Forslag til endringer i personopplysningsloven for å gjennomføre forordning (EU) 2025/2518
1 Innledning
Advokatforeningens tillitsvalgte advokater utfører et omfattende frivillig og ulønnet arbeid for å ivareta rettsstaten, rettssikkerheten og menneskerettighetene. En del av dette arbeidet består i å utarbeide høringsuttalelser.
Advokatforeningens høringsarbeid er organisert i 29 lovutvalg, oppdelt etter særskilte rettsområder og rettslige interesseområder. Om lag hundre høringsuttalelser utarbeides av Advokatforeningens tillitsvalgte advokater hvert år.
Alle våre høringsuttalelser er forfattet av advokater med ekspertise innenfor det rettsområdet som lovforslaget gjelder. En ekspertise som ikke er hentet kun fra juridisk teori, men fra advokatenes praktiske erfaring med å bistå sine klienter – i den norske rettsstatens hverdag. Denne høringsuttalelsen er skrevet ut fra Advokatforeningens ønske om å bidra til gode lovgivningsprosesser og gode lover.
2 Sakens bakgrunn
2.1 Høringsforslaget
Advokatforeningen viser til Justis- og beredskapsdepartementets høring av 26. juni 2026 (ref. 26/3689) om forslag til endringer i personopplysningsloven for å gjennomføre forordning (EU) 2025/2518 om supplerende saksbehandlingsregler for håndhevelse av personvernforordningen.
Departementet foreslår at forordning (EU) 2025/2518 gjennomføres ved inkorporasjon i en ny § 20 a i personopplysningsloven. Forordningen fastsetter supplerende saksbehandlingsregler for tilsynsmyndighetenes håndtering av klager og undersøkelser i grensekryssende personvernsaker. Departementet har ikke identifisert behov for andre regelverksendringer og mener forordningen heller ikke åpner for nasjonale unntak.
2.2 Rettslig og politisk kontekst
Personvernforordningen (GDPR, forordning (EU) 2016/679) er gjennomført som norsk lov gjennom personopplysningsloven § 1. Samarbeids- og konsistensmekanismene i GDPR kapittel VII (artiklene 60–76) regulerer behandlingen av grensekryssende personvernsaker, herunder forholdet mellom ledende og berørte tilsynsmyndigheter.
Erfaringene med håndhevelse av GDPR siden 2018 har vist betydelige utfordringer knyttet til manglende harmonisering av saksbehandlingsreglene i grensekryssende saker, noe Kommisjonen identifiserte allerede i sin evaluering (COM/2020/264). Forordning (EU) 2025/2518 ble vedtatt 26. november 2025 for å bøte på disse manglene, med ikrafttredelse 1. januar 2026 og anvendelse fra 2. april 2027. Det er anvendelsesdatoen som er avgjørende for når forordningens regler må være gjennomført i norsk rett.
I EØS-rettslig sammenheng krever EØS-avtalen artikkel 7 at forordninger gjennomføres «som sådan» i nasjonal rett. Prosessuell autonomi er utgangspunktet for nasjonal regulering av forvaltningsrettslige spørsmål, noe også forordningen selv anerkjenner i fortalen punkt 3. Prinsippet begrenses imidlertid av EØS-rettens krav til effektiv og ensartet gjennomføring (effektivitets- og ekvivalensprinsippet). Datatilsynets deltakelse i Det europeiske personvernrådet (EDPB) gjennom EØS-avtalen sikrer norsk innflytelse i den europeiske personvernhåndhevelsen.
2.3 Høringsuttalelse
Denne høringsuttalelsen er utarbeidet av Advokatforeningens lovutvalg for IKT og personvern. Lovutvalget består av Gry Cathrine Steen Hvidsten (leder), Ole Martin Moe, Henriette Standnes Brochmann, Knut-Erik Jakhelln, Odd Randgaard Kleiva, Eli Karine Navestad, Torunn Hellvik Olsen og Kjetil Wick Sætre, som alle har lang erfaring og kompetanse innenfor det aktuelle rettsområdet.
Advokatforeningen er generelt positiv til gjennomføring av forordningen, som vil bidra til mer enhetlig og forutsigbar saksbehandling i grensekryssende personvernsaker. Foreningen har imidlertid enkelte merknader til departementets forslag, særlig knyttet til forholdet mellom forordningens regler og norske forvaltningsrettslige prinsipper, tilstrekkelig ressurssikring for Datatilsynet, og behovet for klargjøringer på enkelte punkter.
