Datatilsynet ordered Lab Pharma AS to erase influencer's personal data used after

Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no 0105 OSLO 0191 OSLO 1 LAB PHARMA AS Postboks 4760 Nydalen 0421 OSLO Unntatt offentlighet: Offl. § 13, jf. personopplysningsloven § 24 første ledd 2. punktum Deres referanse Vår referanse Dato 23/00435-62 12.08.2026 Vedtak om overtredelsesgebyr og pålegg om sletting og stans 1. Vedtaket Datatilsynet viser til vårt varsel 15. april 2026 og deres merknader til varselet, sendt samme dag. Datatilsynet fatter følgende vedtak: 1) Med grunnlag i personvernforordningen artikkel 58 (2) bokstav g pålegger Datatilsynet Lab Pharma AS å slette personopplysninger, blant annet hennes navn og bilder av henne, fra alle nettsidene som selskapet driver. 2) Med grunnlag i personvernforordningen artikkel 58 (2) bokstav f pålegger Datatilsynet Lab Pharma AS å stanse bruken personopplysninger i all markedsføring inntil det får et lovlig behandlingsgrunnlag. 3) Med grunnlag i personvernforordningen artikkel 58 (2) bokstav i og artikkel 83 ilegger Datatilsynet Lab Pharma AS et overtredelsesgebyr på 205 000 NOK – to hundre og fem tusen kroner – for brudd på personvernforordningen artikkel 31.

Betalingsfristen for overtredelsesgebyret er fire uker fra dette vedtakets dato. Statens innkrevingssentral vil sende betalingsinformasjonen i et eget brev. 2. Sakens bakgrunn 2.1. Klagen mot Lab Pharma 2. februar 2023 Datatilsynet mottok en klage fra (heretter «klager») 2. februar 2023 hvor hun påsto at Lab Pharma AS (heretter «Lab Pharma») brukte hennes navn og bilder av henne i selskapets markedsføring, i strid med hennes ønsker. 2 Lab Pharma er et norsk selskap som produserer kosttilskudd som selskapet markedsfører og selger over internett. De ulike kosttilskuddene selges på selskapets nettsider. Nettsidene inneholder blant annet bilder av ulike influensere i sammenheng med tekst hvor de forteller om sine erfaringer med produktene. Klager jobber som influenser, og i 2016 inngikk hun en avtale med Lab Pharma. Avtalen gikk ut på at hun skulle markedsføre selskapets produkter på sin blogg og i hennes profiler på sosiale medier.

Ifølge avtalen skulle Lab Pharma også ha rett til å sitere fra og omtale klagers innlegg om produktene i sin egen markedsføring. Det inkluderte bruk av utdrag fra bilder, lyd og tekst fra klagers omtale på selskapets nettsider. Klager mener at selskapet ikke hadde rett til å bruke hennes personopplysninger i deres markedsføring etter at avtalen utløp. Den 9. februar 2023 sendte klager en forespørsel til Lab Pharma hvor hun ba om at selskapet slettet hennes personopplysninger. I den forbindelse viste hun til hennes rett til sletting etter personvernforordningen artikkel 17. Selskapet svarte i en e-post samme dag at Lab Pharma hadde grunnlag til å bruke personopplysningene i avtalen mellom klager og selskapet. Videre skrev selskapet at det ikke ville besvare flere henvendelser fra klager. I klagen til Datatilsynet skrev klageren at selskapet manglet behandlingsgrunnlag for bruken av hennes personopplysninger, og hun ba om selskapet ble pålagt å slette personopplysningene hennes. 2.2.

Datatilsynets saksbehandling Den 1. juli 2024 sendte Datatilsynet et krav om redegjørelse om behandling av personopplysninger til Lab Pharma. Der stilte vi spørsmål om selskapets behandling av klagers personopplysninger, blant annet om hvilket behandlingsgrunnlag selskapet hadde og om selskapet hadde svart på klagers forespørsel om sletting. På bakgrunn av Datatilsynets foreløpige undersøkelser i saken stilte vi også spørsmål om personvernerklæringene på flere av nettsidene til selskapet. Kravet om redegjørelse var et pålegg om å gi informasjon til Datatilsynet. Pålegget hadde grunnlag i personvernforordningen artikkel 58 (1) og i personopplysningsloven § 20. Selskapet fikk frist til å svare innen 12. august 2024 og ble informert om at fristen på å klage på påleggets gyldighet var tre dager etter at selskapet mottok brevet. Brevet ble sendt via brevpost til selskapets registrerte postadresse.

Den 10. juli 2024 ba Datatilsynet om bekreftelse på at Lab Pharma hadde mottatt kravet om redegjørelse. Daglig leder i selskapet svarte at de ikke hadde mottatt noe brev og ba om å få det tilsendt på e-post, noe vi gjorde samme dag. 3 Senere samme dag sendte Lab Pharma en e-post til Datatilsynet hvor selskapet uttrykte misnøye med kravet om redegjørelse. Daglig leder i Lab Pharma mente at Datatilsynet ikke hadde kompetanse til å gjøre undersøkelser i saken. Han skrev også at han ikke ville gi Datatilsynet en kopi av avtalen som lå til grunn for behandlingen fordi den inneholdt en konfidensialitetsklausul mellom selskapet og klager. Datatilsynet svarte i brev 12. juli 2024 at enhver fysisk person har rett til å klage på behandlingen av sine personopplysninger i tråd med personvernforordningen artikkel 77 og at en av Datatilsynets oppgaver er å undersøke slike klager. Vi viste også til informasjonen i kravet om redegjørelse om vår myndighet til å pålegge virksomheter å gi relevant informasjon.

Vi presiserte også at Datatilsynet kan be om tilgang til informasjon uten hinder av taushetsplikt, i tråd med personopplysningsloven § 23 første avsnitt. Deretter, i perioden 12. juli 2024 til 9. august 2024, sendte daglig leder i Lab Pharma mange e-poster til Datatilsynet hvor han blant annet gjentok de samme spørsmålene, truet ansatte i Datatilsynet med anmeldelser og krevde at Datatilsynet avsluttet saken. E-postene ble også adressert til Datatilsynets direktør og juridiske direktør. Vi redegjør for innholdet i disse e- postene på side 11 til 14 vedtaket. Datatilsynet la til grunn at selskapets misnøye med kravet om redegjørelse var å regne som en klage på pålegget om å gi informasjon. Derfor ble klagen sendt til vurdering hos Personvernnemnda 20. august 2024. I vedtak 27. oktober 2025 stadfestet nemnda gyldigheten av kravet om redegjørelse. Datatilsynet kunne pålegge Lab Pharma å svare på spørsmålene.

Nemnda skrev også at Datatilsynet hadde rett til å kreve tilgang til avtalen mellom Lab Pharma og klager som lå til grunn for behandlingen av personopplysningene, selv om avtalen inneholdt en konfidensialitetsbestemmelse. Datatilsynet sendte deretter et brev til Lab Pharma 3. november 2025 hvor vi viste til nemndas vedtak og ba selskapet om å svare på kravet om redegjørelse innen 26. november 2025. Datatilsynet utsatte fristen til 8. desember 2025 etter at selskapet ba om forlenget svarfrist. Lab Pharma svarte på kravet om redegjørelse 8. desember 2025, men sendte ikke en kopi av avtalen. Selskapet ønsket å sende kopien i en «sikker kanal» og ba Datatilsynet om å angi hvordan den skulle sendes. Etter mye korrespondanse frem og tilbake mellom Lab Pharma og Datatilsynet, så mottok vi en kopi av avtalen 23. januar 2026. Datatilsynet sendte et varsel om vedtak til Lab Pharma 15. april 2026. Datatilsynet varslet at vi vurderte å ilegge Lab Pharma et overtredelsesgebyr på 205 000 kroner for selskapets brudd på samarbeidsplikten i personvernforordningen artikkel 21.

