Personvernnemndas vedtak 16. september 2020 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder klage fra X Misjonsforsamling på Datatilsynets avgjørelse 19. mars 2020 hvor tilsynet ga misjonsforsamlingen en irettesettelse for å ha behandlet personopplysninger fra kameraopptak ulovlig, jf. artikkel 58 nr. 2 bokstav b.
Sakens bakgrunn
Saken har sin bakgrunn i en nabokonflikt (grensetvist) mellom A og hennes tidligere nabo B. B oppfattet seg trakassert av A og da hun i 2016, etter tre år, solgte huset og flyttet fra stedet, tok hun kontakt med et varamedlem (C) i styret for misjonsforsamlingen, hvor A var styremedlem. B orienterte vedkommende om det hun oppfattet som trakasserende oppførsel fra A. B oversendte også fem kameraopptak hvor A var avbildet og som B mente viste den trakasserende oppførselen. C involverte deretter D i saken, fordi han var formann misjonsforsamlingen.
D og C hadde flere møter med A i november og desember 2016 der kameraopptakene var et tema. Ett av filmklippene viser angivelig A der hun trekker opp en plante i hagen til naboen, vrir røttene av planten, og setter den tilbake i jorda. D og C stilte spørsmål ved As egnethet til å sitte i misjonsforsamlingens styre på bakgrunn av det opptakene viste. A trakk seg fra styret etter det hun oppfattet som press fra medlemmene fra ledelsen, da de varslet at de ville bringe saken inn for hele styret.
Partene er uenige om de faktiske forholdene i saken, herunder hvem som trakasserte hvem.
A kontaktet Datatilsynet i november 2018 og ba om hjelp for det hun oppfattet som svært urettferdig behandling av henne fra misjonsforsamlingen. Hun opplyste at B hadde sendt flere opptak fra sin private kameraovervåking hvor A er avbildet til misjonsforsamlingen, og at misjonsforsamlingen lagret disse opptakene.
Datatilsynet ba misjonsforsamlingen redegjøre for mottak, oppbevaring og bruk av de aktuelle kameraopptakene 22. august 2019 og purret på henvendelsen 22. oktober 2019. Misjonsforsamlingen, ved formann D, ga en redegjørelse i e-post til tilsynet 1. november 2019. Datatilsynet har også hatt telefonkontakt med begge parter etter dette for å få saken tilstrekkelig opplyst.
Datatilsynet har for sin avgjørelse lagt til grunn at filmopptakene ble oversendt til, og tatt imot av C og D, på vegne av misjonsforsamlingen. Opptakene ble lagret og ble sett av misjonsforsamlingens formann (D) og et annet styremedlem (C) i misjonsforsamlingen, samt forevist A og hennes ektemann. Kameraopptakene ble ikke vist til andre medlemmer og ble slettet, senest i løpet av 2017.
Datatilsynet sendte misjonsforsamlingen et varsel om vedtak om irettesettelse 21. januar 2020.
Misjonsforsamlingen ga sine merknader til varselet i e-post til Datatilsynet 2. mars 2020. A ga sine kommentarer i e-post til tilsynet 17. mars 2020.
Datatilsynet ila misjonsforsamlingen slik irettesettelse 19. mars 2020:
«1. Misjonsforsamlingen har ulovlig behandlet As personopplysninger ved å samle inn og lagre opptak fra privat kameraovervåking som avbilder henne. Virksomheten manglet rettslig grunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav f for denne behandlingen.
Vår hjemmel for vedtak om irettesettelse er personvernforordningen artikkel 58 nr. 2 bokstav b.».
Misjonsforsamlingen klaget på avgjørelsen 6. april 2020. Tilsynet vurderte klagen, men opprettholdt sin avgjørelse. Saken ble oversendt Personvernnemnda 9. juni 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. Ingen av partene har inngitt merknader.
Nemnda ba i brev 4. august 2020 Datatilsynet om en tilleggsuttalelse knyttet til tilsynets vurdering av hva en irettesettelse etter personvernforordningen artikkel 58 nr. 2 bokstav b forvaltningsrettslig skal vurderes som. Datatilsynet ga en slik tilleggsredegjørelse i brev 18. august 2020.
