Datatilsynet (Norway) - 23/00435-62

Datatilsynet - 23/00435-62
Authority:	Datatilsynet (Norway)
Jurisdiction:	Norway
Relevant Law:	Article 6(1)(b) GDPR Article 6(1)(f) GDPR Article 17 GDPR Article 21 GDPR Article 31 GDPR
Type:	Complaint
Outcome:	Upheld
Started:	02.02.2023
Decided:	12.08.2026
Published:
Fine:	205000.0 NOK
Parties:	Lab Pharma AS
National Case Number/Name:	23/00435-62
European Case Law Identifier:	n/a
Appeal:	Unknown
Original Language(s):	Norwegian
Original Source:	Datatilsynet (in NO)
Initial Contributor:	bms

The DPA found that pharmaceutical company unlawfully continued using an influencer’s personal data after their contract expired and fined it NOK 205,000 for breaching its duty to cooperate under Article 31 GDPR.

English Summary

Facts

Lab Pharma AS, the controller, is a Norwegian manufacturer of dietary supplements which markets and sells its products online. In 2016, an influencer, the data subject, entered into an agreement with the controller under which she would promote its products on her blog and social media profiles. The agreement also allowed the controller to use excerpts of her posts, including images, audio and text, in its own marketing.

After the agreement had expired, the controller continued using the data subject’s name, photographs and comments about its products on its websites. In February 2023, the data subject requested the erasure of her personal data under Article 17 GDPR. The controller rejected the request, claiming that the agreement entitled it to continue using the data and stating that it would not respond to further inquiries.

The data subject lodged a complaint with the DPA arguing that the controller lacked a legal basis for the processing and requesting the erasure of her personal data.

In July 2024, the DPA initiated an investigation and ordered the controller to provide information concerning the processing. The controller challenged the DPA’s competence and refused to provide the agreement underlying the processing, arguing that it was confidential. The Privacy Appeals Board subsequently upheld the DPA’s information order. During the investigation, the controller repeatedly delayed providing requested information and documentation and its CEO sent numerous communications seeking to have the investigation discontinued, including threats of legal action and police reports against DPA employees.

Holding

The DPA held that the controller processed the data subject’s personal data without a valid legal basis under Article 6(1) GDPR and failed to comply with its obligations under Articles 17, 21 and 31 GDPR.

Regarding Article 6(1)(b) GDPR, the DPA rejected the controller’s argument that the processing remained necessary for the performance of the agreement. The agreement expressly had a duration of one year and expired in March 2017. Nothing in its wording established that the controller could continue using the data subject’s personal data after its expiry. Consequently, Article 6(1)(b) GDPR could no longer provide a legal basis for the processing.

The controller also relied on legitimate interests under Article 6(1)(f) GDPR. The DPA noted that the fact that personal data had previously been made publicly available did not remove the requirement for a legal basis. Moreover, the data subject’s request to stop the processing constituted an objection under Article 21(1) GDPR. Since the controller failed to demonstrate compelling legitimate grounds overriding the data subject’s interests, it was required to cease the processing. As the processing was unlawful, the controller was also required under Article 17 GDPR to erase the personal data without undue delay.

The DPA therefore ordered the controller to delete the data subject’s personal data from all websites it operated and to cease using her personal data for marketing purposes unless it obtained a lawful basis for doing so.

Regarding Article 31 GDPR, the DPA held that the duty to cooperate requires controllers to facilitate supervisory investigations and comply with lawful information requests and deadlines. Attempts to delay or halt an investigation may breach Article 31 GDPR even where the supervisory authority is ultimately able to complete its investigation. The controller had intentionally attempted to obstruct the investigation through threats and pressure on DPA employees and had also negligently failed to comply with several deadlines for providing requested documentation.

The DPA considered these circumstances sufficiently serious to warrant an administrative fine and imposed a fine of NOK 205,000 for the infringement of Article 31 GDPR. The decision cannot be appealed to the Privacy Appeals Board but may be challenged before the Oslo District Court.

Comment

Share your comments here!

Further Resources

Share blogs or news articles here!

English Machine Translation of the Decision

The decision below is a machine translation of the Norwegian original. Please refer to the Norwegian original for more details.

Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside:
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
1
LAB PHARMA AS
Postboks 4760 Nydalen
0421 OSLO
Unntatt offentlighet:
Offl. § 13, jf. personopplysningsloven §
24 første ledd 2. punktum
Deres referanse Vår referanse Dato
23/00435-62 12.08.2026
Vedtak om overtredelsesgebyr og pålegg om sletting og stans
1. Vedtaket
Datatilsynet viser til vårt varsel 15. april 2026 og deres merknader til varselet, sendt samme
dag.
Datatilsynet fatter følgende vedtak:
1) Med grunnlag i personvernforordningen artikkel 58 (2) bokstav g pålegger
Datatilsynet Lab Pharma AS å slette personopplysninger, blant annet
hennes navn og bilder av henne, fra alle nettsidene som selskapet driver.
2) Med grunnlag i personvernforordningen artikkel 58 (2) bokstav f pålegger Datatilsynet
Lab Pharma AS å stanse bruken personopplysninger i all markedsføring
inntil det får et lovlig behandlingsgrunnlag.
3) Med grunnlag i personvernforordningen artikkel 58 (2) bokstav i og artikkel 83 ilegger
Datatilsynet Lab Pharma AS et overtredelsesgebyr på 205 000 NOK – to hundre og
fem tusen kroner – for brudd på personvernforordningen artikkel 31.
Betalingsfristen for overtredelsesgebyret er fire uker fra dette vedtakets dato. Statens
innkrevingssentral vil sende betalingsinformasjonen i et eget brev.
2. Sakens bakgrunn
2.1. Klagen mot Lab Pharma 2. februar 2023
Datatilsynet mottok en klage fra (heretter «klager») 2. februar 2023 hvor hun påsto
at Lab Pharma AS (heretter «Lab Pharma») brukte hennes navn og bilder av henne i
selskapets markedsføring, i strid med hennes ønsker.
2
Lab Pharma er et norsk selskap som produserer kosttilskudd som selskapet markedsfører og
selger over internett. De ulike kosttilskuddene selges på selskapets nettsider. Nettsidene
inneholder blant annet bilder av ulike influensere i sammenheng med tekst hvor de forteller
om sine erfaringer med produktene.
Klager jobber som influenser, og i 2016 inngikk hun en avtale med Lab Pharma. Avtalen gikk
ut på at hun skulle markedsføre selskapets produkter på sin blogg og i hennes profiler på
sosiale medier. Ifølge avtalen skulle Lab Pharma også ha rett til å sitere fra og omtale klagers
innlegg om produktene i sin egen markedsføring. Det inkluderte bruk av utdrag fra bilder, lyd
og tekst fra klagers omtale på selskapets nettsider.
Klager mener at selskapet ikke hadde rett til å bruke hennes personopplysninger i deres
markedsføring etter at avtalen utløp.
Den 9. februar 2023 sendte klager en forespørsel til Lab Pharma hvor hun ba om at selskapet
slettet hennes personopplysninger. I den forbindelse viste hun til hennes rett til sletting etter
personvernforordningen artikkel 17.
Selskapet svarte i en e-post samme dag at Lab Pharma hadde grunnlag til å bruke
personopplysningene i avtalen mellom klager og selskapet. Videre skrev selskapet at det ikke
ville besvare flere henvendelser fra klager.
I klagen til Datatilsynet skrev klageren at selskapet manglet behandlingsgrunnlag for bruken
av hennes personopplysninger, og hun ba om selskapet ble pålagt å slette
personopplysningene hennes.
2.2. Datatilsynets saksbehandling
Den 1. juli 2024 sendte Datatilsynet et krav om redegjørelse om behandling av
personopplysninger til Lab Pharma. Der stilte vi spørsmål om selskapets behandling av
klagers personopplysninger, blant annet om hvilket behandlingsgrunnlag selskapet hadde og
om selskapet hadde svart på klagers forespørsel om sletting. På bakgrunn av Datatilsynets
foreløpige undersøkelser i saken stilte vi også spørsmål om personvernerklæringene på flere
av nettsidene til selskapet.
Kravet om redegjørelse var et pålegg om å gi informasjon til Datatilsynet. Pålegget hadde
grunnlag i personvernforordningen artikkel 58 (1) og i personopplysningsloven § 20.
Selskapet fikk frist til å svare innen 12. august 2024 og ble informert om at fristen på å klage
på påleggets gyldighet var tre dager etter at selskapet mottok brevet. Brevet ble sendt via
brevpost til selskapets registrerte postadresse.
Den 10. juli 2024 ba Datatilsynet om bekreftelse på at Lab Pharma hadde mottatt kravet om
redegjørelse. Daglig leder i selskapet svarte at de ikke hadde mottatt noe brev og ba om å få
det tilsendt på e-post, noe vi gjorde samme dag.
3
Senere samme dag sendte Lab Pharma en e-post til Datatilsynet hvor selskapet uttrykte
misnøye med kravet om redegjørelse. Daglig leder i Lab Pharma mente at Datatilsynet ikke
hadde kompetanse til å gjøre undersøkelser i saken. Han skrev også at han ikke ville gi
Datatilsynet en kopi av avtalen som lå til grunn for behandlingen fordi den inneholdt en
konfidensialitetsklausul mellom selskapet og klager.
Datatilsynet svarte i brev 12. juli 2024 at enhver fysisk person har rett til å klage på
behandlingen av sine personopplysninger i tråd med personvernforordningen artikkel 77 og at
en av Datatilsynets oppgaver er å undersøke slike klager. Vi viste også til informasjonen i
kravet om redegjørelse om vår myndighet til å pålegge virksomheter å gi relevant
informasjon. Vi presiserte også at Datatilsynet kan be om tilgang til informasjon uten hinder
av taushetsplikt, i tråd med personopplysningsloven § 23 første avsnitt.
Deretter, i perioden 12. juli 2024 til 9. august 2024, sendte daglig leder i Lab Pharma mange
e-poster til Datatilsynet hvor han blant annet gjentok de samme spørsmålene, truet ansatte i
Datatilsynet med anmeldelser og krevde at Datatilsynet avsluttet saken. E-postene ble også
adressert til Datatilsynets direktør og juridiske direktør. Vi redegjør for innholdet i disse e-
postene på side 11 til 14 vedtaket.
Datatilsynet la til grunn at selskapets misnøye med kravet om redegjørelse var å regne som en
klage på pålegget om å gi informasjon. Derfor ble klagen sendt til vurdering hos
Personvernnemnda 20. august 2024.
I vedtak 27. oktober 2025 stadfestet nemnda gyldigheten av kravet om redegjørelse.
Datatilsynet kunne pålegge Lab Pharma å svare på spørsmålene. Nemnda skrev også at
Datatilsynet hadde rett til å kreve tilgang til avtalen mellom Lab Pharma og klager som lå til
grunn for behandlingen av personopplysningene, selv om avtalen inneholdt en
konfidensialitetsbestemmelse.
Datatilsynet sendte deretter et brev til Lab Pharma 3. november 2025 hvor vi viste til nemndas
vedtak og ba selskapet om å svare på kravet om redegjørelse innen 26. november 2025.
Datatilsynet utsatte fristen til 8. desember 2025 etter at selskapet ba om forlenget svarfrist.
Lab Pharma svarte på kravet om redegjørelse 8. desember 2025, men sendte ikke en kopi av
avtalen. Selskapet ønsket å sende kopien i en «sikker kanal» og ba Datatilsynet om å angi
hvordan den skulle sendes.
Etter mye korrespondanse frem og tilbake mellom Lab Pharma og Datatilsynet, så mottok vi
en kopi av avtalen 23. januar 2026.
Datatilsynet sendte et varsel om vedtak til Lab Pharma 15. april 2026. Datatilsynet varslet at
vi vurderte å ilegge Lab Pharma et overtredelsesgebyr på 205 000 kroner for selskapets brudd
på samarbeidsplikten i personvernforordningen artikkel 21. Vi varslet også at vi mente at Lab
Pharma behandling av klagers personopplysninger var ulovlig, og at vi vurderte å gi pålegg til
selskapet om sletting og stans av behandling.
4
Selskapet svarte på varselet samme dag. Selskapet mente at det ikke hadde brutt
samarbeidsplikten, og at det uansett ville vært uforholdsmessig å ilegge et overtredelsesgebyr.
Lab Pharma holdt fast ved at selskapet hadde et behandlingsgrunnlag i avtalen med klageren.
Selskapet påberopte seg også å ha behandlingsgrunnlag i artikkel 6 (1) bokstav f.
Saken gjelder grenseoverskridende behandling av personopplysninger, se avsnitt 3 i vedtaket.
I tråd med personvernforordningen artikkel 56 (1) og 60 (3) sendte Datatilsynet et utkast til
vedtak til de berørte tilsynsmyndighetene 5. juni 2026. Vi fikk ingen innsigelser etter
personvernforordningen artikkel 4 (24) mot utkastet innen fristen. I tråd med
personvernforordningen artikkel 60 (6) er utkastet derfor bindende.
3. Datatilsynets kompetanse i saken
3.1. Saken gjelder grenseoverskridende behandling
Ifølge personvernforordningen artikkel 4 (23) bokstav b skal behandlingen av
personopplysninger regnes som «grenseoverskridende» hvis en virksomhet som er etablert i
én EØS-stat behandler personopplysninger på en måte som i betydelig grad påvirker eller
sannsynligvis vil påvirke registrerte i flere EØS-stater.
Klagen gjelder deling av klagers personopplysninger, inkludert hennes navn og bilder av
henne, på Lab Pharmas nettsider til markedsføringsformål. Flere av disse nettsidene har
svenske, danske og finske domener, i tillegg til norske.
Da vi undersøkte de ulike nettsidene i desember 2025 fant vi innlegg som viste klagers bilde
og hennes erfaringer med kosttilskuddene. Vi fant også lignende innlegg på nettsidene fra
blant annet svenske influensere. Vi ser også at svenske influensere markedsfører Lab Pharmas
produkter i sosiale medier som for eksempel TikTok.
Datatilsynet ser at Lab Pharmas deling av influenseres bilder og navn på sine nettsider er en
del av selskapets metode for å markedsføres sine produkter. I den forbindelse behandler
selskapet personopplysninger til innbyggere i flere land.
Datatilsynet legger derfor til grunn at den innklagede behandlingen er grenseoverskridende.
3.2. Datatilsynet er ledende tilsynsmyndighet
Ifølge personvernforordningen artikkel 56 (1) er det den ledende tilsynsmyndigheten som er
