Sakens bakgrunn
A og B klaget 16. mars 2019 til Datatilsynet over brudd på personvernregelverket i X kommune. Datatilsynet besluttet å opprette sak, og i brev 20. august 2019 ba Datatilsynet kommunen om en skriftlig redegjørelse. Etter å ha mottatt redegjørelsen, avsluttet Datatilsynet 6. november 2020 saken under henvisning til at det ikke var grunnlag for å fastslå at det forelå systemsvikt i kommunen. Tilsynet ga i det avsluttende brevet veiledning til kommunen om plikter som følger av personvernforordningen (GDPR).
A og B klaget 27. november 2020 til Datatilsynet over tilsynets avgjørelse om å avslutte saken med kommunen uten at det ble gitt rettslige pålegg.
I vedtak 3. februar 2021 avviste Datatilsynet å behandle klagen. Datatilsynet opplyste at avgjørelsen om å avslutte tilsynssaken ikke var et enkeltvedtak, og at A og B heller ikke var parter i saken med kommunen. Datatilsynet orienterte om at vedtaket om avvisning var et enkeltvedtak, som kunne påklages. A og B klaget over avvisningsvedtaket 24. februar 2021.
I brev 30. april 2021 fra Datatilsynet til A og B viste tilsynet til tidligere gitt informasjon om retten til å påklage avvisningsvedtaket. Deretter ga Datatilsynet veiledning om «noen rettslige utgangspunkter som begrunner hvorfor vi ikke mener våre undersøkelser og eventuelle sanksjoner er av betydning for deres opplevelse av kommunens behandling av personopplysninger». Avslutningsvis i brevet skrev Datatilsynet at «[v]i anser denne saken som avsluttet fra vår side».
I svarbrev 30. mai 2021 til Datatilsynet fastholdt A og B at klagen på avvisningsvedtaket skulle oversendes til Personvernnemnda.
A og B sendte flere skriftlige purringer til Datatilsynet i løpet av høsten 2021, der de spurte om når saken ville bli oversendt til Personvernnemnda. Da de ikke mottok svar på purringene, klaget de 23. januar 2022 til Sivilombudet over lang saksbehandlingstid og manglende svar fra Datatilsynet. Sivilombudet tok i første omgang kontakt med Datatilsynet per telefon for å be om informasjon om status i saken. I telefonsamtale 7. februar 2022 opplyste Datatilsynet at saken nå skulle bli oversendt til Personvernnemnda, og at A og B ville få en skriftlig orientering. Sivilombudet avsluttet da saken.
A og B kom tilbake med ny klage til Sivilombudet 3. april 2022. De opplyste at de hadde mottatt et brev fra Datatilsynet 7. februar 2022 med informasjon om at klagesaken ville bli oversendt Personvernnemnda før 15. februar 2022. De hadde imidlertid i ettertid verken mottatt noen kopi av oversendelsesbrev fra Datatilsynet eller noen orientering fra Personvernnemnda, som bekreftet at klagen var blitt mottatt. Sivilombudet besluttet da å innhente saksdokumentene fra Datatilsynet, og ba om å få disse tilsendt innen 11. mai 2022. Vi mottok saksdokumentene 23. mai 2022, etter å ha sendt en skriftlig påminnelse. Av dokumentene ombudet mottok, fremgikk det at klagesaken hadde blitt oversendt til Personvernnemnda 12. mai 2022.
I vedtak 8. november 2022 (PVN-2022-12) opprettholdt Personvernnemnda Datatilsynets vedtak om avvisning. Nemnda kom til at det ikke forelå klagerett på avgjørelsen i tilsynssaken, og at opprettelsen av tilsynssaken bygget på en forsvarlig vurdering. Avslutningsvis uttalte Personvernnemnda at Datatilsynets tidsbruk ved oversendelse av klagesaken til nemnda, var «uheldig».
Våre undersøkelser
På bakgrunn av at det tok om lag ett år og tre måneder fra vedtaket om avvisning ble påklaget til saken ble oversendt til Personvernnemnda, fant vi grunn til å undersøke saken nærmere.
I brev 29. juni 2022 herfra ble Datatilsynet bedt om å forklare tidsbruken i saken, fra klagen over avvisningsvedtaket ble mottatt til saken ble oversendt Personvernnemnda. Vi spurte også om det var sendt ut foreløpig svar og forsinkelsesmeldinger til klagerne. Videre ble Datatilsynet bedt om å forklare formålet med brevet som ble sendt til A og B 30. april 2022, samt opplyse om hva som er gjennomsnittlig saksbehandlingstid hos Datatilsynet ved behandling av klagesaker som skal oversendes til Personvernnemnda.