Saken ble behandlet i nemndas møte 7. september 2020. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg og Hans Marius Tessem. Sekretariatsleder Anette Klem Funderud var også tilstede.
Misjonsforsamlingens syn på saken i korte trekk
Det er C og D som må stå som ansvarlige i denne saken, ikke misjonsforsamlingen.
C, som da var varamedlem i styret, ble sommeren 2016 kontaktet av B, som mente seg trakassert av naboen A. C involverte deretter D fordi han var formann i misjonsforsamlingen. D kontaktet B som sendte ham fem filmopptak som viste noe av det B beskylte A for. D så på filmopptakene.
D og C ønsket ikke å involvere styret og kontaktet derfor A direkte for å høre hennes versjon av saken. De møtte A flere ganger 20. november 2016 og viste filmopptakene som A og ektemannen ønsket å se. Formålet med å bruke filmene var å vise A hva hun var beskyldt for, og hvordan dette var dokumentert, på en mest mulig skånsom måte. Det var da nødvendig å møte A og vise henne filmene. Ut over dette har ikke filmene blitt behandlet på noe vis, og heller ikke brukt «gjentatte ganger i konfrontasjon med klager», slik Datatilsynet legger til grunn. Det ble aldri truet med å vise filmopptakene til styret. As personvern er derfor ikke brutt. Datatilsynet la uriktige opplysninger til grunn i vurderingen av irettesettelsen. D og C truet aldri A med å vise opptaket for resten av misjonsstyret.
D og C møtte også A 12. desember 2016, der de spurte om hun kunne se denne saken i sammenheng med sin rolle som styremedlem i misjonsforsamlingen. D opplevde at A ikke fortalte hele sannheten og de så seg til slutt nødt til å ta saken opp i styret. Da trakk A seg som styremedlem.
E-postkorrespondansen mellom D og A viser at det hele tiden har vært en god tone dem imellom.
Filmene ble ikke vist eller spredd til andre. C slettet e-posten med kameraopptakene mot slutten av 2016 eller tidlig 2017. D slettet e-posten med filmopptakene i løpet av 2017.
Datatilsynet har behandlet saken etter personvernforordningen som ble en del av norsk lov fra 20. juli 2018, dvs. om lag 20 måneder etter det påståtte bruddet på As personvern fant sted. Det stilles spørsmål til tilsynets lovvalg.
Datatilsynet tar i vedtaket feil i vurderingen av regelverket. Tilsynet konkluderer først med at misjonsforsamlingen hadde en berettiget interesse i å innhente opplysningene, men fastslår deretter at formålet kunne vært nådd på en mindre inngripende måte enn ved å innhente og lagre opptakene fra den private kameraovervåkingen. Det er innbyrdes motstrid mellom setningene.
Under enhver omstendighet påberopes reglene om rettsvillfarelse. D og C handlet i god tro, med de beste hensikter for alle parter og var ikke oppmerksomme på at handlingene kunne være i strid med gjeldende norsk lov.
As syn på saken i korte trekk
B sendte de private filmopptakene til D og C etter at B hadde flyttet fra boligen. Hun kom med uriktige påstander om A, som D og C adopterte. D og C brukte deretter filmopptakene mot henne og stilte spørsmål ved hennes egnethet til å sitte i styret og truet med å vise filmklippene til resten av styret. Hun ble presset ut av styret i misjonsforsamlingen av styrets formann og varamedlem, som kom på døren hennes. Hun følte seg tvunget til å se filmopptakene som D og C kom med. Fremvisningen av filmopptakene til henne og hennes ektemann utgjorde ulovlig spredning av hennes personopplysninger.
A brakte selv saken inn for styret, noe referatet fra styremøte 4. september 2017 bekrefter.
A og hennes ektemann vet at filmopptakene ble vist til andre og spredd over hele lokalsamfunnet, noe hun holder C, D og misjonsforsamlingen ansvarlig for.
D brukte også innholdet i filmopptakene mot henne i et møte med topplederne i misjonsorganisasjonen, uten at filmene ble vist.
