Personvernnemndas avgjørelse av 25. september 2017 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Line Coll, Hans Marius Tessem)
1 Innledning
Saken gjelder klage på Datatilsynets vedtak om ikke å pålegge det danske advokatfirmaet Njord Law Firm å gi en privatperson innsyn etter personopplysningsloven § 18 første ledd.
2 Sakens bakgrunn
En privatperson (A) sendte den 26. januar 2017 et krav om innsyn i medhold av personopplysningsloven § 18 første ledd til det danske advokatfirmaet Njord Law Firm. Henvendelsen ble sendt på bakgrunn av omtalen i media om at firmaet har sendt «trusselbrev» til et større antall norske bredbåndskunder, på vegne av en filmprodusent i USA, med påstand om potensielle rettighetskrenkelser.
Advokatfirmaet svarte at de mener at den norske personopplysningsloven ikke gjelder for dem.
A var uenig i denne vurderingen og ba Datatilsynet pålegge advokatfirmaet å gi ham slik informasjon som han etterspurte i sin innsynsbegjæring til dem.
Datatilsynet fattet et vedtak den 22. mai 2017 hvor det la til grunn at personopplysningsloven ikke kommer til anvendelse, jf. personopplysningsloven § 4, og at åndsverklovens bestemmelser i § 56a og § 56b ikke utvider personopplysningslovens geografiske virkeområde. Datatilsynet mottok rettidig klage på sitt vedtak den 23. mai 2017.
Datatilsynet har vurdert klagen og opprettholder sitt vedtak. Personvernnemnda mottok saken 5. juli 2017. A ble orientert om dette i brev fra nemnda, med frist til uttalelse innen 7. august 2017. A har ikke kommentert saken.
3 Klagers anførsler
Advokatfirmaets praksis med å overvåke Internett og sende trusselbrev til brukere innebærer behandling av personopplysninger. Klager har derfor krav på informasjon etter personopplysningsloven § 18 første ledd.
Advokatfirmaet har ikke besvart hans henvendelse innen 30 dager slik loven krever. Dette representerer et brudd på hans rettigheter etter personopplysningsloven. I tillegg har advokatfirmaet feilaktig hevdet at personopplysningsloven ikke gjelder for dem.
Personopplysningsloven gjelder for det danske advokatfirmaet da åndsverkloven § 56b er helt klar på at personopplysningsloven gjelder for «behandling av personopplysninger som mottas i medhold av» bestemmelsen. Åndsverkloven § 56b gjør dermed personopplysningsloven anvendelig også i de tilfeller hvor personopplysningsloven normalt ikke ville gjelde, for eksempel på grunn av begrensninger i saklig eller geografisk virkeområde. Det samme gjelder åndsverkloven § 56a. Det innebærer at personopplysningsloven kommer til anvendelse uavhengig av hvor den behandlingsansvarlige er etablert.
4 Datatilsynets vurdering
Åndsverkloven kan ikke forstås slik at den utvider personopplysningslovens virkeområde og klager har følgelig ikke rett til innsyn.
Etter personopplysningsloven § 4 gjelder personopplysningsloven for behandlingsansvarlige som er etablert i Norge, og for de som er etablert utenfor EØS-området dersom den behandlingsansvarlige benytter hjelpemidler i Norge. Personopplysningsloven gjelder ikke for behandlingsansvarlige som er etablert i andre EØS-stater.
Datatilsynet har ikke funnet noen holdepunkter i relevante rettskilder som skulle tilsi at personopplysningsloven får en utvidet geografisk anvendelse når personopplysninger behandles i medhold av åndsverkloven §§ 56a og b.
Av ordlyden i åndsverkloven fremkommer det at personopplysningsloven gjelder. Dette må innebære at personopplysningslovens bestemmelser om geografisk virkeområde også gjelder.
Forarbeidene gir ingen holdepunkter for at personopplysningsloven gjelder i større grad enn det som følger av personopplysningslovens bestemmelse om geografisk virkeområde. Om forarbeidene skal tas til inntekt for et syn, vil det være at personopplysningsloven gjelder i sin helhet, da det presiseres at det kun er gjort unntak for konsesjonsplikten, mens loven for øvrig gjelder.
Norge har gjennom EØS-avtalen påtatt seg å etterleve personverndirektivet. Direktivets art. 4 regulerer i hvilke tilfeller det enkelte lands lov som gjennomfører direktivet kommer til anvendelse (geografisk virkeområde). Art. 4 tilsvarer i stor grad personopplysningsloven § 4. Norge står ikke fritt til å begrense eller utvide personopplysningslovens geografiske virkeområde i strid med direktivet.
Åndsverkloven kan ikke forstås slik at den utvider personopplysningslovens virkeområde. Det følger av dette at man ikke kan bygge en rett på innsyn i samsvar med klagers syn.
5 Personvernnemndas syn
Problemstillingen for nemnda er om personopplysningslovens bestemmelser om innsyn kommer til anvendelse i den foreliggende saken. Personopplysningsloven § 18 første ledd gir innsynsrett for enhver, uavhengig av om den som krever innsyn er registrert.
Personopplysningslovens geografiske virkeområde er regulert i personopplysningsloven § 4. Etter denne bestemmelsen gjelder loven for behandlingsansvarlige som er etablert i Norge, og for behandlingsansvarlige som er etablert utenfor EØS-området forutsatt at de benytter hjelpemidler i Norge. Personopplysningsloven gjelder ikke for behandlingsansvarlige som er etablert i andre EØS-stater, men disse statene vil ha tilsvarende lovgivning som sikrer rettigheter til innsyn etter egen nasjonal rett.
