Personvernnemndas vedtak 12. november 2018 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem og Ellen Økland Blinkenberg)
Saken gjelder klage fra A på Datatilsynets vedtak 16. november 2017 om avslag på begjæring om sletting av personopplysninger i personalmappe hos X.
Sakens bakgrunn
A er […] i [den statlige virksomheten] X, ansatt siden 1996. I forbindelse med valg av en hovedtillitsvalgt […] sendte A en intern e-post via virksomhetens e-post. I e-posten 14. september 2011 til «[alle medlemmene i organisasjonen]» med «Hovedtillitsvalgt» i emnefeltet, kommenterte A valget av hovedtillitsvalgte med ordene «Skrekk og gru…..». Ut over dette inneholdt ikke e-posten ytterligere tekst. A mottok etter dette en tjenstlig tilrettevisning fra arbeidsgiver 7. november 2011. Tilrettevisningen ble gitt i brev, med overskriften «Muntlig advarsel – tjenstlig tilrettevisning». Det framgikk av tilrettevisningen at arbeidsgiver mente at A hadde kommet med «utilbørlige uttalelser angående den valgte tillitsmann til alle […] i virksomheten gjennom virksomhetenes-post».
A mottok også en tjenstlig tilrettevisning (skriftlig advarsel) fra arbeidsgiver 10. februar 2015 etter at han 14. januar 2015 hadde sendt en tekstmelding fra sin private telefon til en kollega, C, etter at C hadde påtatt seg et oppdrag A mente han ikke burde påtatt seg. Tekstmeldingen hadde følgende innhold:
«Sjølv om eg sitter i Spania så får eg meldinger om hva som skjer hjemme, [C]. Den frekkheten du utviser nå er hinsides alt som eg har opplevd som […]. Eg akter å fortelle dette til alle […] i hele [virksomheten] og om nødvendig til hele landet. "Skrekk og gru" har vel aldri hatt større betydning enn nå. Eg er heime på Mandag og har absolutt ikke tenkt at mandagskvelden skal bli noen frikveld. "Drittsekk"».
[Arbeidsgiver] anså tekstmeldingen som «uakseptabel og utilbørlig» og viste blant annet til at A med dette blandet seg inn i arbeidsgivers styringsrett (angående tildeling av oppdrag), noe som ikke var akseptabelt. I begge tilrettevisningene skriver arbeidsgiver at tilrettevisningen ikke er en ordensstraff, jf. daværende tjenestemannslov § 14 nr. 2 tredje ledd, og at de derfor ikke kan påklages.
I tilrettevisningen 10. februar 2015 uttaler arbeidsgiver v/[B]:
«Det forventes at slike forhold ikke gjentar seg. [Virksomheten] gjør oppmerksom på at eventuelle gjentatte eller lignende forhold kan få konsekvenser for arbeidsforholdet ditt, med vedtak om en strengere disiplinærreaksjon som for eksempel ordensstaff eller avskjed/oppsigelse.»
Begge tilrettevisningene ble lagret i As personalmappe etter at de var avgitt, henholdsvis 7. november 2011 og 10. februar 2015.
A ba i januar 2016 om sletting av de to tilrettevisningene, men fikk avslag fra arbeidsgiver. Saksbehandler i virksomhetens HR-stab meddelte blant annet følgende i e-post 12. januar 2016:
«Det er her tale om to tilrettevisninger som omhandler den samme tematikken, nemlig utilbørlig adferd ovenfor kollegaer. Det at det nettopp er tale om to stykker samt at de omhandler samme tema, taler tungt for fortsatt lagring. Det kan synes å være et "mønster" hos den aktuelle ansatte. Formålet med å gi tilretteanvisninger/advarsler, er to delt: et ønske om å korrigere uønsket adferd samt å dokumentere at denne er påtalt med tanke på senere oppføl[g]ning og evt. personalmessig reaksjon, herunder oppsigelse eller avskjed.
Undertegnede har blitt gjort kjent med at Aser på det som svært belastende å ha lagret tilrettevisninger i sin personalmappe. Det er tatt hensyn til dette i vurderingen, men undertegnede finner at arbeidsgivers behov for fortsatt lagring, i denne saken, må veie tyngre enn hensynet til den ansatte. Videre er hensynet til at det er arbeidsgiver som har bevisbyrden i en evt. oppsigelses- eller avskjedssak, tillagt særlig vekt. Hvis arbeidsgiver sletter en eller begge tilrettevisningene vil en konsekvens kunne være at arbeidsgiver fratas viktige og legitime bevis.
Etter min vurdering kan de to tilrettevisningene i personalmappen til A ikke slettes, på nåværende tidspunkt.»
I et møte i januar 2016 avtalte partene at arbeidsgiver skulle foreta en ny vurdering av slettingsanmodningen etter seks måneder. Arbeidsgiver foretok en ny vurdering i august 2016 hvor de opprettholdt tidligere avslag på anmodning om sletting av opplysningene. Arbeidsgiver redegjorde for sin vurdering i e-post 23. august 2016. I e-posten uttaler saksbehandler i [virksomhetens] HR-stab blant annet:
«Jeg har foretatt en ny gjennomgang av regelverket, gjennomført samtale med B og diskutert saken inngående med HR-staben. Det er foretatt en ny gjennomgang av dokumentasjonen i A sin personalmappe. Det har ikke kommet frem nye opplysninger eller skjedd nye "hendelser" som er av betydning for utfallet av denne saken.
Det er foretatt en ny konkret vurdering av arbeidsgivers behov for fortsatt lagring av de to tilrettevisningene, som er arkivert i personalmappen hans. Den ene tilrettevisningen er som nevnt arkivert 28.10.2011, og den andre er arkivert 10.2.2015.
Vår opprinnelige vurdering om fort[s]att lagring av tilrettevisningene opprettholdes. I vår vurdering er det for øvrig også vurdert muligheten for å slette bare den eldste tilrettevisningen. Dette begrunnes i det følgende:
Det vises i all hovedsak til den første vurderingen i e-post av 12.1.2016 til B, som ble videresendt til den ansatte. Det avgjørende for arbeidsgiver også i denne vurderingen, er at det her er at det er tale om to tilrettevisninger om samme forhold, samt arbeidsgivers behov for dokumentasjon/ bevis i en evt. sak. Hensynet til at A ser på det som svært belastende å ha lagret tilrettevisninger i sin personalmappe er vektlagt, men er ikke gitt avgjørende vekt. Det avgjørende er at arbeidsgiver har et "nødvendig" behov for fortsatt lagring. Det presiseres at tilrettevisningene er lagret i personalmappen i [virksomhetens arkivsystem], med streng tilgangskontroll. Dette mener vi bør bidra til å "avhjelpe" den personvernulempen den ansatte føler. For øvrig er vi av den oppfatning at fortsatt lagring av tilrettevisningene kan ha en preventiv effekt; med andre ord kan bidra til å hindre at lignende episoder med utilbørlig adferd mot kollegaer finner sted.
