ARBEIDSTILSYNET
Postboks 4720 Torgarden Unntatt offentlighet:
7468 TRONDHEIM Offl. § 13 jf. Popplyl. § 24 (1) 2.
pkt.
Deres referanse Vår referanse Dato
20/02875-10 16.05.2022
Vedtak om overtredelsesgebyr - Klage på kredittvurdering - Arbeidstilsynet
1. Innledning
Vi viser til vårt varsel om vedtak om irettesettelse, pålegg og overtredelsesgebyr datert 15.
november 2021. Vi viser også til deres svar datert 2. desember 2021. Som det fremkommer av
deres svar, har Arbeidstilsynet godtatt overtredelsesgebyret og irettesettelsen, og har ingen
merknader til varselet. Arbeidstilsynet har også vedlagt oppdaterte rutiner for
kredittvurderinger, hvor det fremkommer at det ikke skal foretas kredittvurderinger i
tilsynssaker.
Datatilsynet har valgt å fatte to endelige vedtak på bakgrunn av varselet av 15. november
2021. Dette vedtaket gjelder for kredittvurdering uten rettslig grunnlag, jf.
personvernforordningen artikkel 6 nr. 1.
Vedtaket om irettesettelse er oversendt som et eget brev (dok.nr. 20/02875-11).
2. Vedtak om pålegg og overtredelsesgebyr
1. Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav i pålegges
Arbeidstilsynet, org.nr. 974 761 211, å betale et overtredelsesgebyr til statskassen på
kr 150 000 NOK for å ha innhentet kredittvurdering uten rettslig grunnlag, jf.
personvernforordningen artikkel 6 nr. 1 bokstav e.
3. Sakens bakgrunn
Vi mottok en klage 26. juni 2020 om at Arbeidstilsynet kredittvurderte enkeltpersonforetaket
, tilhørende (heretter «klager»).
Klager er pensjonist, men har noen kunder som han bistår på årsbasis.
Gjennom tilbyr klager produkter og tjenester som
internkontrollsystemer og kvalitetssikring, samt opplæring.
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
Den 17. januar 2020 ble klager kontaktet for bistand med utarbeidelse av Internkontroll HMS
for Malerfirmaet Sundt AS. Malerfirmaet Sundt AS ble stiftet 2. juli 2019.
Den 31. mars 2020 ble klager igjen kontaktet av Malerfirma Sundt AS for bistand med postalt
tilsyn av Arbeidstilsynet. Klager opplyser om at han tok kontakt med saksbehandler i
Arbeidstilsynet 1. april for å informere om at et kurs som etter planene skulle avholdes 21.
april ble utsatt på ubestemt tid grunnet koronasituasjonen. Kurset var tiltenkt som opplæring
av ledere og verneombud. Videre forklarte klager til saksbehandler hva hans
enkeltpersonforetak kunne bistå Malerfirmaet Sundt AS med.
Noen dager senere fikk klager et gjenpartsbrev som informerte om at hans
enkeltpersonforetak hadde blitt kredittvurdert av Arbeidstilsynet den 1. april.
Klager kontaktet Bisnode for å få vite hvem som hadde kredittvurdert selskapet hans. Bisnode
henviste klager til Arbeidstilsynet.
Klager tok kontakt med Arbeidstilsynet 16. april, og ble satt over til seksjonsleder i Oslo av
sentralbordet. Klager opplyser om at han ringte fire ganger uten å få svar. Klager skriver
videre at han la igjen en melding hvor han ba om å bli oppringt, uten at han ble det.
Klager kontaktet igjen sentralbordet, som satt klager over til en annen seksjonsleder i Oslo.
Klager skriver at denne seksjonslederen informerte ham om at «Ingen i Arbeidstilsynet kan
foreta kredittvurdering eller har tilgang på programmer for å gjennomføre dette.» På dette
tidspunktet skriver klager at han hadde blitt informert av Bisnode om at Arbeidstilsynet har
tilgang til å kredittvurdere enkeltpersoner gjennom Proff Forvalt.
Klager opplyser om at han fikk informasjon om Proff Forvalt fra Bisnode da han kontaktet
dem 16. april, ettersom han ønsket hjelp til å undersøke hvem som hadde foretatt
kredittvurderingen. Klager purret Bisnode 11. mai, hvor han fikk beskjed om at Bisnode
fortsatt forsøkte å finne navn og telefonnummer til personen i Arbeidstilsynet.
Etter å ha kontaktet Datatilsynet tok klager kontakt med Arbeidstilsynets personvernombud
den 11. eller 12. mai.
Klager mottok 14. mai en e-post med navnet på vedkommende i Arbeidstilsynet som skal ha
foretatt kredittvurderingen. Personen som foretok kredittvurderingen var den samme
saksbehandleren som klager kontaktet 1. april. Klagers henvendelse om kredittvurderingen
ble besvart av Arbeidstilsynet 20. mai.
Klager skriver at han ikke har problemer med at tilsynsmyndigheter foretar kontroll, men
stiller seg undrende til hvorfor han ble kredittvurdert av Arbeidstilsynet.
Datatilsynet sendte krav om redegjørelse til Arbeidstilsynet 12. august 2020. Vi mottok svar
17. september 2020. Krav om ytterligere redegjørelse ble sendt 1. februar 2021, som ble
besvart 1. mars 2021.
2
Arbeidstilsynet begrunner kredittvurderingen med at:
«Kredittvurderingen ble gjort av Avdeling Arbeidslivkriminalitet i forbindelse med
kartlegging av en av våre saker. Ditt enkeltpersonsforetak hadde over tid solgt
tjenester til et selskap vi har under oppsikt og som vi utreder nærmere. I den
forbindelse ble det avdekket forbindelser knyttet til ditt enkeltpersonforetak. Ved slike
utredninger er det vanlig også å sjekke nettverk og forretningsforbindelser for å
avdekke eventuelle videre koblinger. Ved en slik vurdering brukes offentlig
tilgjengelige registre, slik som brønnysundregistrene, konkursregister, Proff Forvalt,
m.fl.»
