& Data. Lov. Nr. 109 Mars Innsyn i personopplysninger. Nr. 1/2012. av Eva I. E. Jarbekk og Terese Hallén-Hasaas. Lov&Data nr.

Transkript

1 Lov & Data Nr. 1/2012 Innsyn i personopplysninger Innhold Avtalerett It-kontrakter Nr. 109 Mars 2012 av Eva I. E. Jarbekk og Terese Hallén-Hasaas 13 Cloud computing 10 Domenenavn 22 Konferanser 35 Litteratur 18 Med blikket mot Brussel 26 Nyheter Danmark Administrative afgørelser Datatilsynet Domstoler Domeneklagenemnda Regler EU EU-domstolen Med blikket mot Brussel Regler Lovdata Innsyn i personopplysninger lagret i det offentliges databaser: Hvor bør skjæringspunktet gå mellom personvern og offentlighet? 25 Den norske loven om rett til innsyn i dokument i offentleg verksemd (offentleglova) av 19. mai 2006 nr. 16, har som formål å legge til rette for at offentlig virksomhet er åpen og gjennomsiktig for slik å styrke informasjons- og ytringsfri heten, den demokratiske deltakelsen, rettssikkerheten for den enkelte, tilliten til det offentlige og publikums kontroll av den offentlige forvaltning. Parallelt med innsynsretten, er det blitt stadig viktigere at informasjon som det offentlige besitter i størst mulig grad gjøres tilgjengelig for kommersielle aktører og utvikling av nye tjenester. Dette henger sammen med effektivisering og modernisering av offentlige sektor. På har Direk torat et for forvaltning og IKT (Difi) lagt til rette for at offentlige virksomheter kan legge ut data som kan brukes kommersielt. Eksempler på nyttig råmateriale for moderne tjenester, er informasjon om lokalisering av steder for sykkelutleie, planlagt veiarbeid og data om offentlig forbruk. Kommersialiseringen av offentlige data skal ikke krenke personvernet, og på oppgis det at myndighetene skal holde tilbake personlige opplysninger fra kommersialisering. Dette er en fornuftig avveining, men dessverre har den ikke fått fotfeste innenfor alle deler av offentlig sektor. Her ser vi nærmere på situasjonen for utlevering av opplysninger om studenter Opphavsrett Medvirkning til opphavsrettskrenkelse 28 Musikk Personvern Cloud computing EU-regler GPSovervåkning Personopplysninger , 6, 8 1

2 UTLEVERING AV STUDENTOPPLYSNINGER Mulighet for å kreve innsyn i sammenstilling fra databaser I forbindelse med revisjonen av offentlighetsloven av 1970, gikk man bort fra prinsippet om at det bare kunne kreves innsyn i et eksisterende dokument. Fra og med 1. januar 2009 ble offentlige virksomheter også pålagt å gi innsyn i opplysninger som er elektronisk lagret i databaser, jf. offentleglova 9. Kriteriet var imidlertid at «samanstillinga kan gjerast med enkle framgangsmåtar». Denne lovendringen synes å være bakgrunnen for den klare økningen i henvendelser til universiteter, høyskoler, skoler og kulturskoler. Eksempelvis bes det om innsyn i elevenes navn, adresse, fagretning og eksamenstidspunkt. Kulturskolen er et frivillig tilbud til elever i barneskolen som drives av kommunene og tilbyr opplæring i instrumenter, dans og andre kulturelle hobby-relaterte aktiviteter. Enkelte kulturskoler har mottatt begjæring om innsyn i hvilke opplæringsalternativ den enkelte elev velger. Denne informasjonen er kommersielt nyttig hvis man ønsker å fremme private tilbud om tilsvarende undervisning når det er ventelister innen det offentlige. Generelt har det gjennom gående formålet med informasjonsuthentingen vist seg å være målrettet markedsføring eller headhunting. Kort om omfanget av den lovpålagte taushetsplikten for personopplysninger Selv om innsynsretten favner bredt, gjelder det også noen unntak. For så vidt gjelder personopplysninger, er det helt sentralt at myndighetene ikke har lov til å utlevere opplysninger som ved lov er underlagt taushetsplikt, jf. offentleglova 13, første ledd. For forvaltningens virksomhet vil dette være opplysninger som faller inn under kategorien «noens personlige forhold», jf. forvaltningsloven 13, første ledd, nr. 1. Terskelen for å komme inn under denne betegnelsen er likevel nokså høy. Eksempelvis vil verken opplysninger om personers navn, adresse eller telefonnummer i utgangspunktet være taushetsbelagt. Justisdepartementets lovavdeling har også lagt til grunn at heller ikke e-postadresser vil være taushetsbelagt. Noe annet vil være tilfellet dersom et telefonnummer er