Datatilsynet varsler gebyr: slik behandles saken, og slik klager du
Datatilsynet gebyr starter alltid med et forhåndsvarsel, ikke et ferdig vedtak, og det varselet er egentlig en invitasjon til å forklare seg før noe er avgjort. Liv, som driver et lite regnskapsbyrå, fikk et slikt varsel etter at en ansatt ved en feiltakelse sendte en e-post med lønnsdata for tjue klienter til feil mottaker. Varselet beskrev det tilsynet mente var et brudd, ba om Livs redegjørelse innen en fastsatt frist, og varslet at en overtredelsesgebyr kunne bli resultatet dersom saken ikke ble avklart på en måte som endret vurderingen.
Varselet er ikke vedtaket, det er en invitasjon til å svare
Et forhåndsvarsel fra Datatilsynet er tilsynets foreløpige vurdering av en sak, ikke et bindende utfall. Liv fikk en konkret frist for å komme med sitt tilsvar, der hun kunne forklare hva som faktisk hadde skjedd, hvilke tiltak byrået allerede hadde satt i verk for å rette opp feilen, og hvorfor hun mente utfallet burde bli mildere enn det varselet antydet. Mange små virksomheter gjør feilen å ikke svare i det hele tatt, enten av usikkerhet på hva de skal skrive eller av ren nøling, og det er sjelden en fordel: et godt begrunnet tilsvar med konkrete tiltak veier tyngre enn stillhet når saken til slutt avgjøres.
Momentene Datatilsynet vekter når gebyret regnes ut
Regelverket lister opp en rekke momenter tilsynet skal vurdere ved utmålingen, blant annet hvor alvorlig og langvarig bruddet var, om det skjedde med vilje eller uaktsomhet, hvilke kategorier opplysninger som var involvert, hvor godt virksomheten samarbeidet med tilsynet i etterkant, og hvilke tiltak som allerede var satt i verk for å begrense skaden. For Liv talte det i hennes favør at feilen var en enkeltstående menneskelig glipp, ikke en systematisk mangel ved rutinene i byrået, at hun varslet de berørte klientene samme dag, og at hun umiddelbart innførte en ny rutine der e-post med lønnsdata måtte dobbeltsjekkes av en kollega før den ble sendt.
Klage til Personvernnemnda: fristen og hva som faktisk kan endres
Ender saken med et vedtak Liv er uenig i, kan hun klage til Personvernnemnda, som er klageorganet for Datatilsynets avgjørelser. En klage kan føre til at vedtaket oppheves, endres eller stadfestes, avhengig av om nemnda er enig i tilsynets vurdering av både bruddet og utmålingen. Klagen bør være konkret om hva Liv mener er feil, enten det gjelder selve vurderingen av om det forelå et brudd, eller størrelsen på gebyret sammenlignet med tilsvarende saker. En generell misnøye med utfallet, uten en presis begrunnelse for hva som burde vært vurdert annerledes, gir nemnda lite å ta stilling til.
Klagefristen løper fra vedtaket er mottatt, og Liv bør sette seg ned med vedtaksbrevet samme dag det kommer, ikke la det ligge til fristen nesten er ute. En klage bør bygges opp systematisk: hva vedtaket sier, hvilket punkt Liv er uenig i, og hvorfor, gjerne med henvisning til konkrete forhold i saken som tilsynet etter hennes syn ikke har vektlagt riktig. Byrået hennes valgte å legge ved den nye interne rutinen for dobbeltkontroll av e-post som dokumentasjon på at risikoen for gjentakelse faktisk var redusert, ikke bare love at «det skal ikke skje igjen» uten noe å vise til.
Hvordan en sak i praksis beveger seg fra varsel til avgjørelse
Fra Liv mottok det første varselet til saken var endelig avgjort, gikk det noen måneder, med et tydelig mønster underveis: varsel med frist for tilsvar, en periode der Datatilsynet vurderte tilsvaret opp mot resten av saksdokumentene, og til slutt et vedtak med begrunnelse. Byrået hennes brukte tiden mellom varsel og vedtak til å dokumentere alt de allerede hadde gjort for å begrense skaden, fra varsling av klientene til den nye rutinen, slik at dokumentasjonen lå klar i det vedtaket kom, i stedet for å måtte skaffes i etterkant hvis saken skulle klages inn for nemnda.
Små virksomheter rammes også, ikke bare de store
Den øvre rammen for overtredelsesgebyr ligger på 20 millioner euro, eller fire prosent av selskapets globale omsetning der det tallet er størst, men denne ytterste grensen treffer i praksis store, internasjonale selskaper med systematiske og alvorlige brudd. Et lite regnskapsbyrå som Livs havner ikke i nærheten av den typen beløp, men det betyr ikke at små virksomheter går fri. Tilsynet har reagert mot små aktører i saker som manglende databehandleravtale, dårlig sikret kundedata på avveie, eller uklarhet om hvem som egentlig er behandlingsansvarlig i et samarbeid. Størrelsen på virksomheten påvirker utmålingen, men fritar ikke fra selve plikten til å følge regelverket.
Kort oppsummert
- Et forhåndsvarsel om datatilsynet gebyr er en invitasjon til å svare, ikke et ferdig vedtak, og bør alltid besvares innen fristen.
- Momentene i utmålingen omfatter blant annet alvorlighetsgrad, om bruddet var forsettlig eller uaktsomt, og hvor godt virksomheten samarbeidet etterpå.
- Et vedtak kan påklages til Personvernnemnda, som kan oppheve, endre eller stadfeste Datatilsynets avgjørelse.
- Den øvre rammen for gebyret ligger på 20 millioner euro eller fire prosent av global omsetning, men den grensen rammer sjelden en virksomhet på Livs størrelse.
- Rask varsling av berørte og konkrete tiltak for å rette opp feilen, veier tungt i vurderingen av en sak, uansett hvor liten virksomheten er.