Når klageretten knebles: Datatilsynet og Personvernnemnda trosser GDPR artikkel 78 – også etter Sivilombudets korreksjon

Introduksjon: Personvern uten håndheving er bare pynt

GDPR ble solgt inn som borgernes personvernrevolusjon: Du skulle kunne klage, få tilsyn, og – når alt annet sviktet – ha et effektivt rettsmiddel. Men hva er egentlig en “rettighet”, hvis du bare får klage på at noe var ulovlig, ikke på om myndighetene reagerer tilstrekkelig?

I Norge har Datatilsynet (Norway’s Data Protection Authority) og Personvernnemnda (Norway’s Privacy Appeals Board) i praksis forsøkt å etablere en komfortabel mellomløsning: Ja, du kan klage. Ja, vi kan til og med konstatere brudd. Men nei – du kan ikke klage på hvordan vi reagerer på bruddet. Det er ikke småtteri. Det er en rettssikkerhetsskandale i sakte film.

GDPR artikkel 78: Effektivt rettsmiddel – for hvem, egentlig?

GDPR artikkel 78 handler om retten til et effektivt rettsmiddel når en tilsynsmyndighet ikke håndterer en sak som den skal. På papiret betyr det reell kontroll med hele klagebehandlingen – ikke bare et høflig svarbrev og et skuldertrekk.

Hvis den registrerte (du, jeg, alle) ikke kan få prøvd om Datatilsynet har valgt et forsvarlig og proporsjonalt tiltak (for eksempel overtredelsesgebyr versus en mild irettesettelse), får vi en absurd asymmetri:

• Virksomheten kan klage når reaksjonen er “for streng”.

• Den registrerte avvises når reaksjonen er “for svak”.

Hvem tror vi vinner den dragkampen over tid?

Tidslinje 2018–2026: Fra avvisning til institusjonell dragkamp

Faktaboks (utdrag):

• 2018: GDPR tas inn i norsk rett (personopplysningsloven).

• 05.09.2023: Datatilsynet endrer vedtak, ilegger irettesettelse, og sier samtidig at klager ikke kan påklage reaksjonsvalget.

• 28.05.2024: Personvernnemnda avviser klage over reaksjonsnivå.

• 21.05.2025: Sivilombudet (Parliamentary Ombudsman) konkluderer: Avvisningen var feil – klager har rett til effektivt rettsmiddel etter GDPR art. 78.

• 10.11.2025: Personvernnemnda “vurderer på nytt” – og nekter omgjøring.

• 21.01.2026: Sivilombudet følger opp skarpere: Nemndas begrunnelse holder fortsatt ikke, og praksisen kan gi for svakt beskyttelsesnivå.

Dette er ikke en enkeltsak. Det er et systemspørsmål.

Personvernnemndas modell: «Du kan klage – men ikke på reaksjonsvalget»

Nemnda har lagt til grunn at den registrerte ikke er “part” i reaksjonsspørsmålet. Og hvis du ikke er part, faller klageretten etter forvaltningsloven § 28, hevdes det, fordi reaksjonsvalget ikke er “bestemmende for” deg.

Men la oss si det rett ut: Det er nettopp reaksjonsvalget som avgjør om rettigheten din har praktisk verdi.

Hva hjelper det å få “medhold i brudd”, hvis resultatet er en reaksjon som i realiteten signaliserer: Dette var ikke så farlig likevel?

Sivilombudet 21.05.2025: Klageretten omfatter også valget av tiltak

Sivilombudet er krystallklar: Domstolskontrollen i klagesaker må omfatte alle sider av Datatilsynets og Personvernnemndas vedtak, inkludert om tilsynets valg av korrigerende tiltak (GDPR art. 58(2)) holder seg innenfor skjønnsrammene.

Og så kommer den rettssikkerhetsmessige spikeren: Når du har rett til domstolsprøving av innholdet i klagesaken, skal du som hovedregel også ha administrativ klagerett. Lavterskelordningen (nemnda) kan ikke være smalere enn domstolene, uten at det undergraver hele poenget.

Dette er ikke “aktivisme”. Det er juridisk hygiene.

Personvernnemnda 10.11.2025: «Ny vurdering» – samme avvisning

Etter en tydelig korreksjon velger nemnda likevel å stå på sitt. Det er her saken blir prinsipielt ubehagelig.

Tre trekk er særlig alvorlige:

1. “Påviselige faktiske virkninger” blir portvokter: Hvis krenkelsen har opphørt, hevdes det at klageretten svekkes.

2. Prosessuell tåkelegging: Nemnda antyder at GDPR art. 78 ikke nødvendigvis gir søksmålsadgang, og at nasjonal prosessrett kan begrense.

3. “Uansett teoretisk”-retorikk: Dokumentert feilaktige foreldelsesbetraktninger brukes som en slags prosessuell avslutningsknapp.