hemmelig, eller hvis adressen røper et forhold som må anses som personlig. Taushetsplikten vil da også omfatte personens navn. Et typisk forhold som kan røpes gjennom adressen, vil være at vedkommende bor på en institusjon, eller er i fengsel. Aktuelt: krav om utlevering av studentopplysninger fra Universitetet i Oslo Et særlig profilert eksempel på krav om innsyn i studentopplysninger, er henvendelsen fra Rekruttering AS til Universitetet i Oslo (UiO) om å få innsyn i lister over uteksaminerte kandidater fra midten av nittitallet til i dag. Ifølge universitetets pressemelding 1 av 12. januar 2012, gjelder dette omtrent uteksaminerte kandidater. Alle opplysningene er lagret i en database. Universitetet har foreløpig avslått begjæringen, og har bygget begrunnelsen på to forhold: For det første pekes det på at arbeidet med å sile ut taushetsbelagte opplysninger gjør at sammenstillingen ikke oppfyller vilkåret om at den skal kunne gjøres «med enkle fremgangsmåtar». Det er dermed grunnlag for å holde samtlige opplysninger tilbake. For det andre mener UiO at opplysningene det gjelder kvalifiserer som interne dokumenter som kan unntas fra innsyn, jf. offentleglova 14. Rekruttering AS klaget på avslaget, men UiO omgjorde ikke vedtaket. I begrunnelsen viste de dels til de juridiske argumentene i det opprinnelige vedtaket, og dels forelå ytterligere juridiske begrunnelser i tilknytning til implementering av personverndirektivet og i forhold til Den europeiske menneskerettskonvensjonen (EMK). I oversendelsen til Kunnskapsdepartementet er dette nøye redegjort for. Det er nå opp til Kunnskapsdepartementet å vurdere universitetets vedtak. 2 Den tolkningen av offentleglova som er lagt til grunn, er imidlertid en klar utfordring av Kunnskapsdepartementets vurdering i en tilsvarende innsynssak knyttet til ca studenter ved Norges teknisk-naturvitenskapelige universitet (NTNU). NTNU avslo først begjæringen fra Rekruttering AS i vedtak av 6. april 2011 med henvisning til at opplysningene fremgikk av interne dokumenter og på bakgrunn av personvernhensyn. Ved departementets vedtak av 1. juni 2011 ble universitetet likevel pålagt å gi innsyn. Departementets vurdering bygget i korte trekk på en forståelse av at opplysningene i databasen kunne sammenstilles med enkle grep, og at resultatet av sammenstillingene ville bli ansett som et nytt saksdokument som ikke var opprettet for eget bruk. Dokumentet ble dermed ansett for å falle utenfor offentleglovas unntaksbestemmelse for interne dokumenter selv om opplysningene ble hentet fra interne dokumenter som var laget for studieadministrative formål. For oss fremstår det som ulogisk at selve sammenstillingen skal medføre at de tidligere elektronisk lagrede dokumentene mister sin interne karakteristikk. Vi kan heller ikke se at formålet bak offentleglova begrunner en slik forskjellsbehandling. Spørsmålet om arbeidet med å sile ut taushetsbelagte opplysninger medfører at sammenstillingene ikke kan gjøres «med enkle fremgangsmåtar» kom ikke på spissen i NTNU-saken. I kjølvannet av avslaget fra UiO, har imidler tid denne begrunnelsen blitt kritisert av professor Jan Fridthjof Bernt ved Universitetet i Bergen. I et intervju med Uniforum 3 peker han på at problemet ikke ligger i selve sammenstillingen, men i den påfølgende utsilingen av taushetsbelagt informasjon fra et stort dokument. Han mener derfor unntaksbestemmelsen ikke kan brukes i denne sammenhengen. Et annet spørsmål som reises i UiOs oversendelsesbrev til Kunnskapsdepartementet, er om de norske reglene om innsyn må tolkes innskrenkende på grunn av forpliktelser etter EØS-avtalen og EUs personverndirektiv (direktiv 95/46/EF av 24. oktober 1995). Det vil ta for stor plass å 2

