JUSTIS- OG BEREDSKAPSDEPARTEMENTET Postboks 8005 Dep. 0030 OSLO Deres referanse Vår referanse Dato 17/3895- NNO 17/01236-2/CDG 04.01.2018 Høringsuttalelse - Register over drap og vold med dødelig utgang Vi viser til Justis- og beredskapsdepartementets høringsbrev av 11.07.2017 vedrørende forslag om lov om etablering av et nasjonalt register over drap og vold med dødelig utgang. Vårt høringssvar følger nedenfor. Innhold 1. Innledende kommentarer... 2 1.1. Sammendrag... 2 1.2. Kort om lovforslaget... 2 1.3. Personvernforordningen og ny personopplysningslov... 3 1.4. De grunnleggende prinsippene for behandling av personopplysninger... 3 2. Personvernkonsekvenser ved registrering i registeret... 4 2.1. Rettslig grunnlag for vurdering av personvernkonsekvenser... 4 2.2. Kort oppsummering av departementets vurderinger... 5 2.3. Datatilsynets vurdering av registerets personvernkonsekvenser... 5 2.3.1. Avgrensning av hvilke opplysninger som kan registreres... 6 2.3.2. Gjerningspersonens rett til personvern... 6 2.3.3. Avdødes og pårørendes rett til personvern... 7 2.3.4. Opplysninger om fornærmet som overlever... 7 2.3.5. Opplysninger om tredjepersoner... 7 2.3.6. Lovhjemmelens klarhet... 7 3. Demokratisk kontroll av registeret... 8 4. Registerets formål... 8 5. Registerets nytteverdi... 9 6. Registerets identifikasjonsgrad... 9 Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no 0034 OSLO
7. Informasjonssikkerhet i registeret... 10 8. De registrertes rettigheter... 10 9. Innsending og utlevering av opplysninger... 10 9.1. Plikt til å levere opplysninger til registeret... 10 9.2. Utlevering av opplysninger fra registeret... 11 10. Delt behandlingsansvar... 11 11. Kontroll med registeret... 12 12. Avslutning... 13 1. Innledende kommentarer 1.1. Sammendrag Manglende utredning av drapsregisterets konsekvenser for personvernet, innebærer at registeret ikke er klart til å se dagens lys. Lovforslaget gir hjemmel til registrering av mer eller mindre alle opplysninger som finnes om de registrerte fra pasientjournaler, barnevern, NAV, politiet og andre eksisterende registre og uten deres samtykke. Registeret vil være direkte identifiserbart, og ikke avidentifisert, som Justis- og beredskapsdepartementet har lagt til grunn. Summen av dette er at drapsregisteret er blant de mer inngripende registrene Datatilsynet har sett foreslått etablert. Vi mener at en rekke problemstillinger må utredes grundigere før Stortinget kan ta stilling til om registeret bør etableres. Dette er de viktigste temaene vi mener må utredes: - Personvernkonsekvensene ved behandling av personopplysninger i registeret. - Registerets nytteverdi. - Om lovforslaget oppfyller personvernforordningens krav til lovhjemmel. - Om behandling av opplysninger om fornærmede og avdød gjerningsperson medfører konsekvenser for de pårørendes personvern. - Informasjonssikkerhet i registeret. - Om det kan, og bør, være delt behandlingsansvar for registeret. 1.2. Kort om lovforslaget Justis- og beredskapsdepartementet har foreslått at det i lov skal opprettes et nytt nasjonalt register over drap og vold med dødelig utgang. I lovforslaget 3 fremkommer det at det uten samtykke kan behandles opplysninger om gjerningspersoner og fornærmede. I høringsnotatet punkt 4.5 fremkommer det at det også kan registreres opplysninger om hendelsen. Hvilke opplysninger som skal registreres i registeret, skal reguleres i forskrift, jf. lovforslaget 8. 2