Personvernnemnda vil først ta stilling til As anførsel om at personopplysningsloven kommer til anvendelse uavhengig av hvem som er behandlingsansvarlig og uavhengig av hvor den behandlingsansvarlige er etablert. A bygger sin anførsel på åndsverkloven
§ 56b siste ledd som sier at personopplysningsloven gjelder for behandling av personopplysninger som mottas i medhold av denne bestemmelsen.
Personvernnemnda er ikke enig med A i at åndsverkloven § 56a og b utvider det geografiske anvendelsesområdet til personopplysningsloven og vil begrunne det nærmere i det følgende.
For det første har personopplysningsloven en bestemmelse om lovens geografiske virkeområde som er i tråd med de forpliktelsene Norge har gjennom EØS-avtalen vedrørende etterlevelse av personverndirektivet. Nemnda er enig med Datatilsynet i at Norge ikke står fritt til å utvide den norske lovens geografiske virkeområde til behandlingsansvarlige som for eksempel er registrert i andre EØS-land. Det ville i prinsippet kunne medføre motstrid mellom ulike personvernlovgivninger, der landene (innenfor direktivets rammer) har valgt ulike løsninger.
For det andre viser nemnda til lovens ordlyd i åndsverkloven § 56b siste ledd: «For behandling av personopplysninger som mottas i medhold av denne bestemmelsen gjelder personopplysningsloven.» Det er i åndsverkloven gitt en generell henvisning til personopplysningsloven. En naturlig forståelse av denne ordlyden vil være at alle bestemmelsene kommer til anvendelse, også personopplysningsloven § 4 om geografisk virkeområde. Dersom personopplysningsloven § 4 ikke skulle gjelde, ville dette vært sagt uttrykkelig.
Endelig viser nemnda til uttalelser i forarbeidene som støtter denne forståelsen av åndsverkloven § 56b, se Prop. 65 L (2012-2013), side 90, hvor det heter:
«I sjette ledd opplyses det om at personopplysningsloven gjelder for behandling av personopplysninger som mottas i medhold av denne bestemmelsen (dvs. etter en domstolsavgjørelse). Dette er en regel av informerende karakter som minner om at personopplysningsloven også må vurderes i denne sammenhengen. På den bakgrunn er det i lovteksten gitt en henvisning til personopplysningsloven.»
Nemnda er på denne bakgrunn enig med Datatilsynet i at åndsverkloven ikke utvider personopplysningslovens anvendelsesområde og at personopplysningslovens geografiske virkeområde dermed bestemmes av personopplysningsloven § 4.
Slik sett er nemnda enig med Datatilsynet i at A ikke kan kreve innsyn med den rettslige begrunnelsen han har anført. Det følger imidlertid av forvaltningens alminnelige veiledningsplikt, jf. forvaltningsloven § 11, at Datatilsynet ved en slik henvendelse også må vurdere om klager kan kreve innsyn etter personopplysningsloven § 18 med en annen begrunnelse.
For å ta stilling til om personopplysningsloven kommer til anvendelse er det nødvendig først å ta stilling til hvem som er behandlingsansvarlig. Datatilsynet har i sin e-post til A den 28. februar gitt uttrykk for at tilsynet forutsetter at advokatfirmaet er behandlingsansvarlig. Dette fremkommer i en e-post som er ment å gi «kortfattet veiledning». Personvernnemnda kan ikke se at Datatilsynet problematiserer dette senere i saksbehandlingen. Det er heller ikke gitt noen beskrivelse av hvilket faktum som legges til grunn for denne forutsetningen. Nemnda vil bemerke at faktum i noen grad kan sammenlignes med faktum i PVN-2011-10. Dersom man følger flertallets syn i den saken vil det være det amerikanske filmselskapet som er behandlingsansvarlig. Det fremkommer ikke av Datatilsynets vedtak om de vurderer faktum i denne saken annerledes enn i PVN-2011-10.
Personvernnemnda finner det ikke riktig å ta stilling til hvem som skal anses som behandlingsansvarlig før sakens faktum er bedre redegjort for og før advokatfirmaet, som det er krevet innsyn hos, er varslet om saken og har fått anledning til å uttale seg, jf. forvaltningsloven § 16.
Dersom advokatfirmaet anses som behandlingsansvarlig vil retten til innsyn reguleres av den danske personvernlovgivningen og et eventuelt avslag på innsyn etter dansk lov kan da klages inn for dansk tilsynsmyndighet.
Dersom det er det amerikanske filmselskapet som er behandlingsansvarlig, vil det neste spørsmålet være om de ved sin behandling av personopplysninger benytter hjelpemidler i Norge. For å belyse dette må det bringes på det rene hvordan, og fra hvem, selskapet har hentet personopplysningene som identifiserer mottakere av brevet. I så fall kommer personopplysningsloven til anvendelse, jf. personopplysningsloven § 4 annet ledd.
Etter Personvernnemndas vurdering er ikke saken tilstrekkelig utredet, jf. forvaltningsloven
§ 17, til at det er mulig for nemnda å treffe noen avgjørelse. Dette gjelder både når det gjelder kartlegging av faktum (hva gjør advokatfirmaet i Norge, hvilke hjelpemidler benyttes, hva er advokatfirmaets avtale med det amerikanske filmselskapet osv.) og når det gjelder partenes rett til kontradiksjon, jf. forvaltningsloven § 16. Disse forholdene må avklares og tas stilling til hos Datatilsynet, før en eventuell klage behandles av Personvernnemnda.
6 Vedtak
Vedtaket oppheves og sendes tilbake til Datatilsynet.
Oslo, 25. september 2017
Mari Bø Haugstad
Leder