3 Kommentarer til forslaget
3.1 Gjennomføringsmåte – inkorporasjon i ny § 20 a
Advokatforeningen støtter gjennomføring ved inkorporasjon. Dette er i tråd med EØS-avtalens krav og gjeldende praksis for personopplysningsloven § 1. Foreningen bemerker at det er viktig at en norsk oversettelse av forordningen foreligger i god tid før ikrafttredelse.
3.2 Forholdet til forvaltningsloven
3.2.1 Behov for uttrykkelig regulering av forrang
Departementet mener det ikke er nødvendig å presisere uttrykkelig at forordningen går foran som spesialregulering i de grensekryssende sakene. Advokatforeningen mener derimot at rettsklarhet taler for at forholdet mellom forordningens regler og forvaltningslovens alminnelige regler bør klargjøres, enten i lovtekst eller i forarbeidene. Selv om sakstypene er relativt avgrensede, kan det oppstå tolkningstvil i praksis, særlig for parter og deres rådgivere som ikke er spesialisert i personvernrett. Hensynet til tilgjengelighet og forutberegnelighet tilsier at spenningspunkter mellom forordningen og forvaltningsloven adresseres eksplisitt.
3.2.2 Partsinnsyn
Forordningens artikkel 24 nr. 3 innfører absolutte unntak fra partsinnsyn for korrespondanse mellom tilsynsmyndigheter (bokstav a) og fortrolige opplysninger etter artikkel 25 nr. 1 (bokstav b). Dette representerer en mer restriktiv innsynsordning enn forvaltningslovens §§ 18–19.
Advokatforeningen påpeker at begrensningene i innsynsretten bør vurderes i lys av EMK artikkel 6, Grunnloven § 95 om rettferdig rettergang og artikkel 47 i Den europeiske unions pakt om grunnleggende rettigheter (retten til et effektivt rettsmiddel og en rettferdig rettergang), særlig i saker som kan resultere i overtredelsesgebyr av betydelig størrelse etter GDPR artikkel 83. Det bør tydeliggjøres i forarbeidene hvordan partenes kontradiktoriske rettigheter ivaretas innenfor forordningens rammer.
Foreningen har videre merknader til forholdet mellom artikkel 24 nr. 3 bokstav b og artikkel 25 nr. 2. Departementet antar at det ikke kan gis innsyn etter forvaltningsloven i dokumenter som inneholder opplysninger som er fortrolige etter artikkel 25 nr. 1. Advokatforeningen etterlyser en grundigere drøftelse av dette spenningspunktet, da forordningsteksten selv synes å reservere for at nasjonal rett kan gi videre innsyn (artikkel 25 nr. 2: «med mindre noe annet er fastsatt i nasjonal rett eller EU-retten»).
3.2.3 Taushetsplikt og fortrolige opplysninger
Artikkel 25 nr. 8 pålegger Datatilsynet å behandle opplysninger som fortrolige når de er taushetsbelagte etter avsenderstatens rett. Advokatforeningen anbefaler at det klargjøres i forarbeidene at slike opplysninger er å anse som underlagt lovbestemt taushetsplikt etter forvaltningsloven § 13, med de konsekvenser dette har for innsyn etter offentleglova § 13.
3.2.4 Avvisning og veiledningsplikt
Artikkel 4 i forordningen oppstiller en frist på to uker for å avvise klager som mangler påkrevde opplysninger. Samtidig presiserer forordningen i fortalen punkt 12 at tilsynsmyndighetene bør legge til rette for at klagere kan gi fullstendige opplysninger, for eksempel ved å tilby maler eller elektroniske skjemaer. Departementet anerkjenner at dette kan begrense den alminnelige veiledningsplikten etter forvaltningsloven § 11. Advokatforeningen mener dette punktet krever nærmere utredning. Veiledningsplikten er en grunnleggende rettssikkerhetsgaranti i norsk forvaltningsrett. Det bør vurderes om det kan etableres mekanismer som sikrer at registrerte som klager til Datatilsynet, gis tilstrekkelig veiledning til å inngi en fullstendig klage, uten at dette strider mot forordningens krav.
3.3 Klageadgang – personopplysningsloven § 22 andre ledd
Departementet ber om høringsinstansenes syn på om det bør presiseres at avgjørelser etter saksbehandlingsforordningen ikke kan påklages til Personvernnemnda. Advokatforeningen støtter en slik presisering. Formålet med gjeldende § 22 andre ledd andre punktum er å sikre at samarbeids- og konsistensmekanismene i GDPR ikke undergraves av nasjonale klageordninger. De samme hensynene gjør seg gjeldende for avgjørelser etter forordning (EU) 2025/2518, som nettopp utfyller disse mekanismene. En presisering vil bidra til rettsklarhet.
