Oppsummering

På bakgrunn av flere enkeltsaker og som en oppfølging av Sivilombudets uttalelse 8. desember 2022 (SOM-2022-2358), har Sivilombudet undersøkt Datatilsynets behandlingstider.

Saken gjelder både behandlingstidene der en part klager til Datatilsynet (klagesaker) og der en part klager over Datatilsynets vedtak (vedtaksklagesaker). Ombudet stilte også spørsmål til Datatilsynets rutiner om å sende foreløpige svar og orientering til partene om eventuelle forsinkelser underveis.

Sivilombudet kom til at det er begrunnet tvil om Datatilsynet har behandlet de eldste sakene i tråd med forvaltningsloven krav til behandlingstid. Datatilsynet oppfyller, slik ombudet forstår det, sin plikt til å sende foreløpige svar etter forvaltningsloven § 11 a andre ledd i klagesaker, men ikke i vedtaksklagesaker. Datatilsynet sender heller ikke forsinkelsesmeldinger der behandlingen av saken trekker ut i tid, slik god forvaltningsskikk tilsier. Datatilsynet ble bedt om å oppdatere sine rutiner i tråd med ombudets uttalelse, slik at det sikres at det sendes foreløpige svar og eventuelle forsinkelsesmeldinger, der det er nødvendig i henhold til forvaltningsloven og god forvaltningsskikk.

Sakens bakgrunn

Sivilombudet kritiserte i uttalelse 8. desember 2022 (SOM-2022-2358) tidsbruken i en klage over Datatilsynets avvisningsvedtak. Datatilsynet brukte ett år og tre måneder å oversende en klage til Personvernnemnda.

Sivilombudet fant det klart at behandlingstiden i saken var i strid med forvaltningsloven. Ombudet skrev dessuten at Datatilsynet måtte gå gjennom egne rutiner for å sikre at klagesaker alltid forberedes «uten ugrunnet opphold» og oversendes Personvernnemnda «så snart saken er tilrettelagt», jf. forvaltningsloven §§ 11 a første ledd og 33 fjerde ledd. Videre kom ombudet til at Datatilsynet også måtte gå gjennom rutinene sine for å sende foreløpig svar og sende forsinkelsesmelding hvis behandlingen av saken trekker ut i tid.

I en nyere klage til Sivilombudet, som også gjaldt behandlingstiden av klage over Datatilsynets vedtak, hadde Datatilsynet opplyst at behandlingstiden på forberedende klagebehandling og oversendelse til Personvernnemnda var ett år. I en annen klagesak hos ombudet hadde Datatilsynet orientert klageren om at gjennomsnittlig behandlingstid før vedtak fattes, også var ett år.

Våre undersøkelser

Ombudets behandling av enkeltsakene nevnt over ble avsluttet, men vi besluttet å undersøke behandlingstiden for både forberedende klagesaksbehandling og behandlingstiden frem til Datatilsynet fatter vedtak, av eget tiltak, jf. sivilombudsloven § 15. Vi stilte også spørsmål knyttet til Datatilsynets oppfølging av Sivilombudets uttalelse SOM-2022-2358, da særlig om Datatilsynet sender klagerne foreløpige svar og orienteringer underveis ved eventuelle forsinkelser. Vi kommer nærmere inn på innholdet i Datatilsynets svar under fremstillingen av Sivilombudets syn på saken under.

I svaret på Sivilombudets undersøkelse opplyste Datatilsynet at saker de behandler i første instans, omtales som «klagesaker» og saker som gjelder klager på egne vedtak, som «vedtaksklagesaker». Sivilombudet vil holde seg til denne begrepsbruken i det følgende.

