Personvernnemndas vedtak 17. april 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Eirik Løkke)
Saken gjelder klage fra Meta Platforms Ireland Limited (Meta Ireland) og Facebook Norway AS (Facebook Norway) på Datatilsynets vedtak 3. august 2023 der tilsynet avviste klage over vedtak 14. juli 2023 truffet med hjemmel i personvernforordningen artikkel 66 nr. 1, jf. personopplysningsloven § 22 andre ledd.
Sakens bakgrunn
Det følger av personvernforordningen artikkel 56 nr. 1 at det er tilsynsmyndigheten i det landet der den behandlingsansvarlige eller databehandleren har sin hovedvirksomhet, eller sin eneste virksomhet, som er ansvarlig tilsynsmyndighet for virksomhetens grenseoverskridende behandling av personopplysninger. En grenseoverskridende behandling er, ifølge personvernforordningen artikkel 4 nr. 23 og fortalepunkt 124, en behandling som i betydelig grad påvirker, eller sannsynligvis vil påvirke, registrerte i flere medlemsstater. Meta Ireland og Facebook Norways tilbud om Facebook- og Instagramtjenester er en slik grenseoverskridende behandling av personopplysninger.
Personvernforordningen har detaljerte regler om hvordan tilsynsmyndigheter i de ulike medlemsstatene skal samarbeide i saker etter personvernforordningen som berører flere land. Det er den ledende tilsynsmyndigheten som i utgangspunktet har kompetansen i disse grenseoverskridende sakene, men denne tilsynsmyndigheten er i henhold til artikkel 60 – 62 pålagt å samarbeide med andre berørte tilsynsmyndigheter. Formålet med reglene er å sikre en harmonisert etterlevelse av forordningen, jf. artikkel 61.
Den irske tilsynsmyndigheten traff 31. desember 2022 vedtak som forbød Meta Ireland å benytte artikkel 6 nr. 1 bokstav b (avtale) som behandlingsgrunnlag for atferdsbasert markedsføring i forbindelse med tjenestene Facebook og Instagram. Vedtaket ble truffet i samsvar med de prosessuelle reglene i konsistensmekanismen i personvernforordningen kapitel VII, med den irske tilsynsmyndigheten som ledende tilsynsmyndighet.
Den 5. mai 2023 anmodet Datatilsynet den irske tilsynsmyndigheten om å innføre et midlertidig forbud mot behandling av personopplysninger for formål knyttet til atferdsbasert markedsføring med grunnlag i artikkel 6 nr. 1 bokstav f (berettiget interesse). Den irske tilsynsmyndigheten etterkom ikke anmodningen.
Datatilsynet traff deretter 14. juli 2023 vedtak overfor Meta Ireland som behandlingsansvarlig og Facebook Norway som en norsk etablering av den behandlingsansvarlige. Vedtaket innebar et midlertidig forbud mot atferdsbasert markedsføring med grunnlag i personvernforordningen artikkel 6 første ledd bokstav b (avtale) og bokstav f (berettiget interesse) i forbindelse med selskapenes tilbud om Facebook- og Instagramtjenester til norske brukere. Fristen for etterlevelse av vedtaket ble satt til 4. august 2023. Vedtaket ble truffet med hjemmel i personvernforordningen artikkel 66 nr. 1, jf. artikkel 58 nr. 2 bokstav f. Artikkel 66 gir en berørt tilsynsmyndighet hjemmel til å treffe hastebeslutninger med en tidsbegrenset varighet på inntil tre måneder, som et unntak fra den ordinære konsistensmekanismen som gjelder for grenseoverskridende saker hvor det er den ledende tilsynsmyndigheten som i utgangspunktet har kompetanse til å treffe vedtak. Det framgår av vedtaket at det ikke kan klages inn for Personvernnemnda, jf. personopplysningsloven § 22 andre ledd, men at søksmål kan reises ved Oslo tingrett, jf. personvernforordningen artikkel 78 nr. 1, personopplysningsloven § 25 og tvisteloven § 4-4 fjerde ledd.
Meta Ireland og Facebook Norway klaget på vedtaket 1. august 2023. I klagen er det lagt til grunn at Kommunal- og distriktsdepartementet er rett klageinstans.
Datatilsynet avviste klagen 3. august 2023 og viste til at vedtaket, som er truffet etter personvernforordningen kapittel VII, ikke kan påklages til Personvernnemnda, jf. personopplysningsloven § 22 andre ledd. Videre viste tilsynet til at det er et uavhengig forvaltningsorgan som ikke kan instrueres om behandlingen av enkeltsaker eller om den faglige virksomheten for øvrig. Tilsynet la til grunn at vedtaket derfor heller ikke ga klagerett til departementet. Datatilsynet vurderte om det var grunnlag for omgjøring, men tok ikke begjæringene til følge. Tilsynet orienterte igjen om muligheten for å bringe saken inn for domstolen ved søksmål.