Advokatforeningen vil i forlengelsen av dette peke på et rettssikkerhetsproblem knyttet til selve vurderingen av om en sak har grensekryssende karakter etter GDPR artikkel 56. Klassifiseringen av en sak som grensekryssende har vidtrekkende prosessuelle konsekvenser: den utløser one-stop-shop-mekanismen i GDPR artikkel 56 og 60, medfører at ledende tilsynsmyndighet overtar saksbehandlingen, og innebærer, etter personopplysningsloven § 22 andre ledd, at vedtaket ikke kan påklages til Personvernnemnda. Det eneste rettsmiddelet for parten blir da søksmål for domstolene etter GDPR artikkel 78.
GDPR artikkel 4 nr. 23 definerer «grensekryssende behandling» som behandling som enten finner sted som ledd i aktiviteter ved etableringer i mer enn én medlemsstat, eller som finner sted ved én etablering, men som «i vesentlig grad påvirker eller sannsynligvis i vesentlig grad vil kunne påvirke» registrerte i mer enn én medlemsstat. Verken «i vesentlig grad» eller «påvirker» er nærmere definert i forordningen. EDPBs retningslinjer (Guidelines 8/2022) presiserer at terskelen er ment å utelukke rent bagatellmessige virkninger, men de konkrete kriteriene gir betydelig rom for skjønn. I praksis sender Datatilsynet et standardbrev til virksomheten med spørsmål for å avklare om en sak er grensekryssende, men den videre vurderingen er i liten grad formalisert. Det er uklart om og i hvilken utstrekning Datatilsynet konsulterer andre tilsynsmyndigheter som ledd i denne vurderingen, og prosessen fremstår som lite transparent for den berørte virksomheten. Etter det Advokatforeningen er kjent med, anser Datatilsynet ikke vurderingen av om en sak er grensekryssende som et enkeltvedtak som kan påklages etter forvaltningsloven §§ 28 flg. En slik tilnærming er problematisk. Etter forvaltningsloven § 2 første ledd bokstav a, jf. bokstav b, er et enkeltvedtak en avgjørelse som treffes under utøving av offentlig myndighet og som er bestemmende for rettigheter eller plikter til en eller flere bestemte personer. Klassifiseringen av en sak som grensekryssende er i høyeste grad bestemmende for partens rettigheter, idet den avskjærer klageadgangen til Personvernnemnda og overfører saksbehandlingen til en utenlandsk ledende tilsynsmyndighet. Personvernnemnda har i PVN-2023-02 lagt til grunn at Datatilsynets avvisning av en klage på grunn av manglende klagerett til Personvernnemnda er et enkeltvedtak, men det er ikke avklart om selve den underliggende klassifiseringen av grensekryssende karakter kan overprøves særskilt.
Advokatforeningen bemerker at forordning (EU) 2025/2518 innfører en mer strukturert prosedyre for vurderingen av grensekryssende karakter. Etter artikkel 3 nr. 4 skal klagemottakende tilsynsmyndighet, ved en foreløpig konklusjon («preliminary conclusion»), ta stilling til (a) om klagen gjelder grensekryssende behandling, (b) hvilken tilsynsmyndighet som antas å være ledende tilsynsmyndighet etter GDPR artikkel 56 nr. 1, og (c) om artikkel 56 nr. 2 kommer til anvendelse. Den antatte ledende tilsynsmyndigheten skal innen seks uker enten bekrefte sin kompetanse eller bringe spørsmålet inn for EDPB for tvisteløsning etter GDPR artikkel 65 nr. 1 bokstav b. Denne prosedyren representerer en forbedring sammenlignet med gjeldende praksis, men den regulerer forholdet mellom tilsynsmyndighetene og tar ikke uttrykkelig stilling til partens rett til å overprøve klassifiseringen.
Advokatforeningen anbefaler at det i forarbeidene klargjøres at Datatilsynets vurdering av om en sak har grensekryssende karakter etter GDPR artikkel 56, skal anses som et enkeltvedtak etter forvaltningsloven § 2, med den klageadgangen som følger av forvaltningslovens alminnelige regler. Alternativt bør det innføres en egen bestemmelse i personopplysningsloven som gir virksomheten rett til å kreve en formell, begrunnet beslutning om klassifiseringen, som kan prøves av Personvernnemnda eller av domstolene. En slik mekanisme er nødvendig for å ivareta virksomhetenes rettssikkerhet, ettersom klassifiseringen er bestemmende for om klageretten til Personvernnemnda avskjæres, hvilken tilsynsmyndighet som leder saksbehandlingen, og dermed for hele det prosessuelle rammeverket for saken.
