DET KONGELIGE ARBEIDS- OG INKLUDERINGSDEPARTEMENT Fornyings- og administrasjonsdepartementet Postboks 8004 Dep 0030 OSLO Deres ref Vår ref 200900158 200901113-/VBS Dato 26.08.2009 Svar på høring - NOU 2009:1 Integritet og individ Det vises til brev fra Fornyings- og administrasjonsdepartementet med vedlegg. Arbeids- og inkluderingsdepartementet stiller seg positiv til Personvernkommisjonens fokus på personvern i arbeidslivet, herunder arbeidsgivers tilgang til e-post og elektroniske dokumenter. Når det gjelder den rettslige plassering av slike regler, slutter departementet seg til kommisjonens oppfatning om at plasseringen av slike regler kan skape utfordringer i praksis. Etter Arbeids- og inkluderingsdepartementets mening bør reguleringer av personvern i arbeidslivet i størst mulig grad samles i arbeidsmiljøloven. Lovbestemmelser om arbeidstakeres rettigheter og plikter er gjennomgående samlet i arbeidsmiljøloven, som også har et eget kapittel om kontrolltiltak. Hensynet til arbeidsmiljøloven som arbeidstakeres naturlige rettskilde, og lovens status som temalov for rettigheter og plikter i arbeidslivet, taler for at personvernreguleringer i arbeidslivet samles i arbeidsmiljøloven. Det vises for øvrig til vedlagte uttalelse fra Arbeidstilsynet og Arbeids- og velferdsdirektoratet. ed Wes avdelingsdirektør Vedlegg Val erd Bakka rådgiver auge Postadresse Kontoradresse Telefon Administrasjons- og Saksbehandler Postboks 8019 Dep Einar Gerhardsens plass 3 22 24 90 90 utviklingsavdelingen Valgjerd Bakka Skauge 0030 Oslo Org no. Telefaks 22248362 983 887 457 22 24 87 11
Arbeldstilsynet Arbeids- og inkluderingsdepartementet Postboks 8019 Dep. 0030 Oslo VAR DATO VAR REFERANSE 1 02.06.2009 2009/7676 48675/2009 DERES DATO 07.04.2009 VAR SAKSBEHANDLER DERES REFERANSE 200901113-/GTG Janne Brenne tlf 970 41 092 Marianne Weel K ARBEIDS. DG INKLUDERINGSDEPARTEMENTE MOTTATT 04 JUN 2009 INTEGRITET OG INDIVID - RAPPORT FRA PERSONVERNICOMMISJONEN Det vises til brev av 7.4.2009 hvor Arbeidstilsynet bes om å vurdere eventuelle merknader til rapporten fra Personvernkommisjonen (NOU 2009:1). Arbeidstilsynet har på denne bakgrunn foretatt en vurdering i forhold til rapportens kapittel 15 som omhandler personvern i arbeidslivet. I dette kapittelet har Personvernkommisjonen valgt å fokusere på overvåkning i arbeidslivet som en hovedproblemstilling innenfor temaet personvern i arbeidslivet Fokuset er rettet mot arbeidsgivers innsyn i ansattes e-post, da dette etter Personvernkommisjonens syn gir et godt bilde av de utfordringene som oppstår i avveiningen mellom arbeidsgivers og arbeidstakeres interesser. I tillegg berøres også varslingsreglene. Punkt 15.4.2 Inns i e- os o elektroniske dokumenter Arbeidstilsynet anser spørsmålet om arbeidsgivers rett til innsyn i e-post og elektronisk lagret informasjon på ansattes datamaskin og lagringsområde