Klager fremhever at første oppdrag ble utført i januar 2020, og at neste oppdrag var i
forbindelse med postalt tilsyn 31. mars. Kredittvurderingen ble foretatt 1. april. Videre undrer
klager seg over hvorfor han fikk beskjed om at ingen i Arbeidstilsynet kunne foreta en
kredittvurdering eller har tilgang til programmer for å gjennomføre dette.
4. Rettslig bakgrunn
4.1. Behandlingsansvarlig
Personvernforordningen artikkel 4 nr. 7 definerer «behandlingsansvarlig» som:
[…]en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert
annet organ som alene eller sammen med andre bestemmer formålet med
behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet
med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes
nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking
av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett
4.2. Særlig om rettslig grunnlag for innhenting av personopplysninger som offentlig
myndighet
Å innhente og lagre kredittopplysninger om enkeltpersoner og enkeltpersonforetak utgjør en
behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 2 og
personopplysningsloven § 1.
All behandling av personopplysninger må ha et rettslig grunnlag etter personvernforordningen
artikkel 6 for å være lovlig. Behandlingsgrunnlaget må fastsettes før behandlingen finner sted
Når en offentlig myndighet skal innhente kredittopplysninger om en enkeltperson er artikkel 6
nr. 1 bokstav e det mest aktuelle behandlingsgrunnlaget.
Etter artikkel 6 nr. 1 bokstav e må behandlingen av personopplysninger være nødvendig for å
utføre en oppgave i allmennhetens interesse eller for å utøve offentlig myndighet som den
behandlingsansvarlige er pålagt.
3
Det følger av artikkel 6 nr. 3 at en behandling av personopplysninger som baseres på artikkel
6 nr. 1 bokstav e må ha et supplerende rettsgrunnlag i nasjonal rett. Det innebærer at den
behandlingsansvarlige ikke kan påberope seg artikkel 6 nr. 1 bokstav e alene som det rettslige
grunnlaget for behandlingen.
4.3. Krav til den supplerende lovgivningen etter artikkel 6 nr. 3
Artikkel 6 nr. 3 fastsetter minimumskrav til den supplerende lovgivningen.
I forarbeidene drøfter departementet hva som kan utgjøre et supplerende rettsgrunnlag for
behandlingen:
«Etter departementets syn må det legges til grunn at i alle fall lov- og
forskriftsbestemmelser kan utgjøre supplerende rettsgrunnlag.»1
Bestemmelsen i artikkel 6 nr. 3 viser videre til hvilket krav det er til innholdet i det
supplerende rettsgrunnlaget, herunder hva som skal fremgå av det supplerende
rettsgrunnlaget, og hva det supplerende rettsgrunnlaget kan inneholde.
Det fremgår av ordlyden til artikkel 6 nr. 3 at formålet med behandlingen skal være
nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet
som den behandlingsansvarlige er pålagt.
Etter ordlyden i artikkel 6 nr. 3 må det foreligge et supplerende rettsgrunnlag i den nasjonale
retten, men det er ikke et krav at rettsgrunnlaget uttrykkelig regulerer behandlingen av
personopplysninger. Formålet med behandlingen må imidlertid være nødvendig for å utføre
oppgaver i allmennhetens interesse eller utøve offentlig myndighet som den
behandlingsansvarlige er pålagt.
Både fortalen og forarbeidene viser til Den europeiske menneskerettskonvensjonen. Av
forarbeidene fremheves det at dersom behandlingen av personopplysninger utgjør et inngrep i
retten til privatliv etter Grunnloven § 102 eller EMK artikkel 8, kan det være nødvendig med
en mer spesifikk lovhjemmel enn det som stilles som krav etter ordlyden i artikkel 6 nr. 3. I
det følgende har vi lagt til grunn at innhenting av en kredittvurdering innebærer et inngrep i
privatlivet.
4.4. Om plikten til internkontroll
Etter personvernforordningen artikkel 24 plikter alle behandlingsansvarlige å kunne påvise at
de behandler personopplysninger i samsvar med loven. Dersom det står i et rimelig forhold til
behandlingsaktivitetene, skal virksomheten iverksette egnede retningslinjer for vern av
personopplysninger.
1
Prp.L.56 LS (2017-2018), s. 34.
4
Kredittvurdering er en inngripende behandling av personopplysninger og utgjør et stort
inngrep i enkeltpersoners rett til personvern. Den behandlingsansvarlige må derfor kunne
dokumentere sine interne rutiner eller prosesser, såkalt internkontroll, som ivaretar kravet til
rettslig grunnlag ved kredittvurdering.
Rutinene skal beskrive når og hvordan kredittopplysninger skal innhentes og hvordan innsyn
skal gis, og skal sikre at kredittvurderinger ikke innhentes uten at kravet til rettslig hjemmel er
oppfylt.
5. Datatilsynets vurdering
5.1. Behandlingsansvarlig
Å innhente og lagre kredittopplysninger om enkeltpersoner og enkeltpersonforetak utgjør en
behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 2 og
personopplysningsloven § 1. Vi legger til grunn at Arbeidstilsynet er behandlingsansvarlig for
behandlingen av personopplysninger innhentet gjennom kredittvurdering.
5.2. Plikten til internkontroll
Basert på Arbeidstilsynets svar legger vi til grunn at tilsynet ikke hadde rutiner for
behandlingen av personopplysninger gjennom Proff Forvalt på kontrolltidspunktet, eller
rutiner for å sikre at den registrerte kunne utøve sine rettigheter og få svar uten ugrunnet
opphold. Det fremgår av redegjørelsen at Arbeidstilsynet ble ferdig med kartlegging av
personopplysninger i desember 2020, og at det nå jobbes med relevante tiltak som følge av
denne kartleggingen.
Datatilsynet har kompetanse til å pålegge den behandlingsansvarlige å sørge for at
behandlingsaktivitetene skjer i samsvar med bestemmelsene i personvernforordningen, jf.
personvernforordningen artikkel 58 nr. 2 bokstav d.
Dette er bakgrunnen for pålegget om å utarbeide rutiner for kredittvurdering. Arbeidstilsynet
må utarbeide rutiner som sikrer at kredittvurdering bare skjer når det foreligger et rettslig
grunnlag for kredittvurderingen.
