Personvernnemndas vedtak 15. oktober 2018 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Gisle Hannemyr, Ellen Økland Blinkenberg)
Saken gjelder klage fra A på Datatilsynets beslutning 7. juli 2017 om avslutning av sak om innsynsbegjæring.
Sakens bakgrunn
A henvendte seg til politiet 21. januar 2016 og begjærte innsyn i politiets sentrale registre. Innsynsbegjæringen gjaldt personopplysninger om han selv i straffesaksregisteret, reaksjonsregisteret, personidentitet- og politiopplysningsregisteret, kriminaletterretningsregisteret, politioperativt register, lydlogg og register for bekymringssamtaler.
A opplyste i innsynsbegjæringen 21. januar 2016 at bakgrunnen for innsynsbegjæringen var to hendelser i 2015. A beskrev hendelsene i to punkter på følgende måte:
«1) Bekymringsmelding innringt til X Politikammer 11/8-2015 fra min fastlege C – basert på tlf fra [ektefelle] B, da pasient på Y Psykiatriske.
2) Politiutrykning til B [adresse] lørdag 24/10-2015, 4 bevæpnede politimenn. Basert på min telefonhenv. til Z Legevakt om fallskade i oppgangen samme sted på B. FORHØR av B og meg i separate rom".
Kripos er behandlingsansvarlig for politiets sentrale registre og behandlet begjæringen om innsyn.
I Kripos' vedtak 15. mars 2016 ble A informert om at innsyn i reaksjonsregisteret gis muntlig ved lokalt politidistrikt. Når det gjaldt kriminaletterretningsregisteret, personidentitet- og politiopplysningsregisteret og register for bekymringssamtaler ble A informert om at det enten ikke var registrert opplysninger om han eller at han ikke hadde innsynsynsrett i opplysninger om seg selv i henhold til politiregisterforskriften (FOR-2013-09-20-1097) §§ 47-11, 49-8, 59-8 og 53-10, jf. politiregisterloven § 49 (lov nr. 16/2010) og politiregisterforskriften kapittel 13.
Politiregisterloven § 49 har følgende regel om innsyn:
«I den enkelte straffesak har den registrerte rett til dokumentinnsyn i samsvar med straffeprosesslovens regler.
Utenfor den enkelte straffesak har den registrerte rett til å få opplyst hvilke opplysninger som er registrert om seg selv.
Den registrerte har, både i og utenfor den enkelte straffesak, rett til å få opplyst hvorvidt opplysninger om vedkommende er utlevert, hvem de er utlevert til og hvilke opplysninger som er utlevert.
Innsyn etter annet og tredje ledd kan nektes dersom det er nødvendig av hensyn til
1. kriminalitetsbekjempelsen,
2. nasjonal og offentlig sikkerhet,
3. gjennomføring av strafferettslige reaksjoner,
4. vern av andre personer enn den registrerte, eller
5. mottakerorganets lovpålagte kontrolloppgaver»
I vedtaket ble A imidlertid innvilget innsyn i staffesaksregisteret og i politioperativt register.
A klagde vedtaket inn til Politidirektoratet 8. april 2016. A mente at opplysningene han hadde fått innsyn i var irrelevante, og at han ikke hadde fått innsyn i alle opplysningene han mener er registrert om ham. I klageomgangen beskrev A at innsynsbegjæringen gjaldt tre punkter, ikke to som opplistet i innsynsbegjæringen 21. januar 2016. A opplyste i tillegg nå at punkt tre gjaldt:
«3. Telefon fra Kriminalpolitivakta v/D søndag 7/2-2016 ca. kl. 23.00 til min mobiltelefon [telefonnummer] hvor jeg blir bedt om å gjøre rede for hvor B befinner seg, da hun siden 16.30 samme dag var forsvunnet fra Æ Helsehus hvor hun var innlagt for rehabilitering.»
