Personvernnemndas vedtak 26. april 2019 (Mari Bø Haugstad, Line Coll, Gisle Hannemyr, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets avgjørelse 25. januar 2018 der tilsynet avsluttet sak om retting og sletting i politioperativt register, uten å gi pålegg.
Sakens bakgrunn
A ble utsatt for et seksuelt overgrep 7. juni 2014. Den tiltalte gjerningsmannen ble dømt til fengsel i 3 år og 3 måneder ved lagmannsrettens dom 28. mai 2015. Dommen er rettskraftig.
Den 1. desember 2015 mottok politiet en melding vedørende A som ble registrert under kategorien «bekymringsmelding» i politioperativt register (PO). Et familiemedlem av A meldte bekymring om misbruk av alkohol og rus i ukedagene, samt at han tidvis var paranoid og langt nede etter å ha vært utsatt for seksuelt overgrep. Melder visste at A hadde tatt jegerprøve og kjøpt seg pumpehagle etter overgrepet, og var bekymret for at han skulle finne på noe med haglen da melder mente A ikke var interessert i jakt.
A søkte politiet om våpentillatelse 15. desember 2015, men fikk avslag ved politiets vedtak 1. september 2016. Det er opplyst at A, etter klage, fikk våpentillatelse innvilget 14. juni 2017.
Etter at A fikk innsyn i blant annet PO den 2. februar 2017, ble han kjent med at det i tillegg til den omtalte bekymringsmeldingen, var registrert en hendelse fra 12. oktober 2009:
«Melding om beruset mann på toget - passasjeren forholdt seg rolig og fikk bli ombord på toget»
I brev til Kripos 20. februar 2017 ba A om at opplysningene fra hendelsen på toget den 12. oktober 2009 og bekymringsmeldingen fra 1. desember 2015 ble slettet fra PO. Kripos avslo slettebegjæringene 17. mars 2017. A klagde på avgjørelsen, men Politidirektoratet opprettholdt avslaget i vedtak 28. juni 2017.
A ba deretter om retting av opplysningene. Kripos avslo rettebegjæringen 14. september 2017.
A kontaktet Datatilsynet 30. juli 2017 og ba om bistand til å få slettet bekymringsmeldingen fra 1. desember 2012, alle opplysninger i PO-registeret knyttet til voldtektssaken (både i forbindelse med tingrettssaken og lagmannsrettssaken), samt alle opplysninger om den registrerte toghendelsen 12. oktober 2009.
Datatilsynet behandlet saken og konkluderte slik i sitt brev 25. januar 2018:
«Etter å ha gjennomgått sakens dokumenter, herunder Kripos' og Politidirektoratets begrunnelse for avslag på slette- og rettebegjæringen, er vi av den oppfatning at politiet har behandlet (herunder registrert og lagrer) opplysningene om deg i samsvar med politiregisterloven. Vi har ikke grunnlag for å si at det er foretatt uriktige vurderinger av de aktuelle lovbestemmelsene i denne saken. Politiets vurderinger fremstår som forsvarlige.
Saken avsluttes dermed fra vår side.
Vår beslutning kan påklages etter bestemmelsene i forvaltningsloven kapittel VI. Fristen for å klage er tre uker etter at dette brevet er mottatt. Personvernnemnda er klageorgan, men en eventuell klage skal sendes Datatilsynet.»
A framsatte klage 30. januar 2018 på Datatilsynets avgjørelse. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse.
Saken ble oversendt Personvernnemnda 10. juli 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. Ingen av partene kom med merknader.
Partene og Datatilsynet ble i brev fra nemnda 2. november 2018 varslet om forlenget saksbehandlingstid og orientert om ny personvernlovgivning fra 20. juli 2018, med mulighet til å inngi merknader knyttet til ny lov. A ga sine merknader i brev 31. desember 2018. Kripos har gitt sine merknader i e-post 21. desember 2018. Datatilsynet har i brev til nemnda 30. januar 2019 også kommentert betydningen av ny personvernlovgivning.
Saken ble behandlet i nemndas møte 26. april 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Line Coll, Gisle Hannemyr, Hans Marius Tessem og Ellen Økland Blinkenberg. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A har i korte trekk anført
Bekymringsmeldingen i PO fra 1. desember 2015, samt dens eventuelle forekomst i andre registre skal slettes i sin helhet da informasjonen ikke er kvalitetssikret og ikke kan korrigeres uten at det fører til ytterligere belastninger på hans familie, jf. politiregisterloven § 51 andre ledd. Meldingen har ført til negative konsekvenser for ham da han ble nektet nytt våpenkort og ved at politiet ikke tok seg bryet med å få meldingen sjekket, men likevel brukte den som vedtaksgrunnlag.
