Personvernnemndas avgjørelse av 5. desember 2014 (Eva I E Jarbekk, Arve Føyen, Nina Melsom, Ann R Sætnan, Marta Ebbing, Ørnulf Rasmussen, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets beslutning om ikke å ta en sak opp til behandling.
2 Saksgang
En advokat med enkeltpersonforetak sendte den 28. oktober 2013 inn en klage på Mittoppdrag.no. Han klaget på at han var registrert som «oppdragssøkende» på dette nettstedet, og anmodet om en vurdering av praksisen hos Mittoppdrag.no.
Den 7. november 2013 besluttet Datatilsynet å avslutte saken, uten å ta den opp til realitetsbehandling. Datatilsynet la til grunn at tilsynet ikke har en plikt til å gjennomføre en kontroll og påfølgende realitetsbehandling i ethvert tilfelle hvor man mottar en klage på mulig ulovlig behandling av personopplysninger. Når tilsynet mottar enkeltsaker må det foreta en forholdsmessighetsvurdering i hvert enkelt tilfelle, basert blant annet på den aktuelle sakens alvorlighetsgrad, tilsynets antatte ressursbruk og de til enhver tid foreliggende beslutninger om prioriteringer. Klager påklaget dette i brev av 12. november 2013.
Saken ble oversendt Personvernnemnda 13.12.2013, som mottok saken 18.12.2013. Klager ble orientert om dette i brev fra nemnda datert 20.12.2013, med frist til uttalelse innen 12.1.2014. Klager kommenterte klagen i epost av 22.12.2013.
Personvernnemnda besluttet å stille oppfølgingsspørsmål til Datatilsynet i brev av 14.5.2014. Datatilsynet besvarte henvendelsen i brev av 21.5.2014. Klager uttalte seg vedrørende Datatilsynets brev i brev datert 9.9.2014.
3 Faktum
Klager har påklaget tilsynets beslutning om ikke å ta en sak opp til behandling. Videre har klager påklaget at det foreligger behandlingsgrunnlag etter personopplysningsloven § 8 f).
4 Klagers anførsler
Klager anfører at han ser ingen grunn til at klagen ikke skal tas til behandling på grunn av ressursmangel. Har Datatilsynet ressurser til å skrive side opp og ned med subtile argumenter om hvorvidt en klage skal fremmes eller ikke, i stedet for raskt å sende innklagede et brev for å få opplyst sakens faktum, så er det noe fundamentalt galt. Et slik raskt brev vil virke preventivt da det her åpenbart er ting som ikke er som det skal. Dessuten ville fakta blitt bedre oppklart. Her er det i mindre grad snakk om manglende ressurser fra Datatilsynets side, men heller manglende prioritering da de åpenbart synes det er bedre å skrive brev som definerer ordet «klage» enn å behandle saken. Klager ber om at saken sendes tilbake til Datatilsynet for å bli bedre opplyst.
For det annet mener klager at det er en faktisk feil når Datatilsynet sier at konfliktene er løst, og «navn er slettet». Klager påpeker at ikke noe blir slettet på nettet. Klager har nylig googlet sitt eget enkeltpersonforetak og fikk treff på Mittoppdrag.no.
Dette er ikke et «lite problem». Ifølge hjemmesiden Mittoppdrag.no er 269 901 firmaer registeret på «Norges største anbudsside», innen alle tenkelig yrker. Klager mistenker at «Mittoppdrag.no» har lagt ut alle tenkelige norske firmaer som sine kunder. Argumentasjonen Mittoppdrag.no har gitt om at dette er «ikke verre enn å legge ut skattelister», er ikke holdbart og bør påpekes. Klager har aldri annonsert advokattjenester noen gang og har bevisst ikke hatt noe ønske om det. Klager er av den oppfatning at oppdrag får man gjennom god jobb, ikke gjennom markedsføring. Dessuten påpeker klager at han aldri har drevet med «utlendingsrett» slik Mittoppdrag.no skriver på nettet. Dette foranlediger spørsmål som:
- hvor får Mittoppdrag.no sine opplysninger fra?
- hvilke restriksjoner er det på bruk av slike lister?
