Når er fjernsynsovervåking behandling av sensitive personopplysninger? En kommentar til den pågående etterkontrollen av personopplysningsloven Av advokat Henning A. Jakobsen og advokatfullmektig Gry Steen Hvidsten Artikkelen drøfter spørsmålet om når fjernsynsovervåking må anses som behandling av sensitive personopplysninger etter personopplysningsloven. Datatilsynet og Personvernnemnda har i praksis lagt til grunn ulik rettslig forståelse på dette punkt, og problemstillingen er tatt opp av Justisdepartementet i forbindelse med den pågående etterkontrollen av personopplysningsloven. HENNING A. JAKOBSEN er advokat i advokatfirmaet Bjerknes Wahl-Larsen. Han har tidligere vært utreder i Høyesterett, dommerfullmektig og rådgiver i Justisdepartementets lovavdeling. GRY STEEN HVIDSTEN er advokatfullmektig i advokatfirmaet Arntzen de Besche, tilknyttet firmaets arbeidsrettsavdeling. Hun har tidligere vært konstituert lovrådgiver i Justisdepartementets lovavdeling med blant annet fagansvar for personopplysningsloven. 1. Innledning Personopplysningsloven kapittel VII om fjernsynsovervåking er begrunnet i et antatt behov for særlige regler for behandling av personopplysninger som skjer i tilknytning til fjernsynsovervåking. Reglene er i stor utstrekning en videreføring av den tidligere personregisterloven kapittel 9 a. 1 Personopplysningsloven trådte i kraft 1. januar 2001 sammen med forskrifter til loven. I forarbeidene til personopplysningsloven ble det gitt uttrykk for at det skulle foretas en etterkontroll av personopplysningsloven fem år etter at den ble satt i kraft blant annet for å undersøke om reglene virker etter sin hensikt, jf. Ot.prp. nr. 92 (1998-99) side 100. I forbindelse med denne etterkontrollen har Justisdepartementet for tiden ute på høring tre 1 Personverndirektivet (95/46/EF), som personopplysningsloven er gjennomføring av, har ikke særskilte regler om fjernsynsovervåking.
rapporter og et høringsnotat om behovet for endringer i personopplysningsloven. 2 En av rapportene er utarbeidet av Datatilsynet og omhandler ulike temaer knyttet til fjernsynsovervåking. Reglene i personopplysningsloven om fjernsynsovervåking er svært praktiske. Den teknologiske utviklingen har gjort bruk av overvåkingskameraer både billig og enkelt, og kameraene dukker opp på stadig flere arenaer både det i offentlige rom, på arbeidsplasser og på privat eiendom. Kameraene finnes også i mange ulike former, fra de tradisjonelle fastmonterte og ofte synlige versjonene, til de små og nærmest usynlige variantene. 3 Formålet med fjernsynsovervåking vil ofte være å forebygge kriminalitet, samt bidra til sosial orden og trygghet for den enkelte. Samtidig som overvåkingen ofte er begrunnet med beskyttelsesverdige hensyn, er det også viktige interesser som gjør seg gjeldende mot bruk av fjernsynsovervåking: I det offentlige rom kan det blant annet anføres at den enkelte har en beskyttelsesverdig interesse i å kunne opptre fritt uten å bli overvåket. På en arbeidsplass kan fjernsynsovervåking, litt avhengig av hvordan den er innrettet, både være forstyrrende og oppfattes som en mistillitserklæring fra arbeidsgiver. Vi går ikke her nærmere inn i argumenter som kan anføres for og mot fjernsynsovervåking, men vi mener det er viktig å ha som perspektiv for den videre presentasjonen at fjernsynsovervåking som hovedregel kun bør anvendes der det er et særskilt behov, jf. også regelen i personopplysningsloven 38. 2. Gjeldende regler for fjernsynsovervåking Personopplysningsloven 36 definerer fjernsynsovervåking som vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende fjernsynskamera, fotografiapparat eller lignende apparat. Hvilke regler som gjelder ved slik overvåking, er angitt i personopplysningsloven 37. Personopplysningsloven 37 første ledd første punktum angir at spesialreglene i personopplysningsloven 38-41 kommer til anvendelse for alle former for fjernsynsovervåking. Av 37 første ledd annet punktum følger at det samme også gjelder for personopplysningsloven 8, 9, 11 og 31 og 32. Dersom bildeopptak fra en fjernsynsovervåking lagres på en slik måte at det er mulig å finne igjen 2 Høringen er i sin helhet publisert på www.regjeringen.no/jd. Høringsfristen er 1. november 2009. 3 Av denne grunn kan begrepet fjernsynsovervåking virke noe foreldet. Departementet har antydet at lovens terminologi bør endres, og at kameraovervåking kan være et mer egnet begrep, jf. høringsnotatet side 56.
