ADVOKATFIRMAET THOMMESSEN AS
Postboks 1484 Vika Unntatt offentlighet:
0116 OSLO Offl. § 13, jf. personopplysningsloven §
24 første ledd 2. punktum
Eli Karine Navestad
Deres referanse Vår referanse Dato
20/02911-20 16.01.2026
Vedtak om ileggelse av overtredelsesgebyr
1. Vedtak
Saken gjelder klage mot Timegrip AS (heretter «Timegrip») som Datatilsynet mottok fra
(heretter «klager») 30. juni 2020. Klagen gjelder avslag på innsyn i
egne personopplysninger etter personvernforordningen artikkel 15 (1).
Datatilsynet har fattet følgende vedtak i saken:
Datatilsynet ilegger Timegrip AS et overtredelsesgebyr på 250.000 –
tohundreogfemtitusen – kroner for overtredelse av personvernforordningen artikkel 15
(1) og (3).
2. Sakens bakgrunn
Bakgrunnen for klagers innsynskrav mot Timegrip 18. juni 2020
I mars 2020 var klager ansatt hos Enklere Liv Retail AS (heretter «Enklere Liv»). Den 24.
mars 2020 gikk selskapet konkurs. Klager søkte konkursboet om dekning av lønn for utført
arbeid i perioden 16. til 24. mars 2020.
Timegrip var leverandør av timeføringssystemet som Enklere Liv brukte i sine butikker og
behandlet personopplysninger om de ansatte på Enklere Livs vegne. 25. mars 2020 skrev
konkursboet til Timegrip at de trengte å få utlevert de ansattes timelister for å behandle deres
krav om å få dekket ubetalt lønn. Timegrip svarte samme dag at de ikke var forpliktet til å
utlevere timelistene vederlagsfritt og krevde at boet dekket deres utestående fordringer før de
utleverte timelistene.
I e-post til klager 17. juni 2020 skrev konkursboet at det trengte dokumentasjon på det utførte
arbeidet. Boet hadde ikke tilgang til klagers timelister og han ble oppfordret til å be om innsyn
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
i timelistene med grunnlag i personvernforordningen artikkel 15. På den måten kunne han få
dokumentasjon for lønnskravet.
Klager fremmet deretter et innsynskrav mot Timegrip 18. juni 2020 om kopi av timelistene
som viste hans utførte arbeid i perioden 16. til 24. mars 2020.
Timegrips avslag på innsynskravet i brev 23. juni 2020
Timegrip avslo innsynskravet i brev 23. juni 2020. Brevet var rettet både til klager og til andre
tidligere ansatte i Enklere Liv som også hadde bedt om innsyn i sine timelister. I brevet
forklarte Timegrip at det allerede var avklart at selskapet ikke var forpliktet til å gi
konkursboet tilgang til timelistene vederlagsfritt, og viste i den sammenheng til en avgjørelse
fra Namsfogden i Oslo i en tvist mellom Timegrip og boet.
Videre hevdet selskapet at det ikke var forpliktet etter personvernforordningen til å gi klager,
eller de andre tidligere ansatte, innsyn i timelistene deres. Timegrip sitt syn var at
databehandleravtalen med Enklere liv opphørte samtidig som konkursåpningen:
«Fra det øyeblikk Enklere Liv Retail AS begjærte seg konkurs opphørte våre avtaler
om levere våre IT-tjenester til deres tidligere arbeidsgiver. Avtalen om å levere IT-
tjenester kunne vi i Timegrip gjerne sett bort fra for deres skyld i denne situasjonen.
Men dessverre så opphørte også Databehandleravtalen. Databehandleravtalen gir
Timegrip en rett til å være «Databehandler» (Timegrip) av «den registrerte»
(deg/dere) på vegne av den «Behandlingsansvarlige» (Enklere Liv Retail AS), og
regulerer hvordan disse dataene skal håndteres. Foreløpig har bobestyrer eller ny
potensiell eier av konkursboet ikke valgt å tre inn i den eksisterende avtalen eller
etablere en ny avtale.»
Selskapet skrev også at det ville fortsette lagringen av personopplysningene inntil det var klart
at Enklere Liv var avvikler og at ingen andre ville kjøpe konkursboet. Da ville i så fall
Timegrip slette personopplysningene:
«Timegrip har plikt til å oppbevare de registrerte (deg/dere) sine persondata på en
elektronisk kryptert og sikker måte i henhold til kravene fra
Personvernforordningen/EU GDPR til en ny part trer inn i Databehandleravtalen med
Timegrip. Det være seg konkursboet eller en ny eier av konkursboet. På det tidspunkt
det er 100% sikkert at konkursselskapet nedlegges og at ingen vil tre inn den
eksisterende eller en ny databehandleravtale med Timegrip vil vi slette alle
persondata som er i de relaterte tjenestene. Timegrip har i så fall ikke lenger noe
grunnlag for å sitte på eller behandle opplysningene.»
Videre redegjorde Timegrip for sitt syn på hvilken adgang de hadde til å behandle
personopplysningene etter konkursåpningen:
«Timegrip har ingen selvstendig råderett over dataene og har IKKE lov til å utlevere
noen persondata fra sine tjenester til NOEN (selv ikke til de registrerte (deg/ dere)
2
andre enn i tilfellet hvor en Behandlingsansvarlig som med full rett ber Timegrip
etterkomme en innsynsbegjæring til Databehandler (Timegrip) på vegne av de
registrerte sin innsynsbegjæring som er mottatt av de registrerte (deg/ dere).»
Timegrip skrev at selskapet kunne inngå en ny databehandleravtale med konkursboet. I så fall
kunne selskapet, «på et betalt oppdrag», etterkomme innsynskravene ved å utlevere rådataene,
men ikke de ferdige timelistene, til konkursboet. Timegrip måtte i så fall først få en «100 %
sikker identifikator for hver eneste registrerte» før de kunne utlevere rådata om dem.
Hvis Timegrip utleverte rådataene måtte det være opp til konkursboet å gå gjennom dem og
rydde opp i dem slik at hvilken tid som var blitt godkjent, pauseberegninger,
overtidsberegninger, sykefravær mv. ble korrekt når boet skulle vurdere lønnskravene.
Timegrip skrev videre at:
«Alt annet enn rådata som måtte bli utlevert ville medført at Timegrip prosesserte
persondata på vegne av de registrerte. Det har Timegrip ingen selvstendig rett til og
kan sette oss i den situasjon at vi blir Behandlingsansvarlig på et selvstendig
grunnlag.
For å kunne utlevere mer enn bare rådata må bobestyrer eller eventuelt ny eier tre inn
den eksisterende eller en ny avtale om levering av IT-tjenester og gjennom denne
avtalen instruere Timegrip i å sammenstille og prosessere dataene.»
Selskapet oppfordret derfor klager og de andre ansatte til å innsynskravene sine til
konkursboet, som var «riktig tjenestevei». Da kunne boet revurdere deres tilbud om å tre inn
tjenesteavtalen og databehandleravtalen selskapet hadde hatt med Enklere Liv.
