ARBEIDS- OG VELFERDSETATEN
Postboks 354
8601 MO I RANA
Deres referanse Vår referanse Dato
AV29358 21/00872-11 21.06.2022
Vedtak om overtredelsesgebyr - Publisering av CV på arbeidsplassen.no - NAV
Datatilsynet viser til tidligere korrespondanse og kontakt i forbindelse med melding om brudd
på personopplysningssikkerheten (heretter avviksmelding) innsendt 17.02.21, senest vårt
varsel om vedtak om overtredelsesgebyr datert 23.05.22 samt deres svar på varsel om vedtak
datert 08.06.22.
1. Vedtak om overtredelsesgebyr
Med hjemmel i personvernforordningen art. 58 nr. 2 bokstav i, jf. art. 83 og
personopplysningsloven § 26 fattes følgende vedtak om overtredelsesgebyr:
Arbeids- og velferdsetaten (NAV) ilegges et overtredelsesgebyr på 5 000 000 –
fem millioner – kroner til statskassen for overtredelse av personvernforordningen
art. 5 nr. 1 bokstav a og personvernforordningen art. 6 nr. 1, jf. nr. 3, som følge
av behandling av personopplysninger uten rettslig grunnlag, og for overtredelse
av personvernforordningen art. 5 nr. 1 bokstav f, som følge av at
personopplysninger er blitt behandlet på en måte som ikke har sikret tilstrekkelig
sikkerhet for personopplysningene.
2. Sakens bakgrunn
NAV har siden 2001 hatt digitale løsninger for tilgjengeliggjøring av arbeidssøkeres CV for
påloggede arbeidsgivere. I februar 2019 lanserte NAV en ny løsning for publisering av CV-er
på arbeidsplassen.nav.no (heretter «arbeidsplassen»). På arbeidsplassen kan frivillige
arbeidssøkere registrere sin CV basert på samtykke. NAV har imidlertid også i
“kandidatsøket” som arbeidsgivere benytter, som standard publisert CV-er fra
allearbeidssøkere under oppfølging fra NAV. Hendelsen knytter seg til tilgjengeliggjøringen
av CV-er som ikke var basert på samtykke.
Etter en henvendelse til personvernombudet i NAV fra en registrert arbeidssøker høsten 2020,
gjennomførte NAV en ny gjennomgang av hjemmelsgrunnlaget for publisering av CV-er.
Etter gjennomgangen konkluderte NAV med at publiseringen manglet rettslig grunnlag etter
personvernforordningen art. 6 nr. 1. Videre undersøkelser konkluderte med at publiseringen
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
manglet rettslig grunnlag tilbake til 2001. NAVs vurdering er at deling av CV uten samtykke i
selvbetjente løsninger krever et supplerende rettsgrunnlag i nasjonal rett, og at bestemmelsene
i NAV-loven og arbeidsmarkedsloven som regulerer arbeidsformidling ikke hjemler en slik
behandling.
CV-ene inneholder opplysninger om de registrerte som navn, bosted, fødselsdato,
telefonnummer, e-postadresse, utdanning, arbeidserfaring og annen erfaring, kurs, førerkort,
tilgang på kjøretøy, godkjenninger (sertifiseringer og lignende), språk, oppgitte kompetanser
og jobbønsker. NAVs CV-løsning er til dels basert på fritekstfelt, og særlige kategorier
personopplysninger kan derfor også være lagt inn av brukerne.
Løsningene har også gitt mulighet for generering av kandidatlister basert på arbeidsgiveres
søk.
I tilleggsmelding datert 23.04.21 opplyses det at opplysningene som fremgår av CV-ene er
underlagt taushetsplikt etter NAV-loven § 7, og at unntaket i denne bestemmelsen som gjelder
for arbeidsformidling ikke kommer til anvendelse.
NAV har opplyst at 535 900 CV-er er omfattet av løsningen fra 2019, og anslår at det
maksimale antallet berørte i tidligere løsninger er 1,8 millioner. Vi forstår det slik at alle
virksomheter som er registrert i Aa-registeret i utgangspunktet har hatt mulighet for tilgang til
arbeidsplassen.