5.3. Rettslig grunnlag for behandlingen av personopplysninger
5.3.1. Artikkel 6 nr. 1 bokstav e
Det følger av personvernforordningen artikkel 6 nr. 1 bokstav e at behandlingen av
personopplysninger bare er lovlig dersom behandlingen er nødvendig for å utøve offentlig
myndighet som den behandlingsansvarlige er pålagt.
Videre følger det av artikkel 6 nr. 3 bokstav b at grunnlaget for behandlingen etter artikkel 6
nr. 1 bokstav e skal fastsettes i medlemsstatens nasjonale rett. Det følger visse krav til den
5
supplerende lovhjemmelen etter forordningen og forordningens fortalepunkt, som
gjennomgått ovenfor.
Behandlingen av klagers personopplysninger ble utført for å føre tilsyn med regelverket som
tilfaller Arbeidstilsynets ansvarsområde. Behandlingen er dermed utøving av offentlig
myndighet som den behandlingsansvarlige er pålagt.
5.3.2. Supplerende rettsgrunnlag i arbeidsmiljøloven § 18-5
I deres svar på vårt første krav om redegjørelse viser Arbeidstilsynet til arbeidsmiljølovens
(«aml.») formålsbestemmelse og kapittel 18 generelt som det supplerende rettsgrunnlaget for
behandlingen av klagers personopplysninger. Det presiseres i den senere redegjørelsen at
Arbeidstilsynet mener at arbeidsmiljøloven § 18-5 er det supplerende rettsgrunnlaget, lest i
sammenheng med § 18-4 og forvaltningsloven § 17. Arbeidstilsynet viser til at de har en
annen forståelse av lovbestemmelsen enn den Datatilsynet la til grunn i vårt krav om
ytterligere redegjørelse.
Datatilsynet skrev i vårt krav om ytterligere redegjørelse:
«Det fremkommer blant annet av § 18-5 at «enhver» som er «underlagt tilsyn» av
Arbeidstilsynet plikter å fremlegge opplysninger som anses nødvendig for utøvelsen av
tilsynet.
Slik Datatilsynet leser bestemmelsen retter den seg mot virksomheten som er under
tilsyn, og pålegger dem en plikt til å utlevere informasjonen som Arbeidstilsynet
behøver. I den konkrete klagen for Datatilsynet er det uklart hvorvidt klager var under
tilsyn, eller om informasjonen ble innhentet som ledd i tilsyn mot en annen virksomhet.
Videre er ikke kredittvurderingen innhentet fra klager, men en tredjepart. Tredjeparter
er riktig nok nevnt i andre ledd, men da bare om andre tilsyn.
Det følger av § 18-6 at Arbeidstilsynet gir pålegg og treffer de enkeltvedtak som er
nødvendig for gjennomføringen av en rekke bestemmelser som er opplistet i § 18-6.
Det er imidlertid ikke klart for Datatilsynet at en kredittvurdering er å anse som et
pålegg eller enkeltvedtak, slik det forutsettes av § 18-6.»
Arbeidstilsynet skriver i redegjørelsen at:
«For å sikre Arbeidstilsynets kompetanse har vi kontrollhjemler i arbeidsmiljølovens
kapittel 18 som gir rett til adgang til virksomheten, og rett til å kreve opplysninger.
For at Arbeidstilsynet skal kunne vurdere om det er aktuelt å gjennomføre (stedlige
eller digitale) tilsyn, er informasjonsinnhenting en viktig del av forberedelsen, jf.
punkt 1. Formålet med reglene i kap. 18 er å gi Arbeidstilsynet tilstrekkelig grunnlag
for å vurdere om en virksomhet overholder lovens krav. En viktig del av denne
vurderingen er om vi vil opprette tilsyn, med inspeksjon og ytterligere
informasjonsinnhenting.
6
Det følger av arbeidsmiljøloven § 18-5 at Arbeidstilsynet kan kreve opplysninger av
alle som er pålagt plikter etter loven, jf. «enhver». Arbeidstilsynet har videre til
enhver tid «uhindret adgang til ethvert sted som omfattes av loven», jf. § 18-4. For at
Arbeidstilsynet skal kunne oppfylle sin utredningsplikt etter forvaltningsloven § 17 kan
ikke disse bestemmelsene tolkes innskrenkende. Vi presiserer imidlertid at tiltakene
skal være nødvendige knyttet til de enkelte tilsyn/vurdering av tilsyn.»
Arbeidstilsynet bekrefter i redegjørelsen at klager ikke var underlagt tilsyn.
Under svar på spørsmål 3 utdyper Arbeidstilsynet sitt syn på bestemmelsens
anvendelsesområde:
«[…] Arbeidstilsynet [mener] denne bestemmelsen må forstås slik at vi kan innhente
opplysninger fra det aktuelle tilsynsobjektet vi gjennomfører tilsyn med eller som vi
vurderer å gjennomføre tilsyn med.»
Datatilsynet er uenig i Arbeidstilsynets tolkning av bestemmelsen § 18-5 og vil begrunne
dette nedenfor. Vi ønsker først å kommentere kravet til lovhjemmel etter
personvernforordningen artikkel 6 nr. 3.
Legalitetsprinsippet
Som nevnt ovenfor oppstiller personvernforordningen artikkel 6 nr. 3 krav til det rettslige
grunnlaget som er fastsatt i medlemsstaten. Det er et vilkår at formålet med behandlingen skal
være regulert i den nasjonale særlovgivningen.
Hvilke krav som stilles til lovhjemmelens klarhet påvirkes blant annet av hvor inngripende
behandlingen av personopplysninger er, og hvorvidt det er innenfor legalitetsprinsippets
område.
Behandlingen av personopplysninger vil være særlig inngripende i de tilfellene behandlingen
kan resultere i strafferettslige sanksjoner. Inngripende tiltak som kan resultere i strafferettslige
sanksjoner, eller sanksjoner som skal anses som straff etter EMD-praksis, aktualiserer
legalitetsprinsippet.
Det følger av kapittel 19 i arbeidsmiljøloven at brudd på loven kan straffes med bøter eller
fengsel, jf. også fvl. § 13b første ledd bokstav 6.
