Når Datatilsynets saksmanual i minst 6 år har svekket den registrertes rettigheter

Introduksjon

Hva hjelper rettigheter på papiret, dersom de i praksis kan skyves til side som “uhensiktsmessige” å følge opp?

Det er det ubehagelige spørsmålet som melder seg når man vurderer Datatilsynets saksmanual for perioden 2018–2024. Dokumentet fremstår ikke som en fullt oppdatert og helhetlig håndhevingsmanual for GDPR. Tvert imot peker vurderingen i retning av et system der klager kan nedprioriteres, materielle rettigheter blir svakt operasjonalisert, og behandlingsansvarlige i praksis kan nyte godt av en for myk håndheving.

Dette er ikke en teknikalitet. Det er et spørsmål om rettssikkerhet, maktbalanse og tilliten til personvernet som rettighetsregime. Når Datatilsynet er satt til å håndheve borgernes rett til innsyn, sletting, retting og protest, kan ikke svaret være en manual som bare delvis beskriver hvordan disse rettighetene faktisk skal beskyttes.

Saksmanual - Datatilsynet - 2024.pdf

Download PDF • 549KB

Datatilsynets saksmanual: En manual for forvaltning eller for reell håndheving?

Den sentrale problemstillingen er enkel: Dekker Datatilsynets saksmanual på en tilstrekkelig måte saksbehandling av registrertes rettigheter og behandlingsansvarliges plikter etter GDPR?

Vurderingen tilsier at svaret er NEI.

Manualen fungerer i hovedsak som en generell saksbehandlingsmanual for klager, avvik, enkeltvedtak, forhåndsvarsel, tvangsmulkt, overtredelsesgebyr og oversendelse til Personvernnemnda. Det er ikke uvesentlig. Men det er heller ikke nok.

En håndhevingsmanual som skal være relevant i 2024, seks år etter at GDPR ble innført i 2018, må gjøre mer enn å beskrive administrativ flyt. Den må operasjonalisere rettigheter. Den må vise hvordan Datatilsynet faktisk prøver lovlighet, behandlingsgrunnlag, innsynskrav, krav om sletting og spørsmål om automatiserte avgjørelser. Når dette mangler, blir GDPR redusert fra et rettighetsvern til et forvaltningsspor.

Problemet ligger der det svir mest: Den registrertes rettigheter

Artikkel 12–22 er kjernen i GDPR

GDPR artikkel 12–22 regulerer de mest praktiske og grunnleggende rettighetene for den registrerte: innsyn, retting, sletting, begrensning, dataportabilitet, protest og vern mot visse automatiserte avgjørelser.

Likevel fremstår disse rettighetene bare sporadisk omtalt i manualen. Det finnes ingen tydelig, fullstendig og systematisert saksgang for hvordan slike krav skal behandles. Det er et alvorlig svakhetstegn.

Hvorfor? Fordi det nettopp er her borgeren møter staten og virksomhetene i praksis. Det er her personvernet enten virker — eller kollapser.

Når man ikke operasjonaliserer disse rettighetene tydelig, overlates for mye til skjønn. Skjønn kan være nødvendig. Men skjønn uten struktur blir fort vilkårlighet.

“Hensiktsmessighet” er et farlig ord i klagesaker

Manualen legger opp til at klager bare skal undersøkes i den grad det er “hensiktsmessig”, og at ikke alle henvendelser behandles like grundig. Mindre alvorlige avvik kan siles ut, avgrenses eller avsluttes med veiledning og milde merknader.

Det høres forvaltningsmessig ryddig ut. Men for den registrerte betyr det noe helt annet: at rettigheter kan bli svakere håndhevbare i praksis.

Og la oss være ærlige: Hvem tjener på det? Den registrerte — eller den behandlingsansvarlige?

Når full materiell prøving uteblir, og strengere reaksjoner ofte erstattes av mykere virkemidler, forskyves maktbalansen. Det er ikke den enkelte borger som vinner på det. Det er virksomheten som slipper billigere unna.

God dekning på klageadgang – men bare delvis der det virkelig gjelder

Artikkel 77 er manualens sterkeste side

Vurderingen viser at manualen i hovedsak dekker GDPR artikkel 77 godt. Klageadgang, undersøkelsesplikt, informasjon om sakens forløp og avslutning med enkeltvedtak er beskrevet relativt tydelig.

Det er positivt.

Men det er også et minimumskrav. En klagerett uten et robust materiell prøvingsspor er ikke tilstrekkelig. Hva hjelper det å kunne klage, dersom systemet ikke gir klare rammer for hvordan selve rettighetsbruddet skal vurderes?

Hva hvis Datatilsynet velger for mild reaksjon?