Etter vår vurdering kan de to tilrettevisningene i personalmappen til A ikke slettes.»
Formann i Norsk […]forbund (D), som hadde kontakten med arbeidsgiver på vegne av A i saken, svarte i e-post til virksomhetens HR-stab samme dag at han ikke var enig i deres konklusjon. Han påpekte personvernulempen, og ba om en ny vurdering. Han viste til at ordensstraff, som er en strengere reaksjon, skal slettes etter fem år i henhold til [virksomhetens] personalreglement § 15, og at denne saken gjelder tilrettevisninger som er av mindre alvorlig karakter enn en ordensstraff. Han stilte derfor spørsmål ved formålet med lagringen.
[Arbeidsgiver] fastholdt sin konklusjon, jf. e-post til D 1. september 2016, der det blant annet ble uttalt:
«Vår oppfatning er imidlertid at regelen om sletting av ordensstraff etter 5 år (i personalreglementet § 15) fremstår som et hinder for arbeidsgivers behov for dokumentasjon/ bevis i forbindelse med en evt. personalsak/rettssak. Vi er av den oppfatning at dersom vi sletter for eksempel den eldste tilrettevisningen, vil [arbeidsgiver] stå i fare for å miste helt avgjørende dokumentasjon/bevis dersom lignende tilfeller av uaktsom adferd mot kollegaer skal finne sted igjen - eller for den slags skyld øvrige forhold som arbeidsgiver mener bør sanksjoneres - og som i ytterste konsekvens kan føre til et behov om å gå til oppsigelse/avskjed. Det er, som nevnt, arbeidsgiver som har bevisbyrden i en evt. rettssak.
Vårt generelle syn på lagring av advarsler/tilrettevisninger er basert på Arbeids- og sosialdepartementet syn, som fremkommer i brev til NHO (2010) og i rapport av 1. april 2015 fra Arbeidsgruppen om kontroll og overvåkning i arbeidslivet. Det vises videre til generell uttalelse fra Datatilsynet (vedtak om sletting 27.4.2014): "Når det er sagt kan det ikke utelukkes at advarsler og tilrettevisninger kan oppbevares gjennom hele arbeidsforholdet og også i en periode etter arbeidsforholdets slutt''.
For øvrig vises det til de to tidligere e-postene i sakens anledning.
Arbeidsgivers vurdering er endelig, og - for ordens skyld - kan ikke påklages.»
A kontaktet Datatilsynet 24. april 2017 med anmodning om at tilrettevisningene skulle slettes fra hans personalmappe. Han ønsket den første tilrettevisningen slettet og den andre tidsavgrenset til fem år.
Datatilsynet ba X om å redegjøre nærmere for behovet for å lagre tilrettevisningene i As personalmappe. I brev 31. august 2017 ga X en slik redegjørelse til Datatilsynet.
Datatilsynet la til grunn at bakgrunnen, formålet og innholdet i tilrettevisningene er like av natur og vurderte derfor begge tilrettevisningene samlet. Datatilsynet fattet følgende vedtak 16. november 2017:
«Datatilsynet avslår kravet om sletting av tilrettevisninger i klagers personalmappe, jf. personopplysningsloven [2000] § 28 første og tredje ledd.»
A framsatte rettidig klage på Datatilsynets vedtak 8. desember 2017. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt til Personvernnemnda som mottok saken 29. mai 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har i brev til nemnda 17. juni 2018 gitt sine kommentarer. [Arbeidsgiver] har ikke inngitt noen skriftlig uttalelse.
Saken ble behandlet i nemndas møte 12. november 2018. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem og Ellen Økland Blinkenberg. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A har i hovedsak anført
[Arbeidsgiver] har besluttet å lagre tilrettevisningen i hans personalmappe så lenge arbeidsforholdet varer.
Den første tilrettevisningen 7. november 2011 fikk han etter en e-post han sendte internt. Det er først og fremst denne tilrettevisningen klagen gjelder. Han ønsker denne slettet fra personalmappen. Det at denne tilrettevisningen lagres på ubestemt tid, oppleves som en belastning.
Han er ikke enig med Datatilsynet i at begge tilrettevisninger gjelder samme forhold. Han fikk den første tilrettevisningen som følge av at han kommenterte et valg i eget forbund på en e-mail med «Skrekk og gru….». Kommentaren var ment som spøk og han mener alvorlighetsgraden er så liten at den ikke skal føre til en tilrettevisning. E-posten var rettet mot to personer i forbindelse med et valg i eget forbund. Ingen av disse har noensinne følt seg trakassert eller sjikanert av ham. […] der det er vanlig med en litt «røff» tone uten at noen tar seg nær av det. Den ene er en venn av han, og er i dag formann i Norsk […]forbund. Vennen har forsøkt å hjelpe ham i denne saken, uten at det har ført frem. Den andre personen som ble omtalt i e-posten har han et helt normalt arbeidsforhold til som kollega. De jobber i samme distrikt.
Det er uansett urimelig at tilrettevisningen er lagret i hans personalmappe fra 2011, uten at han får vite hvor lenge arbeidsgiver har tenkt å lagre denne. Arbeidsgiver begrunner lagringen med at lagringen har en preventiv effekt. Han mener at den andre tilrettevisningen fra 2015 som inneholder «trusler» om ordensstraff og oppsigelse er nok til å ha en slik effekt.
I Xs redegjørelse til Datatilsynet 31. august 2018 omtaler arbeidsgiver den første tilrettevisningen som sjikane av kollega. Dette er nytt for ham. Han ser ikke bort fra at arbeidsgiver har gjort dette for å prøve å få dette til å se mer alvorlig ut enn det faktisk er. Dette burde Datatilsynet sett, og krevd at denne tilrettevisningen slettes.
I senere tid har B, som er hans nærmeste overordnede, bedt om at tilrettevisningen fra 2011 blir slettet. Det samme har Norsk […]forbund. Hans kollegaer ved [virksomheten] har meldt saken inn til verneombudet som trakassering av ham. Dette har ikke hjulpet. Xs HR-avdeling er helt fastlåst når det gjelder sletting av denne tilrettevisningen. Det er Xs HR-avdeling som har funnet på at dette er sjikane. Datatilsynet omtaler denne saken om trakassering, uten å ha noe grunnlag for det. Datatilsynet burde krevd en nærmere redegjørelse fra [arbeidsgiver] om dette er trakassering eller ikke. [Arbeidsgiver] har i så fall ingenting å vise til.