Datatilsynet ga i brev 30. august 2022 blant annet følgende svar på våre spørsmål: Det ble byttet saksbehandler to ganger. Da den siste saksbehandleren sluttet, ble saken ved en feil liggende ufordelt, og det ble feilaktig lagt til grunn at den var oversendt Personvernnemnda for klagebehandling. Datatilsynet sendte saken over til Personvernnemnda da feilen ble oppdaget. Det ble også opplyst at klagesaksbehandlingen, som følge av den manglende omfordelingen til ny saksbehandler, «kan ha medført brudd på kravene til saksbehandlingstid i forvaltningsloven og vår egen oppfatning av standarden for god forvaltningsskikk».
Når det gjaldt brevet til klagerne 30. april 2021, så var dette ment å gi veiledning om avvisningen av saken og generell info om Datatilsynets begrensede mulighet til å overprøve forvaltningens etterlevelse av særlovgivningen. Som følge av at saken feilaktig ikke ble omfordelt, ble det ikke sendt ut foreløpig svar eller forsinkelsesmelding. Datatilsynet opplyste at de har ingen systematisk oversikt over saksbehandlingstid for saker som skal sendes til Personvernnemnda, men slike saker gis prioritet fremfor mange andre sakstyper.
A og B kom med merknader til Datatilsynets redegjørelse og uttalte at de var uenige i den forklaringen Datatilsynet hadde gitt. De viste blant annet til at den siste saksbehandleren først sluttet etter at Sivilombudet kontaktet Datatilsynet om saken i februar 2022. Saken hadde da allerede ligget i ett år.
Datatilsynet ga i brev 14. oktober 2022 tilleggsmerknader. Tilsynet fastholdt at saksbehandlerbyttet hadde hatt betydning for tidsbruken for oversendelse av saken til nemnda. Ellers bemerket Datatilsynet at tilsynet har begrensede ressurser og et stort tilfang av saker, noe som medfører generelt lange saksbehandlingstider.
Sivilombudets syn på saken
1. Rettslig utgangspunkt
Personvernforordningen (GDPR) artikkel 77 gir den enkelte rett til å klage til tilsynsmyndigheten hvis man mener at personopplysninger har blitt behandlet i strid med GDPR. Datatilsynet er tilsynsmyndighet i Norge. Forvaltningsloven gjelder ved Datatilsynets behandling av klager, jf. Prop.56 LS (2017-2018) punkt 26.5.
Reglene om saksforberedelse i klagesaker følger av forvaltningsloven § 33. Førsteinstansen skal foreta de undersøkelser klagen gir grunn til, og den kan oppheve eller endre vedtaket dersom den finner klagen begrunnet, jf. § 33 annet ledd. Blir det ikke truffet avgjørelse som nevnt i annet ledd, skal sakens dokumenter sendes klageinstansen så snart saken er tilrettelagt, jf. § 33 fjerde ledd.
Etter forvaltningsloven § 11 a første ledd skal forvaltningsorganet «forberede og avgjøre saken uten ugrunnet opphold». Bestemmelsen gjelder også under klagesaksforberedelsen, jf. Ot.prp.nr. 3 (1976-1977) punkt 5 under merknadene til § 33.
Sivilombudet har i tidligere uttalelser lagt til grunn at forvaltningsloven § 11 a stiller krav både til saksbehandlingstiden og hva som er akseptable årsaker til opphold i saksbehandlingen. Vilkåret «uten ugrunnet opphold» er skjønnsmessig, og det nærmere innholdet vil kunne variere etter blant annet saksområde og sakstype. De øvrige saksbehandlingsreglene i forvaltningsloven, blant annet kravet til en forsvarlig opplysning av saken i forvaltningsloven § 17 første ledd, vil kunne begrunne en lengre saksbehandlingstid i kompliserte og prinsipielle saker enn i enklere saker.
2. Tidsbruk i klagesaksforberedelsen
Datatilsynet avsluttet som nevnt tilsynssaken med kommunen 6. november 2020, og det var denne avgjørelsen som A og B klaget på 27. november 2020. Datatilsynet avviste 3. februar 2021 å behandle klagen og opplyste samtidig om at det var klagerett på selve avvisningsvedtaket. Vedtaket om avvisning ble påklaget av A og B 24. februar 2021. Først i brev 30. april 2021 – over to måneder senere – ga Datatilsynet en skriftlig bekreftelse på at klagen var mottatt og orienterte A og B om at tilsynet anså tilsynssaken med kommunen som avsluttet fra sin side. Sivilombudet forstår orienteringsbrevet slik at Datatilsynet hadde vurdert og tatt stilling til klagen fra A og B over avvisningsvedtaket, og ikke funnet grunn til å ta klagen til følge. På denne bakgrunn fremsto saken da klar for oversendelse til Personvernnemda, jf. forvaltningsloven § 33 fjerde ledd.
