3.1 Innledning

Sakens hovedspørsmål er om [Navs regionkontor] hadde rettslig grunnlag for å gjøre oppslag i As journal i sine fagsystemer.

Datatilsynet har lagt til grunn det er Nav som kjenner de ansattes arbeidsoppgaver, og at det derfor er Nav som er «best egnet til å vurdere om oppslagene var saklige». Det fremgår videre at Datatilsynet «har begrensede forutsetninger» for å overprøve Navs vurdering av hvorvidt det foreligger tjenstlig behov.

Datatilsynet skal «føre tilsyn med og håndheve anvendelsen av denne forordning», jf. forordningen artikkel 57 nr. 1 bokstav a. Dette innebærer at Datatilsynet har adgang til å overprøve Navs vurdering av spørsmålet om det foreligger rettslig grunnlag for behandlingen av personopplysningene. Som en del av overprøvingen av om det foreligger et behandlingsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav e, har også Datatilsynet anledning til å overprøve tolkningen av supplerende rettsgrunnlag etter nasjonal rett, jf. artikkel 6 nr. 3.

Når det gjelder rent faglige spørsmål, vil det ofte kunne være naturlig å tillegge Navs vurdering atskillig vekt. Nemnda kan imidlertid ikke se at spørsmålet om nødvendigheten av oppslagene i denne saken, har en så utpreget faglig karakter at det er grunn til å utvise tilbakeholdenhet ved prøvingen. Nemnda kan for øvrig ikke se at Nav i sitt brev til A 1. april 2023 har tatt konkret stilling til spørsmålet om nødvendigheten av oppslagene i denne saken.

3.2 Foreligger det behandlingsgrunnlag?

Det er på det rene at oppslagene i Navs fagsystemer utgjør «behandling» av «personopplysninger», jf. personvernforordningen artikkel 4 nr. 1 og 2. Skal behandlingen være lovlig, må den ha rettslig grunnlag i artikkel 6, samt i artikkel 9 dersom behandlingen også omfatter særlige kategorier opplysninger (for eksempel helseopplysninger). I tillegg må behandlingen skje på en lovlig, rettferdig og åpen måte, jf. artikkel 5, slik at blant annet den registrertes rettigheter fastsatt i personvernforordningen kapittel III ivaretas.

Nemnda legger til grunn at et aktuelt rettslig grunnlag (behandlingsgrunnlag) i denne saken er artikkel 6 nr. 1 bokstav e («nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt»). I den utstrekning det er tale om behandling av særlige kategorier av personopplysninger i artikkel 9, antar nemnda at et aktuelt unntak fra forbudet mot behandling av særlige kategorier personopplysninger i artikkel 9 nr. 1, kan være artikkel 9 nr. 2 bokstav b («oppfylle sine forpliktelser [...] på området [...] trygderett og sosialrett»).

Vilkåret i artikkel 6 nr. 1 bokstav e må ses i sammenheng med artikkel 6 nr. 3, som krever at grunnlaget for behandlingen må være fastsatt i «unionsretten» eller i «medlemsstatenes nasjonale rett». Artikkel 6 nr. 1 bokstav e gir derfor ikke i seg selv tilstrekkelig behandlingsgrunnlag. Det kreves i tillegg et supplerende rettsgrunnlag enten i nasjonal rett eller unionsretten.

Datatilsynet har i sitt vedtak 25. november 2024 funnet at det «ikke er sannsynliggjort at ansatte i [Navs regionkontor] har gjort ulovlige oppslag på klager i NAVs fagsystemer», jf. forordningen artikkel 6 nr. 1 bokstav e. Datatilsynet viste videre til at Navs virksomhet er «gjennomgående lovregulert», og at kravet til supplerende rettsgrunnlag vil «i alminnelighet være oppfylt såfremt oppslaget er saklig begrunnet i den ansattes arbeidsoppgaver».

Etter nemndas syn det ikke tilstrekkelig at Navs virksomhet «gjennomgående» er lovregulert. Artikkel 6 nr. 3 krever i tillegg at det foreligger et rettslig grunnlag i nasjonal rett (f.eks. lov eller forskrift) som gjør den aktuelle behandlingen «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». I Prop. 56 LS (2017–2018) punkt 6.3.2 side 33 drøftes kravene til det supplerende rettsgrunnlaget slik:

«For behandling etter bokstav e kreves det etter ordlyden [i artikkel 6 nr. 3] kun at formålet med behandlingen skal være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet, noe som kun er en gjentagelse av ordlyden i [artikkel 6 nr. 1] bokstav e. Det synes derfor å være tilstrekkelig etter ordlyden at det supplerende rettsgrunnlaget gir grunnlag for å utøve myndighet eller å utføre en oppgave i allmennhetens interesse, og at det er nødvendig for den behandlingsansvarlige å behandle personopplysninger for å utøve myndigheten eller utføre oppgaven som følger av det supplerende rettsgrunnlaget.

Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør ‘ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett’, men at det ikke kreves ‘en særlig lovbestemmelse for hver enkelt behandling’.

Dersom behandlingen av personopplysninger utgjør et inngrep i retten til privatliv etter Grunnloven § 102 eller EMK artikkel 8, kan det imidlertid være nødvendig med et mer spesifikt rettslig grunnlag for behandlingen enn det ordlyden i forordningen kan tilsi. Det følger også uttrykkelig av fortalepunkt 41 at et rettslig grunnlag bør være «tydelig og presist, og anvendelsen av det bør være forutsigbar for personer som omfattes av det, i samsvar med rettspraksisen til Den europeiske unions domstol (‘Domstolen’) og Den europeiske menneskerettighetsdomstol». Med andre ord må forordningens krav om supplerende rettsgrunnlag for behandlingen tolkes og anvendes i tråd med de menneskerettslige kravene til rettsgrunnlag for inngrep i retten til privatliv. Dette innebærer at det må foretas en nærmere vurdering av rettsgrunnlaget og behandlingen, hvor det blant annet må legges vekt på hvor inngripende behandlingen er. Etter omstendighetene kan utfallet av en slik vurdering bli at det kreves et mer spesifikt grunnlag enn det som kan synes å være minimumskravene etter ordlyden i forordningen.»

Etter nemndas syn kan både sosialtjenesteloven § 43 a første ledd og Nav-loven § 4 a utgjøre supplerende rettsgrunnlag etter artikkel 6 nr. 1 bokstav e, jf. kravene i artikkel 6 nr. 3.

Sosialtjenesteloven § 43 a første ledd regulerer blant annet Navs behandling av personopplysninger. Bestemmelsen lyder slik:

Ǥ 43 a. Behandling av personopplysninger

Kommunen, statsforvalteren, Statens helsetilsyn og Arbeids- og velferdsdirektoratet kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for utførelsen av oppgaver etter loven her.»

Det fremgår av Prop. 135 L (2019–2020) kapittel 13.5 at bestemmelsen omfatter behandling av personopplysninger for å beregne ytelser og avgifter, samt for å gi brukere opplysninger, råd og veiledning, dersom dette var formålet med innhentingen av opplysningene. Behandlingsadgangen begrenses imidlertid av kravet om at behandlingen må være «nødvendig». Nødvendighetskravet innebærer at oppslaget må være knyttet til konkret saksbehandling eller til en annen lovpålagt oppgave Nav skal utføre.

Nav-loven § 4 a første ledd gir Arbeids- og velferdsetaten adgang til å:

«behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter de lovene som etaten administrerer».

Nemnda finner at disse bestemmelsene gir tilstrekkelig rettslig grunnlag for Navs behandling av As personopplysninger. Nemnda anser oppslagene fra ansatte ved [Navs regionkontor] som nødvendig for å følge opp As sak i Nav og utføre Navs lovpålagte oppgaver, herunder å yte bistand under dialogmøter og vurdere søknader om tiltak. Nemnda viser til det A selv har opplyst om dette. Det er en nær tidsmessig sammenheng mellom dialogmøtet 31. oktober 2022 og oppslagene. Dette underbygger at oppslagene hadde en direkte sammenheng med oppfølgningen av As sak.

Nemnda finner etter dette at Nav hadde rettslig grunnlag for å gjøre oppslag i As personopplysninger i fagsystemene i forbindelse med behandlingen av hennes sak i Nav, jf. forordningen artikkel 6 nr. 1 bokstav e med supplerende rettsgrunnlag i sosialtjenesteloven § 43 a første ledd og Nav-loven § 4 a, jf. artikkel 6 nr. 3. Vilkårene for unntak fra forbudet mot behandling av særlige kategorier personopplysninger i artikkel 9 nr. 1 er også oppfylt, jf. artikkel 9 nr. 2 bokstav b.

Klagen tas ikke til følge.

Vedtaket er enstemmig.