Alle opplysninger, legeerklæringer m.v. med opplysninger om hans person fra dokumenter i rettssakene skal slettes fra politiets operative registre da de ikke har betydning eller nødvendighet for noe aktuelt formål, jf. politiregisterforskriften § 16-3 første ledd og politiregisterloven § 50 første ledd.
Registreringen i PO fra hendelsen 12.10.2009 skal slettes da den ikke har betydning eller nødvendighet for noe aktuelt formål, jf. politiregisterforskriften § 16-3 første ledd og politiregisterloven § 50 første ledd.
Nemnda bes behandle denne saken etter EU’s personvernforordning GDPR (EU 2016/679) og direktiv for behandling av personopplysninger i politi- og straffesektoren (EU 2016/680).
Kripos har i korte trekk anført
Det er ikke grunnlag for å slette eller rette opplysninger om A i PO.
PO inneholder de opplysninger som nedtegnes løpende i forbindelse med gjennomføring av politiets arbeid. Dette omfatter opplysninger som nedtegnes i forbindelse med mottak av telefonhenvendelser til operasjonssentralene.
Formålet med registeret er blant annet å sikre notoritet om utførelsen av polititjenesten, jf. politiregisterforskriften § 53-1. Opplysninger om henvendelser til politiet kan registreres for å oppnå dette formålet, jf. politiregisterforskriften § 53-6. Bekymringsmeldingen som er registrert om A er registrert i tråd med formålet om å sikre notoritet om en henvendelse til politiet.
Når det gjelder begjæringen om sletting av opplysninger knyttet til hendelsen i oktober 2009, framgår det av PO-loggen fra 12. oktober 2009 at politiet mottok melding om en beruset person om bord på et tog. Melder har altså gitt denne informasjonen til operasjonssentralen som i sin tur har nedtegnet dette, i tråd med hensynet til notoritet. Informasjonen om meldingen i PO er således korrekt, uavhengig av om vedkommende person var beruset eller ikke. Selv om melder kan ha oppfattet situasjonen galt er det altså ikke dekning for å si at de registrerte opplysningene er uriktige. Meldingen kan ikke slettes.
Når det gjelder opplysninger om bekymringsmeldingen fra 1. desember 2015, framgår det av PO-loggen fra denne datoen at det er registrert opplysninger om en melding fra et familiemedlem som uttrykte bekymring for registrertes mentale helse. Politiet tar ikke stilling til hvorvidt opplysningene medfører riktighet eller ikke, men er pålagt å sikre notoritet om meldingen. Meldingen kan ikke slettes.
Opplysningene er ikke mangelfulle eller uriktige etter politiregisterloven § 51 første ledd første punktum og politiregisterforskriften § 14-2 annet ledd.
Opplysningene i PO er lovlig registrert, og er fortsatt nødvendig for formålene med PO, jf. politiregisterforskriften § 53-6, jf. § 53-1. Dette gjelder både for meldingen av 12. oktober 2009 og meldingen 1. desember 2015.
Datatilsynets vurdering
I medhold av politiregisterloven § 59 skal Datatilsynet, etter begjæring fra den registrerte eller den som antar å være registrert, kontrollere at opplysningene om vedkommende er behandlet i samsvar med loven og at reglene om innsyn er fulgt. Etter lovens § 60 kan tilsynet gi pålegg om at behandling skal opphøre dersom den er i strid med politiregisterloven. Datatilsynet har vurdert politiets behandling, herunder registrering og fortsatt lagring, av opplysningene om vedkommende, samt politiets begrunnelse for avslag på rette- og slettebegjæringene.
Datatilsynets vurdering er at politiet har behandlet opplysningene i tråd med reglene i politiregisterloven og -forskriften. Politiets vurderinger framstår som forsvarlige, og de begrunnelser som er gitt for avslag på rette- og slettebegjæringen anses tilfredsstillende. Det er ikke grunnlag for å forfølge saken videre fra Datatilsynets side.
Personvernnemndas vurdering
Politiet og påtalemyndighetens behandling av personopplysninger reguleres av politiregisterloven med tilhørende forskrifter. Det følger av § 3 at loven gjelder for politiets og påtalemyndighetens behandling av opplysninger som faller innenfor politimessige formål, jf. § 4. Loven gjelder dermed for behandling av opplysninger både i og utenfor den enkelte straffesak. Loven kommer ikke til anvendelse på opplysninger som behandles etter SIS-loven (lov om Schengen informasjonssystem), jf. første ledd nr. 1. I første ledd nr. 2 er det gjort unntak for politiets behandling av opplysninger som faller utenfor politimessige formål, jf. § 4. Dette gjelder behandling av opplysninger i forbindelse med politiets forvaltningsvirksomhet eller i forbindelse med sivile gjøremål. Behandling av personopplysninger til disse formålene reguleres av personopplysningsloven.