A redegjør i klagen 8. april 2016 for bakgrunnen for samtlige tre hendelser:
1. bekymringsmeldingen fra As fastlege 11. august 2015
2. politiutrykningen 24. oktober 2015
3. politioppringningen 7. februar 2016
I vedtak 3. juni 2016 opprettholdt Politidirektoratet vedtaket fra Kripos.Politidirektoratet ga i vedtaket blant annet følgende begrunnelse:
«Det følger av politiregisterforskriften § 53-10 at «innsyn i politioperativt register gis i samsvar med politiregisterloven § 49 og forskriften kapittel 13.» Det vil si at du i utgangspunktet har en rett til å få opplyst hvilke opplysninger som er registrert om deg selv. Innsynsretten i opplysninger om deg selv omfatter ikke «opplysninger som inngår i politiets interne vurderinger, planlegging eller kommunikasjon.» Innsyn i opplysninger om deg selv kan også unntas i [sic] hvis «innsyn kan avsløre hvem som har gitt politiet opplysninger og det er grunn til å tro at opplysningene ikke ville blitt meddelt politiet dersom melderens identitet ble kjent for den som begjærer innsyn.» Begge disse unntakene gjør seg gjeldende i ditt tilfelle.
Noen av opplysningene Kripos ikke har gitt innsyn i omhandler tredjepersoner, og omfattes dermed ikke av din innsynsrett. Andre opplysninger er unntatt av hensyn til «vern av andre personer enn den registrerte», jf. politiregisterloven § 49 fjerde ledd nr. 4. Opplysningene det ikke er gitt innsyn i knytter seg blant annet til innkomne telefonhenvendelser til og fra tredjepersoner. Det er ikke gitt innsyn i disse tredjepersonenes identitet. Andre opplysninger er unntatt fordi de inngår i «politiets interne vurderinger, planlegging eller kommunikasjon.»
Etter Politidirektoratets vurdering har du heller ikke rett på innsyn i flere opplysninger om hendelsen 24.10.2015. De opplysningene som er unntatt knytter seg til «politiets interne vurderinger, planlegging eller kommunikasjon, jf. politiregisterforskriften § 53-10 første ledd.
Du skriver i klagen at opplysningene du har fått innsyn i er irrelevante. Etter Politidirektoratets vurdering har du fått innsyn i de opplysningene du har krav på etter politiregisterlovgivningen, hentet fra de registrene innsynsbegjæringen gjelder. Verken Kripos eller Politidirektoratet kan vurdere om opplysningene du har rett til innsyn i er relevante for deg.
I den skriftlige korrespondansen Politidirektoratet har fått oversendt fra Kripos, kan Politidirektoratet ikke se at Kripos har svart deg på begjæringen om innsyn i lydlogg. Vi gjør oppmerksom på at innsyn i lydlogg kun gis i tilfeller hvor det foreligger en anmeldelse eller andre konkrete holdepunkter som tilsier at lydloggen vil få betydning som bevis i straffesak eller annen form for dokumentasjon, jf. politiregisterforskriften § 53-11, jf. § 53-15. Videre må den som begjærer innsyn i lydlogg angi tid, sted og hendelse eller på annen måte identifisere den antatte registreringen det søkes innsyn i [i] samsvar med vilkårene i politiregisterforskriften § 53-12. I innsynsbegjæringen oppgir du datoer, som i alle tilfelle er så langt tilbake i tid at lydloggen vil være slettet etter politiregisterforskriften § 53-15 annet ledd (slettefrist på 90 dager).»
A ga sine kommentarer til vedtaket i skriv til Politidirektoratet 8. juni 2016. I brev til A 17. juni 2016 fastholdt Politidirektoratet sitt vedtak 3. juni 2016, og opplyste samtidig om muligheten til å be Datatilsynet om å gjennomføre en kontroll av hvorvidt reglene om innsyn er fulgt, jf. politiregisterloven § 59.
A sendte sin innsynsbegjæring til Datatilsynet 15. mars 2017. Datatilsynet har ikke kompetanse til å gi pålegg om innsyn, jf. politiregisterloven § 60 første ledd siste punktum. Tilsynet behandlet henvendelsen som en begjæring om kontroll i medhold av politiregisterloven § 59. I innsynsbegjæringen vedla A vedtakene fra Kripos og Politidirektoratet. Datatilsynet fant at denne dokumentasjonen var tilstrekkelig til å foreta en vurdering av om politiet har gitt innsyn i tråd med lovens krav, og innhentet ikke ytterligere opplysninger.
Datatilsynet la til grunn at politiet hadde fulgt reglene for innsyn og avsluttet saken ved brev til A 7. juli 2017. I brevet ble A orientert om klageadgangen til Personvernnemnda.