I lovforslaget 1 er det beskrevet at behandling av personopplysninger i registeret har som formål «å bidra til kunnskap om forekomst av og årsaker til drap og vold med dødelig utgang gjennom å legge til rette for statistikk, analyser og forskning.» Behandlingsansvaret for personopplysningene i registeret skal deles mellom Folkehelseinstituttet og Kripos. Politiet skal i utgangspunktet være ansvarlig for opplysningene som legges inn av politiet, mens Folkehelseinstituttet er ansvarlig for helseopplysningene. Den nærmere fordelingen av ansvaret mellom partene må fastsettes i en avtale. Registeret skal være fysisk plassert hos Folkehelseinstituttet, som skal stå for den daglige driften av registeret. 1.3. Personvernforordningen og ny personopplysningslov Europaparlamentets og Rådets forordning (EU) 2016/679 1 («personvernforordningen») ble vedtatt 27.04.2016 og får virkning 25.05.2018. Personvernforordningen opphever og erstatter Europarlaments- og rådsdirektiv 95/46/EF («personverndirektivet»). Personvernforordningen er EØS-relevant og skal innlemmes i EØS-avtalen. Det pågår felles forhandlinger mellom EFTA-landene og Kommisjonen. Implementering av personvernforordningen i norsk rett skal skje gjennom en ny personopplysningslov. Justis- og beredskapsdepartementet sendte forslag til ny personopplysningslov på høring 06.06.2017, med høringsfrist 16.10.2017. Høringsnotatet for etablering av drapsregisteret drøfter ikke hvilken betydning personvernforordningen vil ha for registeret. En slik vurdering må gjennomføres. Vi forventer at Justis- og beredskapsdepartementet legger personvernforordningens krav til grunn i sitt lovarbeid. Vi bruker derfor forordningens krav som utgangspunkt for våre kommentarer til forslaget. Vi gjør oppmerksom på at forslaget om ny personopplysningslov medfører at alle lovforslagets henvisninger til personopplysningsloven er ukorrekte. 1.4. De grunnleggende prinsippene for behandling av personopplysninger De grunnleggende prinsippene for behandling av personopplysninger har betydning for forståelsen av bestemmelsene i personvernforordningen, og i tillegg er de er selvstendige plikter som den behandlingsansvarlige må ivareta. Prinsippene har stor betydning og kunne med fordel vært omtalt i høringsnotatet. Prinsippene er angitt i personvernforordningen artikkel 5, som langt på vei er en videreføring av personverndirektivet artikkel 6. 1 Regulation (EU) 2016/679 of the European Parliament and the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) 3
Oppsummert innebærer prinsippene at personopplysninger skal: - behandles på en lovlig, rettferdig og gjennomsiktig måte med hensyn til den registrerte (prinsippet om lovlighet, rettferdighet og gjennomsiktighet), - samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene. Viderebehandling for arkivformål i allmennhetens interesse, for vitenskapelig eller historisk forskning eller for statistiske formål er ikke uforenlig dersom det skjer i samsvar med forordningen artikkel 89 nr. 1(prinsippet om formålsbegrensning), - være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for (prinsippet om dataminimering), - være korrekte og om nødvendig oppdaterte. Det må treffes tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for rettes eller slettes uten ugrunnet opphold (prinsippet om riktighet), - lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for. Personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for vitenskapelig eller historisk forskning eller for statistiske formål og i samsvar med forordningen artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak for å sikre de registrertes rettigheter (prinsippet om lagringsbegrensning), - behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak (prinsippet om integritet og fortrolighet). Den behandlingsansvarlig er ansvarlig for og skal kunne påvise at prinsippene overholdes (prinsippet om ansvar). For en mer utførlig gjennomgang av prinsippene, viser vi til vårt høringssvar til forslag om ny personopplysningslov 2, punkt 3. 