opplysninger om en bestemt person, bestemmer personopplysningsloven 37 annet ledd første punktum at også de øvrige reglene i loven gjelder. Dette innebærer at loven i dag opererer med to ulike typer av fjernsynsovervåking: én type overvåking der kun spesialreglene samt enkelte utvalgte, sentrale bestemmelser i loven kommer til anvendelse, og en annen type der hele loven gjelder. Litt forenklet kan man si at den første kategorien fjernsynsovervåking knytter seg til såkalt ren monitorering, det vil si overvåking der det ikke skjer noen form for lagring av bilder. 4 Ren monitorering uten noen form for lagring er i dag ikke lenger spesielt utbredt, og i praksis kommer derfor hele personopplysningsloven til anvendelse på de aller fleste former for fjernsynsovervåking. 3. Sensitive vs. ikke-sensitive personopplysninger Personopplysningsloven opererer med et viktig skille mellom sensitive og ikke-sensitive personopplysninger, jf. personopplysningsloven 2 nr. 1 og nr. 8. Sensitive personopplysninger kan sies å være opplysninger som mange ønsker å holde for seg selv, og hvor behovet for vern mot tilgjengeliggjøring og spredning derfor antas å være særlig stort. Personopplysningsloven 2 nr. 8 angir uttømmende hvilke opplysninger som i lovens forstand skal anses som sensitive. Eksempler er opplysninger om rasemessig eller etnisk bakgrunn, politisk, filosofisk eller religiøs oppfatning, helseforhold, seksuelle forhold og tidligere straffbare forhold. Dersom en behandlingsansvarlig 5 planlegger en behandling av personopplysninger som involverer opplysninger som regnes som sensitive, stiller personopplysningsloven 9 strengere krav til såkalt behandlingsgrunnlag 6 enn det som følger av den alminnelige regel om behandling av ikke-sensitive personopplysninger i 8. Personopplysningsloven 9 krever i større grad lovhjemmel eller samtykke fra den behandlingen gjelder. I tillegg åpner 9 ikke for behandling på grunnlag av en skjønnsmessig interesseavveining, jf. personopplysningsloven 8 bokstav f. Sistnevnte rettslige grunnlag brukes i praksis svært 4 Skillet som loven her opererer med, er i seg selv ikke helt enkelt å få oversikt over, men siden dette ikke er hovedtema for denne artikkelen, vil vi ikke gå nærmere inn på dette. 5 Den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes, jf. personopplysningsloven 2 nr. 4. 6 Det vil si rettslig grunnlag for å i det hele tatt kunne påbegynne en behandling av personopplysninger.
ofte ved behandling av ikke-sensitive personopplysninger når den behandlingsansvarlige verken har lovhjemmel eller samtykke for sette i gang en behandling. Behandling av sensitive personopplysninger vil i tillegg utløse plikt til å søke konsesjon fra Datatilsynet, jf. personopplysningsloven 33. Ved avgjørelsen av om konsesjon skal gis, skal det blant annet legges vekt på hvilke personvernmessige ulemper som den aktuelle behandlingen innebærer. 4. Når er fjernsynsovervåking behandling av sensitive personopplysninger? Personopplysningsloven kapittel VII om fjernsynsovervåking inneholder ingen bestemmelse som klart sier noe om når fjernsynsovervåking er å anse som en behandling av sensitive personopplysninger. Imidlertid bygger regelen om virkeområde i 37 på en forutsetning om at behandling av sensitive opplysninger kan forekomme som del av en fjernsynsovervåking. Bestemmelsen gjør et begrenset unntak fra de særlige reglene i 9 og 33 for fjernsynsovervåking som har til formål å avdekke opplysninger som nevnt i 2 nr. 8 bokstav b, det vil si opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling. Dette unntaket kom inn i loven under Stortingsbehandlingen. Av forarbeidene fremgår at komiteen særlig hadde i tankene fjernsynsovervåking som viser et lovbrudd og hvor lovbryteren kan identifiseres, for eksempel et bankran eller hærverk på en skole. 7 Det følger nå av loven at der en fjernsynsovervåking har til formål å fremskaffe denne typen opplysninger, gjelder altså ikke de særlige reglene om behandlingsgrunnlag i 9 eller kravet om konsesjon etter 33. Motsetningsvis gjelder da disse bestemmelsene der det i andre tilfeller ved fjernsynsovervåking behandles sensitive personopplysninger. Personvernnemnda, som etter personopplysningsloven 43 behandler klager over Datatilsynets avgjørelser, har i to prinsipielle avgjørelser lagt til grunn at fjernsynsovervåking med lagring av bildeopptak ofte vil innebære behandling av sensitive personopplysninger. Fra sak PVN-2005-12 (fjernsynsovervåking på Sporveisbussene i Oslo) punkt 6.3 hitsettes: Ved overvåkingen lagres bilder av passasjerene. Et fotografi av en person vil nødvendigvis gi opplysninger om denne personen. Disse opplysningene vil også kunne omfatte opplysninger som etter personopplysningsloven 2 nr 8 litra a er kategorisert som sensitive typisk rasemessig eller etnisk bakgrunn eller religiøs oppfatning implisert av utseende, klesdrakt eller lignende. 7 Se Innst. O. nr. 51 (1999-2000) side 19.