Vi varslet også at vi mente at Lab Pharma behandling av klagers personopplysninger var ulovlig, og at vi vurderte å gi pålegg til selskapet om sletting og stans av behandling. 4 Selskapet svarte på varselet samme dag. Selskapet mente at det ikke hadde brutt samarbeidsplikten, og at det uansett ville vært uforholdsmessig å ilegge et overtredelsesgebyr. Lab Pharma holdt fast ved at selskapet hadde et behandlingsgrunnlag i avtalen med klageren. Selskapet påberopte seg også å ha behandlingsgrunnlag i artikkel 6 (1) bokstav f. Saken gjelder grenseoverskridende behandling av personopplysninger, se avsnitt 3 i vedtaket. I tråd med personvernforordningen artikkel 56 (1) og 60 (3) sendte Datatilsynet et utkast til vedtak til de berørte tilsynsmyndighetene 5. juni 2026. Vi fikk ingen innsigelser etter personvernforordningen artikkel 4 (24) mot utkastet innen fristen. I tråd med personvernforordningen artikkel 60 (6) er utkastet derfor bindende. 3.

Datatilsynene i Sverige, i Danmark og i Finland har meldt seg som berørte tilsynsmyndigheter i saken etter artikkel 4 (22) bokstav b. 4. Datatilsynet går ikke videre med undersøkelser rundt Lab Pharmas forpliktelser om åpenhet om sin behandling av personopplysninger Klagen 2. februar 2023 gjaldt Lab Pharmas behandling av klagers personopplysninger i sin markedsføring. Datatilsynet er ikke bundet av rammene for klagen, og i tråd med personvernforordningen artikkel 57 (1) bokstav a står vi fritt til å undersøke andre deler av selskapets behandling av personopplysninger dersom vi mener det er hensiktsmessig. I kravet om redegjørelse 1. juli 2024 stilte Datatilsynet spørsmål om hvilken informasjon Lab Pharmas kunder fikk om selskapets behandling av deres personopplysninger på nettsidene. Av hensyn til sakens fremdrift og begrensede ressurser hos Datatilsynet, så kommer vi ikke til å gå videre med disse undersøkelsene i denne saken.

Det betyr ikke at Datatilsynet har gjort en materiell vurdering av informasjonen om behandling av personopplysninger på Lab Pharmas nettsider oppfyller kravene i personvernforordningen. Datatilsynet kan undersøke dette på et senere tidspunkt dersom vi mener det er hensiktsmessig. Datatilsynet avgrenser temaene i denne saken til behandlingen av klagers personopplysninger og Lab Pharmas samarbeidsplikt i forbindelse med Datatilsynets undersøkelser. 5. Begrunnelse for vedtaket 5.1. Innledende merknader I det følgende vil Datatilsynet begrunne vårt vedtak. I avsnitt 5.2 begrunner vi påleggene om sletting av klagers personopplysninger (vedtakspunkt 1) og stans i bruk av klagers personopplysninger (vedtakspunkt 2). I avsnitt 5.3 begrunner vi vedtaket om overtredelsesgebyr (vedtakspunkt 3). 6 5.2. Påleggene om sletting og stans av behandling 5.2.1. Lab Pharmasbehandling av personopplysninger er ulovlig Lab Pharma trengte et behandlingsgrunnlag for å bruke klagers personopplysninger i sin markedsføring Klager har gjort gjeldende at Lab Pharmas bruk av hennes personopplysninger i sin markedsføring er ulovlig og må stanses.

Lab Pharma hevdet at selskapet har grunnlag for behandlingen i avtalen med klager og i sine berettigede interesser Ifølge personopplysningsloven § 1 gjelder personvernforordningen (GDPR) som norsk lov. Ifølge artikkel 4 (7) er den som bestemmer formålet med behandlingen og hvilke midler som skal benyttes den behandlingsansvarlige. Selv om klagers bilder og omtale av Lab Pharmas produkter er tilgjengelig på hennes blogg og i hennes kanaler på sosiale medier, så er Lab Pharma likevel behandlingsansvarlig dersom selskapet deler de personopplysningene i markedsføringen på sine egne nettsider eller i sine nyhetsbrev. Artikkel 17 (1) bokstav d i forordningen slår fast at den behandlingsansvarlige plikter å slette personopplysninger uten ugrunnet opphold dersom behandlingen er ulovlig. Ifølge artikkel 6 (1) er behandling av personopplysninger bare lovlig dersom den kan forankres i et av de seks ulike behandlingsgrunnlagene i bestemmelsen.

Det innebærer at behandling som ikke har behandlingsgrunnlag er ulovlig. Det er ikke tvil om at klagers navn, bilde og omtale av Lab Pharmas produkter er personopplysninger ifølge definisjonen i personvernforordningen artikkel 4 (1). Det er heller ikke tvil om Lab Pharmas deling av disse personopplysningene i sin markedsføring er en behandling ifølge definisjonen i artikkel 4 (2). Lab Pharma trengte derfor å ha et behandlingsgrunnlag i artikkel 6 (1) for å kunne bruke klagers personopplysninger i sin markedsføring. Lab Pharma hadde ikke et behandlingsgrunnlag Spørsmålet er om Lab Pharma hadde behandlingsgrunnlag i artikkel 6 (1) for å dele klagers personopplysninger i sin markedsføring. Lab Pharma har gjort gjeldende at behandlingen har vært nødvendig for å oppfylle en avtale som den registrerte er part i, i tråd med artikkel 6 (1) bokstav b. Datatilsynet tolker bestemmelsen slik at behandlingen må være objektivt nødvendig av hensyn til avtalens grunnleggende formål og elementer, tatt i betraktning partenes felles 7 perspektiver og forventninger.

Bestemmelsen inneholdt ingen forbehold eller avgrensninger om at deler av avtalen skulle fortsette å gjelde etter dette tidspunktet. Bestemmelsene i punkt 3 inneholdt heller ingen vilkår om at Lab Pharma kunne fortsette å bruke klagers personopplysninger etter utløpet av avtalen. I punkt 2 er formålene med avtalen blant annet å «styrke den offentlige eksponeringen» for Lab Pharmas produkter. Dette formålet er ikke såpass klart at det kan innfortolkes et vilkår om at Lab Pharmas rettigheter ville fortsette å løpe etter avtaleperioden, særlig når en slik tolkning ikke har grunnlag i avtalens ordlyd. For at behandlingen skal kunne baseres på artikkel 6 (1) bokstav b, så må det for det foreligge en avtale som klager er part i. Avtalen utløp i mars 2017. Det er klart at det ikke lenger forelå en avtale mellom partene da klager ba om sletting i november 2023. Lab Pharma hadde ikke behandlingsgrunnlag for klagers personopplysninger i artikkel 6 (1) bokstav b. I tilsvaret til varselet 15. april 2026 skrev Lab Pharma at det hadde behandlingsgrunnlag i sine berettigede interesser, i tråd med artikkel 6 (1) bokstav f. Selskapet hevdet at det hadde en berettiget interesse i å bruke klagers personopplysninger i sin markedsføring.

I den forbindelse viste selskapet til at det brukte personopplysninger som klager allerede hadde delt andre steder på internett. Behandling av personopplysninger kan være lovlig dersom behandlingen er nødvendig for formål knyttet til den behandlingsansvarliges berettigede interesser og den registrertes interesser eller grunnleggende rettigheter og friheter ikke går foran. Ved denne vurderingen skal man ta hensyn til den registrertes rimelige forventninger knyttet til behandlingen. Ifølge artikkel 21 (1) har den registrerte rett til å protestere mot behandlingen dersom den har grunnlag i artikkel 6 (1) bokstav f. Dersom den registrerte protesterer mot behandlingen, så skal den behandlingsansvarlige stanse behandlingen med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter. Selskapet informerte aldri klager om at det behandlet hennes personopplysninger med grunnlag i sine berettigede interesser.