2. Personvernkonsekvenser ved registrering i registeret 2.1. Rettslig grunnlag for vurdering av personvernkonsekvenser Inngrep i borgernes rett til privatliv krever hjemmel i lov og at det er nødvendig i et demokratisk samfunn av hensyn til den nasjonale sikkerhet, offentlig trygghet eller landets økonomiske velferd, forebygge uorden eller kriminalitet, for å beskytte helse eller moral, eller for å beskytte andres rettigheter og friheter, jf. Den europeiske menneskerettskonvensjon (EMK) artikkel 8 nr. 2. Det samme kravet følger av legalitetsprinsippet i Grunnloven 113. Kravet til hjemmelens klarhet skjerpes i takt med inngrepets størrelse. Også personvernforordningen stiller krav til lovhjemmelen. Vi viser til vårt høringssvar til forslag om ny personopplysningslov punkt 3.2 og 4.3 for nærmere redegjørelse for kravene. 2 Justis- og beredskapsdepartementets referanse 17/4200 ES ØMO/bj-, vår referanse 17/01179-3/SBL 4
For å avgjøre hvor stort inngrep det er å være registrert i et register, må lovgiver vurdere personvernkonsekvensene for borgerne som vil bli registrert i registeret (de registrerte). Personvernforordningen artikkel 35 nr. 7 angir at en personvernkonsekvensvurdering minst må inneholde: - en systematisk beskrivelse av behandlingsaktivitetene, formålet med behandlingen og hvilken berettiget interesse den skal ivareta, - en vurdering av om behandlingsaktivitetene er nødvendige og står i rimelig forhold til formålene, - en vurdering av de registrertes rettigheter og friheter, og - de planlagte tiltakene for å håndtere risikoene, inkludert garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysningene og at personvernforordningen overholdes. Det følger artikkelens nr. 10 at vurderingen også må gjøres ved vedtakelse av den lov som regulerer behandling av personopplysninger. For øvrig viser vi til kravene i Utredningsinstruksen og veilederen «Utredning av personvernkonsekvenser». Det synes ikke som om departementet har fulgt de kravene som følger av instruksen og veilederen i sitt arbeid med lovforslaget. 2.2. Kort oppsummering av departementets vurderinger Departementet viser til at registrering i registeret kan være til skade for den registrerte, men synes likevel å være av den oppfatning at registreringen kun vil medføre begrensede personvernkonsekvenser. Departementet har blant annet vist til at registeret vil være avidentifisert, at det skal etableres betryggende sikringstiltak (som intern kryptering) og at få personer skal ha tilgang til registeret. Det er uttalt på side 17 at registerets formål er så viktig at de straffedømte må tåle visse inngrep. 2.3. Datatilsynets vurdering av registerets personvernkonsekvenser Datatilsynet er ikke enig i departementets vurderinger. Vi mener at konsekvensene for personvernet ikke er vurdert på en betryggende måte. Det foreslåtte registeret vil være direkte identifiserbart, opplysningene skal registreres uten de registrertes samtykke og formålsangivelsen er uklar. Disse forholdene tilsier i seg selv at inngrepet i personvernet er stort. Videre gis det det nærmest blankofullmakt til å inkludere alle opplysninger som finnes om de registrerte og som kan være relevante for å oppfylle registerets formål. Det er foreslått at det skal kunne innhentes sensitive personopplysninger om helseforhold, straffbare forhold og etnisitet fra blant annet NAV, barnevern, straffesaksdokumenter og helse- og omsorgstjenesten. Spesielle forhold ved det enkelte drapstilfellet skal være bestemmende for hvilke kilder som skal benyttes for informasjonsinnsamling. 5