Arbeidsgiveres tilgang til alle CV-er for arbeidssøkere under oppfølging ble stengt 17.2.21,
og arbeidsgivere og vikarformidlere fikk beskjed om å slette eventuelt nedlastet eller lagret
informasjon. De som var, eller hadde vært, registrert i løsningen fra 2019 er varslet om
hendelsen, eller forsøkt varslet, personlig. NAV opprettet en egen side på nav.no og etablerte
varslingsbanner på registreringssidene for CV og kandidatsøk. NAV har vurdert at risikoen
for de registrerte i løsningene før 2019 ikke nødvendiggjør varsling av disse. Vedtak fattet på
feil grunnlag med bakgrunn i avviket skal omgjøres tilbake til 2016, og for vedtak fattet før
2016 skal NAV gi generell informasjon ut om feilen, og hva brukerne må gjøre for å få ny
vurdering av tidligere fattede vedtak.
3. Rettslig bakgrunn
3.1 Lovvalg
Personvernforordningen ble inkorporert i norsk rett gjennom ny personopplysningslov, som
trådte i kraft i 2018. Loven opphevet samtidig personopplysningsloven (2000) og reglene i
personopplysningsforskriften (2000).
Behandling av CV-er uten rettslig grunnlag strekker seg tilbake til 2001, før ikrafttredelsen av
personopplysningsloven 2018, men har også vedvart i tiden etter, frem til februar 2021. Det
må derfor tas stilling til om saken skal vurderes etter personopplysningsloven (2018) eller
personopplysningsloven (2000).
personopplysningsloven (2018) § 33 første ledd finnes en særskilt overgangsregel om
overtredelsesgebyr, som lyder:
2
Reglene om behandling av personopplysninger som gjaldt på
handlingstidspunktet, skal legges til grunn når det treffes vedtak om
overtredelsesgebyr. Lovgivningen på tidspunktet for avgjørelsen skal likevel
anvendes når dette fører til et gunstigere resultat for den ansvarlige.
Spørsmålet om lovvalg må altså vurderes ut fra hva som regnes som handlingstidspunktet.
Det aktuelle avviket oppsto før ikrafttredelsen av nytt regelverk den 20.07.2018, men vedvarte
frem til behandlingen av personopplysningene var brakt i samsvar med regelverket – i dette
tilfellet frem til arbeidsgiveres tilgang til CV-ene ble stengt 17.02.21. Ettersom
handlingstidspunktet i denne saken vedvarte over tid, og i tiden etter ikraftredelsesdatoen for
personopplysningsloven (2018), følger det av personopplysningsloven (2018) § 33 at saken
skal vurderes etter personopplysningsloven (2018).
Vi viser også til forarbeidene til personopplysningsloven (2018) (Prop. 56 LS (2017-2018)
side 196), hvor departementet blant annet uttaler følgende om spørsmålet om lovvalg mellom
personopplysningsloven (2000) og personopplysningsloven (2018):
Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil
måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler.
Det samme følger av Personvernnemndas praksis i saker som ble oversendt nemnda før ny lov
trådte i kraft, men som ble behandlet etter ikrafttredelsen; se for eksempel PVN-2018-05 og
PVN-2018-06.
På bakgrunn av dette er det etter vår vurdering klart at saken må vurderes etter
personopplysningsloven (2018) og personvernforordningen.
3.2. Grunnprinsippene for behandling av personopplysninger
De grunnleggende prinsippene for behandling av personopplysninger fremgår av
personvernforordningen art. 5 nr. 1 bokstav a-f.
Det følger av bokstav a at personopplysninger skal behandles på en «lovlig, rettferdig og åpen
måte med hensyn til den registrerte («lovlighet, rettferdighet og åpenhet»)», og «på en måte
som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller
ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske
eller organisatoriske tiltak («integritet og konfidensialitet»)», jf. bokstav f. Det er den
behandlingsansvarlige som har ansvar for at prinsippene overholdes, jf. art. 5 nr. 2.
3.3 Krav til rettslig grunnlag
Behandling av personopplysninger er bare lovlig dersom minst ett av de rettslige grunnlagene
i forordningen art. 6 nr. 1 bokstav a-f kommer til anvendelse. Behandlinger med grunnlag i
art. 6 nr. 1 bokstav c og e krever i tillegg supplerende rettsgrunnlag i unionsretten eller
nasjonal rett.
3.4 Særlig om ileggelse av overtredelsesgebyr
3
I henhold til forordningen art. 58 nr. 2 bokstav i, jf. personopplysningsloven § 26 andre ledd,
kan Datatilsynet ilegge offentlige myndigheter overtredelsesgebyr i tråd med reglene i
forordningen art. 83 ved brudd på regelverket.