Da Arbeidstilsynet behandlet klagers personopplysninger kunne dette altså resultere i
strafferettslige sanksjoner. Legalitetsprinsippet oppstiller dermed et strengere krav til
lovhjemmelens klarhet etter personvernforordningen artikkel 6 nr. 1 bokstav e jf. artikkel 6 nr.
3.
Arbeidsmiljøloven § 18-5
Arbeidsmiljøloven § 18-5 lyder:
7
Ǥ 18-5. Opplysninger
(1) Enhver som er underlagt tilsyn etter denne lov skal når Arbeidstilsynet krever det
og uten hinder av taushetsplikt fremlegge opplysninger som anses nødvendige for
utøvelsen av tilsynet. Arbeidstilsynet kan bestemme i hvilken form opplysningene skal
gis.
(2) Opplysninger som nevnt i første ledd kan også kreves fra andre offentlige
tilsynsmyndigheter uten hinder av den taushetsplikt som ellers gjelder.
Opplysningsplikten gjelder bare de opplysninger som er nødvendige for at
tilsynsmyndigheten skal kunne utføre sine oppgaver etter loven»
Det fremgår av ordlyden at «enhver» er knyttet til den som er «underlagt tilsyn» av
Arbeidstilsynet.
Også plikten til å «fremlegge opplysninger» er knyttet til den som er underlagt tilsyn.
Opplysningene som kan kreves fremlagt er avgrenset til opplysninger som anses som
«nødvendige for utøvelsen av tilsynet».
«Enhver som er underlagt tilsyn»
Slik Datatilsynet leser arbeidsmiljøloven er det ingen bestemmelser som klargjør når noen er
underlagt tilsyn. Hvorvidt noen er underlagt tilsyn fremstår dermed som en skjønnsmessig
vurdering som Arbeidstilsynet står nærmest til å ta. Som nevnt ovenfor skriver
Arbeidstilsynet at klager ikke var under tilsyn da han ble kredittvurdert.
Arbeidstilsynet viser i sitt svar til oss at § 18-5 må forstås slik at også andre parter som
Arbeidstilsynet vurderer å foreta nærmere tilsyn med omfattes av bestemmelsen, selv om de
på tidspunktet for innhenting av informasjon ikke er underlagt tilsyn etter arbeidsmiljølovens
bestemmelser. Arbeidstilsynet fremhever at bestemmelsen retter seg mot «enhver» som er
pålagt plikter etter loven.
Slik Datatilsynet leser ordlyden og forarbeider retter § 18-5 seg konkret mot noen som
kontrolleres av Arbeidstilsynet, og som dermed er underlagt tilsyn. Bestemmelsen avgrenser
slikt mot andre som ikke er underlagt tilsyn av Arbeidstilsynet, samt innhenting av
informasjon fra tredjeparter som ikke er nevnt i andre avsnitt.
Arbeidstilsynet har vist til forvaltningsloven § 17 og arbeidsmiljøloven § 18-4 som støtte for
sitt syn på bestemmelsens rekkevidde. Datatilsynet kan ikke se at bestemmelsene støtter en
utvidende tolkning av ordlyden i § 18-5. Dette kommer særlig på spissen i den konkrete
saken, ettersom behandlingen aktualiserer legalitetsprinsippets krav til klarhet.
Datatilsynet er uenig i tolkningen som er lagt til grunn av Arbeidstilsynet, og finner ikke
holdepunkter i rettskildene for at lovgiver har ment at også rettssubjekter som ikke er
underlagt tilsyn kan omfattes av bestemmelsens virkeområde.
8
I denne saken er det også vanskelig å se at bestemmelsen i arbeidsmiljøloven oppfyller
kravene til supplerende rettsgrunnlag, uavhengig av om klager var underlagt tilsyn eller ikke.
Pliktsubjektet etter aml. § 18-5 er den som er underlagt tilsyn. I denne saken har
Arbeidstilsynet imidlertid innhentet klagers kredittopplysninger fra Bisnode som en
tredjepart.
Vår vurdering er at aml § 18-5 ikke gir Arbeidstilsynet hjemmel til å innhente klagers
personopplysninger fra en tredjepart, slik tilsynet har gjort gjennom å innhente
kredittopplysninger fra Bisnode i denne saken.
Konklusjonen er at Arbeidstilsynet ikke hadde rettslig grunnlag for å kredittvurdere klager, jf.
personvernforordningens artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3.
5.4. Skriftlige rutiner (internkontroll)
Arbeidstilsynet viser i sitt svar av 2. desember 2021 på varsel om overtredelsesgebyr til nye
rutiner for bruken av kredittvurderinger. Rutinene er vedlagt svaret.
Rutinene beskriver verktøyene som Arbeidstilsynet har tilgjengelig for å innhente
kredittvurderinger. Funksjonen som muliggjør innhenting av kredittvurderinger er knyttet til
og bygd inn i systemene som leverer oppdaterte opplysninger innen kreditt- og
markedsinformasjon.
I rutinene fremgår det at Arbeidstilsynet ikke har foretatt en vurdering av om og eventuelt i
hvilke tilfeller og hvordan kredittvurderinger skal brukes i forbindelse med tilsynssaker. Det
opplyses i rutinen at funksjonen ikke skal benyttes.
Datatilsynet forventer at informasjon om de nye rutinene blir klart formidlet internt i
organisasjonen. Datatilsynet forventer også at det gjennomføres en grundig vurdering av
lovligheten dersom det vurderes å innføre bruken av kredittvurderinger på et senere tidspunkt.
Basert på den innsendte rutinen bortfaller vi derfor vår konklusjon i varselet om vedtak som
pålegger Arbeidstilsynet i å etablere internkontroll for kredittvurderinger.
6. Overtredelsesgebyr
6.1. Generelt om overtredelsesgebyr
Overtredelsesgebyr er et virkemiddel for å sikre effektiv etterlevelse og håndhevelse av
personopplysningsregelverket.
