Klagerett over Datatilsynets valg av reaksjon: Sivilombudet setter foten ned for snevring

Rett til å klage på Datatilsynets valg av reaksjon

Introduksjon

Klageadgang er ikke pynt i forvaltningsloven – det er rettssikkerhet i praksis. Sivilombudets uttalelse 21. mai 2025 slår fast at den registrerte har rett til overprøving av hele Datatilsynets vedtak, også selve reaksjonsvalget. Hvorfor? Fordi klageadgangen ikke kan gjøres smalere enn retten til domstolsprøving. Punktum. Sivilombudet

Sivilombudets kjerne: Full overprøving – også av reaksjonsvalget

Sivilombudet legger til grunn at den registrerte (A) har rettslig klageinteresse etter forvaltningsloven § 28 og dermed rett til å få prøvd alle sider av vedtaket – inkludert om Datatilsynet burde ha valgt strengere tiltak. Ombudet ber derfor Personvernnemnda behandle klagen på nytt.

Hvorfor dette betyr noe

Når Datatilsynet velger irettesettelse fremfor gebyr, griper det direkte inn i effektiv rettsbeskyttelse. Retten til et effektivt rettsmiddel etter GDPR artikkel 78 nr. 1 omfatter helhetskontroll av tilsynets klagebehandling – «with all due diligence» – og vurdering av om reaksjonen ligger innenfor skjønnsmarginen.

Sakens faktum: Arbeidsgiver-innsyn i ansatts e-post

Bakgrunnen er arbeidsgivers innsyn i en ansatts e-postkasse ved påstått mistanke om underslag. Datatilsynet fant rettslig grunnlag for selve innsynet, men ga irettesettelse for prosessuelle brudd. Personvernnemnda (PVN-2024-01) avviste klage over at det ikke ble ilagt gebyr – og mente den ansatte ikke hadde klagerett over reaksjonsvalget. Det er denne innsnevringen Sivilombudet nå retter opp.

Jussen som biter: Klageadgang vs. domstolsprøving

Det er «alminnelig antatt» at klageadgangen i forvaltningen ikke er snevrere enn adgangen til domstolsprøving. Sivilombudet leser EU-domstolens praksis (bl.a. Schufa og Land Hessen) slik at den registrerte kan kreve full domstolskontroll av hele vedtaket – og dermed også har klagerett om det samme for Personvernnemnda.

Konsekvensen – og spørsmålet ingen bør tåle

Hva står på spill? Effektiv håndheving. Hvis den registrerte stenges ute fra å klage på valg av tiltak, pulveriseres insentivet til å håndheve GDPR skarpt. Sivilombudets beskjed er klar: Overprøvinga gjelder hele vedtaket, ikke bare pyntedetaljer. Alt annet er rettssikkerhetsflukt.

Konklusjon

Klageadgang kan ikke krympes til et tomt ritual. Personvernnemnda må behandle klagen – og hele vedtaket – på nytt. Hvis du kan kreve domstolsprøving, skal du også kunne kreve administrativ overprøving. Slik bygges rettsstaten, ikke med rundskriv, men med reell kontroll.

Call to Action

Har du en Datatilsynet-sak? Klag – og krev full overprøving hos Personvernnemnda. Blir du avvist: vis til Sivilombudets uttalelse 21.05.2025 og stå løpet ut.

FAQ

1) Hvem var det som avviste klagen over reaksjonsvalget? Personvernnemnda i PVN-2024-01 – ikke Datatilsynet.

2) Hva sier Sivilombudet konkret? At den registrerte har rettslig klageinteresse og kan klage over alle sider av vedtaket, inkl. valg av tiltak/reaksjon; PVN bes behandle på nytt.

3) Gjelder dette også domstolsprøving? Ja – Sivilombudet viser til at retten til effektivt rettsmiddel innebærer full domstolskontroll av klagesaken; klageadgangen kan ikke være snevrere.

4) Hva var faktum i saken? Arbeidsgiver-innsyn i e-post; Datatilsynet ga irettesettelse for prosessuelle brudd; PVN avviste klage på reaksjonsvalget.

5) Hva må jeg gjøre i min sak? Klag til Datatilsynet; om vedtak fastholdes, krever du full overprøving i Personvernnemnda – og viser til Sivilombudets uttalelse.

English Short Version

Appeal the DPA’s Decision—The Ombudsman Says the Whole Thing Is Reviewable

Sivilombudet’s 21 May 2025 statement makes it plain: the data subject has standing to appeal every part of Datatilsynet’s decision to the Personal Data Protection Appeals Board (Personvernnemnda), including the reaction chosen (reprimand vs. fine). This course-correction targets PVN-2024-01, where the Board had refused an appeal against the DPA’s choice of sanction. The Ombudsman ties appeal rights to GDPR Article 78’s guarantee of an effective remedy: if courts must be able to fully review the DPA’s handling of the complaint, the administrative appeal cannot be narrower. Anything else hollows out enforcement.

The bottom line: if you can go to court, you can damn well appeal administratively—demand full review.