som viktig. Den økte bruken av informasjonsteknologi medfører større risiko enn tidligere for krenkelse av arbeidstakeres personlige integritet Den teknologiske utviklingen gir som Personvernkommisjonen fremhever, muligheter for registreting av opplysninger, og gjennom dette overvåkning og kontroll av de ansatte. I forlengelsen av denne utviklingen har det oppstått et spenningsfelt med hensyn til hvilken rett arbeidsgiver har til å foreta innsyn i elektroniske data på sitt utstyr, eksempelvis e-post og andre dokumenter som en arbeidstaker har lagret på sin datamaskin. Det fremgår av rapporten at enkelte mener dette er "snoking" i private opplysninger, mens andre mener at arbeidsgiver har rett til å foreta innsyn i informasjon og dokumentasjon som ligger på arbeidsgivers utstyr og nettverk. Personvernkommisjonen legger til grunn at nivået og omfanget av overvåkning i arbeidslivet synes å ha økt betydelig de siste årene. Det er kommet en ny bestemmelse i arbeidsmiljøloven 9-5 Innsyn i arbeidstakers e-post mv. Denne ble tilføyd ved lov 9. januar 2009 nr.3 og lyder: "Arbeidsgivers rett til innoin i arbeidstakers e-post mv. reguleres forsknj t gitt i medhold em personop»sningsloven S 3 jerde leddfrrste punktum." Personvernkommisjonen mener at plasseringen av disse reglene vil skape utfordringer i praksis. Etter kommisjonens oppfatning bør regler for innsyn i og kontroll av e-post og dokumenter legges til partenes lov, nemlig arbeidsmiljøloven, alternativt i en egen personvernlov for arbeidslivet Personvernkommisjonen viser til de spesielle hensyn som gjør seg gjeldende i arbeidslivet, hvor både arbeidsgivers og arbeidstakers behov skal vektlegges, og mener derfor at det er viktig å se på arbeidslivet spesielt Personvernkommisjonen mener av hensynet til notoritet og tilgjengelighet at reglene forankres i arbeidsrettens regelverk. Arbeidstilsynet støtter Personvernkommisjonen i dette, fordi det kan være et problem at reglene for personvem og integritetsvern i arbeidslivet er POSTADRESSE E-POST TELEFON Statens Hus direktoratet@arbeidstilsynet.no 73 19 97 OD 7468 Trondheim INTERNETT TELEFAKS Norge www.arbeidstilsynet.no 73 19 97 01 ORGANISASJONSNR 974761211
A VAR REFERANSE 2 2009/7676 4867512009 spredt over forskjellige lover og rettsområder. Ved å samle disse reglene vil det kunne være lettere å sikre etterlevelsen av reglene. Arbeidstilsynet oppfatter det for øvrig slik at rapporten fra Personvemkommisjonen tar for seg relevante problemstillinger når det gjelder informasjonsteknologi og hensynet til arbeidstakernes integritet. Vi har ingen øvrige bemerkninger til rapporten. Med hilsen Direktoratet for arbeidstilsynet Gry Singsaas fung. avdelingsdirektør, Lov og regelverk Janne Brenne (sign.) rådgiver, Lov og regelverk (sign.) Dette brevet er godkjent ekktronisk i Arbeidstikynet og har de for ingen signatur.