Sivilombudets syn på saken

Rettslige utgangspunkter

Behandlingstid

Personvernforordningen (GDPR) artikkel 77 gir den enkelte rett til å klage til tilsynsmyndigheten hvis man mener at egne personopplysninger har blitt behandlet i strid med GDPR. Tilsynsmyndigheten, i Norge Datatilsynet, skal underrette klageren om forløpet i klagebehandlingen, utfallet av klagen og muligheten for rettslig prøving etter artikkel 78. Bestemmelsen gir også rett til et effektivt rettsmiddel dersom tilsynsmyndigheten ikke behandler en klage eller ikke underretter om klagebehandlingsforløpet eller utfallet av klagen innen tre måneder, se også artikkel 58 nr. 4 og fortalens punkt 141, som sier at Datatilsynet innen en rimelig frist bør underrette den registrerte om klagebehandlingsforløpet og om utfallet av klagen. Etter fortalens punkt 129 fjerde setning bør Datatilsynets myndighet utøves «i samsvar med nødvendige prosessuelle garantier som er fastsatt i unionsretten og medlemsstatenes nasjonale rett, på en upartisk og rettferdig måte og innen rimelig tid»,

Forvaltningsloven gjelder ved Datatilsynets behandling av klager, jf. Prop.56 LS (2017-2018) punkt 26.5. Etter forvaltningsloven § 11 a første ledd skal forvaltningsorganet «forberede og avgjøre saken uten ugrunnet opphold». Bestemmelsen gjelder også under klagesaksforberedelsen, se for eksempel Ot.prp.nr. 3 (1976-1977) punkt 5 under merknadene til § 33. Slik ombudet forstår det, stiller ikke GDPR krav til fremdrift i sakene utover det som allerede følger av forvaltningsloven.

Sivilombudet har i tidligere uttalelser lagt til grunn at forvaltningsloven § 11 a stiller krav både til saksbehandlingstiden og hva som er akseptable årsaker til opphold i saksbehandlingen. Vilkåret «uten ugrunnet opphold» er skjønnsmessig, og det nærmere innholdet vil kunne variere etter blant annet saksområde og sakstype. De øvrige saksbehandlingsreglene i forvaltningsloven, blant annet kravet til en forsvarlig opplysning av saken i § 17 første ledd, vil kunne begrunne en lengre saksbehandlingstid i kompliserte og prinsipielle saker enn i enklere saker.

Reglene om saksforberedelse i klagesaker følger av forvaltningsloven § 33. Førsteinstansen skal foreta de undersøkelser klagen gir grunn til, og den kan oppheve eller endre vedtaket dersom den finner klagen begrunnet, jf. § 33 andre ledd. Blir det ikke truffet en slik avgjørelse, skal sakens dokumenter sendes klageinstansen så snart saken er tilrettelagt, jf. § 33 fjerde ledd.

Bestemmelsene blir i hovedsak videreført i ny forvaltningslov (ikke i kraft ennå) 20. juni 2025 §§ 17 første ledd og 67 tredje ledd

Foreløpige svar og orientering underveis

Det følger av forvaltningsloven § 11 a andre ledd at dersom det må ventes at det vil ta uforholdsmessig lang tid før en henvendelse kan besvares, skal forvaltningsorganet som mottok henvendelsen, snarest mulig gi et foreløpig svar. I det foreløpige svaret skal det gjøres rede for grunnen til at henvendelsen ikke kan behandles tidligere, og – «såvidt mulig» – angis når svar kan ventes. I saker som gjelder enkeltvedtak, skal det alltid sendes foreløpig svar dersom saken ikke kan ferdigbehandles innen én måned etter at den er mottatt, jf. tredje ledd. Plikten til å gi foreløpig svar gjelder også ved behandling av klagesaker etter forvaltningsloven § 28, se blant annet Sivilombudets uttalelse 13. desember 2018 (SOM-2018-563).

Dersom behandlingen av saken blir forsinket, tilsier god forvaltningsskikk at det foreløpige svaret følges opp med forsinkelsesmeldinger med korrigerte opplysninger om forventet behandlingstid, se for eksempel ombudets uttalelse 10. november 2017 (SOM-2017-1246). Plikten til å sende forsinkelsesmeldinger blir lovfestet i den nye forvaltningsloven (ikke i kraft) § 17 tredje ledd.