D og C fremstiller saken på en helt annen måte, og forsøket på å pynte på det de har gjort er krenkende, inngripende og ødeleggende. Hun og hennes ektemann ble skviset ut av et kristent fellesskap og samfunn og vurderer å flytte, selv om de har bodd på X hele livet. De opplever å bli satt i offentlig gapestokk i det lille samfunnet der alle kjenner alle. Hun opplever etter dette at livet er ødelagt.
Datatilsynets vurdering
En irettesettelse er et korrigerende tiltak Datatilsynet har myndighet til å beslutte etter personvernforordningen artikkel 58 nr. 2 bokstav b. Irettesettelsen som er gitt i dette tilfellet er å anse som et enkeltvedtak som gir sakens parter klagerett etter forvaltningsloven.
Innsamlingen, lagring og sletting av de fem filmopptakene skjedde før personvernforordningen trådte i kraft 20. juli 2018. Saken skal vurderes etter personvernforordningen ettersom denne gjaldt på avgjørelsestidspunktet 19. mars 2020, og denne saken ikke dreier seg om et vedtak om overtredelsesgebyr. Dette følger forutsetningsvis av overgangsreglene i personopplysningsloven 2018 § 33, jf. Personvernnemndas vedtak PVN-2018-14. Dette har også støtte i forarbeidene til ny personopplysningslov.
Å innhente og lagre filmklipp der enkeltpersoner er avbildet utgjør en behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 2.
Datatilsynet legger til grunn at D og C som henholdsvis styreleder og styremedlem opptrådte på vegne av misjonsforsamlingen i saken ettersom formålet var å vurdere klagers egnethet til å sitte i styret. Misjonsforsamlingen er derfor behandlingsansvarlig, jf. personvernforordningen artikkel 4 nr. 7.
Det legges videre til grunn at filmene ikke har blitt spredd til andre enn D og C, og at de kun er vist til A og hennes ektemann under ett av møtene mellom de fire.
Det aktuelle behandlingsgrunnlaget i denne saken er personvernforordningen artikkel 6 nr. 1 bokstav f som fastsetter at en virksomhet kan behandle personopplysninger dersom det er nødvendig for å ivareta en berettiget interesse som veier tyngre enn hensynet til den enkeltes personvern.
Spørsmålet er om misjonsforsamlingen hadde et lovlig behandlingsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav f da de innhentet og lagret klippene fra Bs private kameraovervåking.
Det første vilkåret som må være oppfylt for at behandling skal være lovlig er at misjonsforsamlingen hadde en «berettiget interesse» i å behandle opplysningene. Misjonsforsamlingen har redegjort for at klippene ble brukt med det formål å vurdere As egnethet til sitt verv i styret. Styreverv forutsetter tillitt i den aktuelle organisasjonen, og det vil være en viktig interesse for virksomheter å kunne innhente relevante personopplysninger for å vurdere styremedlemmers egnethet. Misjonsforsamlingen hadde altså en «berettiget interesse» i å innhente opplysningene.
Det neste vilkåret er om den aktuelle behandlingen av klagers personopplysninger var «nødvendig» for å oppnå formålet. Misjonsforsamlingen innhentet og lagret klipp fra private overvåkingskamera som blant annet avbilder A i en vanskelig situasjon preget av en lengre nabokonflikt. Filmklippene ble deretter vist til klager én gang 20. november 2016. Innholdet i filmene ble deretter diskutert mellom representantene for misjonsforsamlingen og A under et møte senere på dagen den 20. november, og deretter på møtet 12. desember 2016 som endte med at A trakk seg fra styret.
Datatilsynet mener at misjonsforsamlingen kunne oppnådd formålet på en mindre inngripende måte enn ved å innhente og lagre opptakene. Filmklippene stammer fra privat kameraovervåking uten forbindelse med misjonsforsamlingens virksomhet, og A hadde derfor ingen rimelig forventning om at misjonsforsamlingen skulle behandle disse personopplysningene om henne. Opplysningene er av en slik privat karakter at det hadde vært tilstrekkelig å dokumentere innholdet skriftlig, for deretter å diskutere dette med C før eventuell behandling i styret. Misjonsforsamlingens innsamling og lagring av filmklippene utgjorde derfor en mer inngripende behandling av personopplysninger enn det som var nødvendig for å vurdere As egnethet.
