertes rettigheter (for eksempel knyttet til retten til retting og sletting av opplysninger) skulle være svakere etter den nye loven, betyr ikke det nødvendigvis at den registrertes rettigheter, samlet sett, likevel ikke er styrket. Dersom man lar enkeltelementer fra gammel lov fortsatt komme til anvendelse for de sakene som ble avgjort av Datatilsynet før ny lov trådte i kraft, vil man kunne forrykke den balansen mellom hensynet til den registrerte og hensynet til den behandlingsansvarlige som er kommet til uttrykk ved vedtakelsen av ny lov. En slik ordning vil etter nemndas vurdering forutsette lovhjemmel i form av overgangsbestemmelser. Etter nemndas vurdering er det derfor ikke lovhjemmel for å gi en behandlingsansvarlig pålegg om å slette personopplysninger etter personopplysningsloven 2000, dersom personopplysningsloven 2018 ikke gir tilstrekkelig hjemmel for det samme pålegget, når pålegget gis først etter at personopplysningsloven 2018 trådte i kraft. Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018.

Spørsmål om sletting

X videregående skole/Y fylkeskommune har lagret en rekke dokumenter vedrørende As ansettelsesforhold, inkludert dokumenter knyttet til hans arbeidskonflikter i den perioden han var ansatt i fylkeskommunen. Det er ingen tvil om at dette innebærer en behandling av personopplysninger og at X videregående skole/Y fylkeskommune er behandlingsansvarlig for den behandlingen av personopplysninger som skjer. Personvernnemnda har i det følgende ikke skilt mellom X videregående skole og Y fylkeskommune og som en felles betegnelse for disse er delvis benyttet «arbeidsgiver».

De fleste dokumentene er lagret elektronisk i saksbehandlingssystemet ephorte, mens enkelte dokumenter er lagret i skolens manuelle arkiv. Personvernnemnda har for sin vurdering ikke skilt mellom elektronisk behandling og oppbevaring i manuelle arkiv idet det legges til grunn at begge oppbevaringsmåter faller inn under personopplysingsloven 2018 sitt saklige virkeområde, jf. § 2. Nemnda har merket seg at alle dokumentene er unntatt offentlighet og at det manuelle arkivet befinner seg i et låst arkivskap i et låst arkivrom på skolen. Det er videre bare de som har tjenstlig behov som har lesetilgang til de elektroniske dokumentene i ephorte. Nemnda legger dette til grunn for sin vurdering.

Spørsmålet for nemnda er om A, som ikke lenger er ansatt i fylkeskommunen, kan kreve at hans tidligere arbeidsgiver skal slette en rekke opplistede dokumenter fra hans personalmappe.

GDPR artikkel 17 regulerer retten til sletting. Artikkel 17 nr. 1 bokstav a og c fastslår blant annet:

«1. Den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold, og den behandlingsansvarlige skal ha plikt til å slette personopplysninger uten ugrunnet opphold dersom et av de følgende forhold gjør seg gjeldende:

a) personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for

[…]

c) den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen […]»

GDPR artikkel 17 nr. 3 åpner for en rekke unntak fra retten til sletting. I forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017-2018), side 65 uttaler departementet:

«Bestemmelsen gir den registrerte rett til sletting av personopplysninger på en rekke ulike grunnlag, jf. artikkel 17 nr. 1 bokstav a til f. Regelen er imidlertid i stor grad knyttet til om vilkårene for behandling av personopplysningene er oppfylt, og medfører derfor først og fremst en tydeliggjøring og ingen vesentlig utvidelse av plikten til sletting. Retten til sletting av sterkt belastende personopplysninger etter personopplysningsloven § 28 tredje ledd har ingen klar parallell i forordningen.»

Det avgjørende for As rett til å kreve sletting blir dermed om arbeidsgivers behandling av de aktuelle personopplysningene er i tråd med de vilkårene for behandling av personopplysninger som oppstilles i personopplysningsloven 2018.

De alminnelige reglene om behandlingsgrunnlag følger av GDPR artikkel 6. Artikkel 6 nr. 1 lyder slik:

«1. Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:

a) den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål
b) behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse,
c) behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige,
d) behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser,
e) behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
f) behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.

Nr. 1 bokstav f) får ikke anvendelse på behandling som utføres av offentlige myndigheter som ledd i utførelse av deres oppgaver.»