Når et klageorgan møter Sivilombudets rettslige kritikk med «vi er uenige, derfor omgjør vi ikke», da er vi forbi vanlig jussuenighet. Da handler det om institusjonell vilje til kontroll.

Sivilombudet 21.01.2026: «Dette holder fortsatt ikke»

I oppfølgingen peker Sivilombudet på det nemnda helst ikke vil snakke høyt om: Skjevhet i håndhevingen.

Det er naivt å tro at virksomheter kommer til å klage fordi beskyttelsesnivået er for lavt. Klager kommer når reaksjoner er “for strenge”. Hvis registrerte avskjæres fra å klage på “for svake” tiltak, trekkes praksis gradvis i mild retning.

Det er ikke bare uheldig. Det er en oppskrift på strukturell underhåndheving.

Fortalepunkt 141 vs 143: Selektiv rettskildebruk som avgjør utfallet

Her ligger en av sakens mest avslørende nøkler:

• Nemnda løfter frem fortalepunkt 143 som et snevringsverktøy: bare den avgjørelsen har “rettsvirkning for” skal kunne bruke rettsmiddelet.

• Sivilombudet løfter frem fortalepunkt 141 som beskyttelseslogikk: rettsmiddelet gjelder også når tilsynet ikke griper inn eller ikke reagerer tilstrekkelig for å verne rettighetene.

Med andre ord: Dette er ikke bare to ulike syn. Det er to ulike prosjekter. Ett som begrenser kontroll – og ett som insisterer på kontroll.

Konklusjon: Dette handler ikke om “rett til gebyr” – men rett til kontroll

Ingen har et ubetinget krav på overtredelsesgebyr. Poenget er mer grunnleggende: Den registrerte har krav på et effektivt rettsmiddel – en reell mulighet til å få prøvd om Datatilsynet har håndhevet brudd innenfor GDPRs rammer.

Hvis Personvernnemnda får stå uimotsagt, ender vi med en personvernordning der:

• brudd kan konstateres,

• men håndheving kan gjøres tannløs,

• uten at den som ble krenket kan utfordre det.

Da er GDPR ikke en revolusjon. Da er det dekor.

Call to Action

Vil du ha et personvern som faktisk virker?

• Krev at klager over reaksjonsnivå realitetsbehandles.

• Be om at prinsipielle spørsmål forelegges EFTA-domstolen når nemnda påstår uklar rett.

• Dokumentér konsekvensene av “milde” vedtak – og press på for transparens og praksisendring.

Rettigheter uten håndheving er ikke rettigheter. Det er retorikk.

FAQ

1) Har jeg krav på overtredelsesgebyr hvis det foreligger brudd?

Nei. Men du har krav på at reaksjonen er forsvarlig, proporsjonal – og prøvbar. Ellers er “klageretten” bare et høflig ritual.

2) Kan jeg klage på at Datatilsynet reagerer for mildt?

Det er nettopp kjernen i konflikten: Personvernnemnda har forsøkt å avskjære dette, mens Sivilombudet sier at GDPR art. 78 krever reell overprøving.

3) Hva betyr “effektivt rettsmiddel” i GDPR?

At du ikke bare får et svar – men en reell mulighet til å få kontrollert om tilsynet har gjort jobben sin, inkludert valg av tiltak.

4) Hvorfor er dette en rettssikkerhetssak?

Fordi systemet ellers gir virksomheter best prosessuelle verktøy, mens den krenkede står igjen med ingenting som biter.

5) Hva er poenget med EFTA-domstolen her?

Hvis nemnda mener rettstilstanden er uklar, bør de å om autoritativ avklaring – ikke å sementere en praksis som undergraver GDPR.

English short version

When the Right to Complain Is Gagged: Norway’s Privacy Appeals Board Defies GDPR Article 78

GDPR was sold as a citizen’s enforcement revolution: complain, get supervision, and—if needed—obtain an effective remedy. Yet Norway’s system risks turning that promise into theatre. The core problem is blunt: you may complain about illegality, but not about how softly the authority reacts.

In this dispute, the Norwegian Privacy Appeals Board (Personvernnemnda) argues that the data subject is not a “party” to the choice of sanctions, and therefore lacks standing to challenge enforcement choices—such as a reprimand instead of a fine. The Parliamentary Ombudsman (Sivilombudet) rejected that logic in 2025 and sharpened the warning again on 21 January 2026: effective judicial review under GDPR Article 78 must cover all aspects of the supervisory authority’s decision, including the selection of corrective measures.

Why does this matter? Because it creates structural asymmetry. Companies will appeal “too harsh” sanctions. Who will appeal “too weak” enforcement—if data subjects are blocked at the door? Over time, enforcement drifts downward, and protection becomes performative.

If the law is “unclear,” the responsible move is to seek authoritative clarification—potentially via the EFTA Court—not to entrench a practice that strips GDPR of its teeth. Rights without enforceable review are not rights. They’re decoration.