Uavhengig av om man anser nødvendighetskravet oppfylt eller ikke, vil hensynet til klagers personvern veie tyngre enn virksomhetens behov for å samle inn og lagre opptakene på grunn av deres private karakter, jf. artikkel 6 nr. bokstav f (interesseavveiningen).
Det foreligger ingen «innbyrdes motstrid» i tilsynets vurdering, slik Misjonsforsamlingen påstår.
Vilkårene for gyldig behandlingsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav f er ikke oppfylt.
Misjonsforsamlingen kan ikke høres med sin anførsel om rettsvillfarelse.
På bakgrunn av at opplysningene nå er slettet og oppførselen fra misjonsstyret er opphørt finner Datatilsynet det mest hensiktsmessig å utstede en irettesettelse til misjonssamlingen, jf. personvernforordningen artikkel 58 nr. 2 bokstav b.
Personvernnemndas vurdering
Innsamlingen, lagring og sletting av de fem filmopptakene skjedde før personvernforordningen trådte i kraft 20. juli 2018 og misjonsforsamlingen har anført at saken skal behandles etter personopplysningsloven slik den lød på handlingstidspunktet.
Personopplysningsloven 2018 har overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et gunstigere resultat for den behandlingsansvarlige. I denne saken er det ikke spørsmål om ileggelse av overtredelsesgebyr, og det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.
Dette er også omtalt i forarbeidene til personopplysingsloven 2018, Prop. 56 LS (2017-2018)
side 196, hvor departementet blant annet uttaler følgende:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
For ordens skyld bemerkes at når det gjaldt mottak, oppbevaring og bruk av opptak fra kameraovervåking, var dette etter 2000-loven regulert av § 8 bokstav f. De samme materielle reglene er nå gitt i personvernforordningen artikkel 6 nr. 1 bokstav f.
I likhet med Datatilsynet legger nemnda til grunn at misjonsforsamlingen er behandlingsansvarlig for den bruken og lagringen av de private kameraopptakene de mottok fra B og som inneholdt opptak av A, jf. personvernforordningen artikkel 4 nr. 2 og nr. 7. Slik nemnda forstår faktum var ikke selve innhentingen av kameraopptakene initiert av misjonsforsamlingen. B initierte selv utlevering av sine kameraopptak og er dermed behandlingsansvarlig for den behandling av personopplysninger som det representerer. Den behandlingen av personopplysninger som utlevering av kameraopptakene innebærer utgjør ikke en del av denne saken. Nemnda legger til grunn at D og C opptrådte på vegne av misjonsforsamlingen og også hadde fullmakt til å gjøre det i kraft av sine stillinger i styret. Nemnda viser til Datatilsynets begrunnelse som tiltres.
Det neste spørsmålet er hva en «irettesettelse», jf. personvernforordningen artikkel 58 nr. 2 bokstav b, skal anses som, rettslig sett. Dersom irettesettelsen skal gi misjonsforsamlingen klagerett, må irettesettelsen anses som et enkeltvedtak, jf. personopplysningsloven § 22 andre ledd, jf. forvaltningsloven § 2.
Enkeltvedtak er definert i forvaltningsloven § 2 første ledd bokstav a og b. Etter bokstav a er et vedtak «en avgjørelse som treffes under utøving av offentlig myndighet og som generelt eller konkret er bestemmende for rettigheter eller plikter til private personer». Spørsmålet er altså om en avgjørelse («irettesettelse») fra Datatilsynet hvor det konstateres at det har skjedd et brudd på personopplysningsloven, men ikke gis pålegg eller ilegges overtredelsesgebyr, blant annet fordi den ulovlige behandlingen har opphørt, er en reaksjon som er bestemmende for rettigheter og plikter for den behandlingsansvarlige.
I Prop. 62 L (2015-2016) «Endringer i forvaltningsloven mv. (administrative sanksjoner mv.)» pkt. 15.5.1 omtaler Justisdepartementet formelle advarsler:
«Enkelte forvaltningsorganer har myndighet til å gi formelle advarsler etter uttrykkelig grunnlag i lov eller forskrift. Slike advarsler betegnes i lovgivningen i hovedsak som advarsler, men også andre betegnelser benyttes, for eksempel «skriftlig irettesettelse» (straffegjennomføringsloven § 40 annet ledd bokstav a). Slike advarsler kan deles inn i to hovedkategorier, men det kan være glidende overganger mellom kategoriene.