Tvert imot skrev selskapet i svaret på hennes krav om sletting at behandlingen hadde grunnlag i avtalen og at denne ikke var tidsbegrenset. Datatilsynet påpeker også at Lab Pharma ikke uten videre kan bruke personopplysninger bare fordi de er tilgjengelige på andre steder på internett. Det gjelder likevel et krav til behandlingsgrunnlag. Selv om Lab Pharma hadde en avtale med klager på et tidspunkt, så mener Datatilsynet det er usannsynlig at klager rimeligvis måtte forvente at hennes personopplysninger kunne bli brukt på ubestemt tid etter at avtalen hadde løpt ut. 9 Datatilsynet mener det uansett ikke er nødvendig å ta stilling til om vilkårene i artikkel 6 (1) bokstav f var oppfylt i dette tilfellet. Vi legger til grunn at klagers forespørsel 9. januar 2023 om at Lab Pharma stanset å behandle hennes personopplysninger og slettet dem var en protest mot behandlingen. Lab Pharma har ikke lagt frem noen bevis som påviser at det forelå tvingende berettigede grunner for behandlingen.

6 (1) bokstav f var ikke et grunnlag for behandlingen. Lab Pharma hadde ikke behandlingsgrunnlag for å bruke klagers navn, bilder og hennes omtaler av selskapets produkter i sin markedsføring da hun ba om at selskapet stanset behandlingen 9. januar 2023. Ifølge artikkel 17 (1) skulle selskapet ha slettet personopplysningene uten ugrunnet opphold. 5.2.2. Datatilsynets valg av korrigerende tiltak Ifølge personvernforordningen artikkel 58 (2) bokstav f kan Datatilsynet ilegge den behandlingsansvarlige et forbud mot å behandle personopplysninger. Bokstav g i samme bestemmelse gir oss myndighet til å pålegge den behandlingsansvarlige å slette personopplysninger. Da Datatilsynet undersøkte nettsidene som Lab Pharma driver i februar 2026, fant vi flere tilfeller hvor klagers bilde, navn og hennes omtale av selskapets produkter var synlig på deres nettsider.

Dette var på de hhv. norske, svenske, danske og finske nettsidene for produktserien «Care & Repair» og gjaldt omtale av produktene Haircare og Vitamin D3. Siden Lab Pharma manglet et behandlingsgrunnlag Datatilsynet 15. april 2026 at vi ville pålegge selskapet å slette personopplysningene. Siden vi sendte varselet ser det ut som om selskapet har slettet flere av klagers personopplysninger fra nettsidene sine. Vi finner likevel noen tilfeller hvor personopplysningene fortsatt er på nettsidene.3 Derfor pålegger selskapet å slette klagers personopplysninger. Det er også nødvendig at vi ilegger selskapet et forbud mot å behandle klager personopplysninger, i for eksempel sine nyhetsbrev. Forbudet opphører dersom Lab Pharma får et lovlig behandlingsgrunnlag i fremtiden. Siden selskapet behandlet klagers personopplysninger i lang tid, til tross for hennes innvendinger, mener Datatilsynet at det er nødvendig å ilegge Lab Pharma et forbud mot å behandle klagers personopplysninger i sin markedsføring.

3 Se for eksempel: 10 markedsføringskanaler, slik som selskapets nettsider og nyhetsbrev. Forbudet opphører hvi selskapet får et lovlig behandlingsgrunnlag i fremtiden. 5.3. Overtredelsesgebyret 5.3.1. Lab Pharmas plikt til å samarbeide med Datatilsynet Artikkel 57 (1) bokstav a slår fast at en av Datatilsynets oppgaver er å føre tilsyn med og håndheve reglene i personvernforordningen, og bokstav f i samme bestemmelse slår fast at Datatilsynet skal behandle klager om brudd på regelverket fra registrerte. For at Datatilsynet skal kunne utføre sine oppgaver er vi tildelt myndighet i artikkel 58 (1) til å foreta undersøkelser hos behandlingsansvarlige. Bokstav a i bestemmelsen gir oss myndighet til å pålegge behandlingsansvarlige, og deres representanter, å legge frem all informasjon som vi trenger for å utføre våre oppgaver. Ifølge artikkel 31 i personvernforordningen skal behandlingsansvarlige og deres representanter på anmodning samarbeide med tilsynsmyndigheten: «Den behandlingsansvarlige og databehandleren og, dersom det er relevant, deres representanter skal på anmodning samarbeide med tilsynsmyndigheten i forbindelse med utførelsen av dens oppgaver.» Bestemmelsen pålegger den behandlingsansvarlige å etterleve Datatilsynets pålegg og frister på en ærlig og samarbeidsvillig måte.

Den behandlingsansvarlige må også legge til rette for at Datatilsynet kan gjennomføre sine undersøkelser, som for eksempel ved å legge frem relevant dokumentasjon om den innklagede behandlingen. Formålet med denne plikten er at datatilsynsmyndighetene skal ha mulighet til å føre tilsyn med forordningen effektivt. Detaljene om hvordan den behandlingsansvarlige har innrettet behandlingen av personopplysninger er sjeldent offentlig tilgjengelig. Datatilsynet trenger tilgang til slik informasjon for å ta stilling til om behandlingen følger kravene i personvernforordningen. For å kunne fatte tilstrekkelig utredede vedtak og for å avgjøre klagesaker innen rimelig tid trenger derfor Datatilsynet at den behandlingsansvarlige samarbeider med dets undersøkelser. Lab Pharma skrev i sine merknader til varselet om vedtak at artikkel 31 kun gjelder situasjoner hvor parten gjør det umulig å undersøke saken eller ignorerer gjentatte opplysningskrav.

Selskapet mener at det ikke er et brudd på artikkel 31 å uttrykke sin misnøye med et pålegg om å gi informasjon. Lab Pharma mener at det bare er mulig å slå fast et brudd på artikkel 31 i tilfeller hvor det har objektivt sett vært umulig for tilsynsmyndigheten å utføre sine oppgaver. Datatilsynet er ikke enig i Lab Pharmas syn på hvor terskelen for å bryte artikkel 31 ligger. Det er mulig å forsinke eller å gjøre det vanskeligere for tilsynsmyndigheten å gjøre sine undersøkelser, uten at det er objektivt umulig for den å gjennomføre dem. Formålet til 11 bestemmelsen tilsier at også forsøk på å forsinke eller å stanse tilsynsmyndighetens undersøkelser er et brudd på samarbeidsplikten, selv om forsøket ikke er vellykket. Samarbeidsplikten går ikke så langt at den behandlingsansvarlige må etterleve pålegg som ikke har rettsgrunnlag i lov. Forvaltningsloven § 14 gir den behandlingsansvarlige en rett til å klage på gyldigheten av et pålegg om å gi informasjon.

Dersom den behandlingsansvarlige mener at et pålegg er ugyldig, så må vedkommende benytte seg av klageretten for å få bekreftet det. 5.3.2. Lab Pharmas forsøk på å stanse Datatilsynets undersøkelser i sommeren 2024 var et brudd på samarbeidsplikten Lab Pharmas oppførsel overfor Datatilsynet sommeren 2024 Etter at Datatilsynet sendte kravet om redegjørelse 1. juli 2024 har Lab Pharma, ved daglig leder, gjort vedvarende og kraftig motstand mot våre undersøkelser i saken. Da selskapet mottok kravet om redegjørelse uttrykte daglig leder misnøye med pålegget i e- post 10. juli 2024. Han anklaget Datatilsynet for å misbruke sin myndighet ved å representere klager i det selskapet anså som en kommersiell tvist, antydet at noen i Datatilsynet hadde en relasjon til klager og ba om en begrunnelse for pålegget. Selskapet varslet også at det ikke ville gi innsyn i avtalen med klager fordi den inneholdt en konfidensialitetsbestemmelse.

Datatilsynet svarte på Lab Pharmas spørsmål i brev 12. juli 2024. Vi forklarte at vi ikke representerte klager, og at enhver fysisk person har rett etter personvernforordningen artikkel 77 til å klage på påståtte brudd på forordningen som gjelder deres personopplysninger, uavhengig av om de opptrådte i profesjonell eller privat sammenheng. Videre redegjorde vi for vår undersøkelsesmyndighet etter artikkel 58 (1), at vår myndighet til å kreve tilgang til dokumentasjon ikke var begrenset av taushetsplikt og at alle som var involvert i saksbehandlingen i Datatilsynet var habile etter forvaltningsloven § 6. I tillegg informerte vi om at Datatilsynet hadde myndighet til å ilegge overtredelsesgebyr etter artikkel 83 (5) bokstav e for brudd på plikten til svare på Datatilsynets krav om redegjørelse. Deretter, i perioden 12. juli 2024 til 9. august 2024, sendte daglig leder i Lab Pharma mer enn 15 e-poster til ulike adressater i Datatilsynet.