Datatilsynet har vist til to saker fra Personvernnemnda, sak PVN-2014-18 og PVN-2016-08. Disse sakene er ikke relevante for hans sak. Ved å henvise til slike saker bidrar tilsynet til å eskalere hele saken.
PVN-2014-18 gjaldt en person med gjentatte samarbeidsproblemer. Dette er ikke situasjonen for ham. Som […] er han […] rådgiver når det gjelder […]. Han har ingen problemer med å samarbeide med {de andre ansatte i virksomheten]. Han hadde ikke fungert som […] hvis han ikke kunne samarbeide, jf. blant annet Bs uttalelse om at han fungerer «utmerket» som […] ved den [stasjonen] han jobber.
Han har ingen samarbeidsproblemer med andre kollegaer. Saken som er grunnlaget for den andre tilrettevisningen er ordnet opp kollegaene imellom. Han har også bedt vedkommende […]/tillitsmann skriftlig om unnskyldning.
PVN-2016-08 gjaldt en person med et tilbakevendende rusproblem. Selv har han ingen rusproblemer og er en edruelig fyr. Det er 0-toleranse […] i X når det gjelder alkohol.
Han ønsker også den andre tilrettevisningen 10. februar 2015 tidsavgrenset til for eksempel i fem år. Denne tilrettevisningen fikk han tre år etter den første. Tilrettevisningen kom som følge av at han hadde sendt en aggressiv tekstmelding til en […]/tillitsvalgt ved en nærliggende [stasjon]. Han angrer på at han sendte tekstmeldingen, og har av eget initiativ bedt mottakeren av tekstmeldingen skriftlig om unnskyldning. Han har akseptert at han fikk en tilrettevisning for dette og har ingen problemer med å se hvorfor han fikk den. Likevel har han bedt om at denne slettes etter fem år. Det har også B gjort.
Han har fått søvnproblemer som følge av denne saken, våkner om natten uten å få sove igjen. Da han skulle fornye helseerklæringen i 2016 ble han erklært udyktig som […]. Etter å ha fått saken behandlet i en klagenemnd […] fikk han helseerklæringen tilbake senere samme år, på strenge vilkår, og har fungert i jobben etter dette. Han er imidlertid lite motivert på grunn av denne saken, og har trukket seg som stasjonstillitsvalgt etter eget ønske. [Arbeidsgiver] er kjent med dette, men har likevel ikke tillagt dette noe vekt ved vurderingen av fortsatt lagring.
A oppfatter at lagringen av disse tilrettevisningene er en form for straff mer enn en tilrettevisning. I følge [arbeidsgivers] egne retningslinjer har man en lagringstid på ordensstraff på fem år. Ordensstraff skal i utgangspunktet være en strengere straff enn tilrettevisninger og tilsier at tilrettevisningene lagres kortere tid.
Datatilsynet har lagt til grunn at [arbeidsgiver] med jevne mellomrom vurderer om tilrettevisningen kan slettes, men han er ikke kjent med at [arbeidsgiver] har slike rutiner.
[Arbeidsgivers] vurdering av sletting ble igangsatt begge gangene som følge av at Norsk […]forbund krevde svar på formålet med fortsatt lagring av tilrettevisningene, og dernest at B ba om at den første tilrettevisningen skulle slettes, og den andre slettes etter fem år. Datatilsynet burde krevd en bedre redegjørelse fra [arbeidsgiver] i saken.
Han har bedt om at alle involverte parter møtes og snakker sammen, men [arbeidsgivers] HR- avdeling ønsker ikke det.
Uansett hva Personvernnemnda kommer fram til, håper han å få vite eksakt hvor lenge [arbeidsgiver] har tenkt å lagre disse tilrettevisningene. Dette vil bidra til at han kan se fram til å begynne forfra med blanke ark.
Arbeidsgiver (X) har i hovedsak anført
X har ikke egne rutiner for lagring av tilrettevisninger. Det foretas en konkret løpende vurdering av fortsatt lagring av arbeidsgivers reaksjoner i hvert enkelt tilfelle.
Det rettslige utgangspunktet for den konkrete vurderingen er personopplysningsloven 2000 § 28. Ordlyden i § 28 gir ingen konkret henvisning på lagringstid, og det er ikke gitt noen øvrige begrensninger eller ytterligere veiledning i loven, forskriften eller i lovens forarbeider.
HR-staben sine vurderinger om fortsatt lagring av tilrettevisninger/advarsler tar utgangspunkt i det fastlagte formålet med behandlingen av personopplysningene. Det er X som arbeidsgiver som fastlegger formålet med behandlingen av personopplysningene. Vurderingene tar utgangspunkt i gjeldende rett. Datatilsynets og Personvernnemndas veiledninger, uttalelser og avgjørelser står sentralt.
I denne saken er det foretatt en grundig juridisk vurdering av vilkårene i personopplysningsloven 2000 § 28. Det er derfor ikke riktig at tilrettevisningene lagres så lenge arbeidsforholdet består, slik A hevder.
Begrunnelsen for fortsatt lagring av de to tilrettevisningene er risikoen for gjentakelse, tilrettevisningenes karakter (sjikane av kollega og utilbørlig adferd) og arbeidsgivers behov for dokumentasjon i en eventuell personalsak. Det er arbeidsgiver som har bevisbyrden i oppsigelses- og avskjedssaker.
Tilrettevisningene gjelder samme forhold, utilbørlig oppførsel overfor kollegaer. Dette er gode grunner for fortsatt lagring av tilrettevisningene i As personalmappe. Lagringen kan ha en preventiv effekt, slik at ikke lignende episoder skjer på nytt.
Personvernulempen for A ved fortsatt lagring er vurdert. Ettersom hendelsene tilrettevisningene gjelder har gått ut over andre, har [arbeidsgiver] funnet å legge mindre vekt på personvernulempen for A. Hadde hendelsene gått ut over en leder, som måtte finne seg i mer, kunne saken stilt seg annerledes. Hensynet til arbeidsgivers behov for fortsatt lagring veier tyngre enn personvernulempen for A.
Etter en konkret helhetsvurdering mener X at vilkårene for fortsatt lagring av personopplysningene er oppfylt, og følgelig at tilrettevisningene ikke skal slettes. Vurderingen er blitt gjort i to omganger. Om den første, vises det til møtereferatet skrevet 10. februar 2015. Den neste vurderingen ble foretatt etter seks måneder, jf. e-post 12. januar 2016 fra saksbehandler i Xs HR-stab og til leder i [forbundet].
