Proposisjonen om gjennomføringen i norsk rett av EUs personvernforordning (GDPR) etterlater flere ubesvarte spørsmål om hvordan norske rettssubjekter skal sikres en domstolskontroll på personvernområdet som tilsvarer den som tilbys i EU. På spørsmål fra Justiskomiteen har departementet nå avklart at norske domstoler ikke vil bli gitt mulighet til å be EU-domstolen avgjøre gyldigheten av vedtak fra EUs Personvernråd eller Kommisjonen, selv om disse vedtakene kan ha avgjørende betydning for rettstilstanden også her til lands. I lys av kontroversene knyttet til myndighetsoverføring til EU-organer, senest illustrert ved ACER-saken, er dette ikke egentlig overraskende. Resultatet er imidlertid at departementet holder norske domstoler utenfor det overnasjonale domstolsamarbeidet i EU som er ment å sikre enhetlig domstolskontroll på personvernområdet, og som de siste årene har vært den kanskje viktigste arenaen for forsvar av retten til egne personopplysninger. Med dette pålegges norske domstoler et tungt ansvar for på egen hånd å sikre like godt vern av personopplysninger i norsk rett som det EU-domstolen tilbyr i EU.
Full kompetanse til domstolene
Departementets svarbrev til Justiskomiteen slår fast at EØS-tilpasningene av GDPR ikke innebærer overføring av dømmende myndighet. Dette er en viktig avklaring som må bety at norske domstoler vil ha full kompetanse til å prøve et hvert vedtak fra Datatilsynet, selv om vedtaket skulle være diktert av et for Datatilsynet bindende vedtak fra EUs personvernråd og selv om saksøker kunne og etter EU-domstolens syn burde valgt å angripe personvernrådets vedtak direkte for EU-domstolen.
Dersom en norsk domstol skulle være av den oppfatning av EUs personvernråd har lagt til grunn en for snever forståelse av retten til privatliv, nedfelt blant annet i EMK artikkel 8 og anerkjent som en grunnleggende rettighet også i EU/EØS-rettslig sammenheng, så må resultatet bli at Datatilsynets vedtak oppheves. At Datatilsynet i så fall får et forklaringsproblem overfor EU, må være norske domstoler uvedkommende. I motsatt fall vil domstolskontrollen som tilbys i Norge stå tilbake for den som tilbys i EU.
Bemerkelsesverdig unntak
Internt i EU ivaretas behovet for sentralisert kontroll med gyldigheten av Personvernrådets vedtak gjennom foreleggelser for EU-domstolen. Departementets svarbrev til Justiskomiteen må forstås slik at Norge har fått EU med på at dette ikke skal gjelde tilsvarende for EFTA-statene. Dette er bemerkelsesverdig. Da EU-domstolen etablerte sin enekompetanse til å erklære vedtak fra EU-organer for ugyldige, skjedde dette under henvisning til «selve enheden af den fællesskabsretlige retsorden» og «det grundlæggende krav om retssikkerhed» (sak 314/85 Foto Frost). Også i lys av den betydning som EU for tiden tillegger behovet for sentralisert domstolskontroll i EUs forhold til Sveits og i Unionens fremtidige forhold til Storbritannia, er det meget interessant at EFTA-statene nå tilsynelatende får delta i GDPR-regimet uten å legge de nasjonale domstolene inn under EU-domstolens overherredømme, hverken direkte eller indirekte via EFTA-domstolen. Det gjenstår imidlertid å se hvordan EU vil reagere dersom en norsk domstol på egen hånd går til det skritt å blokkere Datatilsynets mulighet til å etterleve et vedtak fra Personvernrådet.
Norsk Schrems-sak?
Departementets svarbrev til Justiskomiteen må videre forstås slik at norske domstoler beholder full kompetanse til å prøve om retten til privatliv er tilstrekkelig ivaretatt i Norge også i tilfeller hvor utveksling av personopplysninger til tredjeland hviler på en beslutning fra Kommisjonen som anerkjenner beskyttelsesnivået i vedkommende land som adekvat. Det er derfor prinsipielt mulig å se for seg en norsk variant av Schrems-saken, hvor en østerriksk personvernaktivist gikk til sak mot det irske datatilsynet for å få prøvd gyldigheten av den daværende personvernavtalen mellom EU og USA. Forskjellen vil imidlertid være at mens irske domstoler kunne overlate spørsmålet til EU-domstolen, som i en skjellsettende dom i 2015 slo fast at personverngarantiene i avtalen var utilstrekkelige, så vil norske domstoler måtte vurdere helt på egenhånd om fremtidige utvekslingsavtaler mellom EU og USA lever opp til europeiske personvernstandarder. De rettslige konsekvensene av en norsk dom som eventuelt kommer til at så ikke er tilfelle, er imidlertid høyst usikre. GDPR er jo ment å sikre fri utveksling av personopplysninger i hele EU/EØS, og det er da ikke helt lett å se hvordan det skal være praktisk mulig å håndheve en norsk dom som slår fast at fortsatt utveksling av personopplysninger til et eller flere tredjeland innebærer en krenkelse av europeiske personvernstandarder.
Departementets oppfatning av at EØS-tilpasningene av GDPR ikke innebærer overføring av domsmyndighet tilsier også at norske domstoler vil ha full kompetanse til prejudisiell overprøving av vurderinger foretatt av tilsynsmyndigheter i andre EU/EØS-stater, og det selv om de aktuelle vedtakene skulle være bindende for det norske Datatilsynet i henhold til GDPRs «one-stop-shop»-mekanisme, eller endog være stadfestet av EUs domstoler.
Utfordring til norske domstoler
Gitt at EU er innforstått med departementets utlegning av den EØS-tilpassede domstolskontrollen med GDPR, ser det ut til at EFTA-statene har lykkes med å sikre fortsatt fri utveksling av personopplysninger i hele EØS uten formell innordning av norske domstoler under EU-domstolen. Domstolskontroll på samme nivå den som tilbys i EU vil det imidlertid bare være dersom norske domstoler er like fremoverlente i sin utlegning av privatlivets fred og retten til egne personopplysninger som det EU-domstolen har vist seg å være de siste årene. Dette kan bare oppnås dersom norske domstoler i sin rettsanvendelse ser helt bort fra de politiske komplikasjonene som vil oppstå dersom de blokkerer norsk etterlevelse av vedtak fra Personvernrådet eller Kommisjonen.
I praksis innebærer nok dessverre EØS-tilpasningene av domstolskontrollen med GDPR at norske personvernforkjempere som ønsker å følge Max Schrems eksempel, bør se etter muligheter for å anlegge sine søksmål for domstolene i andre land enn Norge. Norske domstoler er nemlig blitt plassert på sidelinjen.
