Kunden går konkurs, leverandøren sitter alene igjen med dataene – og blir behandlingsansvarlig

Hva som skjedde

24. mars 2020 går en norsk butikkjede konkurs. De tidligere ansatte søker konkursboet om dekning av lønn for utført arbeid, og til det trenger de timelistene sine: timer, vakter, oppmøte. Dataene ligger imidlertid i systemet til en ekstern leverandør som behandlet dem på vegne av selskapet. Boet har ikke systemtilgang. 18. juni fremmer en tidligere ansatt krav om innsyn i egne personopplysninger; til sammen kommer det åtti. 23. juni svarer leverandøren skriftlig at selskapet ikke har selvstendig rådighet over dataene og ikke har lov til å utlevere personopplysninger til noen, «ikke engang til de registrerte selv».

En behandling uten behandlingsansvarlig finnes ikke

Artikkel 28 nr. 10 sier at en databehandler som fastsetter formål og midler, blir behandlingsansvarlig for den behandlingen. Etter konkursen var leverandøren den eneste med tilgang til systemene, avgjorde om og til hvem opplysningene skulle utleveres, fastsatte hvor lenge de skulle lagres og håndterte innsynskravene på egen hånd. Dette er beslutninger om de vesentlige midlene for behandlingen, og de tilligger den behandlingsansvarlige. Forordningen kjenner ikke en databehandler uten behandlingsansvarlig: noen må stå ansvarlig for enhver behandling.

Fakturaen setter ikke rettighetene til side

Leverandøren hadde krevd at boet dekket utestående krav før timelistene ble utlevert, og tilbød «rådata» bare mot et nytt betalt oppdrag. Datatilsynet holdt de to tingene fra hverandre: om leverandøren har krav på vederlag er et kontraktsspørsmål som personvernforordningen ikke regulerer, mens innsyn skal besvares innen en måned (artikkel 12 nr. 3) og som hovedregel gratis (artikkel 12 nr. 5). Et utestående mellomværende med en konkursrammet kunde er ikke rettslig grunnlag for å nekte noen deres egne opplysninger.

• Hva som skjer med dataene dersom den behandlingsansvarlige går konkurs eller opphører. Standardklausulen «tilbakelever eller slett ved avtalens slutt» er ikke nok når opplysningene trengs for at ansatte skal kunne fremme et krav: det må stå hvem som besvarer innsynskrav i mellomtiden.
• Er kunden din selv en leverandør, kontroller at den kjenner igjen øyeblikket der ingen lenger gir instrukser. Fra da av må den enten finne etterfølgeren – som regel bostyrer – eller erkjenne at den selv er behandlingsansvarlig.
• Ingen innsynsbegjæring kan gjøres betinget av betaling. Det var her leverandøren tapte, og det er samtidig det punktet som er lettest å skrive inn i en intern rutine.

Gebyret, og hvorfor det er lavere enn det ville vært

To hundre og femti tusen kroner, om lag tjuefem tusen euro. I varselet fra april 2025 hadde Datatilsynet varslet syv hundre og femti tusen, men satte beløpet ned på grunn av saksbehandlingstiden: klagen kom inn 30. juni 2020, og den første anmodningen om redegjørelse gikk til selskapet 15. oktober 2024. Saken ble behandlet som grenseoverskridende, med Sverige, Danmark og Spania blant de berørte tilsynsmyndighetene.