Det er foreslått at det skal registreres opplysninger om blant annet relasjonen mellom utøver og fornærmede (partnere, familie, venner, etc.), motiv og om andre personer var til stede da drapet ble begått. Resultatet er at departementet ikke har trukket noen grenser for hvilke opplysninger som er relevante, adekvate og nødvendige for å oppnå registerets formål. Mengden opplysninger som kan registreres, og opplysningenes art, bidrar til bakveisidentifisering av enkeltsaker og personer. Dette gjelder selv når direkte identifiserbare personopplysninger lagres kryptert. Datatilsynet legger til grunn at det er enkelt å identifisere den enkelte drapssak og at identiteten til de fleste registrerte kan verifiseres uten tilgang til direkte identifiserbare personopplysninger. Grunnen til dette er at det begås få drap i Norge hvert år, 3 og disse sakene får stor oppmerksomhet i media. Videre utleveres rettsavgjørelser som hovedregel med direkte identifiserbare personopplysninger, noe som vi bidra til både identifisering og verifisering av identitet. Summen av de ovennevnte forholdene er et register som er blant de mest inngripende vi har sett. Personvernkonsekvensene vil være store for de som registreres. Nedenfor vil vi beskrive hvilke vurderinger vi mener må gjøres før Stortinget kan ta stilling til om registeret bør etableres. 2.3.1. Avgrensning av hvilke opplysninger som kan registreres Som nevnt ovenfor åpnes det i praksis for at alle opplysninger som finnes om de registrerte kan registreres. I tillegg skal det registreres opplysninger om hendelsen. Det må gjøres en vurdering av hvilke opplysninger eller kategorier av opplysninger som vil være adekvate, relevante og nødvendige for å oppnå registerets formål. En slik vurdering er nødvendig for å sikre at prinsippet om dataminimering overholdes. 2.3.2. Gjerningspersonens rett til personvern Alle borgerne har krav på beskyttelse av sitt personvern, også personer som er dømt for drap. Dette må være utgangspunktet for personvernkonsekvensvurderingen. Vi mener at departementet tar for lett på retten til personvern når det uttaler at personer som er dømt for drap må tåle visse inngrep (høringsnotatet side 17). Vi mener at departementet særlig burde vurdert om saken fortsatt kan være registrert når gjerningspersonen har sonet sin dom, hvilke konsekvenser registreringen vil ha når gjerningspersonen har sonet ferdig sin dom og hvordan registeret skal fange opp eventuelle frifinnelser. Vi presiserer at det ikke er gjort noen reell vurdering av lagringstiden, som er nødvendig for å oppfylle prinsippet om lagringsbegrensning. 3 Departementet har ikke redegjort for hvor mange drap og voldsepisoder med dødelig utgang som begås i Norge hvert år. Det er opplyst at det begås om lag åtte partnerdrap hvert år og at disse utgjør om lag ¼ av drapene i Norge hvert år. Datatilsynet legger derfor til grunn at det årlig begås få drap og voldshandlinger med dødelig utgang. 6
2.3.3. Avdødes og pårørendes rett til personvern Personvernforordningen beskytter levende personer (forordningens fortalepunkt 27). Etter gjeldende rett anses opplysninger som døde personer som personopplysninger dersom de kan knyttes til en levende person, jf. personopplysningsloven 2 første ledd bokstav a, jf. Ot. prp. nr. 92 (1998-1999) s. 102. Det er ingen grunn til å tro at denne rettstilstanden vil endre seg når ny personopplysningslov trer i kraft. Departementet har lagt til grunn at behandling av personopplysninger om fornærmede vil være tillatt så lenge det ikke krenker personvernet til de etterlatte. Det er ikke redegjort for registreringens betydning for de etterlattes personvern. Det er grunn til å tro at hendelsene som vil bli registrert i registeret har vært svært traumatiserende for de pårørende. Med tanke på hvor enkelt det vil være å identifisere sakene og de registrerte, fremstår det som helt klart at departementet burde ha vurdert om registrering i registeret vil ha konsekvenser for de pårørendes personvern. Dette gjelder både fornærmedes pårørende og pårørende etter avdød gjerningsperson. Vi understreker at det er svært viktig å vurdere konsekvensene for barn som er pårørende. Den manglende vurderingen av personvernkonsekvensene for de pårørende er en betydelig svakhet med høringsnotatet. 