// Arbeids- og inkluderingsdepartementet Postboks 8019 Dep 0030 Oslo ARBEIDS OG tnkluder1nusuepammentet MOTTATT 0'4JUN2009 Deres ret 200901113/MCH Vår ref: 09/4568 /TLB Vår dato: 29.05.2009 Høringskommentarer NOU 2009:1 Individ og integritet NOU rapporten gir en oversiktlig kartlegging av de utfordringer som personvem møter. De fleste av utfordringene er velkjente, rapporten bidrar til å sette fokus på utfordringer som i dag eksisterer og som vår etat jobber systematisk med. Vi har ingen kommentarer til personvemkommisjonens forslag om endret organisering av Datatilsynet, og støtter forslaget om å grunnlovfeste personvernet. Nedenfor gis kommentarer knyttet til rapportens kap 16.5.5 som Arbeids- og inkluderingsdepartementet har bedt om tilbakemelding på i henhold til brev av 23. mars 2009. I dette kapittelet omhandler rapporten NAV-reformen, her eksemplifiseres hvordan samarbeid og informasjonsutvekslingen utfordrer personvemet, særlig knytter dette seg til forhold vedrørende etterlevelse av taushetspliktbestemmelser og innhenting av helseopplysninger. Til kap 16.5.5 Samarbeid og informasjonsutveksling. Særlig om NAVreformen Det er vår klare oppfatning at rolletilgang langt på vei er løsningen på tilgangsutfordringen, selv om en slik regulering ikke løser alle utfordringer. Målet med NAV-reformen er å gi brukeren en helhetlig tilnærming og tjenestetilbud på tvers av ulikt lovverk og "forvaltningsorganer" (stat og kommune/er). For å kunne nå denne målsettingen om en effektiv etat med høy kvalitet i tjeneste og oppgaveløsningen, så har det medført at flere medarbeidere er involvert i saksbehandling knyttet til den enkelte bruker. Dette er en følge av NAV-reformens målsetning. Målsettingen om å se brukeren i et helhetlig perspektiv skaper utfordringer i forhold til de kvalitetskrav som personopplysningsloven stiller til hvorledes påse at kun relevante opplysninger innhentes og brukes, hvordan forhindre utilsiktet eller uberettiget gjenbruk av opplysninger til et annet formål enn de er avgitt for, samt forhindre feilaktig bruk og sikre sletting av opplysninger som ikke lenger er relevante. Arbeids- og velferdsdirektoratet // Direktør Postadresse: Postboks 5 St. Olav Plass // 0130 OSLO Besøksadresse: Akersgaten 64-68 // 0180 OSLO Tel: 21 07 00 00 // Faks: 21 07 00 01 www.nav-interim.no //
Vi mener at rollebasert tilgangskontroll er løsningen og at det er nødvendig med utvidete tilgang for rollene slik at de faktisk kan betjene personer på en formålstjenelig måte. Etatens kompenserer med oppfølging og kontroll spesielt igjennom logging av tilgangsbruken. Vi merker oss at det under pkt 16.5.5 i rapporten presiseres det at "Det er en økende erkjennelse av at ulike etater i stor grad bør samarbeide for å sikre borgerne et faglig godt og helhetlig tilbud" I sanune punkt, andre avsnitt, beskrives hvordan samarbeidet skal praktiseres mht taushetsplikten; "Den nye "etaten", som skal betraktes som et organ i forhold til taushetsplikt (se nedenfor), består av arbeids- og velferdsetaten og deler av kommunens Yenester jf NAV- loven 2. Formålet med loven er «å legge til rette for en effektiv arbeidsog velferdsforvaltning, tilpasset den enkeltes og arbeidslivets behov og basert på en helhetlig og samordnet anvendelse av arbeidsmarkedsloven, folketrygdloven, sosiakenesteloven og andre lover som forvaltes av arbeids- og velferdsforvaltningen», jf lovens 1." Vi ser behov for å bemerke at det i rapporten går det ikke tydelig frem at de kommunale tjenestene som ligger under sosialtjenesteloven og de statlige tjenestene i NAV-kontoret er underlagt forskjellige taushetspliktregler. Taushetspliktsregler for de kommunale tjenestene, herunder tjenestene i NAV-kontoret, i nåværende Lov om sosiale tjenester 8-8, er