Her bør teksten være enda tydeligere: Problemet er ikke bare om Datatilsynet reagerer mildt, men om den registrerte faktisk ser og forstår hvilke rettsmidler som finnes når reaksjonen oppleves som utilstrekkelig.

EDPB legger til grunn at dersom en tilsynsmyndighet ikke håndterer klagen, eller den registrerte ikke er fornøyd med avgjørelsen, kan saken bringes inn for nasjonal domstol. Norsk rett har i tillegg et eget administrativt klagespor: Personvernnemnda avgjør klager over Datatilsynets vedtak etter personopplysningsloven § 22, og Personvernkommisjonen understreker i NOU 2022:11 at både behandlingsansvarlige og registrerte kan klage Datatilsynets enkeltvedtak inn for nemnda. Nemndas vedtak er endelige forvaltningsvedtak, men gyldigheten kan prøves for domstolene.

Det prinsipielle problemet er derfor ikke at rettsmidler mangler i teorien. Problemet er at de i for liten grad fremstår synlige, operative og tilgjengelige for den registrerte. Når Datatilsynet nøyer seg med veiledning, milde merknader eller en reaksjon den registrerte oppfatter som for svak, må det være krystallklart hvilket spor som gjelder videre: klage til Personvernnemnda der loven åpner for det, og deretter domstolsprøving. Når dette ikke er tydelig nok i praksis, svekkes rettssikkerheten — ikke formelt, men reelt.

Det er nettopp her kritikken treffer. En rettighet som finnes i loven, men ikke er tydelig i håndhevingen, er en rettighet som taper kraft. Og når både EDPB og NOU 2022:11 peker mot klare spor for overprøving, blir spørsmålet ubehagelig enkelt: Hvorfor er ikke dette mer synlig for den som faktisk står i saken?

Flere sentrale GDPR-bestemmelser er svakt eller utilstrekkelig dekket

Vurderingen tegner et klart bilde:

Svakt dekket eller utilstrekkelig dekket

• Artikkel 5: ingen tydelig håndhevingsrutine for prinsippbrudd

• Artikkel 12–22: manglende operasjonalisering av registrertes materielle rettigheter

• Artikkel 28: databehandleravtaler behandles for svakt

• Artikkel 29: ingen klar rutine for behandling etter instruks eller instruksbrudd

• Artikkel 56: grenseoverskridende saker er ikke tilstrekkelig dekket i den vedlagte manualen

• Artikkel 78: effektivt rettsmiddel mot tilsynsmyndigheten er ikke tydelig operasjonalisert

Delvis dekket

• Artikkel 6: behandlingsgrunnlag nevnes, men uten samlet metodikk

• Artikkel 24: ansvarlighetsplikten er nevnt, men ikke bygget ut som eget håndhevingsspor

• Artikkel 57: enkelte oppgaver er dekket, men ikke hele tilsynsrollen

• Artikkel 80: representasjon er omtalt, men kortfattet

Best dekket

• Artikkel 77: klagebehandling

Det samlede inntrykket er derfor ikke bare at manualen er ujevn. Det er at den systematisk er sterkest der forvaltningen organiserer seg selv — og svakest der borgerens materielle rettigheter burde vært tydeligst beskyttet.

Er manualen oppdatert?

En håndhevingsmanual må være oppdatert. Hvis ikke, blir den et styringsdokument for gårsdagens rettstilstand.

Vurderingen peker på flere forhold som trekker i retning av at manualen ikke fremstår som fullt oppdatert:

Tegn på manglende konsolidering

• det finnes synlige feilreferanser,

• det vises til sektor- eller saksspesifikke rutiner som senere bekreftes å ikke ha blitt fulgt opp,

• innsynsrutinen inneholder fortsatt formuleringer som peker tilbake til pandemiperioden

Dette er ikke bare kosmetiske mangler. Det er signaler om at styringsgrunnlaget ikke er fullt vedlikeholdt. Og når grunnlaget er uferdig, øker risikoen for ulik praksis, svakere forutberegnelighet og tilfeldig rettighetsvern.

Manglende forankring i EDPB og EU-domstolen er en varsellampe

En moderne GDPR-manual må bygge på europeisk rettsutvikling

GDPR er ikke et rent norsk regelverk. Det er europeisk rett, tolket og utviklet i lys av retningslinjer fra EDPB (European Data Protection Board) og dommer fra EU-domstolen.

Vurderingen viser at manualen riktignok har enkelte henvisninger til EDPB, blant annet om avviksmeldinger og administrative bøter. Men flere sentrale kilder ser ut til å mangle.