Klagen til Datatilsynet 30. juni 2020 og den påfølgende saksbehandlingen
Datatilsynet mottok klagen mot Timegrip 30. juni 2020. Klager anførte at selskapet ikke
hadde rett til å nekte å etterkomme innsynskravet hans. Etter hans syn har han rett på å få
utlevert opplysninger om seg selv. Han ba derfor Datatilsynet om å pålegge Timegrip å
utlevere timelistene hans.
Datatilsynet sendte et brev til Timegrip 25. januar 2021 med spørsmål om Timegrips
behandling av personopplysninger skjedde forbindelse med flere etableringer i EØS eller om
behandlingen kunne i betydelig grad påvirke registrerte i flere EU/EØS-stater. Timegrip
svarte 8. februar 2021 at dets eneste etablering var i Norge, men at det behandlet
personopplysninger på vegne av kunder i tolv forskjellige land. Basert på denne
informasjonen, og informasjon på selskapets nettsider, startet Datatilsynet en
grenseoverskridende saksprosedyre i det europeiske saksbehandlingssystemet 29. april 2021.
Saksbehandler snakket med klager på telefon 13. mars 2024. Klager forklarte da at han aldri
fikk innsyn i timelistene sine, men at han til slutt fikk dekning for lønnskravet sitt i 2022 av
NAVs lønnsgarantifond. Det er uklart for Datatilsynet hvordan han dokumenterte lønnskravet.
3
Datatilsynet sendte et krav om redegjørelse til Timegrip 15. oktober 2024 hvor vi ba om at
selskapet gjorde rede for hvor mange som hadde bedt om innsyn i sine timelister i kjølvannet
av Enklere Livs konkurs. Vi spurte også om Timegrip hadde bistått de tidligere ansatte med å
dokumentere sine lønnskrav på andre måter etter at selskapet sendte brevet med avslaget 23.
juni 2020.
Timegrip svarte 5. november 2024 at det var 80 ansatte som hadde bedt om innsyn. Videre
svarte Timegrip at selskapet hadde tilbudt å gi konkursboet rådataene de satt på og at boet
hadde takket nei til det. Det ønsket tilgang på timelister. Selskapet skrev også de ikke hadde
lov til å gi de registrerte innsyn uten at boet trådte inn Enklere Livs tjeneste- og
databehandleravtaler. Timegrip viste i den forbindelse til Namfogdens avgjørelse som ble
vedlagt.
18. desember 2024 fikk Datatilsynet også tilsendt en kopi av Timegrips databehandleravtale
med Enklere Liv, datert 8. november 2018.
I brev til Timegrip 29. april 2025 varslet Datatilsynet et overtredelsesgebyr på 750.000 kroner
for brudd på artikkel 15 (1) i personvernforordningen.
Timegrip svarte på varselet 11. juni 2025. Timegrip hadde innsigelser mot nivået på gebyret.
Timgrip anførte at det handlet i god tro når det gjaldt selskapets rettsoppfatning av den
aktuelle situasjonen, at selskapet ikke hadde til hensikt å tjene på avslaget av innsynskravene,
at klager ikke hadde lidd tap som følge av avslaget og at saksbehandlingstiden til Datatilsynet
var urimelig lang. På det grunnlaget ba Timegrip om at gebyret ble redusert til null, eller at
det ble betydelig redusert.
I henhold til personvernforordningen artikkel 60 (3) sendte Datatilsynet et utkast til vedtak til
de berørte tilsynsmyndighetene 30. oktober 2025. Datatilsynet mottok ingen innsigelser eller
merknader til utkastet innen fristen 27. november 2025. I tråd med personvernforordningen
artikkel 60 (6) er Datatilsynet bundet av utkastet.
3. Datatilsynets kompetanse
Saken gjelder grenseoverskridende behandling av personopplysninger
Klagen har blitt behandlet i henhold til personvernforordningens artikkel 56 (1) og 60 om
samarbeid mellom datatilsynsmyndigheter i saker som gjelder grenseoverskridende
behandling av personopplysninger. Datatilsynet i Norge har vært den ledende
tilsynsmyndigheten.
I tilsvaret til varselet 11. juni 2025 anførte Timegrip at saken ikke gjelder
grenseoverskridende behandling fordi Timegrip er et norsk selskap, klager bor i Norge, at
konkursen til Enklere Liv kun berørte norske registrerte og at behandlingen kun berørte
norske innbyggere.
4
Artikkel 4 (23) bokstav b) i personvernforordningen slår fast at grenseoverskridende
behandling skjer hvis en virksomhet med kun én etablering i EØS-området behandler
personopplysninger som i betydelig grad påvirker eller sannsynligvis vil påvirke registrerte i
mer enn én EU/EØS-stat.
Det er klart at timelister som dokumenterer en ansatts utførte arbeid, og som fungerer som
grunnlag for beregning av deres lønn, er en type behandling som i betydelig grad påvirker de
ansatte.
Ifølge ordlyden er det tilstrekkelig at det er sannsynlig at behandlingen påvirker registrerte i
flere land, selv om det ikke er tilfellet i en enkeltsak.1
Timegrip skrev i e-post 8. februar 2021 at selskapet leverte tjenester til kunder i 12 europeiske
land. På Timegrips nettsider sto at det behandlet personopplysninger på vegne av kunder som
hadde ansatte i flere land. XXL, en sportsbutikk med butikker i flere nordiske land, ble nevnt
som et eksempel.
Timegrips behandling av personopplysninger og dets håndtering av innsynskrav i denne saken
fremstår som å ha vært en del av selskapets rutiner i sammenheng med konkurser hos kunder.
I brevet 23. juni 2020 skrev selskapet:
«Timegrip er ikke ukjent med konkurser i vår kundemasse, og i disse spesielle tider
forventer vi en økning i omfang av konkurser i tiden som kommer. Vi har svært god
erfaring med at en smidig samarbeidsform med bobestyrere som beskytter alle
medarbeidere sine rettigheter og at bobestyrer da enkelt kan overholde sine plikter.
Dessverre har ikke Advokat Andreas Christensen som bobestyrer for Enklere Liv
Retail AS/dets konkursbo foreløpig valgt å tre inn i de avtalene som var gjeldende for
Timegrip og Enklere Liv Retail AS. Dette har skapt flere juridiske utfordringer med
hensyn til å utlevere deres data.»
Det er sannsynlig at Timegrips behandling ville i betydelig grad påvirke registrerte i andre
EU/EØS-stater, for eksempel hvis en av selskapets kunder i en annen stat gikk konkurs.
Klagen gjelder grenseoverskridende behandling av personopplysninger, og den skal behandles
etter reglene i personvernforordningen artikkel 56 (1) og 60.
Datatilsynet er den ledende tilsynsmyndigheten
Da Datatilsynet mottok klagen var Timegrips eneste etablering i Norge, og Datatilsynet var
den ledende tilsynsmyndigheten ifølge personvernforordningen artikkel 56 (1). Datatilsynene
i Sverige, Danmark og Spania meldte seg som berørte tilsynsmyndigheter etter artikkel 4 (22).