Disse e-postene var adressert til daværende saksbehandler og hennes seksjonssjef. I tillegg ble flere av dem sendt til direktøren i Datatilsynet, samt daværende juridisk direktør. I disse e-postene gjentok daglig leder spørsmål som Datatilsynet hadde besvart tidligere. Datatilsynet svarte på e-postene i den utstrekning det var nødvendig for å oppfylle vår veiledningsplikt etter forvaltningsloven § 11. I e-post 12. juli 2024 skrev daglig leder i Lab Pharma til daværende saksbehandler: «Datatilsynet har ingen som helst myndighet til å kreve innsyn i private avtaler nei. Du har forøvrig heller ikke vist til noen juridiske grunnlag for denne påstanden. 12 Dersom ønsker å få sin sak vurdert må hun benytte domstolene til dette, som alle andre. Da de andre spørsmålene du stiller i saken er bygget på et ugyldig grunnlag ref ovenstående kommer vi ikke til å besvare noen henvendelser videre i denne saken.

Dersom du kontakter meg videre vil jeg anmelde deg for trakassering og selvsagt kontakte sivilombudsmannen.» Senere samme dag sendte daglig leder i Lab Pharma følgende e-post til Datatilsynets direktør og vår juridiske direktør: «Til Direktør i Datatilsynet. Vi viser til deres representasjon av den kommersielle influenceren (klager). Kan du som direktør for Datatilsynet oversende det juridiske grunnlaget for datatilsynets representasjon av den kommersielle aktøren (klager)? Jeg ønsker også at du oversender grunnlaget for å mene at dere har noen rettighet til innsyn i en konfidensiell kommersiell privatrettslig avtale mellom næringsdrivende i denne sammenheng? (Klager) er en selvstendig næringsdrivende som har vært representert ved mediehuset Nettavisen AS. Dersom de har synspunkter om det avtalerettslige i denne avtalen så er ikke Datatilsynet rette instans til å se på dette. Dette er misbruk av makt og den offentlig stilling og dette kommer vi til å ettergå på alle mulige måter dersom dette fortsetter med både klage til sivilombudsmannen og erstatningssøksmål.

Vi krever at denne saken trekkes med en bekreftelse til undertegnede omgående og innen utløpet av denne dagen. Hvis ikke går vi videre med denne saken.» Saksbehandlers seksjonssjef svarte på e-postene 15. og 16. juli 2024. Han viste til informasjonen Datatilsynet hadde gitt i våre brev 1. og 12. juli 2024 og formanet Lab Pharma om å lese dem nøye. I tillegg understreket han at Lab Pharma sto fritt til å klage inn vår saksbehandling til Sivilombudet. Samme dag sendte daglig leder i Lab Pharma en e-post til seksjonssjefen i Datatilsynet, med kopi til saksbehandler, juridisk direktør og direktør i Datatilsynet. I e-posten skrev han at Datatilsynet ikke hadde redegjort for hvorfor Datatilsynet «representerte» en kommersiell aktør og at Datatilsynet ikke hadde myndighet til å håndhevede markedsføringsavtaler. I tillegg skrev han: «Jeg vil herunder anføre at det i brevets «Krav om redegjørelse om behandling av personopplysninger» 1.

Sakens bakgrunn» ikke er angitt noen bevis for hva Lab Pharma skal ha gjort. Vi lever vel ikke i et samfunn hvor man på angiveri og anførsler hele tiden må bevise sin uskyld? Først må det bevises at Lab Pharma har brutt en lov eller forskrift. Kan dette bevises av Datatilsynet? Eller mener Datatilsynet at de er et overvåkningsorgan ala Gestapo som kan anklage hvem som helst for et lovbrudd uten 13 bevis for så å be den anklagede om å motbevise denne falske anklagen og på denne måten lete etter uendelige lovbrudd uten noe juridisk eller beviselig grunnlag?» Den 15. juli 2024 sendte daglig leder i Lab Pharma også to e-post til Datatilsynets direktør hvor han ba henne om å bekrefte om Datatilsynet ville fortsette undersøkelsene i saken. Datatilsynet svarte på disse e-postene 16. juli 2024 og skrev at vi har en utredningsplikt etter forvaltningsloven § 17. Vi sendte pålegget som en del av undersøkelsene i saken for å høre Lab Pharmas side av saken.

Datatilsynet understreket også at vi ikke hadde konkludert på det tidspunktet og at vi ikke anså noe som bevist enda. I ny e-post samme dag anklaget daglig leder i Lab Pharma seksjonssjefen for å konstruere en tilsynssak uten grunnlag siden klagers bilder og omtale om selskapets produkter lå åpent tilgjengelig på hennes blogg. I tillegg skrev han: «Jeg opplever din håndtering i denne saken som et maktmisbruk av din offentlige stilling. Vi er liten bedrift med få ansatte og har viktigere ting å bruke vår tid på enn denne meningsløse saken. Vi vil faktisk vurdere å politianmelde deg for misbruk av din stilling. Jeg ber deg omgående bekrefte tilbake på denne saken trekkes da den bygger på ugyldige juridiske argumenter. Du har forøvrig ingen anledning til å true med at du vil slutte å besvare våre spørsmål da dette er din plikt som offentlig tjenestemann i henhold til forvaltningsloven § 11.

(…) Så vil jeg ha nevnt at din rolle på vegne av Datatilsynet er å sikre samfunnets interesser. Det vil si forhindre overvåkning, misbruk av personopplysninger osv. Datatilsynet skal ikke opptre som advokat eller opptre på vegne av kommersielle aktører. Dersom (klager) ønsker å få sin avtale vurdert må hun bruke advokat og domstolene til dette, slik hun forsøkte forgjeves tilbake i 2018. Når dette ikke førte frem så skal ikke offentlige organer som får sin inntektskilde fra skattebetalerne brukes på denne måten. Dette er helt feil! Jeg ber deg snarest og innen torsdag klokken 12:00 denne uken bekrefte tilbake på at dere opphører deres representasjon av (klager). Hvis ikke vil vi anmelde deg for misbruk av offentlig stilling.» (Lab Pharmas utheving) Den 17. juli 2024 sendte også Lab Pharma to e-poster til direktør i Datatilsynet hvor daglig leder blant annet ba henne om å bekrefte om vi ville fortsette med undersøkelser i saken før han klaget inn Datatilsynet til Sivilombudet.

Ettersom Datatilsynet ikke hadde skrevet at vi ville avslutte undersøkelsene i saken sendte daglig leder i Lab Pharma en ny e-post til Datatilsynets direktør 2. august 2024: «Vi kan ikke se å ha mottatt noe svar her innen svarfristen. Vi har allerede fremlagt bevis fra advokatfirmaet Thommessen at påstand er feil. Jeg ber en siste gang om 14 omgående bekreftelse på at denne saken trekkes av Datatilsynet. Alle våre svar er å regne som en klage på deres pålegg om å utlevere informasjon. Jeg vil også ha nevnt at det fremlegges uriktige udokumenterte påstander i (kravet om redegjørelse) (…). Påstanden er feil og det er vitterlig personvernerklæring på disse sidene. Dersom Datatilsynet opprettholder denne påstanden vil dere bli saksøkt og anmeldt for æreskrenkelse. Lab Pharma har ingen plikt til å besvare på slike uriktige fremsatte påstander. Dersom denne påstanden opprettholdes ber vi snarest om dokumentasjon på dette.