kompetent til å føre tilsyn med grenseoverskridende behandling.
Den ledende tilsynsmyndigheten er datatilsynet i det landet hvor den behandlingsansvarlige
har sitt europeiske hovedkvarter eller sin eneste etablering i EØS-området. Lab Pharma har
5
adresse i Norge og har ingen andre etableringer i EØS. Derfor er Datatilsynet i Norge den
ledende tilsynsmyndigheten.
Den ledende tilsynsmyndigheten skal behandle saker om grenseoverskridende behandling i
tråd med prosedyren i artikkel 60 i forordningen og samarbeide med berørte
tilsynsmyndigheter. Datatilsynene i Sverige, i Danmark og i Finland har meldt seg som
berørte tilsynsmyndigheter i saken etter artikkel 4 (22) bokstav b.
4. Datatilsynet går ikke videre med undersøkelser rundt Lab Pharmas
forpliktelser om åpenhet om sin behandling av personopplysninger
Klagen 2. februar 2023 gjaldt Lab Pharmas behandling av klagers personopplysninger i sin
markedsføring.
Datatilsynet er ikke bundet av rammene for klagen, og i tråd med personvernforordningen
artikkel 57 (1) bokstav a står vi fritt til å undersøke andre deler av selskapets behandling av
personopplysninger dersom vi mener det er hensiktsmessig.
I kravet om redegjørelse 1. juli 2024 stilte Datatilsynet spørsmål om hvilken informasjon Lab
Pharmas kunder fikk om selskapets behandling av deres personopplysninger på nettsidene. Av
hensyn til sakens fremdrift og begrensede ressurser hos Datatilsynet, så kommer vi ikke til å
gå videre med disse undersøkelsene i denne saken.
Det betyr ikke at Datatilsynet har gjort en materiell vurdering av informasjonen om
behandling av personopplysninger på Lab Pharmas nettsider oppfyller kravene i
personvernforordningen. Datatilsynet kan undersøke dette på et senere tidspunkt dersom vi
mener det er hensiktsmessig.
Datatilsynet avgrenser temaene i denne saken til behandlingen av klagers personopplysninger
og Lab Pharmas samarbeidsplikt i forbindelse med Datatilsynets undersøkelser.
5. Begrunnelse for vedtaket
5.1. Innledende merknader
I det følgende vil Datatilsynet begrunne vårt vedtak. I avsnitt 5.2 begrunner vi påleggene om
sletting av klagers personopplysninger (vedtakspunkt 1) og stans i bruk av klagers
personopplysninger (vedtakspunkt 2). I avsnitt 5.3 begrunner vi vedtaket om
overtredelsesgebyr (vedtakspunkt 3).
6
5.2. Påleggene om sletting og stans av behandling
5.2.1. Lab Pharmasbehandling av personopplysninger er ulovlig
Lab Pharma trengte et behandlingsgrunnlag for å bruke klagers personopplysninger i sin
markedsføring
Klager har gjort gjeldende at Lab Pharmas bruk av hennes personopplysninger i sin
markedsføring er ulovlig og må stanses. Lab Pharma hevdet at selskapet har grunnlag for
behandlingen i avtalen med klager og i sine berettigede interesser
Ifølge personopplysningsloven § 1 gjelder personvernforordningen (GDPR) som norsk lov.
Ifølge artikkel 4 (7) er den som bestemmer formålet med behandlingen og hvilke midler som
skal benyttes den behandlingsansvarlige. Selv om klagers bilder og omtale av Lab Pharmas
produkter er tilgjengelig på hennes blogg og i hennes kanaler på sosiale medier, så er Lab
Pharma likevel behandlingsansvarlig dersom selskapet deler de personopplysningene i
markedsføringen på sine egne nettsider eller i sine nyhetsbrev.
Artikkel 17 (1) bokstav d i forordningen slår fast at den behandlingsansvarlige plikter å slette
personopplysninger uten ugrunnet opphold dersom behandlingen er ulovlig.
Ifølge artikkel 6 (1) er behandling av personopplysninger bare lovlig dersom den kan
forankres i et av de seks ulike behandlingsgrunnlagene i bestemmelsen. Det innebærer at
behandling som ikke har behandlingsgrunnlag er ulovlig.
Det er ikke tvil om at klagers navn, bilde og omtale av Lab Pharmas produkter er
personopplysninger ifølge definisjonen i personvernforordningen artikkel 4 (1).
Det er heller ikke tvil om Lab Pharmas deling av disse personopplysningene i sin
markedsføring er en behandling ifølge definisjonen i artikkel 4 (2).
Lab Pharma trengte derfor å ha et behandlingsgrunnlag i artikkel 6 (1) for å kunne bruke
klagers personopplysninger i sin markedsføring.
Lab Pharma hadde ikke et behandlingsgrunnlag
Spørsmålet er om Lab Pharma hadde behandlingsgrunnlag i artikkel 6 (1) for å dele klagers
personopplysninger i sin markedsføring.
Lab Pharma har gjort gjeldende at behandlingen har vært nødvendig for å oppfylle en avtale
som den registrerte er part i, i tråd med artikkel 6 (1) bokstav b.
Datatilsynet tolker bestemmelsen slik at behandlingen må være objektivt nødvendig av
hensyn til avtalens grunnleggende formål og elementer, tatt i betraktning partenes felles
7
perspektiver og forventninger. Det vil blant annet si at avtalen ikke kan oppfylles uten den
aktuelle behandlingen av personopplysninger.1
Avtalen som Lab Pharma har vist til ble signert av klager 31. mars 2016 og av Lab Pharma 5.
april 2016.
I punkt 3 i avtalen sto det at klager skulle markedsføre Lab Pharmas produkter på sin blogg og
i sine profiler på sosiale medier. Det sto også at klager ikke skulle slette innlegg mv. som
gjaldt Lab Pharmas produkter med mindre hun ble pålagt å gjøre det av offentlige
myndigheter.
På samme sted i avtalen sto følgende om Lab Pharmas adgang til å bruke klagers innlegg fra
sin blogg og hennes profiler i sosiale medier:
«(Lab Pharma) har rett til å sitere fra, og omtale innlegg, meldinger,
produktplassering som (klager) gjør i samsvar med god skikk og vanlig
markedspraksis. (Lab Pharma) kan henvise til (klagers) sider på blogg.no, Facebook,
Instagram og Snapchat, i egen markedsføring på internett når markedsføringen
gjelder produkter som (klager) har omtalt eller vist i hvilket som helst av de mediene
omfattet av denne avtalen hvor hun publiserer i. (Lab Pharma) har også rett til å vise
utdrag av bilder, lyd, tekst og lignende fra samtlige omtaler (klager) har gjort av (Lab
Pharmas) produkter i websider som (Lab Pharma) kontrollerer.»
Punkt 8 i avtalen slo fast at avtalen trådte i kraft 18. mars 2016, og at den skulle gjelde i ett år
fra den datoen.
Lab Pharma har gjort gjeldende at selskapet hadde adgang til å dele personopplysningene etter
at avtaleperioden hadde løpt ut. Selskapet har lagt frem et brev som deres advokat sendte til
klager 6. mars 2018 om selskapets bruk av klagers omtale av produktene i sin markedsføring.
I brevet skrev selskapet at dets rettigheter i punkt 3 i avtalen ikke hadde noen tidsbegrensning.
Selskapet skrev også at avsnittet måtte forstås slik i lys av avtalens formål og øvrige
bestemmelser. I den sammenhengen viste selskapet til at avsnittet om at klager ikke hadde rett
til å slette innlegg med sin omtale at Lab Pharmas produkter, heller ikke hadde noen
tidsbegrensning.
Personvernrådets retningslinjer om artikkel 6 (1) bokstav b inneholder veiledning om hvordan
man skal vurdere om behandlingen faktisk er objektivt nødvendig. Man skal ikke bare ta
hensyn til behandlingsansvarliges perspektiv, men man skal også ta hensyn til perspektivet til
en alminnelig fornuftig registrert part og hva man kan legge til grunn som partenes felles
oppfatning av avtalens formål.2
1 EDPB Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the
provision of online services to data subjects, Version 2.0, avsnitt 30-33.
2 EDPB Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the
provision of online services to data subjects, Version 2.0, para. 32.
8
Ordlyden i punkt 8 i avtalen var derimot helt klar på at avtalen bare skulle gjelde i ett år etter
at den trådte i kraft. Bestemmelsen inneholdt ingen forbehold eller avgrensninger om at deler
av avtalen skulle fortsette å gjelde etter dette tidspunktet. Bestemmelsene i punkt 3 inneholdt
heller ingen vilkår om at Lab Pharma kunne fortsette å bruke klagers personopplysninger etter
utløpet av avtalen.
I punkt 2 er formålene med avtalen blant annet å «styrke den offentlige eksponeringen» for
Lab Pharmas produkter. Dette formålet er ikke såpass klart at det kan innfortolkes et vilkår
om at Lab Pharmas rettigheter ville fortsette å løpe etter avtaleperioden, særlig når en slik
tolkning ikke har grunnlag i avtalens ordlyd.
For at behandlingen skal kunne baseres på artikkel 6 (1) bokstav b, så må det for det foreligge
en avtale som klager er part i. Avtalen utløp i mars 2017. Det er klart at det ikke lenger forelå
en avtale mellom partene da klager ba om sletting i november 2023.
Lab Pharma hadde ikke behandlingsgrunnlag for klagers personopplysninger i artikkel 6 (1)
bokstav b.
I tilsvaret til varselet 15. april 2026 skrev Lab Pharma at det hadde behandlingsgrunnlag i sine
berettigede interesser, i tråd med artikkel 6 (1) bokstav f. Selskapet hevdet at det hadde en
berettiget interesse i å bruke klagers personopplysninger i sin markedsføring. I den
forbindelse viste selskapet til at det brukte personopplysninger som klager allerede hadde delt
andre steder på internett.
Behandling av personopplysninger kan være lovlig dersom behandlingen er nødvendig for
formål knyttet til den behandlingsansvarliges berettigede interesser og den registrertes
interesser eller grunnleggende rettigheter og friheter ikke går foran. Ved denne vurderingen
skal man ta hensyn til den registrertes rimelige forventninger knyttet til behandlingen.
Ifølge artikkel 21 (1) har den registrerte rett til å protestere mot behandlingen dersom den har
grunnlag i artikkel 6 (1) bokstav f. Dersom den registrerte protesterer mot behandlingen, så
skal den behandlingsansvarlige stanse behandlingen med mindre vedkommende kan påvise at