1 Se side 2 og 3 i Artikkel 29-gruppens «Guidelines for identifying a controller or processor’s lead supervisory
authority». (Det europeiske personvernrådet (EDPB) stadfestet 25. mai 2018 at dokumentet var relevant for
tolkning av personvernforordningen.)
5
I 2023 ble Timegrip kjøpt opp av Timeplan International Aps. Sistnevnte var etablert i
Aalborg i Danmark. I 2024 slo Timeplan seg sammen med et annet selskap, TimeMap. Siden
2025 har denne sammenslutningen gått under navnet Timegrip. Den endrede
selskapsstrukturen har ikke hatt betydning for Datatilsynets rolle som ledende
tilsynsmyndighet i denne saken.
Artikkel 56 (1) gjelder for «grenseoverskridende behandling som utføres av nevnte
behandlingsansvarlig». Datatilsynet tolker ordlyden slik at den ledende tilsynsmyndigheten er
datatilsynet i det landet hvor den behandlingsansvarlige har sin eneste etablering mens
behandlingen pågår. Hvis behandlingen stanser før den behandlingsansvarlige flytter sitt
hovedkvarter, så vil datatilsynet i det opprinnelige landet fortsatt være ledende
tilsynsmyndighet for den behandlingen.
Datatilsynet finner støtte for denne tolkningen i Det europeiske personvernrådets (EDPB)
«Opinion 8/2019 on the competance of a supervisory authority in case of a change in
circumstances relating to the main or single establishment». Uttalelsen slår fast at endringer i
den behandlingsansvarliges hovedetablering eller eneste etablering kun er relevant i tilfeller
det en overtredelse er pågående.2
Klagen gjelder Timegrips avslag på klagers innsynskrav 18. juni 2020. Behandlingen var
avsluttet da Timegrip ble kjøpt opp i 2023. Datatilsynet er derfor ledende tilsynsmyndighet
for behandlingen som denne saken gjelder.
4. Rettslig bakgrunn
Begrepene «personopplysninger» og «behandling»
Personopplysningsloven § 1 gjør at personvernforordningen (GDPR) gjelder som norsk lov.
Ifølge artikkel 2 i forordningen gjelder den «helt eller delvis automatisert behandling av
personopplysninger og på ikke-automatisert behandling av personopplysninger som inngår i
eller skal inngå i et register».
En personopplysning er definert i forordningens artikkel 4 (1) som «enhver opplysning om en
identifisert eller identifiserbar fysisk person». Begrepet favner svært vidt og omfatter alle
opplysninger som sier noe om enkeltpersoner.
Hva som utgjør en behandling er definert i artikkel 4 (2) som «enhver operasjon eller rekke av
operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. (…)
lagring (…), utlevering ved overføring (…).» Behandlingsbegrepet favner også vidt, og det
omfatter så å si enhver håndtering av personopplysninger.
Den registrertes rett til innsyn i egne personopplysninger
2 Opinion 8/2019 on the competance of a supervisory authority in case of a change in circumstances relating to
the main or single establishment, avsnitt 16.
6
Artikkel 15 (1) i forordningen slår fast at enhver har rett til innsyn i personopplysninger om
seg selv:
«Den registrerte skal ha rett til å få den behandlingsansvarliges bekreftelse på om
personopplysninger om vedkommende behandles, og, dersom dette er tilfellet, innsyn i
personopplysningene (…)»
Ved mottak av et krav om innsyn skal den behandlingsansvarlige gjøre personopplysningene
tilgjengelig eller gi en kopi av dem, jf. personvernforordningen artikkel 15 (3.)
Artikkel 12 (5) slår fast at den registrerte som hovedregel skal få innsyn i
personopplysningene gratis.
Den behandlingsansvarlige
Det er den behandlingsansvarlige som plikter å gi den registrerte innsyn i sine
personopplysninger. Artikkel 4 (7) forordningen definerer begrepet som:
«en fysisk eller juridisk person (…) som alene eller sammen med andre bestemmer
formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes
(…)»
Databehandleren
Artikkel 4 (8) inneholder definisjonen på en databehandler:
«en fysisk eller juridisk person (…) som behandler personopplysninger på vegne av
den behandlingsansvarlige»
Databehandleren er med andre ord underordnet den behandlingsansvarlige og bestemmer ikke
formålet med behandlingen eller hvordan den skal innrettes.
Etter personvernforordningen artikkel 28 plikter den behandlingsansvarlige og
databehandleren plikter å lage en skriftlig avtale, eller et annet rettslig dokument, som
fastsetter rammene for databehandlerens håndtering av personopplysningene. I praksis er dette
ofte en databehandleravtale. Databehandleravtalen må blant annet inneholde vilkår om at
databehandleren:
• bistår, idet det tas hensyn til behandlingens art og i den grad det er mulig, ved hjelp av
egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle
vedkommendes plikt til å svare på anmodninger som den registrerte inngir med
henblikk på å utøve sine rettigheter fastsatt i personvernforordningen kapittel III, jf.
personvernforordningen artikkel 28 (3), bokstav e).
7
• etter den behandlingsansvarliges valg, sletter eller tilbakeleverer alle
personopplysninger til den behandlingsansvarlige etter at tjenestene knyttet til
behandlingen er levert, jf. personvernforordningen artikkel 28 (3), bokstav g). 7
• gjør tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å
påvise at forpliktelsene fastsatt i denne artikkel er oppfylt, jf. personvernforordningen
artikkel 28 (3), bokstav h).
Timegrip og Enklere Liv inngikk en databehandleravtale 8. november 2018.
Personvernforordningen artikkel 28 (10) fastsetter at dersom en databehandler overtrer
bestemmelsene i denne forordning ved selv å fastsette formålene med og midlene for
behandlingen, skal databehandleren anses for å være en behandlingsansvarlig med hensyn til
nevnte behandling.
5. Datatilsynets vurdering av om klager hadde rett til innsyn
Saken gjelder klagers rett til å få innsyn i timelistene hans for perioden 16.–24. mars 2020.
Timegrip hevdet i brevet til klager 23. juni 2020 og e-post til Datatilsynet 5. november 2024
at Namsfogden allerede hadde tatt stilling til spørsmålet. Det stemmer ikke. Namsfogdens
avgjørelse gjaldt et spørsmål om Timegrips medvirkningsplikt ovenfor konkursboet etter
konkursloven § 18a. Klagers rett til innsyn etter personvernforordningen ble ikke behandlet i
den saken, og avgjørelsen har ikke betydning for spørsmålet.
Retten til innsyn i personvernforordningen artikkel 15 (1) pålegger den behandlingsansvarlige
å gi den registrerte innsyn i de personopplysningene som vedkommende behandler om den
registrerte. Ifølge artikkel 15 (3) har den registrerte rett på en kopi av opplysningene.
Spørsmålet i saken er om Timegrip brøt pliktene til å gi innsyn og å gi kopi til klager da
selskapet, i lys av Enklere Livs konkurs, avslo innsynskravet.
