2 Personvernnemndas årsmelding for 2014
2.1 Innledning
Personvernnemnda ble etablert med hjemmel i lov om behandling av personopplysninger (2000:31) og har vært i virksomhet siden 1. januar 2001. Året 2014 var dermed nemndas fjortende driftsår.
Personvernnemnda er klageorgan for vedtak fattet av Datatilsynet etter personopplysningsloven, helseregisterloven (2001:24) og helseforskningsloven (2008:44).
Formålet med personopplysningsloven er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger, jf personopplysningsloven § 1. Loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger. Datatilsynet i første instans, og Personvernnemnda som klageorgan, er satt til å forvalte loven og avveie de relevante personvernhensyn mot øvrige samfunnshensyn.
Personvernnemnda ser at dette ofte er en tverrjuridisk utfordring, idet personopplysningsloven interagerer med en rekke andre regelsett. Det foreligger ofte kryssende hensyn og motstridende interesser, noe som medfører krevende interesseavveininger. EUs personverndirektiv (95/46/EF) og Europarådskonvensjonen om personvern av 28. januar 1981 gjenspeiler noen «personvernprinsipper» som også er relevante ved fortolkningen av personopplysningsloven.
Personvernnemndas organisering og oppgaver følger av personopplysningsloven § 43. Personvernnemnda har adgang til å omgjøre Datatilsynets enkeltvedtak av eget tiltak (jf forvaltningsloven § 35), og kan prøve alle sider av en sak, jf Innst. O. nr. 51 (1999–2000) s. 24.
Personvernnemnda er et uavhengig forvaltningsorgan administrativt underlagt Kongen og Kommunal- og moderniseringsdepartementet (KMD).
Personvernnemndas arbeid reguleres av personopplysningsloven, forskrifter til denne samt en instruks som departementet har utarbeidet. Forvaltningsloven og offentlighetsloven kommer også til anvendelse som for forvaltningen for øvrig.
Selv om departementet utarbeider instruks, innebærer dette ikke noen form for instruksjonsmyndighet i enkeltsaker. Departementet kan ikke gi generelle instrukser om lovtolkning eller skjønnsutøvelse.
Personvernnemnda skal årlig orientere Kongen om behandling av klagesakene og sakene er tilgjengelig for publikum på Personvernnemndas hjemmesider. Personvernnemnda opplever stor interesse fra media om utfallet i mange saker.
2.2 Sammendrag og tendenser
I løpet av 2014 kom det inn tilsammen 25 klagesaker. Totalt 12 av de 25 sakene var ferdigbehandlet ved utgangen av 2014. I tillegg ble 14 saker innkommet i 2013 ferdigbehandlet i 2014. Personvernnemnda avgjorde således totalt 26 saker i 2014. I tillegg ble en sak innkommet i 2014 trukket av klager. Klager er gitt helt eller delvis medhold i 11 av de 26 sakene. Ingen av sakene ble avsagt med dissens.
Saksmengden har vært stor sammenlignet med tidligere år. Flere av sakene har vært prinsipielle. Personvernnemnda tar bare stilling til spørsmål i de foreliggende konkrete saker, men ser at personvernet griper inn i stadig flere samfunnsområder og at problemstillingene som reises av lovverket er komplekse og har stor betydning for både privatliv og kommersiell samt offentlig virksomhet. Til dels er det slik at Datatilsynets tilsynspraksis gjør at etablerte ordninger må revurderes, se f eks PVN-2014-04 Post i butikk og PVN-2013-21 Bank i butikk.
Samtidig er det et gjentagende fenomen at personvernet må sees i sammenheng med andre rettsområder. Dette gjelder særlig forholdet til forvaltningsretten, men også andre rettsområder og ikke minst privatrettslige regler og avtaler.
Det er også tydelig at personvernet i økende grad blir internasjonalisert ved at både offentlige og private instanser samhandler internasjonalt. Det vises her til PVN-2013-28 NOKBIL.