strengere enn lovverket for de statlige tjenestene i NAV-kontoret i NAV-loven 7, som gjelder for etaten og ikke for forvaltningen som kommunen er en del av. I vårt arbeid for å nå målet om en helhetlig tilnærming overfor brukeren kan det i lys av dette oppstå ufordringer i forhold til deling av personopplysninger på tvers av de organisatoriske enheter innad i Arbeids- og velferdsforvaltningen. Dette er ett område vi så det som ønskelig at rapporten hadde behandlet. Ulikheten i taushetspliktsregler fører til ekstraarbeid i NAV, særlige skapes det utfordringer for de som arbeider på NAV-kontoret, og det gir fare for ineffektive tjenester. Et eksempel er arbeidet med kvalifiseringsprogrammet som består av kommunale og statlige tjenester som skal samordnes mot samme bruker. På grunn av dagens taushetspliktsregler må hver ansatt sortere taushetsbelagt informasjon ut fra hvilket lovverk informasjonen er gitt. Dersom opplysningen gis i forhold til de kommunale tjenestene i NAV-kontoret, skal opplysningene noteres i kommunale datasystemer som sikrer at opplysningene ikke kommer ut av kommunen. Ulike taushetspliktsreglene fører til at de samme opplysningene blir sikret ekstraordinært i det statlige datasystemet, ARENA, når de er innhentet i forbindelse med kommunale tjenester. Dette fører til at taushetsplikten sikres med henvisning til hvilket lovverk opplysningene er innhentet i forhold til, og ikke med hovedfokus på hvor sensitive opplysningene er (personvernshensyn). NAV-kontorene står fritt til å delegere arbeidsoppgaver på tvers av ansettelsesforhold. Dersom en ansatt arbeider med både statlige og kommunale tjenester, er det en utfordring å holde oversikt over hvordan man skal sortere opplysningene i to datasystemer i forhold til ulike regelverk når det gjelder samme bruker.
I Forslag om lov om sosiale tjenester i arbeids- og velferdsforvaltningen fra Arbeids- og inkluderingsdepartementet av 23.1.2009 er taushetspliktsreglene i sosialtjenesteloven foreslått videreført. Som følge av overnevnte utfordringer, skrev Arbeids- og velferdsdirektoratet i høringsuttalelsen av 11.3.2009: "Taushetsplikt - 6-5 Lov om arbeids- og velferdsforvaltningen har scerbestemmelser om samarbeidet mellom kommune og stat i NAV-kontor. Arbeids- og velferdsdirektoratet har tidligere meldt inn problemstillinger med hensyn til gjeldende regler om taushetsplikt. For å underbygge reformens intensjoner og helhetlige tjenester gjennom integrerte arbeidsprosesser, bør taushetspliktbestemmelsene harmoniseres. Direktoratet ber departementet om å se tidligere innspill fra direktoratet i sammenheng med forslaget til ny lov om sosiale tjenester i arbeidsog velferdsforvaltningen." For å styrke rettsikkerheten til brukerne og kvaliteten på tjenesten har Direktoratet i høringen til ny lov om sosiale tjenester i arbeids- og velferdsforvaltningen også spilt inn at ordninger for tilsyn og internkontroll bør være felles for hele NAV-forvaltningen Til Kap 16.5.5.1 NAV og taushetsplikt Vi er enige i kommisjonens samlede vurdering om at dagens regler er gode nok, og at det er vesenlig å sikre etterlevelse etter disse regelen. I rapporten gis det først og fremst en beskrivelse av dagens lovbestemmelser om taushetsplikt, og med den konklusjonen at disse i stor utstrekning åpner for "fri flyt" av opplysninger internt i den statlige forvaltningen og kommunens felles kontor (NAV lokal). Det problematiseres i mindre grad hvilke konsekvenser det har for at det er åpnet for en "betydelig informasjonssirkulering innad i arbeids- og velferdsforvaltningen". Selv om vi i dag har en rekke lovbestemmelser som åpner for en "vid" adgang til deling av personopplysninger i forvaltningen, så er det likevel utfordringer i forhold til fortolkning og