Samarbeidsplikt overfor Datatilsynet: hva krever den, og hvor går grensen?

En onsdag i juli får daglig leder i en nettbutikk et brev fra Datatilsynet med tittelen «Krav om redegjørelse». En tidligere kunde har klaget. Brevet stiller elleve spørsmål, ber om kopi av en avtale og setter svarfrist om fem uker. Daglig leder mener klagen er grunnløs og at tilsynet blander seg i en privat tvist. Det han skriver tilbake de neste dagene, kan koste mer enn selve klagesaken.

Eksempelet er oppdiktet, men Lab Pharma AS havnet i en lignende situasjon. Datatilsynet ila selskapet et overtredelsesgebyr på 205 000 kroner for brudd på samarbeidsplikten, i et vedtak datert 12. august 2026. Ifølge Datatilsynets juridiske seniorrådgiver, gjengitt i Altinget, er det første gang tilsynet gir gebyr for brudd på GDPR art. 31.

Hva er samarbeidsplikten overfor Datatilsynet?

Samarbeidsplikten står i personvernforordningen artikkel 31. Den behandlingsansvarlige og databehandleren skal på anmodning samarbeide med tilsynsmyndigheten når den utfører sine oppgaver. Bestemmelsen er kort, og innholdet følger av tilsynets myndighet i GDPR art. 58 nr. 1. Datatilsynet kan blant annet pålegge virksomheten å legge fram all informasjon tilsynet trenger, kreve tilgang til personopplysninger og gjennomføre revisjoner.

I Lab Pharma-vedtaket beskriver Datatilsynet plikten slik at virksomheten må etterleve pålegg og frister «på en ærlig og samarbeidsvillig måte» og legge til rette for undersøkelsene. Etter personopplysningsloven § 23 gjelder undersøkelsesmyndigheten uten hinder av taushetsplikt. En konfidensialitetsklausul i en avtale med en tredjepart gir derfor ikke grunnlag for å holde avtalen tilbake.

Plikten gjelder også databehandlere. En SaaS-leverandør som får spørsmål fra tilsynet om en kundes behandling, kan ikke vise til at det er kundens sak.

Hva skjedde i Lab Pharma-saken?

En influenser klaget i februar 2023 over at Lab Pharma fortsatt brukte navnet og bildene hennes i markedsføringen, flere år etter at samarbeidsavtalen var utløpt. Datatilsynet sendte et krav om redegjørelse 1. juli 2024 med svarfrist 12. august.

Mellom 12. juli og 9. august 2024 sendte daglig leder i selskapet mer enn 15 e-poster til saksbehandleren, seksjonssjefen, direktøren og den juridiske direktøren. Ifølge vedtaket truet han med politianmeldelse av saksbehandlerne for maktmisbruk, med erstatningssøksmål og med søksmål for æreskrenkelse, og han satte egne frister for når tilsynet måtte ha avsluttet saken. Datatilsynet behandlet misnøyen som en klage på pålegget og sendte den til Personvernnemnda. Nemnda stadfestet pålegget 27. oktober 2025 og la til grunn at tilsynet kunne kreve avtalen med influenseren.

Så fulgte en ny runde. Selskapet fikk forlenget frist til 8. desember 2025, svarte delvis og holdt avtalen tilbake fordi den skulle sendes i en «sikker kanal». Datatilsynet ga først feil beskjed om å bruke Altinn og rettet det dagen etter at selskapet sa fra. Selskapet lastet så opp et blankt dokument, og avtalen kom først 23. januar 2026.

Vedtaket inneholder tre punkter. Selskapet ble pålagt å slette influenserens personopplysninger etter GDPR art. 58 nr. 2 bokstav g, fikk forbud mot å bruke dem i markedsføring etter GDPR art. 58 nr. 2 bokstav f til det har et lovlig behandlingsgrunnlag, og fikk gebyret etter GDPR art. 83.

Hvor går grensen mellom uenighet og brudd på samarbeidsplikten?

Grensen går ved forsøk på å stanse eller forsinke undersøkelsen med urettmessige midler. Datatilsynet sier i vedtaket at tilsynet må tåle kritikk, og at terskelen for å reagere på misnøye og ukvemsord er relativt høy. Det som utløste gebyret, var at truslene uttrykkelig var knyttet til et krav om at saken måtte avsluttes.

Lab Pharma mente at GDPR art. 31 bare er brutt når tilsynet objektivt sett er forhindret fra å gjøre jobben sin, og at varsel om anmeldelse og søksmål er bruk av lovlige rettsmidler. Datatilsynet var uenig. Også et mislykket forsøk på å stanse eller forsinke undersøkelsen er brudd. Tilsynet viste i tillegg til at trusler om anmeldelse for å få noen til å unnlate noe kan rammes av straffeloven § 251 annet ledd, uten å ta stilling til om bestemmelsen var overtrådt.