A framsatte klage på Datatilsynets beslutning 15. juli 2017. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda, som mottok saken 4. april 2018. Partene er gitt anledning til å gi ytterligere merknader, men ingen merknader er innkommet.
Saken ble behandlet i nemndas møte 15. oktober 2018. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Ellen Økland Blinkenberg og Hans Marius Graasvold. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A har i hovedsak anført
Saksbehandlerne i politiet har enda ikke forstått hva innsynsbegjæringen gjelder, siden avslaget hele tiden begrunnes med at «opplysningene omhandler tredjepersoner og dermed ikke omfattes av din innsynsrett».
Han er godt kjent med disse tredjepersoners identitet, nemlig fastlegen og ektefellen. Det er særlig viktig at han får innsyn i fastlegens innringte bekymringsmelding, da dette er avgjørende for hans mulighet til å få avsluttet saken som er blitt stadig mer ødeleggende for ham.
Datatilsynets vurdering
I medhold av politiregisterloven § 59 skal Datatilsynet, etter begjæring fra den registrerte eller den som antar å være registrert, kontrollere at opplysningene om vedkommende er behandlet i samsvar med loven og at reglene om innsyn er fulgt. Etter lovens § 60 kan Datatilsynet gi pålegg om at behandling skal opphøre dersom den er i strid med politiregisterloven. Datatilsynet kan likevel ikke gi pålegg om innsyn i opplysninger som er unntatt fra innsynsrett etter politiregisterloven § 49. Dersom Datatilsynet er av den oppfatning at innsynsreglene ikke er fulgt, kan tilsynet gi en anmerkning.
Bakgrunnen for at Datatilsynet ikke kan gi pålegg om innsyn er begrunnet med at unntak fra innsynsrett er basert på en politifaglig vurdering og at Datatilsynet således ikke burde kunne avgjøre om det skal gis innsyn med bindende virkning. Dette framgår av forarbeidene til politiregisterloven, Ot.prp. nr. 108 (2008-2009) side 324.
Utgangspunktet for innsyn følger av politiregisterloven § 49 som sier at «utenfor den enkelte straffesak har den registrerte rett til å få opplyst hvilke opplysninger som er registrert om seg selv». I medhold av politiregisterloven § 49 fjerde ledd kan innsyn nektes dersom det er nødvendig av hensyn til visse formål, herunder blant annet vern av andre personer enn den registrerte. For innsyn i politioperativt register gjelder også bestemmelsen i politiregisterforskriften § 53-10.
Politiet har vurdert As innsynsbegjæring, og har etter en politifaglig vurdering avslått å gi A innsyn i visse opplysninger.
Politiet begrunner avslag på innsyn i opplysninger i politioperativt register delvis med at de angjeldende opplysningene omhandler tredjepersoner og at de dermed ikke omfattes av vedkommendes innsynsrett. Andre opplysninger faller innunder unntaket i politiregisterloven § 49 fjerde ledd, jf. politiregisterforskriften § 53-10 andre ledd. Atter andre opplysninger knytter seg til «politiets interne vurderinger, planlegging eller kommunikasjon», jf. politiregisterforskriften § 53-10 første ledd.
Datatilsynet anser politiets vurderinger som forsvarlige. Begrunnelsene som er gitt for avslaget anses også som tilfredsstillende.
Politiet har etter Datatilsynets vurdering fulgt reglene for innsyn, også når det gjelder avslaget om innsyn i visse opplysninger. Det er ikke grunnlag for å forfølge saken videre fra Datatilsynets side.
Personvernnemndas vurdering
Saken gjelder klage på Datatilsynets beslutning 7. juli 2017 om å avslutte saken etter en realitetsbehandling, hvor tilsynet ikke fant grunn til å gi politiet noen anmerkning i forbindelse med håndteringen av As innsynsbegjæring i politiets sentrale registre.
Lovvalg
A brakte saken inn for Datatilsynet 15. mars 2017. Da tilsynet fattet sin beslutning 7. juli 2017 fulgte Datatilsynets mandat og oppgaver av personopplysningsloven 2000 § 42.
Ny lov om behandling av personopplysninger (personopplysningloven 2018) trådte i kraft 20. juli 2018. Det følger av personopplysningsloven 2018 § 1 at Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller forordningen), gjelder som norsk lov fra 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.