En orientering om klagebehandlingsforløpet vil antakelig avbryte tremånedersfristen for når artikkel 78 nr. 2 utløser retten til effektivt rettsmiddel, se avsnitt 6 over. Det kan tenkes at GDPR her stiller krav til denne orienteringen som går utover det som følger av forvaltningsloven § 11 a andre ledd, uten at det har vært nødvendig for ombudet å ta stilling til dette i denne saken.

Behandlingstiden i klagesaker

På bakgrunn av ombudets undersøkelse beregnet Datatilsynet gjennomsnittlig behandlingstid i de omtrent 3000 sakene de har behandlet siden 1. juni 2020. Datatilsynet har oppgitt behandlingstid i virkedager, der lørdager, søndager og helligdager er trukket fra. Datatilsynet opplyste i telefonsamtale med ombudets saksbehandler at de legger til grunn 250-260 virkedager per år. Den gjennomsnittlige behandlingstid for klagesaker i perioden var litt under ett år (221 virkedager). De 1 % sakene med lengst behandlingstid hadde en gjennomsnittlig behandlingstid på omtrent fem år (1266 virkedager), de 10 % eldste omtrent tre år (766 virkedager), og de 20 % eldste litt under to og et halvt år (606 virkedager). Datatilsynet opplyste at antallet virkedager ikke alltid gjenspeiler reell saksbehandlingstid og viste til at dersom de mottar nye dokumenter i saker som er avsluttet, vil de registreres i den eksisterende saken, som da blir gjenåpnet. Behandlingstiden i saken vil ta utgangspunkt i første dokument Datatilsynet mottok.

Datatilsynet saksmengde, inkludert antallet klagesaker, har økt betydelig de siste ti årene. Dette fremgår også av «DFØ-rapport 2024:8 Både vaktbikkje og førerhund?» kapittel 3.2.

Etter det ombudet er kjent med, mottar Datatilsynet klager av svært ulik karakter. Noen saker er lite kompliserte og bør kunne avsluttes raskt. Andre saker kan på sin side være omfattende, komplekse og grenseoverskridende. Slike saker krever grundigere utredning og vurderinger og vil være mer tidkrevende. Den ulike karakteren av klagene gjør at Datatilsynet må foreta prioriteringer i sin saksavvikling.

Opplysninger om gjennomsnittlig saksbehandlingstid sier lite om behandlingstiden i den enkelte sak er i tråd med forvaltningsloven § 11 a. Hva som er rimelig behandlingstid må vurderes i den konkrete saken, alle forhold tatt i betraktning. Ombudet antar at det er få saker der en behandlingstid på over ett år er akseptabel, og på denne bakgrunn kan den angitte gjennomsnittlige behandlingstiden på ett år synes høy. Samtidig er det vanskelig for ombudet å vurdere, ut fra Datatilsynets redegjørelse, i hvor stor grad dette gjennomsnittet skyldes de særlig krevende sakene og saker som fremstår som eldre enn de egentlig er. Slik ombudet forstår det, er Datatilsynets manglende kunnskap om dette en følge av registreringsrutinene.

Sakene med lengst behandlingstid blir svært gamle. Selv om de lange behandlingstidene i noen av disse sakene trolig kan forklares med forholdene Datatilsynet har vist til, er det begrunnet tvil om disse sakene er behandlet i tråd med forvaltningsloven § 11 a. Datatilsynet bør være særlig oppmerksomme på disse sakene og vurdere om enkelte av de eldste sakene kunne vært behandlet raskere og bestrebe seg etter å håndtere lignende saker raskere i fremtiden. Den samme tvil knytter seg til behandlingstiden for enkle saker. Heller ikke her synes Datatilsynet å ha rutiner som gjør at tilsynet selv kan gjøre best mulige prioriteringer.

Slik forholdene er opplyst for ombudet, er det dermed vanskelig å konkludere med at Datatilsynets behandlingstider i klagesaker – på generelt grunnlag – er i strid med forvaltningsloven § 11 a.