Etter personopplysningsloven 2018 og GDPR er de alternative behandlingsgrunnlagene likestilt og behandling av personopplysninger i forbindelse med ulike former for personaladministrasjon, skjer med hjemmel i ulike behandlingsgrunnlag.

Nemnda legger til grunn at det aktuelle behandlingsgrunnlaget for arbeidsgiver til å lagre dokumentene i As personalmappe er artikkel 6 nr. 1 bokstav f. Adgangen for det offentlige til å benytte dette behandlingsgrunnlaget i egenskap av å være arbeidsgiver fremgår av forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017-2018) side 32. Dette ble også fastslått av nemnda i en tilsvarende sak om sletting av personopplysninger i en personalmappe, se PVN-2018-11.

Dersom personopplysningene som behandles faller inn under den særlige kategorien personopplysninger som reguleres av GDPR artikkel 9, må behandlingen i utgangspunktet også være omfattet av et av alternativene i artikkel 9 nr. 2 for å være lovlig. Datatilsynet har ikke drøftet hvorvidt behandlingen også omfatter sensitive personopplysninger, jf. personopplysningsloven 2000 § 9, jf. § 2 nr. 8.

Nemnda har merket seg at enkelte dokumenter som er lagret i As personalmappe omtaler sykdom og sykefravær. Videre fremkommer det følgende av advokatfullmektig Sekkelsens brev til X videregående skole 13. september 2007:

«Vedlagt følger en legeerklæring som støtter opp om at A må få beholde kontorplassen sin. Det fremgår av denne at A trenger trygge og stabile fysiske, sosiale og psykiske omgivelser. Dersom han ikke får det vil hans kroniske sykdom kunne forverre seg. På vegne av vår klient ber vi om at arbeidsgiver tar uttalelsen i legeerklæringen til etterretning.»

Selv om opplysningene er generelle og det ikke sies noe mer utdypende om sykdommen, legger nemnda til grunn at dette utgjør helseopplysninger, jf. GDPR artikkel 4 nr. 15. Innsamling og behandling av disse opplysningene, da A var ansatt i fylkeskommunen, er etter nemndas vurdering tillatt etter personopplysningsloven 2018 § 6 fordi det er nødvendige opplysninger for å ivareta arbeidsgivers plikter etter arbeidsmiljøloven kapittel 2. Hvorvidt disse fortsatt kan oppbevares kommer nemnda tilbake til nedenfor.

I tillegg til at kravet til behandlingsgrunnlag i GDPR artikkel 6 og artikkel 9 nr. 1, jf. personopplysningsloven 2018 § 6, må være oppfylt, må behandlingen av opplysningene også oppfylle de grunnleggende prinsippene i GDPR artikkel 5 for behandling av personopplysninger. Det følger av denne bestemmelsen blant annet at opplysningene skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål samt at de ikke viderebehandles på en måte som er uforenlig med disse formålene (bokstav b), at opplysningene må være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for (bokstav c) samt at opplysningene skal være korrekte og nødvendig oppdaterte (bokstav d).

A er opptatt av at opplysningene om ham i de aktuelle dokumentene er uriktige. As tidligere arbeidsgiver har ikke kommentert nærmere hvorvidt de mener opplysningene som er lagret er uriktige eller ikke. De er imidlertid opptatt av at dokumentene viser den saksbehandlingen som har vært før det ble inngått en avtale om fratreden og etterpå. Nemnda har, som Datatilsynet, ikke mulighet til å ta stilling til om de aktuelle opplysningene er riktige eller ikke, men finner ikke at det har noen avgjørende betydning. Etter nemndas vurdering fremgår det klart av dokumentene, sett i sammenheng, at A og enkelte andre ansatte ved X videregående skole har ulikt syn på de faktiske forholdene. Da er hensynet til korrekthet i artikkel 5 nr. 1 bokstav d, etter nemndas vurdering, tilstrekkelig ivaretatt.

Når det gjelder kravet i artikkel 5 nr. 1 bokstav b og c tar nemnda utgangspunkt i at det opprinnelige formålet med skolens behandling av As personopplysninger var personaladministrasjon og ivaretakelse av arbeidsgivers plikter og As rettigheter etter arbeidsmiljøloven kapittel 2. Etter at A avsluttet sitt arbeidsforhold ved X videregående skole i 2014, er ikke fortsatt lagring av personopplysningene begrunnet i det samme formålet. Formålet med fortsatt lagring av opplysningene er nå i hovedsak begrunnet i skolens behov for å dokumentere saksbehandlingshistorikken i saken, særlig ved eventuelle senere klager eller søksmål. I tillegg er det spørsmål om opplysningene kan benyttes i en senere søknadsprosess hvis A søker om ansettelse igjen hos samme arbeidsgiver. Det er særlig dette siste formålet A er bekymret for og som han oppgir som grunn til at han ønsker de nevnte dokumentene slettet.