Personopplysningsloven 2018 har overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et mer gunstig resultat for den behandlingsansvarlige, jf. forbudet i Grunnloven § 97 mot at lover gis tilbakevirkende kraft. I denne saken er det ikke spørsmål om ileggelse av overtredelsesgebyr, og det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.
Dette er også omtalt i forarbeidene til personopplysingsloven 2018, Prop. 56 LS (2017-2018) side 196, hvor departementet blant annet uttaler:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018 og politiregisterloven.
Personopplysingsloven 2018 § 2 har regler om lovens og forordningens virkeområde. I bestemmelsens første ledd framgår det at:
«Loven og personvernforordningen gjelder ved helt eller delvis automatisert behandling av personopplysninger og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register. Loven og personvernforordningen gjelder ikke når annet er bestemt i eller med hjemmel i lov.»
I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 26 uttaler departementet blant annet dette om myndighetenes behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold mv.:
«Departementet bemerker for ordens skyld at § 2 første ledd ikke er ment å avskjære muligheten til å gi nasjonale regler som gjennomfører direktiv (EU) 2016/680, slik det for eksempel er gjort gjennom politiregisterloven. Det følger av forslaget til § 2 første ledd annet punktum at loven og forordningen ikke gjelder der annet er bestemt i eller i medhold av lov. Nasjonale regler som gjennomfører direktiv (EU) 2016/680, vil være et eksempel på slike regler, og reglene vil dermed gå foran bestemmelsene i personopplysningsloven og forordningen. Hvorvidt reglene i personopplysningsloven og forordningen kommer til supplerende anvendelse i disse tilfellene, eller om de er fraveket i sin helhet, må avgjøres på bakgrunn av en tolkning av de aktuelle reglene»
Retten til informasjon og innsyn etter personvernforordningen artikkel 13, 14 og 15 omfatter ikke opplysninger som «det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger», jf. personopplysningsloven 2018 § 16 første ledd bokstav b). Den som nekter å gi innsyn i medhold av første ledd, må begrunne dette skriftlig og gi en presis henvisning til unntakshjemmelen, jf. lovens § 16 tredje ledd. I denne saken følger unntakshjemmelen av politiregisterloven § 49.
Datatilsynets og Personvernnemndas kompetanse
Datatilsynet er tilsynsmyndighet og skal føre kontroll med at politiet følger politiregisterloven med tilhørende forskrifter, og at feil eller mangler blir rettet, jf. politiregisterloven § 58.
I henhold til politiregisterloven § 59 skal Datatilsynet, etter begjæring fra den registrerte, kontrollere at opplysningene om vedkommende er behandlet i samsvar med loven og at reglene om innsyn er fulgt.
Datatilsynet har etter personopplysningsloven 2018 en vid adgang til å kunne gi den behandlingsansvarlige et bindende pålegg og fatte vedtak om dette, for eksempel om at den registrerte skal gis innsyn i egne personopplysninger, eller at en behandling av personopplysninger skal opphøre eller endres.
Når det gjelder personopplysninger som er unntatt fra innsynsrett etter politiregisterloven § 49, er Datatilsynets myndighet imidlertid begrenset til å gi en anmerkning dersom Datatilsynet finner at politiet ikke har fulgt innsynsreglene i lov og forskrift. Dette framgår direkte av politiregisterloven § 60. Politiregisterforskriften §§ 42-2 og 42-3 gir i tillegg anvisning på hvilken behandling som omfattes av henholdsvis påleggs- og anmerkningskompetansen.
Politiregisterloven § 60 første til tredje ledd lyder:
«Datatilsynet kan gi den behandlingsansvarlige pålegg om at behandling av opplysninger i strid med §§ 15 og 16 skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med disse bestemmelsene. Datatilsynet kan ved behandling av opplysninger utenfor straffesak dessuten gi den behandlingsansvarlige pålegg om at behandling i strid med denne loven skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med loven. Datatilsynet kan likevel ikke gi pålegg om innsyn i opplysninger som er unntatt fra innsynsrett etter § 49, eller gi pålegg om overholdelse av reglene om utlevering og taushetsplikt i kapittel 5 og 6 eller vandelskontroll i kapittel 7.
Datatilsynet kan gi anmerkning dersom det finner at behandling av opplysninger i forbindelse med straffesaker er i strid med loven. Det samme gjelder for behandling som nevnt i første ledd siste punktum. Slik anmerkning skal meddeles den behandlingsansvarlige med gjenpart til den behandlingsansvarliges overordnete organ.