I samsvar med Høyesteretts praksis, jf. Rt. 2012 side 1556, legger vi til grunn at
overtredelsesgebyr er å anse som straff etter den europeiske menneskerettighetskonvensjonen
(EMK) artikkel 6. Det kreves derfor klar sannsynlighetsovervekt for lovbrudd for å kunne
ilegge gebyr.
9
Vi viser i denne sammenheng til kapittel IX i forvaltningsloven om administrative sanksjoner.
Med en administrativ sanksjon menes en negativ reaksjon som kan ilegges av et
forvaltningsorgan, som retter seg mot en begått overtredelse av lov, forskrift eller individuell
avgjørelse, og som regnes som straff etter den europeiske menneskerettskonvensjonen
(EMK).
I forvaltningsloven § 46 første ledd heter det:
Når det er fastsatt i lov at det kan ilegges administrativ sanksjon overfor et foretak,
kan sanksjonen ilegges selv om ingen enkeltperson har utvist skyld.
Høyesterett har i dom HR-2021-797-A lagt til grunn at det objektive ansvaret for
foretaksstraff som følger av straffeloven § 27 ikke er forenlig med straffebegrepet i EMK slik
det er tolket av EMD. Høyesterett uttaler i dommen at den som har handlet på vegne av
foretaket må ha utvist skyld, og at alminnelig uaktsomhet er tilstrekkelig for å oppfylle dette.
Justisdepartementet har uttalt at det samme må legges til grunn i saker om administrative
sanksjoner.
Ettersom overtredelsesgebyr regnes som straff etter EMK, legger vi til grunn at vi bare kan
ilegge et foretak overtredelsesgebyr dersom den som har opptrådt på vegne av foretaket har
utvist skyld, og at alminnelig uaktsomhet er tilstrekkelig, jf. HR-2021-797-A.
6.2. Skyldkravet ved ileggelse av overtredelsesgebyr
For at Datatilsynet skal kunne ilegge Arbeidstilsynet overtredelsesgebyr kreves det altså at
den som har opptrådt på vegne av tilsynet har utvist skyld. I denne saken er vår vurdering at
forsett er den aktuelle skyldformen.
Forsettskravet følger av alminnelige juridiske grunnprinsipper, og disse prinsippene er
kodifisert i straffeloven § 22. Av bestemmelsen følger det:
«Forsett foreligger når noen begår en handling som dekker gjerningsbeskrivelsen i et
straffebud:
a) med hensikt,
b) med bevissthet om at handlingen sikkert eller mest sannsynlig dekker
gjerningsbeskrivelsen, eller
c) holder det for mulig at handlingen dekker gjerningsbeskrivelsen, og velger å
handle selv om det skulle være tilfellet.»
Av bestemmelsens andre ledd følger det imidlertid at «[f]orsett foreligger selv om lovbryteren
ikke er kjent med at handlingen er ulovlig, jf. § 26». Det er dermed ikke noe krav om at man
visste at handlingen var i strid med loven.
10
Av straffeloven § 26 følger det at «[d]en som på handlingstidspunktet på grunn av uvitenhet
om rettsregler er ukjent med at handlingen er ulovlig, straffes når uvitenheten er uaktsom.» I
henhold til kravet til aktsomhet må virksomheter sette seg inn i hvilken lovgivning som
gjelder på området, og innrette virksomheten i samsvar med de rammer som følger av det
aktuelle regelverket.
I denne saken har Arbeidstilsynet erkjent i sin redegjørelse at inspektøren i Arbeidstilsynet
bevisst har kredittvurdert klager for å undersøke om det var behov for tilsyn med
virksomheten. Vi viser til brev fra Datatilsynet til Arbeidstilsynet datert 31.07.2020, særlig
spørsmål 4 og 5.
Vi legger til grunn at inspektøren i Arbeidstilsynet handlet på vegne av Arbeidstilsynet da han
kredittvurderte klager.
Vår konklusjon er derfor at overtredelsen er gjort forsettlig av Arbeidstilsynet.
Skyldkravet for å ilegge overtredelsesgebyr er dermed oppfylt.
6.3. Vurdering av om overtredelsesgebyr skal ilegges
Ved vurderingen av om det skal ilegges gebyr og ved utmålingen skal Datatilsynet ta hensyn
til momentene i personvernforordningen artikkel 83 nr. 2 bokstav a) til k). Datatilsynet kan
ilegge overtredelsesgebyr etter en skjønnsmessig helhetsvurdering, men de opplistede
momentene legger føringer på skjønnsutøvelsen ved å trekke frem momenter som skal
tillegges særlig vekt.
Vi vil her vurdere de relevante momentene fortløpende.
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den
berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og
omfanget av den skade de har lidd,
Lovlighetsprinsippet i personvernforordningen artikkel 5 nr. 1 og kravet til
behandlingsgrunnlag i artikkel 6 er et av de grunnleggende kravene som skal oppfylles når en
behandlingsansvarlig behandler personopplysninger.
Datatilsynet finner ikke at arbeidsmiljøloven § 18-5 er et dekkende supplerende rettsgrunnlag
for at Arbeidstilsynet kunne kredittvurdere klager.
En kredittvurdering er et resultat av sammenstilling av personopplysninger fra mange ulike
kilder, og viser et tall som angir sannsynligheten for at en person vil betale en fordring. En
kredittvurdering vil også vise detaljer om enkeltpersoner privatøkonomi, herunder eventuelle
betalingsanmerkninger, frivillige pantstillelser og gjeldsgrad. Dette er private opplysninger
som privatpersoner har en forventning om at ikke innhentes av statlige tilsynsmyndigheter
uten rettslig grunnlag
11
Når særlig beskyttelsesverdige personopplysninger er innhentet uten rettslig grunnlag tilsier
dette at overtredelsen er alvorlig, og at Datatilsynet reagerer med overtredelsesgebyr.
b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt,
Vi legger til grunn at Arbeidstilsynets saksbehandler bevisst har kredittvurdert klager, og at
overtredelsen dermed er begått forsettlig.
c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense
skaden som de registrerte har lidd,
Vi finner ikke dette momentet relevant.
d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til
de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32,
Arbeidstilsynet har opplyst i svar på krav om redegjørelse om at det ikke forelå rutiner eller
retningslinjer for behandlingen av personopplysninger. Det fremstår dermed som at det ikke
var noen interne regler for hvordan virksomhetskortet i Proff Forvalt skulle benyttes, og under
hvilke forutsetninger. Det legges til grunn at dersom tiltak hadde vært truffet i forkant, ville
dette kunne ha medført at kredittvurderingen i denne saken ikke hadde blitt utført.