2.3.4. Opplysninger om fornærmet som overlever Departementet ber om høringsinstansenes syn på om, og eventuelt i hvilken grad, «forsøk» på straffbare handlinger som er omfattet av registeret og voldshandlinger som ikke har noen dødsfølge bør registreres. Datatilsynet kan ikke se at registrering av opplysninger fra disse sakene vil være nødvendig for å oppfylle registerets formål. Eventuell inkludering av disse opplysningene vil kreve utredning av personvernkonsekvensene for de som vil bli registrert som følge av utvidelsen. 2.3.5. Opplysninger om tredjepersoner Det fremkommer i høringsnotatet at det ikke skal registreres opplysninger om tredjepersoner i drapsregisteret. Samtidig er det foreslått at det skal kunne registreres opplysninger om forholdet mellom gjerningsperson og fornærmede, nettverk og om det var flere til stede da drapet ble begått. Vi mener det er en svakhet ved høringsnotatet at det ikke redegjør for om registrering av disse opplysningene vil innebære at det registreres opplysninger om tredjepersoner. Vi anser det som tilnærmet umulig å registrere anonyme opplysninger i registeret. Det må derfor vurderes om registreringen vil medføre konsekvenser for personvernet til tredjepersonene. 2.3.6. Lovhjemmelens klarhet Datatilsynet mener at det ikke er tilstrekkelig redegjort for om den foreslåtte loven oppfyller kravene til lovhjemmel, som vi har redegjort for ovenfor. 7
For eksempel er det uklart hva som skal til for at en sak er «avgjort» i Norge, som er et av vilkårene for at saken skal inkluderes i registeret. For å forhindre registrering av uskyldige gjerningspersoner, er det nærliggende i anta at «avgjort» betyr at saken må være rettskraftig avgjort ved dom. Det kan imidlertid ikke være tilfellet, ettersom det er foreslått at det også skal kunne registreres opplysninger om henlagte saker. Det er uklart hvilke typer henlagte saker som kan registreres, selv om det gis veiledning om at dette kan gjelde saker hvor mistenkte er under 15 år, avdød eller utilregnelig. Vi mener også at inngrepet overfor de registrerte er større enn hva departementet synes å ha lagt til grunn, noe som tilsier at lovhjemmelens klarhet må vurderes på nytt. 3. Demokratisk kontroll av registeret Når et register etableres med hjemmel i lov sikrer det demokratisk kontroll av etableringen fordi det er Stortinget, de folkevalgte, som tar stilling til om registeret skal etableres. Dette er spesielt viktig når det opprettes inngripende registre hvor de registrerte ikke skal samtykke til registrering. For å kunne ta stilling til om et register skal etableres må Stortinget gis en fullstendig oversikt over hva etableringen vil medføre, herunder hvilke konsekvenser registreringen vil ha for personvernet. Uten en slik fullstendig oversikt, vil ikke Stortinget ha et reelt beslutningsgrunnlag. Det foreliggende lovforslaget er ikke mer enn et skall som sier at det skal etableres et register over drap og vold med dødelig utgang. Registerets faktiske innhold skal fastsettes i forskrift. Vi mener at lovforslaget er så ufullstendig at det ikke gir Stortinget anledning til å vurdere personvernkonsekvensene ved etablering av registeret. En slik løsning kan ikke sies å sikre noen reell demokratisk kontroll med etableringen av registret. Vi meget kritisk til denne løsningen. Datatilsynet understreker at vi er innforstått med at det er vanlig praksis at detaljregulering av registre skjer på lavere nivå og i form av en forskrift. Vi mener likevel at Stortinget må gis et tilstrekkelig beslutningsgrunnlag når de skal vedta eventuell opprettelse av et så inngripende register som det foreslåtte nasjonale registeret over drap og vold med døden til følge. 