Personvernnemndas avgjørelse av 31. mai 2006 (Jon Bing, Gro Hillestad Thune, Leikny Øgrim, Tom Bolstad, Jostein Halgunset, Siv Bergit Pedersen, Hanne I Bjurstrøm)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets beslutning om å avslutte sak om publisering av personopplysninger på nettstedet www.musa.no.
2 Saksgang
Datatilsynet mottok klage fra en privatperson den 19.6.2005. Henvendelsen gjaldt klage på publisering av personopplysninger på hjemmesiden www.musa.no. I brev av 30.6.2005 ba Datatilsynet ansvarlig person for det aktuelle nettstedet om en redegjørelse for saken. Etter purring den 26.10.2005 fikk tilsynet svar den 12.11.2005. (Tilsynet hadde problemer med å finne riktig adresse og fikk utgående brev i retur to ganger).
Datatilsynet mottok et brev fra et familiemedlem av klager datert 13.11.2005. Den 16.11.2005 besluttet tilsynet å avslutte saken. I brev av 1.12.2005 ba klager om ny redegjørelse, subsidiært at saken oversendes til Personvernnemnda.
Nemnda mottok saken fra Datatilsynet den 13.1.2006. Klager ble orientert om dette i brev fra nemnda den 17.1.2006. Klager kommenterte saken i brev til nemnda av 29.1.2006.
3 Faktum
Klagen gjelder Datatilsynets beslutning om å avslutte en sak vedrørende publisering av personopplysninger på nettstedet www.musa.no. Dette er hjemmesiden til Musikalske anlegg AS. Svært personlige opplysninger om klager selv og vedkommendes familie var tilgjengelig på nettstedet i siste halvdel av juni 2005. Opplysningene ble fjernet fra nettstedet da behandlingsansvarlige ble kjent med at publiseringen kom i konflikt med loven. En avidentifisert versjon av opplysningene er imidlertid tilgjengelig ved søk i Google.
Opplysningene som var publisert på nettstedet fremkom i form av en e-post som i sin helhet var publisert på nettsiden. Avsender var behandlingsansvarlig for nettstedet og mottaker var en forfatter. Opplysningene i e-posten var av svært personlig karakter. Klager reagerer særlig på enkelte påstander i e-posten som gjelder klagers avdøde svigerfar.
Da Datatilsynet skulle kontrollere klagers påstander, var nettstedet midlertidig ute av drift. Datatilsynet kontaktet behandlingsansvarlige for nettsiden og vedkommende bekreftet at nettsiden var blitt fjernet straks han ble kjent med at publiseringen kom i konflikt med loven (og før Datatilsynets henvendelse). Datatilsynet mottok deretter en henvendelse fra et familiemedlem av klager, som er direkte berørt av opplysningene. Familiemedlemmet opplyste om at vedkommende ikke ønsket å gå videre med saken, og bekreftet at vedkommende var komfortabel med at personopplysningene var fjernet. Datatilsynet besluttet deretter å avslutte saken.
Datatilsynet ba i utgangspunktet om en redegjørelse for lovligheten av publiseringen i henhold til personopplysningslovens krav. Tilsynet har imidlertid ikke fastholdt dette kravet, da opplysningene er blitt fjernet. Det forhold at ansvarlig for nettstedet ikke har måttet redegjøre for forholdet til lovverket er også påklaget.
For øvrig gjorde ikke tilsynet klager oppmerksom på klageadgangen i samsvar med forvaltningslovens regler. Dette forhold er påpekt av klager. Datatilsynet har på sin side beklaget saksbehandlingsfeilen og legger til grunn at feilen ikke har virket inn på vedtakets innhold, jf forvaltningsloven § 41.
4 Anførslene
Klager anfører prinsipalt at Datatilsynet avsluttet saken på et for tidlig tidspunkt. Klager mener at det ikke er tilstrekkelig å henlegge saken kun ved å konstantere at teksten er fjernet fra nettstedet. Klager viser til at opplysningene som ble publisert, er av sensitiv karakter, og at de inneholder usannheter. Vedkommende viser til at publiseringen har medført en stor belasting for klager med familie ved at de har måttet tilbakevise feilaktige påstander. Klager finner det for øvrig ikke troverdig at ansvarlig for nettstedet var uvitende om at publiseringen muligens var i strid med loven.
E-posten omhandler klagers avdøde svigerfar, som var en anerkjent musiker. Når det gjelder avdøde personer, er klager av den oppfatning at det må stilles spesielt strenge personvernkrav til det som publiseres.
