Det vises til Datatilsynets tilsynets varsel om vedtak og overtredelsesgebyr av 16. april 2013 og virksomhetens merknader i brev av 14. mai 2013.

Transkript

1 Retura Sør-Trøndelag Postboks ORKANGER Deres referanse Vår referanse (bes oppgitt ved svar) Dato TEV/450/99/ / /HTE 3. juli 2013 Retura Sør-Trøndelag - bruk av GPS - vedtak og overtredelsesgebyr Det vises til Datatilsynets tilsynets varsel om vedtak og overtredelsesgebyr av 16. april 2013 og virksomhetens merknader i brev av 14. mai Tilsynet konkluderte den 16. april 2013 slik: a. Datatilsynet har funnet at innføringen av GPS-systemet kunne hjemles etter personopplysningslovens 8 bokstav f). b. Datatilsynet finner virksomhetens behandling av personopplysninger fra GPS- systemet og innleverte timelister, til å være en behandling som er uforenlig med det opprinnelige formålet, jf. personopplysningslovens 11 bokstav c). c. Datatilsynet finner at RST sin innføring av GPS-systemet er meldepliktig, og virksomhetens unnlatelse av å sende melding til Datatilsynet er et brudd på personopplysningslovens 31. Og varslet følgende vedtak: Retura Sør-Trøndelag AS må sende Datatilsynet melding etter reglene i personopplysningslovens 31 og 32, for den behandling av personopplysninger som finner sted ved hjelp av GPS-systemet. Samt overtredelsesgebyr: Med hjemmel i personopplysningsloven 46 ilegges Retura Sør-Trøndelag AS et overtredelsesgebyr på kr hundre tusen kroner for overtredelse av personopplysningsloven 11 bokstav c). Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 Retura Sør-Trøndelag AS (heretter RST) har i brev av 14. mai 2013 ikke kommentert Datatilsynets konklusjon om at de har overtrådt personopplysingsloven, men fremhever at de ikke deler tilsynets vurderinger om at vilkårene for overtredelsesgebyr er oppfylt. RST tar særlig for seg personopplysingsloven 46 bokstavene a) og b). Tilsynet vil i det følgende kommentere de synspunktene som RST anfører. Vedrørende 46 bokstav a) - alvorlighetsgrad RST er uenig med tilsynet i at personopplysingsloven 46 bokstav a) peker i retning av gebyr. De viser til begrunnelsen Høyesterett ga i Avfallsservice-saken om at overtredelsen ikke var grov i forhold til spørsmålet om oppreisningserstatning som var det den saken konkret dreide seg om. Det anføres av den grunn at de samme hensyn bør tillegges stor vekt også i vurderingen av overtredelsesgebyr. Vurderingen av om overtredelsesgebyr skal ilegges skal baseres på en skjønnsmessig helhetsvurdering der momentene som er listet opp i personopplysningsloven 46 bokstav a) til h) særlig blir vektlagt. De hensyn som Høyesterett vurderte i oppreisningserstatningssaken mot Avfallsservice, jf. personopplysningsloven 49 tredje ledd («som synes rimelig»), vil således ikke være sammenfallende med de momenter tilsynet skal vurdere ved ileggelse av overtredelsesgebyr. Som nevnt tok ikke Høyesterett stilling til spørsmålet om overtredelsesgebyr i saken og indikerer etter Datatilsynets oppfatning at et gebyr burde vært ilagt. De uttaler i avsnitt 79: «Jeg tilføyer at arbeidsgivere på annet grunnlag kan møtes med sanksjoner i slike tilfeller som vår sak gjelder. Datatilsynet kan blant annet ilegge overtredelsesgebyr til statskassen dersom vilkårene i personopplysingsloven 46 er oppfylt. Det må antas at denne muligheten hvis den benyttes vil ha en avskrekkende effekt. At Datatilsynet uvisst av hvilken grunn ikke har ilagt slik gebyr i denne saken, kan ikke være avgjørende for det krav vår sak gjelder. Jeg har merket meg at det i Personvernnemndas vedtak er opplyst at Datatilsynet vil vurdere å ilegge overtredelsesgebyr «i fremtidige lignende saker»». Datatilsynet har videre lagt til grunn at RSTs handlinger har vært i strid med formålsprinsippet (finalité-prinsippet) samt krenket prinsippet om medbestemmelse. Tilsynet har i formildende retning tatt hensyn til at personopplysningene som ble sammenstilt var knyttet til utførelsen av den ansattes arbeidsoppgaver, og at virksomheten ikke foretok en systematisk sammenstilling av opplysninger fra GPS-enheten og innleverte timelister. Vedrørende 46 bokstav b) - graden av skyld RST bestrider at personopplysningsloven 46 bokstav b) kan begrunne gebyr. Det beskrives på følgende måte: «Datatilsynet skriver at det fattet endelig vedtak i Avfallsservicesaken 6. januar 2011 og at Retura Sør-Trøndelag derfor burde skjønt at sammenstillingen var i strid med loven dog med en annen lovbegrunnelse. Avfallsservice ble ikke ilagt gebyr av Datatilsynet, og det avvises derfor at Retura Sør-Trøndelag burde skjønt at det ville bli illagt gebyr i vår sak. Det 2

