Personvernnemnda kom til at det skal ilegges overtredelsesgebyr i saken, jf. personopplysningsloven § 46. Datatilsynet kom til at det ikke skulle ilegges overtredelsesgebyr til tross for at tilsynet konkluderte med at spredningen av personopplysningene var et brudd på personopplysningsloven. Personvernnemnda vurderte lovbruddets alvorlighetsgrad annerledes enn Datatilsynet. Regelbruddet bar preg av grov systemsvikt og fremsto som forsettlig eller grov uaktsom. Overtredelsen krenket grunnleggende personverninteresser for en større krets av personer og krenkelsen har medført utlevering av følsomme personopplysninger. Saken ble sendt tilbake til Datatilsynet for utmåling av gebyr.

Klager påklaget Datatilsynets behandling av sak vedrørende personopplysninger behandlet av Schibsted Payment (som driver betalings- og påloggingstjenesten SPiD) i forbindelse med elektronisk abonnement på Stavanger Aftenblad. Personvernnemnda kom til at Datatilsynets behandling av saken hadde vært tilstrekkelig og forsvarlig i samsvar med forvaltningsloven.

Personvernnemnda vurderte om Datatilsynets behandling av saken var tilstrekkelig og forsvarlig i samsvar med forvaltningsloven. Nemnda kom til at tilsynet har veiledet klager om dette temaet i tilstrekkelig grad til å kunne fastslå at saken var forsvarlig behandlet og for klager til å forstå reglene på området. Personvernnemnda kom til at Datatilsynet hadde oppfylt sin veiledningsplikt etter forvaltningsloven § 11.

Personvernnemnda kom til at saken må sendes tilbake til Datatilsynet slik at tilsynet kan fatte et realitetsvedtak i samsvar med det tilsynet i realiteten har konkludert med.

For så vidt gjaldt spørsmålet om behandlingsansvar for finansielle tjenester i PIB, ga nemnda klager medhold i at butikken er behandlingsansvarlig. For så vidt gjaldt vurderingen etter personopplysningsforskriften § 8-4 annet og tredje ledd av om butikk med PIB-tjenester anses som postlokale, ble klagen ikke tatt til følge. Det ble vist til resonnementet i PVN-2013-21. Særlige behov etter § 8-4 sjette ledd ble ikke vurdert.

Nemnda vurderte hvorvidt samtykke til innhenting av opplysninger er en betingelse for å få behandlet en bostøttesøknad, jf. bostøttelovens § 8. I dette spørsmålet delte nemnda i et flertall og et mindretall. Flertallet konkluderte med at man har krav på å få behandlet søknad om bostøtte uten å ha avgitt samtykke som omtalt i bostøtteloven § 8 annet ledd. Nemnda vurderte deretter hvorvidt Husbanken trenger konsesjon til å gjennomføre etterfølgende kontroll av hvorvidt vilkårene for bostøtte var oppfylt. Nemnda konkluderte med at det er hjemmel i bostøtteloven og at det ikke kreves konsesjon, jf. personopplysningsloven § 33 femte ledd. Når det gjelder innhenting av informasjon fra en tredjepart uten søkers samtykke, er nemndas flertall kommet til at Husbanken ikke har adgang til dette. Dissens 4-3. Klagen ble tatt delvis til følge.

Personvernnemnda viste til PVN-2013-28 NOKBIL og påpekte at landsomfattende helseregistre med mange opplysninger om den enkelte registrerte er spesialregulert i helseregisterloven § 8. Man kan derfor ikke omgå denne bestemmelsen ved å bruke helseregisterloven § 5 om konsesjon. Det fremgår av forarbeidene at det har vært lovgivers intensjon at slike registre skal opprettes i henhold til forskrift, noe som gir høringsprosess og transparens i behandlingen. Klagen førte ikke frem.

Skan-Kontroll påklaget avslag på konsesjon for analyse- og varslingstjeneste, samt vedtakspunktene 1, 2, 5, 6 og 7 i Datatilsynets vedtak. Personvernnemnda kom til at konsesjon ikke kunne innvilges på bakgrunn av innsendt materiale. Videre ga nemnda sin tilslutning til Datatilsynets vedtak 1, 2 og 5. Nemnda ga klager medhold i klagen over punkt 6. For så vidt gjaldt punkt 7 kom nemnda til at Datatilsynet måtte foreta en fornyet vurdering av overtredelsene og gebyrets størrelse.

Nemnda var enig med Datatilsynet. Rettslig grunnlag for slik landsomfattende, internasjonalt og permanent forskningsprosjekt er forskrift, jf. helseregisterloven § 8. Sentrale landsomfattende helseregistre er spesialregulert i § 8 og da kan man ikke omgå denne bestemmelsen ved å bruke § 5 om konsesjon. Det vises til forarbeidene.

Nemnda kom til at vedtakspunktene ikke hadde et presisjonsnivå og innhold som tilfredsstiller kravene til et enkeltvedtak, jf. § 2 b), som gjelder rettigheter eller plikter til en eller flere bestemte personer. Saken sendes tilbake til Datatilsynet slik at de påklagede vedtakspunktene skal bli formulert i samsvar med forvaltningsloven § 2 b) til fornyet behandling.