I redegjørelsen til Sivilombudet har Datatilsynet opplyst at klagesaken ikke ble oversendt til Personvernnemnda før 12. mai 2022, da den ved en feil ikke ble omfordelt til ny saksbehandler da saksbehandleren som var ansvarlig for saken, sluttet. Da feilen ble oppdaget, ble saken oversendt til nemnda.
A og B har i merknader til Sivilombudet opplyst at den aktuelle saksbehandleren sluttet først ved utgangen av februar 2022, og at klagesaken da allerede hadde ligget i om lag ett år. De viste også til at de hadde purret gjentatte ganger på når saken skulle bli oversendt til Personvernnemnda, uten å få noe svar. Også Sivilombudets saksbehandler var i kontakt med den aktuelle saksbehandleren i Datatilsynet i februar 2022.
Ombudet legger til grunn at den manglende omfordelingen av saken til ny saksbehandler kun kan forklare sakens liggetid fra utgangen av februar 2022 til saken ble oversendt Personvernnemnda 12. mai 2022. Saken hadde imidlertid da ligget klar for oversendelse til Personvernnemnda i lang tid. Denne liggetiden har Datatilsynet ikke gitt noen forklaring på.
Rettssikkerhetsgarantien som ligger i retten til toinstansbehandling, forutsetter at klagesaker oversendes klageinstansen uten unødig opphold. Dette kommer blant annet til uttrykk i forvaltningsloven § 33 fjerde ledd, som sier at sakens dokumenter skal sendes klageinstansen så snart saken er tilrettelagt. Dersom førsteinstansen bruker lang tid på å oversende klager over egne vedtak til klageinstansen, kan dette undergrave retten til reell og relevant overprøving av forvaltningens vedtak.
I forarbeidene til forvaltningsloven er det vist til at nye anførsler eller opplysninger fra parten kan kreve at underinstansen gjør ytterligere undersøkelser i saken eller innhenter nye opplysninger, se Ot.prp.nr.3 (1976-1977) kap. 5 merknader til § 33. I denne saken har Datatilsynet ikke vist til slike omstendigheter.
Datatilsynet har ikke gitt noen forklaring på hvorfor det tok så lang tid å oversende saken til Personvernnemnda. Manglende omfordeling av saken etter at ansvarlig saksbehandler sluttet, kan som nevnt bare forklare liggetiden de siste tre månedene. Den øvrige tidsbruken fremstår i hovedsak som ren liggetid. På denne bakgrunn finner ombudet at Datatilsynet ikke har behandlet klagesaken «uten ugrunnet opphold», jf. § 11 a første ledd, og heller ikke overholdt kravet i forvaltningsloven § 33 fjerde ledd om å oversende saken til klageinstansen så snart den er tilrettelagt. Datatilsynet må gjennomgå sine rutiner for å sikre at klagesaker alltid behandles i samsvar med kravene i forvaltningsloven §§ 11 a første ledd og 33 fjerde ledd.
Datatilsynet har opplyst at saken har avdekket svakheter og risikoer som oppstår når en saksbehandler slutter i Datatilsynet. Til dette bemerker ombudet at forvaltningen plikter å ha rutiner som sørger for kontinuitet i saksbehandlingen når ansatte slutter. Ombudet ber derfor Datatilsynet om å gjennomgå sine rutiner for å sikre at saker ikke blir liggende ufordelt når saksbehandlere slutter.
3. Orientering til klagerne om saksgangen underveis
Det følger av forvaltningsloven § 11 a annet ledd at dersom det må ventes at det vil ta uforholdsmessig lang tid før en henvendelse kan besvares, skal det forvaltningsorganet som mottok henvendelsen, snarest mulig gi et foreløpig svar. I det foreløpige svaret skal det gjøres rede for grunnen til at henvendelsen ikke kan behandles tidligere, og – «såvidt mulig» – angis når svar kan ventes. I saker som gjelder enkeltvedtak, skal det alltid sendes foreløpig svar dersom saken ikke kan ferdigbehandles innen én måned etter at den er mottatt, jf. tredje ledd. Plikten til å gi foreløpig svar gjelder også ved behandling av klagesaker etter forvaltningsloven § 28, se blant annet Sivilombudets uttalelse 13. desember 2018 (SOM-2018-563).
Dersom behandlingen av saken blir forsinket, tilsier god forvaltningsskikk at det foreløpige svaret følges opp med forsinkelsesmeldinger med korrigerte opplysninger om forventet behandlingstid, se blant annet ombudets uttalelse 2. desember 2020 (SOM-2020-3090) under avsnittet «Foreløpig svar og informasjon under sakens gang».
Datatilsynet har erkjent at det ikke ble sendt foreløpig svar eller forsinkelsesmeldinger til klagerne. Som begrunnelse har Datatilsynet vist til at saken feilaktig ikke ble omfordelt etter at saksbehandleren som behandlet saken, sluttet.