For det første finnes bestemmelser hvor advarselen fremstår som et vilkår for en (eventuell) senere reaksjon. For det andre finnes bestemmelser hvor advarselen fremstår som en selvstendig reaksjon mot lovbrudd. At advarselen er ment som en mer selvstendig reaksjon fremgår gjerne av sammenhengen i lovverket, og vil ofte være fremhevet i lovens forarbeider»
Videre uttaler departementet:
«Begrepet formell advarsel har som nevnt ikke noen entydig definisjon i lovgivningen i dag. Hvorvidt noe som av forvaltningen kalles advarsel eller med beslektede betegnelser må regnes som et enkeltvedtak etter definisjonen i forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, beror på en nærmere vurdering av advarselens innhold og virkninger. Så langt en bygger på den definisjonen av formell advarsel som er lagt til grunn foran, må utgangspunktet være at formelle advarsler regnes som enkeltvedtak. Departementet peker særlig på at slike advarsler innebærer en konstatering av at loven er brutt. Ofte vil det samtidig være hjemmel for sanksjoner mot den aktuelle typen lovbrudd, enten i form av administrative sanksjoner eller straff. Dermed vil det kunne innebære en betydelig belastning å få en formell advarsel rettet mot seg. I enkelte tilfeller er det i særlovgivningen tatt uttrykkelig stilling til om advarselen skal regnes som et enkeltvedtak, jf. for eksempel på den ene side hundeloven § 18 femte ledd siste punktum (ikke enkeltvedtak) og på den andre side helsepersonelloven § 56 siste ledd og apotekloven § 8-4 annet ledd (enkeltvedtak).
Selv om en advarsel ikke skulle bli regnet som enkeltvedtak, kan det gjelde visse krav til saksbehandlingen. For eksempel har Sivilombudsmannen i enkelte saker om ikke-bindende uttalelser stilt visse krav til kontradiksjon, se Somb-2008-48.»
Personvernforordningen artikkel 58 nr. 2 skiller mellom ulike «korrigerende tiltak». Etter bokstav a kan tilsynsmyndigheten utstede advarsler om at en planlagt behandlingsaktivitet sannsynligvis er i strid med forordningen. Etter bokstav b kan tilsynsmyndigheten utstede irettesettelser og i de øvrige bokstavene c – j er det gitt hjemmel for å gi ulike pålegg, samt ileggelse av overtredelsesgebyr. Det er tilsynsmyndigheten som i første hånd avgjør hvilket korrigerende tiltak som er hensiktsmessig, når tilsynet finner at personopplysninger er behandlet i strid med forordningen. Når Datatilsynet i dette tilfellet har konkludert med at den behandlingsansvarlige ikke hadde behandlingsgrunnlag for sin bruk av de mottatte kameraopptakene, kunne Datatilsynet velge hensiktsmessig reaksjon; irettesettelse eller overtredelsesgebyr. Det forhold at irettesettelsen innebærer en formell konstatering av at misjonsforsamlingen har behandlet personopplysninger ulovlig, tilsier at irettesettelsen anses som et enkeltvedtak slik at misjonsforsamlingen gis rett til å få grunnlaget for irettesettelsen prøvd i klageinstansen.
Tidligere konstaterte overtredelser av personvernforordningen kan også få betydning for ileggelse av overtredelsesgebyr ved gjentatte lovbrudd, jf. personvernforordningen artikkel 83 nr. 2 bokstav e. Også dét tilsier at en slik formell konstatering av at det har skjedd lovbrudd, som irettesettelsen i denne saken innebærer, anses som et enkeltvedtak.
Belastningen en formell irettesettelse medfører og hensynet til den behandlingsansvarliges rettsikkerhet tilsier at den behandlingsansvarlige gis anledning til å klage på en utstedt irettesettelse. Dette støttes også av at Datatilsynet selv har ansett irettesettelsen som et vedtak og har gitt opplysninger til behandlingsansvarlige om retten til å klage.