Fotografiet kan også gi opplysninger om en persons helseforhold, jfr personopplysningsloven 2 nr 8 litra c, f eks ved bandasjer, synlige sår mv. Etter dette la Personvernnemnda til grunn at fjernsynsovervåkingen krevde behandlingsgrunnlag også etter personopplysningsloven 9. De sentrale uttalelsene i saken ble nærmest ordrett gjentatt i Personvernnemndas avgjørelse i sak PVN-2005-13, som gjaldt fjernsynsovervåking av publikumsområder på lokaltogene til NSB. Datatilsynet hadde inntil dette tidspunkt tolket og praktisert reglene slik at fjernsynsovervåking som hovedregel ikke var å anse som behandling av sensitive personopplysninger. I kjølvannet av de to nevnte avgjørelsene fra Personvernnemnda sendte tilsynet derfor et brev til Justisdepartementet hvor Personvernnemndas avgjørelser ble kritisert, jf. departementets høringsnotat side 60. Det ble blant annet vist til at nemndas tolking fikk som konsekvens en innføring av konsesjonsplikt ved fjernsynsovervåking i strid med det Stortinget forutsatte ved vedtakelsen av personopplysningsloven. 8 I påvente av at departementet skulle ta opp problemstillingen i forbindelse med etterkontrollen av personopplysningsloven, ble Datatilsynet tvunget til å velge om det skulle følge sin egen eller nemndas tolking. Så vidt vi kan se, valgte tilsynet å fortsette sin egen innarbeidede praksis om at fjernsynsovervåking som hovedregel ikke er behandling av sensitive personopplysninger, og dermed heller ikke konsesjonspliktig. På Datatilsynets nettsider fremgår det således at fjernsynsovervåking som hovedregel er underlagt meldeplikt, og det er utarbeidet en guide til utfylling av meldeskjema ved fjernsynsovervåking. 9 Oss bekjent har det ikke fremkommet reaksjoner på tilsynets linje, ei heller ikke nye saker fra Personvernnemnda hvor tilsynets praksis har blitt problematisert. 5. Vurdering Rent umiddelbart kan det kanskje fremstå som noe underlig at Datatilsynet ikke har rettet seg etter nemndas tolking. En ubetinget konsesjonsplikt for tilnærmet all fjernsynsovervåking ville innebære at tilsynet fikk full kontroll over når en fjernsynsovervåking skal tillates. Datatilsynet har gjennom lengre tid uttrykt bekymring for den økte utbredelsen av fjernsynsovervåking i samfunnet, og gjennom en konsesjonsordning ville Datatilsynet kunne 8 I Innst. O. nr. 51 (1999-2000) uttalte justiskomiteen (side 19) blant annet at: Enkeltsaksbehandling av tillatelser til fjernsynsovervåking er en lite hensiktsmessig fremgangsmåte.... 9 Se for eksempel http://www.datatilsynet.no/templates/article 154.aspx.