Klager påpeker at Mittoppdrag.no er en stor aktør og at det sannsynligvis er mange som er i samme situasjon som han selv. Han antar at Mittoppdrag.no ikke har lovlig tilgang til listene de benytter.
Videre bemerker klager at han er enig med Datatilsynet i at dette konkrete tilfellet faller inn under personopplysningsloven. Han påpeker at nemnda skal ta stilling til bruken av disse personopplysninger i den sammenheng det er gjort, jf. § 8 f). Ved vurderingen skal avveies de interesser den vanlige forbruker og Mittoppdrag.no har målt imot den interesse klager har i at opplysninger ikke benyttes slik som gjort i dette tilfellet. Etter § 1 er viktige hensyn med personvernloven den enkeltes personlige integritet, privatlivets fred og at tilstrekkelig kvalitet på personopplysningene ivaretas. Etter klagers syn taler både klagers og forbrukernes interesser sterkt imot den bruk Mittoppdrag.no her har gjort av personopplysningene. Klager er som advokat klart imot selv å annonsere at man søker oppdrag og han ønsker ikke at andre påtar seg oppdraget å annonsere på klagers vegne. For de fleste advokater er profilering i kommersielle annonser å anse som uønsket og negativ reklame. Man ønsker ikke å selge seg kommersielt. Den eneste reklame man ønsker er ved å opparbeide et godt rykte som eventuelt fanges opp av presse og fagpublikasjoner. I dette tilfelle har firmaet Mittoppdrag.no gått lenger enn kun å annonsere om at klagers firma finnes. De har uten klagers godkjennelse og – slik det fremstår – på klagers vegne offentlig gått ut og annonsert at klagers firma søker oppdrag av en spesiell art og et spesielt kundesegment. Det er uheldig. Firmaet Mittoppdrag.no har foretatt en form for identitetstyveri når de gir inntrykk av at dette er noe klager har ønsket.
Klager arbeider internasjonalt mot norske kunder med bl.a. finanstjenester for større firmaer, og ønsker ikke å fremstå med at han parallelt tilbyr forbrukerjuss på internett. Generelt ønsker ikke klager advokatoppdrag. Klager flyttet fra Norge i 2003 og har siden den gang ikke tatt norske advokatoppdrag eller vært norsk skattesubjekt. Det å fremstå på internett som om han søker oppdrag er villedende både for skattemyndigheter og forbrukere, og skadelig for klagers renomme. Det kan tilføyes at det eneste klager ønsker å oppnå ved være registrert hos Advokattilsynet (og dermed også Brønnøysund) er å dokumentere sitt gode navn og rykte ved at han er godkjent og registrert advokat i Norge. For denne dokumentering betaler jeg tusenvis av kroner per år til tilsynet og i profesjonsforsikring.
Viktig er også hensynet til de forbrukere som er blitt villedet til å tilskrive klager og andre advokater. Disse forbrukere risikerer å gi personlige opplysninger til en advokat i tiltro til at de vil ivareta deres behov og interesser – herunder konfidensialitet knyttet til personvern – kun for å oppdaget at det hele kun var et scam iscenesatt av Norges største anbudstjeneste.
Som faktaopplysning kan også bemerkes at Mittoppdrag.no er en betydelig aktør og reklamerer med å være Norges største anbudstjeneste. Så vidt vites eies Mittoppdrag.no av Mittoppdrag AS. Firmaet har i følge regnskapene en omsetning på 14 millioner kr årlig.
Det graverende for klager er ikke at firmaet Mittoppdrag AS har samlet opplysning om eksistensen av klagers advokatvirksomhet. Det er helt legalt. Det er bruken av personopplysningene og at man benytter disse personopplysninger til bl.a. å tilby tjenester på klagers vegne det reageres imot.
5 Datatilsynets vurdering
Datatilsynet mener at beslutning av 7. november 2013 ikke er et vedtak i forvaltningslovens forstand. Det vises til at beslutningen ikke er «bestemmende for rettigheter eller plikter», jf. forvaltningslovens § 2 første ledd bokstav a og b. Det betyr at forvaltningslovens bestemmelser om klageadgang for vedtak ikke kommer til anvendelse.
