Sissel Beate Fuglestad
Deres referanse Vår referanse Dato
23/03206-24 30.08.2024
Vedtak om irettesettelse - utsendelse av politisk reklame på e-post
Datatilsynet mottok i august 2023 flere klager fra privatpersoner som hadde mottatt en e-post
fra Flertallspartiene i Stavanger (Arbeiderpartiet, Folkets Parti - FNB, Miljøpartiet De
Grønne, Rødt, Senterpartiet og SV). Vi besluttet å gjennomføre undersøkelser om lovligheten
av behandlingene som var gjenstand for klagene.
Vi sendte, med hjemmel i personvernforordningen artikkel 58 nr. 1, bokstav a, krav om
redegjørelse til Stavanger Arbeiderparti den 8. september 2023. Vi mottok svar den 28.
september 2023. Datatilsynet sendte krav om ytterligere redegjørelse den 1. november 2023,
som ble besvart 7. november 2023.
I brev av 22. juli 2024 varslet Datatilsynet vedtak om irettesettelse, jf.
personvernforordningen artikkel 58 nr. 2, bokstav b. I deres tilsvar av 23. august 2024 har
dere tatt vårt varsel til etterretning, og vi fatter endelig vedtak i tråd med varselet.
1. Sakens bakgrunn
Den aktuelle e-posten ble sendt 20. august 2023 i forbindelse med kommunevalget og
mottakerne var foreldre til barn i barnehager og skoler i Stavanger kommune. Foreldrenes
kontaktinformasjon hadde blitt utlevert av Stavanger kommune til Flertallspartiene i
Stavanger i medhold av offentleglova. I klagene Datatilsynet har mottatt blir det stilt spørsmål
ved lovligheten av kommunens og Flerstallspartienes behandling av personopplysninger.
Saken har også vært omtalt i media.
Gjennom Datatilsynets undersøkelse av saken, har det kommet frem at Flertallspartiene
sendte en innsynsbegjæring til felles postmottak for Oppvekst og utdanning i kommunen, på
vegne av samarbeidspartiene (Arbeiderpartiet, Folkets Parti, SV, Rødt, MDC og
Senterpartiet). Innsynsbegjæringen hadde følgene ordlyd:
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
«Hei. Kan vi få innsyn i listene over barn i barnehagealder og 1. og 2. klassinger i
Stavanger med kontaktinfo til alle foresatte. Helst også epost. Slike lister gis til både
kirker og private skoler - og er (dessverre) offentlig informasjon»
Flertallspartiene har opplyst at innsynsbegjæringen var klart avgrenset mot sensitiv
informasjon, de ønsket ikke å få utlevert navn, fødselsdato eller telefonnummer.
Gjennom innsynsbegjæringen ble det utlevert informasjon om adresser og epostadresser.
Epostadressene ble lastet opp til programmet Brevo, og informasjonen ble deretter slettet hos
Flertallspartiene. Det er også opplyst at epostadressene etter avtale skulle slettes av Brevo
etter utsendelse av de aktuelle epostene var gjennomført.
2. Datatilsynets undersøkelse
I det følgende gjennomgår Datatilsynet de ulike temaene som er vurdert i saken.
2.1. Utlevering fra Stavanger kommune
Enhver behandling av personopplysninger krever rettslig grunnlag for å være lovlig.
Personvernforordningen oppstiller ulike alternative rettslige grunnlag. I tillegg til
personvernforordningen, kan særreguleringer gi hjemmel for behandling av
personopplysninger.
Kommunens utlevering av personopplysninger ble foretatt etter krav om innsyn etter
offentleglova, og kravet til rettslig grunnlag for denne behandlingsaktiviteten anses oppfylt.
2.2. Flertallspartienes behandling av opplysninger
2.2.1. Hvilke personopplysninger som ble mottatt og behandlet av
Flertallspartiene
Gjennom redegjørelsene til Datatilsynet har Stavanger Arbeiderparti på vegne av
Flertallspartiene opplyst at de gjennom innsynskravet samlet inn kontaktinformasjon til alle
foresatte med barn i barnehagealder og de to første trinnene i grunnskolen.