(…)» (Lab Pharmas utheving) I e-post til Lab Pharma 6. august 2024 bekreftet daværende saksbehandler i Datatilsynet at vi hadde notert selskapets klage over pålegget, og at klagen skulle sendes til Personvernnemnda. Daglig leder i Lab Pharma sendte deretter e-post 6. august 2024 til daværende saksbehandler og Datatilsynets direktør hvor han blant anklaget Datatilsynet for å prioritere denne saken fordi klager er en offentlig kjent person. Videre skrev han: «Hvis ikke denne saken trekkes innen fredag klokken 14:00 vil vi både politianmelde de ansvarlige for maktmisbruk og kreve erstatning for vår tidsbruk og de belastninger dette har påført oss. Vi er som sagt en liten bedrift og har trossalt viktigere ting å bruke vår tid på. Det er tøffe tider i verdensøkonomien og vi har nettopp klart å snu selskapet fra 3 år med underskudd til et lite overskudd. Det er fint om dere viser til mer respekt for de mennesker som driver virksomheter i samfunnet og ikke belemrer bedrifter med grunnløse saker som dette!

Vi vil selvsagt også påklage dette til alle mulige instanser. I den sammenheng ønsker vi en total redegjørelse for hvilke rettigheter vi har til å påklage Datatilsynet ref forvaltningsloven § 11.» (Lab Pharmas utheving) Den 8. august 2024 sendte daglig leder i Lab Pharma en ny e-post til daværende saksbehandler, med kopi til Datatilsynets direktør, juridisk direktør og saksbehandlers seksjonssjef, hvor han blant annet skrev: «Dersom vi ikke mottar bekreftelse innen i morgen klokken 14:00 vil samtlige involverte parter hos Datatilsynet bli politianmeldt for misbruk av sin stilling. Vi ønsker også informasjon om hvem som representerer Datatilsynet med tanke på et erstatningssøksmål - er det et advokatfirma eller er dere selv representanter i retten?» Daglig leder i Lab Pharma sendte en ytterligere e-post til Datatilsynets direktør 9. august 2024 hvor han skrev at han ville saksøke Datatilsynet med krav om erstatning med mindre hun avsluttet saken.

Lab Pharmas oppførsel var i strid med samarbeidsplikten Datatilsynets krav om redegjørelse 1. juli 2024 var et helt typisk pålegg om å gi informasjon. Det er helt nødvendig for Datatilsynet å gi slike pålegg for å undersøke klagesaker og ta stilling til om behandlingen av personopplysninger er lovlig. Samarbeidsplikten i 15 personvernforordningen artikkel 31 innebar at Lab Pharmas måtte legge til rette for våre undersøkelser. Datatilsynet opplyste om Lab Pharmas klagerett i kravet om redegjørelse, og selskapet benyttet seg av den muligheten. Likevel kom daglig leder i selskapet med flere anklager og trusler mot Datatilsynet og dets ansatte. De som jobbet med saken hos Datatilsynet ble møtt med usaklige karakteristikker og ble truet med politianmeldelse, og Lab Pharma truet Datatilsynet med søksmål om erstatning og æreskrenkelser. Det fremgår uttrykkelig av innholdet i e-postene fra Lab Pharma at formålet var å få Datatilsynet til å stanse undersøkelsene og avslutte saken uten at vi realitetsbehandlet klagen.

Lab Pharma sendte også flere e-poster til Datatilsynets ledelse, selv om den ikke hadde vært direkte involvert i saksbehandlingen på det tidspunktet. I e-postene krevde selskapets daglige leder at vår direktør grep inn i saken og avsluttet den. Datatilsynet legger til grunn at formålet med å sende e-poster til vår ledelse var å eskalere saken og legge press på saksbehandler om å avslutte den. Selskapet hevdet i merknadene til varselet om vedtak at å true med søksmål og politianmeldelse er legitime midler for å svare på et pålegg som selskapet selv mente var ulovlig. Datatilsynet er ikke enig i det. Selskapet hadde rett til å påklage gyldigheten av pålegget til Personvernnemnda, og selskapet benyttet seg av den muligheten. Datatilsynet mener at man må skille mellom å benytte de ankemulighetene og rettsmidlene man har og det å true med rettsprosesser for å oppnå urettmessige fordeler. Lab Pharma hadde ingen legitim grunn til å fremme truslene som selskapet fremmet.

Selskapet truet med å politianmelde individuelle saksbehandlere som utførte sine lovfestede oppgaver med formål om at de skulle avslutte undersøkelsene. Dette er uakseptabel oppførsel som er stikk i strid med plikten til å samarbeide i personvernforordningen artikkel 31. Datatilsynet mener at Lab Pharmas oppførsel var et klart forsøk på å hindre våre undersøkelser ved bruk av trusler. Vi er ikke i tvil om at daglig leders oppførsel og fremferd sommeren 2024 var et brudd på samarbeidsplikten i personvernforordningen artikkel 31. 5.3.3. Lab Pharma brøt samarbeidsplikten Datatilsynet satte ny frist for å svare på kravet om redegjørelse etter Personvernnemndas vedtak i oktober 2025 Etter at Personvernnemnda stadfestet gyldigheten av kravet om redegjørelse, sendte Datatilsynet et brev til Lab Pharma 3. november 2025 hvor vi ba selskapet om å svare på 16 spørsmålene våre og gi oss den relevante dokumentasjonen.

Vi satte fristen til å svare 26. november 2025. Noen dager før utløpet av fristen ba Lab Pharma om en fristutsettelse. Vi innvilget derfor en utsatt frist til 8. desember 2025. Lab Pharma svarte delvis på kravet om redegjørelse på kvelden 8. desember 2025. Selv om selskapets hovedargument i saken var at det hadde behandlingsgrunnlag i sin avtale med klager, så la det ikke ved en kopi av avtalen. Lab Pharma hevdet selskapet ønsket å sende avtalen via «sikker kanal» og at det var opp til Datatilsynet å angi hvordan den skulle sendes. For å komme videre i saken trengte Datatilsynet en kopi av avtalen. Derfor sendte vi et brev til Lab Pharma 16. desember 2025 hvor vi ba dem om å sende oss avtalen på Altinn, og at selskapet måtte sende oss avtalen innen 7. januar 2026. Etter at den nye fristen hadde løpt ut, sendte Lab Pharma en e-post til Datatilsynet på kvelden 8. januar 2026. Selskapet forklarte at det ikke gikk an å sende inn avtalen i Altinn.

Årsaken til at vi ba Lab Pharma om å sende inn avtalen via Altinn var en misforståelse mellom saksbehandler og vår IT-avdeling. Saksbehandler ble fortalt at bedrifter kunne sende oss dokumenter gjennom Altinn, men det stemte ikke. Datatilsynet svarte Lab Pharma i e-post 9. januar 2026 at det ikke var mulig å sende inn dokumentasjon i Altinn, og at Altinn er en enveis kommunikasjonskanal for Datatilsynet. Vi forklarte at selskapet isteden kunne laste opp avtalen i vår løsning for å motta klager og dokumentasjon som er unntatt offentlighet. Denne skjemaløsningen ligger på Datatilsynets nettsider, og vi la ved en direktelenke til skjemaløsningen. Vi informerte om at den som lastet opp avtalen måtte identifisere seg med elektronisk ID. Daglig leder i Lab Pharma svarte ikke på denne e-posten før 13. januar 2026. Da skrev han at han ønsket en forklaring på hvordan han kunne bruke Altinn siden vi hadde tidligere hadde skrevet at han kunne bruke det.

Han skrev også at han tok ferie og at Lab Pharma ikke ville følge opp noen svar fra Datatilsynet før han var tilbake. Datatilsynet gjentok i e-post 14. januar 2026 informasjonen vi sendte Lab Pharma 9. januar 2026. Lab Pharma svarte ikke på denne e-posten. Datatilsynet sendte ny e-post til daglig leder i Lab Pharma 16. januar 2026. Vi beklaget at vi ga uriktig informasjon om at Lab Pharma kunne bruke Altinn, men vi minnet om at vi korrigerte dette straks da vi ble oppmerksomme på feilen og at fristen hadde vært 7. januar 2026. Vi la også ved en steg-for-steg beskrivelse av hvordan skjemaløsningen vår fungerte og at selskapet måtte sende inn avtalen senest innen 23. januar 2026. Vi informerte også daglig leder om dette på tekstmelding. Lab Pharma lastet opp et blankt dokument i løsningen på kvelden 22. januar 2026. Datatilsynet sendte en e-post til selskapet 23. januar 2026 og skrev at selskapet selv var 17 ansvarlig for å laste opp riktig dokument til oss.