det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes
interesser, rettigheter og friheter.
Selskapet informerte aldri klager om at det behandlet hennes personopplysninger med
grunnlag i sine berettigede interesser. Tvert imot skrev selskapet i svaret på hennes krav om
sletting at behandlingen hadde grunnlag i avtalen og at denne ikke var tidsbegrenset.
Datatilsynet påpeker også at Lab Pharma ikke uten videre kan bruke personopplysninger bare
fordi de er tilgjengelige på andre steder på internett. Det gjelder likevel et krav til
behandlingsgrunnlag. Selv om Lab Pharma hadde en avtale med klager på et tidspunkt, så
mener Datatilsynet det er usannsynlig at klager rimeligvis måtte forvente at hennes
personopplysninger kunne bli brukt på ubestemt tid etter at avtalen hadde løpt ut.
9
Datatilsynet mener det uansett ikke er nødvendig å ta stilling til om vilkårene i artikkel 6 (1)
bokstav f var oppfylt i dette tilfellet. Vi legger til grunn at klagers forespørsel 9. januar 2023
om at Lab Pharma stanset å behandle hennes personopplysninger og slettet dem var en protest
mot behandlingen.
Lab Pharma har ikke lagt frem noen bevis som påviser at det forelå tvingende berettigede
grunner for behandlingen. Selskapet skulle derfor ha avsluttet behandlingen og artikkel 6 (1)
bokstav f var ikke et grunnlag for behandlingen.
Lab Pharma hadde ikke behandlingsgrunnlag for å bruke klagers navn, bilder og hennes
omtaler av selskapets produkter i sin markedsføring da hun ba om at selskapet stanset
behandlingen 9. januar 2023. Ifølge artikkel 17 (1) skulle selskapet ha slettet
personopplysningene uten ugrunnet opphold.
5.2.2. Datatilsynets valg av korrigerende tiltak
Ifølge personvernforordningen artikkel 58 (2) bokstav f kan Datatilsynet ilegge den
behandlingsansvarlige et forbud mot å behandle personopplysninger.
Bokstav g i samme bestemmelse gir oss myndighet til å pålegge den behandlingsansvarlige å
slette personopplysninger.
Da Datatilsynet undersøkte nettsidene som Lab Pharma driver i februar 2026, fant vi flere
tilfeller hvor klagers bilde, navn og hennes omtale av selskapets produkter var synlig på deres
nettsider. Dette var på de hhv. norske, svenske, danske og finske nettsidene for produktserien
«Care & Repair» og gjaldt omtale av produktene Haircare og Vitamin D3.
Siden Lab Pharma manglet et behandlingsgrunnlag Datatilsynet 15. april 2026 at vi ville
pålegge selskapet å slette personopplysningene.
Siden vi sendte varselet ser det ut som om selskapet har slettet flere av klagers
personopplysninger fra nettsidene sine. Vi finner likevel noen tilfeller hvor
personopplysningene fortsatt er på nettsidene.3 Derfor pålegger selskapet å slette klagers
personopplysninger.
Det er også nødvendig at vi ilegger selskapet et forbud mot å behandle klager
personopplysninger, i for eksempel sine nyhetsbrev. Forbudet opphører dersom Lab Pharma
får et lovlig behandlingsgrunnlag i fremtiden.
Siden selskapet behandlet klagers personopplysninger i lang tid, til tross for hennes
innvendinger, mener Datatilsynet at det er nødvendig å ilegge Lab Pharma et forbud mot å
behandle klagers personopplysninger i sin markedsføring. Dette gjelder alle Lab Pharmas
3 Se for eksempel:
10
markedsføringskanaler, slik som selskapets nettsider og nyhetsbrev. Forbudet opphører hvi
selskapet får et lovlig behandlingsgrunnlag i fremtiden.
5.3. Overtredelsesgebyret
5.3.1. Lab Pharmas plikt til å samarbeide med Datatilsynet
Artikkel 57 (1) bokstav a slår fast at en av Datatilsynets oppgaver er å føre tilsyn med og
håndheve reglene i personvernforordningen, og bokstav f i samme bestemmelse slår fast at
Datatilsynet skal behandle klager om brudd på regelverket fra registrerte.
For at Datatilsynet skal kunne utføre sine oppgaver er vi tildelt myndighet i artikkel 58 (1) til
å foreta undersøkelser hos behandlingsansvarlige. Bokstav a i bestemmelsen gir oss
myndighet til å pålegge behandlingsansvarlige, og deres representanter, å legge frem all
informasjon som vi trenger for å utføre våre oppgaver.
Ifølge artikkel 31 i personvernforordningen skal behandlingsansvarlige og deres
representanter på anmodning samarbeide med tilsynsmyndigheten:
«Den behandlingsansvarlige og databehandleren og, dersom det er relevant, deres
representanter skal på anmodning samarbeide med tilsynsmyndigheten i forbindelse
med utførelsen av dens oppgaver.»
Bestemmelsen pålegger den behandlingsansvarlige å etterleve Datatilsynets pålegg og frister
på en ærlig og samarbeidsvillig måte. Den behandlingsansvarlige må også legge til rette for at
Datatilsynet kan gjennomføre sine undersøkelser, som for eksempel ved å legge frem relevant
dokumentasjon om den innklagede behandlingen.
Formålet med denne plikten er at datatilsynsmyndighetene skal ha mulighet til å føre tilsyn
med forordningen effektivt. Detaljene om hvordan den behandlingsansvarlige har innrettet
behandlingen av personopplysninger er sjeldent offentlig tilgjengelig. Datatilsynet trenger
tilgang til slik informasjon for å ta stilling til om behandlingen følger kravene i
personvernforordningen. For å kunne fatte tilstrekkelig utredede vedtak og for å avgjøre
klagesaker innen rimelig tid trenger derfor Datatilsynet at den behandlingsansvarlige
samarbeider med dets undersøkelser.
Lab Pharma skrev i sine merknader til varselet om vedtak at artikkel 31 kun gjelder
situasjoner hvor parten gjør det umulig å undersøke saken eller ignorerer gjentatte
opplysningskrav. Selskapet mener at det ikke er et brudd på artikkel 31 å uttrykke sin misnøye
med et pålegg om å gi informasjon. Lab Pharma mener at det bare er mulig å slå fast et brudd
på artikkel 31 i tilfeller hvor det har objektivt sett vært umulig for tilsynsmyndigheten å utføre
sine oppgaver.
Datatilsynet er ikke enig i Lab Pharmas syn på hvor terskelen for å bryte artikkel 31 ligger.
Det er mulig å forsinke eller å gjøre det vanskeligere for tilsynsmyndigheten å gjøre sine
undersøkelser, uten at det er objektivt umulig for den å gjennomføre dem. Formålet til
11
bestemmelsen tilsier at også forsøk på å forsinke eller å stanse tilsynsmyndighetens
undersøkelser er et brudd på samarbeidsplikten, selv om forsøket ikke er vellykket.
Samarbeidsplikten går ikke så langt at den behandlingsansvarlige må etterleve pålegg som
ikke har rettsgrunnlag i lov. Forvaltningsloven § 14 gir den behandlingsansvarlige en rett til å
klage på gyldigheten av et pålegg om å gi informasjon. Dersom den behandlingsansvarlige
mener at et pålegg er ugyldig, så må vedkommende benytte seg av klageretten for å få
bekreftet det.
5.3.2. Lab Pharmas forsøk på å stanse Datatilsynets undersøkelser i
sommeren 2024 var et brudd på samarbeidsplikten
Lab Pharmas oppførsel overfor Datatilsynet sommeren 2024
Etter at Datatilsynet sendte kravet om redegjørelse 1. juli 2024 har Lab Pharma, ved daglig
leder, gjort vedvarende og kraftig motstand mot våre undersøkelser i saken.
Da selskapet mottok kravet om redegjørelse uttrykte daglig leder misnøye med pålegget i e-
post 10. juli 2024. Han anklaget Datatilsynet for å misbruke sin myndighet ved å representere
klager i det selskapet anså som en kommersiell tvist, antydet at noen i Datatilsynet hadde en
relasjon til klager og ba om en begrunnelse for pålegget. Selskapet varslet også at det ikke
ville gi innsyn i avtalen med klager fordi den inneholdt en konfidensialitetsbestemmelse.
Datatilsynet svarte på Lab Pharmas spørsmål i brev 12. juli 2024. Vi forklarte at vi ikke
representerte klager, og at enhver fysisk person har rett etter personvernforordningen artikkel
77 til å klage på påståtte brudd på forordningen som gjelder deres personopplysninger,
uavhengig av om de opptrådte i profesjonell eller privat sammenheng. Videre redegjorde vi
for vår undersøkelsesmyndighet etter artikkel 58 (1), at vår myndighet til å kreve tilgang til
dokumentasjon ikke var begrenset av taushetsplikt og at alle som var involvert i
saksbehandlingen i Datatilsynet var habile etter forvaltningsloven § 6. I tillegg informerte vi
om at Datatilsynet hadde myndighet til å ilegge overtredelsesgebyr etter artikkel 83 (5)
bokstav e for brudd på plikten til svare på Datatilsynets krav om redegjørelse.
Deretter, i perioden 12. juli 2024 til 9. august 2024, sendte daglig leder i Lab Pharma mer enn
15 e-poster til ulike adressater i Datatilsynet. Disse e-postene var adressert til daværende
saksbehandler og hennes seksjonssjef. I tillegg ble flere av dem sendt til direktøren i
Datatilsynet, samt daværende juridisk direktør.
I disse e-postene gjentok daglig leder spørsmål som Datatilsynet hadde besvart tidligere.
Datatilsynet svarte på e-postene i den utstrekning det var nødvendig for å oppfylle vår
veiledningsplikt etter forvaltningsloven § 11.
I e-post 12. juli 2024 skrev daglig leder i Lab Pharma til daværende saksbehandler:
«Datatilsynet har ingen som helst myndighet til å kreve innsyn i private avtaler nei.
Du har forøvrig heller ikke vist til noen juridiske grunnlag for denne påstanden.
12
Dersom ønsker å få sin sak vurdert må hun benytte domstolene til dette, som
alle andre.
Da de andre spørsmålene du stiller i saken er bygget på et ugyldig grunnlag ref
ovenstående kommer vi ikke til å besvare noen henvendelser videre i denne saken.
Dersom du kontakter meg videre vil jeg anmelde deg for trakassering og selvsagt
kontakte sivilombudsmannen.»
Senere samme dag sendte daglig leder i Lab Pharma følgende e-post til Datatilsynets direktør
og vår juridiske direktør:
«Til Direktør i Datatilsynet.
Vi viser til deres representasjon av den kommersielle influenceren (klager). Kan du
som direktør for Datatilsynet oversende det juridiske grunnlaget for datatilsynets
representasjon av den kommersielle aktøren (klager)? Jeg ønsker også at du
oversender grunnlaget for å mene at dere har noen rettighet til innsyn i en
konfidensiell kommersiell privatrettslig avtale mellom næringsdrivende i denne
sammenheng? (Klager) er en selvstendig næringsdrivende som har vært representert
ved mediehuset Nettavisen AS. Dersom de har synspunkter om det avtalerettslige i
denne avtalen så er ikke Datatilsynet rette instans til å se på dette. Dette er misbruk av
makt og den offentlig stilling og dette kommer vi til å ettergå på alle mulige måter
dersom dette fortsetter med både klage til sivilombudsmannen og erstatningssøksmål.
Vi krever at denne saken trekkes med en bekreftelse til undertegnede omgående og
innen utløpet av denne dagen. Hvis ikke går vi videre med denne saken.»
Saksbehandlers seksjonssjef svarte på e-postene 15. og 16. juli 2024. Han viste til
informasjonen Datatilsynet hadde gitt i våre brev 1. og 12. juli 2024 og formanet Lab Pharma
om å lese dem nøye. I tillegg understreket han at Lab Pharma sto fritt til å klage inn vår
saksbehandling til Sivilombudet.
Samme dag sendte daglig leder i Lab Pharma en e-post til seksjonssjefen i Datatilsynet, med
kopi til saksbehandler, juridisk direktør og direktør i Datatilsynet. I e-posten skrev han at
Datatilsynet ikke hadde redegjort for hvorfor Datatilsynet «representerte» en kommersiell
aktør og at Datatilsynet ikke hadde myndighet til å håndhevede markedsføringsavtaler. I
tillegg skrev han:
«Jeg vil herunder anføre at det i brevets «Krav om redegjørelse om behandling av
personopplysninger» 1. Sakens bakgrunn» ikke er angitt noen bevis for hva Lab
Pharma skal ha gjort. Vi lever vel ikke i et samfunn hvor man på angiveri og anførsler
hele tiden må bevise sin uskyld? Først må det bevises at Lab Pharma har brutt en lov
eller forskrift. Kan dette bevises av Datatilsynet? Eller mener Datatilsynet at de er et
overvåkningsorgan ala Gestapo som kan anklage hvem som helst for et lovbrudd uten
13
bevis for så å be den anklagede om å motbevise denne falske anklagen og på denne
måten lete etter uendelige lovbrudd uten noe juridisk eller beviselig grunnlag?»
Den 15. juli 2024 sendte daglig leder i Lab Pharma også to e-post til Datatilsynets direktør
hvor han ba henne om å bekrefte om Datatilsynet ville fortsette undersøkelsene i saken.
Datatilsynet svarte på disse e-postene 16. juli 2024 og skrev at vi har en utredningsplikt etter
forvaltningsloven § 17. Vi sendte pålegget som en del av undersøkelsene i saken for å høre
Lab Pharmas side av saken. Datatilsynet understreket også at vi ikke hadde konkludert på det
tidspunktet og at vi ikke anså noe som bevist enda.
I ny e-post samme dag anklaget daglig leder i Lab Pharma seksjonssjefen for å konstruere en
tilsynssak uten grunnlag siden klagers bilder og omtale om selskapets produkter lå åpent
tilgjengelig på hennes blogg. I tillegg skrev han:
«Jeg opplever din håndtering i denne saken som et maktmisbruk av din offentlige
stilling. Vi er liten bedrift med få ansatte og har viktigere ting å bruke vår tid på enn
denne meningsløse saken. Vi vil faktisk vurdere å politianmelde deg for misbruk av din
stilling.
Jeg ber deg omgående bekrefte tilbake på denne saken trekkes da den bygger på
ugyldige juridiske argumenter. Du har forøvrig ingen anledning til å true med at du
vil slutte å besvare våre spørsmål da dette er din plikt som offentlig tjenestemann i
henhold til forvaltningsloven § 11. (…)
Så vil jeg ha nevnt at din rolle på vegne av Datatilsynet er å sikre samfunnets
interesser. Det vil si forhindre overvåkning, misbruk av personopplysninger osv.
Datatilsynet skal ikke opptre som advokat eller opptre på vegne av kommersielle
aktører. Dersom (klager) ønsker å få sin avtale vurdert må hun bruke advokat og
domstolene til dette, slik hun forsøkte forgjeves tilbake i 2018. Når dette ikke førte
frem så skal ikke offentlige organer som får sin inntektskilde fra skattebetalerne
brukes på denne måten. Dette er helt feil!
Jeg ber deg snarest og innen torsdag klokken 12:00 denne uken bekrefte tilbake på at
dere opphører deres representasjon av (klager). Hvis ikke vil vi anmelde deg for
misbruk av offentlig stilling.» (Lab Pharmas utheving)
Den 17. juli 2024 sendte også Lab Pharma to e-poster til direktør i Datatilsynet hvor daglig
leder blant annet ba henne om å bekrefte om vi ville fortsette med undersøkelser i saken før
han klaget inn Datatilsynet til Sivilombudet.
Ettersom Datatilsynet ikke hadde skrevet at vi ville avslutte undersøkelsene i saken sendte
daglig leder i Lab Pharma en ny e-post til Datatilsynets direktør 2. august 2024:
«Vi kan ikke se å ha mottatt noe svar her innen svarfristen. Vi har allerede fremlagt bevis fra
advokatfirmaet Thommessen at påstand er feil. Jeg ber en siste gang om
14
omgående bekreftelse på at denne saken trekkes av Datatilsynet. Alle våre svar er å regne
som en klage på deres pålegg om å utlevere informasjon. Jeg vil også ha nevnt at det
fremlegges uriktige udokumenterte påstander i (kravet om redegjørelse) (…).
Påstanden er feil og det er vitterlig personvernerklæring på disse sidene. Dersom
Datatilsynet opprettholder denne påstanden vil dere bli saksøkt og anmeldt for æreskrenkelse.
Lab Pharma har ingen plikt til å besvare på slike uriktige fremsatte påstander. Dersom denne
påstanden opprettholdes ber vi snarest om dokumentasjon på dette. (…)» (Lab Pharmas
utheving)
I e-post til Lab Pharma 6. august 2024 bekreftet daværende saksbehandler i Datatilsynet at vi
hadde notert selskapets klage over pålegget, og at klagen skulle sendes til Personvernnemnda.
Daglig leder i Lab Pharma sendte deretter e-post 6. august 2024 til daværende saksbehandler
og Datatilsynets direktør hvor han blant anklaget Datatilsynet for å prioritere denne saken
fordi klager er en offentlig kjent person. Videre skrev han:
«Hvis ikke denne saken trekkes innen fredag klokken 14:00 vil vi både
politianmelde de ansvarlige for maktmisbruk og kreve erstatning for vår tidsbruk og
de belastninger dette har påført oss. Vi er som sagt en liten bedrift og har trossalt
viktigere ting å bruke vår tid på. Det er tøffe tider i verdensøkonomien og vi har
nettopp klart å snu selskapet fra 3 år med underskudd til et lite overskudd. Det er fint
om dere viser til mer respekt for de mennesker som driver virksomheter i samfunnet og
ikke belemrer bedrifter med grunnløse saker som dette! Vi vil selvsagt også påklage
dette til alle mulige instanser. I den sammenheng ønsker vi en total redegjørelse for
hvilke rettigheter vi har til å påklage Datatilsynet ref forvaltningsloven § 11.» (Lab
Pharmas utheving)
Den 8. august 2024 sendte daglig leder i Lab Pharma en ny e-post til daværende
saksbehandler, med kopi til Datatilsynets direktør, juridisk direktør og saksbehandlers
seksjonssjef, hvor han blant annet skrev:
«Dersom vi ikke mottar bekreftelse innen i morgen klokken 14:00 vil samtlige
involverte parter hos Datatilsynet bli politianmeldt for misbruk av sin stilling. Vi
ønsker også informasjon om hvem som representerer Datatilsynet med tanke på et
erstatningssøksmål - er det et advokatfirma eller er dere selv representanter i retten?»
Daglig leder i Lab Pharma sendte en ytterligere e-post til Datatilsynets direktør 9. august 2024
hvor han skrev at han ville saksøke Datatilsynet med krav om erstatning med mindre hun
avsluttet saken.
Lab Pharmas oppførsel var i strid med samarbeidsplikten
Datatilsynets krav om redegjørelse 1. juli 2024 var et helt typisk pålegg om å gi informasjon.
Det er helt nødvendig for Datatilsynet å gi slike pålegg for å undersøke klagesaker og ta
stilling til om behandlingen av personopplysninger er lovlig. Samarbeidsplikten i
15
personvernforordningen artikkel 31 innebar at Lab Pharmas måtte legge til rette for våre
undersøkelser.
Datatilsynet opplyste om Lab Pharmas klagerett i kravet om redegjørelse, og selskapet
benyttet seg av den muligheten.
Likevel kom daglig leder i selskapet med flere anklager og trusler mot Datatilsynet og dets
ansatte. De som jobbet med saken hos Datatilsynet ble møtt med usaklige karakteristikker og
ble truet med politianmeldelse, og Lab Pharma truet Datatilsynet med søksmål om erstatning
og æreskrenkelser.
Det fremgår uttrykkelig av innholdet i e-postene fra Lab Pharma at formålet var å få
Datatilsynet til å stanse undersøkelsene og avslutte saken uten at vi realitetsbehandlet klagen.
Lab Pharma sendte også flere e-poster til Datatilsynets ledelse, selv om den ikke hadde vært
direkte involvert i saksbehandlingen på det tidspunktet. I e-postene krevde selskapets daglige
leder at vår direktør grep inn i saken og avsluttet den. Datatilsynet legger til grunn at formålet
med å sende e-poster til vår ledelse var å eskalere saken og legge press på saksbehandler om å
avslutte den.
Selskapet hevdet i merknadene til varselet om vedtak at å true med søksmål og
politianmeldelse er legitime midler for å svare på et pålegg som selskapet selv mente var
ulovlig.
Datatilsynet er ikke enig i det. Selskapet hadde rett til å påklage gyldigheten av pålegget til
Personvernnemnda, og selskapet benyttet seg av den muligheten. Datatilsynet mener at man
må skille mellom å benytte de ankemulighetene og rettsmidlene man har og det å true med