Ombudet ser positivt på at Datatilsynet vurderer tiltak for å motvirke at saker som gjenåpnes fremstår som eldre enn de i realiteten er, slik at den tilgjengelige statistikken vil gi et riktig bilde av behandlingstidene.

Behandlingstiden i vedtaksklagesaker

Datatilsynet opplyste at de har behandlet 178 vedtaksklagesaker siden 1. juni 2020. Ifølge Datatilsynet stemmer det ikke at behandlingstiden i vedtaksklagesaker normalt er ett år, slik enkelte klager til ombudet har tydet på. Datatilsynets rutiner sier at sakene skal være forberedt og sendt over innen det har gått 30 virkedager. Gjennomsnittlig behandlingstid var omtrent 80 virkedager for perioden fra 1. juni 2020 frem til Datatilsynets redegjørelse. Hittil i år er gjennomsnittlig saksbehandlingstid etter det opplyste 25 virkedager.

De 1 % eldste sakene (to saker) i denne perioden hadde en gjennomsnittlig behandlingstid på ett og trekvart år (443,5 virkedager), de 10 % ett år (260,6 virkedager), og de 20 % eldste omtrent trekvart år (201,1 virkedager). Datatilsynet viste også til utviklingen i behandlingstiden for vedtaksklagesaker gjennom de tre siste årene etter ombudets uttalelse. Behandlingstiden var gjennomsnittlig omtrent fire og en halv måned (95 virkedager) i 2023, omtrent tre måneder (63 virkedager) i 2024 og litt over én måned (25 virkedager) i 2025.

Ombudet påpekte i SOM-2022-2358 at dersom førsteinstansen bruker lang tid på å oversende klager over egne vedtak til klageinstansen, kan dette undergrave retten til reell og relevant overprøving av forvaltningens vedtak. Normalt vil det også være mindre omfattende vurderinger og utredninger som må gjøres ved førsteinstansens behandling av klager på egne vedtak, enn før de fatter vedtak i saken. Dette fordi saken normalt vil være godt nok utredet på vedtakstidspunktet. På bakgrunn av dette kan de oppgitte behandlingstidene for de eldste sakene i vedtaksklagesaker fremstå som lange.

Sivilombudet har merket seg at behandlingstidene etter det opplyste har blitt vesentlig kortere fra 2023 til 2025. Datatilsynet ble i uttalelsen SOM-2022-2358 bedt om å gjennomgå sine rutiner for å sikre at klagesaker alltid forberedes «uten ugrunnet opphold» og oversendes Personvernnemnda «så snart saken er tilrettelagt», jf. forvaltningsloven §§ 11 a og § 33 fjerde ledd. Det er positivt at behandlingstiden har gått klart ned de siste årene. Rutinens målsetting om å behandle alle sakene innen 30 virkedager, tyder også på at Datatilsynet etterstreber å overholde forvaltningslovens krav til fremdrift i sakene. De lengste behandlingstidene i perioden synes derimot å være svært lange, tatt i betraktning at sakene normalt vil være godt nok utredet på vedtakstidspunktet, og at forklaringen om gjenåpning av saker som grunnlag for misvisende lange behandlingstider i klagesakene, ikke gjelder i vedtaksklagesakene, slik vi forstår Datatilsynets redegjørelse.

Sivilombudet har etter dette ikke funnet grunn til å kritisere Datatilsynets behandlingstid i vedtaksklagesaker på generelt grunnlag. Det er imidlertid begrunnet tvil om de eldste sakene i perioden fra 1. juni 2020 har blitt behandlet i tråd med forvaltningslovens krav. Vi ber derfor Datatilsynet om å vurdere om det er grunn til ytterligere gjennomgang av rutinene for å sikre at det ikke brukes for lang tid på å få oversendt de aller eldste sakene til Personvernnemnda.