Ett tema som har fått økt aktualitet, er ileggelse av overtredelsesgebyr, noe som var tema i PVN-2014-11 Gjensidige, PVN-2014-08 Fjell kommune, PVN-2014-01 Skan-Kontroll og PVN-2013-20 Teletopia. Når brudd på personvernet nå ilegges vesentlig høyere overtredelsesgebyr enn før, er det ikke overraskende at det kommer flere klagesaker. Denne utviklingen vil antakelig fortsette.
Videre er et tilbakevendende tema Datatilsynets manglende realitetsbehandling av saker, i form av bortprioritering uten vedtak eller avvisningsvedtak. Dette var tema blant annet i PVN-2014-07 Schibsted Payment, PVN-2014-06 Kameraovervåking, PVN-2014-05 Innsynsrett i skoles aktivitetslogg og PVN-2013-26 Mittoppdrag.no. Flere av sakene ble sendt tilbake til Datatilsynet for realitetsbehandling.
Mange av de sakene som har vært prinsipielle, angår plassering av behandlingsansvar, blant annet PVN-2014-04 Post i butikk og PVN-2013-21 Bank i butikk. Det er tydelig at definisjonen av behandlingsansvar ikke alltid oppleves å være enkel å praktisere og at dette skaper usikkerhet. Så langt har ingen saker vært reist der man har hevdet at det foreligger delt behandlingsansvar.
I PVN-2013-28 NOKBIL vises at internasjonale forhold får større praktiske betydning og nemnda fant blant annet at behandlingsansvarlig ikke hadde gitt tilstrekkelig informasjon til de registrerte om at angjeldende helseopplysninger var tenkt å kunne deles med internasjonale registre.
Kameraovervåking er et gjenkommende tema. Flere av kameraovervåkingssakene bortprioriteres av Datatilsynet. I PVN-2014-06 kom Personvernnemnda til at tilsynet hadde veiledet klager om temaet i tilstrekkelig grad til å kunne fastslå at saken var forsvarlig behandlet og for klager til å forstå reglene på området, mens i en annen av sakene, PVN-2013-25, kom nemnda til at kameraovervåkingen falt utenfor loven fordi den hadde et privat formål. Etter at vedtaket ble avsagt av nemnda har imidlertid EU-domstolen tolket «rent personlig formål» innskrenkende i sak C-212/13 av hensyn til EMK art 7 om privatlivets fred. For fremtidige saker vil EU-domstolens avgjørelse være en del av rettskildebildet som må hensyntas så langt avgjørelsen er relevant.
I øvrig synes det fremdeles som om samfunnets økende fokus på personvern gir et stort press på Datatilsynets ressurser til å rådgi og å behandle henvendelser, herunder særlig vedrørende sletting av dokumenter, artikler og lignende, samt kameraovervåking. Personvernnemnda ser at det samme gjelder saker for nemnda og at det er sentralt at også Personvernnemnda har tilstrekkelige ressurser til å behandle de saker som kommer inn. Nemnda har forlenget sine møter for å håndtere den store saksmengden og har også avholdt ekstra møter.
2.3 Medlemmer
Personvernnemnda har syv medlemmer som blir oppnevnt for fire år med adgang til gjenoppnevning for ytterligere fire år. Personvernnemndas leder og nestleder oppnevnes av Stortinget, mens de øvrige medlemmer oppnevnes av Kongen.
Personvernnemnda besto i 2014 av følgende personer:
Eva Ingrid Elisabeth Jarbekk, leder
Arve Føyen, nestleder
Ørnulf Rasmussen
Ann Rudinow Sætnan
Gisle Hannemyr
Marta Ebbing
Nina Melsom
Alle medlemmer har personlige vararepresentanter:
Olav Torvund (vara for leder)
Ingvild Hanssen-Bauer (vara for nestleder)
Michal Wiik Johansen
Audhild Gregoriusdotter Rotevatn
Torgeir Waterhouse
Anne Forus
Hans Marius Graasvold
2.4 Andre organisatoriske forhold
Sekretariatet til Personvernnemnda består av advokat Tonje Røste Gulliksen, som er ansatt som seniorrådgiver i KMD. Sekretæren leier et kontor i Sandefjord der hun bor, men reiser jevnlig til Oslo i forbindelse med nemndas arbeid og møter. Personvernnemnda avholder sine møter i Oslo.