I brevet til klager 23. juni 2020 hevdet Timegrip det ikke eksisterte noen behandlingsansvarlig
etter Enklere Livs konkurs inntraff. Timegrip skrev at databehandleravtalen sluttet å gjelde
ved konkursen. Dersom konkursboet skulle gi instrukser om behandlingen til Timegrip, så
måtte det tre inn i tjenesteavtalen Timegrip hadde med Enklere Liv. Timegrip skrev at
selskapet kun var en databehandler og at det ikke hadde noen selvstendig råderett over
opplysningene. Derfor mente Timegrip at selskapet ikke var forpliktet til å etterkomme
klagers innsynskrav og avslo det.
Dette er en uriktig oppfatning av den rettslige situasjonen som oppsto etter konkursen. Den
behandlingsansvarlige er det grunnleggende ansvarssubjektet i personvernforordningen. En
databehandler er noen som behandler personopplysninger på vegne av den
behandlingsansvarlige. Det er den behandlingsansvarlige som har bestemt formålene og
midlene ved behandlingen. Med andre ord åpner ikke systemet i forordningen opp for at det er
mulig at det kun finnes en databehandler, uten at det finnes en behandlingsansvarlig.
8
I tråd med dette utgangpunktet slås det fast i artikkel 28 (10) at når databehandleren handler
uten instruks, eller utenfor rammene av databehandleravtalen, så vil databehandleren selv bli
behandlingsansvarlig for den behandlingen. Dette gjelder for eksempel der databehandlere
fortsetter behandlingen etter at databehandleravtalen er avsluttet.
Dermed må det ha vært noen som var behandlingsansvarlig og som hadde ansvar for å ta
stilling til klagers innsynskrav.
«Behandlingsansvarlig» er et funksjonelt begrep. Ifølge EU-domstolen må man vurdere de
reelle og faktiske omstendighetene rundt behandlingen for å ta stilling til hvem som er
behandlingsansvarlig. Det er den som rent faktisk utøver kontroll over behandlingen for sine
formål som er behandlingsansvarlig.3
Artikkel 28 (3) bokstav g) krever at databehandleravtalen inneholder bestemmelser om hva
databehandleren når tjenestene knyttet til behandlingen avsluttes. Databehandleravtalen
mellom Enklere Liv og Timegrip inneholdt en slik bestemmelse:
«Ved opphør av denne avtalen plikter databehandler å tilbakelevere alle opplysninger
som er mottatt på vegne av den behandlingsansvarlige og som omfattes av denne
avtalen.
Databehandler plikter å slette eller forsvarlig destruere all lagret informasjon på alle
i de tjenester som er levert i forbindelse med hovedavtalen for leveranse av IT-
tjenester. Dette gjelder også for eventuelle sikkerhetskopier av de samme tjenester.
Databehandler skal skriftlig dokumentere at sletting og eller destruksjon er foretatt
etter at leveransen har opphørt.»
Selv om Timegrip hevdet at selskapet var en databehandler, og at databehandleravtalen hadde
sluttet å gjelde, så gjorde det ikke noen forsøk på å identifisere den behandlingsansvarlige for
å avklare hva som skulle skjedde med personopplysningene. Isteden fortsatte Timegrip
behandlingen inntil det var «100% sikkert at konkursselskapet nedlegges».
Det fremgår av e-postene mellom Timegrip og konkursboet 25. mars 2020 at boet ikke hadde
tilgang personopplysningene. Konkursboet kunne heller ikke bestemme over opplysningene
ettersom Timegrip ikke godtok dets instrukser. Timegrip ville bare gi boet tilgang til dem
dersom det dekket selskapets utestående fordringer mot Enklere Liv. Konkursboets e-poster
til klager 17. og 23. juni 2020 underbygger dette.
Da klager ba om innsyn i timelistene sine var det bare Timegrip som hadde reell kontroll over
personopplysningene. Det var Timegrip som lagret opplysningene og som bestemte hva de
skulle brukes til. Det var også Timegrip som bestemte hvem som skulle få tilgang til
3 Se C-40/17 (Fashion ID), avsnitt 67-68. Se også avsnitt 20 i Personvernrådets retningslinjer om begrepene
«behandlingsansvarlig» og «databehandler» (EDPB Guidelines 07/2020 on the concepts of controller and
processor in the GDPR).
9
opplysningene. Det fremgår også av brevet 23. juni 2020 at selskapet bestemte hvor lenge
lagringen skulle fortsette og når det eventuelt ville slette personopplysningene.
Selskapet bestemte altså formålet med den fortsatte lagringen av klagers personopplysninger.
Videre har Det europeiske personvernrådet (EDPB) uttalt at det går et skille mellom
avgjørelser om essensielle midler og avgjørelser om ikke-essensielle midler. En databehandler
kan ta avgjørelser om ikke-essensielle midler, for eksempel hvilken maskin- eller
programvare som skal benyttes samt detaljer om sikkerhetstiltak. Når det gjelder avgjørelser
om essensielle midler, er disse såpass tett knyttet til formålet med og omfanget av
behandlingen at de er forbeholdt den behandlingsansvarlige. Eksempler på essensielle midler
inkluderer hvilke personopplysninger som skal behandles, hvor lenge de skal behandles og
hvem som skal motta personopplysningene.4 Dette er elementer som Timegrip i praksis
bestemte over. Derfor tok også Timegrip avgjørelser om essensielle midler om
personopplysningene i timelistene.
På denne bakgrunn har Datatilsynet kommet frem til at Timegrip var behandlingsansvarlig for
personopplysningene klager ba om innsyn i da selskapet tok stilling til innsynskravet.
Timegrip hadde ikke grunnlag til å avslå klagers innsynskrav. Det var tydelig formulert og
klart avgrenset. Det var heller ingen rimelig grunn til å betvile hans identitet eller grunn til å
tro at innsyn ville ha virket negativt på andres rettigheter og friheter.
Timegrips tvist med konkursboet om betaling av udekte fordringer er ikke et grunnlag for å
nekte å gi klager innsyn. Timegrip har påpekt flere ganger, blant annet i tilsvaret 11. juni
2025, at det tilbød konkursboet tilgang til rådataene i deres systemer og at selskapet ikke var
forpliktet til å dele ferdig genererte timelister til boet uten godtgjørelse. Timegrip skrev i
brevet 23. juni 2020 selskapet kunne dele rådata med konkursboet «på et betalt oppdrag» og
bare hvis konkursboet inngikk en ny databehandleravtale.
Om Timegrip skulle blitt kompensert av konkursboet for å gi det tilgang til
personopplysningene eller å svare på innsynskrav fra de registrerte er et avtalerettslig
spørsmål som ikke er regulert i personvernforordningen. Denne saken gjelder klagers rett på
innsyn i og kopi av de etterspurte personopplysningene. Det var bare Timegrip som hadde
reell kontroll over personopplysningene, og selskapet avslo innsynskravet uten gyldig grunn.
I tilsvaret 11. juni 2025 anførte Timegrip at klager bare hadde rett til innsyn i rådataene, og at
han ikke hadde krav på en ferdig generert timeliste. Datatilsynet trenger ikke å ta stilling til
hvilken form personopplysningene skulle hatt siden klager ikke fikk tilgang til
personopplysningene i det hele tatt.