få betydelig innflytelse på mengden av kameraer som utplasseres. I tillegg ville en plikt til konsesjon kunne virke preventivt, i den forstand at terskelen for å sette opp et overvåkingskamera trolig ville bli høyere. Rettslig sett er det imidlertid tvilsomt om Personvernnemndas uttalelser i de to nevnte avgjørelsene gir uttrykk for en riktig tolking av reglene om fjernsynsovervåking. Nemnda har inntatt det standpunkt at fordi en fjernsynsovervåking kan gi enkeltopplysninger som må anses som sensitive (noen på toget har krykker, og dette sier noe om vedkommendes helseforhold), skal behandlingen som helhet og på forhånd anses som behandling av sensitive personopplysninger noe som altså utløser krav om behandlingsgrunnlag etter 9 og konsesjon etter 33. Etter vårt syn er dette en for vid tolkning av personopplysningsloven 37, jf. 2 nr. 8. Nemndas synspunkt innebærer at det er vanskelig å se for seg hva slags fjernsynsovervåking som ikke vil innebære behandling av sensitive personopplysninger. De nevnte avgjørelsene knytter seg riktignok til overvåking på offentlig transportmidler (busser og tog), men det er ingenting i uttalelsene fra nemnda som klart begrenser deres virkning til kun denne situasjonen. Den eneste formen for fjernsynsovervåkingen som etter nemndas tolking muligens ikke vil være behandling av sensitive personopplysninger, er rene landskapsovervåkinger eller overvåkinger hvor personene som fanges opp befinner seg på svært lang avstand. Slik vi ser det, gir verken forarbeidene til personopplysningsloven eller andre vektige rettskildefaktorer støtte til en så vidtrekkende tolking. Tvert imot har Stortinget som nevnt uttrykkelig slått fast at enkeltsaksbehandling av fjernsynsovervåking ikke er ønskelig. 10 I denne sammenheng skal det riktignok sies at nemnda også selv så at tolkingen skapte visse problemer, særlig i forhold til kravet om behandlingsgrunnlag for sensitive personopplysninger etter personopplysningsloven 9, jf. sak PVN-2005-12 premiss 6.6: Slik Personvernnemnda ser det, vil ingen av de oppregnede grunnene i personopplysningsloven 9, 1.ledd litra a-h naturlig passe for den aktuelle situasjonen. Imidlertid må det være på det rene at personopplysningsloven kap VII må tolkes slik at fjernsynsovervåking i prinsippet også kan tillates i en situasjon som den foreliggende. Hvis man strengt holder på at det må finnes en hjemmel i personopplysningsloven 9, 1.ledd ville det i praksis bety at man sjelden eller aldri ville kunne 10 Jf. Innst. O. nr. 51 (1999-2000) side 19.
gjennomføre fjernsynsovervåking der det skjer en behandling av opptakene ved datamaskinbaserte system, ettersom fotografier etter sin natur alltid vil kunne omfatte sensitive opplysninger i den forstand uttrykket brukes i personopplysningsloven 2 nr 8. Personvernnemnda anser derfor ikke at loven kan tolkes på denne måten, men antar at man kan bruke hjemmelen i personopplysningsloven 9, 3.ledd som tillater at sensitive personopplysninger kan behandles også i andre tilfeller dersom viktige samfunnsinteresser tilsier det og det settes i verk tiltak for å sikre den registrertes interesser. Denne bruken av 9 tredje ledd kan imidlertid etter vårt syn vanskelig ses på som noe annet enn en juridisk tvilsom nødløsning. Det fremgår rimelig klart av ordlyden og forarbeidene 11 at denne bestemmelsen er ment å ha et snevert anvendelsesområde og at den kun gir Datatilsynet myndighet til å godkjenne behandlinger i særlige tilfeller. Det er med andre ord neppe tale om en hjemmel som åpner for fjernsynsovervåking etter en skjønnsmessig interesseavveining, slik som etter personopplysningsloven 8 bokstav f. Slik vi ser det, har nemndas tolking klare trekk av å etablere et nytt behandlingsgrunnlag som ligner på 8 f, tilpasset fjernsynsovervåking som behandlingsform. Både formålet bak 9 og det grunnleggende skillet mellom sensitive og ikke-sensitive personopplysninger tilsier imidlertid at det er problematisk gjennom en utvidende tolking å lempe på de strengere krav som tross alt er oppstilt for behandling av sensitive personopplysninger. Også sterke reelle hensyn taler mot en slik vid fortolkning, av forholdet mellom personopplysningslovens regler om fjernsynsovervåking og reglene om sensitive personopplysninger, som nemnda tilsynelatende legger opp til. Fra et ressursmessig perspektiv ville innføringen av enkeltsaksbehandling og konsesjonsplikt for all fjernsynsovervåking utløst et omfattende merarbeid for tilsynet. Datatilsynet har i dag en rekke oppgaver og funksjoner: Ved siden av å treffe vedtak i enkeltsaker, skal det utføre stedlig tilsyns- og kontrollvirksomhet, rådgivingsvirksomhet, generell informasjonsvirksomhet, delta i samfunnsdebatten, samt representere Norge i ulike internasjonale fora. Det er ikke åpenbart at de ressursene som konsesjonsbehandling ved fjernsynsovervåking vil binde opp, står i forhold til det man kan oppnå av personvernmessige fordeler. Meldeplikten vil uansett skaffe den nødvendige oversikten over utbredelsen av denne formen for overvåking vel og merke dersom den blir overholdt. 11 Jf. Ot. prp. nr. 92 (1998-99) side 112.