Vi legger vekt i skjerpende retning på at Arbeidstilsynet har manglende kunnskap om reglene
for innhenting av kredittopplysninger, og at Arbeidstilsynet etter det opplyste hverken hadde
tekniske eller organisatoriske tiltak i form av rutiner for å sikre etterlevelse av regelverket.
Det er særlig skjerpende at Arbeidstilsynet som tilsynsmyndighet ikke har vurdert om tilsynet
hadde rettslig grunnlag for å ta i bruk kredittvurderingsverktøyet.
e) eventuelle tidligere overtredelser begått av den behandlingsansvarlige eller
databehandleren,
Datatilsynet kjenner ikke til at det foreligger tidligere overtredelser. I etterkant av at klagesak
ble opprettet er det innmeldt et brudd på personopplysningssikkerheten for gjennomført
kredittvurdering av Arbeidstilsynet. Vi vektlegger ikke dette forholdet.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de
mulige negative virkningene av den,
Dette er ikke relevant i saken.
g) kategoriene av personopplysninger som er berørt av overtredelsen,
12
Særlige kategorier av personopplysninger (sensitive personopplysninger) er ikke berørt av
overtredelsen i vår sak. Opplysninger om lønn, gjeld og kredittverdighet er imidlertid
opplysninger som har et særlig beskyttelsesbehov på grunn av deres private karakter.
Kategoriene av personopplysninger som er berørt trekker derfor i skjerpende retning.
h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt
i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om
overtredelsen,
Vi ble underrettet om overtredelsen av klager, samt gjennom innmeldt brudd på
personopplysningssikkerheten av Arbeidstilsynet.
i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte
tiltak overholdes,
Vi kjenner ikke til at det tidligere er truffet tiltak overfor tilsynet med hensyn til samme
saksgjenstand.
j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42,
Vi finner ikke dette momentet relevant.
k) og enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler
som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen
Datatilsynet har ikke konstatert at Arbeidstilsynet har hatt økonomiske fordeler, eller unngått
direkte eller indirekte tap som et resultat av overtredelsen. Det kan heller ikke anføres andre
forhold i formildende retning.
Datatilsynet har heller ikke tatt hensyn til Arbeidstilsynets økonomiske evne.
Datatilsynet «skal forberede og avgjøre saken uten ugrunnet opphold», jf. fvl. § 11 første
ledd. Ved ileggelsen av administrative sanksjoner som anses for å være straff etter EMK
artikkel 6, vil kravene til rettferdig rettergang være relevante. Det kreves deriblant at sakene
må avklares «innen rimelig tid», jf. EMK artikkel 6 nr. 1. Bestemmelsen er ment å ta hensyn
til den belastningen det er for enkeltpersoner og virksomheter og leve over lengre tid i uvisse
om utfallet av en potensiell sak.
Utgangspunktet for vurderingen av saksbehandlingstiden på strafferettens område er når det
foreligger en straffesiktelse etter EMK, jf. Neumeister v. Austria, § 18. Vedrørende når det
foreligger en siktelse i konvensjonens forstand har EMD uttalt i Deweer v. Belgium § 46 at
13
«The "charge" could, for the purposes of Article 6 par. 1 (art. 6-1), be defined as the
official notification given to an individual by the competent authority of an allegation
that he has committed a criminal offence.»
Datatilsynet forstår dette som at vedkommende som potensielt har brutt loven anses som
siktet fra tidspunktet vedkommende har mottatt en offisiell kunngjøring om anklagen.
Hva som anses å være innen rimelig tid vil variere fra sak til sak, i praksis fra EMD har
grensen for hva som har vært ansett innenfor som total saksbehandlingstid lagt på rundt 5 år.2
Det må imidlertid skilles mellom lang saksbehandlingstid og total inaktivitet. Ved total
inaktivitet er grensen for brudd lavere. I norsk rettspraksis har Høyesterett lagt til grunn at
grensa for brudd på EMK artikkel 6 nr. 1 ligger ved rundt ett års liggetid, jf. HR-2016-225-S
avs. 32. Begrepet liggetid forstås i denne sammenheng som perioder med total inaktivitet, jf.
HR-2016-225-S avs. 33. Dårlig fremdrift vil imidlertid også inngå i vurderingen av hvorvidt
saksbehandlingstiden har blitt for lang, jf. HR-2016-225-S avs. 33.
Spørsmålet om grensen ved ileggelse av administrative sanksjoner har ikke vært vurdert av
Høyesterett. Det har imidlertid vært oppe i lagmannsretten og tingretten i saker knyttet til
ileggelse av tilleggsskatt. Gulating lagmannsrett har vurdert det slik at total inaktivitet på ett
år ikke var et brudd og dette medførte dermed ikke til fratrekk, jf. LG-2020-130954. Oslo
tingrett har lagt til grunn av 16 måneder medfører brudd, men at dette er i det lavere sjiktet, jf.
TOSLO-2019-136118.
Arbeidsmengden hos myndighetene som behandler saken, har generelt sett ikke blitt ansett
som relevant for vurderingen av brudd hos EMD, jf. Eckle v. Germany, § 92.
Personvernnemnda har i sin praksis også uttalt seg om saksbehandlingstidens betydning for
ileggelse av overtredelsesgebyr.
I PVN-2021-03 legger Personvernnemnda vekt på at sakens faktum ble i det vesentlige
avklart i mai 2019, mens det tok over ett år før tilsynet varslet pålegg og overtredelsesgebyr.