rettsprosesser for å oppnå urettmessige fordeler.
Lab Pharma hadde ingen legitim grunn til å fremme truslene som selskapet fremmet.
Selskapet truet med å politianmelde individuelle saksbehandlere som utførte sine lovfestede
oppgaver med formål om at de skulle avslutte undersøkelsene. Dette er uakseptabel oppførsel
som er stikk i strid med plikten til å samarbeide i personvernforordningen artikkel 31.
Datatilsynet mener at Lab Pharmas oppførsel var et klart forsøk på å hindre våre
undersøkelser ved bruk av trusler. Vi er ikke i tvil om at daglig leders oppførsel og fremferd
sommeren 2024 var et brudd på samarbeidsplikten i personvernforordningen artikkel 31.
5.3.3. Lab Pharma brøt samarbeidsplikten
Datatilsynet satte ny frist for å svare på kravet om redegjørelse etter Personvernnemndas
vedtak i oktober 2025
Etter at Personvernnemnda stadfestet gyldigheten av kravet om redegjørelse, sendte
Datatilsynet et brev til Lab Pharma 3. november 2025 hvor vi ba selskapet om å svare på
16
spørsmålene våre og gi oss den relevante dokumentasjonen. Vi satte fristen til å svare 26.
november 2025.
Noen dager før utløpet av fristen ba Lab Pharma om en fristutsettelse. Vi innvilget derfor en
utsatt frist til 8. desember 2025.
Lab Pharma svarte delvis på kravet om redegjørelse på kvelden 8. desember 2025. Selv om
selskapets hovedargument i saken var at det hadde behandlingsgrunnlag i sin avtale med
klager, så la det ikke ved en kopi av avtalen. Lab Pharma hevdet selskapet ønsket å sende
avtalen via «sikker kanal» og at det var opp til Datatilsynet å angi hvordan den skulle sendes.
For å komme videre i saken trengte Datatilsynet en kopi av avtalen. Derfor sendte vi et brev
til Lab Pharma 16. desember 2025 hvor vi ba dem om å sende oss avtalen på Altinn, og at
selskapet måtte sende oss avtalen innen 7. januar 2026.
Etter at den nye fristen hadde løpt ut, sendte Lab Pharma en e-post til Datatilsynet på kvelden
8. januar 2026. Selskapet forklarte at det ikke gikk an å sende inn avtalen i Altinn.
Årsaken til at vi ba Lab Pharma om å sende inn avtalen via Altinn var en misforståelse
mellom saksbehandler og vår IT-avdeling. Saksbehandler ble fortalt at bedrifter kunne sende
oss dokumenter gjennom Altinn, men det stemte ikke.
Datatilsynet svarte Lab Pharma i e-post 9. januar 2026 at det ikke var mulig å sende inn
dokumentasjon i Altinn, og at Altinn er en enveis kommunikasjonskanal for Datatilsynet. Vi
forklarte at selskapet isteden kunne laste opp avtalen i vår løsning for å motta klager og
dokumentasjon som er unntatt offentlighet. Denne skjemaløsningen ligger på Datatilsynets
nettsider, og vi la ved en direktelenke til skjemaløsningen. Vi informerte om at den som lastet
opp avtalen måtte identifisere seg med elektronisk ID.
Daglig leder i Lab Pharma svarte ikke på denne e-posten før 13. januar 2026. Da skrev han at
han ønsket en forklaring på hvordan han kunne bruke Altinn siden vi hadde tidligere hadde
skrevet at han kunne bruke det. Han skrev også at han tok ferie og at Lab Pharma ikke ville
følge opp noen svar fra Datatilsynet før han var tilbake.
Datatilsynet gjentok i e-post 14. januar 2026 informasjonen vi sendte Lab Pharma 9. januar
2026. Lab Pharma svarte ikke på denne e-posten.
Datatilsynet sendte ny e-post til daglig leder i Lab Pharma 16. januar 2026. Vi beklaget at vi
ga uriktig informasjon om at Lab Pharma kunne bruke Altinn, men vi minnet om at vi
korrigerte dette straks da vi ble oppmerksomme på feilen og at fristen hadde vært 7. januar
2026. Vi la også ved en steg-for-steg beskrivelse av hvordan skjemaløsningen vår fungerte og
at selskapet måtte sende inn avtalen senest innen 23. januar 2026. Vi informerte også daglig
leder om dette på tekstmelding.
Lab Pharma lastet opp et blankt dokument i løsningen på kvelden 22. januar 2026.
Datatilsynet sendte en e-post til selskapet 23. januar 2026 og skrev at selskapet selv var
17
ansvarlig for å laste opp riktig dokument til oss. Daglig leder i Lab Pharma lastet til slutt opp
avtalen i vår løsning 23. januar 2026.
Lab Pharma forsinket innsendingen av nødvendig dokumentasjon i saken
Når Datatilsynet setter en frist til å svare på våre spørsmål med grunnlag i vår
undersøkelsesmyndighet i personvernforordningen artikkel 58 (1), så utløser det en rettslig
plikt for mottakeren å svare innen den fristen. Dette er nødvendig for å sikre en
hensiktsmessig fremdrift i saken.
Etter at Personvernnemnda stadfestet gyldigheten av Datatilsynets pålegg om å gi
informasjon, fikk Lab Pharma til sammen fem uker på å svare på kravet om redegjørelse og
legge frem relevant dokumentasjon. Selskapet hadde dermed like lang tid til å stille
Datatilsynet spørsmål om hvordan selskapet kunne sende inn en kopi av avtalen. Likevel
ventet selskapet til etter alminnelig arbeidstid på fristdagen med å spørre om hvordan det
kunne sende inn avtalen.
Fordi Lab Pharma ikke la frem all relevant dokumentasjon innen fristen, så Datatilsynet seg
nødt til å sette en ny frist til 7. januar 2026. Lab Pharma fikk dermed tre ytterligere uker på å
legge frem avtalen.
Lab Pharma ventet til dagen etter den nye fristen med å si ifra at Datatilsynets angitte metode
for å laste opp dokumentasjonen ikke fungerte. Vi rettet øyeblikkelig opp i feilen ved å gi en
riktig forklaring på hvor selskapet kunne laste opp dokumentet. Likevel ventet Lab Pharma i
flere dager med å følge opp dette svaret. Da lastet ikke selskapet opp dokumentet slik vi
hadde bedt det om å gjøre, og daglig leder skrev isteden at han skulle ta ferie og ikke kom til å
følge opp dette før han var tilbake.
Lab Pharma forsinket innsendingen av den etterspurte dokumentasjonen to ganger. I tillegg
har Datatilsynet trengt å bruke uforholdsmessig mye tid på å purre og følge opp Lab Pharmas
utilstrekkelige svar på kravet om redegjørelse.
Dette er klare brudd på Lab Pharmas samarbeidsplikt etter personvernforordningen artikkel
31.
5.3.4. Vilkårene for å ilegge overtredelsesgebyr
Ifølge personvernforordningen artikkel 58 (2) bokstav i har Datatilsynet myndighet til å ilegge
overtredelsesgebyr i tråd med vilkårene i artikkel 83.
Artikkel 83 (1) slår fast at Datatilsynet skal sikre at ilegging av overtredelsesgebyr for brudd
på personvernforordningens regler skal være virkningsfullt, være avskrekkende og stå i et
rimelig forhold til overtredelsen.
18
I samsvar med Høyesteretts praksis, jf. Rt-2012-1556, legger vi til grunn at
overtredelsesgebyr er å anse som straff etter Den europeiske menneskerettighetskonvensjonen
(EMK) artikkel 6. Det kreves derfor klar sannsynlighetsovervekt for overtredelse for å kunne
ilegge gebyr.
Forvaltningsloven § 46 første avsnitt presiserer at det gjelder et skyldkrav for å ilegge
administrative sanksjoner. Med mindre noe annet er bestemt er skyldkravet uaktsomhet. En
virksomhet kan ha opptrådt uaktsomt selv om ingen enkeltperson kan klandres for
overtredelsen.
Personopplysningsloven § 26 slår fast at Datatilsynet kan ilegger overtredelsesgebyr i tråd
med vilkårene i personvernforordningen artikkel 83. Ordlyden i den sistnevnte bestemmelsen
stiller ikke opp et uttrykkelig skyldkrav, men EU-domstolen har slått fast at virksomheten må
ha utvist uaktsomhet eller forsett med hensyn til overtredelsen for å kunne ilegges
overtredelsesgebyr.4 Det er derimot ikke nødvendig at en identifisert enkeltperson i
virksomheten har handlet uaktsomt.5 Det er tilstrekkelig at virksomheten som helhet burde ha
klart å unngå overtredelsen.
5.3.5. Begrunnelse for å ilegge overtredelsesgebyret
Datatilsynet må vurdere om det er virkningsfullt og avskrekkende å ilegge et
overtredelsesgebyr for Lab Pharmas brudd på samarbeidsplikten i artikkel 31 og om
ileggingen av et overtredelsesgebyr vil stå i et rimelig forhold til bruddet.
I artikkel 83 (2) bokstav a til k er det en liste med momenter som Datatilsynet må vurdere når
vi skal ta stilling til om det er virkningsfullt, avskrekkende og forholdsmessig å ilegge et
overtredelsesgebyr.
Vi vurderer de relevante momentene fortløpende nedenfor.
a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til
den berørte behandlingens art, omfang eller formål samt antall registrerte som er
berørt, og omfanget av den skade de har lidd
Overtredelsesgebyret gjelder Lab Pharmas brudd på samarbeidsplikten i
personvernforordningen artikkel 31.
Plikten til å samarbeide med tilsynsmyndigheten når den utfører sine oppgaver eksisterer
blant annet for å sikre at tilsynsmyndighetene kan føre effektivt tilsyn med forordningen.
Datatilsynet må ha reell mulighet til å undersøke og få informasjon om den
behandlingsansvarlige etterlever regelverket. Slik tilgang er også nødvendig for at
Datatilsynet skal avgjøre klagesaker i løpet av rimelig tid.
4 Se punkt 2 i domsslutningen i C-807/21 (Deutsche Wohnen).
5 Se punkt 1 i domsslutningen i C-807/21 (Deutsche Wohnen).
19
I denne saken har Lab Pharma aktivt motarbeidet Datatilsynets undersøkelser. Selv om vi
forklarte at Datatilsynet har en plikt til å undersøke alle klagesaker vi mottar, og at vi ikke
hadde fattet noen konklusjoner om hva som hadde skjedd i saken, så fremmet Lab Pharma
usaklige anklager om misbruk av offentlig myndighet, rolleblanding, trakassering og en
sammenligning med Gestapo.
Som offentlig myndighet må Datatilsynet tåle kritikk når vi utfører våre oppgaver. Personer
og selskapet som vi gir pålegg kan gi uttrykk for sin misnøye og bestride lovligheten av
påleggene. De kan også bruke lovlige midler for å bestride våre pålegg, slik som å klage til