Daglig leder i Lab Pharma lastet til slutt opp avtalen i vår løsning 23. januar 2026. Lab Pharma forsinket innsendingen av nødvendig dokumentasjon i saken Når Datatilsynet setter en frist til å svare på våre spørsmål med grunnlag i vår undersøkelsesmyndighet i personvernforordningen artikkel 58 (1), så utløser det en rettslig plikt for mottakeren å svare innen den fristen. Dette er nødvendig for å sikre en hensiktsmessig fremdrift i saken. Etter at Personvernnemnda stadfestet gyldigheten av Datatilsynets pålegg om å gi informasjon, fikk Lab Pharma til sammen fem uker på å svare på kravet om redegjørelse og legge frem relevant dokumentasjon. Selskapet hadde dermed like lang tid til å stille Datatilsynet spørsmål om hvordan selskapet kunne sende inn en kopi av avtalen. Likevel ventet selskapet til etter alminnelig arbeidstid på fristdagen med å spørre om hvordan det kunne sende inn avtalen.

Fordi Lab Pharma ikke la frem all relevant dokumentasjon innen fristen, så Datatilsynet seg nødt til å sette en ny frist til 7. januar 2026. Lab Pharma fikk dermed tre ytterligere uker på å legge frem avtalen. Lab Pharma ventet til dagen etter den nye fristen med å si ifra at Datatilsynets angitte metode for å laste opp dokumentasjonen ikke fungerte. Vi rettet øyeblikkelig opp i feilen ved å gi en riktig forklaring på hvor selskapet kunne laste opp dokumentet. Likevel ventet Lab Pharma i flere dager med å følge opp dette svaret. Da lastet ikke selskapet opp dokumentet slik vi hadde bedt det om å gjøre, og daglig leder skrev isteden at han skulle ta ferie og ikke kom til å følge opp dette før han var tilbake. Lab Pharma forsinket innsendingen av den etterspurte dokumentasjonen to ganger. I tillegg har Datatilsynet trengt å bruke uforholdsmessig mye tid på å purre og følge opp Lab Pharmas utilstrekkelige svar på kravet om redegjørelse.

Dette er klare brudd på Lab Pharmas samarbeidsplikt etter personvernforordningen artikkel 31. 5.3.4. Vilkårene for å ilegge overtredelsesgebyr Ifølge personvernforordningen artikkel 58 (2) bokstav i har Datatilsynet myndighet til å ilegge overtredelsesgebyr i tråd med vilkårene i artikkel 83. Artikkel 83 (1) slår fast at Datatilsynet skal sikre at ilegging av overtredelsesgebyr for brudd på personvernforordningens regler skal være virkningsfullt, være avskrekkende og stå i et rimelig forhold til overtredelsen. 18 I samsvar med Høyesteretts praksis, jf. Rt-2012-1556, legger vi til grunn at overtredelsesgebyr er å anse som straff etter Den europeiske menneskerettighetskonvensjonen (EMK) artikkel 6. Det kreves derfor klar sannsynlighetsovervekt for overtredelse for å kunne ilegge gebyr. Forvaltningsloven § 46 første avsnitt presiserer at det gjelder et skyldkrav for å ilegge administrative sanksjoner.

Med mindre noe annet er bestemt er skyldkravet uaktsomhet. En virksomhet kan ha opptrådt uaktsomt selv om ingen enkeltperson kan klandres for overtredelsen. Personopplysningsloven § 26 slår fast at Datatilsynet kan ilegger overtredelsesgebyr i tråd med vilkårene i personvernforordningen artikkel 83. Ordlyden i den sistnevnte bestemmelsen stiller ikke opp et uttrykkelig skyldkrav, men EU-domstolen har slått fast at virksomheten må ha utvist uaktsomhet eller forsett med hensyn til overtredelsen for å kunne ilegges overtredelsesgebyr.4 Det er derimot ikke nødvendig at en identifisert enkeltperson i virksomheten har handlet uaktsomt.5 Det er tilstrekkelig at virksomheten som helhet burde ha klart å unngå overtredelsen. 5.3.5. Begrunnelse for å ilegge overtredelsesgebyret Datatilsynet må vurdere om det er virkningsfullt og avskrekkende å ilegge et overtredelsesgebyr for Lab Pharmas brudd på samarbeidsplikten i artikkel 31 og om ileggingen av et overtredelsesgebyr vil stå i et rimelig forhold til bruddet.

83 (2) bokstav a til k er det en liste med momenter som Datatilsynet må vurdere når vi skal ta stilling til om det er virkningsfullt, avskrekkende og forholdsmessig å ilegge et overtredelsesgebyr. Vi vurderer de relevante momentene fortløpende nedenfor. a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og omfanget av den skade de har lidd Overtredelsesgebyret gjelder Lab Pharmas brudd på samarbeidsplikten i personvernforordningen artikkel 31. Plikten til å samarbeide med tilsynsmyndigheten når den utfører sine oppgaver eksisterer blant annet for å sikre at tilsynsmyndighetene kan føre effektivt tilsyn med forordningen. Datatilsynet må ha reell mulighet til å undersøke og få informasjon om den behandlingsansvarlige etterlever regelverket. Slik tilgang er også nødvendig for at Datatilsynet skal avgjøre klagesaker i løpet av rimelig tid. 4 Se punkt 2 i domsslutningen i C-807/21 (Deutsche Wohnen). 5 Se punkt 1 i domsslutningen i C-807/21 (Deutsche Wohnen). 19 I denne saken har Lab Pharma aktivt motarbeidet Datatilsynets undersøkelser.

Selv om vi forklarte at Datatilsynet har en plikt til å undersøke alle klagesaker vi mottar, og at vi ikke hadde fattet noen konklusjoner om hva som hadde skjedd i saken, så fremmet Lab Pharma usaklige anklager om misbruk av offentlig myndighet, rolleblanding, trakassering og en sammenligning med Gestapo. Som offentlig myndighet må Datatilsynet tåle kritikk når vi utfører våre oppgaver. Personer og selskapet som vi gir pålegg kan gi uttrykk for sin misnøye og bestride lovligheten av påleggene. De kan også bruke lovlige midler for å bestride våre pålegg, slik som å klage til Personvernnemnda eller å bringe inn ugyldighetssøksmål til domstolene. Derfor skal det være en relativt høy terskel for Datatilsynet å ilegge reaksjoner for bruk av ukvemsord og misnøye med hvordan vi utøver vår myndighet. Samtidig går det en grense for hva Datatilsynet og våre saksbehandlere skal tåle. Lab Pharma truet de ansatte i Datatilsynet med politianmeldelse og søksmål om de fortsatte med undersøkelsene i saken.

Truslene mot ansatte som gjorde jobben sin innenfor de rammene som loven satte er fullstendig uakseptable. Datatilsynet mener også det er klart at formålet med disse anklagene og truslene var å stanse helt legitime undersøkelser som hadde grunnlag i loven. Det står uttrykkelig i e-postene fra Lab Pharmas daglige leder at han ville gjennomføre truslene sine med mindre Datatilsynet avsluttet saken. Det er alvorlig at en virksomhet forsøker å unndra seg Datatilsynets lovlige undersøkelser ved bruk av urettmessige metoder som trusler og anklager mot Datatilsynets ansatte. I denne sammenheng viser vi til at trusler om å politianmelde noen for å få vedkommende til å unnlate å gjøre noe i visse omstendigheter kan være straffbart etter straffeloven § 251 andre avsnitt. Datatilsynet har ikke myndighet til å ta stilling Lab Pharma brøt dette straffebudet. Vi viser til straffebudet for å understreke at denne typen atferd ikke er regnet som en lovlig fremgangsmåte i samfunnet vårt.