Datatilsynets konklusjon er at Timegrip var behandlingsansvarlig da selskapet nektet å
etterkomme klagers innsynskrav 18. juni 2020. Timegrip hadde ikke gyldig grunnlag for å
4 Se avsnitt 40 med påfølgende eksempler i Personvernrådets retningslinjer om begrepene
«behandlingsansvarlig» og «databehandler» (EDPB Guidelines 07/2020 on the concepts of controller and
processor in the GDPR).
10
avslå innsynskravet og krenket dermed klagers rett til innsyn etter personvernforordningen
artikkel 15 (1) og (3).
6. Valg av korrektive tiltak
6.1. Pålegg
I klagen 30. juni 2020 ba klager om at Timegrip ble pålagt å utlevere personopplysningene
han etterspurte.
I telefonsamtalen med klager 13. mars 2024 forklarte han at han hadde mottatt betaling fra
NAVs lønnsgarantifond og at han ikke lenger hadde behov for personopplysningene. I
tilsvaret 11. juni 2025 opplyste Timegrip at personopplysningene var slettet.
Dermed er det ikke behov for å ilegge Timegrip et pålegg om å etterkomme innsynskravet.
6.2. Ileggelse av overtredelsesgebyr
6.2.1. Om vilkårene for å ilegge overtredelsesgebyr
Overtredelsesgebyr er et virkemiddel for å sikre effektiv etterlevelse og håndhevelse av
personopplysningsregelverket.
I samsvar med Høyesteretts praksis, jf. Rt-2012-1556, legger vi til grunn at
overtredelsesgebyr er å anse som straff etter Den europeiske menneskerettighetskonvensjonen
(EMK) artikkel 6. Det kreves derfor klar sannsynlighetsovervekt for overtredelse for å kunne
ilegge gebyr.
Forvaltningsloven § 46 første avsnitt presiserer at det er gjelder et skyldkrav for å ilegge
administrative sanksjoner. Med mindre noe annet er bestemt er skyldkravet uaktsomhet. En
virksomhet kan ha opptrådt uaktsomt, selv om ingen enkeltperson kan klandres for
overtredelsen.
Personopplysningsloven § 26 slår fast at Datatilsynet kan ilegger overtredelsesgebyr i tråd
med vilkårene i personvernforordningen artikkel 83. Ordlyden i den sistnevnte bestemmelsen
stiller ikke opp et uttrykkelig skyldkrav, men EU-domstolen har slått fast at virksomheten må
ha utvist uaktsomhet eller forsett med hensyn til overtredelsen for å kunne ilegges
overtredelsesgebyr.5 Det er derimot ikke nødvendig at en identifisert enkeltperson i
virksomheten har handlet uaktsomt.6 Det er tilstrekkelig at virksomheten som helhet burde ha
klart å unngå overtredelsen.
6.2.2. Begrunnelse for å ilegge overtredelsesgebyr
5 Se punkt 2 i domsslutningen i C-807/21 (Deutsche Wohnen).
6 Se punkt 1 i domsslutningen i C-807/21 (Deutsche Wohnen).
11
Ifølge personvernforordningen artikkel 83 (1) skal overtredelsesgebyret være virkningsfullt,
stå i et rimelig forhold til overtredelsen og virke avskrekkende.
Ved avgjørelsen av om det skal ilegges overtredelsesgebyr må Datatilsynet konkret vurdere
momentene i artikkel 83 (2) bokstav a) – k) opp imot den overordnede vurderingsnormen i
artikkel 83 (1).
Et av de sentrale formålene med personvernforordningen er å sikre en konsekvent og lik
anvendelse av regelverket i alle EU/EØS-statene, herunder ved ileggelsen av
overtredelsesgebyr.7 Det skal sikre et høyt beskyttelsesnivå i hele EØS. Artikkel 70 (1)
bokstav k) slår fast at en av Personvernrådets oppgaver er å lage retningslinjer for om
fastsettingen av overtredelsesgebyr.
Artikkel 29-gruppen vedtok slike retningslinjer i 2017.8 På side 6 i dokumentet står det:
«Like all corrective measures in general, administrative fines should adequately
respond to the nature, gravity and consequences of the breach, and supervisory
authorities must assess all the facts of the case in a manner that is consistent and
objectively justified. The assessment of what is effective, proportional and dissuasive
in each case will have to also reflect the objective pursued by the corrective measure
chosen, that is either to reestablish compliance with the rules, or to punish unlawful
behavior (or both).»
I de følgende avsnittene vurderer Datatilsynet momentene i artikkel 83 (2), i tråd med
metodologien i Personvernrådets retningslinjer.
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til
den berørte behandlingens art, omfang eller formål samt antall registrerte som er
berørt, og omfanget av den skade de har lidd
Overtredelsens karakter er et brudd på den registrertes rettigheter, i dette tilfellet retten til
innsyn. Den er en grunnleggende del av personopplysningsvernet fordi den er en forutsetning
for den registrerte til å utøve sine øvrige rettigheter og for å ha kontroll over sine
personopplysninger.
Datatilsynet regner dette som en alvorlig overtredelse som belyser behovet for en rett til
innsyn i egne personopplysninger. Klager hadde mistet jobben og inntekten sin, og han var i
en sårbar posisjon. Klagers krav om ubetalt lønn gjaldt en ukes utført arbeid, og saken
illustrerer arbeidstakeres behov for enkel tilgang til personopplysninger fra deres arbeidsgiver.
Slik tilgang lar dem for eksempel gjennomgå lønninger for å oppdage mulige feil. I dette
tilfellet var Timegrip klar over at klager trengte innsyn i timelistene for å fremme sitt
7 Se fortalepunkt 10 og 150 i personvernforordningen.
8 Article 29 Working Party, Guidelines on the application and setting of administrative fines for the purposes of
the Regulation 2016/679 (WP253).
12
lønnskrav mot konkursboet. Timegrip mottok totalt 80 innsynskrav fra tidligere ansatte i
Enklere Liv som var i en lignende situasjon som klager.
Overtredelsen var alvorlig og rammet 80 registrerte.
Overtredelsen var en enkelthendelse, så Datatilsynet vurderer varigheten av overtredelsen som
verken skjerpende eller formildende.
Når det gjelder arten, omfanget og formålet med behandlingen legger Datatilsynet vekt på at
den ligger i kjerneområdet av Timegrips virksomhet. Selskapet leverer timeføringssystemer
for kunder som vil ha oversikt over sine ansattes utførte arbeid. Dette er behandling som har
stor betydning for ansatte, og formålet med behandling er å sikre korrekt lønnsutbetaling.
Timegrip må være kjent med de registrertes behov for innsyn i slike personopplysninger.
Det er noe formildende at det ulovlige avslaget av innsynskravene skjedde i en uoversiktlig
situasjon. Konkurser er ofte uoversiktlige, og det er ikke alltid innlysende hva en
databehandler skal gjøre dersom det er den behandlingsansvarlige som har gått konkurs.
Samtidig er konkurser en alminnelig del av næringslivet, og det fremgår av brevet 23. juni
2020 at Timegrip ikke var fremmed for tilfeller hvor en kunde gikk konkurs. Dette momentet
har dermed begrenset betydning.