3.4 Forholdet til offentleglova
Departementet legger til grunn at gjennomføringen får begrenset praktisk betydning for allmennhetens innsynsrett. Advokatforeningen er i hovedsak enig, men bemerker at økt informasjonsutveksling mellom tilsynsmyndighetene med tiden kan aktualisere spørsmål om grensedragningen mellom offentleglova og forordningens regler om fortrolighet. Det anbefales at Datatilsynet utarbeider retningslinjer for praktiseringen av offentleglovas regler i grensekryssende saker.
3.5 Registrertes rettigheter og kontradiksjon
Forordningen innfører detaljerte regler om kontradiksjon for parter som er gjenstand for en undersøkelse (artiklene 19–22) og for klagere (artiklene 16–17 og 20). Advokatforeningen anser dette som positivt og i tråd med grunnleggende rettssikkerhetsgarantier. Foreningen bemerker imidlertid følgende:
Fristene for å fremsette synspunkter (tre til seks uker, jf. artikkel 19 nr. 5 og artikkel 16 nr. 1) kan være knappe i komplekse saker. Det bør klargjøres i forarbeidene at Datatilsynet bør utnytte det tilgjengelige handlingsrommet i fastsettelsen av frister.
Retten til å bli hørt i forbindelse med reviderte utkast til avgjørelse (artikkel 22) er begrenset til «nye elementer». Advokatforeningen anbefaler at begrepet tolkes i lys av EMK artikkel 6, artikkel 47 i Den europeiske unions pakt om grunnleggende rettigheter (Charter of Fundamental Rights of the European Union) og det alminnelige EU-rettslige prinsippet om god forvaltning, slik at parter gis reell mulighet til å uttale seg om vesentlige endringer.
3.6 Økonomiske og administrative konsekvenser – ressurser til Datatilsynet
Departementet legger til grunn at gjennomføringen vil ha ressursmessige konsekvenser for Datatilsynet, men foreslår at økte ressursbehov dekkes innenfor eksisterende budsjettrammer. Advokatforeningen mener dette ikke er realistisk. Datatilsynets saksbehandlingstid er allerede i dag uforholdsmessig lang, både for klagere som venter på avgjørelse og for virksomheter som må forholde seg til uavklarte tilsynssaker over flere år. Den lange saksbehandlingstiden har konsekvenser for bevissikring, ressursbruk og rettslig forutberegnelighet. Forordningen innfører en rekke nye plikter med korte og ufravikelige frister, herunder plikt til å utarbeide sakssammendrag innen tre måneder (artikkel 8 nr. 2), plikt til å oversende klager til antatt ledende tilsynsmyndighet innen seks uker (artikkel 3 nr. 5), plikt til å utveksle opplysninger innen én uke, og plikt til å oversette dokumenter til engelsk. Med dagens ressursnivå er det etter Advokatforeningens vurdering lite realistisk at Datatilsynet vil kunne overholde disse fristene på en forsvarlig måte. Manglende overholdelse vil ikke bare svekke de registrertes rettigheter, men også undergrave Norges troverdighet som samarbeidspartner i det europeiske personvernhåndhevelsessystemet. Advokatforeningen anbefaler derfor at Datatilsynets ressursbehov utredes særskilt i forbindelse med gjennomføringen og at nødvendige ressurser sikres i kommende statsbudsjetter, slik at forordningens krav kan oppfylles effektivt og uten unødig forsinkelse.
3.7 Norsk oversettelse av forordningen
Høringsnotatet tar utgangspunkt i den danske språkversjonen, da det ikke foreligger en norsk oversettelse. Advokatforeningen understreker viktigheten av at en norsk oversettelse foreligger i god tid før forordningens ikrafttredelse, og at oversettelsen gjennomgås grundig for å sikre konsistent bruk av norske rettslige begreper.
Advokatforeningen bemerker videre at forordningen pålegger ledende tilsynsmyndighet å oversette og dele saksdokumenter med berørte tilsynsmyndigheter fortløpende, herunder på engelsk. Dette reiser spørsmål om partens tilgang til sakens sentrale dokumenter på norsk. I saker der foreløpige konklusjoner eller utkast til avgjørelse utarbeides på engelsk eller andre språk av en utenlandsk ledende tilsynsmyndighet, kan dette svekke partens mulighet til effektiv kontradiksjon. Advokatforeningen anbefaler at det i forarbeidene presiseres at norske parter skal sikres tilgang til sakens avgjørende dokumenter på norsk eller på et språk de kan forventes å forstå.