Denne saken gjelder behandling av personopplysninger i politioperativt register. Registeret er politiets vaktjournal som skal gi en fortløpende og døgnkontinuerlig oversikt over alle vesentlige opplysninger om ordning og utførelse av polititjenesten på stedet, jf. politiregisterloven § 10 første punktum. Mer detaljerte regler om politioperativt register er gitt i politiregisterforskriften kapittel 53. Registeret kan brukes til politimessige, forvaltningsmessige og administrative formål, jf. politiregisterloven § 10 annet punktum, jf. politiregisterforskriften § 53-1.
Den registrerte, eller den som antar å være registrert, kan påklage avgjørelser truffet i medhold av politiregisterloven til overordnet organ, jf. politiregisterloven § 55. For avgjørelser truffet av politiet er det Politidirektoratet som er overordnet organ. Denne klageadgangen omfatter også avgjørelser om innsyn, retting, sperring og sletting, jf. politiregisterloven § 55, jf. politiregisterforskriften § 53-16, jf. kapittel 18.
I tillegg til denne klageordningen, er Datatilsynet tilsynsmyndighet og skal føre kontroll med at politiregisterloven med tilhørende forskrifter følges og at feil eller mangler blir rettet, jf. politiregisterloven § 58. Dette omtales som «det tosporede system», se. Ot.prp. nr. 108 (2008-2009), pkt. 15.1.1 og går ut på at den registrerte både kan påklage vedtak truffet i medhold av loven til Politidirektoratet, og i tillegg kan henvende seg til Datatilsynet for kontroll. Datatilsynet skal, etter begjæring fra den registrerte, kontrollere at opplysningene om vedkommende er behandlet i samsvar med loven og at reglene om innsyn er fulgt, jf. politiregisterloven § 59.
Politiregisterloven § 60 regulerer Datatilsynets kompetanse som tilsynsmyndighet når det gjelder politiets behandling av personopplysninger. Politiregisterloven § 60 lyder:
«Datatilsynet kan gi den behandlingsansvarlige pålegg om at behandling av opplysninger i strid med §§ 15 og 16 skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med disse bestemmelsene. Datatilsynet kan ved behandling av opplysninger utenfor straffesak dessuten gi den behandlingsansvarlige pålegg om at behandling i strid med denne loven skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med loven. Datatilsynet kan likevel ikke gi pålegg om innsyn i opplysninger som er unntatt fra innsynsrett etter § 49, eller gi pålegg om overholdelse av reglene om utlevering og taushetsplikt i kapittel 5 og 6 eller vandelskontroll i kapittel 7.
Datatilsynet kan gi anmerkning dersom det finner at behandling av opplysninger i forbindelse med straffesaker er i strid med loven. Det samme gjelder for behandling som nevnt i første ledd siste punktum. Slik anmerkning skal meddeles den behandlingsansvarlige med gjenpart til den behandlingsansvarliges overordnete organ.
Datatilsynets vedtak etter første ledd kan påklages til Personvernnemnda.
Ved pålegg som nevnt i første ledd kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt».
Ut over behandling av opplysninger i strid med politiregisterloven §§ 15 og 16, som gjelder informasjonssikkerhet og internkontroll, kan tilsynet bare gi politiet pålegg om retting og sletting i saker som gjelder behandling av opplysninger utenfor straffesak. I straffesaker har Datatilsynet kun anmerkningskompetanse når det gjelder behandling av personopplysninger.
Nemnda vil først behandle As anmodning om at alle opplysninger om ham knyttet til den avgjorte voldtektssaken, skal slettes fra politioperativt register.
Det er ingen tvil om at disse opplysningene er registrert i forbindelse med en straffesak og at Datatilsynets kompetanse da er begrenset til å gi den behandlingsansvarlige en anmerkning dersom tilsynet mener at politiets behandling av personopplysningene er skjedd i strid med loven. Etter politiregisterloven § 60 tredje ledd kan Datatilsynets beslutning om enten å gi anmerkning eller ikke gi anmerkning, ikke påklages. Vilkårene for å behandle klagen er etter dette ikke oppfylt og klagen må avvises på dette punktet.
