Datatilsynet: Ikke mulig å behandle GDPR-klage mot Telenor før Myanmar-salg

Sands Advokatfirma i Oslo leverte mandag inn en klage til Datatilsynet mot Telenor - om brudd på GDPR-lovgivningen dersom Telenors Myanmar-virksomhet selges til M1 og et myanmarsk industrikonglomerat. Klagen er levert inn på vegne av en myanmarsk Telenor-kunde.

Kunden er en demokratiforkjemper som mener at et salg vil føre til at personopplysningene til 19 millioner Telenor-kunder kommer i hendene på militærregimet som tok makten i Myanmar ved et kupp i februar i fjor. Klagen kom samme dag som det myanmarske nyhetsnettstedet Myanmar Now skrev at Telenor har etterkommet mer enn 200 begjæringer fra militærregimet i Myanmar om å utlevere personopplysninger og samtalelogger knyttet til Telenor-kunder i landet.

Klageren frykter at et salg av Telenor Myanmar vil føre til at militærregimet får kontroll over alle kundedataene selskapet sitter på, og at det vil sette mange demokratiaktivister og deres familier i fare. Klagen konkluderer derfor med at Telenor ikke har lovlig grunnlag for å gjennomføre salget.

– Vi ber Datatilsynet gå inn og granske denne transaksjonen, og vurdere hvorvidt de forpliktelsene Telenor Group har etter personopplysningsloven, blir overholdt, sier advokat Ketil Sellæg Ramberg i Sands Advokatfirma til Dagens Næringsliv.

Datatilsynet: Vil ta måneder å behandle

Seksjonssjef Tobias Judin i Datatilsynet sier til Inside Telecom at Datatilsynet vil se på saken. Men de vil ikke rekke å behandle den før salget av Telenors Myanmar-virksomhet gjennomføres - dersom salget blir avklart innen 15. februar, slik det myanmarske nyhetsnettstedet Myanmar Now hevder at lokale - men anonyme - kilder med kjennskap til avtalen har opplyst.

– Vi fikk klagen mandag, og det er rett og slett ikke menneskelig mulig å behandle denne saken ferdig i løpet av en uke. Klagen innebærer komplisert juss som ikke er prøvd ut før, og vi må også forholde oss til alle trinnene vi må gjennom etter forvaltningsloven, sier Judin.

Han anslår at en saksgang der Datatilsynet skal få oversikt over rettslige spørsmål, sende Telenor krav om redegjørelse, behandle saken, gi Telenor mulighet til å imøtegå et eventuelt varsel om vedtak, og så gjøre et vedtak, vil måtte ta «minst noen måneder».

Judin kan ikke komme på at Datatilsynet har hatt en lignende klage som denne til behandling, og sier det er særlig to forhold som må avklares, hvor jussen er upløyd mark.

For det første må det avklares om GDPR-reglene i det hele tatt gjelder i en situasjon hvor en norsk heleier av et datterselskap i Myanmar - et land som ikke er omfattet av GDPR - klages inn på grunn av datterselskapets behandling av myanmarske data.

Dersom Datatilsynet kommer til at GDPR gjelder, må man også vurdere om GDPR skal kunne være til hinder for en virksomhetsoverdragelse. Vanligvis vil nemlig de nye eierne tre inn og overta ansvaret for dataene i virksomheten. Spørsmålet blir da om man må se annerledes på det dersom de nye eierne har bånd til eller er kontrollert av et militærregime som har tatt makten ved et kupp, og som kan forventes å bruke dataene til å forfølge de personene dataene omhandler.

Judin forteller til Inside Telecom at Sands Advokatfirma tok kontakt med dem før jul for å få avklart noen rettslige spørsmål rundt det de da opplyste at kanskje kunne bli en klage. Men Datatilsynet har ikke hørt noe mer før GDPR-klagen kom på mandag.

Advokat Ketil Sellæg Ramberg i Sands Advokatkontor vil ikke kommentere hvorfor klagen ble overlevert Datatilsynet først nå, og vil heller ikke si om det også jobbes mot andre instanser enn Datatilsynet for å få stoppet Telenor-salget.