3 gå inn på temaet her, og vi nøyer oss derfor med å vise til at det er et grunnleggende prinsipp i personverndirektivet at personopplysninger ikke skal brukes til formål som er uforenlige med det opprinnelige formålet. Samtidig følger det av personopplysningsloven 6 at loven som gjennom fører direktivet ikke begrenser innsynsretten etter offentleglova. Selv om det i fortalen til direktivet åpnes for at man ved gjennomføringen skal kunne ta hensyn om offentlighet, må det vurderes om den norske løsningen trekker denne muligheten for langt. På samme måte må Kunnskapsdepartementet også vurdere om innsynsretten står i motstrid med EMK artikkel 8 om retten til respekt for privat- og familieliv. Selv om noen stiller spørsmål ved lovtolkningen som legges til grunn for UiOs vedtak, er det ikke noe tvil om at vedtaket har bred støtte blant nåværende og tidligere studenter. Antakeligvis skyldes dette at en innvilgelse av innsyn for mange fremstår som en krenkelse av personvernet. Også professor Bernt sier i intervjuet med Uniforum at han gir UiO honnør for å «trekke benene etter seg på denne måten». Avgjørelsen av klagen må uansett nå tas av Kunnskapsdepartementet. Hvis departementet konkluderer med at utleveringen av studentopplysninger for kommersiell videre bruk ikke synes å være i samsvar med formålet bak offentleglova, men at gjeldende rett ikke åpner for å nekte innsyn, er det naturlig at de snarest starter en prosess for å rette opp rettstilstanden gjennom endring av lov eller forskrift. Kunnskapsdepartementet har bedt lovavdelingen om en uttalelse Slik saken står i dag, ligger det ikke an til at Kunnskapsdepartementet uten videre vil falle tilbake på vurderingen som ble gjort sommeren 2011: I brev av 17. januar 2012 anmodet departementet på generelt grunnlag Justisdepartementets lovavdeling om en vurdering av regelverket om rett til innsyn i utdanningsinstitusjoners opplysninger om deres studenter, elever og barn i barnehager i medhold av offentleglova. 4 Mer konkret blir det i brevet bedt om en vurdering av om forholdet mellom offentleglova og personopplysningsloven er hensiktsmessig balansert for å ivareta både allmennhetens rett til innsyn og den enkeltes krav på personvern. Departementet ber også lovavdelingen vurdere grensen for hva som regnes som «urimelig arbeidskrevende» etter offentleglova 12 bokstav b. Vurderingen har betydning for retten til å unnta resten av et dokument fra innsyn hvis deler av dokumentet allerede er unntatt. Loven åpner for et slikt unntak dersom det «vil vere urimeleg arbeidskrevjande for organet å skilja dei [de unntatte delene] ut». Uansett hvordan de gjeldende reglene må tolkes, har mange studenter uttrykt forbauselse over at utdannelsesinstitusjoner utleverer informasjon om dem til kommersielle aktører. I svært mange tilfeller vil en slik utlevering som nevnt oppleves som en krenkelse av personvernet, og utdannelsessektoren har dermed pekt seg ut som et klart eksempel på et område der gjeldende lovregler har blitt tolket på en måte som ikke synes å være forenlig med det ellers sterke fokuset på personvern. Vi minner her om at det her angår et grunnprinsipp i personvernet; nemlig at opplysninger ikke uten samtykke skal brukes til et annet formål enn hva de opprinnelig er innsamlet for. Er det virkelig så enkelt at man ved en generell legitimering av innsynsrett etter offentleglova i personopplysningsloven 6, første ledd, ikke behøver å vurdere personvernhensyn ved vurdering av innsynsbegjæringer? Og hvis ja bør det være slik? SKATTELISTER OG LØNNSSLIPPER Før vi går nærmere inn på forholdet mellom offentleglova og personopplysningsloven, vil vi kort vise til at vi ikke behøver å gå lenger enn et par måneder tilbake for å se at det på to områder er blitt foretatt presiseringer i retten til innsyn i det offentliges opplysninger. For det første ble muligheten til kommersiell bruk og videreutvikling av opplysninger i skattelistene sterkt beskåret i reglene som ble sanksjonert av Kongen i statsråd 24. juni 2011 [lov 24. juni 2011 nr. 22]. Den tidligere offent liggjøringen av lister resulterte i stadig mer kreative og personvernbelastende applikasjoner. Som et eksempel kan det vises til applikasjonen der man fikk opp inntekt til beboere rundt mobilens fysiske passering. Resultatet av regelendringen er at man fremdeles har innsyn i skattelister, men dette må gjøres via Altinn og opplysningene kan kun brukes journalistisk, ikke kommersielt på annen måte. Dette virker som en fornuftig avveining mellom ønsket om åpenhet og hensynet til den enkelte, selv om mange nok hadde ønsket at innsynet skulle blitt ytterligere begrenset. Den 16. desember 2011 ble det deretter sanksjonert en ny lovendring [lov 16. desember 2011 nr. 62] med bakgrunn i det siste årets diskusjoner om innsyn i offentlig ansattes lønnsslipper. Mange offentlige