3.8 Advokaters taushetsplikt og fortrolighetsregimet i artikkel 25
Forordningens artikkel 25 innfører et eget regime for behandling av fortrolige opplysninger i grensekryssende saker. Etter artikkel 25 nr. 3 pålegges den undersøkte parten selv å identifisere og merke fortrolige opplysninger ved innlevering til tilsynsmyndigheten. Advokatforeningen bemerker at dette reiser særlige spørsmål for advokaters taushetsplikt.
Etter advokatloven § 32 har advokater taushetsplikt om alle opplysninger de får tilgang til, utarbeider eller på vegne av klienter formidler i forbindelse med oppdrag i advokatvirksomheten. Taushetsplikten er vernet gjennom bevisforbudet i tvisteloven § 22-5 og straffeprosessloven § 119. Høyesterett har gitt taushetsplikten et vidt innhold, slik at den omfatter blant annet klientens identitet, advokatkorrespondanse og advokatens vurderinger og råd, jf. Rt. 2010 s. 1638 og Rt. 2012 s. 868.
Når en virksomhet innleverer underlagsdokumentasjon til Datatilsynet, vil denne i mange tilfeller inneholde advokatkorrespondanse som er omfattet av taushetsplikten etter advokatloven. Forordningen definerer fortrolige opplysninger i artikkel 25 nr. 1 som forretningshemmeligheter etter direktiv (EU) 2016/943 samt opplysninger som er fortrolige etter «national law of the supervisory authority to which it is submitted».
Spørsmålet reiser to særskilte problemstillinger: For det første er det spørsmål om advokaters lovbestemte taushetsplikt etter advokatloven §§ 32–33 kvalifiserer som fortrolige opplysninger etter nasjonal rett i forordningens forstand. Advokatforeningen legger til grunn at dette bør besvares bekreftende, da taushetsplikten er lovfestet og beskyttet gjennom bevisforbudsreglene i tvisteloven § 22-5 og straffeprosessloven § 119. For det andre reiser ren inkorporasjon av forordningen spørsmål om dette gir tilstrekkelig hjemmel etter advokatloven § 33, som krever at unntak fra taushetsplikten er «uttrykkelig fastsatt eller klart forutsatt» i lov, for deling av taushetsbelagte opplysninger med utenlandske tilsynsmyndigheter gjennom forordningens informasjonsutvekslingsmekanismer.
Spørsmålet er praktisk viktig fordi opplysninger som identifiseres som fortrolige etter artikkel 25 nr. 1, skal unntas fra partsinnsyn etter artikkel 24 nr. 3 bokstav b, og skal etter artikkel 25 nr. 8 også behandles som fortrolige av enhver mottakende tilsynsmyndighet. Dersom advokatkorrespondanse ikke uttrykkelig anerkjennes som fortrolig informasjon i denne sammenhengen, risikerer man at taushetsbelagt materiale deles med tilsynsmyndigheter i andre EØS-stater uten tilstrekkelig vern.
Advokatforeningen anbefaler at det i forarbeidene presiseres at opplysninger som er underlagt advokaters taushetsplikt etter advokatloven §§ 32 og 33, og det korresponderende bevisforbudet i tvisteloven § 22-5 og straffeprosessloven § 119, skal anses som fortrolige opplysninger etter forordningens artikkel 25 nr. 1. En slik presisering vil være i tråd med EU-domstolens praksis om beskyttelse av advokatkorrespondanse etter EU-charteret artikkel 7, slik den er utviklet i sak C-694/20 (Orde van Vlaamse Balies) og sak C-432/23 (Ordre des avocats du barreau de Luxembourg).
3.9 Rett til advokatbistand under kontradiksjonsprosessen
Forordningen innfører detaljerte prosedyretrinn med korte frister. Foreløpige konklusjoner («preliminary findings») etter artikkel 19 nr. 2 skal inneholde fakta, rettslig vurdering, foreslåtte korrigerende tiltak, potensielt bøtebeløp og skjerpende eller formildende omstendigheter. Parten gis en frist på tre til seks uker til å uttale seg om disse, jf. artikkel 19 nr. 5.
Forordningen regulerer ikke uttrykkelig partens rett til å la seg bistå av advokat eller annen fullmektig under kontradiksjonsprosessen. Forordningens artikkel 24 nr. 2 gir innsynsrett til «a party under investigation» og «a complainant», men regulerer ikke uttrykkelig fullmektigens stilling. Forvaltningsloven § 12 gir i norsk rett en alminnelig rett til å bruke fullmektig, herunder advokat, i forvaltningssaker. Denne bestemmelsen utgjør et nasjonalt supplement til forordningens innsynsregler. Advokatforeningen mener det bør klargjøres i forarbeidene at retten til å la seg bistå av advokat etter forvaltningsloven § 12 gjelder fullt ut i saker etter forordningen, og at fullmektigen i kraft av forvaltningslovens alminnelige regler utøver partens rett til innsyn etter artikkel 24 på dennes vegne.