Personvernnemnda har egen hjemmeside, www.personvernnemnda.no, hvor man finner informasjon om nemndas medlemmer og hvor alle vedtak er publisert i sin helhet. Hjemmesiden har lenke fra Datatilsynets hjemmeside, og lenker til personvernrelatert materiale tilgjengelig på Internettet. Personvernnemndas vedtak publiseres også i en egen database hos Lovdata hvor det er lenket til det øvrige materialet.
2.5 Møter og konferanser 2014
Personvernnemnda har i 2014 hatt i alt 13 møter. Møtene ble i hovedsak nyttet til å behandle klagesaker, men også administrative forhold er blitt behandlet.
I tillegg til nemndsmøter har det vært forberedende møter med sekretariatet og leder.
Personvernnemnda ytt økonomisk støtte til «Personvernkonferansen 2014», som ble arrangert av Senter for rettsinformatikk (SERI), Universitetet i Oslo, på Bristol den 5. desember 2014, med tema «Sosiale medier; sosialt ansvar og personvern». Konferansen tok for seg blant annet spørsmål om sosiale medier som mobbearena for barn, samt EU-domstolens avgjørelse i Super Mario vs. Google og Microsoftkjennelsen.
2.6 Saksbehandlingstid – restanser
En sak blir i gjennomsnitt ferdigbehandlet i løpet av fire-fem måneder. De mest komplekse sakene, blant andre PVN-2014-04 Post i butikk, PVN-2013-21 Bank i butikk og PVN-2014-01 Skan-Kontroll, har nemnda imidlertid arbeidet med i en rekke nemndsmøter i 2014.
Personvernnemnda hadde 12 uferdige saker ved årets slutt.
2.7 Hvilke parter klager til nemnda
Personvernnemnda behandler klager fra privatpersoner, bedrifter, statlige, kommunale og fylkeskommunale organer.
Av de 26 sakene nemnda avgjorde i 2014 var det ni klager fra privatpersoner, syv klager fra ulike helseforetak og resten av sakene var klaget inn av ulike bedrifter.
2.8 Klagesaksbehandling – statistikk
Personvernnemnda mottok i 2014 totalt 25 klagesaker. Av disse var 12 ferdigbehandlet ved utgangen av året og én sak ble trukket av klager. I tillegg avgjorde nemnda 14 saker fra 2013. Oversikt over vedtakene, samt vedtakene i sin helhet, er publisert på Personvernnemndas hjemmesider. I tillegg er vedtakene som nevnt publisert i egen database hos Lovdata.
Saksmengden har vært stor. Flere av sakene har vært prinsipielle, jf punkt 2 over om tendenser. Også i 2014 har omfangsrike saker medført arbeid for medlemmene ut over de tilmålte fire timers forberedelse til hvert møte. Nemnda avholdt et ekstra møte i mai, et todagersmøte i oktober og et ekstra møte i desember for å ferdigstille saker.
2.9 Fullstendig oversikt over saker som ble behandlet i 2014
Følgende saker ble ferdigbehandlet i 2014:
PVN-2014-17 Sletting av avisartikler
Klage på Datatilsynets avslag på krav om sletting av publiserte artikler fra aviser og nettsteder
Nemnda hadde forståelse for at det kan være belastende å bli omtalt i avisen, samt oppleves som urettferdig at den frifinnende dom ikke omtales, men nemnda kom til at slike artikler må sies å ligge innenfor «journalistisk formål”. Personvernnemnda konkluderte med at avisartikler og nettartikler faller inn under avgrensningen i personopplysningsloven § 7 slik at blant annet personopplysningsloven kapittel II ikke kommer til anvendelse. Datatilsynets vedtak ble opprettholdt.
PVN-2014-13 Sandnes taxi
Klage på Datatilsynets vedtak om begrensning i kameraovervåking etter kontroll hos Sandnes Taxi
Personvernnemnda var i resultatet og det vesentlige enige med Datatilsynet. Kontinuerlig kameraovervåking dagtid og natt-tid i taxi er et uproporsjonalt tiltak. Nemnda sluttet seg til Datatilsynets resonnement.
PVN-2014-12 Stavanger taxi
Klage på Datatilsynets vedtak om begrensning i kameraovervåking etter kontroll hos Stavanger Taxi
Personvernnemnda var i resultatet og det vesentlige enige med Datatilsynet. Kontinuerlig kameraovervåking dagtid og natt-tid i taxi er et uproporsjonalt tiltak. Nemnda sluttet seg til Datatilsynets resonnement.
PVN-2014-11 Gjensidige
Klage på Datatilsynets vedtak om overtredelsesgebyr for Gjensidige Forsikring for å ha innhentet sensitive personopplysninger, gjennom blant annet skjult observasjon og skjult videopptak av privatperson, uten at det forelå behandlingsgrunnlag
Personvernnemnda vurderte det slik at rapport fra skjult observasjon og skjult filming alltid må vurderes konkret og individuelt i den enkelte sak, og kom til at dette var forholdsmessige tiltak i den aktuelle saksutredningen og ble ikke utført på utilbørlig måte. Etter en konkret helhetsvurdering forelå det behandlingsgrunnlag etter personopplysningsloven § 8 f) og § 9 e). Overtredelsesgebyr på kr 600 000 bortfalt.
PVN-2014-09 Kanvas
Klage på Datatilsynets vedtak om innsyn i foreldreklager i barnehage
Personvernnemnda vurderte innsyn, jf personopplysningsloven §§ 23, l. ledd bokstav f) som gjør unntak i retten til innsyn som «det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om, herunder hensynet til den registrerte selv». Nemnda kom til at Kanvas hadde tilrettelagt for innsyn og faktisk oppfylt innsynsretten, så langt det går uten å røpe avsenders identitet.
PVN-2014-08 Fjell kommune
Klage på Datatilsynets beslutning om ikke å ilegge overtredelsesgebyr etter personopplysningsloven § 46
Personvernnemnda kom til at det skal ilegges overtredelsesgebyr i saken, jf personopplysningsloven § 46. Datatilsynet kom til at det ikke skulle ilegges overtredelsesgebyr til tross for at tilsynet konkluderte med at spredningen av personopplysningene var et brudd på personopplysningsloven. Personvernnemnda vurderte lovbruddets alvorlighetsgrad annerledes enn Datatilsynet. Regelbruddet bar preg av grov systemsvikt og fremsto som forsettlig eller grov uaktsom. Overtredelsen krenket grunnleggende personverninteresser for en større krets av personer og krenkelsen har medført utlevering av følsomme personopplysninger. Saken ble sendt tilbake til Datatilsynet for utmåling av gebyr.
PVN-2014-07 Schibsted Payment
Klage på Datatilsynets manglende realitetsbehandling av sak
Klager påklaget Datatilsynets behandling av sak vedrørende personopplysninger behandlet av Schibsted Payment (som driver betalings- og påloggingstjenesten SPiD) i forbindelse med elektronisk abonnement på Stavanger Aftenblad. Personvernnemnda kom til at Datatilsynets behandling av saken hadde vært tilstrekkelig og forsvarlig i samsvar med forvaltningsloven.
PVN-2014-06 Kameraovervåkning
Klage på Datatilsynets beslutning om å avslutte sak etter veiledning, uten videre saksbehandling
Personvernnemnda vurderte om Datatilsynets behandling av saken var tilstrekkelig og forsvarlig i samsvar med forvaltningsloven. Nemnda kom til at tilsynet har veiledet klager om dette temaet i tilstrekkelig grad til å kunne fastslå at saken var forsvarlig behandlet og for klager til å forstå reglene på området. Personvernnemnda kom til at Datatilsynet hadde oppfylt sin veiledningsplikt etter forvaltningsloven § 11.
PVN-2014-05 Innsynsrett for foreldre i skolens aktivitetslogg uten barnets medvirkning
Klage på Datatilsynets beslutning om avslutning av sak om foreldres innsynsrett i skolens aktivitetslogg
Personvernnemnda kom til at saken må sendes tilbake til Datatilsynet slik at tilsynet kan fatte et realitetsvedtak i samsvar med det tilsynet i realiteten har konkludert med.
PVN-2014-04 Post i butikk
Klage på Datatilsynets vedtak om plassering av behandlingsansvar for kameraovervåking av post i butikk
For så vidt gjaldt spørsmålet om behandlingsansvar for finansielle tjenester i PIB, ga nemnda klager medhold i at butikken er behandlingsansvarlig. For så vidt gjaldt vurderingen etter personopplysningsforskriften § 8-4 annet og tredje ledd av om butikk med PIB-tjenester anses som postlokale, ble klagen ikke tatt til følge. Det ble vist til resonnementet i PVN-2013-21. Særlige behov etter § 8-4 sjette ledd ble ikke vurdert.
PVN-2014-02 NORHIV
Klage på Datatilsynets avslag på konsesjon til nasjonalt kvalitetsregister for HIV
Personvernnemnda viste til PVN-2013-28 NOKBIL og påpekte at landsomfattende helseregistre med mange opplysninger om den enkelte registrerte er spesialregulert i helseregisterloven § 8. Man kan derfor ikke omgå denne bestemmelsen ved å bruke helseregisterloven § 5 om konsesjon. Det fremgår av forarbeidene at det har vært lovgivers intensjon at slike registre skal opprettes i henhold til forskrift, noe som gir høringsprosess og transparens i behandlingen. Klagen førte ikke frem.
PVN-2014-01 Skan-Kontroll
Klage på Datatilsynets pålegg om databehandleravtaler og informasjonssikkerhet, samt ileggelse av overtredelsesgebyr
SK påklaget avslag på konsesjon for analyse- og varslingstjeneste, samt vedtakspunktene 1, 2, 5, 6 og 7 i Datatilsynets vedtak. Personvernnemnda kom til at konsesjon ikke kunne innvilges på bakgrunn av innsendt materiale. Videre ga nemnda sin tilslutning til Datatilsynets vedtak 1, 2 og 5. Nemnda ga klager medhold i klagen over punkt 6. For så vidt gjaldt punkt 7 kom nemnda til at Datatilsynet måtte foreta en fornyet vurdering av overtredelsene og gebyrets størrelse.
PVN-2013-28 NOKBIL
Klage på Datatilsynets avslag på konsesjonssøknad om å opprette Norsk kvalitetsregister for biologiske legemidler NOKBIL
Nemnda var enig med Datatilsynet. Rettslig grunnlag for slik landsomfattende, internasjonalt og permanent forskningsprosjekt er forskrift, jf helseregisterloven § 8. Sentrale landsomfattende helseregistre er spesialregulert i § 8 og da kan man ikke omgå denne bestemmelsen ved å bruke § 5 om konsesjon. Det vises til forarbeidene.
PVN-2013-27 Gjensidige Forsikring
Klage på Datatilsynets vedtak om informasjonssikkerhet og internkontroll
Nemnda kom til at vedtakspunktene ikke hadde et presisjonsnivå og innhold som tilfredsstiller kravene til et enkeltvedtak, jf § 2 b), som gjelder rettigheter eller plikter til en eller flere bestemte personer. Saken sendes tilbake til Datatilsynet slik at de påklagede vedtakspunktene skal bli formulert i samsvar med forvaltningsloven § 2 b) til fornyet behandling.
PVN-2013-26 Mittoppdrag.no
Klage på Datatilsynets beslutning om ikke å ta en sak opp til behandling
Nemnda kom til at Datatilsynets beslutning var et enkeltvedtak i forvaltningslovens forstand. Det å avvise en sak er bestemmende for rettigheter og plikter, jf forvaltningsloven § 2 tredje ledd. Klager hadde således klagerett i saken. Nemnda mente videre at saken var så prinsipiell at forvaltningen bør bidra til en avklaring av bruken av personnavn i nettbasert kommunikasjon/markedsføring, hvor både klager og mittoppdrag.no får anledning til å uttale seg. Saken ble sendt tilbake til Datatilsynet for realitetsbehandling.
PVN-2013-25 Kameraovervåking hytteområde
Klage på Datatilsynets beslutning om ikke å ta en sak opp til behandling
Personvernnemnda påpekte at kameraovervåkingen faller utenfor loven dersom den har et privat formål. Det er formålet som er avgjørende, ikke hva den omfatter av privat eller offentlig grunn. Ut fra sakens dokumenter fant nemnda det overveiende sannsynlig at kameraovervåkingen har et privat formål.
PVN-2013-24 Saksmappe hos barnevernstjenesten
Klage på Datatilsynets avvisningsvedtak
Personvernnemnda mener at det er viktig med god saksbehandling i forvaltningen og at reglene for dette blir fulgt. Det er beklagelig at en saksmappe med sensitive personopplysninger er på avveie. Datatilsynet har både gitt klager informasjon om hvordan hun kan forfølge sin sak videre og fulgt opp saken mot kommunen. Nemnda er derfor kommet til at Datatilsynet har oppfylt sin veiledningsplikt etter forvaltningsloven § 11 og utredningsplikt etter forvaltningsloven § 17.
PVN-2013-23 Informasjon etter helseforskningsloven
Klage på Datatilsynets vedtak om pålegg av informasjonsplikt i medhold av helseforskningsloven
Saken gjaldt helseforetakets plikt etter helseforskningsloven § 28 til på forhånd å informere alle pasienter om at humant biologisk materiale innsamlet som ledd i diagnostisering og behandling i visse tilfeller kan benyttes til forskning uten innhenting av pasientens samtykke. Nemnda var enig med Datatilsynet i at reparasjon av den ikke-oppfylte plikten til informasjon må gis individuelt i form av brev til de berørte pasientene.
PVN-2013-22 Sletting av rettspsykiatrisk erklæring
Klage på Datatilsynets beslutning om å avslutte en sak om sletting av rettspsykiatrisk erklæring
Nemnda var enig i Datatilsynets resonnement i denne saken. Datatilsynet har ikke kompetanse til å beslutte sletting av personopplysninger i en straffesak som straffeprosessuelt ikke er ferdigbehandlet. Nemnda var enig med Datatilsynet i at klagers angrep på tingrettsbeslutningen hører hjemme ved en fornyet behandling i tingretten.
PVN-2013-21 Bank i butikk
Klage på Datatilsynets vedtak om plassering av behandlingsansvar for kameraovervåking i bank i butikk
Klagen ble tatt delvis til følge. Nemnda kom til at butikken anses som behandlingsansvarlig for kameraopptak i bank-i-butikk. Nemnda kom til at personopplysningsforskriften § 8-4 om «banklokale» ikke var anvendelig og at det ikke forelå tilstrekkelige grunner til å anvende § 8-4 sjette ledd. Opptak fra butikklokaler kan derfor bare oppbevares i opptil 7 dager.
PVN-2013-20 Teletopia
Klage på Datatilsynets vedtak og ileggelse av overtredelsesgebyr
Personvernnemnda kom til at kameraovervåkning via offentlig IP-adresse (fjerntilgang) i et maskinrom hadde behandlingsgrunnlag, jf personopplysningsloven § 8 f). Videre kom nemnda (med dissens) til at skjulte lydopptak i denne saken hadde lovlig behandlingsgrunnlag etter personopplysningsloven § 8 f). Nemnda kom til at det ikke forelå grunnlag for å ilegge gebyr i denne saken, jf personopplysningsloven § 46.
PVN-2013-19 Innsynsrett i lydopptak
Klage på Datatilsynets vedtak om innsynsrett for de registrerte i lydopptak
Det var ikke bestridt at kunden har innsynsrett i lydopptak av samtale mellom kunden og ansatt i verdipapirforetak. Det følger av personopplysningsloven § 24 at «Informasjonen kan kreves skriftlig hos den behandlingsansvarlige eller hos dennes databehandler». Nemnda kunne ikke se at det var noen beskyttelsesverdig interesse for virksomheten og dens ansatte i denne saken. Lydfilene gjengir profesjonelle telefonsamtaler om transaksjoner mellom en privatperson og en selger. Begge parter er kjent med at det gjøres opptak. Klagen ble ikke tatt til følge. Innsyn kan kreves skriftlig (transkripsjon), jf § 24, hos den behandlingsansvarlige eller hos dennes databehandler, eller i form av kopi av lydfil.
PVN-2013-17 Tvillingregisteret
Klage på Datatilsynets delvise avslag på forlengelse og utvidelse av Nasjonalt tvillingregister
Personvernnemnda kom til at det må innhentes nye samtykker fra deltakerne i noen av prosjektene. Nemnda kan ikke se at deltakere i de opprinnelige tidsbegrensede og formålsbestemte tvillingprosjektene har avgitt samtykke, opprinnelig eller senere, til å bli registrert i Nasjonalt tvillingregister. Konsesjonen kan således ikke anses gyldig ved bare å hevde at opprinnelige samtykker dekker sammenslåingen. Det foreligger heller ikke hjemmel i personopplysningsloven §§ 8 bokstav d) og 9 bokstav h). Videre kom nemnda til at det som er beskrevet i samtykkeerklæringene og prosjektbeskrivelsene i informasjonsbrevene til deltakere vil være førende for hvilken adgang det er til å tilføre registeret nye opplysninger.
PVN-2013-15 Oslo universitetssykehus SPCG-7/SFUO-3 studien – langtidsoppfølging ved registerkobling
Klage på avslag på søknad om konsesjon til kobling av data mellom et allerede eksisterende forskningsprosjekt og data i Kreftregisteret og Reseptregisteret
SPCG-7/SFUO-3 studien – langtidsoppfølging ved registerkobling. I samtykkeskjemaet har pasientene samtykket til gjennomgang av pasientjournalen, men klager ønsket en mer strukturert innhenting av oppfølgningsdata ved kobling med flere helseregistre, deriblant Reseptregisteret. Det er imidlertid et forbud mot samtidig tilgang i reseptregisterforskriften § 4-1. Forbudet gjør det ulovlig å omgjøre et pseudonymt register til å bli et personidentifiserbart register. Dette betyr at Datatilsynet ikke kan gi konsesjon til slik kobling, med mindre koblingen er pseudonymisert eller den registrerte samtykker. Personvernnemnda slutter seg til Datatilsynets vedtak i denne saken.
PVN-2013-14 Farmers’ Biobank
Klage på Datatilsynets vedtak om avslag på konsesjonssøknad
Personvernnemnda kom til at det opprinnelige samtykket også omfatter slik forskning som det nå søkes om. Den foreliggende informasjon og samtykkegrunnlaget dekker imidlertid ikke en overføring til utlandet.
PVN-2013-07 Nyrebiopsiregisteret
Klage på Datatilsynets avslag på søknad om endring av konsesjon til å behandle helseopplysninger – Det Norske Nyrebiopsiregisteret
Klage på Datatilsynets avslag på søknad om endring av konsesjon til å behandle helseopplysninger. Personvernnemnda kom til at vergens samtykke fortsatt er gyldig, men råderetten for tilbaketrekking går over til barnet ved fylte 16 år. Nyrebiopsiregisteret har konsesjon til å behandle opplysningene i registeret. Det er således ikke nødvendig å søke om ny konsesjon. Så lenge det bare er tale om en fortsettelse av et gammelt register vil samtykkene fortsatt være gyldige.
2.10 Regnskap og budsjett for 2014
Personvernnemnda hadde i 2014 en budsjettramme på kr 1 858 000, og fremkommer under kapittel 1500 Fornyings- og administrasjonsdepartementet i statsbudsjett for 2014.
Totalt forbruk: kr 1 728 738
Personvernnemnda disponerte sin bevilgning til innkjøp av litteratur, tjenester, økonomisk støtte til konferanse, deltakelse på seminar, arbeidsgodtgjørelse og reisegodtgjørelse til nemndas medlemmer, lønn til sekretariat og leie av lokaler. Kostnadene øker på grunn av den store saksmengden som nødvendiggjør avholdelse av ekstra møter for å holde en forsvarlig saksbehandlingstid.
2.11 Avslutning
Personvernnemnda er av den oppfatning at nemnda gjennom sin virksomhet fungerer etter sin hensikt og bidrar til rettsavklaringer og til å høyne kunnskapsnivået på personvernområdet.
Oslo, 19. februar 2015
For Personvernnemnda
Eva I E Jarbekk
Leder