virksomheter har mottatt slike innsynsbegjæringer, blant annet knyttet til ordførerlønninger og lønnen til ansatte som behandler visse type byggesøknader eller anskaffelser. Fordi deler av en lønnsslipp inneholder taushetsbelagt informasjon, har det gitt merarbeid å vurdere hvilke deler av lønnsslippene som må sladdes. I tillegg har spørsmålet om fødselsnummeret på lønnsslippen kunne sladdes ført til en rekke diskusjoner. Lovendringen medførte at man nå kun kan få utlevert informasjon om bruttolønn, ikke selve lønnsslippen. Like viktig er det at man presiserte at fødselsnummeret ikke skulle utleveres. På den måten styrket man de ansattes personvern, bevarte åpenhet og sparte forvaltningen for skjønnsmessige avgjørelser. Lovendringene er eksempler på utslag av at dagens regler ikke samsvarte med det vi noe overflatisk kan kalle den alminnelige rettsfølelse. Hvorvidt spenningsforholdet mellom personvern og offentlig innsyn kan løses gjennom tolkning eller om det også her må en lovendring til, vil forhåpentligvis bli klarere så snart Kunnskapsdepartementet får svar fra Justisdepartementets lovavdeling. 3

4 TA EN PERSONOPPLYSNING OG LA DEN VANDRE? Tolkningsproblemene knyttet til skjæringspunktet mellom offentleglova og personopplysningsloven har sin bakgrunn i den praktiske håndhevingen av personvernet. For selv om enhver anonymt kan begjære innsyn i enkelte personopplysninger i henhold til offentleglova, legger personopplysnings loven strenge føringer på den etterfølgende behandlingen av opplysningene. For det første skal enhver bruk av personopplysninger alt fra enkel lagring til rekruttering og rettet reklame ha et rettslig grunnlag. I tilfeller der en kommersiell aktør henter opplysninger fra det offentlige via en utleveringsbegjæring, vil hovedregelen for videre behandling av opplysningene innebære at aktøren må innhente eksplisitt samtykke fra hver og én av de opplysningene gjelder. Aktøren vil dessuten ha en omfattende informasjonsplikt overfor de registrerte. I tillegg må bestemmelsene om meldeplikt til Datatilsynet overholdes. Slike meldinger er offentlige og kan, dersom de er riktig innlevert, enkelt søkes opp på meldingsdatabasen på Datatilsynets nettside. Selv er utdanningsinstitusjoner fritatt for både konsesjons- og meldeplikt men dette unntaket vil ikke gjelde den som krever opplysningene utlevert. Dersom de innsamlede opplysningene sier noe om en persons preferanser, evner eller andre personlige forhold, vil dette kunne være det personopplysningsloven definerer som en «personprofil». Når en kommersiell aktør kontakter privatpersoner på grunnlag av en slik profil, pålegger personopplysningsloven vedkommende firma å informere de som kontaktes om hvilke opplysningstyper som er anvendt og hvor opplysningene er hentet fra. Et tilsvarende krav følger av markedsføringsloven 16. I Reservasjonsregistret 5 kan man reservere seg mot telefonsalg og adressert reklame. En aktør som har samlet inn opplysninger fra et offentlig organ har på lik linje som alle andre en plikt til å holde seg oppdatert på hvem som er registrert. Uavhengig av om ovennevnte krav er overholdt eller ikke, har alle rett til å få vite om de er registrert i et register av denne type eller ikke, og til å vite hvilke opplysninger som er registrert og til hvem de eventuelt er utlevert. Man har også rett til å kreve seg slettet hvis man ikke vil stå i registeret. I praksis er det altså mange regelsett som beskytter individets personvern. Brudd på disse reglene kan gi grunnlag for flere rettslige reaksjoner, eksempelvis erstatning og bøter. Både i Norge og internasjonalt ser man at det blir mer fokus på personvern og bestemmelsene om dette, og man bør derfor være varsom med å bruke personopplysninger på tvers av regelverket. De offentlige virksomhetene som må utlevere personopplysninger med hjemmel i offentleglova har imidlertid ingen garanti for at den som har begjært innsyn følger opp disse reglene. I tilfellet med Rekruttering AS som tilsynelatende har begjært innsyn hos svært mange utdannelsesinstitusjoner, har selskapets daglig leder uttalt følgende til Aftenposten 6 : «Vi har ikke oppfattet det slik at vi har noen informasjonsplikt ovenfor listenavnene og har ingen planer å ta kontakt med personer og spørre om de vil bli