X er et offentlig organ som er underlagt arkivlovgivningen og personopplysningsregelverket. X har som det klare utgangspunkt at arkivlovgivningen og personopplysningsregelverket skal følges. X har en rekke styringsdokumenter knyttet til håndtering av arkivsystemet for å sikre etterlevelse av arkivlovgivningen mv. Dette følges opp av Xs arkivtjeneste.
Xs personalmapper er arkivert i en egen arkivdel i det interne saksbehandlingssystemet som heter […]. Tilgangen til personalmappene er begrenset i samsvar med reglene om internkontroll og informasjonssikkerhet etter personopplysningsloven 2000 §§ 13 og 14, og personopplysningsforskriften kapittel 2. Det er kun nærmeste leder og øvrige ansatte i X med tjenstlig behov som har tilgang til As personalmappe.
Datatilsynets vurdering
Rettslig utgangspunkt
Personopplysningsloven 2000 § 28 første ledd sier at personopplysninger ikke skal lagres «lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen». Formålet med å lagre dokumenter i personalmappen er som regel personaladministrasjon, da arbeidsgiver både har en plikt og rett til å følge opp sine ansatte. Det er slått fast i praksis at personaladministrasjon kan skje både under og etter at et ansettelsesforhold er opphørt, jf. Personvernnemndas vedtak i sak PVN-2014-18.
Lagring i så lang tid må imidlertid være i tråd med formålet, og lagringen må være nødvendig. Arbeidsgiver må derfor foreta en konkret vurdering av lagringstiden i hver enkelt sak, basert på hva saken gjelder og sakens utvikling. Det følger videre av personopplysningsloven 2000 § 28 første ledd at hvis ikke personopplysningene deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes. Ifølge personopplysningsloven 2000 § 28 tredje ledd kan den registrerte kreve at opplysninger «som er sterkt belastende for han eller henne» skal sperres eller slettes, med mindre det strider mot annen lov og «det er forsvarlig ut fra en samlet vurdering av bl.a. andres behov for dokumentasjon, hensynet til den registrerte, kulturhistoriske hensyn og de ressurser gjennomføringen av kravet forutsetter». I tillegg følger det av personopplysningsloven 2000 § 28 fjerde ledd at Datatilsynet kan treffe vedtak om sletting eller sperring, herunder at retten til sletting etter § 28 tredje ledd går foran reglene i arkivloven.
Sletting av tilrettevisningene i personalmappen
Datatilsynet har etter en helhetsvurdering avslått As anmodning om sletting av tilrettevisningene i personalmappen. Datatilsynet har følgende begrunnelse for avslaget:
Datatilsynet og Personvernnemnda er, i henhold til praksis, tilbakeholdne med å overprøve arbeidsgivers vurdering av om det er nødvendig å oppbevare opplysninger om ansettelsesforhold videre. Personvernnemnda har blant annet uttalt at det kan være nødvendig å oppbevare personaladministrative dokumenter også etter at et ansettelsesforhold er avsluttet, og at lagring grunnet personaladministrative formål ikke nødvendigvis opphører idet en ansatt slutter.
Personvernnemndas saker PVN-2014-18 og PVN-2016-08 er relevante i foreliggende sak, for å vise at terskelen for å slette opplysninger i personalmappe er forholdsvis høy, forutsatt at lagringen fremstår som rimelig.
I sak PVN-2014-18, som blant annet gjaldt opplysninger om samarbeidsproblemer knyttet til en tidligere ansatt, kom nemnda til at sletting ikke er forsvarlig ut fra kommunens behov for dokumentasjon i eventuelle rettstvister. I PVN-2016-08, som gjaldt opplysninger om blant annet tilbakevendende rusproblemer, mente nemnda at kommunens legitime dokumentasjonsbehov veide tyngst, selv om lagringen var belastende for klager.
Terskelen for sletting av personopplysninger i personalmapper er derfor høy hvis det er tale om opplysninger som må anses som nødvendig å lagre videre. Datatilsynet er tilbakeholden med å overprøve arbeidsgivers skjønnsmessige vurdering av hva som er nødvendig, så fremt lagring fremstår som rimelig og forsvarlig.
[Arbeidsgiver] har forklart at det er et legitimt behov for å lagre tilrettevisningene da [arbeidsgiver] har behov for å dokumentere prosessen i en eventuell senere sak. Videre mener [arbeidsgiver] at lagringen har en preventiv effekt, særlig med tanke på at tilrettevisningene omhandler samme type forhold: utilbørlig adferd overfor kolleger. Datatilsynet er enig med arbeidsgivers vurderinger i at det er legitimt og nødvendig med fortsatt lagring basert på disse formålene. Arbeidsgivers begrunnelse for å lagre opplysningene fremstår som forsvarlig.
[Arbeidsgiver] har også vist til at det er svært streng tilgangsstyring til personalmappen, hvilket lemper på belastningen for klager.
[Arbeidsgiver] har i denne saken tatt hensyn til klagers belastning ved at det er gjort grundige vurderinger, og at det er gjort nye vurderinger hvis klager har anmodet om dette. Videre har [arbeidsgiver] ikke avgjort at tilrettevisningene skal lagres ut ansettelsesforholdet, men foretar nye vurderinger jevnlig.
Datatilsynet har også lagt vekt på at det ikke har gått særlig lang tid siden tilrettevisningene ble gitt.
Tilsynet har forståelse for at klager mener det er belastede å ha tilrettevisninger lagret, men finner likevel at [arbeidsgiver] per i dag har et saklig formål for å oppbevare tilrettevisningene, jf. personopplysningloven 2000 § 28 første ledd. Basert på tidligere praksis er det vanskelig å se at oppbevaringen kan betegnes som unødvendig i lovens forstand.
Det fremstår også åpenbart at opplysningene ikke er ansett som sterkt belastende i den grad at de kan kreves slettet etter personopplysningsloven 2000 § 28 tredje ledd. Etter en naturlig språklig forståelse av ordlyden er terskelen for sletting etter denne bestemmelsen høy. Bestemmelsen må sees på som en unntaksbestemmelse som kun skal brukes i helt spesielle tilfeller.
Personvernnemndas vurdering
[Arbeidsgiver] har lagret to tilrettevisninger i As personalmappe, datert henholdsvis 7. november 2011 og 10. februar 2015. Personvernnemnda skal ta stilling til om X plikter å slette den ene eller begge tilrettevisningene fra As personalmappe.
Lovvalg
Nemnda vil først si noe om hvilken lov som kommer til anvendelse i denne saken.
A brakte saken inn for Datatilsynet i april 2017, og Datatilsynet vurderte saken etter personopplysningsloven 2000 før de oversendte saken til Personvernnemnda i mai 2018.
