Personvernnemndas vedtak 5. desember 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 21. november 2022 der Datatilsynet konkluderte med at en arbeidsgiver ikke hadde brutt personopplysningsloven.
Sakens bakgrunn
A har tidligere vært ansatt som […] i […] (heretter omtalt som arbeidsgiver). I 2018 mottok arbeidsgiver en bekymringsmelding mot A som arbeidstaker. Bekymringen knyttet seg til hans relasjon til en mindreårig asylsøker […] og som etter hvert ble plassert i et fosterhjem. Det var jentas fosterforeldre som sendte bekymringsmeldingen. Bekymringen var blant annet begrunnet i noen private e-poster mellom A og den aktuelle jenta, som fosterforeldrene hadde kommet over. Disse e-postene ble videreformidlet til arbeidsgiveren fra fosterforeldrene. Det er opplyst at arbeidsgiver slettet e-postene i juni 2019.
Det ble som følge av bekymringsmeldingen reist en personalsak mot A fra arbeidsgiveren. Det kommer frem av dokumentene at arbeidsgiveren vurderte oppsigelse av A og at det ble fremsatt tilbud om sluttavtale, samt at sluttavtale ble inngått. Partene ser ulikt på hvordan prosessen var.
I mai 2020 ba A om innsyn i opplysninger i sin personalmappe. Arbeidsgiveren utarbeidet 8. juni 2020 en oversikt over hvilke dokumenter som fantes i As personalmappe. A ble nektet innsyn i et internt notat utarbeidet i forbindelse med personalsaken til A. Notatet er omtalt som «oppsummerende notat av [B] 7. mai 2019». Avslaget ble begrunnet dels i at A ikke hadde rett til innsyn i andres personopplysninger, dels at han ikke hadde rett til innsyn i opplysninger som «utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse og heller ikke er utlevert til andre, så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser», jf. personopplysningsloven § 16 første ledd bokstav e.
A klaget avslaget på innsyn inn for Datatilsynet 31. juli 2020.
Den 16. november 2020 sendte A en ny klage som gjaldt tidligere arbeidsgivers innhenting, lagring og bruk av de tre private e-postene mellom han og den aktuelle jenta. Klagen var signert av både A og jenta (som var blitt myndig).
Datatilsynet sendte et brev til arbeidsgiver 18. mai 2021 med overskriften «Påpeking av plikt – innsyn i dokumenter og behandling av e-post». Tilsynet orienterte om henvendelsene fra A og informerte om behandlingsansvarliges plikter etter personvernforordningen.Det kommer frem av brevet at Datatilsynet med dette avsluttet saken. A mottok kopi av brevet.
A skrev til Datatilsynet igjen 16. september 2021 og varslet om vedvarende lovbrudd når det gjaldt mangel på innsyn, samt etterspurte videre undersøkelser i saken.
Datatilsynet ba 20. desember 2021 om arbeidsgivers redegjørelse, som etter utsatt svarfrist, ble gitt 31. mars 2022.
I brev til Datatilsynet 6. april 2022 varslet A om at arbeidsgiveren hadde lekket personsensitive opplysninger om ham til pressen.
Datatilsynet konkluderte i vedtak 21. november 2022 med at arbeidsgiver ikke hadde brutt reglene om retten til innsyn i personalmappe og at arbeidsgiver hadde rettslig grunnlag for å bruke den private e-postkorrespondansen i personalsaken. Datatilsynet avsluttet deretter saken.
A klaget 9. desember 2022 rettidig på Datatilsynets vedtak. Han ba i klagen om at tilsynet også behandlet hans varsel om at arbeidsgiver hadde lekket opplysninger om ham til pressen. Arbeidsgiver ga sine kommentarer til klagen i brev til Datatilsynet 3. mars 2023.
Datatilsynet vurderte klagen, men fant ikke grunn for å endre sitt vedtak. Datatilsynet oversendte saken til Personvernnemnda 23. mai 2023. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt sine merknader i brev 15. oktober og 8. november 2023. Arbeidsgiveren har ikke inngitt merknader.
Saken ble behandlet i nemndas møte 5. desember 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth.