strøket fra listene våre. Hvorfor skulle vi det når det ikke er sensitive opplysninger vi søker etter?» Uttalelsen vitner dels om en uvitenhet om gjeldende regler og dels om en uvilje mot dem. Det gir grunn til bekymring når man ser hen til det store antallet personer som vil kunne få sine personopplysninger utlevert til Rekruttering AS. Så lenge Kunnskapsdepartementet ikke følger opp UiOs initiativ med en tilsvarende tolkning eller alternativt lovendring er det disse personenes personvern som står på spill. PÅ TIDE MED MINDRE INNSYN? Vi mener innsynsreglene har gått for langt i forhold til de omtalte gruppene. Dagens regler gir dårlig beskyttelse av opplysninger som ikke faller inn under taushetsplikten, men som likevel er av en såpass personlig art at innsyn til kommersielt bruk ikke synes å ha noen legitim begrunnelse. Disse hensynene står også sterkere når de betraktes i lys av den overhengende risikoen for at utleverte opplysninger ikke behandles i samsvar med gjeldende personvernlovgivning. For skoleelever og studenter mener vi det er grunn til å avveie hensynet til den enkelte mot den interessen som begrunner kravet om innsyn. For eksempel kan det tenkes at en enkeltperson eller journalist ønsker å se på fordelingen av kommunale midler opp mot resultatet på den enkelte skole og ber skolen om innsyn i antall elever fordelt på fagtilbud. En slik henvendelse kan enkelt imøtekommes ved å utlevere anonymisert statistikk, men vi kan ikke se at hensynene som begrunner offentlighet gjør seg gjeldende når det gjelder opplysninger knyttet til konkrete personer. Særlig gjelder dette når opplysningene ville vært vurdert som interne dersom de ikke hadde vært elektronisk lagret i en database. For så vidt gjelder rettet markedsføring, vil det som nevnt være mulig å reservere seg i Reservasjonsregisteret, og ved utløpet av 2011 hadde antallet registrerte nådd personer. Det er det grunn til å tro at de fleste av disse er voksne. Svært mange av personene det kan bli utlevert opplysninger om fra skoler og kulturskoler, er imidlertid barn og unge. Dette henger dårlig sammen. På denne bakgrunn stiller vi oss svært positive til at Kunnskapsdepartementet nå har bedt om en tolkningsuttalelse fra Lovavdelingen i Justisdepartementet. Som nevnt ovenfor, vil en prosess for å rette opp rettstilstanden kunne bli nødvendig hvis departementet nå konkluderer med at utleveringen av studentopplysninger for kommersiell viderebruk ikke synes å være i samsvar med formålet bak offentleglova, men at gjeldende rett ikke åpner for å nekte innsyn. Vi mener imidlertid også at det er på sin plass med en klargjøring av regelverket hvis departementet skulle konkludere med at innsynsbegjæringen kan avslås. Begrunn- 4

5 elsen er rett og slett at dagens bestemmelser skaper stor usikkerhet i forvaltningen om et praktisk og viktig tema: Selv om dokumentoffentlighet er viktig i et demokratisk samfunn, burde det være unødvendig for offentlige virksomheter å nedlegge mye tid på å tolke regelverket for å vurdere om det skal gis innsyn i personopplysninger de har for internt bruk, og som er elektronisk lagret i en database. Dagens praksis med at flere offentlige virksomheter finner det nødvendig å rådspørre advokat når det oppstår slike spørsmål, vitner også om at reglene er uklare og for vanskelig tilgjengelig. Før de endelige reglene kan få en hensiktsmessig utforming, må det likevel klarlegges hva som er gjeldende rett, og om det bør være slik. I denne prosessen vil vi oppfordre til fortsatt debatt om hvor grensen bør trekkes mellom åpne, kommersialiserbare data og de opplysningene som bør beskyttes uten at de er underlagt taushetsplikt. Synspunktene i artikkelen representerer forfatternes personlige oppfatning, men det opplyses for ordens skyld at de har bistått UiO i saken med Rekruttering AS. Eva I. E. Jarbekk er advokat og assosiert partner i advokatfirmaet Kluge og Terese Hallén-Hasaas er advokat i samme firma. Noter: 1. pressemeldinger/2012/avslar-krav-ominnsyn.html 2. Rekrutteringsfirma-ankerAnei-til-studentregister html#.TxAP1vlflBk 3. nyheter/2012/01/uio-nekter-a-utleverestudenter.html 4. kd/dok/andre/brev/utvalgte_ brev/2012/innsynsrett-i-klasselister-etterreglene.html?id= Rekrutteringsfirma-ankerAnei-til-studentregister html 5