Ny lov om behandling av personopplysninger (personopplysningloven 2018) trådte i kraft 20. juli 2018. Det følger av personopplysningsloven 2018 § 1 at Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller forordningen), gjelder som norsk lov fra 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.
De materielle reglene i forordningen er i stor grad en videreføring og videreutvikling av personopplysningsloven 2000. Samtidig innebærer reglene en rekke endringer, både på detaljnivå og av mer grunnleggende karakter. De registrertes rettigheter er på flere punkter styrket, jf. forarbeidene til loven, Prop. 56 LS (2017–2018) side 9.
Personopplysningsloven 2018 har overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et mer gunstig resultat for den behandlingsansvarlige, jf. forbudet i Grunnloven § 97 mot at lover gis tilbakevirkende kraft. I denne saken er det ikke spørsmål om ileggelse av overtredelsesgebyr, og det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.
Dette er også omtalt i forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 196, hvor departementet blant annet uttaler:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven [2018]. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018. Spørsmålet for nemnda blir etter dette om X behandler As personopplysninger i tråd med de bestemmelsene som følger av personopplysningsloven 2018 og GDPR.
Materiell vurdering
Nemnda må ta stilling til om [arbeidsgiver] har behandlingsgrunnlag for fortsatt lagring av tilrettevisningene i As personalmappe.
A er ansatt som […] i X og har fått to tjenstlige tilrettevisninger, en i 2011 og en i 2015. Den første tilrettevisningen har blitt lagret i personalmappen i syv år, den andre i tre år og ni måneder. Tilrettevisningene knytter seg til hendelser i et bestående arbeidsforhold og det er anført personaladministrative hensyn som begrunnelse for fortsatt lagring av opplysningene.
De alminnelige reglene om behandlingsgrunnlag følger av GDPR artikkel 6. Artikkel 6 nr. 1 lyder slik:
«1. Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:
- den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål,
- behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse,
- behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige,
- behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser,
- behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt
- behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.
Nr. 1 bokstav f) får ikke anvendelse på behandling som utføres av offentlige myndigheter som ledd i utførelse av deres oppgaver.»
Etter personopplysningsloven 2018 og GDPR er de alternative behandlingsgrunnlagene likestilt og behandling av personopplysninger i forbindelse med ulike former for personaladministrasjon, skjer med hjemmel i ulike behandlingsgrunnlag.
Nemnda legger til grunn at det aktuelle behandlingsgrunnlaget for X til å lagre tilrettevisningene i As personalmappe er artikkel 6 nr. 1 bokstav f). Adgangen for det offentlige til å benytte dette behandlingsgrunnlaget i egenskap av å være arbeidsgiver fremgår av forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 32:
«Bestemmelsen kan i utgangspunktet ikke utgjøre et behandlingsgrunnlag for «behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver». Begrunnelsen er at det skal være opp til lovgiver å sørge for et rettsgrunnlag for slik behandling, jf. fortalepunkt 47. Ettersom unntaket fra artikkel 6 nr. 1 bokstav f bare retter seg mot «offentlige myndigheter» og «deres oppgaver», legger departementet imidlertid til grunn at unntaket som utgangspunkt bare gjelder behandling av personopplysninger i forbindelse med utøvelse av offentlig myndighet. Det offentlige må altså ha samme adgang som private behandlingsansvarlige til å benytte artikkel 6 nr. 1 bokstav f i for eksempel kommersiell virksomhet eller i egenskap av å være arbeidsgiver. Rekkevidden av unntaket og de grensedragningsspørsmålene som oppstår, må få sin avklaring gjennom praksis.»
Videre vises det til at staten v/kommunal- og moderniseringsdepartementet har inngått en særavtale med hovedsammenslutningene om behandling av personopplysninger i lønns- og personalregistre. Formålet med særavtalen er å fastsette hvilke personopplysninger i statlig personaladministrasjon som kan registreres og utleveres, samt å tilrettelegge for og forenkle behandlingen av slike opplysninger. Det forutsettes i avtalen at personopplysninger om arbeidstakere må ha saklig tilknytning til arbeidsforholdet og bare kan brukes i forbindelse med personaladministrasjon. I avtalen fastslås det at personopplysninger bare kan behandles dersom arbeidstaker samtykker, dersom det er nødvendig for å oppfylle arbeidsavtalen og/eller nødvendig for å ivareta en berettiget interesse, jf. Statens personalhåndbok 2018 punkt 9.13.1. I dette tilfellet foreligger det ikke samtykke til fortsatt lagring av de omtalte tilrettevisningene. Det er heller ikke nødvendig med lagring av disse for å oppfylle arbeidsavtalen.
Nemnda legger også til grunn at de aktuelle tilrettevisningene ikke representerer materiale som er underlagt bevaringsplikt etter arkivloven, jf. forskrift om offentlige arkiv (for-2017-12-15-2105) § 15, slik at arbeidsgiver ikke har noen rettslig forpliktelse til å oppbevare opplysningene jf. GDPR artikkel 6 nr. 1 bokstav c), utover det som er begrunnet i eget administrativt og juridisk dokumentasjonsbehov, jf. Riksarkivarens forskrift (for-2017-12-19-2286) § 7-3.
I tillegg til at kravet til behandlingsgrunnlag i GDPR artikkel 6 må være oppfylt, må behandlingen av opplysningene også oppfylle de grunnleggende prinsippene i GDPR artikkel 5 for behandling av personopplysninger, herunder kravet i artikkel 5 nr. 1 bokstav c) om at opplysningene skal være «begrenset til det som er nødvendig for formålene de behandles for».
A har i dette tilfellet protestert på fortsatt lagring i samsvar med GDPR artikkel 21 nr. 1, som lyder:
«Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav».
GDPR artikkel 17 regulerer retten til sletting. Artikkel 17 nr. 1 bokstav a) og c) fastslår følgende:
«1. Den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold, og den behandlingsansvarlige skal ha plikt til å slette personopplysninger uten ugrunnet opphold dersom et av de følgende forhold gjør seg gjeldende:
- personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for
[…]
c) den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen […]»
Artikkel 17 nr. 3 gjør deretter en rekke unntak fra retten til sletting. I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 65 uttaler lovgiver:
«Bestemmelsen gir den registrerte rett til sletting av personopplysninger på en rekke ulike grunnlag, jf. artikkel 17 nr. 1 bokstav a til f. Regelen er imidlertid i stor grad knyttet til om vilkårene for behandling av personopplysningene er oppfylt, og medfører derfor først og fremst en tydeliggjøring og ingen vesentlig utvidelse av plikten til sletting. Retten til sletting av sterkt belastende personopplysninger etter personopplysningsloven § 28 tredje ledd har ingen klar parallell i forordningen.»