3 ble først klart for Retura Sør-Trøndelag at dette ville kunne bli aktuelt etter at Høyesterettsdommen kom.» Datatilsynet har lagt til grunn at ledelsen i RST visste eller burde ha visst at den aktuelle sammenstillingen kunne være i strid med personopplysningsloven, og ledelsen må etter tilsynets vurdering bebreides for ikke å ha undersøkt dette nærmere. Det at ledelsen ikke var klar over at tilsynet har kompetanse til å ilegge overtredelsesgebyr for overtredelsen, er etter tilsynets vurdering ikke relevant i vurderingen av «graden av skyld» og heller ikke om overtredelsesgebyr skal ilegges. Det er ikke noe vilkår at pliktsubjektet positivt vet at handlinger kan få konsekvenser. Slik villfarelse kan kun være fritaksgrunn om villfarelsen ansees unnskyldelig. Det er generelt en høy terskel for når slik unntaksgrunn kan etableres, og for en profesjonell arbeidsgiver er det nærmest utenkelig at de ikke skal vite om, og ha ansvaret for å vite om, hvilke regler som gjelder håndtering av personopplysninger om egne ansatte. I dette ligger også kunnskap om lovens innhold og sanksjonsmuligheter. Med graden av skyld siktes det til hvor klanderverdig opptreden til pliktsubjektet er, og blant annet om hendelsen er et resultat av et uhell, en planlagt, systematisk eller ønsket handling. Gebyrets størrelse Ut fra samme argumentasjon mener RST at gebyret uansett må settes ned. Datatilsynet kan heller ikke her se at det er grunnlag for endring av vår beslutning om å ilegge et gebyr på kr kroner. Konklusjon Datatilsynet har vurdert RSTs anførsler, men fastholder beslutningen om å ilegge overtredelsesgebyr og overtredelsesgebyrets størrelse. Offentliggjøring av saksdokument Datatilsynets varsel om vedtak og overtredelsesgebyr er unntatt offentligheten etter offentleglova 13, jf. forvaltningsloven 13 nr. 1 (noens personlige forhold). Datatilsynet er av den oppfatning at opplysninger om klagers arbeidsforhold er taushetsbelagte. Det er således klagers interesser som beskyttes i denne sammenheng. Etter forvaltningsloven 13a nr. 2 og 3 heter det at: «Taushetsplikt etter 13 er ikke til hinder for at opplysningene brukes når behovet for beskyttelse må anses varetatt ved at de gis i statistisk form eller ved at individualiserende kjennetegn utelates på annen måte, og at opplysningene brukes når ingen berettiget interesse tilsier at de holdes hemmelig, f.eks. når de er alminnelig kjent eller alminnelig tilgjengelig andre steder». Datatilsynet vurderte, etter å ha mottatt innsynsbegjæring på det aktuelle dokumentet, forholdet slik at det ikke fantes interesser som tilsa fullstendig unntak fra offentlighet, når 3

4 tilsynet fjernet (sladdet) klagers navn fra dokumentet (dvs. utelot individualiserende kjennetegn). Datatilsynet har en klar praksis på ikke å kommentere saker i media før mottaker har mottatt tilsynets vurderinger. Datatilsynet oppfatter at rutinen er fulgt i nærværende sak. Varsel om vedtak ble sendt RSTs advokat, KS Advokatene, 16. april Ved normal postgang på to dager skal KS Advokatene ha mottatt brevet 18. april Tilsynet kan ikke se å ha gitt andre innsyn eller kommentert saken før den tid. Konklusjon Datatilsynet har ikke mottatt noen merknader til tilsynets konklusjoner og stadfester følgende: a. Datatilsynet har funnet at innføringen av GPS-systemet kunne hjemles etter personopplysningslovens 8 bokstav f). b. Datatilsynet finner virksomhetens behandling av personopplysninger fra GPSsystemet og innleverte timelister, til å være en behandling som er uforenlig med det opprinnelige formålet, jf. personopplysningslovens 11 bokstav c). c. Datatilsynet finner at RSTs innføring av GPS-systemet er meldepliktig, og virksomhetens unnlatelse av å sende melding til Datatilsynet er et brudd på personopplysningslovens 31. Og fatter følgende vedtak I. Med hjemmel i personopplysningsloven 46 fjerde ledd pålegges Retura Sør- Trøndelag AS å sende Datatilsynet melding etter reglene i personopplysningslovens 31 og 32, for den behandling av personopplysninger som finner sted ved hjelp av GPS-systemet. II. Med hjemmel i personopplysningsloven 46, første ledd ilegges Retura Sør- Trøndelag AS et overtredelsesgebyr på kr hundre tusen kroner for overtredelse av personopplysningsloven 11 bokstav c). Frist for å gjennomføre pålegget settes til tre uker fra mottak av dette brev. Overtredelsesgebyret forfaller til betaling fire uker etter at vedtak er endelig. Vedtaket vil være endelig 3 uker etter at man ble underrettet. Vedtaket er tvangsgrunnlag for utlegg. Inndrivelse av kravet vil bli gjennomført av Statens innkrevingssentral, jf. personopplysningsloven 47a. 4

5 Klage adgang Vedtaket kan påklages til Personvernnemnda etter reglene i forvaltningslovens kapittel VI. Klagen må være sendt Datatilsynet innen 3 uker etter at man ble underrettet om vedtaket. Med vennlig hilsen Bjørn Erik Thon direktør Henok Tesfazghi rådgiver Kopi KS Advokatene, v/adv. Gry Brandshaug Dale, Postboks 1378 Vika, 0114 Oslo Kopi Fagforbundet, v/lise Ulseth, Postboks 806 Sentrum, 7408 Trondheim Kopi Fagforbundet, v/ adv. Kjetil Edvardsen, Postboks 7003, 0130 Oslo 5