Selv om det ikke foreligger noen uttrykkelig klageadgang på beslutningen, har tilsynet valgt å ta klagen til behandling i tråd med god forvaltningsskikk. Datatilsynet overlater til Personvernnemnda å vurdere sin egen kompetanse til å prøve tilsynets beslutning av 7. november 2013, jf. personopplysningslovens § 43 første ledd. I henhold til personopplysningslovens § 42 heter det blant annet at «Datatilsynet skal […] etter henvendelse eller eget tiltak gi uttalelse i spørsmål om behandling av personopplysninger». Datatilsynet skal også «kontrollere at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt, og at feil og mangler blir rettet». I den forbindelse kan Datatilsynet fatte vedtak i medhold av personopplysningslovens § 46.
Bestemmelsen kan imidlertid ikke leses som en plikt for Datatilsynet til å gjennomføre en kontroll eller gi en formell uttalelse i hver enkelt henvendelse som tilsynet mottar. Det ville fordre helt andre ressurser enn det tilsynet har til disposisjon i dag. Personvernmyndighetene er forutsatt å ha en særlig uavhengig stilling. Dette tilsier at tilsynet må stå fritt til å beslutte hvordan tilsynet skal gjennomføre sine oppgaver etter loven, gitt de ressurser og øvrige rammevilkår som til enhver tid foreligger. Spørsmål som gjelder ressursbruk og intern organisering i et forvaltningsorgan har i stor grad vært overlatt til forvaltningsorganets frie skjønn.
Datatilsynet har uansett en plikt etter forvaltningsloven § 16 til å gi veiledning innen sitt ansvarsområde.
Datatilsynets skjønnsutøvelse i den enkelte sak må være forsvarlig, og i tråd med god forvaltningsskikk. Ved skjønnsutøvelsen i dette tilfellet har tilsynet lagt vekt på følgende momenter:
Sakens alvorlighetsgrad
I denne saken ble det lagt vekt på at den aktuelle publiseringen etter tilsynets vurdering medfører en beskjeden krenkelse av klagers personvern. Det vises til at de aktuelle opplysningene kan sies å knytte seg mest til klagers advokatvirksomhet, ikke til hans person. Det vises også til at opplysningene om hvem som har advokatbevilling er offentlig tilgjengelige hos bevilgende myndigheter, i medhold av offentleglova.
Det ble lagt stor vekt på at det konkrete forholdet som klagen gjaldt allerede var avsluttet, idet klager på anmodning var tatt ut av Mittoppdrag.no sin oppføring.
Forholdsmessig ressursbruk – hensynet til likebehandling
Datatilsynet mottar svært mange henvendelser fra privatpersoner, som opplever at deres personvern er krenket. Tilsynet har ikke kapasitet til å realitetsbehandle alle disse sakene, og må gjøre en prioritering. Den som klager vil likevel få en tilpasset veiledning i hvordan personopplysningsloven er å forstå.
Tilsynet kan ikke se at det foreligger forhold i denne konkrete saken, som tilsier at tilsynet skal ta den opp til behandling. Det forhold at tilsynet uansett må bruke ressurser på å avvise saken og sende klagen over til Personvernnemnda, kan ikke være avgjørende. Det vises til at alle som klager inn en sak for må undergis samme behandling. Tilsynet foretar ingen særbehandling av de som eventuelt klager på beslutning om ikke å ta en sak opp til behandling.
Tilsynet fastholder at det ikke har en lovbestemt plikt til å realitetsbehandle klagen. Tilsynet fastholder også at vurderingen av om tilsynet likevel skal ta saken opp til behandling er forsvarlig og i tråd med god forvaltningsskikk. Datatilsynet mener at det har overholdt sin plikt etter forvaltningslovens § 11 til å gi veiledning i denne saken.