Personaladministrasjon i form av registrering av opplysninger og vurderinger i de ansattes personalmapper knyttet til ansattes utførelse av arbeidet, tilrettevisninger, skriftlige advarsler mv, er uten tvil i utgangspunktet en type behandling av personopplysninger som er begrunnet i en berettiget interesse for arbeidsgiver. Det er arbeidsgiver som har risikoen dersom det senere oppstår et behov for å kunne dokumentere uønskede hendelser eller adferd fra arbeidstakerens side. Nemnda legger derfor til grunn at ulempen for arbeidstakeren i utgangspunktet ikke overstiger arbeidsgivers interesse i å lagre tilrettevisningene i personalmappen. Spørsmålet er hvor lenge det er nødvendig å lagre tilrettevisningene i personalmappen av personaladministrative årsaker.
En arbeidsgiver har ulike reaksjonsmuligheter overfor statsansatte som ikke utfører sine tjenesteplikter eller viser visse typer utilbørlig adferd. For de mest alvorlige tilfellene kan det reageres med avskjed, oppsigelse eller ordensstraff. For avskjed og oppsigelse er det i lovgivningen gitt egne regler om saksbehandlingen for å sikre arbeidstakers rettigheter. Avgjørelse om ordensstraff er enkeltvedtak og arbeidsgiver må følge saksbehandlingsreglene i forvaltningsloven om varsel, rett til kontradiksjon og krav til begrunnelse. Et vedtak om ordensstraff kan derfor også påklages. For de mindre alvorlige hendelsene opereres det både med muntlig og skriftlig advarsel gitt av arbeidsgiver innenfor rammene av styringsretten, samt en mer uformell tilrettevisning der arbeidsgiver for eksempel påpeker uønsket adferd eller overtramp hos arbeidstaker. Slike advarsler og tilrettevisninger er ikke enkeltvedtak, se forarbeidene til lov om statens ansatte (statsansatteloven nr. 67/2017), Prop. 94 L (2016-2017) side 163.
Dersom den ansattes opptreden hadde resultert i ordensstraff, ville arbeidsgivers adgang til å lagre opplysningene følge av statsansatteloven § 25, som tillater lagring i fem år. For skriftlige advarsler sier departementet i Prop. 94 L (2016-2017), side 163, følgende om lagringsadgangen:
«Lagring av skriftlig advarsel gitt innenfor rammen av arbeidsgivers styringsrett, skal fremdeles vurderes etter personopplysningsloven. For slike advarsler kreves at det foretas en konkret vurdering av hvor lenge det er nødvendig å lagre opplysningene for å gjennomføre formålet med registrering av opplysningene.»
Det betyr at det ikke gjelder noen absolutt lagringsfrist for skriftlige advarsler, slik det er for ordensstraff. Nemnda legger til grunn at det samme i utgangspunktet gjelder for protokollerte muntlige advarsler og mindre alvorlige tilrettevisninger/påpekninger (som ikke anses som skriftlige advarsler). Om bakgrunnen for slettingsreglene for opplysninger om ordensstraff sier departementet i forarbeidene på samme side:
«Så lenge en ordensstraff er lagret i personalmappen, kan den benyttes ved vurderingen av den statsansatte eller embetsmannen, for eksempel ved fungering, tilsetting i ny stilling og nye disiplinærforhold. Når ordensstraffen er slettet, er utgangspunktet at arbeidsgiver skal se bort fra den og ikke lenger kan ta hensyn til den.
Det har vært uavklart i hvilken grad arbeidsgiver kan vise til tidligere ordensstraff som et skjerpende element, dersom arbeidstakeren begår nye forseelser. Høyesterett har ved flere anledninger tatt som utgangspunkt at tidligere ordensstraffer kan virke som et skjerpende element i slike tilfeller. Departementet legger derfor til grunn at det i gjentakelsestilfeller etter en konkret vurdering må kunne legges vekt på den statsansattes eller embetsmannens tidligere adferd, selv om en ordensstraff i den tidligere saken er slettet. Hvor lang tid som har gått og om forholdene har noen sammenheng, vil være viktige momenter i vurderingen av om tidligere forhold kan vektlegges. Departementet vil understreke at hensynene bak reglene om sletting er at opplysningene ikke skal hefte ved den ansatte etter at ordensstraffen er slettet, og at forholdet er avsluttet. Dersom arbeidsgiver vektlegger tidligere forhold ved vurderingen av nye mislige forhold, må dette begrunnes særskilt.»
Nemnda bemerker at den tidligere tjenestemannsloven (lov nr. 8/1983, nå opphevet) i § 14 åpnet for at en tjenestemann kunne ilegges ordensstraff i form av en skriftlig irettesettelse. Denne typen ordensstraff er ikke videreført for tjenestemenn i statsansatteloven (lov av 16. juni 2017 nr. 67). Etter tjenestemannsloven (som gjaldt på tidspunktet for begge tilrettevisningene i denne saken) var det ingen klar grense mellom hva som var å anse som tjenstlig tilrettevisning og ordensstraff, se Sivilombudsmannen i sak 39 om tjenestepåtale til kommunalt ansatt publisert 31. januar 2010, jf. årsmeldingen for 2001 på side 133 (somb-2001-23), hvor han uttaler:
«En tjenstlig tilrettevisning vil ut fra dette være forankret i tjenesteforholdet og vil etter sitt innhold først og fremst ha som siktemål å klargjøre nærmere innholdet og omfanget av tjenestemannens tjenesteplikter. Tilrettevisningen gis i tilknytning til arbeidet og skal være retningsgivende for arbeidsforholdet. En ordensstraff kan også ha et slikt formål, men den vil i tillegg ha som siktemål å pådra tjenestemannen en sanksjon for overtredelse eller tilsidesettelse av tjenesteplikter. En irettesettelse som gjøres skriftlig og som blir notert på tjenestemannens rulleblad eller lagt på tjenestemannens personalmappe, kan ut fra dette være en sanksjon for brudd på tjenesteplikter, et disiplinær- eller straffetiltak dersom meningen er å påføre tjenestemannen en reaksjon, ut over bare å gi en tilrettevisning. De ytre forhold omkring irettesettelsen, skriftligheten og registreringen i personalmappen etter anmerkningen på rullebladet, kan etter omstendighetene gå ut over det som er nødvendig for å gi tjenestemannen en tjenstlig tilrettevisning, og da vil det være riktig å anse forføyningen som en ordensstraff. Det er imidlertid grunn til å påpeke at god orden kan tilsi at også en rent tjenstlig tilrettevisning blir notert, anmerket eller på annen måte registrert på vedkommende personalmappe, uten at tilrettevisningen dermed vil måtte betraktes som ordensstraff.»
