Personvernombud må være uavhengig og kompetente

Dommen av 9. februar 2023 (C-453/21)

Dommen uttaler seg blant annet om hvilke andre oppgaver et personvernombud kan ha i en virksomhet, uten at dette bryter kravene til uavhengighet. Dommen uttaler særlig at personvernombud ikke skal fatte beslutninger om formål eller midler for behandling av personopplysninger. Dommen uttaler også at nasjonal rett ikke kan hindre enhver oppsigelse av et personvernombud dersom ombudet ikke lengre har kompetansen for å utføre oppgavene sine, eller utfører oppgavene på en mangelfull måte.

Disse to standpunktene i dommen er begrunnet med at personvernombud både må være uavhengige og kompetente, slik at personvernregelverket blir tilstrekkelig effektivt.

Vi går igjennom hovedpunktene fra dommen i det videre.

Som bakgrunn for saken er det verdt å ha med seg at som offentlig organ er kommuner pålagt å ha et personvernombud etter personvernforordningen (GDPR) artikkel 37. Bestemmelsen gir samtidig fleksibilitet i hvordan dette løses. Det er mulig å utpeke et personvernombud for flere organer, hvilket blant annet er aktuelt for mindre kommuner.  Bestemmelsen tillater videre at personvernombud enten ansettes, eller engasjeres gjennom en tjenesteavtale.

Personvernforordningen stiller også krav til personvernombudets kompetanse, stilling og oppgaver. Forordningen forutsetter at ombudet er uavhengig i rollen. Kommuner kan ikke instruere sitt personvernombud i utførelsen av sine oppgaver. Det følger videre av artikkel 38 nr. 6 at et personvernombud «kan utføre andre oppgaver og ha andre plikter» enn selve rollen som personvernombud. Den behandlingsansvarlige (altså eksempelvis en kommune) må i så fall sikre at slike oppgaver eller plikter «ikke fører til en interessekonflikt». Det er særlig denne bestemmelsen EU-domstolen har uttalt seg om i dommen.

EU-domstolen tar utgangspunkt i at forbudet mot å utføre oppgaver som kan føre til interessekonflikter, må forstås slik at et personvernombud ikke kan gis oppgaver eller plikter som kan hindre utførelsen av oppgavene som personvernombud. Bestemmelsen må videre tolkes i lys av formålet om å sikre personvernombudets uavhengighet, og gjennom dette sikre at reglene i personvernforordningen blir tilstrekkelig effektive.

Videre viser EU-domstolen til at bestemmelsen derfor må tolkes i lys av de oppgavene personvernombudene er tillagt etter personvernforordningen. Dette gjelder blant annet å kontrollere overholdelsen av forordningen, av andre personvernregler og den behandlingsansvarliges personvernretningslinjer, herunder fordeling av ansvar, holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene, og tilhørende revisjoner (se artikkel 39).

På bakgrunn av dette konkluderer EU-domstolen spesifikt med at et personvernombud ikke kan gis oppgaver eller plikter som fører til at vedkommende fastsetter formål eller midler for behandlingen av personopplysninger på vegne av den behandlingsansvarlige.

Utover dette uttaler EU-domstolen at hvorvidt det foreligger en interessekonflikt, må avgjøres av nasjonale domstoler på bakgrunn av de konkrete forhold i den enkelte sak.

EU-domstolen uttalte seg også om i hvilken grad nasjonal rett kunne sperre for oppsigelser av et personvernombud. EU-domstolen la til grunn at nasjonal rett ikke kan hindre enhver oppsigelse av et personvernombud dersom ombudet ikke lengre har kompetansen for å utføre oppgavene sine, eller utfører oppgavene på en mangelfull måte.

Det at det prinsipielt må være en adgang til oppsigelse av personvernombud, må imidlertid også sees i sammenheng med personvernforordningens forbud mot å avsette eller straffe et personvernombud for å «utføre sine oppgaver» (se artikkel 38 nr. 3). Det går derfor et grunnleggende skille mellom oppsigelser som skyldes at et personvernombud utfører sine oppgaver (som er forbudt), og oppsigelser som skyldes at et personvernombud ikke utfører sine oppgaver (som kan være lovlig). Ved en oppsigelse vil generelt en arbeidsgiver ha bevisbyrden for at oppsigelsen reelt sett er begrunnet i mangelfull utførelse av arbeidsoppgavene.

Det sentrale poenget til EU-domstolen er at nasjonal rett ikke kan sperre en behandlingsansvarlig helt fra å si opp et personvernombud om dette utfører sine oppgaver mangelfullt. Standpunktet er for øvrig i tråd med en dom fra EU-domstolen fra juni 2022 (C‑534/20).

I norsk arbeidsrett må tilfeller av mangelfulle arbeidsprestasjoner som utgangspunkt håndteres gjennom forventningsavklaring og veiledning til arbeidstaker. Terskelen for oppsigelse er generelt høy. EU-domstolens dom påvirker etter vårt syn ikke disse utgangspunktene for personvernombud. Det er imidlertid en prinsipielt nyttig avklaring at personvernforordningens forbud mot å avsette et personvernombud, ikke gjelder for tilfeller av mangelfull utførelse av arbeidsoppgaver.