Timegrip hevdet i tilsvaret 11. juni 2025 at de registrerte bare ble berørt av overtredelsen i
begrenset grad. Ifølge selskapet var konkursboets krav til dokumentasjon av lønnskrav
urimelig og fulgte ikke normal praksis. Timegrip hevdet at de registrerte burde ha skrevet ned
hvilke timer de krevde lønn for og fått sine overordnende til å bekrefte dette. Derfor var det
ikke Timegrips feil at klager og de andre registrerte hadde problemer med å få utbetalt
lønnskravene sine fra boet.
Datatilsynet mener at konkursboets vurdering av hva som var tilstrekkelig dokumentasjon for
lønnskravene ikke er relevant i denne saken. I dette tilfellet hadde de registrerte rett på
personopplysningene etter personvernforordningen, uavhengig av hva motivasjonen for
innsynskravene var. Timegrip avslo innsynskravene og var kjent med årsaken til at de
registrerte ba om innsyn.
Timegrip anførte også i tilsvaret at NAVs saksbehandlingstid for udekte lønnskrav er normalt
mellom 18 og 24 måneder (og var lenger under pandemien), og at selskapets avslag ikke førte
til forlenget tid før de registrerte fikk lønningene de hadde krav på.
Ubetalte lønnskrav skal sendes til konkursboet, og det er boets oppgave å vurdere om kravene
er tilstrekkelig dokumenterte før de sendes til NAV. Innsynskravene omfattet de
opplysningene som boet hadde spurt de registrerte om å oppgi. Det ulovlige avslaget av
innsynskravene førte til en forlenget prosess for de registrerte før kravene ble sendt til NAV.
Samlet sett vurderer Datatilsynet elementene under bokstav a) som skjerpende.
b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt
13
Datatilsynet tolker artikkel 83 (2) bokstav b) slik at overtredelse begås forsettlig blant annet
når noen med hensikt gjør en handling som er i strid med personvernforordningen. Det
sammenfaller med forsettsbegrepet slik det er definert i straffeloven § 22 første avsnitt
bokstav a). Ifølge straffeloven § 22 andre avsnitt er handlingen forsettlig selv om den som
begår handlingen ikke er klar over at den er ulovlig.
Datatilsynet er ikke tvil om at Timegrip begikk overtredelsen forsettlig. Selskapet var klar
over at det avslo innsynskravene fra de tidligere ansatte i Enklere Liv. Det fremgår klart av
brevet 23. juni 2020 at avslo innsynskravene med viten og vilje. Det er også klart i brevet at
selskapet var klar over at de ba om innsyn for å få dokumentasjon til deres lønnskrav mot
konkursboet.
I tilsvaret 11. juni 2025 anførte Timegrip at avslaget ble gjort på bakgrunn av en uriktig
oppfatning av personvernforordningen. Timegrip var ikke klar over at avslaget var ulovlig.
Timegrip viste til brevet 23. juni 2020 hvor selskapet skrev at det ikke kunne gi innsyn uten
en instruks fra behandlingsansvarlig, samtidig som at det ikke eksisterte en
behandlingsansvarlig som kunne gi en slik instruks.
Det følger av straffeloven § 26 at den som er ukjent med at handlingen er ulovlig på
handlingstidspunktet straffes dersom uvitenheten om rettsregelen var uaktsom. Datatilsynet
tar utgangspunkt i definisjonen av uaktsomhet i straffeloven § 23:
«Den som handler i strid med kravet til forsvarlig opptreden på et område, og som ut
fra sine personlige forutsetninger kan bebreides, er uaktsom.
Uaktsomheten er grov dersom handlingen er svært klanderverdig og det er grunnlag
for sterk bebreidelse.»
Terskelen for ikke å ha vært uaktsom om rettsreglene er meget høy. Kravene til forsvarlig
opptreden i forbindelse med tolkning av rettsregler er strenge, og det skal svært mye til for at
man skal anse rettsvillfarelse som unnskyldelig.9
I tilsvaret 11. juni 2025 skrev Timegrip at konkurser er ofte kaotiske, og at man ikke kan
forvente at en databehandler klarer å få god oversikt over situasjonen før konkursboet gjør
det. Timegrip viste til at databehandleravtalen ikke uttrykkelig regulerte hva som skulle skje
dersom Enklere Liv gikk konkurs. Konkursboet var et annet rettssubjekt enn Enklere Liv så
personopplysningene kunne ikke utleveres til boet. Sletting av dataene var ikke en god
løsning. Timegrip hevdet også at det var uklart akkurat når selskapet ble behandlingsansvarlig
for dataene. Samlet sett anførte Timegrip at det var urimelig å forvente at selskapet skulle ha
handlet annerledes i denne situasjonen.
Datatilsynet forstår at situasjonen etter Enklere Livs konkurs ikke var helt klar, og at det ikke
var hensiktsmessig å slette personopplysningene da selskapet ble kjent med konkursen.
9 Se avsnitt 12 i Høyesteretts avgjørelse HR-2012-1694-A.
14
Samtidig er Timegrips hovedvirksomhet å levere timebehandlingssystemer for andre
forretningskunder. Behandling av personopplysninger er en kjerneoppgave for selskapet. Man
kan forvente at et slikt selskap forstår det grunnleggende systemet i personvernforordningen,
herunder fordelingen av ansvar mellom behandlingsansvarlig og databehandler og at det alltid
finnes en behandlingsansvarlig for behandlingen.
Da Timegrip mottok innsynskravene må selskapet ha vært klar over at det var den eneste som
hadde reell kontroll over personopplysningene. Selskapet erkjente ingen andre som
behandlingsansvarlig, det var kun Timegrip som kunne svare på innsynskravene, og den
logiske følgen var at Timegrip var blitt behandlingsansvarlig. Dersom det ikke selv var
behandlingsansvarlig, så skulle selskapet ettersøkt instruks fra den behandlingsansvarlige.
Videre var Timegrips oppfatning av den rettslige situasjonen selvmotsigende. Timegrip
hevdet at å utlevere personopplysningene ville stride mot databehandleravtalen. Samtidig
hevdet selskapet i brevet 23. juni 2020 at avtalen sluttet å gjelde da Enklere Liv gikk konkurs.
Det er også klart i e-postene mellom Timegrip og boet 25. mars 2020 at Timegrip mente at det
kunne utlevere personopplysninger til konkursboet hvis sistnevnte inngikk en ny avtale med
Timegrip. Dersom Timegrip anså seg bundet av databehandleravtalen, så hadde det ingen rett
til å inngå en avtale med konkursboet, et annet rettssubjekt. Disse selvmotsigelsene burde ha
vært grunn for Timegrip til å vurdere på nytt om deres oppfatning av rettsreglene var holdbar.