Datatilsynets vedtak i korte trekk
Datatilsynet konkluderer med at arbeidsgiver ikke har brutt personvernforordningen artikkel 15, jf. personopplysningsloven § 16 ved å unnta notatet 7. mai 2019 fra innsyn etter unntaksbestemmelsen i personopplysningsloven § 16. Notatet er opprettet i forbindelse med en personalsak og inneholder arbeidsgivers interne vurderinger. Det er ikke utlevert til andre utenfor organisasjonen. Dokumentet oppsummerer også hvilken kontakt det har vært internt om saken. Interne opplysninger som dette må sies å ligge i kjernen av unntaksbestemmelsen i personopplysningsloven § 16 første ledd bokstav e. Å åpne for innsyn i interne vurderinger og intern korrespondanse om hvordan virksomheten bør forholde seg i en personalsak, vil kunne påvirke hvordan virksomheten forholder seg i fremtidige saker, noe som igjen kan svekke avgjørelsesgrunnlaget i de fremtidige sakene.
Selv om personalsaken er avsluttet gjør hensynet til forsvarlige avgjørelsesprosesser i fremtidige saker seg gjeldende. Det anses dermed fortsatt «nødvendig» å unnta dokumentet som helhet av hensyn til forsvarlige interne beslutningsprosesser.
Når det gjelder bruken av den private e-postkorrespondansen, er det Datatilsynets vurdering at det er personvernforordningen artikkel 6 nr. 1 bokstav, c og f som er de aktuelle behandlingsgrunnlagene.
Datatilsynet legger til grunn at arbeidsgiver ikke aktivt innhentet e-postkorrespondansen, men ble kjent med korrespondansen gjennom en tredjepart. I en slik situasjon er arbeidsgiver den nærmeste til å vurdere om opplysningene må slettes, eller om de kan være relevante i forbindelse med personalsaken. Arbeidsgiver er også nærmest til å vurdere hva som er nødvendig for å sikre et forsvarlig arbeidsmiljø etter å ha mottatt bekymringsmelding, jf. artikkel 6 nr. 1 bokstav c.
Datatilsynet mener at arbeidsgivers vurderinger framstår som forsvarlige, og tilsynet finner ikke brudd på personvernforordningen artikkel 6.
I oversendelsesbrevet til nemnda 23. mai 2023 kommenterer Datatilsynet spørsmålet om arbeidsgiveren har utlevert opplysninger om A til pressen. Tilsynet viser til at deres undersøkelsesmyndighet etter personvernforordningen artikkel 58 nr. 1 i hovedsak er begrenset til å kreve opplysninger fra behandlingsansvarlige og databehandlere. Arbeidsgiveren har uttalt seg om spørsmålet, og avviser at de har utlevert opplysningene til pressen. Datatilsynet ser det ikke som mulig eller hensiktsmessig å undersøke spørsmålet nærmere, jf. artikkel 57 nr. 1 bokstav f og forvaltningsloven § 17. Nemnda forstår Datatilsynet slik at tilsynet ikke finner det tilstrekkelig sannsynliggjort at en slik utlevering har skjedd.
As syn på saken i korte trekk
Arbeidsgiver må gi ham innsyn i det interne dokumentet. Han har aldri fått noen reell mulighet til kontradiksjon om det påståtte tillitsbruddet. Denne saken dreier seg om alvorlige anklager mot han. Han ble presset ut av arbeidslivet og vet ikke hva arbeidsgiver mener han har gjort galt. Dokumentet han ber om innsyn i kan kanskje gi svar på noe av grunnlaget for de avgjørelser som ble tatt og den bakvaskelse han opplever å ha blitt utsatt for i ettertid.
Å gi ham innsyn i notatet vil ikke skade interne beslutningsprosesser hos den behandlingsansvarlige. Datatilsynet har ikke redegjort for hvordan dette vil skje. Behandlingen av saken be avsluttet for flere år siden. Han er fortsatt en del av organisasjonen. For å ha trygghet trenger han å vite hva ledelsen har lagret om ham og hva ledelsen mener han har gjort galt. Han regner det som sannsynlig at notatet inneholder uriktige opplysninger om ham som han vil ønske å korrigere.
Det har vært mye offentlig uro omkring ledelseskulturen i organisasjonen de siste årene og han opplever at organisasjonen er uredelig.
Det er grunn til å tro at arbeidsgiver ikke bare passivt ble gjort kjent med innholdet i e-postene, men også gjorde en aktiv henstilling til fosterforeldrene om å få e-postene overlevert. Så lenge dette ikke er brakt helt på det rene, bygger tilsynets konklusjon på feil premisser.
Han ber også om en vurdering av sin klage over at arbeidsgiver har lekket opplysninger til pressen. I forbindelse med en kronikk han skrev i avisen i august 2020 der han uttrykte kritikk av ledelsen har han opplevd gjentatte personangrep fra ledelsens side. Ved én anledning ble han kontaktet av en journalist. Redaktøren hadde fått overlevert et brev som hans advokater hadde sendt til arbeidsgiver. Brevet inneholder personsensitive opplysninger. Avisen ønsket å lage en sak om brevet, noe han motsatte seg. Likevel ble det publisert en nyhetssak om brevet som han opplevde som svært belastende. Han har all grunn til å tro at brevet er lekket direkte fra arbeidsgiver til avisen.