I PVN-2021-09 la Personvernnemnda også vekt på den lange saksbehandlingstiden hos
tilsynet. I den saken hadde det gått seks måneder fra tilsynet mottok en melding om brudd på
personopplysningssikkerhet til det ble bedt om en redegjørelse. Etter å ha mottatt
redegjørelsen tok det ca. fire måneder før varsel om vedtak ble sendt, og deretter ti måneder
fra varselet ble sendt til vedtaket ble fattet. Etter at virksomheten klagde gikk det ytterligere
tre måneder før saken ble mottatt av Personvernnemnda.
En lang inaktiv periode vil i seg selv også kunne være et brudd på EMK art 6 nr. 1. jf. Rt-
2005-1210 og HR-2016-225-S. I en sak om tilleggsskatt kom lagmannsretten til at total
2
Se EMD sin sammenstilling av relevant rettspraksis i sin veileder om artikkel 6 på strafferettens område s. 63,
https://www.echr.coe.int/Documents/Guide_Art_6_criminal_ENG.pdf
14
liggetid på 20 måneder ikke kvalifiserte til brudd på EMK art. 6 nr. 1, og heller ikke grunnlag
for å redusere tilleggsskatten, jf. LG-2020-130954.
Tidslinjen i denne saken ser slik ut:
- Klagen mottatt 30. juni 2020.
- Vårt krav om redegjørelse ble sendt 12. august 2020.
- Vi mottok svar på vårt krav om redegjørelse 19. september 2020.
- Vi sendte krav om ytterligere redegjørelse til Arbeidstilsynet 1. februar 2021.
- Datatilsynet mottok svar på vårt krav om ytterligere redegjørelse 1. mars 2021.
- Varsel om vedtak om overtredelsesgebyr ble sendt 15. november 2021.
- Svar på varsel om vedtak om overtredelsesgebyr ble mottatt 6. desember 2021.
I saken ble Arbeidstilsynet offisielt underrettet av Datatilsynet om at det forelå en anklage om
et potensielt lovbrudd ved vårt første krav om redegjørelse datert 12. august 2020.
Datatilsynet legger til grunn at det forelå en siktelse etter EMK på dette tidspunktet, og ved
vurdering av saksbehandlingstidens utgangspunkt overfor innklagde legger vi dette
tidspunktet til grunn. Når vi vurderer saksbehandlingstiden i det følgende viser vi dermed til
dette tidspunktet og ikke da klagen ble mottatt.
Fra vi mottok svar på vårt første krav om redegjørelse i september 2020 til vi sendte ut et krav
om ytterligere redegjørelse i februar 2021, gikk det omtrent fire måneder. Denne perioden
bestod ikke av total inaktivitet, da det blant annet ble gjennomført samtaler og diskusjoner
med andre saksbehandlere om saken. Fra svar på kravet om ytterligere redegjørelser ble
mottatt til varsel om vedtak ble sendt i midten av november 2021, gikk det litt over åtte
måneder.
I tiden mellom mottatt svar på ytterligere redegjørelser og til varsel om vedtak ble utferdiget
har det som tidligere i saksbehandlingsløpet vært løpende diskusjoner om saken med andre
saksbehandlere og nærmeste ledelse rundt utferdigelsen av varselet og det ferdige vedtaket.
Det har likevel ikke vært aktiv saksbehandling i hele perioden. I denne konkrete saken anslår
vi skjønnsmessig at det kan ha vært rundt fire måneder med total inaktivitet.
Datatilsynet legger etter dette til grunn at saken har hatt en total saksbehandlingstid på over ett
og et halvt år, der mengden total inaktivitet har vært på rundt 4 måneder.
Vår vurdering er at verken saksbehandlingstiden eller tiden med total inaktivitet utgjør brudd
på EMK, og at det ikke er til hinder for at vi ilegger overtredelsesgebyr i denne saken.
Basert på vurderingen ovenfor kommer Datatilsynet til at overtredelsesgebyr bør ilegges. Det
neste spørsmålet er gebyrets størrelse.
6.4. Vurdering av gebyrets størrelse
Ved utmåling av gebyrets størrelse skal det legges vekt på de samme vurderingsmomentene
som i spørsmålet om hvorvidt gebyr bør ilegges. Vi viser derfor til vurderingene av sakens
15
alvorlighet ovenfor. Overtredelsesgebyret skal være virkningsfullt, stå i et rimelig forhold til
overtredelsen og virke avskrekkende. Dette innebærer at tilsynsmyndigheten skal gjøre en
konkret, skjønnsmessig vurdering i hvert enkelt tilfelle.
Gebyret bør settes så høyt at det får virkning også utover den konkrete saken, samtidig som
gebyrets størrelse må stå i et rimelig forhold til overtredelsen og virksomheten, jf. artikkel 83
nr. 1.
Personvernforordningen legger til rette for et høyere bøtenivå enn det som gjaldt etter
personopplysningsloven fra 2000, og det følger av forordningens artikkel 83 nr. 1 at
overtredelsesgebyr skal fastsettes konkret slik at det i hvert enkelt tilfelle er virkningsfull, står
i et rimelig forhold til overtredelsen og virker avskrekkende. Hovedformålet med
overtredelsesgebyr er prevensjon, altså at risikoen for å bli ilagt gebyr skal virke
avskrekkende og derved medvirke til økt etterlevelse av regelverket.3
Av Skullerud m.fl. (2019), side 347, fremgår det:
«Prevensjonshensynet tilsier at gebyret for en overtredelse må settes så høyt at denne
faktisk oppleves som et onde av overtrederen. Dette innebærer at overtrederens
økonomiske evne bør ha betydning ved utmålingen, slik at gebyret blir høyere desto
sterkere bæreevne overtrederen har. […] Ved vurdering av økonomisk bæreevne for et
foretak kan det være relevant å se hen til foretakets samlede globale årsomsetning i
forutgående regnskapsår, jf. art. 83 nr. 4 og 5.»
Og videre:
«Hensynet til å sikre en individuell vurdering i hvert enkelt tilfelle tilsier at
tilsynsmyndighetene bør unngå å etablere standardiserte gebyrsatser. Dette gjelder
selv om nasjonal rett åpner for standardiserte satser, jf. forvaltningsloven § 43.»
Gebyret skal altså utmåles konkret i hvert tilfelle, og virke avskrekkende for den enkelte
virksomheten.