Forordningen artikkel 6 nr. 4 inneholder nærmere bestemmelser om behandling av personopplysninger for andre formål enn det de var innhentet for. Det følger av denne bestemmelsen at viderebehandling for nye, forenlige formål, er tillatt uten et eget rettsgrunnlag for viderebehandlingen, se Prop.56 LS (2017-2018), pkt. 6.6. Dette fremgår også av fortalen til GDPR punkt 50:

«Behandling av personopplysninger for andre formål enn de formål personopplysningene opprinnelig ble samlet inn for, bør bare være tillatt dersom behandlingen er forenlig med formålene som personopplysningene opprinnelig ble samlet inn for. I et slikt tilfelle kreves det ikke et annet rettslig grunnlag enn det som ligger til grunn for innsamlingen av personopplysninger.»

Spørsmålet for nemnda blir etter dette om de nye formålene for å behandle personopplysningene er forenlig med det opprinnelige formålet, og forutsatt at de er forenlig, om de aktuelle opplysningene er nødvendige for disse formålene, jf. artikkel 5 nr. 1 bokstav b og c.

Kravet til forenlighet er ikke nytt, men fulgte også av personopplysningsloven 2000 § 11 bokstav c. Det som er sagt i forarbeidene til personopplysningsloven 2000 om innholdet i dette kravet gir derfor fortsatt relevant veiledning. I Ot.prp. nr. 92 (1998-1999) Om lov om behandling av personopplysninger, side 113, sier departementet:

«Hvor mye som skal til før det nye behandlingsformålet er uforenlig med det opprinnelige formålet for innsamlingen av opplysningene, kan ikke reguleres uttømmende i loven. Spørsmålet må vurderes konkret og individuelt. Sentrale momenter i vurderingen vil være om bruk av opplysningene innebærer ulemper for den registrerte, om bruken skiller seg sterkt fra den som lå til grunn for innsamlingen, eller om bruken stiller strengere krav til datakvalitet enn det opprinnelige innsamlingsformålet.»

GDPR artikkel 6 nr. 4 oppstiller en ikke-uttømmende liste av momenter som den behandlingsansvarlige skal ta i betraktning i vurderingen av forenlighet. Det skal tas hensyn til enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen (bokstav a), i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige (bokstav b), personopplysningenes art, især om særlige kategorier av personopplysninger behandles i henhold til artikkel 9, eller om personopplysninger om straffedommer og lovovertredelser behandles i henhold til artikkel 10 (bokstav c), de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte (bokstav d) og om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering (bokstav e).

Etter nemndas vurdering er arbeidsgivers fortsatte oppbevaring og bruk av de aktuelle opplysningene for å dokumentere saksbehandlingshistorikken samt for bruk i en eventuell ny søknadsprosess i fylkeskommunen, forenlig med det opprinnelige formålet. Nemnda vil begrunne sitt standpunkt nærmere i det følgende.

For det første er det nær forbindelse mellom de opprinnelige personaladministrative forholdene som begrunnet innsamling av personopplysningene og de nye forholdene som knytter seg til å dokumentere saksbehandlingen i det tidligere arbeidsforholdet, både ved en eventuell senere klage eller søksmål fra A samt ved en eventuell ny arbeidssøknad fra ham. Opplysningene skal fortsatt brukes i den samme sammenhengen, dvs. arbeidsgiver-/arbeidstakerrelasjonen. Det forhold at det har vært en vedvarende (over flere år) arbeidskonflikt som resulterte i at det ble inngått en avtale om fratreden mot økonomisk kompensasjon samt dokumenter som sier noe om bakgrunnen for dette, er opplysninger som er relevant for arbeidsgiver også i en eventuell ny søknadsprosess. De tidsnære dokumentene som ble til i denne perioden er relevante og av betydning for arbeidsgiver fortsatt å ha.