Datatilsynets vedtak etter første ledd kan påklages til Personvernnemnda.»
I forarbeidene til politiregisterloven, Ot.prp. nr. 108 (2008-2009) side 324 og 325 har departementet uttalt følgende om Datatilsynets myndighet etter politiregisterloven § 60:
«For det første kan Datatilsynet ikke gi pålegg om innsyn i opplysninger som er unntatt innsynsrett etter § 49. Unntaket fra innsynsrett er basert på en politifaglig vurdering og således bør ikke Datatilsynet med bindende virkning kunne avgjøre om det skal gis innsyn. Det ble i denne sammenheng også lagt vekt på at eventuelle uriktige avgjørelser fra Datatilsynets side vil kunne medføre betydelige skadevirkninger, som for eksempel at en person utsettes for fare. I praksis innebærer dette at politiet selv har kontroll over innsyn i registrerte opplysninger.
[…]
For de tilfeller hvor Datatilsynet ikke kan gi pålegg i forhold til behandling av opplysninger utenfor straffesak, kan tilsynet gi påtale dersom det mener at det foreligger brudd på loven på disse områdene, jf. merknadene til annet ledd.
Annet ledd gir anvisning på de områdene der Datatilsynet har anmerkningskompetanse.
[…]
Likeledes er de områdene som er unntatt fra påleggskompetanse i forhold til behandling av opplysninger utenfor straffesaker, jf. første ledd siste punktum, gjenstand for anmerkningskompetanse. Dette innebærer at Datatilsynet kan gi anmerkning om forhold som gjelder innsyn, overholdelse av reglene om taushetsplikt eller vandelskontroll.
Etter tredje ledd kan Datatilsynets vedtak etter første ledd påklages til Personvernnemnda. Dette er i samsvar med regelen i SIS-loven § 23 annet ledd, og hovedregelen i personopplysningsloven [2000] § 42 fjerde ledd. Dette innebærer også at anmerkning i henhold til annet ledd ikke kan påklages til personvernnemda [nemndas utheving] […]».
I de tilfellene der Datatilsynet ikke kan gi pålegg, kan altså Datatilsynet gi en anmerkning etter politiregisterloven § 60 andre ledd. Det fastslås i politiregisterforskriften § 42-3 at det i anmerkningen bør fremgå hvilke bestemmelser i politiregisterloven eller forskriften behandlingen strider mot og hvordan behandlingen bør innrettes for å komme i samsvar med loven og forskriften.
En anmerkning innebærer at Datatilsynet kan gi en påtale/uttale seg om forholdet, men påtalen/uttalelsen har ingen bindende virkning for den behandlingsansvarlige. Det framgår klart av politiregisterloven § 60 og forarbeidene til denne, at en slik anmerkning fra Datatilsynet ikke påklages til Personvernnemnda.
Nemnda legger til grunn at Datatilsynet, etter begjæring fra A, har kontrollert at opplysningene om han er behandlet i samsvar med politiregisterloven og at reglene om innsyn er fulgt, jf. politiregisterloven § 59.
Etter en realitetsvurdering besluttet Datatilsynet 7. juli 2017 å avslutte saken. Datatilsynet fant ikke grunn til å gi politiet noen anmerkning i forbindelse håndteringen av As innsynsbegjæring i politiets sentrale registre, jf. politiregisterloven § 49.
Nemnda vil presisere at det følger av politiregisterloven § 60 tredje ledd at Datatilsynets beslutning om enten å gi politiet anmerkning eller ikke gi anmerkning, ikke kan påklages til Personvernnemnda. En beslutning om ikke å gi en anmerkning anses ikke som et vedtak i forvaltningslovens forstand, jf. forvaltningsloven § 2 og gir ikke klagerett, jf. forvaltningsloven § 28.
Foranlediget av As begjæring om innsyn vil nemnda også bemerke at ettersom Datatilsynet ikke har kompetanse til å gi pålegg om innsyn, jf. politiregisterloven § 60 første ledd siste punktum, er dette heller ikke en kompetanse som tilligger nemnda.
Nemnda har etter dette kommet til at vilkårene for å behandle klagen ikke er oppfylt.
Vedtaket er enstemmig.
Vedtak
Saken avvises.
Oslo, 15. oktober 2018
Mari Bø Haugstad
Leder