Uten en slik presisering kan det oppstå tolkningstvil om advokatens rolle i grensekryssende saker der den ledende tilsynsmyndigheten er i en annen stat med andre prosessuelle tradisjoner. Advokatforeningen bemerker at sakene forordningen regulerer, kan munne ut i overtredelsesgebyrer av betydelig størrelse etter GDPR artikkel 83, noe som etter Advokatforeningens syn tilsier at kravene til rettssikkerhetsgarantier – herunder rett til advokatbistand – bør være høye.
3.10 Fristoversittelse og domstolsprøving
Forordningens kapittel III delkapittel 3 fastslår at fristoversittelse fra tilsynsmyndighetenes side ikke berører gyldigheten av saksbehandlingsskrittet eller den endelige avgjørelsen. Fristoversittelse kan imidlertid få betydning for vurderingen av om retten til et effektivt rettsmiddel etter GDPR artikkel 78 nr. 2 trer inn.
Advokatforeningen bemerker at dette representerer et avvik fra alminnelig norsk forvaltningsrett, der saksbehandlingsfeil kan gi grunnlag for ugyldighet etter forvaltningsloven § 41 dersom feilen kan ha virket bestemmende på vedtakets innhold. Forordningens regel innebærer som utgangspunkt at fristoversittelse ikke kan påberopes som selvstendig ugyldighetsgrunn. Det kan imidlertid ikke utelukkes at kvalifisert fristoversittelse i ekstraordinære tilfeller kan aktualisere spørsmålet om krenkelse av retten til en rettferdig rettergang etter Grunnloven § 95 og EMK artikkel 6, med mulige konsekvenser for vedtakets gyldighet. Advokatforeningen bemerker videre at forordningen selv inneholder visse mekanismer som sikkerhetsnett ved forsinkelser, herunder berørte tilsynsmyndigheters adgang til å inngi innsigelse mot fristforlengelse etter artikkel 12 og muligheten for å treffe midlertidige tiltak etter GDPR artikkel 66 dersom ledende tilsynsmyndighet ikke overholder sine frister.
Advokatforeningen anbefaler at forholdet mellom forordningens regel om at fristoversittelse ikke medfører ugyldighet og norske ugyldighetsregler drøftes nærmere i forarbeidene. Det bør klargjøres i hvilken utstrekning norske domstoler kan prøve om langvarig fristoversittelse representerer en krenkelse av retten til en rettferdig rettergang etter Grunnloven § 95 og EMK artikkel 6, og om dette i gitte tilfeller kan få konsekvenser for vedtakets gyldighet.
3.11 Rettsvirkningene av tidlig løsning etter artikkel 5
Forordningens artikkel 5 innfører en prosedyre for tidlig løsning av klager i grensekryssende saker som gjelder utøvelsen av registrertes rettigheter etter GDPR kapittel III. Prosedyren innebærer at tilsynsmyndigheten, basert på understøttende bevis, konstaterer at den påståtte krenkelsen er brakt til opphør og at klagen dermed anses uten formål. Klageren gis en frist på fire uker til å protestere mot denne vurderingen. Dersom klageren ikke protesterer innen fristen, anses klagen som løst. Tidlig løsning er uttrykkelig uten innvirkning på ledende tilsynsmyndighets adgang til å benytte sine kompetanser etter GDPR artikkel 58 om det samme forholdet, jf. artikkel 5 nr. 5.
Advokatforeningen bemerker at prosedyren for tidlig løsning reiser spørsmål om forholdet til norske regler om forvaltningssanksjon. Etter forvaltningsloven kapittel IX (§§ 43–48) kan overtredelsesgebyr bare ilegges når det er fastsatt i lov, og administrative sanksjoner må ilegges gjennom hjemlet vedtak som oppfyller krav til forsvarlig saksbehandling og domstolskontroll. Tidlig løsning er en prosessuell klageavslutningsmekanisme og ikke en hjemmel for å inngå avtalebaserte sanksjonsforlik. Det bør presiseres i forarbeidene at tidlig løsning etter artikkel 5 ikke innebærer at tilsynsmyndigheten avskjæres fra å ilegge forvaltningssanksjon for det samme forholdet, og at frivillig retting kan tillegges vekt ved vurderingen av om og i hvilken utstrekning sanksjon skal ilegges, men ikke kan erstatte et hjemlet sanksjonsvedtak. En slik presisering vil bidra til å klargjøre forholdet mellom forordningens prosessuelle mekanismer og norske forvaltningsrettslige krav til legalitet, forholdsmessighet og domstolskontroll ved administrative sanksjoner.