Klager er ikke enig med Datatilsynet i at opplysningene ble fjernet "umiddelbart" etter at ansvarlig for nettstedet ble gjort oppmerksom på at publiseringen kunne være lovstridig. Klager kan ikke med sikkerhet si hvor lenge opplysningene var tilgjengelig på Internett, men klager har registrert at de lå publisert mellom 16.6. og 25.6.2005. Vedkommende mener at det avgjørende moment i alle tilfelle er at opplysningene tilstrekkelig lenge var tilgjengelig på Internett til å forvolde skade for de omtalte.
Videre vil klager påklage det forhold at ansvarlig for nettstedet ikke har måttet svare på Datatilsynets spørsmål om forholdet til lovverket på en tilfredsstillende måte. Det vises til at den ansvarlige ikke besvarte de konkrete spørsmål Datatilsynet stilte i brev av 30.6.2005. Klager mener at det å unnlate å pålegge vedkommende å svare på spørsmålene, åpner for at enhver kan publisere personopplysninger på Internett uten at dette får konsekvenser. Klager oppfatter forholdet slik at tilsynet står maktesløs til å følge opp de spørsmål tilsynet selv har stilt, i det øyeblikk en behandlingsansvarlig bekrefter at opplysningene er fjernet. Klager finner det vanskelig å akseptere at tilsynet har en så sterkt begrenset myndighet.
Klager påpeker det forhold at det fra tilsynets side ble begått en saksbehandlingsfeil, ved at klager ikke ble gjort oppmerksom på klageadgangen i samsvar med forvaltningslovens regler. Klager mener at Datatilsynet ikke uten videre kunne gå ut i fra at klager ville vurdere sakens utfall som tilfredsstillende.
Når det gjelder den henvendelse Datatilsynet mottok fra klagers familiemedlem, anfører klager at henvendelsen ikke bør vektlegges ved avgjørelsen av denne saken. Under enhver omstendighet mener klager at henvendelsen ikke må ses på som noen form for aksept av det forholdet som har funnet sted. Klager viser også til at tilsynet ikke gjorde klager oppmerksom på henvendelsen da tilsynet avsluttet saken.
5 Datatilsynets vurdering
Etter tilsynets vurdering er en unnlatelse av å bruke kompetanse i denne saken et vedtak som kan påklages til Personvernnemnda.
Datatilsynet anfører at tilsynet ikke har sanksjonsmuligheter knyttet til eventuell skade publiseringen har medført for klager. Tilsynet har henvist klager til å søke om erstatning i medhold av personopplysningslovens § 49. Datatilsynets viser til at tilsynets påleggskompetanse er begrenset til vedtak om opphør eller endring av ulovlige behandlinger, jf personopplysningsloven § 46. Etter Datatilsynets vurdering opphørte den ulovlige behandlingen i denne saken når innholdet på hjemmesiden ble fjernet - noe som skjedde før Datatilsynet henvendte seg til den behandlingsansvarlige.
Datatilsynet fant det ikke nødvendig eller hensiktsmessig å pålegge ansvarlig for nettstedet å redegjøre for forholdet til personopplysningsloven - slik tilsynet hadde bedt om i brev av 30.6.2005 - når det krenkende innholdet var fjernet. Etter Datatilsynets oppfatning tilsier det faktum at innholdet umiddelbart ble fjernet, en form for aksept av at publiseringen muligens kom i konflikt med lovverket. I tillegg mener Datatilsynet at ansvarlig for nettstedet er informert om at eventuell fremtidig publisering av personopplysninger i utgangspunktet skal baseres på samtykke, og vurderes i forhold til grunnkravene i personopplysningslovens § 11.
På bakgrunn av dette fastholder Datatilsynet at det var riktig å avslutte saken når personopplysningene var fjernet fra hjemmesiden. Tilsynet opprettholder også standpunktet om at det ikke var nødvendig eller hensiktsmessig å avkreve en redegjørelse for personopplysningslovens regler knyttet til publisering av personopplysninger på Internett.
Tilsynet skriver at det ikke gjorde klager oppmerksom på klageadgangen i samsvar med forvaltningslovens regler. Dette beklager tilsynet, og viser til at det skyldes at tilsynet la til grunn at klager ville vurdere sakens utfall som tilfredsstillende. Tilsynet mener at det uansett må legges til grunn at feilen ikke har virket inn på vedtakets innhold, jf forvaltningslovens § 41.
6 Personvernnemndas merknader
I denne saken ble personopplysninger, i form av svært personlige karakteristikker og vurderinger av klager og klagers familie - også avdøde familiemedlemmer - publisert på nettstedet www.musa.no. Opplysningene gjaldt familieforhold og til dels intime detaljer om diverse familieintriger.