Klagene ble også sendt direkte til Kommunal- og distriktsdepartementet 8. august 2023. I brev 10. august 2023 svarte Kommunal- og distriktsdepartementet at departementet ikke har myndighet til å behandle klager over Datatilsynets vedtak. Departementet opplyste at brevet ikke var et enkeltvedtak etter forvaltningsloven, og kunne derfor ikke påklages.
Meta Ireland og Facebook Norway klaget 15. august 2023 på Datatilsynets avvisningsvedtak. Meta Ireland og Facebook Norway viste til forvaltningsloven § 28 og ba Datatilsynet om å omgjøre avvisningsvedtaket og forberede klagene for klagebehandling i Kommunal- og distriktsdepartementet. Dersom tilsynet opprettholdt avvisningsvedtaket, ba selskapene om at klagene ble sendt til Personvernnemnda.
Datatilsynet fant ikke grunnlag for å endre sin avgjørelse og sendte saken til Personvernnemnda 4. oktober 2023. Meta Ireland og Facebook Norway ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Meta Ireland og Facebook Norway ga sine kommentarer i to likelydende brev til Personvernnemnda 20. oktober 2023. I e-post fra nemnda 2. januar 2024 ble Meta Ireland og Facebook Norway orientert om forlenget saksbehandlingstid.
Saken ble behandlet i nemndas møte 17. april 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin og Eirik Løkke. Sekretariatsleder Anette Klem Funderud og førstekonsulent Emilie Winther Løvli var også til stede.
Datatilsynets vurdering i korte trekk
Det følger av personopplysningsloven § 22 andre ledd første punktum at det er Personvernnemnda som normalt avgjør klager over Datatilsynets vedtak, jf. personopplysningsloven § 22 andre ledd første punktum. Personvernnemnda har ikke adgang til å behandle klager over vedtak fattet av Datatilsynet etter personvernforordningen kapittel VII, jf. personopplysningsloven § 22 andre ledd andre punktum. Tilsynets vedtak 14. juli 2023 er fattet i medhold av personvernforordningen artikkel 66 nr. 1 som er en av bestemmelsene kapittel VII.
Datatilsynet er et uavhengig forvaltningsorgan som ikke kan instrueres om behandlingen av enkeltsaker eller om den faglige virksomheten for øvrig. Kongen og departementet kan derfor ikke omgjøre Datatilsynets vedtak, jf. personopplysningsloven § 20 første ledd. I og med at departementet ikke kan omgjøre Datatilsynets vedtak, kan Datatilsynets vedtak heller ikke klages inn for departementet.
Datatilsynet har vurdert klagene i tråd med forvaltningsloven § 33 andre ledd og har kommet til at det ikke er grunnlag for å oppheve eller endre vedtaket fra 14. juli 2023.
Datatilsynet opprettholder at klagene fra Meta Ireland og Facebook Norway skal avvises.
Meta Ireland og Facebook Norways syn på saken i korte trekk
Formålet med Meta Ireland og Facebook Norways avvisningsklage er å få opphevet Datatilsynets og Kommunal- og distriktsdepartementets summariske avslag på Meta Ireland og Facebook Norways opprinnelige klage på Datatilsynets vedtak 14. juli 2023.
Personvernnemnda må omgjøre Datatilsynets avvisningsvedtak 3. august 2023, og tilsynet må forberede klagen for klagebehandling hos departementet etter prosedyrene i forvaltningsloven.
PVN-2023-02 som tilsynet viser til er ikke relevant. Meta Ireland og Facebook Norway har i foreliggende sak ikke påklaget Datatilsynets vedtak 14. juli 2023 til nemnda. Selskapene bestrider ikke at Personvernnemnda ikke har kompetanse til å vurdere klagen på tilsynets vedtak 14. juli 2023. Meta Ireland og Facebook Norway ønsker å utøve sin rett til å få prøvet Datatilsynets vedtak gjennom en forvaltningsrettslig klage til departementet, jf. forvaltningsloven § 28.
Selskapet har blitt påført løpende dagmulkt og omdømmeskade basert på det ulovlige vedtaket 14. juli 2023. Gyldigheten av dette vedtaket er ikke blitt vurdert av noen høyere instans eller rettslig myndighet.
Forvaltningsloven § 28 første ledd gir Meta Ireland og Facebook Norway rett til å påklage vedtaket. Datatilsynets vedtak 14. juli 2023 er underlagt forvaltningsloven § 28 første ledd som gir Meta Ireland og Facebook Norway rett til å påklage vedtaket. Da departementet er Datatilsynets «nærmest overordnet [...] forvaltningsorgan», krever forvaltningsloven § 28 første ledd at departementet skal prøve Meta Ireland og Facebook Norways klage på Datatilsynets vedtak 14. juli 2023.
Det er ingen bestemmelser i personvernforordningen som er i konflikt med retten til å klage etter forvaltningsloven § 28, eller som på annen måte hindrer selskapene fra å påklage vedtaket. Tvert imot støtter forordningen artikkel 78 nr. 1 Meta Ireland og Facebook Norways rett til administrativ klagebehandling.
