Personvernnemndas avgjørelse av 22. januar 2015 (Eva I E Jarbekk, Arve Føyen, Ørnulf Rasmussen, Nina Melsom, Marta Ebbing, Ann R Sætnan, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets beslutning om ikke å fatte vedtak i en sak.
2 Saksgang og faktum
Datatilsynet har mottatt en klage på beslutning om ikke å fatte vedtak om å pålegge Trondheim kommune å slette en tilrettevisning fra klagers personalmappe.
Saken gjelder en tilrettevisning som klager ble ilagt i april 2011. Både ileggelsen av tilrettevisningen, og det faktiske grunnlaget for den, har vært bestridt fra klagers side. Datatilsynet ble anmodet om å fatte vedtak om at Trondheim kommune pålegges å slette tilrettevisningen. Det ble vist til at det da hadde gått to og et halvt år siden den ble ilagt, og at det ikke hadde inntruffet noen episoder som skulle tilsi videre lagring.
I brev av 10. oktober 2013 ba Datatilsynet Trondheim kommune om en redegjørelse for blant annet de relevante sletterutiner, med henvisning til personopplysningsloven § 28.
Kommunen responderte i brev av 30. oktober, der kommunen viser til at tilrettevisninger inngår i personalmappene og at kommunens oppbevaring av personalmapper er regulert av arkivloven. Det ble opplyst at det fulgte av kommunens retningslinjer at alt innhold i personalmapper skal lagres i «all tid». Videre ble det opplyst at «all tid» skal forstås i lys av arkivloven med forskrifter, som stiller som krav at personalmapper først skal kasseres etter femti år. Kommunen forsikret at formuleringen om at personalmapper «skal bevares i all tid» skal endres, slik at det fremkommer at arkivlovens begrensninger skal gjelde.
Datatilsynet besvarte kommunens redegjørelse i brev av 15. januar 2014, og pekte på pliktene som følger av personopplysningsloven § 28. Det vises til at arkivloven ikke inneholder et pålegg om at arbeidsgivere skal arkivere enhver tilrettevisning. Datatilsynet er
av den oppfatning at man da må falle tilbake til den generelle sletteplikten i personopplysningsloven, og har lagt til grunn at tilrettevisninger i utgangspunktet bør kunne slettes etter to år. Etter to år vil normalt ikke lenger en tilrettevisning kunne sies å tjene sitt opprinnelige formål.
Det utelukkes ikke at tilrettevisningen skal lagres i medhold av annet regelverk. Det pekes eksempelvis på § 4-10 nr. l bokstav g) i Forskrift om endring i forskrift om utfyllende tekniske og arkivfaglige bestemmelser om behandling av offentlige arkiver som pålegger offentlige arbeidsgivere å lagre dokumentasjon av «Ordenstraff som får betydning for den ansattes tilsettingsforhold».
Tilsynet valgte ikke å fatte pålegg i saken, men nøyde seg med å veilede om hvordan Datatilsynet forstår regelverket. At tilsynet pekte på de rettslige utgangspunkt, og avsto fra å fatte vedtak om sletting, skyldtes at det er den behandlingsansvarlige som selv skal foreta en nødvendighetsvurdering etter personopplysningsloven § 28. Hvor lenge en virksomhet erfaringsmessig har behov for personopplysninger om egne ansatte er det virksomheten selv som har best forutsetninger for å vurdere. Videre skal den behandlingsansvarlige ha kjennskap til hvilke øvrige regler virksomheten er bundet av.
Datatilsynet valgte ikke å fatte pålegg i saken, men veiledet om hvordan Datatilsynet forstår regelverket. Klager påklaget dette og ba om en realitetsvurdering av saken.
Saken ble oversendt Personvernnemnda 11.6.2014, som mottok saken 19.6.2014. Klager ble orientert om dette i brev fra nemnda datert 24.6.2014, med frist til uttalelse innen 8.8.2014. Klager har kommentert saken i brev av 31.7.2014.