Stortinget uttrykte i 2025 bekymring for at rettssikkerheten ved ileggelse av administrative sanksjoner ikke er godt nok ivaretatt, og ba i forbindelse med vedtakelsen av den nye forvaltningsloven Regjeringen om å «foreta en gjennomgang av reglene for ileggelse av overtredelsesgebyr og vurdere behovet for rettssikkerhetsgarantier, og komme tilbake til Stortinget på egnet måte med eventuelle forslag til endringer».
Advokatforeningen vi i denne sammenhengen understreker at regler om administrative sanksjoner må utformes på en måte som sikrer tilstrekkelig rettssikkerhet når sanksjonene skal ilegges.
Dette gjelder særlig der sanksjonen etter sin karakter, alvorlighetsgrad eller virkning må anses som straff etter EMK. Regelverket må bygge på klare lovhjemler, forutberegnelighet, forholdsmessighet og forsvarlig saksbehandling, samt reell kontradiksjon og adgang til uavhengig og effektiv prøving. Jo mer inngripende en sanksjon er, desto strengere krav må stilles til de prosessuelle garantiene, herunder vern mot selvinkriminering, ivaretakelse av uskyldspresumsjonen og beviskrav. Det må fremgå tydelig av lovforslaget og forarbeidene hvordan disse hensynene er vurdert, og hvordan sanksjonsregimet minst ivaretar grunnkravene som følger av Grunnloven, EMK og europeiske rettsstatsprinsipper.
Det er Advokatforeningens prinsipielle standpunkt at spørsmålet om ileggelse av administrative sanksjoner, skal avgjøres av et organ som er uavhengig av undersøkelsesorganet.
3.12 Partens tilgang til saksdokumenter på et forståelig språk
Forordningens samarbeidsmekanismer forutsetter omfattende informasjonsutveksling mellom tilsynsmyndigheter i ulike EØS-stater. Etter artikkel 8 nr. 2 skal ledende tilsynsmyndighet utarbeide et sakssammendrag som deles med berørte tilsynsmyndigheter. Foreløpige konklusjoner etter artikkel 19 nr. 2, utkast til avgjørelse etter artikkel 21 og reviderte utkast etter artikkel 22 skal tilsvarende deles med berørte myndigheter. Disse dokumentene vil i praksis utarbeides på engelsk, som er det alminnelige arbeidsspråket mellom tilsynsmyndighetene i grensekryssende saker. Når ledende tilsynsmyndighet er i en annen EØS-stat, kan sentrale saksdokumenter dermed foreligge utelukkende på engelsk eller på den ledende tilsynsmyndighetens nasjonale språk, uten at det nødvendigvis foreligger en norsk versjon.
Advokatforeningen bemerker at dette reiser spørsmål om partens rett til effektiv kontradiksjon og rettferdig rettergang. Etter Grunnloven § 95 skal rettergangen være rettferdig og offentlig. EMK artikkel 6 nr. 1 stiller tilsvarende krav til rettferdig rettergang. Høyesteretts ankeutvalg har i HR-2019-937-U lagt til grunn at det offentlige må dekke kostnader til oversettelse av saksdokumenter når dette er nødvendig for å oppfylle kravene til rettferdig rettergang etter EMK artikkel 6 nr. 1 og for å sikre et forsvarlig avgjørelsesgrunnlag. Selv om avgjørelsen gjaldt en barnevernssak for domstolene, gir den uttrykk for et alminnelig rettssikkerhetsprinsipp som har overføringsverdi til forvaltningssaker av inngripende karakter. Forordningens saker kan munne ut i overtredelsesgebyrer av betydelig størrelse etter GDPR artikkel 83, noe som skjerper kravene til rettssikkerhetsgarantier.
Også i EU-retten er språklig tilgjengelighet anerkjent som en forutsetning for effektiv rettsbeskyttelse. EU-domstolen har fremhevet at det å kunne bringe en sak inn for domstolen på et språk man forstår, og å kunne lese domstolens avgjørelser, er en grunnleggende del av demokratiet og rettsstaten. Etter EU-domstolens prosessregler artikkel 38 nr. 2 skal dokumenter som er avfattet på et annet språk enn sakens språk, ledsages av oversettelse, og domstolen kan av eget tiltak eller etter begjæring fra en part kreve fullstendig oversettelse av omfattende dokumenter, jf. artikkel 38 nr. 3. Artikkel 47 i Den europeiske unions pakt om grunnleggende rettigheter sikrer retten til et effektivt rettsmiddel og en rettferdig rettergang, og denne retten kan bli illusorisk dersom parten ikke får forståelig tilgang til det faktiske og rettslige grunnlaget for tilsynsmyndighetens avgjørelse.