Det skal her nevnes at det følger av forarbeidene til personopplysningsloven (NOU 1997:19 s 54 og Ot.prp nr 92 (1998-99) s 102) at opplysninger om avdøde personer bare faller innenfor personopplyningsloven såfremt opplysningen også kan knyttes til en levende person, for eksempel opplysninger om arvelige sykdommer. Det generelle hensynet til avdødes ettermæle eller hensynet til gjenlevende slektninger er derimot ikke vernet i personopplysningsloven. Det er derfor tvilsomt om opplysningene som gjelder klagers avdøde svigerfar er omfattet av loven.
Personvernnemnda går over til å behandle opplysningene om levende personer. Opplysningene ble publisert på nettstedet i midten av juni 2005 og lå mest sannsynlig der frem til slutten av juni 2005. Personvernnemnda finner at disse personopplysningene ble publisert i strid med personopplysningsloven § 11, jf §§ 8 og 9, som krever at det foreligger en behandlingsgrunn for å behandle personopplysninger, hovedregelen er samtykke, og et formål med behandlingen som er saklig begrunnet i den behandlingsansvarliges virksomhet. Det er altså på det rene at personopplysningene ble publisert uten lovlig behandlingsgrunn.
Fordi opplysningene på nettstedet allerede var fjernet da Datatilsynet tok kontakt med den behandlingsansvarlige, vedtok ikke Datatilsynet noe pålegg om opphør av den ulovlige behandling, jf personopplysningsloven § 46. Dermed kommer ikke personopplysningslovens § 47 om tvangsmulkt eller § 48 litra d om straff til anvendelse. Personvernnemnda er derfor av den oppfatning at sanksjoner hjemlet i personopplysningsloven ikke kunne benyttes i denne saken.
Klager har også reagert på at Datatilsynet ikke opprettholdt sine spørsmål til den behandlingsansvarlige etter at vedkommende bekreftet at opplysningene var fjernet fra nettstedet. Spørsmålene fra Datatilsynet lød:
- Har det fremkommet personopplysninger (direkte eller indirekte identifiserbare) om (klager) og hans familie på www.musa.no, og vil slike opplysninger være tilgjengelige på nettsiden når denne igjen er aktiv?
- Hva er eventuelt det rettslige grunnlaget for slik publisering? I denne forbindelse viser Datatilsynet til at behandling av personopplysninger skal ha hjemmel i personopplysningslovens § 8 og evt § 9, og at hovedregelen er samtykke fra den registerte.
- I hvilken grad mener virksomheten at grunnkravene i lovens § 11 er oppfylt, herunder kravet om et formål som er saklig begrunnet i virksomheten.
Personvernnemnda finner det forståelig at Datatilsynet ikke opprettholdt kravet om svar på spørsmålene som ble stilt til den behandlingsansvarlige, idet svarene nødvendigvis må være at den behandlingsansvarlige ikke hadde noe rettslig grunnlag i personopplysningsloven for å publisere opplysningene. Den behandlingsansvarliges sletting av opplysningene demonstrerer også tydelig at vedkommende var eller ble klar over dette.
Klager har videre reagert på at det ut fra saksdokumentene kan se ut som om Datatilsynet avsluttet saken som en følge av at tilsynet mottok et brev fra klagers familiemedlem. I brevet ga familiemedlemmet uttrykk for å være komfortabel med at opplysningene var fjernet og vedkommende ønsket bare saken avsluttet. Familiemedlemmet var også omfattet av de publiserte personopplysningene. Dette gir klagers familiemedlem rettigheter under saksbehandlingen, jf forvaltningsloven § 2, 1. ledd litra e, men ikke rett til å kreve saken avsluttet uten samtykke fra klager.
Personvernnemnda merker seg at Datatilsynet har innrømmet at det er en saksbehandlingsfeil å ikke opplyse om klageadgangen. Personvernnemnda legger i likhet med Datatilsynet til grunn at saksbehandlingsfeilen ikke kan ha virket bestemmende på vedtakets innhold, jf forvaltningsloven § 41.
Oppsummeringsvis forelå det i denne saken en ulovlig behandling av personopplysninger. Denne behandlingen var opphørt da Datatilsynet kontaktet den behandlingsansvarlige. Personopplysningsloven gir i denne situasjonen ingen anvisning på sanksjoner som Datatilsynet kan benytte mot den behandlingsansvarlige. Personvernnemnda kan derfor bare henvise til at det finnes andre bestemmelser i lovverket som kan være mer anvendelige i denne saken. Disse ligger utenfor Personvernnemndas kompetanse.
7 Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 31. mai 2006
Jon Bing
Leder