Nemnda legger etter dette til grunn at Datatilsynets utstedte irettesettelse overfor den behandlingsansvarlige, er et enkeltvedtak som gir klagerett etter forvaltningsloven.
Nemnda går så over til å vurdere om misjonsforsamlingens behandling av personopplysninger, innsamlet ved bruk av kameraovervåking, har skjedd i tråd med reglene i personvernforordningen.
Innledningsvis bemerker nemnda at Datatilsynet omtaler misjonsforsamlingens mottak av kameraopptakene som innsamling av personopplysninger. Det vil i så fall forutsette at misjonsforsamlingen er behandlingsansvarlig også for innsamlingen av opptakene. Nemnda anser ikke dette som en treffende beskrivelse, jf. nemndas vurdering ovenfor hvor det er lagt til grunn at overleveringen av opptakene var initiert av B. Uansett vil misjonsforsamlingens oppbevaring og bruk av opptak fra kameraovervåking, der identifiserbare enkeltpersoner er avbildet, være en behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 2. For denne behandlingen av personopplysninger er misjonsforsamlingen behandlingsansvarlig.
Personvernforordningen artikkel 6 nr. 1 krever at all behandling av personopplysninger har et lovlig behandlingsgrunnlag. Nemnda er enig med Datatilsynet i at det eneste mulige behandlingsgrunnlaget for misjonsforeningens behandling av personopplysningene i dette tilfellet er artikkel 6 nr. 1 bokstav f (nødvendig for å ivareta en berettiget interesse).
Artikkel 6 nr. 1 bokstav f gir adgang til å behandle opplysninger på grunnlag av en interesseavveining. Lovens krav om at behandlingen må være nødvendig for formål knyttet til den behandlingsansvarliges berettigede interesse, innebærer at interessen som ivaretas av den behandlingsansvarlige må være lovlig og reelt begrunnet i virksomheten. Både rettslige, økonomiske og ikke-materielle interesser kan være berettigede, jf. Personvernrådets «Guidelines 3/2019 on processing of personal data through video devices», avsnitt 18. Nødvendighetsvilkåret innebærer videre et krav om at formålet ikke kan oppnås på en mindre personverninngripende måte.
Den berettigede interessen den behandlingsansvarlige har, skal så veies mot den registrertes interesser og grunnleggende rettigheter og friheter. Dersom disse interessene anses å gå foran og kreve vern av personopplysningene, vil den behandlingsansvarliges berettigede interesse måtte vike.
Som også påpekt av Datatilsynet i tilsynets vedtak er Datatilsynets, og dermed også Personvernnemndas, oppgave å føre kontroll etter personopplysningsloven og forordningen. Det betyr at det er misjonsforsamlingens bruk av de mottatte filmopptakene fra kameraovervåkingen som er til behandling i denne saken, ikke konflikten mellom A og B, eller konflikten mellom A og misjonsforsamlingen, herunder hvorvidt det var tilstrekkelig grunnlag for å be A om å trekke seg fra styret i misjonsforsamlingen.
Nemnda legger til grunn at formålet med å bruke de tilsendte filmopptakene var å avklare riktigheten av innholdet i det varselet misjonsforsamlingen hadde mottatt om trakasserende oppførsel fra As side. Misjonsforsamlingen anså det nødvendig å undersøke de faktiske forholdene knyttet til varselet for eventuelt å vurdere As egnethet til sitt verv i styret. Styreverv forutsetter tillit i den aktuelle organisasjonen, og det er i utgangspunktet en berettiget interesse å innhente og bruke personopplysninger som kan si noe om styremedlemmers egnethet til vervet. I dette tilfellet var formannen og et varamedlem til styret blitt gjort kjent med alvorlige anklager om trakassering som skulle være utført av et av forsamlingens styremedlemmer. Det var derfor nødvendig å undersøke disse anklagene nærmere og nemnda er enig med Datatilsynet i at misjonsforsamlingen derfor hadde en berettiget interesse i å få avklart hvorvidt beskrivelsen av den trakasserende oppførselen var riktig.