Kommunen ble eksplisitt bedt om å ikke utlevere navn på foresatte eller barn, fødselsdato,
telefon o.l. Informasjonen som ble utlevert til Flertallspartiene inneholdt informasjon om
skole/trinn, gateadresse og epostadresse.
Informasjonen som ble sendt videre til Brevo bestod utelukkende av en liste med
epostadresser.
Epostadresser regnes som personopplysninger, og vi legger i det følgende til grunn at
personvernregelverket kommer til anvendelse også for utleveringen av disse opplysningene til
Brevo.
2
2.2.2. Formålet med behandlingen av personopplysninger (innhenting og videre
behandling) i forbindelse med utsendelse av epost
Et grunnleggende prinsipp i personvernregelverket er krav til formålsbestemthet. Det følger
av personvernforordningen artikkel 5 nr. 1 bokstav b) at formålet med behandlinger av
personopplysninger skal være spesifikt og uttrykkelig angitt. Formålsangivelsen bestemmer
blant annet hvilke opplysninger som er relevante og nødvendige.
Gjennom Datatilsynets undersøkelse av saken fremstår det klart at formålet til
Flertallspartiene var å først få en oversikt over foresattes kontaktinformasjon, for siden å
kunne sende ut målrettet og relevant informasjon til foreldre i forbindelse med
kommunevalget 2023.
Det er oppgitt at det var ønskelig å informere foresatte om konsekvensene for
småbarnsforeldrene med de ulike partigrupperingers standpunkt, en informasjon som ble
ansett som «allmenn-nyttig».
2.2.3. Behandlingsansvar
Datatilsynet har undersøkt hvem som er behandlingsansvarlig for innsamling av og bruk av
personopplysninger for utsendelse av e-posten som klagene dreier seg om.
Etter vårt krav om redegjørelse, er det opplyst at informasjonsinnhenting og utsendelse av
epost ble gjort på vegne av nevnte flertallspartier. Behandlingsansvaret tilligger Stavanger
Arbeiderparti.
Personvernforordningen og ansvarlighetsprinsippet forutsetter at det er klarhet om hvem som
er behandlingsansvarlig ved behandlinger av personopplysninger, også ved bruk av
databehandlere. Se blant annet artikkel 5 nr. 2 og artikkel 29.
Ved delt/felles ansvar må fordelingen av ansvaret fastsettes på en åpen måte, jf. artikkel 26.
Stavanger Arbeiderparti har opplyst at de er behandlingsansvarlige, på vegne av
Flertallspartiene. Det er ikke fremlagt noen avtale som tilsier andre ansvarsforhold.
Datatilsynet har derfor lagt til grunn at det er Stavanger Arbeiderparti som alene er
behandlingsansvarlig for behandlingene av personopplysninger saken gjelder.
2.2.4. Det rettslige grunnlaget for behandlingen(e)
2.2.4.1. Om det aktuelle grunnlaget
Når personopplysninger innhentes gjennom innsyn etter offentleglova må den videre bruken
av opplysningene skje i samsvar med reglene i personopplysningsloven og
personvernforordningen. Grunnleggende prinsipper for behandling av personopplysninger er
nedfelt i personvernforordningen art. 5 nr. 1 bokstav a - f. Prinsippet om lovlighet innebærer
at det må foreligge et rettslig grunnlag for behandlingen av personopplysninger. Det må
3
foreligge rettslig grunnlag for alle behandlingsaktiviteter som gjennomføres, i denne saken
inkludert utleveringen til Brevo og utsendelsen av eposter.
Personvernforordningen art. 6 nr. 1 inneholder seks alternative rettslige grunnlag (bokstav a -
f).
Opprinnelig anførte Stavanger Arbeiderparti at det relevante rettslige grunnlaget for deres
behandling av personopplysninger var personvernforordningen artikkel 6, nr. 1 bokstav e).
Datatilsynet tilbakeviste i brev av 1. november 2023 at dette alternativet kunne brukes for den
aktuelle behandlingen.