Nemnda går deretter over til å vurdere As anmodning om å slette, eventuelt rette, opplysningene om hendelsen på toget i 2009 og bekymringsmeldingen fra 1. desember 2015.
Dette gjelder retting og sletting av opplysninger utenfor straffesak. I slike saker er Datatilsynets oppgave å påse at behandlingen av opplysninger er i samsvar med loven og tilsynet er gitt påleggskompetanse. Om hva som ligger i dette sier departementet i Ot.prp. nr.108 (2008-2009) punkt 16.2.6.2:
«Etter hva man forstår er Politidirektoratets bekymring først og fremst begrunnet i at Datatilsynet gjennom påleggskompetanse kan overprøve politifaglige vurderinger knyttet til nødvendighetskriteriet. Til dette vil man bemerke at Datatilsynet i slike tilfeller ber om å få dokumentert at politiet faktisk har foretatt en vurdering av om behandlingen er nødvendig og hva denne vurderingen går ut på. Når slik dokumentasjon kan forelegges, er kravet om lovmessig behandling oppfylt og de personvernmessige aspektene vil da i tilstrekkelig grad være ivaretatt. Datatilsynet vil således ikke overprøve den konkrete politifaglige vurderingen som ligger til grunn for registreringen, og departementet kan på denne bakgrunn ikke se at det er betenkelig å gi Datatilsynet påleggskompetanse hva gjelder retting og sletting.»
Nemnda legger til grunn at Datatilsynet, etter begjæring fra A, har kontrollert at opplysningene om han er behandlet i samsvar med politiregisterloven, jf. politiregisterloven § 59. Datatilsynet avsluttet saken 25. januar 2018 uten å gi noe pålegg.
Det følger som nevnt av politiregisterloven § 60 første ledd at Datatilsynet, ved behandling av opplysninger utenfor straffesak, kan gi den behandlingsansvarlige pålegg om at behandling i strid med politiregisterloven skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med politiregisterloven. Det følger videre av tredje ledd at Datatilsynets vedtak etter første ledd kan påklages til Personvernnemnda. Nemnda tolker ordlyden i denne bestemmelsen slik at det bare er Datatilsynets vedtak om å gi pålegg som kan klages inn for nemnda, ikke en avgjørelse om at en behandling av personopplysninger er lovlig etter politiregisterloven, og dermed ikke gir grunn til pålegg. Denne forståelsen (at det bare er den behandlingsansvarlige, som er ilagt pålegg, som kan klage på tilsynets vedtak) støttes av departementets uttalelser i lovens forarbeider, Ot.prp. nr.108 (2008-2009) punkt 21.10, i kommentarene til § 60:
«Datatilsynet er gitt både påleggs- og anmerkningskompetanse. Påleggskompetanse innebærer at Datatilsynet kan pålegge den behandlingsansvarlige at en behandling skal opphøre, endres med videre. Et slikt pålegg vil være bindende for den behandlingsansvarlige, med mindre personvernnemda endrer tilsynets pålegg etter klage.
[…]
Etter tredje ledd kan Datatilsynets vedtak etter første ledd påklages til Personvernnemnda. Dette er i samsvar med regelen i SIS-loven § 23 annet ledd, og hovedregelen i personopplysningsloven [2000] § 42 fjerde ledd. Dette innebærer også at anmerkning i henhold til annet ledd ikke kan påklages til personvernnemnda. Siden pålegg regelmessig vil rette seg mot den behandlingsansvarlige, vil det også være den behandlingsansvarlige som kan påklage Datatilsynets vedtak.» (Nemndas utheving.)
Nemnda legger etter dette til grunn at når Datatilsynet har kontrollert at opplysningene om en registrert er behandlet i samsvar med politiregisterloven, jf. politiregisterloven § 59, og konkludert med at behandlingen er lovlig, er det en vurdering som ikke kan påklages etter politiregisterloven § 60.
Personvernnemnda bemerker at ordlyden i Datatilsynets brev til A 25. januar 2018 om avslutning av saken, hvor tilsynet opplyser om klageadgang, derfor er misvisende. Det burde framgått av brevet at den registrerte ikke har adgang til å klage på tilsynets beslutning om ikke å gi den behandlingsansvarlige anmerkning (opplysninger i straffesak) eller pålegg (opplysninger utenfor straffesak).
Vilkårene for å behandle klagen fra A er dermed heller ikke oppfylt på dette punktet og saken skal avvises.
Vedtaket er enstemmig.
Vedtak
Saken avvises.
Oslo, 26. april 2019
Mari Bø Haugstad
Leder