Som tidligere nevnt, sluttet den aktuelle saksbehandleren i Datatilsynet i februar 2022. Feilen ved den manglende omfordelingen av saken kan derfor ikke forklare hvorfor A og B ikke mottok foreløpig svar eller forsinkelsesmeldinger etter at de påklaget Datatilsynets avvisningsvedtak 24. februar 2021.
Datatilsynet skrev riktignok et svarbrev 30. april 2021 til A og B, der det ble vist til tidligere informasjon om klagerett i avvisningsvedtaket 2. februar 2021. Brevet inneholdt imidlertid hovedsakelig veiledning om Datatilsynets manglende kompetanse til å overprøve forvaltningen, og kan derfor ikke anses som et foreløpig svar i klagesaken, jf. forvaltningsloven § 11 a annet ledd. Brevet inneholdt for eksempel ingen informasjon om forventet saksbehandlingstid for klagebehandlingen.
Videre inneholdt brevet en avsluttende setning om at Datatilsynet anså saken som avsluttet hos seg. Denne setningen skapte etter ombudets syn uklarhet om Datatilsynet ville sende over klagen på avvisningsvedtaket til Personvernnemnda. A og B har i merknader til ombudet opplyst at de fikk inntrykk av at Datatilsynet ikke ville sende deres klage til Personvernnemnda. De sendte derfor et svarbrev 30. mai 2021 til Datatilsynet, der de fastholdt at saken skulle sendes til Personvernnemnda. Dette brevet fikk de imidlertid ikke svar på. Etter ombudets syn skulle A og Bs brev 30. mai 2021 vært besvart av Datatilsynet med en bekreftelse på at klagesaken ville bli oversendt til Personvernnemnda og med informasjon om når det ville bli gjort, jf. forvaltningsloven § 11 a annet ledd.
Av sakens dokumenter fremgår det at A og B sendte tre skriftlige purringer til Datatilsynet, henholdsvis 26. september, 20. oktober og 14. november 2021, der de spurte om saken var blitt oversendt til Personvernnemnda, eller når dette eventuelt ville skje. Ingen av purringene ble besvart. Dette er kritikkverdig og i strid med kravene som følger av god forvaltningsskikk.
Først i brev 7. februar 2022, etter at Sivilombudet kontaktet Datatilsynet om saken, fikk A og B en skriftlig orientering om status i saksbehandlingen og informasjon om at saken ville bli oversendt Personvernnemnda innen 15. februar 2022. Tidsangivelsen for oversendelse ble imidlertid ikke overholdt, og klagerne mottok ingen korrigert informasjon om når saken ville bli oversendt. Datatilsynet har erkjent at forsinkelsesmelding ikke ble sendt ut etter at ansvarlig saksbehandler sluttet, og at dette kan ha medført brudd på deres «egen oppfatning av standarden for god forvaltningsskikk». Ombudet er enig i at Datatilsynet har brutt kravene til god forvaltningsskikk ved å ikke holde partene orientert om forsinkelser i saksgangen.
Ombudet mener denne saken viser klare svakheter ved Datatilsynets praksis for utsending av foreløpig svar og forsinkelsesmeldinger. Ombudet ber derfor Datatilsynet om å gjennomgå sine interne rutiner, for å sikre at sakens parter holdes tilfredsstillende orientert om forventet saksbehandlingstid under klagesaksforberedelsen, jf. forvaltningsloven § 11 a annet ledd. Datatilsynet må også sende skriftlige forsinkelsesmeldinger dersom oversendelsen av klagesaken til Personvernnemnda eventuelt skulle trekke ut i tid, jf. krav til god forvaltningsskikk.
Konklusjon
Datatilsynet har ikke behandlet klagesaken «uten ugrunnet opphold», jf. forvaltningsloven § 11 a første ledd, og heller ikke overholdt kravet i forvaltningsloven
§ 33 fjerde ledd om å oversende saken til klageinstansen så snart den er tilrettelagt.
Datatilsynets manglende utsendelse av foreløpig svar, forsinkelsesmeldinger og svar på tre skriftlige purringer, er i strid med forvaltningsloven § 11 a annet ledd, jf. tredje ledd, og kravene som følger av god forvaltningsskikk.
Ombudet ber Datatilsynet om å gjennomgå sine rutiner for å sikre at klagesaker alltid forberedes «uten ugrunnet opphold» og oversendes Personvernnemnda «så snart saken er tilrettelagt», jf. forvaltningsloven §§ 11 a første ledd og 33 fjerde ledd. Rutinene må også sikre at klagesaker omfordeles når saksbehandlere slutter. Datatilsynet må i tillegg gjennomgå sine rutiner for å sende foreløpig svar, og sende forsinkelsesmelding hvis behandlingen av saken trekker ut i tid.