4. Registerets formål Formålsangivelsen er utgangspunktet for hvilke personopplysninger som er relevante, adekvate og nødvendige. Registerets formål vil også sette begrensninger for hvilke formål personopplysningene kan utleveres til. Det er derfor avgjørende at formålet er spesifikt og uttrykkelig angitt, og at det er berettiget, jf. prinsippet om formålsbegrensning. Uklar formålsangivelse øker også risikoen for formålsutglidning. 8
Drapsregisterets formål er presenter både i lovforslaget 1 og en rekke steder i høringsnotatet. Oppsummert er følgende formål nevnt i høringsnotatet: - Bidra til kontinuerlig og systematisk kunnskap om drap og vold med dødelig utgang, herunder bedre forståelse av forekomst, årsaksforhold og utviklingstrender. - Forebygge drap og vold. - Motvirke utvikling av feilaktige oppfatninger og meninger om befolkningsgrupper, stigma om psykiske lidelser, og frykt og uro som ikke er begrunnet i faktiske kunnskaper. - Kunnskap om årsaker, omfang, karakter og konsekvenser av drap og vold med dødelig utgang for å ivareta berørte personer og iverksette forebyggende tiltak. - Kunnskap for å utforme politikk på nasjonalt og lokalt nivå - Avdekke potensiell svikt i systemer som skal ivareta den enkelte og samfunnet for øvrig. - Planlegging og styring av offentlige tjenester for å kunne ta gode, kunnskapsbaserte prioriteringer innen justis- og helsepolitikk. Listen viser at registerets formål er beskrevet så mange steder at det er vanskelig å forstå hva som faktisk er registerets formål. Vi mener også at flere av de presenterte formålene ikke er gjenspeilet i lovforslaget, noe som vil føre til tolkningstvil. Datatilsynet mener at formålsangivelsen i høringsnotatet og lovforslaget er så vagt angitt at det trolig er i strid med prinsippet om formålsbegrensning. 5. Registerets nytteverdi EMK artikkel 8 og Grunnloven 113 krever at inngrep overfor borgerne må være nødvendig for å oppfylle berettigede formål. Det samme fremkommer i personvernforordningen artikkel 6. Dette betyr at et register må ha en nytteverdi. Datatilsynet mener at høringsnotatet ikke i tilstrekkelig grad drøfter om et register av den karakter som er foreslått, er nødvendig for å oppnå de ønskede formålene. Manglende drøftelse av nytteverdien gjør det utfordrende å vurdere om registeret vil oppfylle kravet til allmenn interesse i personvernforordningen artikkel 6, om registerets formål er berettiget og om prinsippet om dataminimering ivaretas. Slik Datatilsynet ser det, er det ikke nødvendig å opprette et permanent register for å oppfylle de formålene som er presentert, eller de anbefalingene som fremkommer i NOU 2010:3. Alle opplysningene som skal inngå i registeret finnes allerede i eksisterende registre og journaler, og kan utleveres til forsknings-, evaluerings-, og kvalitetssikringsprosjekter ved behov (og forutsatt at prosjektene har behandlingsgrunnlag og dispensasjon fra taushetsplikt). 6. Registerets identifikasjonsgrad Flere steder i høringsnotatet legger departementet til grunn at registeret skal være avidentifisert. Dette er ikke riktig. 9