praktisering av de skjønnsmessige vurderinger i dagens taushetspliktbestemmelser. Samt etterlevelse av personopplysningslovens bestemmelser om personlig integritet og rett til privatlivets fred. Vi slutter oss til at det er behov for en gjennomgang av reglene for taushetsplikt for å få de mer "sømløse" i forhold til oppgaveløsningen i forvaltningen (ref. rapportens forslag til tiltak som er oppsummert s.23), og samtidig sikre den enkeltes behov for integritet og kontroll. I tråd med det kommisjonen påpeker, anser NAV det som viktig med jevnlige, holdningsskapende kampanjer og opplæringstiltak blant medarbeiderne. For å sikre korrekt etterlevelse og ensartet praksis er det en forutsetning at etatens medarbeidere kjenner til
innholdet i regelverket. Sikkerhetskulturkampanjen i NAV som omtales i NOU rapporten, har hatt fokus på taushetsplikt som ett av mange tema. Kap 16.5.5.2 Opplysninger til andre organer Utlevering av opplysninger til eksterne reguleres av taushetspliktbestemmelsene og bestemmelser om utlevering/meldeplikt, på tilsvarende måte som for taushetsplikt så kan det sikres gjennom opplæringstiltak og retningslinjer. Kap 16.5.5.3 NAV's kontroll med heisetjenesten Etter at utredningen ble skrevet, har regelsettet folketrygdloven (ftl.) knyttet til NAVs muligheter til innhenting av opplysninger blitt endret i tråd med mange av anbefalingene i Ot.prp.nr. 76 (2007-2008). Vi viser til endringer i ftl. 21-4 og de nye bestemmelsene i 21-4 a til 21-4 c som alle trådte i kraft 01.01.2009. I NOU'en diskuteres det om NAV skulle få økt adgang til å innhente fullstendige og uredigerte pasientjournaler fra helsepersonell. Som det fremgår av den nye ftl. 21-4 c første ledd kan NAV i forbindelse med behandling av saker etter loven her og ved rutinemessig kontroll av behandlere, ikke innhente fullstendig pasientjournal med hjemmel i 21-4. Det kan imidlertid innhentes spesifiserte eller redigerte utdrag av journalen når dette anses nødvendig. I retningslinjene til 21-4 ftl har NAV lagt til grunn at det er Arbeids- og velferdsetaten ved den ansvarlige medarbeider som til enhver tid må vurdere hvilke opplysninger som er nødvendige. Derimot fremgår det av ftl 21-4 c andre ledd at NAV kan kreve fullstendig og uredigert pasientjournal dersom forhold ved en behandlers praksis gir grunnlag for å anta at det har skjedd urettmessige utbetalinger fra trygden, eventuelt ved et samarbeid mellom behandler og stønadstaker. Krav om dette skal fremsettes av Arbeids- og velferdsdirektoratet eller Helsedirektoratet eller av særskilt utpekte enheter. Det er 5 regionale kontrollenheter underlagt resultatområdet NAV Kontroll og innkreving som er de særskilt utpekte enhetene i arbeids- og velferdsetaten, og som skal ha myndighet til å bruke 21-4 c andre ledd. Vi ser også at, I sitt innspill til NOU'en, så fremhever Datatilsynet som et minimumskrav at NAV gir vedkommende pasient infonnasjon om at pasientjournalen innhentes, grunnen til at den ønskes innhentet, hvor lenge NAV trenger den og hvem som vil kunne lese den hos NAV. Personvemkommisjonen synes dette er rimelige krav. Av ftl. 21-4 c fierde ledd fremgår det at personopplysningslovens regler om informasjonsplikt og om behandling av opplysninger, herunder tilgang, oppbevaring, viderebefordring og sletting, gjelder for opplysninger innhentet etter reglene i loven her, med de unntak som følger av ftl. 21-4 b. I tråd med personopplysningsloven 20 andre ledd
bokstav a legger Arbeids- og velferdsdirektoratet til grunn at pasienten ikke har krav på varsel om innhenting av opplysninger etter første ledd i og med at adgangen til å innhente opplysningene fra behandlere er hjemlet i lov. <-4(rerg,Z7' n /# ^4( L Tor Sagl Arbeids2 velferdsdirektør Nina V. Aulie IKT-direktør I.