Lab Pharma er uenig i vedtaket. Ifølge Altinget har selskapet bedt om omgjøring uten å nå fram og arbeider med å ta saken til Sivilombudet. Vi har ikke funnet opplysninger om at vedtaket er brakt inn for domstolene.

Uenighet med Datatilsynet er lovlig. Det som koster, er forsøket på å få undersøkelsen stoppet.

Hva kan brudd på samarbeidsplikten koste?

Brudd på GDPR art. 83 nr. 4 bokstav a gir en ramme på 10 millioner euro eller 2 prosent av global årsomsetning, det høyeste av de to. Nekter virksomheten å gi tilgang i strid med GDPR art. 58 nr. 1, gjelder den høyere rammen i GDPR art. 83 nr. 5 bokstav e på 20 millioner euro eller 4 prosent. Datatilsynet kan i tillegg fastsette daglig tvangsmulkt etter personopplysningsloven § 29 til et pålegg er oppfylt.

Utmålingen i Lab Pharma-saken viser hvordan tallene ble til. Tilsynet tok utgangspunkt i 45 prosent av maksimumsbeløpet, fordi bruddet var forsettlig og gjaldt et forsøk på å unndra seg tilsyn. Deretter ble beløpet justert ned etter omsetningen. Her ble morselskapets omsetning lagt sammen med Lab Pharmas, med EU-domstolens konsernpraksis som begrunnelse, slik at samlet omsetning ble 26,7 millioner kroner i 2024. Skjerpende var også at fristoversittelsene var uaktsomme og at saken krevde mer ressurser og ledelsesinvolvering enn normalt. Selskapets anførsel om svak økonomi førte ikke fram, fordi den ikke var dokumentert.

For et større selskap ville samme opptreden gitt et langt høyere beløp. For styret er dette i tillegg et spørsmål om internkontroll, se vår artikkel om styrets ansvar ved bruk av KI.

Slik svarer virksomheten på brev fra Datatilsynet

1. Utpek én ansvarlig for saken samme dag som brevet kommer, gjerne personvernombudet eller juridisk ansvarlig, og la all kontakt med tilsynet gå gjennom vedkommende.
2. Les hjemmelen. Et pålegg om å gi opplysninger skal oppgi hjemmel etter forvaltningsloven § 14, og fristen for å klage på selve pålegget er bare tre dager.
3. Be om utsatt frist skriftlig og i god tid hvis dere trenger mer tid. Lab Pharma fikk forlengelse da selskapet ba om det.
4. Avklar hvordan sensitive dokumenter skal sendes før fristen. Datatilsynet har en skjemaløsning med elektronisk ID for dokumenter som er unntatt offentlighet.
5. Svar på hvert spørsmål, legg ved dokumentasjonen og si tydelig fra hvis noe mangler og når det kommer.
6. Hold tonen saklig. Uenighet om faktum og jus hører hjemme i svaret og i en eventuell klage.
7. Be om innsyn i sakens dokumenter etter fvl. § 18 hvis dere ikke har sett klagen eller grunnlaget for spørsmålene.

Hvis saken kan ende med gebyr, eller dere vurderer å bestride tilsynets kompetanse, bør advokat inn før første svar sendes. Det første svaret setter rammen for resten av saken. Ved brudd på personopplysningssikkerheten gjelder egne frister, se hva virksomheten må gjøre ved brudd på personopplysningssikkerheten. Er saken utløst av en registrert som har bedt om innsyn, er det nyttig å gå gjennom reglene om innsynskrav etter GDPR samtidig.

Kan vedtaket påklages?

Som hovedregel ja. Datatilsynets vedtak kan påklages til Personvernnemnda innen tre uker etter fvl. § 29, og før et vedtak om gebyr skal virksomheten ha fått forhåndsvarsel og anledning til å uttale seg etter fvl. § 16.

Lab Pharma-vedtaket er et unntak. Saken gjaldt grenseoverskridende behandling, fordi nettsidene også rettet seg mot Sverige, Danmark og Finland, og vedtaket ble fattet etter samarbeidsprosedyren i GDPR art. 60. Etter personopplysningsloven § 22 annet ledd kan slike vedtak ikke påklages til Personvernnemnda. Veien går da til Oslo tingrett, og etter personopplysningsloven § 27 kan retten prøve alle sider av en sak om overtredelsesgebyr. Den som selger til kunder i flere nordiske land, bør regne med at et eventuelt vedtak følger samme spor.

Forvaltningsloven av 1967 gjelder fortsatt. Ny forvaltningslov er vedtatt, men ikke satt i kraft, og paragrafnumrene over vil endre seg når den trer i kraft.

Har dere fått et krav om redegjørelse nå, så skriv inn svarfristen og den tre dager lange klagefristen i kalenderen før dere leser resten av brevet. Mer om regelverket finner dere på pilarsiden om personvern.

Spørsmål og svar

Neste faglige kontroll: 15. januar 2027