[Arbeidsgiver] har uttrykkelig sagt at ingen av tilrettevisningene er å anse som ordensstraff etter tjenestemannsloven, og nemnda legger det til grunn for sin vurdering.
Nemnda har begrenset forutsetning for å gå inn i arbeidsgivers skjønnsmessige vurderinger knyttet til grunnlaget for tilrettevisningene og nødvendigheten av å lagre disse for mulig senere bruk. Dette kan tilsi en viss tilbakeholdenhet med å overprøve arbeidsgivers vurdering så langt den fremstår rimelig og forsvarlig, slik også Datatilsynet har gitt uttrykk for. Den ansattes rett til å protestere mot behandling av personopplysninger om seg selv etter artikkel 21 nr. 1 blir imidlertid helt illusorisk dersom arbeidsgiver gis rett til å lagre alle opplysninger arbeidsgiver selv mener er nødvendig. Nemnda legger derfor til grunn at det er arbeidsgiver som har bevisbyrden for at fortsatt lagring er nødvendig og at arbeidsgiver, når den ansatte protesterer mot fortsatt lagring av opplysningene, må påvise konkrete og reelle forhold som tilsier at det foreligger «tvingende berettigede grunner», jf. GDPR artikkel 21 nr. 1 og at lagring av opplysningene derfor fortsatt er nødvendig, jf. artikkel 5 nr. 1 bokstav e).
I PVN-2014-18 uttaler nemnda:
«[P]ersonaladministrasjon skjer både under og etter et ansettelsesforhold. For eksempel kan det oppstå rettslige spørsmål om påstått mobbing på en arbeidsplass også etter at et ansettelsesforhold er opphørt. Et eksempel er påstander om senskader. Det kan derfor være nødvendig å oppbevare dokumenter også etter at et ansettelsesforhold er avsluttet.»
Nemnda understreker at dette ikke kan forstås slik at det gir uttrykk for en generell adgang til å oppbevare alle personopplysninger i en personalmappe også etter at et ansettelsesforhold er opphørt. Det må foretas en konkret vurdering og det må påvises en konkret og reell grunn til fortsatt lagring av opplysninger. Når det gjelder lagring av tilrettevisninger vil alvorlighetsgraden av den aktuelle hendelsen som har resultert i tilrettevisningen være av betydning.
Både i Rt-1999-163 og i Rt-2002-273 la Høyesterett i avskjedssaken vekt på opplysninger om pliktbrudd som lå mange år tilbake i tid og som i henhold til ulike regler og retningslinjer skulle vært slettet. Disse sakene gjaldt avskjed for grove pliktbrudd som følge av henholdsvis en brannmanns alkoholmisbruk (Rt-1999-163) og en professors seksuelle trakassering av kvinnelige ansatte og studenter (Rt-2002-273). Avgjørelsene har etter nemndas vurdering ingen betydning for arbeidsgivers adgang til å lagre mindre alvorlige tilrettevisninger, som denne saken omhandler, i en ansatts personalmappe. Nemnda bemerker, for ordens skyld, at spørsmålet om hvilke opplysninger som kan vektlegges i en avskjedssak ikke nødvendigvis er sammenfallende med spørsmålet om hvor lenge personopplysninger kan lagres i personalmappen til en ansatt, idet bevisførselen i en avskjedssak også kan være basert på muntlige forklaringer som ikke ligger nedtegnet i den ansattes personalmappe.
Verken PVN-2014-18 eller PVN-2016-08 gir særlig veiledning for nemndas avgjørelse i denne saken. I begge sakene er det foretatt konkrete vurderinger basert på et faktum som bare i begrenset grad er gjengitt i vedtaket. Avgjørelsene gir derfor lite veiledning om den konkrete grensedragningen mellom nødvendige og unødvendige opplysninger. I tillegg bemerker nemnda at PVN-2014-18 gjaldt opplysninger knyttet til en arbeidskonflikt over tid, hvor de lagrede dokumentene også var relevante for å dokumentere hva arbeidsgiver hadde gjort av tiltak for å bedre det psykososiale miljøet på arbeidsplassen. Det er ikke tilfellet i vår sak som gjelder avsluttede enkeltepisoder.
Nemnda går etter dette over til å vurdere nødvendigheten av fortsatt lagring av de aktuelle personopplysningene i denne saken og vil først se på tilrettevisningen gitt i 2011.
De faktiske forholdene knyttet til denne tilrettevisningen er det redegjort for ovenfor. Tilrettevisningen fremkommer i et skriftlig dokument som etter det opplyste er sendt A i rekommandert post. Overskriften i dokumentet angir likevel dette som en «Muntlig advarsel – Tjenstlig tilrettevisning». Nemnda legger til grunn at en muntlig advarsel er ment som en mildere reaksjon enn en skriftlig advarsel og at det er det [arbeidsgiver] har siktet til når de velger å betegne den skriftlige advarselen som en «muntlig advarsel». Nemnda har videre merket seg at det i brevet ikke er sagt noe om eventuelle konsekvenser dersom tilsvarende skulle skje igjen, i motsetning til den skriftlige advarselen som ble gitt A i februar 2015, se nedenfor. Dersom denne typen mindre alvorlige hendelser skal lagres i personalmappen for senere bruk, kreves det en særlig begrunnelse for dette. Nemnda kan ikke se at det er redegjort for forhold knyttet til As ansettelsesforhold som gjør det nødvendig å lagre denne tilrettevisningen i dag, snaut sju år etter at hendelsen fant stedt. Dette gjelder selv om A i 2015 fikk en ny tilrettevisning, dvs. mer enn tre år etter den første.
Selv om det ikke finnes noen lovbestemt lagringstid for tilrettevisninger slik det er for ordensstraff, mener nemnda at de hensynene lovgiver redegjør for som begrunnelse for å begrense lagringstiden for opplysninger om ordensstraff, også i noen grad gjør seg gjeldende ved tilrettevisninger. I tillegg er saksbehandlingen ved tilrettevisninger ikke så grundig som ved ordensstraff og man kan i større grad risikere at tilrettevisningen er basert på uriktig faktum, misforstått situasjon eller lignende. Dette tilsier at de på generelt grunnlag tillegges mindre vekt og er mindre relevante for senere bruk. I de tilfeller arbeidsgiver mener det er nødvendig å oppbevare slike opplysninger over lengre perioder, også etter at den registrerte har protestert mot behandlingen etter artikkel 21 nr. 1, forutsetter det etter nemndas vurdering at arbeidsgiver konkret påviser en reell grunn. Det vil etter nemndas syn ikke være tilstrekkelig å peke på et potensielt behov ved en mulig, helt uspesifisert fremtidig prosess. Unntak kan tenkes der det dreier seg om svært alvorlige forhold, jf. eksemplene i Rt-1999-163 og Rt-2002-273, eller i situasjoner hvor det er behov for stadige tilrettevisninger. Det forutsetter imidlertid en helt annen hyppighet enn hva som er tilfellet i denne saken. Det krever også en helt annen alvorlighetsgrad enn hva som er tilfellet med As e-post fra 2011 med kommentaren «Skrekk og gru….».