Overtredelsesgebyr er å anse som straff i henhold til Den europeiske
menneskerettskonvensjonen art. 6. Det kreves derfor klar sannsynlighetsovervekt for lovbrudd
for å kunne ilegge gebyr.
I HR-2021-797-A la Høyesterett til grunn at objektivt ansvar for ileggelse av foretaksstraff
ikke er forenlig med straffebegrepet i Den europeiske menneskerettskonvensjonen, slik det er
tolket av Den europeiske menneskerettsdomstolen. Dette innebærer at det oppstilles et krav
om at den som har opptrådt på vegne av foretaket har utvist alminnelig uaktsomhet1.
Vilkårene for ileggelse av gebyr fremgår av forordningen art. 83. Bestemmelsen gir i
utgangspunktet anvisning på at ileggelse av overtredelsesgebyr beror på en skjønnsmessig
helhetsvurdering, men legger føringer på skjønnsutøvelsen ved å trekke frem momenter som
skal tillegges særlig vekt.
Når det gjelder gebyrets størrelse, angir art. 83 nr. 4 og 5 maksimumssatser for gebyrets
størrelse avhengig av hvilke bestemmelser i forordningen som er overtrådt. De samme
momentene som ved vurdering av om gebyr skal ilegges, skal tillegges særlig vekt også ved
utmålingen. Gebyret bør settes så høyt at det får virkning også utover den konkrete saken,
samtidig som gebyrets størrelse må stå i et rimelig forhold til overtredelsen og virksomheten,
jf. art. 83 nr. 1.
4. Datatilsynets vurdering
4.1 Skyldkravet
Datatilsynet har lagt til grunn at NAV, ved arbeids- og velferdsdirektøren, har opptrådt
uaktsomt, jf. HR-2021-797-A, jf. forordningen art. 5 nr. 2, og at skyldkravet således er
oppfylt (jf. punkt 3.4 ovenfor).
4.2 Rettslig grunnlag for behandling av personopplysninger (behandlingsgrunnlag)
NAV har opplyst at art. 6 nr. 1 bokstav e, som gjelder utøvelse av offentlig myndighet, har
vært vurdert som det mest aktuelle behandlingsgrunnlaget. Behandling av personopplysninger
etter dette grunnlaget krever supplerende rettsgrunnlag i unionsretten eller nasjonal rett, jf. art.
6 nr. 3. Ingen andre behandlingsgrunnlag er av NAV vurdert som aktuelle.
NAV har konkludert med at rettslig grunnlag for å tilgjengeliggjøre alle arbeidssøkeres CV
for arbeidsgivere mangler fordi regelverket som regulerer arbeidsformidling, herunder
arbeidsmarkedsloven § 10 og NAV-loven § 4, ikke hjemler en slik behandling. NAV har
innhentet en ekstern juridisk vurdering fra advokatfirmaet Wiersholm som sier seg enig i
NAVs vurdering. Bestemmelsene i arbeidsmarkedsloven og NAV-loven som gjelder
1
Justis- og beredskapsdepartementets orientering av 12. mai 2021, oversendt i brev av 02.06.21 fra Kommunal-
og moderniseringsdepartementet.
4
arbeidsformidling stiller krav til en aktiv kobling mellom arbeidssøker og arbeidsgiver, som
selvbetjeningsløsningen på arbeidsplassen og de i tidligere løsningene, ikke tilfredsstiller.
NAV står nærmest til å fortolke regelverket som regulerer NAVs egne oppgaver, og vi legger
til grunn den vurderingen NAV har gjort av sine hjemler for arbeidsformidling. På bakgrunn
av dette kommer vi til at NAV har brutt kravet til rettslig grunnlag for behandling av
personopplysninger i forordningen art. 6 nr. 1, jf. nr. 3.
Behandling av personopplysninger uten rettslig grunnlag etter art. 6 nr. 1 er heller ikke i
samsvar med det grunnleggende kravet i personvernforordningen art. 5 nr. 1 bokstav a.
4.3 Informasjonssikkerhet
Opplysningene som fremgår av CV-ene er taushetsbelagte i henhold til NAV-loven § 7. NAV
har selv lagt til grunn at den aktuelle publiseringen av personopplysninger er i strid med
denne taushetspliktbestemmelsen. NAV har konkludert med at unntaket i bestemmelsen som
gjelder for arbeidsformidling ikke kommer til anvendelse, på bakgrunn av vurderingen av
hvilke krav som stilles til arbeidsformidling, jf. punkt 4.1.