3 Klagers anførsler
Saken gjelder krav om sletting av en tjenstlig tilrettevisning ilagt en person av arbeidsgiver Trondheim kommune 13.4.2011. Tilrettevisningen er lagret i personalmappen og gjelder påstand fra arbeidsgiver om at personen skal ha hatt et tilbakevendende rusproblem.
Det faktiske grunnlaget for tilrettevisningen er bestridt fra personens side, og personen opplever beskyldningene i tilrettevisningen som svært belastende. Det er videre på det rene at det ikke er påpekt lignende forhold fra arbeidsgivers siden ileggelsen av tilrettevisningen.
Trondheim kommune er av den oppfatning at tilrettevisningen kan lagres i personalmappen i 50 år, jf arkivloven med forskrifter.
Klager har bedt Datatilsynet om å fatte vedtak om sletting, jf personopplysningsloven § 28 tredje ledd, jf personopplysningsloven § 28 fjerde ledd, på grunnlag av at påstandene i tilrettevisningen må anses for å være «sterkt belastende» i lovens forstand. Dette er altså et tilleggsgrunnlag for krav om sletting i forhold til nødvendighetskriteriet i personopplysningsloven § 28 første ledd. Det skal anføres at de fremsatte påstander i tilrettevisningen er opplysninger som er sterkt belastende for klager, slik at inngangsvilkåret om sletting i personopplysningsloven § 28 tredje ledd må anses oppfylt. På denne bakgrunn anmodes det om at det også tas stilling til sletting i medhold av personopplysningsloven § 28 tredje ledd, jf fjerde ledd.
I sitt avslag om å foreta en realitetsbehandling av denne saken trekker Datatilsynet frem at klager er bistått av Utdanningsforbundet. Utdanningsforbundet har i denne saken hatt flere runder med Trondheim kommune og andre lignende saker før saken ble bragt inn for vurdering hos Datatilsynet. All den tid saken ikke lot seg løse vurderte Utdanningsforbundet det som nødvendig med bistand fra Datatilsynet.
Det skal også nevnes at Utdanningsforbundet jevnlig mottar henvendelser i saker som gjelder lagring av tilrettevisninger i personalmapper i virksomheter som er underlagt arkivloven. Også av denne grunn ser forbundet det slik at det er behov for enkelte rettslige avklaringer på dette feltet.
All den tid det har gått tre år siden ileggelsen av den tjenstlige tilrettevisningen uten at det har kommet liknende påpekninger fra arbeidsgiversiden tilsier også at behovet for dokumentasjon ikke lenger er til stede, jf § 28 tredje ledd bokstav b. Personvernnemnda anmodes herved om å realitetsbehandle denne saken.
4 Datatilsynets vurdering
Datatilsynet valgte ikke å fatte pålegg i saken, men nøyde seg med å veilede om hvordan Datatilsynet forstår regelverket. At tilsynet kun pekte på de rettslige utgangspunkt, og avsto fra å fatte vedtak om sletting, skyldtes at det er den behandlingsansvarlige som selv skal foreta en nødvendighetsvurdering etter personopplysningsloven§ 28. Hvor lenge en virksomhet erfaringsmessig har behov for personopplysninger om egne ansatte er det virksomheten selv som har best forutsetninger for å vurdere. Videre skal den behandlingsansvarlige ha kjennskap til hvilke øvrige regler virksomheten er bundet av.
Det er Datatilsynets beslutning om ikke å ta endelig stilling til dette konkrete spørsmålet, for så å fatte pålegg om sletting av tilrettevisningen, som altså er gjenstand for klagen.