Salget opp i Stortinget

Det er staten som er hovedeier i Telenor, og Rødts stortingsrepresentant Geir Jørgensen, som sitter i næringskomiteen, sier til Inside Telecom at partiet kommer til å stille et skriftlig spørsmål til næringsminister Jan Christian Vestre om salget.

– Det er åpenbart at hvis et norsk, statseid selskap opptrer sånn at det setter demokratiforkjempere i fare, så må det følges opp i Stortinget. Slik vi ser det har regjeringa instruksjonsrett overfor Telenor, og vi skal utfordre næringsministeren om dette, sier Jørgensen.

Rødt har ikke utformet spørsmålet ennå, men regner med at spørsmålet blir sendt i løpet av uka. Statsråden har deretter seks virkedager til å komme med et svar.

Også Høyre har spurt næringsministeren om Telenor-salget. Tage Pettersen har bedt om svar på hvilke føringer departementet har gitt Telenor om salget, og om det har bedt Telenor avvente en formalisering av salget til OECDs kontaktpunkt i Norge har behandlet klagen 474 sivilrettslige organisasjoner leverte inn i fjor sommer.

Svaret fra næringsministeren kom onsdag. Han skriver ifølge Stortingets nettsider at departementet og han selv har hatt flere møter med Telenor-styret og -ledelsen om situasjonen i Myanmar.

«Departementet har vært opptatt av at selskapet gjør grundige vurderinger av de krevende problemstillingene som har oppstått», skriver Vestre.

Han poengterer imidlertid at rollefordelingen mellom eier og selskap innebærer at det er styret og ledelsen i Telenor som har ansvaret for de operasjonelle vurderingene, også i Myanmar og for selskapets håndtering av klagen til OECDs kontaktpunkt i Norge.

Ansattes sikkerhet vs kundenes sikkerhet

Telenor Groups kommunikasjonsdirektør, Gry Rohde Nordhus, skriver i en epost til Inside Telecom at Telenor Myanmar er pålagt å lagre kundedata over flere år. «Å slette disse dataene vil være i strid med telekomlisensen, som er en forutsetning for å drive televirksomhet i landet. Situasjonen i Myanmar er ekstremt ustabil og usikker, med alvorlige sikkerhets- og menneskerettighetsutfordringer. Å bryte eller ikke overholde forskrifter i dagens situasjon vil ha alvorlige og fullstendig uakseptable konsekvenser for våre ansatte. Dette kan vi ikke stå inne for som arbeidsgiver.»

Når Inside Telecom påpeker at Telenor har gjort det klart at situasjonen i Myanmar gjør det umulig for selskapet å drive videre i landet, og spør om telekomlisensen som forutsetning for å drive telekomvirksomhet i Myanmar, da veier tyngre enn det man kan oppnå for sikkerheten til Telenor-kundene i landet ved å slette persondataene og samtaleloggene deres, svarer Rohde Nordhus følgende:

«Uavhengig av telekomlisensen, så er vår høyeste prioritet sikkerheten til våre ansatte. Dersom vi sletter kundedata og bryter lokal lov i Myanmar, så vil dette ha alvorlige og fullstendig uakseptable konsekvenser for våre ansatte. Som ansvarlig arbeidsgiver kan vi ikke sette våre ansatte i en slik posisjon, og vi gjør derfor vårt ytterste for å ivareta dem på best mulig måte.»

Hun understreker at siden Telenor ASA ikke håndterer kundedata fra Telenor Myanmar, så mener Telenor at GDPR ikke gjelder for kundedataene til selskapet i Myanmar. Telenor mottok GDPR-klagen sent mandag kveld, og Rohde Nordhus skriver at Telenor ennå ikke har hatt noen dialog med Datatilsynet om klagen.

Brudd på GDPR kan gi bøter på inntil fire prosent av et selskaps omsetning. Telenor omsatte for rundt 110 milliarder kroner i fjor, og kan dermed i teorien bli bøtelagt med over fire milliarder kroner, dersom Datatilsynet kommer til at Myanmar-salget bryter med GDPR. Det er langt mer enn de rundt 900 millioner kroner Telenor skal få betalt av M1 for Myanmar-virksomheten.