I tilsvaret 11. juni 2025 hevdet Timegrip at selskapet handlet i god tro om rettsreglene, basert
på råd fra Datatilsynet. I brevet 23. juni 2020 hevdet Timegrip at «alt var avklart» med
juridisk avdeling i Datatilsynet. I tilsvaret forklarte Timegrip at selskapet selv ikke hadde vært
i kontakt med Datatilsynet. Timegrip fikk råd fra eksterne advokater. Disse hadde angivelig
basert sine råd delvis på en samtale med daværende juridisk direktør og en seksjonssjef i
Datatilsynet. Timegrip forklarte at denne samtalen var av en generell karakter og nevnte ikke
Timegrip eller detaljene i saken.
Datatilsynet regner det som svært usannsynlig at vi har gitt så klare råd om saken at Timegrip
kunne avslå innsynskravene i god tro. Datatilsynet gir ikke rettslige råd i konkrete saker. Vi
har ingen dokumentasjon på at et slikt møte har funnet sted og heller ingen referater som gjør
rede for hva våre representanter skal ha sagt. Beskrivelsen av samtalen i Timegrips tilsvar
viser at den skal ha handlet om plikten til å utlevere timelister til et konkursbo. Det virker ikke
som om problemstillingen om de registrertes rett til innsyn etter personvernforordningen
artikkel 15 ble nevnt.
Datatilsynets konklusjon er at Timegrips uriktige oppfatning av rettsregelen ikke var
unnskyldelig. Overtredelsen ble begått forsettlig, noe som er et skjerpende element. Likevel
ligger Timegrips grad av skyld i det nedre sjiktet. Dette vil bli reflektert i utmålingen av
gebyret.
c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å
begrense skaden som de registrerte har lidd
15
I Timegrips e-post til Datatilsynet 5. november 2024 skrev selskapet at klager aldri fikk
innsyn i personopplysningene og at det aldri uleverte opplysningene til konkursboet eller til
NAV. Personopplysningene ble slettet 14. august 2020.
Datatilsynet vektlegger ikke dette momentet verken i formidlende eller i skjerpende retning.
d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas
hensyn til de tekniske og organisatoriske tiltak de har gjennomført i henhold til
artikkel 25 og 32
Dette er ikke et relevant moment i saken.
e) eventuelle relevante tidligere overtredelser begått av den behandlingsansvarlige eller
databehandleren
Dette er ikke et relevant moment i saken.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere
de mulige negative virkningene av den
Timegrip har svart på de spørsmål Datatilsynet har stilt i forbindelse med undersøkelsene og
gitt oss dokumentasjonen vi har etterspurt.
Dette momentet har verken skjerpende eller formildende betydning.
g) kategoriene av personopplysninger som er berørt av overtredelsen
Timegrip var klar over at de som ba om innsyn i timelistene sine trengte dem for å
dokumentere lønnskravene sine mot konkursboet. Selskapet var dermed klar over at
opplysningene hadde stor betydning for dem.
Dette er et skjerpende moment i saken.
h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og
eventuelt i hvilken grad den behandlingsansvarlige eller databehandleren har
underrettet om overtredelsen
Datatilsynet ble kjent med saken som følge av at en av de registrerte klaget inn forholdet til
Datatilsynet.
Dette momentet har verken skjerpende eller formildende betydning i saken.
i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at
nevnte tiltak overholdes
16
Det er ikke truffet vedtak om tiltak etter artikkel 58 (2) mot Timegrip tidligere.
Dette momentet har verken skjerpende eller formildende betydning i saken.
j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42
Dette er ikke et relevant moment i saken.
k) enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske
fordeler som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av
overtredelsen
I varslet om overtredelsesgebyr 29. april 2025 la Datatilsynet til grunn av Timegrips avslag på
innsynskravene var delvis motivert av et ønske om å få dekning for sine utestående fordringer
mot boet. Datatilsynet skrev at Timegrip brukte sin posisjon som den som hadde reell kontroll
over dataene for å bruke innsynskravene til å legge press på konkursboet. Dette ble sterkt
vektlagt i skjerpende retning.
I tilsvaret 11. juni 2025 skrev Timegrip at selskapet mente det var andre måter konkursboet
kunne få dokumentert de registrertes lønnskrav, for eksempel ved at de ansattes overordnede
bekreftet hvor lenge de ansatte hadde jobbet. Ifølge Timegrip var dette normal praksis og
konkursboet var ikke avhengig av at Timegrip ga de registrerte innsyn i timelistene. Timegrip
viste også til at det tilbød rådataene til konkursboet, selv om brevet 23. juni 2020 viser at
selskapet bare ville gjøre mot betaling.
I lys av denne informasjonen mener Datatilsynet at det er betydelig tvil om Timegrip hadde
økonomiske motiver for å avslå innsynskravene. Derfor sees det det helt bort fra dette
momentet.
Datatilsynet erkjenner at saksbehandlingstiden har vært for lang. Likevel ble varslet 29. april
2025 sendt før utløpet av foreldelsesfristen i § 28 i personopplysningsloven. Datatilsynet har
derfor myndighet til å ilegge overtredelsesgebyr. Saksbehandlingstiden vil bli tatt med i
utmålingen.
Konklusjon
Saken gjelder forsettlig overtredelse av en grunnleggende rett til innsyn i ens
personopplysninger. Overtredelsens karakter og antallet berørte registrerte er skjerpende
elementer.
Saken viser at det er viktig for registrerte å kunne utøve sine rettigheter etter forordningen.
Klager var i en sårbar posisjon, noe Timegrip var klar over, og han ble økonomisk
skadelidende på grunn av overtredelsen. Ved avslaget skapte Timegrip en usikker situasjon
for de registrerte som ble fanget i en tvist mellom to profesjonelle parter.
17
Personvernforordningen pålegger behandlingsansvarlige og databehandlere å legge til rette for
at registrerte kan utøve sine rettigheter. Rettighetene er en av de sentrale
beskyttelsesmekanismene i forordningen. Situasjoner som denne bør unngås i fremtiden, og
en irettesettelse etter artikkel 58 (2) bokstav b) er en utilstrekkelig sanksjon.
Ifølge artikkel 83 (1) skal overtredelsesgebyr være virksfulle, avskrekkende og stå i et rimelig
forhold til overtredelsen. Et gebyr i denne saken vil fremheve alvoret av overtredelsen og
fungere som et eksempel. Samlet sett er det rimelig og forholdsmessig å ilegge et gebyr.
6.2.3. Fastsetting av gebyrets størrelse
Maksimalnivået på overtredelsen er ifølge artikkel 83 (5) 20 000 000 euro eller 4 % av den
samlede globale årsomsetningen i forrige regnskapsår. Det høyeste beløpet skal brukes som
maksgrense. Sett hen til at Timegrips omsetning ikke overstiger 500 millioner euro, er
maksimalnivået i denne saken er 20 000 000 euro, eller rundt 237,9 millioner kroner.
Overtredelsesgebyret skal være stort nok til at det er virkningsfullt, virker avskrekkende og at
det står i et rimelig forhold til overtredelsen.
Ved utmålingen av gebyrets størrelse har Datatilsynet basert seg på Personvernrådets
retningslinjer for utmåling av overtredelsesgebyr, som supplerer retningslinjene fra 2017.10
Formålet med retningslinjene er å harmonisere metodikken datatilsynsmyndighetene bruker
for å fastsette nivået på overtredelsesgebyr etter artikkel 83.