Personvernnemnda eller å bringe inn ugyldighetssøksmål til domstolene. Derfor skal det være
en relativt høy terskel for Datatilsynet å ilegge reaksjoner for bruk av ukvemsord og misnøye
med hvordan vi utøver vår myndighet.
Samtidig går det en grense for hva Datatilsynet og våre saksbehandlere skal tåle. Lab Pharma
truet de ansatte i Datatilsynet med politianmeldelse og søksmål om de fortsatte med
undersøkelsene i saken. Truslene mot ansatte som gjorde jobben sin innenfor de rammene
som loven satte er fullstendig uakseptable.
Datatilsynet mener også det er klart at formålet med disse anklagene og truslene var å stanse
helt legitime undersøkelser som hadde grunnlag i loven. Det står uttrykkelig i e-postene fra
Lab Pharmas daglige leder at han ville gjennomføre truslene sine med mindre Datatilsynet
avsluttet saken.
Det er alvorlig at en virksomhet forsøker å unndra seg Datatilsynets lovlige undersøkelser ved
bruk av urettmessige metoder som trusler og anklager mot Datatilsynets ansatte. I denne
sammenheng viser vi til at trusler om å politianmelde noen for å få vedkommende til å unnlate
å gjøre noe i visse omstendigheter kan være straffbart etter straffeloven § 251 andre avsnitt.
Datatilsynet har ikke myndighet til å ta stilling Lab Pharma brøt dette straffebudet. Vi viser til
straffebudet for å understreke at denne typen atferd ikke er regnet som en lovlig
fremgangsmåte i samfunnet vårt. Lab Pharma hadde lovlige alternativer til å true med
politianmeldelse, som for eksempel å klage inn pålegget om å gi informasjon til
Personvernnemnda.
Det er skjerpende at Lab Pharma brøt samarbeidsplikten ved å ikke etterleve Datatilsynets
frister for å svare på våre pålegg om å gi informasjon. Etter at Personvernnemnda hadde slått
fast Lab Pharma pliktet å svare på våre spørsmål og gi oss relevant dokumentasjon, så
overholdt ikke selskapet fristene for å sende inn avtalen som var det sentrale dokumentet for å
ta stilling til klagens hovedspørsmål.
Etter Datatilsynets vurdering taler karakteren og alvorlighetsgraden av overtredelsen klart for
at det riktig å ilegge et overtredelsesgebyr.
Lab Pharmas oppførsel forsinket Datatilsynets saksbehandling til en viss grad, særlig etter
Personvernnemnda fattet vedtak 27. oktober 2025. Det er likevel ikke tale om en betydelig
forsinkelse. Derfor legger vi ikke dette til grunn i verken skjerpende eller formildende retning.
20
Overtredelsesgebyret gjelder Lab Pharmas brudd på samarbeidsplikten i
personvernforordningen 31. Derfor er det ikke relevant å vurdere antallet berørte registrerte
og behandlingens art, omfang og formål i denne sammenhengen.
b) hvorvidt overtredelse ble begått forsettlig eller uaktsomt
I kravet om redegjørelse opplyste Datatilsynet om Lab Pharmas mulighet til å klage på
pålegget om å gi informasjon til Personvernnemnda, og vi informerte selskapet om
rettsgrunnlaget for pålegget. Vi forklarte også i flere e-poster til selskapet at undersøkelsene i
saken skyldtes vår plikt til å undersøke alle klager vi mottar fra de som har klagerett etter
personvernforordningen artikkel 77 (1). I tillegg skrev vi i e-post 15. juli 2024 at selskapet sto
fritt til å kontakte Sivilombudet.
Daglig leder i Lab Pharma var kjent med Datatilsynets begrunnelse for hvorfor vi hadde
myndighet til å gi pålegget og at selskapet hadde flere legitime måter å bestride påleggets
gyldighet på.
Likevel valgte daglig leder å rette flere anklager og trusler mot Datatilsynet og dets ansatte.
Disse e-postene ble også sendt til Datatilsynets ledelse, selv om den ikke var direkte involvert
i saksbehandlingen. Det er klart at disse handlingene ble gjort med viten og vilje og at daglig
leders formål var å få Datatilsynet til å stanse undersøkelsene i saken.
Daglig leder hadde forsett om å få Datatilsynet til å avslutte undersøkelsene med e-postene. Et
forsettlig brudd på samarbeidsplikten er et skjerpende moment i vurderingen av å ilegge
overtredelsesgebyr.
I tillegg mener Datatilsynet at Lab Pharma uaktsomt brøt samarbeidsplikten da selskapet ikke
overholdt Datatilsynets frister. Selskapet la ikke frem all den etterspurte dokumentasjonen
innen fristen 8. desember 2025, og det forsinket innsendelsen ytterligere etter at Datatilsynet
ga informasjon om at avtalen kunne sendes inn via Datatilsynets klageskjema.
Datatilsynet legger til grunn at det er en alminnelig forventning at en profesjonell
næringsdrivende klarer å forholde seg til frister for å svare på pålegg fra offentlige
myndigheter, og at selskapet, ved behov, klarer å etterspørre ytterligere informasjon om hvor
det kan sende inn svarene sine i god tid før utløpet av fristen.
Dersom Lab Pharma ikke ønsket å sende en kopi av avtalen med klager via e-post eller
brevpost, så burde selskapet ha avklart en annen oversendelsesmetode før fristen løp ut. Det er
Lab Pharma som bærer ansvaret for å sende inn dokumentasjonen i tide, og dette gjelder også
dersom Lab Pharma ikke ønsket å benytte seg av vanlige kommunikasjonskanaler som
rekommandert post.
I merknadene til varselet om vedtak skrev Lab Pharma at selskapet ikke hadde skyld i
forsinkelsene. Selskapet viste blant annet til at Datatilsynet ga uriktig informasjon om
hvordan selskapet kunne sende inn avtalen digitalt.
21
Datatilsynet er ikke enig i at Lab Pharma ikke har skyld i forsinkelsene. Vi satte en tidsfrist
for å sende inn avtalen 8. desember 2025. Innen da hadde selskapet hatt fem uker på seg til å
be om hvordan det kunne sende inn avtale digitalt når de ikke ville bruke e-post eller
brevpost. Selskapet la ikke frem avtalen innen fristen. Lab Pharma ventet isteden til etter
alminnelig arbeidstid på fristdagen for å be om informasjon.
Lab Pharma var kjent med at selskapet kunne bruke brevpost eller e-post. Hvis selskapet
foretrakk å bruke en annen måte å sende inn avtale på, så burde det ha kontaktet Datatilsynet
før fristen løp ut. Dette var uaktsomt av Lab Pharma.
Det var uheldig at Datatilsynet sa i vår e-post 16. desember 2025 at Lab Pharma kunne sende
oss avtalen via Altinn. Samtidig sa Lab Pharma ifra om at Altinn ikke fungerte først etter at
den nye fristen 8. januar 2026 hadde løpt ut. Da vi ble gjort oppmerksomme på feilen 9.
januar 2026, sendte vi øyeblikkelig riktig informasjon om hvordan selskapet kunne sende oss
avtalen.
Den etterfølgende forsinkelsen var Lab Pharmas skyld. Selskapet ventet isteden flere dager
med å svare etter at det fikk korrekt informasjon. Da daglig leder svarte 13. januar 2024 på
vegne av selskapet, skrev han at selskapet ikke ville laste opp dokumentasjonen før vi sendte
ytterligere informasjon om hvorfor han ikke kunne sende inn informasjon via Altinn. I tillegg
skrev han at han ikke ville følge opp saken før han var tilbake fra ferie, vel vitende om at
fristen 7. januar 2026 var utløpt. Lab Pharma sendte ikke inn avtalen før 23. januar 2026, to
uker etter at den nye friste hadde løpt ut.
Daglig leder i Lab Pharma burde ha sendt inn avtalen i vårt digitale skjema så snart som mulig
etter at vi ga selskapet informasjon om det. Han burde eventuelt ha delegert oppgaven til en
kollega om han ikke kunne gjøre det selv. Selskapet trengte ikke mer informasjon om hvorfor
det ikke kunne bruke Altinn etter at vi forklarte at det ikke var mulig og at selskapet måtte
bruket skjemaet vårt isteden.
Det er klart uaktsomt at et profesjonelt foretak, som var klar over at det hadde en rettslig plikt
til å svare på Datatilsynets spørsmål, ikke la til rette for å svare på pålegget så raskt som
mulig.
Samlet sett mener Datatilsynet at Lab Pharma gjennomgående har forholdt seg uaktsomt til
Datatilsynets frister og at dette er skjerpende.
f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de
mulige negative virkningene av den
De aktuelle overtredelsene gjelder brudd på samarbeidsplikten i artikkel 31. Derfor er det ikke
behov for å vurdere dette som et selvstendig moment i dette tilfellet.
k) enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler
som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen
22
Datatilsynet har ikke opplevd å motta trusler av denne typen eller dette omfanget som
reaksjon på et pålegg om å gi informasjon før. Overtredelsesgebyr skal være avskrekkende.
Selv om dette er et ekstraordinært tilfelle, så mener Datatilsynet at det er behov for å sette et
klart eksempel om at dette er ikke akseptabel fremferd slik at lignende situasjoner ikke skjer
igjen. Det er et moment som taler klart for at vi bør ilegge et overtredelsesgebyr.
I merknadene til varselet om vedtak skrev Lab Pharma at Datatilsynet ikke hadde tilstrekkelig
presisert hva undersøkelsene våre handlet om i pålegget 1. juli 2024. Selskapet hevdet også at
vi ikke forklarte rettsgrunnlaget for pålegget. Selskapet mener at Datatilsynet ikke oppfylte
vår veiledningsplikt i § 11 i forvaltningsloven.
Datatilsynet er uenig i dette. Vi forklarte bakgrunnen for undersøkelsene i pålegget, inkludert
påstandene til klager i klagen. Vi forklarte hvilke nettsider vi undersøkte (inkludert lenker). Vi
redegjorde også for de grunnleggende forpliktelsene en behandlingsansvarlig har etter
personvernforordningen, hva rettsgrunnlaget for pålegget vårt var og muligheten til Lab
Pharma til å påklage pålegget. Vi svarte på Lab Pharma spørsmål om pålegget i våre e-poster
12., 15. og 16. juli 2024. Vi forklarte også i e-posten vår 12. juli 2024
at vi kunne ilegge overtredelsesgebyr dersom selskapet ikke svarte på pålegget.