Vi har lagt NAVs vurdering til grunn, og vi har kommet til at bruddet på den lovpålagte
taushetsplikten også vil innebære et brudd på prinsippet om konfidensialitet etter
personvernforordningen art. 5 nr. 1 bokstav f.
4.3 Ileggelse av overtredelsesgebyr
Datatilsynet har kommet til at NAV har brutt personvernforordningen art. 6 nr. 1, jf. nr. 3. I
tillegg har vi kommet til at både personvernforordningen art. 5 nr. 1 bokstav a og
forordningen art. 5 nr. 1 bokstav f er overtrådt. Det foreligger dermed flere lovbrudd som kan
gi grunnlag for ileggelse av overtredelsesgebyr.
Hendelsen har i stor grad funnet sted før personopplysningslovens og
personvernforordningens ikrafttredelse i 2018. Datatilsynet kunne også tidligere ilegge
overtredelsesgebyr, jf. personopplysningsloven (2000) § 46, men beløpet var da begrenset til
inntil 10 ganger folketrygdens grunnbeløp (p.t. ca. 1 060 000 NOK). Vi viser imidlertid til
drøftelsen under punkt 3.1, og legger til grunn at gebyret skal utmåles etter nytt regelverk.
Det er dermed grunnlag for å ilegge NAV et overtredelsesgebyr på inntil 20 000 000 euro (p.t.
ca. 200 000 000 NOK), jf. forordningens artikkel 83 nr. 5. Vi vil likevel se hen til at avviket i
også har pågått i perioden da tidligere personvernregelverk gjaldt.
Forordningen art. 83 nr. 2 oppstiller momenter som skal tas hensyn til ved avgjørelsen om
hvorvidt det skal ilegges overtredelsesgebyr samt om overtredelsesgebyrets størrelse. Under
følger vår vurdering av de momentene vi anser som relevante i vurderingen av om
overtredelsesgebyr skal ilegges;
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den
berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og
omfanget av den skade de har lidd,
5
NAV har brutt grunnleggende krav for behandling av personopplysninger – kravet til rettslig
grunnlag i art. 6 nr. 1 og prinsippene i art. 5 nr. 1 bokstav a og f.
Tilgjengeliggjøringen av CV-er på arbeidsplassen eller lignende løsninger har pågått i ca. 20
år, og et svært stort antall registrerte er berørt, jf. punkt 2 ovenfor.
Behandlingens formål har vært å gjøre brukernes opplysninger tilgjengelige, og
behandlingen har vært brukt som et vilkår for å motta eller beholde tjenester og ytelser fra
NAV, overfor personer som er under oppfølging. Noen av disse kan ha fått vedtak om stans i
ytelser for ikke å ha oppfylt vilkåret.
b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt,
Lovbruddet har skjedd fordi NAV ikke oppdaget, i løpet av årene arbeidsplassen og lignende
løsninger har vært i bruk, at nasjonal rett ikke hjemler publisering av CV-er i selvbetjente
løsninger, se punkt 4.1. over. Kravet om aktiv kobling mellom arbeidssøker og arbeidsgiver
ved arbeidsformidling fremgår av forarbeidene til regelverk NAV selv forvalter.
Datatilsynet finner at NAV, ved arbeids- og velferdsdirektøren, har opptrådt uaktsomt, jf. HR-
2021-797-A, jf. forordningen art. 5 nr. 2.
c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense
skaden som de registrerte har lidd,
Arbeidsgiveres tilgang til CV-er er stengt. Brukerne som var omfattet av avviket i den nye
løsningen fra 2019 er varslet. Informasjon om avvik i tidligere løsninger er gitt i generell form
på nav.no. NAV har gjort en manuell gjennomgang tilbake til 2016 for å avdekke og omgjøre
eventuelle ugyldige forvaltningsvedtak.
d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til
de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32,
Ikke relevant i denne saken.
e) eventuelle relevante tidligere overtredelser begått av den behandlingsansvarlige eller
databehandleren,
Det er ingen tidligere overtredelser som anses som relevante for denne saken.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de
mulige negative virkningene av den,
NAV meldte fra til tilsynsmyndigheten etter at det ble konstatert av publiseringen av CV-er
ikke hadde rettslig grunnlag, og har i etterkant sendt inn oppdateringer om tiltak og vært
tilgjengelige i saksbehandlingsprosessen.
g) kategoriene av personopplysninger som er berørt av overtredelsen,
CV-ene inneholder opplysninger som navn, bosted, fødselsdato, kontaktinformasjon,
utdanning, arbeidserfaring og annen erfaring, kurs, førerkort, tilgang på kjøretøy,
godkjenninger (sertifiseringer og lignende), språk, oppgitte kompetanser og jobbønsker.