Lab Pharma hadde lovlige alternativer til å true med politianmeldelse, som for eksempel å klage inn pålegget om å gi informasjon til Personvernnemnda. Det er skjerpende at Lab Pharma brøt samarbeidsplikten ved å ikke etterleve Datatilsynets frister for å svare på våre pålegg om å gi informasjon. Etter at Personvernnemnda hadde slått fast Lab Pharma pliktet å svare på våre spørsmål og gi oss relevant dokumentasjon, så overholdt ikke selskapet fristene for å sende inn avtalen som var det sentrale dokumentet for å ta stilling til klagens hovedspørsmål. Etter Datatilsynets vurdering taler karakteren og alvorlighetsgraden av overtredelsen klart for at det riktig å ilegge et overtredelsesgebyr. Lab Pharmas oppførsel forsinket Datatilsynets saksbehandling til en viss grad, særlig etter Personvernnemnda fattet vedtak 27. oktober 2025. Det er likevel ikke tale om en betydelig forsinkelse. Derfor legger vi ikke dette til grunn i verken skjerpende eller formildende retning. 20 Overtredelsesgebyret gjelder Lab Pharmas brudd på samarbeidsplikten i personvernforordningen 31.

Derfor er det ikke relevant å vurdere antallet berørte registrerte og behandlingens art, omfang og formål i denne sammenhengen. b) hvorvidt overtredelse ble begått forsettlig eller uaktsomt I kravet om redegjørelse opplyste Datatilsynet om Lab Pharmas mulighet til å klage på pålegget om å gi informasjon til Personvernnemnda, og vi informerte selskapet om rettsgrunnlaget for pålegget. Vi forklarte også i flere e-poster til selskapet at undersøkelsene i saken skyldtes vår plikt til å undersøke alle klager vi mottar fra de som har klagerett etter personvernforordningen artikkel 77 (1). I tillegg skrev vi i e-post 15. juli 2024 at selskapet sto fritt til å kontakte Sivilombudet. Daglig leder i Lab Pharma var kjent med Datatilsynets begrunnelse for hvorfor vi hadde myndighet til å gi pålegget og at selskapet hadde flere legitime måter å bestride påleggets gyldighet på. Likevel valgte daglig leder å rette flere anklager og trusler mot Datatilsynet og dets ansatte.

Disse e-postene ble også sendt til Datatilsynets ledelse, selv om den ikke var direkte involvert i saksbehandlingen. Det er klart at disse handlingene ble gjort med viten og vilje og at daglig leders formål var å få Datatilsynet til å stanse undersøkelsene i saken. Daglig leder hadde forsett om å få Datatilsynet til å avslutte undersøkelsene med e-postene. Et forsettlig brudd på samarbeidsplikten er et skjerpende moment i vurderingen av å ilegge overtredelsesgebyr. I tillegg mener Datatilsynet at Lab Pharma uaktsomt brøt samarbeidsplikten da selskapet ikke overholdt Datatilsynets frister. Selskapet la ikke frem all den etterspurte dokumentasjonen innen fristen 8. desember 2025, og det forsinket innsendelsen ytterligere etter at Datatilsynet ga informasjon om at avtalen kunne sendes inn via Datatilsynets klageskjema. Datatilsynet legger til grunn at det er en alminnelig forventning at en profesjonell næringsdrivende klarer å forholde seg til frister for å svare på pålegg fra offentlige myndigheter, og at selskapet, ved behov, klarer å etterspørre ytterligere informasjon om hvor det kan sende inn svarene sine i god tid før utløpet av fristen.

Dersom Lab Pharma ikke ønsket å sende en kopi av avtalen med klager via e-post eller brevpost, så burde selskapet ha avklart en annen oversendelsesmetode før fristen løp ut. Det er Lab Pharma som bærer ansvaret for å sende inn dokumentasjonen i tide, og dette gjelder også dersom Lab Pharma ikke ønsket å benytte seg av vanlige kommunikasjonskanaler som rekommandert post. I merknadene til varselet om vedtak skrev Lab Pharma at selskapet ikke hadde skyld i forsinkelsene. Selskapet viste blant annet til at Datatilsynet ga uriktig informasjon om hvordan selskapet kunne sende inn avtalen digitalt. 21 Datatilsynet er ikke enig i at Lab Pharma ikke har skyld i forsinkelsene. Vi satte en tidsfrist for å sende inn avtalen 8. desember 2025. Innen da hadde selskapet hatt fem uker på seg til å be om hvordan det kunne sende inn avtale digitalt når de ikke ville bruke e-post eller brevpost. Selskapet la ikke frem avtalen innen fristen.

Lab Pharma ventet isteden til etter alminnelig arbeidstid på fristdagen for å be om informasjon. Lab Pharma var kjent med at selskapet kunne bruke brevpost eller e-post. Hvis selskapet foretrakk å bruke en annen måte å sende inn avtale på, så burde det ha kontaktet Datatilsynet før fristen løp ut. Dette var uaktsomt av Lab Pharma. Det var uheldig at Datatilsynet sa i vår e-post 16. desember 2025 at Lab Pharma kunne sende oss avtalen via Altinn. Samtidig sa Lab Pharma ifra om at Altinn ikke fungerte først etter at den nye fristen 8. januar 2026 hadde løpt ut. Da vi ble gjort oppmerksomme på feilen 9. januar 2026, sendte vi øyeblikkelig riktig informasjon om hvordan selskapet kunne sende oss avtalen. Den etterfølgende forsinkelsen var Lab Pharmas skyld. Selskapet ventet isteden flere dager med å svare etter at det fikk korrekt informasjon. Da daglig leder svarte 13. januar 2024 på vegne av selskapet, skrev han at selskapet ikke ville laste opp dokumentasjonen før vi sendte ytterligere informasjon om hvorfor han ikke kunne sende inn informasjon via Altinn.

I tillegg skrev han at han ikke ville følge opp saken før han var tilbake fra ferie, vel vitende om at fristen 7. januar 2026 var utløpt. Lab Pharma sendte ikke inn avtalen før 23. januar 2026, to uker etter at den nye friste hadde løpt ut. Daglig leder i Lab Pharma burde ha sendt inn avtalen i vårt digitale skjema så snart som mulig etter at vi ga selskapet informasjon om det. Han burde eventuelt ha delegert oppgaven til en kollega om han ikke kunne gjøre det selv. Selskapet trengte ikke mer informasjon om hvorfor det ikke kunne bruke Altinn etter at vi forklarte at det ikke var mulig og at selskapet måtte bruket skjemaet vårt isteden. Det er klart uaktsomt at et profesjonelt foretak, som var klar over at det hadde en rettslig plikt til å svare på Datatilsynets spørsmål, ikke la til rette for å svare på pålegget så raskt som mulig. Samlet sett mener Datatilsynet at Lab Pharma gjennomgående har forholdt seg uaktsomt til Datatilsynets frister og at dette er skjerpende. f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de mulige negative virkningene av den De aktuelle overtredelsene gjelder brudd på samarbeidsplikten i artikkel 31.

Derfor er det ikke behov for å vurdere dette som et selvstendig moment i dette tilfellet. k) enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen 22 Datatilsynet har ikke opplevd å motta trusler av denne typen eller dette omfanget som reaksjon på et pålegg om å gi informasjon før. Overtredelsesgebyr skal være avskrekkende. Selv om dette er et ekstraordinært tilfelle, så mener Datatilsynet at det er behov for å sette et klart eksempel om at dette er ikke akseptabel fremferd slik at lignende situasjoner ikke skjer igjen. Det er et moment som taler klart for at vi bør ilegge et overtredelsesgebyr. I merknadene til varselet om vedtak skrev Lab Pharma at Datatilsynet ikke hadde tilstrekkelig presisert hva undersøkelsene våre handlet om i pålegget 1. juli 2024. Selskapet hevdet også at vi ikke forklarte rettsgrunnlaget for pålegget.

Selskapet mener at Datatilsynet ikke oppfylte vår veiledningsplikt i § 11 i forvaltningsloven. Datatilsynet er uenig i dette. Vi forklarte bakgrunnen for undersøkelsene i pålegget, inkludert påstandene til klager i klagen. Vi forklarte hvilke nettsider vi undersøkte (inkludert lenker). Vi redegjorde også for de grunnleggende forpliktelsene en behandlingsansvarlig har etter personvernforordningen, hva rettsgrunnlaget for pålegget vårt var og muligheten til Lab Pharma til å påklage pålegget. Vi svarte på Lab Pharma spørsmål om pålegget i våre e-poster 12., 15. og 16. juli 2024. Vi forklarte også i e-posten vår 12. juli 2024 at vi kunne ilegge overtredelsesgebyr dersom selskapet ikke svarte på pålegget. Datatilsynet vil også påpeke at en tilsynsmyndighets eventuelle mangel på å oppfylle veiledningsplikten eller å begrunne sitt vedtak ikke rettferdiggjør den type trusler som Lab Pharma rettet mot Datatilsynet i 2024.