Kjøper med juntabånd

Offisielt er ikke salget av Telenors Myanmar-virksomhet godkjent av militærregimet i landet ennå. Nyhetsbyrået Reuters meldte imidlertid nylig at regimet nylig skal ha gitt klarsignal til salget. Ifølge Myanmar Now har dette skjedd etter at kjøperen, det libanesiske investeringsselskapet M1 inngikk parterskap med det myanmarske industrikonglomeratet Shwe Byain Phyu Group.

Shwe har i følge Myanmar Now tette bånd til myndighetene i Myanmar. To medlemmer av militærrådet, som er juntaens øverste organ, skal ha inntekter fra selskapet.

Partnerskapet går i følge dokumenter Myanmar Now skal ha fått tilgang til, ut på at Shwe overtar 49 prosent av aksjene i det M1-eide skallselskapet Investcom. Dette selskapet blir så stående som eier av Telenor Myanmar etter salget. Myanmar Now skriver imidlertid at de også har sett dokumenter som indikerer at Shwe vil bli majoritetseier med 70-80 prosent av aksjene i Investcom.

Dette er altså bakteppet for salget som klagen fra Sands Advokatkontor har som mål å få stoppet.

Til Bistandsaktuelt sier advokat Ketil Sellæg Ramberg at de mener et salg vil være i strid med flere bestemmelser i GDPR. Han mener det kan være et såkalt delt behandlingsansvar mellom Telenor Myanmar og Telenor Group, og at GDPR og Personopplysningsloven derfor vil gjelde ved Telenors handlinger i Myanmar, selv om GDPR i utgangspunktet ikke gjelder i Myanmar.

Sellæg Ramberg sier til Bistandsaktuelt at han ikke er overrasket over at Telenor avviser at GDPR gjelder i landet, ettersom det ville medføre at salget, slik det er beskrevet, ikke kan gjennomføres.

Henviste til brukervilkår

Telenor-kunden som står som klager i denne saken har fått hjelp av den nederlandske organisasjonen Somo (Centre for Research on Multinational Corporations) til å engasjere det norske advokatkontoret.

Somo ble stiftet i 1973 for å overvåke multinasjonale selskapers virksomhet i den tredje verden, som en reaksjon på at slike selskaper etter deres mening aktivt hadde motarbeidet Chiles president Allendes forsøk på økonomiske reformer før han ble styrtet i et militærkupp.

Klagen til Telenor-kunden kommer ifølge Bistandsaktuelt, etter at han like etter at Telenor-salget ble kjent, bad Telenor Myanmar om å slette alle brukerdataene hans. Svaret - som Bistandsaktuelt skriver at de har lest - var at anmodningen ble avvist fordi han som Telenor-kunde hadde akseptert Telenor Myanmars brukervilkår.

Har vurdert å legge ned

Organisasjonens seniorrådgiver, Joseph Wilde-Ramsing, sier til Bistandsaktuelt at Telenor burde slette alle brukerdata og selge resten av selskapet for en symbolsk sum.

Menneskerettighetsekspert Hanne Sophie Greve har gått enda lenger. Hun mener det er uakseptabelt at Telenor selger Myanmar-virksomheten til M1 og Shwe, og mente i NRKs nyhetsprogram Dagsnytt 18 den 2. februar at selskapets hovedansvar burde være overfor de mange millioner Telenor-kunder i Myanmar. Hun sa at Telenor i stedet for å selge virksomheten burde vurdere å avvikle den hvis de ikke finner en kjøper som kan drive uten å krenke internasjonale og norske regler.

Da Inside Telecom bad Telenors konsernsjef Sigve Brekke kommentere dette under et intervju i forbindelse med konsernets resultatframleggelse tidligere i februar, svarte han at nedlegging er et av alternativene selskapet har vurdert.

– Da vi valgte å selge, vurderte vi absolutt alle alternativer. Å legge ned var ett alternativ. Vi konkluderte med at det ikke var noen gode løsninger på dette, men av de dårlige løsningene var salget det beste, sa han.