I vår sak er det snakk om en offentlig virksomhet, og tilsynet har dermed ingen omsetning fra
foregående regnskapsår å se hen til ved utmålingen. Utmålingen må dermed skje utfra de
øvrige momentene i artikkel 83.
Personvernforordningen artikkel 83 nr. 5. fastsetter et høyere maksbeløp for gebyr når saken
omhandler overtredelser av de grunnleggende prinsippene for behandling av
personopplysninger i henhold til personvernforordningen artikkel 5 og 6.
I vår sak manglet Arbeidstilsynet rettslig grunnlag for innhenting av kredittopplysninger om
klager (lovlighetsprinsippet). I tillegg manglet virksomheten tekniske og organisatoriske tiltak
for etterlevelse av personvernregelverket (ansvarlighetsprinsippet). I tillegg har
Arbeidstilsynet brutt innsynsretten (åpenhetsprinsippet). Overtredelsene i saken berører altså
3
Skullerud et al. (2019).
16
flere av de grunnleggende prinsippene for behandling av personopplysninger i
personvernforordningen artikkel 5 nr. 1 og 2.
Vi legger i skjerpende retning særlig vekt på at overtredelsene i saken er begått av en offentlig
tilsynsmyndighet.
Datatilsynet vurderer at bruddet på innsynsretten er forårsaket av mangelen på internkontroll
og rutiner som førte til at kredittvurderingen ble ulovlig foretatt i utgangspunktet. Ettersom
bruddet på innsynsretten allerede er sanksjonert gjennom egen irettesettelse, har vi ikke
vektlagt dette bruddet i skjerpende retning for utmålingen av gebyrets størrelse.
Tidligere praksis er relevant ved utmålingen av gebyrets størrelse.
Personvernnemda konkluderte i PVN-2020-21 at et overtredelsesgebyr på 150 000 kroner «i
alle fall ikke er for høyt» i den konkrete saken som ble behandlet. Saken har likhetstrekk med
herværende sak, ved at det ikke forelå et rettslig grunnlag for behandlingen og at
virksomhetens internkontroll var mangelfull.
I sak 20/02042 («Innovasjon Norge») ble det ilagt et overtredelsesgebyr på 1 000 000 kroner
for fire ulovlige kredittvurderinger mot klager i saken og vedkommendes enkeltpersonforetak.
I sak 20/02375 ble en virksomhet ilagt et overtredelsesgebyr på 175 000 kroner. På grunn av
saksbehandlingstiden i den konkrete saken ble gebyret satt ned til 125 000 kroner. I
utmålingen av overtredelsesgebyr må Datatilsynet vurdere om saksbehandlingstiden skal
trekke i formildende retning, jf. personvernforordningen artikkel 83 nr. 1 bokstav k, jf.
Personvernnemndas avgjørelse PVN-2021-03.
Som nevnt ovenfor ba vi Arbeidstilsynet redegjøre for saken i vårt brev datert 12. august
2020. Vi krevde nærmere redegjørelse i vårt brev datert 1. februar 2021. Når tilsynet ilegger
vedtak om gebyr har det gått noe over 5 måneder siden varselet, og over ett og et halvt år
siden Datatilsynet kontaktet Arbeidstilsynet første gang.
Datatilsynets totale behandlingstid i denne saken og PVN-2021-03, hvor overtredelsesgebyret
ble satt ned på grunn av lang saksbehandlingstid, er nokså likt. Det taler for at
overtredelsesgebyret blir satt ned også i denne saken.
På den annen side har det i behandlingen av denne klagen, i motsetning til PVN-2021-03,
vært behov for å avklare saken gjennom utsendelse av to krav om redegjørelser, og
medfølgende saksbehandling. Det trekker i retning av at det i saksbehandlingen av denne
klagen har vært behov for noe mer tid enn i PVN-2021-03. Når Datatilsynet ilegger vedtak
om gebyr, vil det ha gått litt over fem måneder siden vedtaket ble varslet. Det skiller saken fra
den ovennevnte, ved at det i den saken gikk ti måneder fra første varsel til endelig vedtak ble
sendt ut.
Forskjellen mellom sakene hva angår tiden fra utsendt varsel til endelig vedtak, samt en noe
større kompleksitet, trekker etter Datatilsynets mening i retning av å ikke sette ned gebyret
grunnet lang saksbehandlingstid. Gebyret skal settes så høyt at det er virkningsfullt og oppnår
tilstrekkelig avskrekkende effekt.
17
Vi ønsker å tydeliggjøre at slike overtredelser ikke må skje, og at alle offentlige instanser som
behandler personopplysninger må være seg sitt ansvar bevisst. Allmennpreventive hensyn
gjør seg dermed gjeldende i saken.
Etter en totalvurdering av saken og særlig sett hen til alvorligheten i overtredelsen har vi
kommet til at et overtredelsesgebyr på 150 000 NOK anses som riktig.
7. Klagerett og videre saksgang
Dere kan klage på vedtaket. En eventuell klage må sendes til oss innen tre uker etter at dette
brevet er mottatt, jf. forvaltningsloven §§ 28 og 29. Dersom vi opprettholder vårt vedtak vil vi
sende saken videre til Personvernnemnda for klagebehandling.
8. Offentlighet, innsyn og taushetsplikt
Vi vil informere dere om at alle dokumentene i utgangspunktet er offentlige, jf.
offentlighetsloven § 3. Dersom dere mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn, ber vi dere om å begrunne dette.
Datatilsynet har taushetsplikt om hvem som har klaget til oss, og om klagerens personlige
forhold. Taushetsplikten følger blant annet av personopplysningsloven § 24 og
forvaltningsloven § 13. Som part i saken kan dere likevel bli gjort kjent med slike
opplysninger av Datatilsynet, jf. forvaltningsloven § 13 b første ledd nr. 1. Dere har også rett
til innsyn i sakens dokumenter, jf. forvaltningsloven § 18.
Dersom dere har spørsmål kan dere kontakte Kristian Bygnes på telefon 22 39 69 63.
Med vennlig hilsen
Jørgen Skorstad
avdelingsdirektør, jus
Kristian Bygnes
juridisk rådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
Kopi til:
18