Arbeidsgivers syn på saken i korte trekk
Det interne notatet ble opprettet i forbindelse med en pågående personalsak. B, som hadde personalansvaret og som skulle fratre, opprettet notatet i forbindelse med at personalsaken skulle overleveres til andre i organisasjonen. Arbeidsgiver hadde rettslig grunnlag for å behandle opplysningene, jf. personvernforordningen artikkel 6 nr. 1 bokstav c og f.
Notatet bærer preg av å være en logg med oppsummering av hvilken kontakt det har vært internt i saken, og hvilke tiltak som har vært forsøkt fra arbeidsgivers side. Dokumentet består i hovedsak av interne saksnotater i en utfordrende personalsak, oppsummerer arbeidsgivers saksbehandling og vurderinger, og viser i den sammenheng til andre relevante dokumenter i saken. Dokumentet inneholder også noen utdrag fra e-poster og andre dokumenter som har vært en del av korrespondansen mellom B og A. A besitter selv disse dokumentene.
Dokumentet inneholder ikke ufullstendige personopplysninger om A som kan/bør rettes eller suppleres. Dokumentet inneholder informasjon om arbeidsgivers interne saksbehandling og vurderinger. Det er derfor ikke er grunnlag for en supplerende erklæring etter personvernforordningen artikkel 16.
Det tilbakevises på det sterkeste at A ikke ble gitt mulighet til kontradiksjon i personalsaken. Saken ble gjort til gjenstand for en grundig prosess som endte med at det ble inngått en sluttavtale mellom partene. A var i denne prosessen bistått av advokat.
Arbeidsgiver innhentet ikke aktivt den omtalte e-postkorrespondansen. Denne ble overlevert til arbeidsgiver fra fosterforeldrene. Arbeidsgivers behandling av bekymringsmeldingen mot A som arbeidstaker og dokumentasjonen vedlagt meldingen utgjør en del av arbeidsgivers personaladministrasjon, og har behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav b, c og f. Da arbeidsgiver mottok bekymringsmeldingen vurderte organisasjonen at den hadde behandlingsgrunnlag både som arbeidsgiver og ut fra en generell rettslig plikt til å undersøke forholdene omkring bekymringsmelding mot ansatte i organisasjonen.
Korrespondansen ble kun lagret i den perioden det var nødvendig for å behandle saken. Opplysningene ble slettet i juni 2019.
Arbeidsgiver tilbakeviser As udokumenterte påstand om at organisasjonen har lekket opplysninger om ham til pressen.
Personvernnemndas vurdering
Innsyn i arbeidsgivers interne dokumenter
Etter personvernforordningen artikkel 15 har den registrerte rett til innsyn i personopplysninger som behandles om seg. Innsynsretten etter personopplysningsloven gjelder ved siden av retten til innsyn etter forvaltningsloven og offentleglova.
Etter personopplysningsloven § 16 første ledd bokstav e, jf. personvernforordningen artikkel 23 nr. 1, omfatter innsynsretten ikke opplysninger som:
«utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser».
I Prop. 56 LS (2017-2018) uttaler Justis- og beredskapsdepartementet blant annet følgende om dette unntaket i merknadene til § 16 i kapittel 38.1, side 217:
«Første ledd bokstav e gjør unntak for opplysninger som utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig for å sikre forsvarlige interne avgjørelsesprosesser. Unntaket viderefører § 23 første ledd bokstav e i gjeldende lov, men oppstiller et ytterligere krav om at det bare kan gjøres unntak så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser. Dette vilkåret svarer til vilkåret i offentleglova § 15 første ledd, og denne bestemmelsen kan gi veiledning for vurderingen. På samme måte som etter offentleglova § 15 første ledd er det ikke bare hensynet til den interne saksforberedelse i den enkelte saken som kan vektlegges, men også hensynet til avgjørelsesprosessene i fremtidige saker.»
Nemnda legger til grunn at innsynsbegjæringen gjelder opplysninger som fremkommer i dokumenter utarbeidet for den interne saksforberedelsen i organisasjonen og at de aktuelle opplysningene ikke er utlevert til andre utenfor organisasjonen.