Når et register kan behandle navn, fødselsnummer og andre direkte personidentifiserende kjennetegn, som det foreslåtte registeret, er det direkte identifiserbart, jf. helseregisterloven 10 og 11. Kryptert lagring av navn, fødselsnummer og andre direkte personidentifiserende kjennetegn er kun et tiltak for å beskytte den registrertes konfidensialitet, jf. helseregisterloven 21 andre ledd. Det foreslåtte registeret vil dermed være direkte identifiserbart. Dette må være utgangspunktet for vurderingen av personvernkonsekvensene og nødvendige sikkerhetstiltak. Vi legger til at det også vil være svært enkelt å identifisere enkeltpersoner, selv uten direkte identifiserende personopplysninger, jf. vår redegjørelse for personvernkonsekvensene ovenfor i punkt 2.3. 7. Informasjonssikkerhet i registeret Lovforslaget viser til personopplysningslovens regler om informasjonssikkerhet. Som tidligere nevnt, vil ikke henvisningene være korrekte når ny personopplysningslov trer i kraft. Vi mener at det må utredes om registerets karakter medfører behov for spesielle informasjonssikkerhetskrav som bør fastsettes i loven. Som eksempel på lignende regulering, viser vi til helseregisterloven 21. Denne bestemmelsen stiller spesifikke krav til informasjonssikkerhet i helseregistre, for eksempel krav om kryptert lagring av direkte personidentifiserende kjennetegn. 8. De registrertes rettigheter Personvernforordningen styrker de registrertes rettigheter. Høringsnotatet nevner kort noen av rettighetene, men ikke hvordan rettighetene skal ivaretas eller hvilke spesielle problemstillinger som kan oppstå når det skal registreres opplysninger om gjerningspersoner og fornærmede. De registrertes rettigheter er angitt i personvernforordningen kapittel 3. Vi nevner kort de viktigste rettighetene, nemlig retten til informasjon, innsyn, korrigering, sletting, begrense behandlingen og til å fremme innsigelse. Vi mener at det må utredes hvordan disse rettighetene skal ivaretas, og da særlig retten til informasjon. 9. Innsending og utlevering av opplysninger 9.1. Plikt til å levere opplysninger til registeret I lovforslaget 4 heter det at den behandlingsansvarlige kan pålegge «enhver» å utlevere opplysninger til registeret i samsvar med bestemmelser gitt i forskrift til loven. Videre er det bestemt den som har opplysningsplikt av eget tiltak og uten hinder av taushetsplikt må utlevere opplysninger til registeret. 10
Datatilsynet mener at ordlyden i bestemmelsen burde, og kunne, vært snevrere angitt. Vi mener også at høringsnotatet burde drøftet hvilke kilder det kan innhentes opplysninger fra, slik at det ble satt noen grenser for forskriftsarbeidet. I sin ytterste konsekvens åpner ordlyden for at advokater kan pålegges å utlevere opplysninger om sine klientforhold. Vi minner om at taushetsplikten skal sørge for at befolkningen har tillit til at opplysninger de deler ikke blir spredt videre til uvedkommende. Taushetsplikten bør derfor ikke uthules unødig, og unntak bør vurderes grundigere enn det som er gjort i høringsnotatet. Vi stiller også spørsmål ved om den foreslåtte bestemmelsen er tilstrekkelig til å gjøre unntak fra lovbestemt taushetsplikt. Det er vist til helseforskningsloven som hjemmelsgrunnlag for utlevering av opplysninger fra helseregistre til det foreslåtte drapsregsisteret. Helseforskningsloven gjelder behandling av opplysninger i forskningsprosjekter. Utlevering av opplysninger for registrering i et register faller utenfor helseforskningslovens virkeområde. Videre er det vist til at politiregisterloven 33 gir hjemmel for å utlevere opplysninger til forskning. Heller ikke denne bestemmelsen gir grunnlag for utlevering av opplysninger til et register. 