Stavanger Arbeiderparti har siden anført at de har rettslig grunnlag i artikkel 6, nr. 1, bokstav
f). Etter denne bestemmelsen kan behandling av personopplysninger være lovlig dersom den
er nødvendig for formål knyttet til de berettigede interessene som forfølges av den
behandlingsansvarlige. Bestemmelsen krever at det gjøres en avveining og den
behandlingsansvarlige må ta stilling til om den registrertes interesser eller rettigheter og
friheter og behov for vern av personopplysninger skal gå foran den berettigede interessen.
Den ansvarlige må følgelig både redegjøre for de berettigede interessene og vurdere om
behandlingen kan ha innvirkning på interessene til de registrerte. Dernest må det foretas en
avveining mellom disse før man kan konstatere at en behandling har rettslig grunnlag etter
alternativet i personvernforordningen artikkel 6 nr. 1 bokstav f).
Vi bemerker at det ikke utledes et krav om skriftlighet vedrørende slike vurderinger fra
personvernregelverket. Det er imidlertid vanskelig å påvise etterlevelse uten at vurderinger
dokumenteres.
Vi viser også i den sammenhengen til at informasjonsplikten i personvernforordningen
artikkel 14 nr. 2 bokstav b) innebærer at de registrerte har krav på å få den informasjonen som
er nødvendig for å sikre en rettferdig og åpen behandling. Det presiseres i bestemmelsen at
dersom det rettslige grunnlag for behandlingen følger av artikkel 6 nr. 1 bokstav f, skal det
informeres om de berettigede interessene som forfølges av den behandlingsansvarlige.
Vi ba Flertallspartiene redegjøre for interesseavveiningen som ble gjennomført før
behandlingen startet, herunder hvordan personvernhensyn ble vurdert og vektlagt, jf.
personvernforordningen art. 6 nr. 1 bokstav f. Vi ba videre om at eventuell skriftlig
dokumentasjon ble vedlagt redegjørelsen.
2.2.4.2. Vurderingene Stavanger Arbeiderparti har gjennomført
Stavanger Arbeiderparti har opplyst at vurderingene de gjennomførte ikke ble dokumentert
skriftlig.
Det er derfor vanskelig for Datatilsynet å ta stilling til om vurdering av hjemmel for
behandlingen av personopplysninger ble lovlig gjennomført. I mangel av dokumentasjon på
Stavanger Arbeiderpartis vurderinger, har vi derfor lagt til grunn den informasjonen som er
innhentet gjennom vår saksbehandling.
4
Stavanger Arbeiderparti har redegjort for hvilke berettigede interesser de har lagt til grunn. De
opplyser at eposten ble nøye vurdert i forhold til personvernforordningens art 6 nr. 1 bokstav
f, nettopp fordi det kan være krevende å vite hvilke virkemidler som er legitimt å bruke i
forbindelse med en valgkamp. De anfører at de var kjent med at den berettigede interessen
«må være lovlig, klart definert på forhånd, reell og saklig begrunnet i virksomheten».
Stavanger Arbeiderparti mener videre at det i forbindelse med en valgkamp må være innenfor
begrepet «berettiget interesse» for et politisk parti å sende ut målrettet politisk informasjon.
De viser til at det i en valgkamp er av allmenn interesse å klarlegge og informere om de
konsekvenser ulike politiske standpunkt vil kunne ha for velgerne, og at slik målrettet
informasjon er viktig for at velgerne skal kunne ta kunnskapsbaserte valg.
De anfører videre at valgkampmateriell, distribuert via epost, ikke skiller seg prinsipielt fra
valgkampmateriell distribuert via andre kanaler, så lenge epostadressene er offentlig
tilgjengelig.
Stavanger Arbeiderparti opplyser at de også vurderte alternative distribusjonsmåter av deres
politiske budskap. De hadde blant annet et tilbud fra Posten Norge AS om
målgruppespesifikke utsendelser, altså i retning av det som kalles Direct Mail (DM). Dette
alternativet ble ikke vurdert som mindre inngripende enn epostutsendelsen som ble valgt. Et
alternativ som også ble vurdert var direkte aksjoner tilknyttet barnehager, småskole m.m.,
men det ble ansett som mindre hensiktsmessige enn en epostdistribusjon.