Datatilsynet foretar løpende en vurdering av hva som vil være en hensiktsmessig bruk av de ressurser det har til rådighet. Dette gjør tilsynet også når det mottar henvendelser fra enkeltpersoner som føler at deres personvern er krenket. Etter å ha korrespondert med Trondheim kommune om kravene som stilles til sletting i personopplysningsloven og arkivplikten som følger av arkivloven med tilhørende forskrifter, besluttet tilsynet å avslutte saken, men også å peke på ulike krav som følger av det regelverket Datatilsynet forvalter.
Tilsynet fant det ikke forsvarlig å pålegge sletting uten å innhente flere opplysninger om den konkrete begrunnelsen for videre lagring av tilrettevisningen, noe som altså ville ha krevet ytterligere bruk av tilsynets ressurser.
Følgende momenter var utslagsgivende for Datatilsynets vurdering:
- Sakens alvorlighetsgrad
En tilrettevisning eller en advarsel vil inneholde en karakteristikk av den registrerte som normalt vil være av negativ karakter. Lagring av slike opplysninger vil i seg selv kunne oppleves som en belastende, men vil i normaltilfeller ikke innebære ytterligere, alvorlige ulemper for den ansatte. - Forholdsmessig ressursbruk
Datatilsynet mottar en lang rekke henvendelser fra enkeltpersoner, men har ikke ressurser til å behandle alle slike saker i sin fulle bredde. I denne saken vurderte vi det dithen at saken var tilstrekkelig opplyst til at det var forsvarlig å avslutte den, basert på at sakens alvorlighetsgrad ikke fordret at den ble viet ytterligere oppfølging. - Klagers øvrige muligheter til å ivareta egne rettigheter
I vår vurdering av hvordan henvendelser fra enkeltpersoner skal håndteres, legger vi også vekt på klagers egne muligheter å få saken belyst og fulgt opp. I herværende sak er klager representert gjennom sitt fagforbund og forbundets advokat, og har altså forutsetninger for å ivareta egne interesser.
Etter vår vurderinger inneholder ikke klagen opplysninger som tilsier en annen prioritering eller et annet resultat. Saken oversendes derfor til Personvernnemnda for klagesaksbehandling jf personopplysningslovens § 44.
5 Personvernnemndas merknader
Personvernnemnda skal vurdere klagers anmodning om at klagen realitetsbehandles. Datatilsynet veiledet kommunen om pliktene som følger av personopplysningsloven § 28 og viste til at arkivloven ikke inneholder et pålegg om at arbeidsgivere skal arkivere enhver tilrettevisning. Datatilsynet uttalte at man da må falle tilbake til den generelle sletteplikten i personopplysningsloven, og at tilrettevisninger i utgangspunktet bør kunne slettes etter to år. Etter to år vil normalt ikke lenger en tilrettevisning kunne sies å tjene sitt opprinnelige formål. Tilsynet avsto imidlertid fra å fatte vedtak om sletting, med henvisning til at det er den behandlingsansvarlige som selv skal foreta en nødvendighetsvurdering etter personopplysningsloven § 28 og det er virksomheten selv som har best forutsetninger for å vurdere dette.
Personvernnemnda mener at denne saken reiser et viktig og prinsipielt tema. Dette er et hyppig forekommende spørsmål og et felt hvor det er uenighet mellom arbeidsgiver- og arbeidstakersiden. Det er derfor behov for rettslige avklaringer. Sakens prinsipielle karakter tilsier at Datatilsynet bør realitetsbehandle den og ta stilling til personopplysningslovens nødvendighetskrav, jf § 28 første ledd, samt § 28 tredje ledd. Nemnda er videre kjent med at det foreligger en uttalelse fra Arbeids- og sosialdepartementet vedrørende problemstillingen som vil kunne være en relevant rettskilde i så måte.
Av hensyn til at saken skal bli underlagt en reell to-instansbehandling sendes saken tilbake til Datatilsynet for realitetsbehandling.
6 Vedtak
Klagen tas til følge.
Oslo, 22. januar 2015
Eva I E Jarbekk
Leder