Det gjelder blant annet retningslinjer om:

• innsynsretten etter artikkel 15

• begrepene behandlingsansvarlig og databehandler

• berettiget interesse etter artikkel 6 nr. 1 bokstav f

• beregning av administrative bøter

Det samme gjelder sentrale avgjørelser fra EU-domstolen om:

• retten til å kjenne mottakere av personopplysninger

• hva en “kopi” etter artikkel 15 faktisk innebærer

• rett til første kopi av medisinske opplysninger uten gebyr

• scoring, profilering og artikkel 22

• rekkevidden av personopplysningsbegrepet

• innsyn i logg- og tilgangsopplysninger

Hva forteller dette? At manualen ikke fullt ut reflekterer rettsutviklingen som faktisk former dagens personvernrett.

Det er vanskelig å kalle en slik manual oppdatert. Enda vanskeligere er det å hevde at den gir et robust grunnlag for ensartet og rettssikker håndheving.

Hvorfor dette angår flere enn jurister og byråkrater

Dette handler ikke bare om interne rutiner i Datatilsynet. Det handler om makt i informasjonssamfunnet.

Når staten ikke tydelig håndhever borgerens rettigheter, styrkes den som allerede sitter på dataene. Når klager kan filtreres gjennom hensiktsmessighet, styrkes systemets egen bekvemmelighet. Når materielle rettigheter ikke konkretiseres, svekkes den enkeltes mulighet til å få prøvd sitt krav.

Personvern er ikke pynt. Det er maktkontroll.

Og nettopp derfor må man stille det ubehagelige spørsmålet: Har Datatilsynet utviklet et system som i for stor grad beskytter sin egen saksflyt og behandlingsansvarlig/databehandler, fremfor den registrertes rettsstilling?

Konklusjon

Vurderingen peker i én retning: Datatilsynets saksmanual for 2018–2024 fremstår ikke som en fullt oppdatert og fullstendig håndhevingsmanual for GDPR.

Den dekker klagebehandling relativt godt. Men der GDPR er mest konkret for den registrerte — i retten til innsyn, sletting, retting, protest og effektiv håndheving — er manualen for svak, for uklar og for lite operasjonalisert.

Det er et problem. Ikke bare juridisk, men demokratisk.

For rettigheter som bare lever i lovteksten, og ikke i håndhevingen, er ikke sterke rettigheter. De er symbolske rettigheter. Og symbolske rettigheter er den mest høflige formen for avmakt.

Call to Action

Datatilsynet må offentliggjøre en revidert, konsolidert og eksplisitt oppdatert håndhevingsmanual som tydelig dekker registrertes rettigheter etter GDPR artikkel 12–22, behandlingsgrunnlag etter artikkel 6, ansvarlighetsplikten etter artikkel 24, databehandlerforhold etter artikkel 28 og 29, samt rettsmidler etter artikkel 78.

Det holder ikke å be om tillit. Rettssikkerhet må dokumenteres.

FAQ

Hvorfor er Datatilsynets saksmanual viktig?

Fordi manualen påvirker hvordan klager, rettighetskrav og sanksjoner faktisk behandles. En svak manual gir svak håndheving.

Hvilke GDPR-regler ser ut til å være svakest dekket?

Særlig artikkel 5, 12–22, 28, 29, 56 og 78 fremstår som svakt eller utilstrekkelig dekket.

Er klageretten etter GDPR godt nok ivaretatt?

Delvis. Klageadgang etter artikkel 77 ser ut til å være relativt godt dekket, men det materielle innholdet i rettighetsprøvingen er svakere.

Hvorfor er manglende EDPB- og CJEU-forankring et problem?

Fordi GDPR må tolkes i lys av europeiske retningslinjer og dommer. Uten dette risikerer man foreldet eller uensartet praksis.

Hva er det prinsipielle problemet her?

At den registrertes rettigheter kan bli svakere i praksis når klager nedprioriteres og rettighetsbestemmelsene ikke er tydelig operasjonalisert.

When Norway’s Data Protection Manual Weakens the Data Subject

Norway’s Data Protection Authority is supposed to protect the rights of data subjects. But what happens when its own case-handling manual appears stronger on administrative workflow than on actual enforcement?

That is the core concern raised by the assessment of the Authority’s 2018–2024 case manual. The document seems to handle complaint procedures under Article 77 GDPR reasonably well, yet it appears far weaker when it comes to operationalising the substance of data subject rights under Articles 12–22. Access, erasure, rectification, restriction, objection, and automated decision-making are the very heart of GDPR. If those rights are not translated into clear enforcement routines, they risk becoming theoretical.

The assessment also suggests weak coverage of core obligations such as Article 5 principles, Article 28 processor arrangements, Article 29 instruction-based processing, and Article 78 remedies against the supervisory authority. Even more troubling, the manual does not appear fully updated in light of key EDPB guidelines and major CJEU rulings.

This is not bureaucratic housekeeping. It is a rule-of-law issue. Rights that exist only in legal text, but not in enforcement practice, are not meaningful rights. They are political decoration.