Foreløpige svar og orientering underveis

I SOM-2022-2358 uttalte ombudet at undersøkelsene i den saken viste klare svakheter ved Datatilsynets praksis for utsending av foreløpig svar og forsinkelsesmeldinger. Ombudet ba derfor Datatilsynet om å gjennomgå sine interne rutiner for å sikre at sakens parter holdes tilfredsstillende orientert om forventet saksbehandlingstid under klagesaksforberedelsen, jf. forvaltningsloven § 11 a andre ledd. Ombudet skrev at Datatilsynet også må sende skriftlige forsinkelsesmeldinger dersom oversendelsen av klagesaken til Personvernnemnda eventuelt skulle trekke ut i tid, jf. krav til god forvaltningsskikk.

Datatilsynet skriver i redegjørelsen hit at de i klagesaker som standard prosedyre sender bekreftelse på at en sak er mottatt, der de angir forventet behandlingstid, som for tiden er omtrent ett år, samtidig som de opplyser at enkelte saker kan ta lengre tid. Datatilsynet har ikke rutiner for å sende bekreftelsesmeldinger når de mottar klager i vedtaksklagesaker. Datatilsynet har heller ikke rutiner for å sende forsinkelsesmeldinger, verken i klagesaker eller vedtaksklagesaker, men de opplyser at det ofte er kontakt mellom saksbehandleren og klageren i løpet av behandlingen av en sak, og at de anser partene i de aller fleste tilfeller er informert om saksgangen hos Datatilsynet, herunder om behandlingen tar lengre tid enn forventet.

Forvaltningsloven § 11 a gjelder «henvendelser». Både klagesaker og vedtaksklagesaker gjelder enkeltvedtak, og det følger da av bestemmelsens tredje ledd at det skal gis foreløpig svar dersom en henvendelse ikke kan besvares i løpet av én måned etter at den er mottatt. Basert på de oppgitte behandlingstidene, vil det være et klart krav om å sende foreløpige svar i klagesaker, men også behandlingstidene i vedtaksklagesaker tilsier at det ofte vil være et krav om å sende foreløpige svar.

Sivilombudet ba som nevnt i SOM-2022-2358 Datatilsynet om å gå gjennom sine interne rutiner for å sikre at sakens parter holdes tilfredsstillende orientert om forventet behandlingstid under klagesaksforberedelsen. Saken gjaldt en vedtaksklagesak, og det ble vist til forvaltningsloven § 11 a andre ledd, som omhandler foreløpige svar. Datatilsynet opplyser nå at det ikke sendes foreløpige svar i slike saker.

Det er uheldig at denne delen av ombudets uttalelse SOM-2022-2358 ikke synes å være fulgt opp. Ombudet forstår det slik at Datatilsynet nå vil oppdatere sine rutiner for å sikre at det sendes foreløpige svar og eventuelle forsinkelsesmeldinger, der det er nødvendig i henhold til forvaltningsloven og god forvaltningsskikk, både i klagesaker og vedtaksklagesaker. Behandlingstidene har også i det meste av perioden Datatilsynet har redegjort for vært lengre enn én måned, slik at Datatilsynet i har hatt plikt til å sende foreløpige svar etter forvaltningsloven § 11 a tredje ledd. Slik ombudet forstår det, har ikke Datatilsynet oppfylt denne plikten. Ombudet ber om å få oversendt kopi av rutinene, så snart disse foreligger.

Konklusjon

Sivilombudet har kommet til at det er begrunnet tvil om Datatilsynet har behandlet de eldste sakene i tråd med forvaltningsloven krav til behandlingstid.

Datatilsynet oppfyller, slik ombudet forstår det, sin plikt til å sende foreløpige svar etter forvaltningsloven § 11 a andre ledd i klagesaker, men ikke vedtaksklagesaker. Datatilsynet sender heller ikke forsinkelsesmeldinger der behandlingen av saken trekker ut i tid, slik god forvaltningsskikk tilsier. Datatilsynet bes om å oppdatere sine rutiner i tråd med ombudets uttalelse innen 24. oktober 2025, slik at det sikres at det sendes foreløpige svar og eventuelle forsinkelsesmeldinger, der det er nødvendig i henhold til forvaltningsloven og god forvaltningsskikk.