9.2. Utlevering av opplysninger fra registeret I høringsnotatet er det lagt til grunn at forskningsprosjekter som ønsker å få utlevert opplysninger fra registeret må ha selvstendig behandlingsgrunnlag og at dette kan fås ved forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) eller konsesjon fra Datatilsynet. Datatilsynet mener det er uklart om registerets formål omfatter medisinsk og helsefaglig forskning. Om det likevel skulle være tilfellet, antar vi at de aller færreste forskningsprosjektene som skal bruke opplysninger fra registeret vil oppfylle helseforskningslovens krav til medisinsk og helsefaglig forskning. Forhåndsgodkjenning fra REK vil derfor kun være aktuelt i svært få tilfeller. Personvernforordningen legger ikke opp til at datatilsynsmyndigheten skal gi forhåndsgodkjenning for behandling av personopplysninger. Justis- og beredskapsdepartementet har heller ikke foreslått noen videreføring av konsesjonsordningen i forslag til ny personopplysningslov. Dermed vil ikke konsesjon fra Datatilsynet være et alternativt behandlingsgrunnlag. Departementets forslag til behandlingsgrunnlag for bruk av opplysninger fra registeret i forskningsprosjektet vil dermed ikke ha noen virkning. 10. Delt behandlingsansvar Behandlingsansvarlig er den som alene eller sammen med andre «bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes», jf. 11
personvernforordningen artikkel 4 nr. 7. Når formålet med og midlene for behandlingen er fastsatt i lovgivningen, kan den behandlingsansvarlige, eller kriteriene for utpeking av vedkommende, fastsettes i lovgivningen. I forordningen artikkel 26 nr.1 er det angitt at dersom to eller flere behandlingsansvarlige «i fellesskap fastsetter målene med og midlene for behandlingen», skal de være felles behandlingsansvarlige. Disse skal fastsette sitt respektive ansvar for å overholde forpliktelsene i forordningen i en avtale, med mindre og i den grad deres respektive ansvar er fastsatt i lovgivning som de er underlagt. Departementet har foreslått at Kripos og Folkehelseinstituttet skal ha delt behandlingsansvar for registeret, og at fordeling av ansvaret skal klarlegges i avtale mellom partene. Det synes som om behandlingsansvaret er fordelt etter hvem som har ansvaret for å registrere opplysninger i registeret. Datatilsynet mener at det må utredes om Kripos og Folkehelseinstituttet i fellesskap fastsetter midlene som skal benyttes i behandlingen. Det synes som om dette ansvaret i realiteten ligger hos Folkehelseinstituttet, og at Kripos kun skal utlevere opplysninger til registeret. Dersom utredningen viser at både Kripos og Folkehelseinstituttet er behandlingsansvarlige, mener Datatilsynet at registerets karakter tilsier at partenes respektive ansvar i større grad må fastsettes i loven og ikke overlates til partene. 11. Kontroll med registeret Det er foreslått at Datatilsynet skal føre tilsyn med registeret. Videre er det foreslått at personer som antar at de er registrert i registeret skal kunne henvende seg til Datatilsynet og be om en kontroll av at opplysningene om vedkommende er behandlet i samsvar med loven og at reglene om innsyn er fulgt. Datatilsynet finner det nødvendig å presisere at vi er et særskilt uavhengig forvaltningsorgan og at våre oppgaver er angitt i personvernforordningen artikkel 57. Vi kan ikke pålegges oppgaver på annen måte og vi avgjør selv hvilke tilsyn vi har ressurser til å gjennomføre. Privatpersoner bør ikke kunne be oss føre tilsyn. Vi minner om at personvernforordningen fremhever at personvernombudet skal være kontaktpunkt for de registrerte. De registrerte skal kunne kontakte ombudet med spørsmål om behandling av deres personopplysninger og om utøvelsen av de rettighetene de har etter personvernforordningen. Dette følger av artikkel 38 nr. 4. 12
12. Avslutning Vi stiller oss til rådighet dersom dere ønsker utfyllende informasjon eller har spørsmål til vårt høringssvar. Dere kan i så fall ta kontakt med Christine Dalebø Gjerdevik på telefon 22 39 69 49. Med vennlig hilsen Bjørn Erik Thon direktør Christine Dalebø Gjerdevik rådgiver Kopi: Kommunal- og moderniseringsdepartementet v/statsforvaltningsavdelingen Postboks 8112 Dep, 0032 OSLO 13