Spørsmålet for nemnda er om misjonsforsamlingens lagring og bruk av de mottatte filmopptakene var nødvendig for å ivareta denne berettigede interessen hos misjonsforsamlingen eller om hensynet til A og hennes rett til personvern går foran og krever vern av opplysningene.
I denne interesseavveiningen har nemnda delt seg i flertall og et mindretall.
Nemndas flertall bestående av medlemmene Haugstad, Borvik, Graasvold, Coll, Blinkenberg og Tessem har kommet til at misjonsforsamlingen hadde behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav f for å lagre og se på de mottatte filmopptakene.
Etter flertallets syn var det en forsvarlig vurdering av misjonsforsamlingens leder og varastyremedlem at de valgte å se på de tilsendte filmopptakene etter å ha mottatt varsel om trakasserende oppførsel fra en av styrets medlemmer. Det representerer en forsvarlig behandling av det mottatte varselet at de sørger for å avklare om opptaket viser handlinger som det var grunn til å ta opp med A. Etter flertallets vurdering var dette en nødvendig avklaring før D og C tok stilling til hva de skulle gjøre videre med varselet. Flertallet har forståelse for at dette var en ubehagelig situasjon for A, men situasjonen ville mest sannsynlig ikke vært mindre ubehagelig om hun ble presentert for helt udokumenterte anklager. I og med at filmopptaket deretter kun ble vist til A og hennes ektemann (som var med etter As eget ønske), har det ikke skjedd noen videre spredning av opplysningene til andre enn de som allerede var kjent med innholdet i opptakene. Den personvernkrenkelsen dette representerer for A anses derfor å være liten, hvilket må tillegges vekt for den interesseavveiningen som skal gjøres etter artikkel 6 nr. 1 bokstav f.
Etter flertallets syn var misjonsforsamlingens lagring og bruk av de mottatte filmopptakene nødvendig for å ivareta den berettigede interessen hos misjonsforsamlingen og hensynet til As personvern går etter en avveining av de ulike interessene ikke foran.
I og med at behandlingen etter flertallets syn var lovlig, foreligger det ikke grunnlag for å utstede noen irettesettelse.
Nemndas mindretall bestående av medlemmet Hannemyr er enig med Datatilsynet i at misjonsforsamlingens lagring og bruk av de oversendte kameraopptakene ikke hadde behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav f og dermed representerte en ulovlig behandling av personopplysninger.
Bestemmelsen i personvernforordningen artikkel 6 nr. 1 bokstav f inneholder tre kumulative vilkår som alle må være oppfylt for at behandling av personopplysninger etter dette grunnlaget skal være lovlig. Behandlingen må være «nødvendig», behandlingsansvarlig må ha en «berettiget interesse» for behandlingen og det må foretas en endelig interesseavveining mellom behandlingsansvarliges interesser og den registrertes «interesser eller grunnleggende rettigheter og friheter».
Mindretallet mener nødvendighetsvilkåret må forstås strengt. I fortalen til personvernforordningen punkt 39 heter det at «personopplysninger bør behandles bare dersom formålet med behandlingen ikke med rimelighet kan oppfylles på annen måte». Det innebærer at behandlingen kun er nødvendig dersom behandlingsansvarlig ikke har andre rimelige alternativer. Det er ikke tilfellet her. En slik tolkning av «nødvendig» samsvarer med dataminimeringsprinsippet som utrykkes i forordningen artikkel 5 nr. 1 bokstav c, som slår fast at behandling av personopplysninger skal være «begrenset til det som er nødvendig for formålene» de behandles for». Ordlyden «nødvendig» benyttes her også, men er supplert med «begrenset til» som antyder at behandling kun er lovlig der dette er den eneste måten å oppnå formålet på.
PVN-2015-13 handlet om en taxisentral som tok opptak av telefonsamtaler mellom taxisjåfør og taxisentralen med det formål å forhindre upassende og sjikanøse oppringninger fra sjåfør til sentralen. I nødvendighetsvurderingen la nemnda vekt på om det kunne vært «iverksatt andre og mindre inngripende virkemidler for å få bukt med problemet», og konkluderte med at behandlingen ikke var «nødvendig».