Vedrørende Personvernnemndas oppfølgingsspørsmål om virksomhetsopplysninger kontra personopplysninger
Datatilsynet er enig med nemnda i at det skal skilles mellom rene virksomhetsopplysninger og personopplysninger. Tilsynet er kjent med nemndas avgjørelse i PVN-2006-12. Her slo nemnda fast at en opplysning om at bokettersyn hos en advokat ikke er å anse som «noens personlige forhold», i henhold til offentlighetslovens § 13. Tilsynet ser ikke at nemnda tar uttrykkelig stilling til om det allikevel er å anse som en personopplysning etter personopplysningslovens definisjon, som antagelig er et noe videre begrep enn «noens personlige forhold». Det er åpenbart at opplysninger som knytter seg til en virksomhet ikke nødvendigvis er å anse om opplysninger om de personer som er knyttet til virksomheten. Like åpenbart er det etter vår oppfatning at opplysninger om at en navngitt person driver et enkeltmannsforetak, besitter en bestemt stilling eller innehar en personlig autorisasjon/bevilling også kan være å anse som en personopplysning om vedkommende.
Det kan anføres at et forholdsmessighetsprinsipp bør bakes inn i vurderingen av om loven i det hele tatt skal få anvendelse herunder ved vurderingen av hva som er å anse som en personopplysning, jf. formålsbestemmelsen i lovens § l. En behandling av mer tilforlatelige opplysninger om en persons utdannelse, stilling eller autorisasjon, vil normalt være lite krenkende. Det taler for la slike opplysninger falle utenfor personopplysningslovens virkeområde.
Tilsynet har valgt en litt annen tilnærmingsmåte, idet det har latt forholdsmessighets-vurderingen i det vesentlige utstå til anvendelse av lovens konkrete vilkår. Dette er en løsning som vi mener er å foretrekke, fremfor å gjøre personopplysningsbegrepet mer fleksibelt eller relativt. Slik vi ser det bør et begrep som har en så sentral rettslig betydning ha et innhold som er så klart og entydig som mulig. En relativ tilnærming til innholdet i personopplysningsbegrepet kan etter vår vurdering bidra til en uklar rettstilstand.
Tilsynet fastholder etter dette at den aktuelle publiseringen medfører en behandling av personopplysninger, idet det fremgår at en navngitt person har advokatbevilling og driver et enkeltmannsforetak som tilbyr advokattjenester. Med bakgrunn i at disse opplysningene er tilforlatelige (og dessuten offentlige), har vi lagt til grunn at terskelen for å behandle dem er svært lav. Tilsynet har derved konkludert med at den aktuelle publiseringen har hjemmel i personopplysningslovens§ 8 litra f).
6 Personvernnemndas merknader
Nemnda må først ta stilling til om Datatilsynets beslutning var et enkeltvedtak i forvaltningslovens forstand. Et enkeltvedtak er definert i forvaltningsloven § 2 som «et vedtak som gjelder rettigheter eller plikter til en eller flere bestemte personer». Datatilsynet mener at dets beslutning ikke var det, og derved at forvaltningslovens bestemmelser om klageadgang ikke kommer til anvendelse. Klager mener at saken kunne vært realitetsbehandlet og at tilsynet har lagt så mye ressurser i å avklare at dette ikke er et vedtak at det like gjerne kunne ha avsagt et formelt vedtak.
Etter nemndas syn har Datatilsynet avvist saken ved å hevde å ikke ha tatt den til realitetsbehandling. Det å avvise en sak er bestemmende for rettigheter og plikter, jf. forvaltningsloven § 2 tredje ledd som sier at «som enkeltvedtak reknes også avgjørelser som gjelder avvising av en sak». Nemnda har forståelse for at Datatilsynet må foreta prioriteringer for å kunne utføre alle sine pålagte oppgaver. Nemnda mener likevel at en beslutning om å bortprioritere ikke kan sies å være en prosessledende beslutning og at Datatilsynet i tilfelle måtte fatte et formelt avvisningsvedtak. Klager hadde således klagerett i saken.
Nemnda mener videre at saken inneholder prinsipielle spørsmål om bruk av personopplysninger på nett. Nemnda mener at forvaltningen bør bidra til en avklaring av bruken av personnavn i nettbasert kommunikasjon/markedsføring, hvor både klager og Mittoppdrag.no får anledning til å uttale seg. Saken sendes derfor tilbake til Datatilsynet for realitetsbehandling.
7 Vedtak
Klagen tas til følge. Saken sendes tilbake til Datatilsynet for realitetsbehandling.
Oslo, 5. desember 2014
Eva I E Jarbekk
Leder