Konklusjonen til Stavanger Arbeiderparti var at det som ledd i en politisk valgkamp må kunne
forsvares å gjennomføre en slik epostutsendelse utfra en «berettiget interesse», bl. a. for å få
ut et politisk budskap, som er hovedhensikten med å drive valgkamp.
Gjennom Datatilsynets saksbehandling har det ikke blitt dokumentert at Stavanger
Arbeiderparti har gjennomført en slik vurdering av de registrertes interesser. Det er hverken
beskrevet eller fremlagt dokumentasjon som viser at vurderingene har skjedd slik
personvernforordningen artikkel 6 nr. 1, bokstav f krever. Dette gjelder
behandlingsaktivitetene i alle ledd; innsamlingen gjennom innsynsbegjæringen til kommunen,
sammenstillingen kommunen måtte utarbeide, bearbeidelsen hos Stavanger Arbeiderparti,
oversendelsen til Brevo eller gjennom utsendelsen av eposter.
Det andre mest aktuelle alternativet ble ikke ansett mindre inngripende opp mot
personvernhensyn. I tillegg anså de at personvernhensyn var godt ivaretatt, gjennom at det ble
sendt begrenset omfang av personopplysninger, kun epostadresser, til Brevo.
2.2.4.3. Datatilsynets vurdering
Stavanger Arbeiderparti har i liten grad redegjort i for at de har vurdert de registrerte
interesser. Det er imidlertid til en viss grad gitt utrykk for at det innsynskravet de rettet mot
kommunen kunne ha noen negative virkninger, all den tid de selv i innsynsbegjæringen
bruker ordet «dessverre» om offentleglovas rekkevidde.
5
Riktignok ble flere alternative løsninger vurdert, men Datatilsynet anser at det ikke ble
gjennomført en vurdering av hvilke personvernkonsekvenser selve behandlingen utgjorde.
Saken har vakt stor interesse og har medført flere klager til Datatilsynet fra de registrerte. Det
fremstår som åpenbart for Datatilsynet at behandlingen har hatt faktisk negativ innvirkning på
de registrerte. Vi legger til grunn at denne behandlingen har fått reaksjoner blant annet fordi
den ikke var påregnelig for de den gjelder.
Innsynskravet som ble rettet mot kommunen innebar en sammenstilling av
personopplysninger som burde vært vurdert av Stavanger Arbeiderparti, selv om det er en
lovlig utlevering fra kommunens side. Utleveringen bestod av sammenstilte opplysninger som
var skreddersydd for et formål som ligger utenfor offentleglovas formål. Dette burde også
vært hensyntatt i vurderingen. Vi bemerker at de negative konsekvensene av innsynskravet
også ble påpekt av Stavanger Arbeiderparti samtidig som kravet ble fremsatt.
Alternativ til valgt løsning som ble vurdert, var direkte aksjoner tilknyttet barnehager,
småskole m.m., men det ble ansett som mindre hensiktsmessige enn en epostdistribusjon.
Stavanger Arbeiderparti ikke har godtgjort at de har kartlagt eller vurdert
personverninteressene til de registrerte ved den aktuelle behandlingen.
Personvernkonsekvensene er følgelig heller ikke vektet mot den berettigede interessen
behandlingen hadde som formål å ivareta.
Datatilsynet mener at de manglende vurderingene, som en behandlingsansvarlig er pålagt å
gjennomføre etter personvernforordningen artikkel 6 nr. 1, bokstav f, må regnes som et brudd
på personvernforordningen.
2.2.5. Bruk av databehandler
Flertallspartiene brukte tjenesten Brevo til utsendelse av eposter. Det er opplyst at Brevo kun
fikk utlevert en liste med epostadresser.
På forespørsel fra Datatilsynet er det opplyst at det ikke ble inngått databehandleravtale med
Brevo. Stavanger Arbeiderparti viser til at «Terms of Service» ble godkjent ved opprettelse av
konto og at «Privacy policy» ble lest igjennom.
Personvernforordningen artikkel 28 nr. 3 krever at behandlinger av personopplysninger som
utføres av en databehandler skal være underlagt en avtale. Bestemmelsen angir nærmere hva
en slik avtale må regulere, men det oppstilles ikke noen formkrav.