NAVs CV-løsning er til dels basert på fritekstfelt, og særlige kategorier personopplysninger,
6
eksempelvis helseopplysninger eller opplysninger om etnisitet, kan derfor også være lagt inn
av brukerne. Vi har ikke sikre holdepunkter for at det har blitt lagt inn særlige kategorier av
personopplysninger, og av den grunn har vi ikke lagt vekt på dette i skjerpende retning.
Opplysningene er underlagt taushetsplikt etter NAV-loven § 7.
h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt
i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om
overtredelsen,
NAV sendte inn melding om brudd på personopplysningssikkerheten 17.02.21.
i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte
behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte
tiltak overholdes,
Det har ikke tidligere vært gjennomført tiltak overfor NAV med hensyn til
samme saksgjenstand.
j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente
sertifiseringsmekanismer i henhold til artikkel 42 og
Ikke relevant for saken.
k) enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler
som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen
NAV står i en særlig maktposisjon overfor brukerne, som har begrensede muligheter til å
påvirke NAVs bruk av personopplysninger, særlig i tilfeller der bruken knyttes opp mot
ytelser og tjenester den enkelte er avhengig av.
4.4 Samlet vurdering
Datatilsynet ser positivt på NAVs oppfølging av avviket, både overfor de registrerte og
tilsynsmyndigheten.
Det er likevel svært alvorlig at en myndighet som NAV mangler rettslig grunnlag for en
langvarig og inngripende behandling av personopplysninger overfor et så stort antall
registrerte. NAVs behandling av brukernes personopplysninger baserer seg i stor grad på
lovbestemte behandlingsgrunnlag. NAV har derfor et særlig ansvar for å forsikre seg om at
lovhjemlene er dekkende for behandlingen som gjøres.
Etter en samlet vurdering har Datatilsynet kommet til at NAV skal ilegges et
overtredelsesgebyr.
5. Utmåling av gebyret
I vurderingen av gebyrets størrelse, har vi vektlagt at NAV har brutt grunnleggende og
prinsipielle bestemmelser i personvernforordningen. NAV har tilgjengeliggjort
taushetsbelagte opplysninger over svært lang tid om et stort antall personer, uten
behandlingsgrunnlag, og satt denne tilgjengeliggjøringen som vilkår for å motta tjenester og
ytelser.
7
Vi har også lagt betydelig vekt på maktubalansen i forholdet mellom NAV og de enkelte
brukerne, som feilaktig har blitt informert om at registrering i løsningen har vært et vilkår for
være registrert som arbeidssøker, og dermed for å motta ytelser fra NAV.
NAV har som behandlingsansvarlig ansvar for at behandlinger som utføres er lovlige, og
avviket beror på en feiltolkning av NAVs eget regelverk.
formildende retning har vi sett hen til at NAV selv meldte avviket til oss da det ble klart at
behandlingen manglet rettslig grunnlag, og at avviket er fulgt opp på en god måte. Vi legger
også vekt på at den ulovlige behandlingen for en vesentlig del har pågått i perioden da
personopplysningsloven (2000) gjaldt.
Etter en totalvurdering av de ovennevnte momentene, og sett hen til alvorligheten i
overtredelsen og lovverkets krav om at ileggelsen av overtredelsesgebyr i hvert enkelt tilfelle
skal være virkningsfull, forholdsmessig og avskrekkende, har vi kommet til at et
overtredelsesgebyr på 5 000 000 – fem millioner – kroner anses riktig.
6. Klagerett
Dette vedtaket kan påklages innen tre uker etter at dere har mottatt dette brevet, jf.
forvaltningsloven §§ 28 og 29. En eventuell klage sendes til Datatilsynet. Dersom vi ikke tar
klagen til følge, vil saken bli sendt til Personvernnemnda for klagebehandling, jf.
personopplysningsloven § 22.
Ved spørsmål kan saksbehandler kontaktes.
Med vennlig hilsen
Janne Stang Dahl
fungerende direktør
Kristin Karlsen Lindberg
juridisk rådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
8