Advokatforeningen anbefaler på denne bakgrunn at det i forarbeidene presiseres at norske parter skal sikres tilgang til sakens avgjørende dokumenter, herunder foreløpige konklusjoner, utkast til avgjørelse og reviderte utkast, på norsk eller på et språk de kan forventes å forstå, når den ledende tilsynsmyndigheten er i en annen EØS-stat. En slik presisering innebærer ikke et krav om fullstendig oversettelse av samtlige saksdokumenter, men at de dokumenter som er avgjørende for partens mulighet til å utøve sin rett til kontradiksjon, gjøres tilgjengelige i forståelig form. Det bør videre klargjøres at Datatilsynet har et ansvar for å legge til rette for slik tilgjengelighet som del av sin alminnelige veiledningsplikt etter forvaltningsloven § 11 og kravet til forsvarlig saksbehandling.
4 Oppsummering
Advokatforeningen støtter gjennomføring av forordning (EU) 2025/2518 ved inkorporasjon i personopplysningsloven. Foreningen anbefaler imidlertid følgende justeringer og presiseringer:
1. Forholdet mellom forordningens regler og forvaltningslovens alminnelige regler bør klargjøres i lov eller forarbeider, for å sikre rettsklarhet og forutberegnelighet.
2. Det bør presiseres i personopplysningsloven § 22 andre ledd at avgjørelser etter forordning (EU) 2025/2518 ikke kan påklages til Personvernnemnda. Som en nødvendig motvekt bør samtidig Datatilsynets vurdering av om en sak har grensekryssende karakter etter GDPR artikkel 56 formaliseres som et enkeltvedtak med klageadgang, da klassifiseringen er bestemmende for om klageretten til Personvernnemnda avskjæres og for hvilket prosessuelt rammeverk som gjelder for saken.
3. Konsekvensene av begrensningene i partsinnsyn etter artikkel 24 nr. 3 bør drøftes grundigere i forarbeidene, herunder i lys av EMK artikkel 6, Grunnloven § 95 og artikkel 47 i Den europeiske unions pakt om grunnleggende rettigheter.
4. Det bør klargjøres at opplysninger som er taushetsbelagte etter avsenderstatens rett, skal behandles som underlagt lovbestemt taushetsplikt etter forvaltningsloven § 13.
5. Forholdet mellom forordningens avvisningsregler og forvaltningslovens veiledningsplikt etter § 11 bør utredes nærmere.
6. Datatilsynets ressursbehov bør utredes særskilt i forbindelse med gjennomføringen, og nødvendige ressurser må sikres, slik at forordningens ufravikelige frister kan overholdes og allerede eksisterende utfordringer med lang saksbehandlingstid ikke forverres.
7. En norsk oversettelse av forordningen bør foreligge i god tid før ikrafttredelse.
8. Det bør presiseres i forarbeidene at opplysninger som er underlagt advokaters taushetsplikt etter advokatloven §§ 32 og 33, er å anse som fortrolige opplysninger etter forordningens artikkel 25 nr. 1.
9. Retten til å la seg bistå av advokat etter forvaltningsloven § 12 bør klargjøres slik at den gjelder fullt ut i saker etter forordningen, herunder slik at fullmektigen i kraft av forvaltningslovens alminnelige regler utøver partens innsynsrett etter artikkel 24 på dennes vegne.
10. Forholdet mellom forordningens regel om at fristoversittelse ikke medfører ugyldighet, og norske forvaltningsrettslige ugyldighetsregler, bør drøftes i forarbeidene, herunder spørsmålet om kvalifisert fristoversittelse i ekstraordinære tilfeller kan aktualisere retten til rettferdig rettergang etter Grunnloven § 95 og EMK artikkel 6.
11. Rettsvirkningene av prosedyren for tidlig løsning etter artikkel 5 bør drøftes i forarbeidene, herunder forholdet til norske regler om forvaltningssanksjon.
12. Det bør presiseres at norske parter sikres tilgang til sakens avgjørende dokumenter på norsk eller på et språk de kan forventes å forstå, når den ledende tilsynsmyndigheten er i en annen stat.
Vennlig hilsen
Siri Teigum Merete Smith
leder generalsekretær