A gis etter dette medhold og X pålegges å slette tilrettevisningen gitt i brev 7. november 2011 i As personalmappe.
Nemnda går etter dette over til å vurdere nødvendigheten av fortsatt lagring av tilrettevisningen gitt i 2015.
De faktiske forholdene knyttet til denne tilrettevisningen er det også redegjort for ovenfor. Dette dreier seg om en skriftlig advarsel hvor det også fremkommer i varselet at «eventuelle gjentatte eller lignende forhold kan få konsekvenser for arbeidsforholdet ditt, med vedtak om en strengere disiplinærreaksjon som for eksempel ordensstraff eller avskjed/oppsigelse».
Nemnda legger til grunn at hendelsen i 2015 var mer alvorlig enn 2011-hendelsen. A sendte sms (som gjengitt innledningsvis) til en kollega etter en intern konflikt mellom A (som tillitsmann ved egen [stasjon]) og en annen tillitsmann ved en nærliggende [stasjon], etter at vedkommende hadde blitt tildelt, og påtatt seg, et [oppdrag]. Det er ikke redegjort for hvorfor A var kritisk til dette, men arbeidsgiver oppfattet meldingen fra A som en uakseptabel innblanding i arbeidsgivers styringsrett, i tillegg til uakseptabel språkbruk overfor en kollega. A erkjenner at sms’en var uheldig og har skriftlig beklaget den overfor kollegaen. Spørsmålet for nemnda er om [arbeidsgiver] har en tvingende berettiget interesse, jf. GDPR artikkel 21 nr. 1, i fortsatt å lagre denne skriftlige advarselen, tre år og ni måneder etter at den ble gitt, og om opplysningene fortsatt er nødvendige for formålene de behandles for, jf. artikkel 5 nr. 1 bokstav c).
A har uttrykt forståelse for at arbeidsgiver har en berettiget interesse i å lagre den skriftlige advarselen i en viss tid, men har bedt om at Personvernnemnda tar stilling til hvor lenge en slik tilrettevisning kan lagres, og at [arbeidsgiver] i alle fall pålegges å slette den etter fem år.
[Arbeidsgivers] begrunnelse for fortsatt lagring av tilrettevisningen er risikoen for gjentakelse, tilrettevisningens karakter (utilbørlig adferd), og arbeidsgivers behov for dokumentasjon i en eventuell personalsak. I tillegg har [arbeidsgiver] vist til at fortsatt lagring kan ha en preventiv effekt.
Som redegjort for ovenfor er det ingen lovbestemt frist for lagring av skriftlige advarsler, slik tilfellet er for ordensstraffer i statsansatteloven § 25. Lagring av skriftlige advarsler gitt innenfor rammen av arbeidsgivers styringsrett, skal vurderes etter personopplysningsloven og GDPR, det vil si det må foretas en konkret vurdering av nødvendigheten av opplysningene vurdert opp mot formålet med registreringen. Det medfører at nemnda ikke kan fastsette noen frist frem i tid, for eksempel fem år etter den opprinnelige registreringen, slik A har bedt om, men må vurdere hvorvidt det i dag foreligger tvingende berettigede grunner til at arbeidsgiver fortsatt skal lagre opplysningene, jf. artikkel 21 nr. 1. Dersom det på nåværende tidspunkt anses å foreligge slike tvingende berettigede grunner, er det vanskelig å si noe om når disse ikke lenger foreligger, fordi det blant annet vil avhenge av hva som eventuelt skjer av nye episoder.
Nemnda legger til grunn at en skriftlig advarsel for utilbørlig opptreden vil ha preventiv effekt i seg selv, og at det ikke er lagringstiden alene som er avgjørende for den preventive effekten. Nemnda oppfatter at A har tatt den ilagte tilrettevisningen alvorlig, og han har blant annet gitt en skriftlig unnskyldning til den personen han sendte den omtalte meldingen til. Nemnda kan derfor ikke se at det er redegjort for forhold som tilsier at det foreligger noen fare for gjentakelse. Den omtalte «Skrekk og gru….»-meldingen fra 2011 representerer et annet type forhold som ikke begrunner noen gjentakelsesfare for den meldingen A sendte i 2015. Nemnda legger videre til grunn at det ikke har vært noen andre utilbørlige uttalelser etter den aktuelle meldingen i 2015, og heller ikke andre mindre alvorlige hendelser som er knyttet til A. Det er fremlagt en attest fra […] B, som er As nærmeste overordnede, datert 20. mai 2015, hvor det fremkommer at A siden 2001 har «utført sitt arbeid som […] på en utmerket måte». Selv om denne attesten primært er knyttet til omtale av As helse, er det også naturlig å oppfatte den slik at As nærmeste overordnede er godt fornøyd med den jobben A utfører. Det er etter nemndas vurdering ikke redegjort for forhold som tilsier at tilrettevisningen, som snart er fire år gammel, skal ha noen betydning i en mulig, helt uspesifisert, fremtidig personalsak. Selv om meldingen var utilbørlig, både på grunn av ordvalg og fordi den representerte en innblanding i arbeidsgivers styringsrett, betyr ikke det at den i dag – nesten fire år senere – fortsatt er nødvendig å lagre av personaladminstrative hensyn. I denne vurderingen har nemnda også vektlagt at As nærmeste leder (som var den som ga han tilrettevisningen i 2015) har bedt om at den nå slettes, samt at A selv opplever den fortsatte lagringen som svært belastende.
Det finnes etter dette ingen tvingende eller tungtveiende berettigede grunner til fortsatt lagring, jf. artikkel 21 nr. 1, jf. artikkel 17 nr. 1 bokstav c.
A gis etter dette medhold og X pålegges å slette tilrettevisningen gitt i brev 10. februar 2015 i As personalmappe.
A får medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
X pålegges å slette de to tilrettevisningene i As personalmappe datert henholdsvis 7. november 2011 og 10. februar 2015, jf. GDPR artikkel 17 nr. 1 bokstav a) og bokstav c).
Oslo, 12. november 2018
Mari Bø Haugstad
Leder