Datatilsynet kan ikke begrunne avvisningen med at tilsynet ikke kan instrueres av departementet. Uttrykket «instrueres» i § 20 første ledd gjelder utøvelse av myndighet, f.eks. påtalemessige prioriteringer. Dette betyr ikkeat tilsynets avgjørelser er fritatt fra å påklages til et overordnet organ.
At personopplysningsloven § 20 første ledd bestemmer at Kongen og departementet ikke kan omgjøre Datatilsynets vedtak kan heller ikke begrunne tilsynets avvisning av klagene.
Personopplysningsloven § 22 er ikke til hinder for at Meta Ireland og Facebook Norway
kan påklage Datatilsynets vedtak 14. juli 2023. En parts rett til administrativ overprøving av en avgjørelse etter forvaltningsloven § 28 er en grunnleggende rettighet etter norsk lov og en viktig rettssikkerhetsgaranti. Har lovgiver til hensikt å frata en part denne rettigheten under særlige omstendigheter må den relevante bestemmelsen uttrykkelig angi dette ved bruk av spesifikk ordlyd, jf. Forvaltningskomiteen (1958) side 275 og 445. Personopplysningsloven inneholder ikke slik ordlyd.
Verken § 22 eller annen bestemmelse i personopplysningsloven fratar uttrykkelig berørte parter klagerettigheten. Personopplysningsloven angir kun at Personvernnemnda «avgjør klager over Datatilsynets vedtak med mindre noe annet er særskilt fastsatt». Den sier ikke at nemnda er det eksklusive administrative organet som alene kan avgjøre en klage over Datatilsynets vedtak.
Ved utformingen av lovens § 22 var det klart ikke lovgivers hensikt å avskjære en parts rett til administrativ klage i tilfeller der Datatilsynet fatter vedtak etter artikkel 66. Formålet med bestemmelsen var å unngå en konflikt mellom klagebehandlingskompetansen til nemnda og personvernforordningens samarbeids- og konsistensmekanisme som fastslått i forordningen kapittel VII og artikkel 56, se Prop. 56 LS (2017-2018) side 219.
Den ledende tilsynsmyndigheten har under samarbeids- og konsistensmekanismen alene kompetanse til å fatte vedtak. Slike avgjørelser kan etterprøves av Personvernrådet etter tvisteløsningsprosedyren i artikkel 65. I foreliggende sak er vedtaket 14. juli 2023 fattet i medhold av artikkel 66 nr.1 som gir tilsynsmyndigheter fullmakt til å utstede pålegg «som unntak fra konsistensmekanismen». Vedtaket er fattet utenfor konsistensmekanismen, og det er ingen potensiell konflikt mellom klagebehandlingskompetansen til et norsk organ (her departementet) og forordningens samarbeids- og konsistensmekanisme.
Uten muligheten for departementets klagebehandling har Meta Ireland og Facebook Norway ingen annen mulighet til administrativt å påklage vedtaket, noe som ville være i strid med lovgivernes intensjon.
Personvernnemndas vurdering
Klagene fra Meta Ireland og Facebook Norway gjelder Datatilsynets vedtak 3. august 2023 der tilsynet avviste selskapenes klager over Datatilsynets vedtak 14. juli 2023. Vedtaket 14. juli 2023 ila selskapene et midlertidig forbud mot atferdsbasert markedsføring med grunnlag i personvernforordningen artikkel 6 første ledd bokstav b og bokstav f i forbindelse med selskapenes tilbud om Facebook- og Instagramtjenester. Vedtaket ble truffet med hjemmel i personvernforordningen artikkel 66 nr. 1, jf. artikkel 58 nr. 2 bokstav f.
Datatilsynet avviste klagene på grunn av selskapenes manglende klagerett til Personvernnemnda på vedtak fattet etter bestemmelsene i personvernforordningen kapittel VII. Et vedtak om avvisning gir klagerett, jf. forvaltningsloven § 28, jf. § 2 tredje ledd.
Personvernnemndas kompetanse framkommer av personopplysningsloven § 22 andre ledd:
«Personvernnemnda avgjør klager over Datatilsynets vedtak med mindre noe annet er særskilt fastsatt. Datatilsynets vedtak etter personvernforordningen artikkel 56 og kapittel VII kan ikke påklages til Personvernnemnda.»
Det er enighet om at Datatilsynets vedtak 14. juli 2023 er hjemlet i personvernforordningen kapittel VII og at Personvernnemnda ikke har kompetanse til å behandle klager over dette vedtaket. Datatilsynets vedtak 3. august om å avvise klagene til Personvernnemnda er derfor korrekt.
Når Personvernnemnda ikke har kompetanse til å behandle saker etter personvernforordningen kapittel VII, tilligger det heller ikke Personvernnemnda å ta stilling til de prosessuelle reglene for hvordan disse sakene skal behandles. Gyldigheten av Datatilsynets vedtak vil imidlertid kunne bringes inn for domstolene.
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets avvisning av klagen opprettholdes.
Oslo, 17. april 2024
Mari Bø Haugstad
Leder