Metodikken i retningslinjene går ut på først å identifisere et utgangspunkt for fastsettelsen.
Utgangspunktet baseres på overtredelsens karakter, alvor og varighet, samt skyldgraden og
hvilke typer personopplysninger overtredelsen gjelder. Fastsettelsen skjer deretter ved at
øvrige skjerpende og formidlende elementer og selskapets omsetning vurderes for å gjøre
gebyret virkningsfullt, avskrekkende og forholdsmessig.
Her legger Datatilsynet vekt på at overtredelsen ble begått med forsett og at den gjaldt en
grunnleggende personvernrettighet for klager. Selv om Timegrip handlet forsettlig, så er
selskapets skyldgrad i det nedre sjiktet. Datatilsynet vektlegger også at avslaget på innsyn
hadde direkte økonomisk betydning for de registrerte, og at det var totalt 80 personer som fikk
et urettmessig avslag på innsyn. Timegrip var klar over at de registrerte hadde behov for
innsyn for å dokumentere sine lønnskrav.
Samlet sett mener Datatilsynet dette er en nokså alvorlig overtredelse.
Tilsynsmyndighetene skal også ta hensyn til omsetningen til den behandlingsansvarlige. I dag
er Timegrip heleid av Timeplan International Aps, og er en del av et større konsern som
bruker merkevaren Timegrip i sin virksomhet. Overtredelsen fant imidlertid sted før Timegrip
ble en del av denne konsernstrukturen, noe som innebærer at man vurdere nøye om
10 EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR.
18
overtredelsesgebyret skal regnes ut på grunnlag av omsetningen til det nye konsernet.11 I
denne saken vil det ikke være forholdsmessig å legge til grunn konsernets samlede omsetning
ved utmålingen av gebyret. Det er ikke nødvendig å gjøre det for å sikre et virkningsfullt og
avskrekkende overtredelsesgebyr. Datatilsynet bruker derfor bare omsetningen til norske
Timegrip AS i denne saken. Ifølge årsregnskapet var omsetningen på kr. 36 986 743 i 2024.
Datatilsynet skal vurdere alle relevante momenter for å sikre at gebyret er virkningsfullt,
avskrekkende og forholdsmessig.
I tilsvaret 11. juni 2025 anførte Timegrip at gebyret burde fastsettes til 0 kroner på grunn av
Datatilsynets lange saksbehandlingstid. Datatilsynet mottok klagen 30. juni 2020 og sendte
varsel om vedtak til Timegrip 58 måneder senere.
Timegrip viste til § 11a i forvaltningsloven som pålegger Datatilsynet å forberede og avgjøre
saken uten ugrunnet opphold, samt § 78 bokstav e) i straffeloven som slår fast at det skal tas
hensyn til lang saksbehandlingstid i formildende retning ved reaksjonsfastsettelsen.
Selskapet har også vist til flere avgjørelser fra Personvernnemnda hvor gebyret ble redusert på
grunn av lang saksbehandlingstid. I noen tilfeller har nemnda reduserte gebyret fullstendig
slik at det bortfalt helt. Derfor anførte Timegrip at Datatilsynet ikke har vurdert den lange
saksbehandlingstiden tilstrekkelig i fastsettelsen av gebyret.
Ifølge fortalepunkt 150 i personvernforordningen skal artikkel 83 harmonisere de
administrative sanksjonene i EØS og sikre en ensartet anvendelse av overtredelsesgebyr.
Spørsmålet i hvilken grad lang saksbehandlingstid skal være en formildende faktor ved
utmålingen bør derfor hovedsakelig være basert på EU/EØS-retten.
Spørsmålet går ut på hvordan gebyret kan være virkningsfullt, avskrekkende og
forholdsmessig jf. artikkel 83 (1) når man tar i betraktning den lange saksbehandlingstiden.
Overtredelsen fant sted lenge før varselet om overtredelsesgebyr ble sendt til Timegrip.
Varselet ble sendt to måneder før utløpet av foreldelsesfristen i personopplysningsloven § 28.
Datatilsynet mottok klagen 30. juni 2020. Timegrip ble ikke bedt om å svare på spørsmål
sakens fakta før Datatilsynet sendte et krav om redegjørelse 15. oktober 2024. Da Datatilsynet
mottok svarene 5. november 2024 behandlet vi saken så raskt som var forsvarlig.
Overtredelsen i saken var et enkelttilfelle som ligger flere år tilbake i tid. Ettersom at
Datatilsynet mottar en stor mengde klager hvert år og har begrensede ressurser, så ble ikke
denne saken riktig prioritert. Det førte til en lang periode med ren liggetid. I lys av disse
momentene mener Datatilsynet at det er rimelig at gebyret settes lavere for å sikre at
sanksjonen er forholdsmessig til overtredelsen.
11 Se C-408/12 (P – YKK), avsnitt 55 – 68. Den saken gjaldt beregningen av maksnivået for et
overtredelsesgebyr, men de samme momentene gjør seg gjeldende her.
19
Datatilsynet mener likevel at å redusere slik at det bortfaller i sin helhet ikke vil være i tråd
med kravene i artikkel 83 (1) om at gebyret skal være virkningsfullt og avskrekkende. Derfor
gjøres det en betydelig reduksjon i gebyret, men det vil ikke reduseres fullstendig.
Datatilsynet er kjent med Personvernnemndas avgjørelse i PVN-2025-30 hvor nemda slår fast
at den ikke vil videreføre sin tidligere praksis hvor gebyr bortfalt helt bort som følge av lang
saksbehandlingstid. Denne avgjørelsen kom etter at vedtaket ble sendt til vurdering av de
berørte tilsynsmyndighetene i tråd med personvernforordningen artikkel 60 (3), og den har
derfor ikke hatt betydning for utmålingen i denne saken.
Samlet sett mener Datatilsynet at overtredelsen er nokså alvorlig siden Timegrip forsettlig
avslo innsynskravene uten grunnlag, vel vitende om at de registrerte var avhengige av innsyn
for å dokumentere sine lønnskrav mot konkursboet til Enklere Liv. Det tas hensyn til at
Timegrip handlet uaktsomt med hensyn til rettsreglene. Overtredelsen skjedde for flere år
siden, og Datatilsynet er heller ikke kjent noen lignende overtredelser fra selskapet siden da.
Derfor mener Datatilsynet at et overtredelsesgebyr på 250 000 kroner vil være virkningsfullt,
avskrekkende og vil stå i et rimelig forhold til overtredelsen.
7. Søksmålsadgang
Vedtaket er fattet i tråd med personvernforordningen artikkel 56 og kapittel VII. I henhold til
§ 22 andre avsnitt i personopplysningsloven kan ikke vedtaks klages inn til
Personvernnemnda.
Vedtaket kan overprøves ved søksmål i Oslo Tingrett, jf. personvernforordningen artikkel 78
(1), personopplysningsloven § 25 og tvisteloven § 4-4 (4).
Med vennlig hilsen
Tobias Judin
seksjonssjef
Svein Gjørtz
juridisk seniorrådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
20