Kvinnen som nå har fått sin sak behandlet i menneskerettsdomstolen, gikk i sin tid til sak mot NAV fordi hun mistenkte at kolleger, inkludert hennes egen sjef, hadde vært inne og snoket i hennes personopplysninger som NAV-bruker. Kvinnen var ansatt i NAV gjennom mange år, samtidig som hun gikk på arbeidsavklaringspenger etter en ulykke.
Borgarting lagmannsrett fant det 2023 ikke bevist at verken sjefen eller andre hadde «snoket» i kvinnens helseopplysninger. De mange oppslagene som ifølge loggen var gjort på hennes mappe, hadde tjenestlig grunn. Derimot konstaterte lagmannsretten at det tidligere hadde foreligget en generell svikt i NAVs personvernrutiner, som gjorde det mulig for kolleger å snoke på hverandre. Disse rutinene var blitt endret i 2020, etter pålegg fra Datatilsynet.
Manifestly ill-founded
Lagmannsretten fant det etter dette ikke bevist at kvinnen var blitt påført noen skade som følge av at GDPR-reglene tidligere var blitt brutt, og tilkjente ingen erstatning eller oppreisning.
Kvinnen klaget etter dette Norge inn for EMD, som valgte å slippe saken inn til full behandling i kammer, det vil si sju med dommere. Der gikk spørsmålet over fra om GDPR var krenket, som er EU-rett, til om EMK artikkel 8 om retten til privatliv var krenket.
Skjærtorsdag kom konklusjonen, og den er at domstolen ikke finner noe grunnlag for å konstatere krenkelse av EMK. Saken avvises som «åpenbart grunnløs». I beslutningen skriver domstolen:
«The Court considers that the applicant’s complaints were extensively investigated and examined at national level, and that the reasoning and conclusions drawn by the domestic courts were both relevant and sufficient. The applicant’s complaints led to changes being made to the NAV’s data protection procedures in 2020, which means that the State was fully compliant with its obligations under the GDPR by then. A fair balance was thus struck between the competing interests.
The foregoing considerations are sufficient to enable the Court to conclude that, at the relevant time, the State did not fail in its positive obligation under Article 8 § 1 of the Convention to ensure respect for the applicant’s private life.»
Ble fremmet sent
Et annet spørsmål som dukker opp i denne saken, er hvilken betydning det har at spørsmålet om EMK-krenkelse ikke ble fremmet før i anken til Høyesterett.
I underinstansene hadde kvinnen kun fokusert på EU-retten, ved GDPR. Anken til Høyesterett, der EMK ble tatt opp første gang, ble ikke fremmet av ankeutvalget.
Det er et grunnvilkår for behandling i EMD at nasjonale rettsmidler er uttømt, og Norge anførte derfor saken måtte avvises, fordi ingen norske domstoler hadde materielt behandlet EMK-spørsmålet. Dette virker EMD å være enig i, i det den skriver at en som klager til EMD ikke kan forvente å få saken materielt vurdert i EMD når EMK-spørsmålet er blitt «raised for the first time at that level of appellate jurisdiction».
EMD avstår imidlertid fra å konkludere, fordi den heller velger å avvise klagen på materielt grunnlag.
EMDs beslutning finner du her.