Dette er oppførselen som vi sanksjonerer med overtredelsesgebyret. Datatilsynet ser derfor ikke at vi har brutt vår plikt til å begrunne pålegget eller vår plikt til å veilede Lab Pharma, og dette er heller ikke en formildende omstendighet. Truslene og de gjentatte forsinkede svarene som Lab Pharma er ansvarlig for har ført til en eskalering av undersøkelsene i denne saken. Datatilsynets ledelse er normalt ikke involvert i en alminnelig klagesak om de registrertes rettigheter, slik som denne. Lab Pharmas pågående henvendelser, ofte rettet direkte mot ledelsen, samt de gjentatte forsinkelsene, har ført til en større ressursbruk hos Datatilsynet. Den økte ressursbruken har bestått av merarbeid på å svare på gjentatte henvendelser om samme tema og involvering av flere medlemmer i ledelsen i saken enn normalt. Dette er et skjerpende moment. Datatilsynet har ikke indentifisert andre skjerpende eller formildende omstendigheter i saken.

Datatilsynet har også vurdert momentene som fremgår av artikkel 82 (2) bokstav c, d, e, g, h, i og j, men ingen av disse har hatt betydning for vår vurdering om å ilegge overtredelsesgebyr i denne saken. Konklusjon Lab Pharma har brutt samarbeidsplikten ved å forsøke å stanse Datatilsynets undersøkelser med urettmessige metoder. Dette er alvorlig, og et av de sentrale formålene med samarbeidsplikten er å unngå nettopp slike situasjoner. Det er også skjerpende at Lab Pharmas 23 gjentatte oversittelser av frister og omfattende mengde henvendelser har ført til en unødvendig ressursbruk hos Datatilsynet. Datatilsynet mener at det er utilstrekkelig å ilegge en irettesettelse etter personvernforordningen artikkel 58 (2) bokstav b i denne saken. Dette er atferd som Datatilsynet ønsker å forhindre i fremtidig saksbehandling. Etter vår vurdering er det derfor virkningsfullt, avskrekkende og forholdsmessig å ilegge et overtredelsesgebyr i denne saken. 5.3.6.

83 (4) bokstav a er maksimalnivået på et gebyr for brudd på samarbeidsplikten i artikkel 31 enten 10 millioner euro eller opptil 2 % av Lab Pharmas globale årsomsetning i forrige regnskapsår. Datatilsynet skal velge det høyeste av de to som maksimalnivået. Lab Pharmas omsetning overstiger ikke 500 millioner euro, så maksimalnivået i denne saken vil være 10 millioner euro. Det tilsvarer 111 916 000 kroner. Overtredelsesgebyret skal være stort nok til at det er virkningsfullt, virker avskrekkende og at det står i et rimelig forhold til overtredelsen. Ved utmålingen av gebyrets størrelse har Datatilsynet basert seg på Personvernrådets retningslinjer for utmåling av overtredelsesgebyr, som supplerer retningslinjene fra 2017.6 Formålet med retningslinjene er å harmonisere metodikken datatilsynsmyndighetene bruker for å fastsette nivået på overtredelsesgebyr etter artikkel 83.

Derfor velger vi en sum på 45 % av maksimalnivået som utgangspunkt for gebyret. Dette utgangspunktet skal justeres med hensyn til selskapets årsomsetning. EU-domstolen har slått fast at dersom selskapet som ilegges et overtredelsesgebyr er en del av et konsern, så skal datatilsynsmyndighetene ta hensyn til hele konsernets økonomiske evne for å sikre at gebyret er virkningsfullt, avskrekkende og forholdsmessig.7 EU-domstolen har slått fast at man skal anta at morselskap som eier 100 % av et datterselskap utgjør én virksomhet hvor morselskapet også skal holdes ansvarlig for overtredelsene til datterselskapet.8 Det er ikke nødvendig for tilsynsmyndigheten å påvise at morselskapet har vært direkte involvert i overtredelsen. Det er en presumpsjon om at morselskapet er solidarisk ansvarlig med datterselskapet. Det er morselskapet som må tilbakevise presumpsjonen ved å legge frem bevis på at datterselskapet opptrer uavhengig av morselskapet.

Lab Pharma er heleid av selskapet Ter Rek AS (heretter «Ter Rek»). Daglig leder og styreleder i Lab Pharma er også styreleder og heleier i Ter Rek. Ifølge Brønnøysundregisteret er Ter Reks vedtektsfestede formål å investere i andre selskap, og selskapet har næringskode 47.270 (detaljhandel med nærings- og nytelsesmidler ellers). Det er samme næringskode som Lab Pharma. I Brønnøysundregisteret står det også at selskapets funksjon er «Hovedkontortjenester: Yter tjenester til eget konsern». Datatilsynet kjenner til at næringskoder ikke har noen rettslig virkning, men etter vårt syn underbygger de like kodene i dette tilfellet at selskapene ikke er uavhengig av hverandre. I merknadene til varselet om vedtak skrev Lab Pharma at de to selskapene ikke er én virksomhet. Lab Pharma hevder at Ter Rek er et holdingselskap uten fast ansatte. Ter Reks omsetning stammer fra utleie av fast eiendom i Oslo.

Lab Pharma hevdet at det ikke var noen økonomisk sammenheng mellom selskapene. Datatilsynet mener at dette ikke er tilstrekkelig for å tilbakevise presumpsjonen om at selskapene er én virksomhet. Begge selskapene er eid og kontrollert av den sammen fysiske personen og selskapene er økonomisk knyttet til hverandre. Bare fordi Ter Rek ikke er direkte involvert i Lab Pharmas daglige virksomhet er ikke i seg selv nok til å legge til grunn at selskapene utgjør ulike virksomheter. Lab Pharma er en del av én virksomhet sammen med Ter Rek. Derfor skal omsetningen til begge selskapene legges til grunn i beregningen av overtredelsesgebyret. Det er for å sikre at gebyret er virkningsfullt, virker avskrekkende og står i et rimelig forhold til overtredelsen. Årsomsetningen til selskapene var til sammen 26 747 720 kroner i 2024. Det tilsvarer 2 409 969 euro. Ifølge retningslinjene for utmåling av overtredelsesgebyr bør gebyret reduseres til mellom 0,3 til 2 % av utgangspunktet dersom årsomsetningen er mellom 2 og 10 7 Se C-383/23 (ILVA), avsnitt 29. 8 Se C-97/08 P (Akzo and Others v Commission), avsnitt 59-61. 25 millioner euro.

Det la ikke frem noen bevis for å underbygge påstanden. Virksomhetens årsrapport for 2025 var ikke offentlig tilgjengelig på vedtakstidspunktet. Lab Pharma har ikke gitt noen opplysninger om årsresultatet i 2025. De offentlige årsrapportene til Lab Pharma viser at selskapet gikk i pluss i 2024, mens det gikk med tap i 2023 og 2022. Basert på disse opplysningene mener Datatilsynet at det ikke foreligger noen ekstraordinære omstendigheter rundt Lab Pharmas finanser som skulle tilsi en reduksjon eller et bortfall av gebyret. Totalt sett mener Datatilsynet at det er passende med et relativt høyt gebyr. Derfor mener vi at et overtredelsesgebyr på 205 000 kroner vil være virkningsfullt, avskrekkende og stå i et rimelig forhold til overtredelsen. 6. Rettsmidler mot vedtaket Dette vedtaket er fattet etter personvernforordningen artikkel 56 og kapittel VII. I tråd med personopplysningsloven § 22 andre avsnitt andre setning kan ikke vedtaket påklages til Personvernnemnda.