På denne bakgrunn mener vi at Datatilsynets tolkning av reglene om fjernsynsovervåking og sensitive personopplysninger, samt deres holdning til de to avgjørelsene fra Personvernnemnda, fremstår som både riktig og fornuftig. Trolig er andre og mindre ressurskrevende virkemidler enn enkeltsaksbehandling mer hensiktsmessig med tanke på å regulere omfanget av fjernsynsovervåking. I sitt høringsnotat har departementet tatt opp flere av de problemstillingene vi nå har pekt på. Departementet har innledningsvis slått fast at Personvernnemndas tolking trolig vil fordre en lovendring, jf. høringsnotatet side 60-61: Departementet mener Personvernnemndas synspunkter i de to nevnte avgjørelsene reiser spørsmål om det kan være hensiktsmessig med enkelte endringer i personopplysningsloven. Gode grunner kan tilsi at det for det første bør fremgå uttrykkelig av loven at fjernsynsovervåking som hovedregel vil innebære behandling av sensitive personopplysninger. Dernest taler mye for at det både kravet til rettslig grunnlag i personopplysningsloven 9 og konsesjonsplikten etter personopplysningsloven 33 bør tilpasses fjernsynsovervåking som behandlingsform. Departementet har imidlertid uttrykt tvil om nemndas tolking virkelig bør videreføres og nedfelles i lovverket, jf. høringsnotatet side 61: Departementet finner imidlertid grunn til å påpeke at Personvernnemndas standpunkt til det grunnleggende spørsmålet om når fjernsynsovervåking er å anse som behandling av sensitive personopplysninger ikke synes å være samsvar med blant annet praksis i Danmark. Det danske datatilsynet har i flere saker lagt til grunn at selv om en fjernsynsovervåking unntaksvis fanger opp sensitive personopplysninger så skal den likevel som helhet anses som en behandling av ikke-sensitive personopplysninger. ( ) Departementet er enig i at personopplysningslovens regler ikke stenger for en slik tolking nemnda har lagt til grunn, men formålet bak skillet mellom sensitive og ikke-sensitive personopplysninger kan tilsi en slik rettslig løsning som er valgt i Danmark. De personvernmessige hensyn som ligger bak de strengere behandlingsvilkår for sensitive personopplysninger slår ikke nødvendigvis til der det er tilfeldig om sensitive personopplysninger blir en del av behandling og/eller formålet med behandlingen er noe helt annet enn innhenting av sensitive opplysninger.
Etter dette antyder departementet en alternativ hovedregel om at fjernsynsovervåking ikke er å anse som behandling av sensitive personopplysninger, i kombinasjon med et unntak for situasjoner der formålet med overvåkingen er å innhente sensitive personopplysninger. I praksis innebærer et slikt alternativ at man forlater det rettslige utgangspunktet som er lagt til grunn i Personvernnemndas to avgjørelser. Dette synes etter vår oppfatning å være den mest fornuftige løsningen. For den behandlingsansvarlige vil det være langt enklere å forholde seg til en regel der eksempelvis konsesjonsplikt ikke utløses selv om overvåkingen tilfeldigvis skulle fange opp en og annen opplysning som må kategorisere som sensitiv. I alle tilfeller er det nødvendig å gripe inn i den uklare rettstilstanden som nå eksisterer. Også av hensyn til Personvernnemndas autoritet og legitimitet er det ikke heldig at to vedtak som i praksis ikke er blitt fulgt opp av verken Datatilsynet eller andre, blir stående som uttrykk for gjeldende rett.