Etter at arbeidsforholdet med A ble avsluttet har A gått til søksmål mot fylkeskommunen og sendt prosessvarsel mot flere ansatte i fylkeskommunen. A har også en pågående sak mot X videregående skole i Diskrimineringsnemnda, der A hevder at han er utsatt for urettmessig forskjellsbehandling på grunn av alder. Dette i seg selv viser at det er behov for å oppbevare dokumenter som kan si noe om den tidligere historikken. At A er uenig i de beskrivelser som gis av han i disse dokumentene, endrer ikke dette behovet.

Det er videre slik at de personopplysningene det gjelder i svært liten grad representerer særlige kategorier av personopplysninger, som skal behandles i henhold til GDPR artikkel 9. Nemnda har, slik det fremkommer ovenfor, funnet noen få dokumenter som inneholder en svært begrenset andel helseopplysninger. For øvrig er det alt vesentlige av opplysningene i dokumentene ikke sensitive opplysninger.

Også de mulige konsekvensene av den tiltenkte viderebehandlingen for den registrerte er et relevant moment i vurderingen av om det nye formålet er forenlig det opprinnelige, jf. artikkel 6 nr. 4 bokstav d. Etter nemndas vurdering vil bruken av opplysningene til de nye angitte formålene være med å sikre en mer fullstendig opplysning av saksforholdet, både ved et eventuelt søksmål eller i en ny ansettelsesprosess. Om dette eventuelt skulle resultere i et dårligere resultat for den registrerte, sett fra hans ståsted, kan etter nemndas vurdering ikke tillegges avgjørende vekt i dette tilfelle.

Til slutt bemerker nemnda at alle dokumentene det gjelder er unntatt offentlighet. Det er bare de som har tjenstlig behov som har lesetilgang til de elektroniske dokumentene i ephorte og det manuelle arkivet befinner seg i et låst arkivskap i et låst arkivrom på skolen, for å hindre at andre enn de som har tjenstlig behov får tilgang. Etter nemndas vurdering er det derfor lav risiko for at disse opplysningene spres videre til uvedkommende.

Etter en samlet vurdering er nemnda kommet til at den nye bruken av opplysningene er forenlig med det opprinnelige personaladministrative formålet som begrunnet innsamling av personopplysningene, jf. GDPR artikkel 5 nr. 1 bokstav b. Nemnda mener også at opplysningene i de opplistede dokumentene er tilstrekkelig adekvate, relevante og nødvendig ut fra det oppgitte formålet, jf. artikkel 5 nr. 1 bokstav c. I og med at formålet med fortsatt lagring er å dokumentere den faktiske saksbehandlingen og sakshistorikken, er det nødvendig at alle opplysningene fortsatt lagres.

Slik Personvernnemnda ser det, er skolens behandling av As personopplysninger nødvendig for å ivareta de berettigede interessene arbeidsgiver har i å dokumentere sakshistorikken når det gjelder As arbeidsforhold, jf. GDPR artikkel 6 nr. 1 bokstav f. Nemnda har lagt vekt på at de arbeidsrettslige prosessene som A og fylkeskommunen har vært involvert i før og etter avslutning av arbeidsforholdet, senest As klage til Diskrimineringsnemnda, er nært knyttet sammen og springer ut av en arbeidskonflikt i det samme ansettelsesforholdet med samme parter, jf. artikkel 6 nr. 4 bokstav a og b. Nemnda viser også til at det er arbeidsgiveren som har bevisbyrden etter likestillings- og diskrimineringsloven § 37 for omstendigheter som gir grunn til å tro at diskriminering likevel ikke har skjedd.

Nemndas avgjørelse i denne saken innebærer ingen generell adgang til å oppbevare alle personopplysninger etter at et ansettelsesforhold er opphørt under henvisning til en eventuell mulig fremtidig prosess. I de tilfeller arbeidsgiver mener det er nødvendig å oppbevare slike opplysninger over lengre perioder, også etter at den registrerte har protestert mot behandlingen etter GDPR artikkel 21 nr. 1, forutsetter det, slik nemnda har lagt til grunn i PVN-2018-11, at arbeidsgiver konkret påviser en reell grunn. En slik konkret og reell grunn foreligger i denne saken, jf. det som er sagt om tidligere og løpende prosesser.

A får etter dette ikke medhold i sitt krav om sletting av dokumenter fra sin personalmappe.

Vedtaket er enstemmig.

Vedtak

Datatilsynets vedtak opprettholdes. A får ikke medhold sitt krav om sletting av dokumenter fra hans personalmappe ved X videregående skole/Y fylkeskommune.

Oslo, 18. mars 2019

Mari Bø Haugstad

Leder