I likhet med Datatilsynet mener mindretallet at misjonsforsamlingen kunne oppnådd det samme formålet på en mindre inngripende måte enn å motta og bruke de private filmopptakene. De kunne bedt om en skriftlig redegjørelse for anklagene fra B og denne redegjørelsen kunne deretter vært forelagt A til uttalelse. Filmopptakene burde ikke blitt brukt av noen andre enn B, uten at de først var gjennomgått av A som deretter eventuelt måtte ha samtykket til at de kunne vises til andre.
Behandlingsansvarlig har naturligvis en egeninteresse av at resultatet av den interesseavveining som må gjøres, fører til at personopplysningene kan behandles. Dersom det ikke er klare rammer for hvordan interesseavveiningen skal foretas, kan derfor behandlingsansvarliges egeninteresse medføre at personopplysninger behandles i større utstrekning eller på en mer inngripende måte enn hva som er lovlig. Det er derfor viktig at rammene for interesseavveiningen følger av lov, rettspraksis og andre relevante rettskilder.
Artikkel 29-gruppen (Opinion WP 217, s. 30) skriver dette om interesseavveiningen («berettiget interesse» er på engelsk «legitimate interest»):
«Finally, it is important to note that unlike the case of the controller’s interests, the adjective ‘legitimate’ is not used here to precede the ‘interests’ of the data subjects. This implies a wider scope to the protection of individuals’ interests and rights. Even individuals engaged in illegal activities should not be subject to disproportionate interference with their rights and interests.»
Det er derfor ikke snakk om en ren balanseøvelse. Selv om den registrerte har oppført seg klanderverdig, så er ikke dette i seg selv en berettiget interesse som hjemler overstyring av den registrertes rettigheter og interesser.
Når det gjelder arten av personopplysningene har EU-domstolen uttalt at balansen i interesseavveiningen blant annet beror på «the nature of the information in question and its sensitivity for the data subject’s private life» (jf. C-131/12). I dette tilfellet dreide det seg om personopplysninger som er av privat og personlig karakter. Den bitre nabokonflikten mellom A og B hadde ingen ting med As styreverv i misjonsforsamlingen å gjøre. Det framgår også at de to partene i konflikten gjensidig beskyldte hverandre for trakassering. Det er umulig for andre å vite hvem som rent faktisk gjorde hva og når, men det later til at misjonsstyret tilla dokumentasjonen i form av overvåkningsvideoene de fikk overlevert fra B en stor vekt når de ba henne om å trekke seg fra styret i misjonsforsamlingen. Selv om overvåkningsvideoen bare ble sett av noen få personer førte behandlingen av den etter alt å dømme til folkesnakk og eksklusjon fra det kristne fellesskapet i bygda. Også dette er en betydelig ulempe for A.
I Avfallsservice-dommen (Rt-2013-143, avsnitt 60), uttalte Høyesterett at «ved vurderingen av hvilke ulemper personopplysningene har hatt for A, må det også ses hen til om gjenbruken av opplysningene lå innenfor hans rimelige forventninger om hva opplysningene kunne brukes til». A hadde neppe forventet at private opptak innsamlet av Bs overvåkingskamera skulle bli benyttet i en prosess internt i misjonsforsamlingen. Misjonsforsamlingens bruk av opptakene utgjør også av denne grunn en stor ulempe for A.
At misjonsforsamlingen ikke var klar over at deres bruk av filmopptakene var ulovlig etter personvernforordningen, er ikke et forhold som gjør handlingen unnskyldelig etter mindretallets vurdering. De behandlingsansvarlige burde satt seg inn i reglene, før de valgte å benytte private overvåkingsopptak på denne måten.
Datatilsynet har sanksjonert den ulovlige behandlingen av As personopplysninger ved å gi en irettesettelse, jf. personvernforordningen artikkel 58 nr. 2 bokstav b. Dette er en svært mild reaksjonsform. Mindretallet ønsker at Datatilsynets vedtak opprettholdes.
Vedtaket avsies i tråd med flertallets syn.
Vedtak
Datatilsynets vedtak om irettesettelse omgjøres. Misjonsforsamlingen hadde behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav f for å lagre og se på de mottatte filmopptakene.
Oslo, 16. september 2020
Mari Bø Haugstad
Leder