Loven stiller i tillegg krav om at unntak fra innsynsretten må være «nødvendig for å sikre forsvarlige interne avgjørelsesprosesser». Vilkåret innebærer at det bare vil kunne gjøres unntak dersom det er fare for at innsyn vil skade den interne avgjørelsesprosessen i organisasjonen. Det framgår av forarbeidene til offentleglova (som forarbeidene til personopplysningsloven viser til) at formålet med å ta inn dette vilkåret er at det bare skal være anledning til å gjøre unntak i tilfeller der hensynene bak dette vilkåret slår til. Unntaket er ikke bare begrunnet i hensynet til å sikre forsvarlige avgjørelsesprosesser i den enkelte saken, men også på lengre sikt. Det vil derfor være relevant å ta hensyn til at innsyn kan skade framtidige interne avgjørelsesprosesser ved at medarbeidere kan bli mer tilbakeholdne med å komme med råd og vurderinger skriftlig. Nemnda legger til grunn at det er viktig for å sikre forsvarlige avgjørelsesprosesser at arbeidsgiver kan holde informasjon fortrolig og kan ha en fri intern diskusjon og saksforberedelse. Dette hensynet er ikke minst viktig i en vanskelig personalsak, som dette er beskrevet som.
Det fremkommer av arbeidsgivers redegjørelse at det interne dokumentet (notatet) som er unntatt fra innsyn i hovedsak utgjør en logg med oppsummering av hvilken kontakt det har vært internt i saken, og hvilke tiltak som har vært forsøkt fra arbeidsgivers side. Dokumentet består i hovedsak av interne saksnotater i en utfordrende personalsak, oppsummerer arbeidsgivers saksbehandling og vurderinger, og viser i den sammenheng til andre relevante dokumenter i saken. Slike interne vurderinger er slik nemnda ser det unntatt fra innsyn etter personopplysningsloven § 16 første ledd bokstav e.
A får etter dette ikke medhold i sitt innsynskrav, jf. personvernforordningen artikkel 15, jf. personopplysningsloven § 16 første ledd bokstav e.
Arbeidsgivers bruk av private e-poster i personalsaken
Behandling av personopplysninger må ha et rettslig grunnlag, jf. personvernforordningen artikkel 6 nr. 1. Nemnda er enig med Datatilsynet i at arbeidsgiver har behandlingsgrunnlag i artikkel 6 nr. 1 bokstav c, jf. nr. 3, med supplerende rettsgrunnlag i arbeidsmiljøloven.
Det følger av artikkel 6 nr. 1 bokstav c at arbeidsgiver kan behandle personopplysninger hvis det er nødvendig for å oppfylle en rettslig forpliktelse. Etter artikkel 6 nr. 3 må den rettslige forpliktelsen ha grunnlag i lov. Arbeidsmiljøloven gir arbeidsgiver en rettslig forpliktelse om å sørge for et forsvarlig arbeidsmiljø, jf. arbeidsmiljøloven § 2-2.
Nemnda er enig med Datatilsynet i at arbeidsgiver hadde gyldig behandlingsgrunnlag for å motta og behandle opplysningene som fremkom i den private e-postutvekslingen mellom A og den aktuelle jenta. E-postene var tilsendt arbeidsgiver som vedlegg til bekymringsmeldingen. Nemnda har ingen forutsetninger for å vurdere hvorvidt det var en godt begrunnet bekymringsmelding eller ikke, men arbeidsgiver plikter i et slikt tilfelle å gjøre nødvendige undersøkelser og har da også behandlingsgrunnlag etter loven for å behandle opplysningene.
Utlevering av personopplysninger til pressen
Når det gjelder anførselen om at arbeidsgiver har utlevert opplysninger til pressen uten gyldig behandlingsgrunnlag, er partene i saken uenige om faktumet. A hevder at det er arbeidsgiver som har lekket opplysningene ulovlig og arbeidsgiveren bestrider at det er tilfellet. Verken Datatilsynet eller Personvernnemnda har muligheter for å avdekke hvem som har vært pressens kilder i denne saken. At saken er omtalt i pressen er ikke tilstrekkelig til å konstatere at det er organisasjonen som har utlevert opplysninger i strid med personvernforordningen. Et slik brudd på personopplysningsloven er derfor ikke sannsynliggjort.
Datatilsynet har etter nemndas vurdering oppfylt sin utredningsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17. Datatilsynets avgjørelse om ikke å gjøre ytterligere undersøkelser på dette punktet er etter nemndas vurdering forsvarlig og innenfor lovens rammer.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets vedtak opprettholdes.
Oslo, 5. desember 2023
Mari Bø Haugstad
Leder