Datatilsynet har ikke undersøkt leverandøren Brevo og hvilke særskilte krav som eventuelt
skulle vært stilt i den konkrete avtalen. Vi har heller ikke gjennomgått virksomhetens «Terms
of Service» eller «Privacy policy» som det henvises til.
Vi legger til grunn at Stavanger Arbeiderparti har vurdert at avtalen med Brevo er dekkende
for behandlingen av opplysninger de skal gjennomføre på deres vegne.
6
2.3. Hvilken informasjon som er gitt til de registrerte jf. personvernforordningen art.
14.
Stavanger Arbeiderparti bekrefter at det ikke blitt gitt informasjon om behandlingen til de
registrerte, og at dette ikke er i samsvar med personvernforordningen artikkel 14.
2.4. Lagringstid for personopplysningene
Datatilsynet ba om redegjørelse for innholdet i avtalen med hensyn til sletting av
personopplysningene hos Brevo, og om det var innhentet en bekreftelse på at slettingen var
blitt gjennomført.
Stavanger Arbeiderparti har opplyst at personopplysningene ble slettet for de personene som
hadde tilgang til epostadressene dagen etter utsendelse. Personopplysningene som var lastet
opp hos Brevo, ble også slettet samme dag. Kontoen hos Brevo er også slettet, da dette var en
engangsutsendelse.
De har lagt til grunn at slettingen hos Brevo var «ikke-reversibel» og at alle data ville bli
permanent slettet senest innen 30 dager. Adresselisten (epost-adressene) ble slettet manuelt
fra kontoen i forkant av at kontoen ble slettet. Det er ikke bedt om bekreftelse fra Brevo
utover dette.
Datatilsynet legger til grunn at slettingen er gjennomført. Vi presiserer at en
databehandleravtale også skal inneholde vilkår som omfatter sletting av opplysninger, se
punkt 6.
3. Vedtak om irettesettelse
Datatilsynets saksbehandling har avdekket at behandlingen av personopplysninger i
forbindelse med Flertallspartienes e-postutsendelse av politisk budskap har medført flere
brudd på personvernregelverket.
Personvernforordningens fortale punkt 148 gir uttrykk for at det bør ilegges sanksjoner ved
brudd på forordningen, herunder overtredelsesgebyr. Fortalen åpner for at det ved mindre
overtredelser kan gis en irettesettelse i stedet for et overtredelsesgebyr. Det kan blant annet
vektlegges hvorvidt bruddet har medført en høy risiko for de registrertes rettigheter.
Datatilsynet har kommet til at det skal fattes vedtak om irettesettelse for overtredelsene. Vi
har i vurderingen lagt vekt på at innsamlingen av personopplysningene fra kommunene hadde
gyldig rettslig grunnlag gjennom offentleglova. Videre har vi lagt vekt på det ble behandlet
personopplysninger i et meget begrenset omfang, og at de ble slettes så snart formålet med
behandlingen var oppnådd. Vi anser at overtredelsene ikke utgjorde en høy risiko for de
registrertes rettigheter.
7
Datatilsynet mener likevel at det er nødvendig å reagere, og fatter med hjemmel i
personvernforordningen artikkel 58 nr. 2, bokstav b vedtak om irettesettelse for følgende
overtredelser:
1. Mangelfulle vurderinger ved bruk av personvernforordningen artikkel 6 nr. 1, bokstav
f som rettslig grunnlag for behandling av personopplysninger og
2. manglende etterlevelse av plikten til å gi informasjon om behandlingen til de
registrerte, jf. personvernforordningen artikkel 14.
Se over for nærmere begrunnelse av våre vurderinger av de forskjellige forholdene.
4. Klageadgang
Dette vedtaket kan påklages i tråd med forvaltningsloven kapittel VI. Eventuell klage må
sendes til Datatilsynet innen tre uker fra mottakelsen av vedtaket. Dersom vi opprettholder
vårt vedtak, vil saken oversendes til Personvernnemnda for behandling.
Eventuelle spørsmål kan rettes til [email protected].
Med vennlig hilsen
Camilla Nervik
seksjonssjef
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
Kopi til: STAVANGER ARBEIDERPARTI
8