Datatilsynet vil også påpeke at en tilsynsmyndighets eventuelle mangel på å oppfylle
veiledningsplikten eller å begrunne sitt vedtak ikke rettferdiggjør den type trusler som Lab
Pharma rettet mot Datatilsynet i 2024. Dette er oppførselen som vi sanksjonerer med
overtredelsesgebyret. Datatilsynet ser derfor ikke at vi har brutt vår plikt til å begrunne
pålegget eller vår plikt til å veilede Lab Pharma, og dette er heller ikke en formildende
omstendighet.
Truslene og de gjentatte forsinkede svarene som Lab Pharma er ansvarlig for har ført til en
eskalering av undersøkelsene i denne saken. Datatilsynets ledelse er normalt ikke involvert i
en alminnelig klagesak om de registrertes rettigheter, slik som denne. Lab Pharmas pågående
henvendelser, ofte rettet direkte mot ledelsen, samt de gjentatte forsinkelsene, har ført til en
større ressursbruk hos Datatilsynet. Den økte ressursbruken har bestått av merarbeid på å
svare på gjentatte henvendelser om samme tema og involvering av flere medlemmer i ledelsen
i saken enn normalt. Dette er et skjerpende moment.
Datatilsynet har ikke indentifisert andre skjerpende eller formildende omstendigheter i saken.
Datatilsynet har også vurdert momentene som fremgår av artikkel 82 (2) bokstav c, d, e, g, h, i
og j, men ingen av disse har hatt betydning for vår vurdering om å ilegge overtredelsesgebyr i
denne saken.
Konklusjon
Lab Pharma har brutt samarbeidsplikten ved å forsøke å stanse Datatilsynets undersøkelser
med urettmessige metoder. Dette er alvorlig, og et av de sentrale formålene med
samarbeidsplikten er å unngå nettopp slike situasjoner. Det er også skjerpende at Lab Pharmas
23
gjentatte oversittelser av frister og omfattende mengde henvendelser har ført til en
unødvendig ressursbruk hos Datatilsynet.
Datatilsynet mener at det er utilstrekkelig å ilegge en irettesettelse etter
personvernforordningen artikkel 58 (2) bokstav b i denne saken.
Dette er atferd som Datatilsynet ønsker å forhindre i fremtidig saksbehandling. Etter vår
vurdering er det derfor virkningsfullt, avskrekkende og forholdsmessig å ilegge et
overtredelsesgebyr i denne saken.
5.3.6. Beregningen av overtredelsesgebyrets størrelse
Ifølge personvernforordningen artikkel 83 (4) bokstav a er maksimalnivået på et gebyr for
brudd på samarbeidsplikten i artikkel 31 enten 10 millioner euro eller opptil 2 % av Lab
Pharmas globale årsomsetning i forrige regnskapsår. Datatilsynet skal velge det høyeste av de
to som maksimalnivået.
Lab Pharmas omsetning overstiger ikke 500 millioner euro, så maksimalnivået i denne saken
vil være 10 millioner euro. Det tilsvarer 111 916 000 kroner.
Overtredelsesgebyret skal være stort nok til at det er virkningsfullt, virker avskrekkende og at
det står i et rimelig forhold til overtredelsen.
Ved utmålingen av gebyrets størrelse har Datatilsynet basert seg på Personvernrådets
retningslinjer for utmåling av overtredelsesgebyr, som supplerer retningslinjene fra 2017.6
Formålet med retningslinjene er å harmonisere metodikken datatilsynsmyndighetene bruker
for å fastsette nivået på overtredelsesgebyr etter artikkel 83.
Metodikken i retningslinjene går ut på først å identifisere et utgangspunkt for fastsettelsen av
gebyrets størrelse. Utgangspunktet baseres på overtredelsens karakter, alvor og varighet, samt
skyldgraden og hvilke typer personopplysninger overtredelsen gjelder. Fastsettelsen skjer
deretter ved at øvrige skjerpende og formidlende elementer og selskapets omsetning vurderes
for å gjøre gebyret virkningsfullt, avskrekkende og forholdsmessig.
Datatilsynet legger vekt på at overtredelsens karakter er et forsøk på å unndra seg tilsyn fra
Datatilsynet. Vi er myndigheten som skal sørge for at blant annet private virksomheter
etterlever personvernregelverket. Det er alvorlig at Lab Pharma forsøkte å stanse et lovlig
tilsyn, og det er skjerpende at selskapet forsøkte å bruke trusler og anklager for å oppnå det.
Det er også skjerpende at Lab Pharma har forsettlig forsøkt å stanse Datatilsynets
undersøkelser ved trusler og anklager.
6 EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR.
24
Overtredelsen er nokså alvorlig, og etter Datatilsynets syn er det forholdsmessig at det
reageres med et relativt høyt gebyr. Derfor velger vi en sum på 45 % av maksimalnivået som
utgangspunkt for gebyret.
Dette utgangspunktet skal justeres med hensyn til selskapets årsomsetning.
EU-domstolen har slått fast at dersom selskapet som ilegges et overtredelsesgebyr er en del av
et konsern, så skal datatilsynsmyndighetene ta hensyn til hele konsernets økonomiske evne
for å sikre at gebyret er virkningsfullt, avskrekkende og forholdsmessig.7 EU-domstolen har
slått fast at man skal anta at morselskap som eier 100 % av et datterselskap utgjør én
virksomhet hvor morselskapet også skal holdes ansvarlig for overtredelsene til
datterselskapet.8 Det er ikke nødvendig for tilsynsmyndigheten å påvise at morselskapet har
vært direkte involvert i overtredelsen. Det er en presumpsjon om at morselskapet er solidarisk
ansvarlig med datterselskapet. Det er morselskapet som må tilbakevise presumpsjonen ved å
legge frem bevis på at datterselskapet opptrer uavhengig av morselskapet.
Lab Pharma er heleid av selskapet Ter Rek AS (heretter «Ter Rek»). Daglig leder og
styreleder i Lab Pharma er også styreleder og heleier i Ter Rek. Ifølge Brønnøysundregisteret
er Ter Reks vedtektsfestede formål å investere i andre selskap, og selskapet har næringskode
47.270 (detaljhandel med nærings- og nytelsesmidler ellers). Det er samme næringskode som
Lab Pharma. I Brønnøysundregisteret står det også at selskapets funksjon er
«Hovedkontortjenester: Yter tjenester til eget konsern». Datatilsynet kjenner til at
næringskoder ikke har noen rettslig virkning, men etter vårt syn underbygger de like kodene i
dette tilfellet at selskapene ikke er uavhengig av hverandre.
I merknadene til varselet om vedtak skrev Lab Pharma at de to selskapene ikke er én
virksomhet. Lab Pharma hevder at Ter Rek er et holdingselskap uten fast ansatte. Ter Reks
omsetning stammer fra utleie av fast eiendom i Oslo. Lab Pharma hevdet at det ikke var noen
økonomisk sammenheng mellom selskapene.
Datatilsynet mener at dette ikke er tilstrekkelig for å tilbakevise presumpsjonen om at
selskapene er én virksomhet. Begge selskapene er eid og kontrollert av den sammen fysiske
personen og selskapene er økonomisk knyttet til hverandre. Bare fordi Ter Rek ikke er direkte
involvert i Lab Pharmas daglige virksomhet er ikke i seg selv nok til å legge til grunn at
selskapene utgjør ulike virksomheter.
Lab Pharma er en del av én virksomhet sammen med Ter Rek. Derfor skal omsetningen til
begge selskapene legges til grunn i beregningen av overtredelsesgebyret. Det er for å sikre at
gebyret er virkningsfullt, virker avskrekkende og står i et rimelig forhold til overtredelsen.
Årsomsetningen til selskapene var til sammen 26 747 720 kroner i 2024. Det tilsvarer
2 409 969 euro. Ifølge retningslinjene for utmåling av overtredelsesgebyr bør gebyret
reduseres til mellom 0,3 til 2 % av utgangspunktet dersom årsomsetningen er mellom 2 og 10
7 Se C-383/23 (ILVA), avsnitt 29.
8 Se C-97/08 P (Akzo and Others v Commission), avsnitt 59-61.
25
millioner euro. I dette tilfellet mener Datatilsynet at 0,4 % av utgangspunktet er passende. Det
justerte utgangspunktet for gebyret er derfor 201 448 kroner.
I merknadene til varselet om vedtak skrev Lab Pharma at Datatilsynet ikke tok tilstrekkelig
hensyn til at selskapet har hatt negative driftsresultat. I lys av dette mente Lab Pharma at det
ville være uforholdsmessig å ilegge selskapet et overtredelsesgebyr.
Datatilsynets beregning er basert på virksomhetens omsetning, og ikke på resultatet. Det er i
tråd med metodikken i retningslinjene for utmåling av overtredelsesgebyr. Retningslinjene
slår fast at en reduksjon av gebyret på grunn av manglende evne til å betale gebyret kun skal
skje i «ekstraordinære omstendigheter». I tillegg må det legges frem «objektive bevis på at
overtredelsesgebyret vil gjøre uopprettelig skade på den økonomiske levedyktigheten til
virksomheten».9
Lab Pharma har bare hevdet at selskapet har gått med tap. Det la ikke frem noen bevis for å
underbygge påstanden. Virksomhetens årsrapport for 2025 var ikke offentlig tilgjengelig på
vedtakstidspunktet. Lab Pharma har ikke gitt noen opplysninger om årsresultatet i 2025. De
offentlige årsrapportene til Lab Pharma viser at selskapet gikk i pluss i 2024, mens det gikk
med tap i 2023 og 2022. Basert på disse opplysningene mener Datatilsynet at det ikke
foreligger noen ekstraordinære omstendigheter rundt Lab Pharmas finanser som skulle tilsi en
reduksjon eller et bortfall av gebyret.
Totalt sett mener Datatilsynet at det er passende med et relativt høyt gebyr. Derfor mener vi at
et overtredelsesgebyr på 205 000 kroner vil være virkningsfullt, avskrekkende og stå i et
rimelig forhold til overtredelsen.
6. Rettsmidler mot vedtaket
Dette vedtaket er fattet etter personvernforordningen artikkel 56 og kapittel VII. I tråd med
personopplysningsloven § 22 andre avsnitt andre setning kan ikke vedtaket påklages til
Personvernnemnda.
Vedtaket kan bringes inn ved søksmål til Oslo tingrett i tråd med personvernforordningen
artikkel 78 (1), personopplysningsloven § 25 og tvisteloven § 4-4 (4).
Med vennlig hilsen
Line Coll
direktør
Tobias Judin
seksjonssjef
9 EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, avsnitt 140 flg.
26
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer