8 Behandling av personopplysninger

8.1 Forslag i høringsnotatet

Som følge av de ovenfor nevnte forslagene vil utvalget kunne innhente alle typer personopplysninger. For å kunne behandle (dvs. innsamling, registrering, sammenstilling, lagring av opplysninger) sensitive personopplysninger må imidlertid et av vilkårene i personopplysningsloven § 9, samt et av vilkårene i § 8 være oppfylt. De aktuelle alternativene i dette tilfellet er enten å gi utvalget en rett til å behandle sensitive personopplysninger ved å gi en uttrykkelig lovhjemmel til slik behandling, eller å basere seg på at utvalget skal innhente samtykke fra den personen opplysningene gjelder. I høringsnotatet foreslo departementet å gi utvalget denne hjemmelen i lov, samt å unnta utvalget fra konsesjonsplikt etter personopplysningsloven § 33 fjerde ledd.

8.2 Høringsinstansenes syn

Datatilsynet problematiserer i sin høringsuttalelse hvorvidt vilkårene for unntak fra konsesjonsbehandling i personopplysningsloven § 33 fjerde ledd er oppfylt. Tilsynet uttaler at

«I henhold til Datatilsynets praksis må det foreligge en relativt klar og utfyllende lovregulering av behandlingen, for at den skal komme inn under unntaket i § 33 fjerde ledd. Kravet vil imidlertid avhenge av den konkrete behandlingens omfang og karakter. Normalt bør det forventes at loven i det minste avklarer de spørsmål som er omfattet av den behandlingsansvarliges informasjonsplikt, jf. pol § 19 og 20. I dette tilfellet vurderer tilsynet at den lovregulering som foreslås er relativt svak, idet en rekke spørsmål står uavklarte (...)

Det å vedta en ytterligere uthuling av konsesjonsplikten, gjennom å lovregulere unntak for behandlinger for stat og kommune som ikke er tilfredsstillende regulert, er etter tilsynets vurdering svært uheldig og undergraver Datatilsynets funksjon. Særlig uheldig er det at tilsynet blir avskåret fra å forhåndsvurdere om informasjonssikkerheten vil blir tilfredsstillende ivaretatt ved behandlingen.»

Datatilsynet påpeker også i sin høringsuttalelse enkelte utfordringer knyttet til etterlevelse av personopplysningens grunnkrav. For det første hevdes det at det foreligger en risiko for at noen avgir uriktige opplysninger til utvalget, og det medfører en ekstra utfordring for den behandlingsansvarliges plikt til å påse at de opplysninger som behandles er korrekte og oppdaterte, jf. personopplysningsloven § 11 e, jf. §§ 27 og 28.

Det påpekes også på den begrensning det ligger i at opplysningene skal være nødvendige og relevante for at utvalget skal få utført sitt arbeid i henhold til mandatet, jf. personopplysningsloven § 11 bokstav d og e og lovforslaget § 2.

8.3 Departementets vurderinger og forslag

Det fremgår av personopplysningsloven § 33 fjerde ledd at det ikke er konsesjonsplikt for behandling av personopplysninger i organ for stat eller kommune når behandlingen har hjemmel i egen lov. Av pedagogiske årsaker og for å klargjøre rettstilstanden vil departementet gi en lovbestemmelse som presiserer at utvalget unntas fra kravet om å søke konsesjon etter lov av 14. april 2000 nr. 31 om behandling av personopplysninger kapittel VI. Dette gjøres også for å unngå tvil om § 33 fjerde ledd kommer til anvendelse.

Departementet vil i all hovedsak vise til begrunnelsen ovenfor om forklaringsplikt og opplysningsplikt når det gjelder behovet for utvalget til å ha hjemmel til å behandle sensitive personopplysninger, jf. drøftelse under kapittel 6.1 og 6.3. Utvalget er helt avhengig av å få alle sakens opplysninger for å være i stand til å gi etterfølgende råd til departementet for hvordan unngå slike tragiske hendelser i fremtiden. Følgelig må utvalget også nødvendigvis kunne behandle de sensitive personopplysninger de mottar. Departementet er av den oppfatning at det vil være uheldig og utilstrekkelig å la adgangen for utvalget til å behandle sensitive personopplysninger være avhengig av samtykke, jf. drøftelse under kapittel 6.1 og 6.3.

Det er utvalgets leder som vil være behandlingsansvarlig i henhold til personopplysningslovens bestemmelser.

Når det gjelder formålet med behandlingen av opplysningene og hvilke opplysninger som utvalget skal behandle, er departementet av den oppfatning at det kommer tilstrekkelig frem i mandatet. Utvalget skal undersøke de aktuelle drapene gjennom en kartlegging av tjenester og systemer, herunder de ulike deler av forvaltningen, som var involvert i eller som burde ha vært involvert i oppfølgingen av gjerningspersonene. Det er opplysninger som er relevante i forhold til denne oppgaven som kan behandles etter personopplysningsloven. Det er således unødvendig etter departementets vurdering med en ytterligere presisering.

Datatilsynet påpeker at det vil være en utfordring knyttet til den behandlingsansvarliges plikt til å påse at de opplysninger som behandles er korrekte og oppdaterte, jf. personopplysningsloven § 11 bokstav e, jf. §§ 27 og 28. Departementet er enig i at dette vil være en utfordring for utvalget, men samtidig må det også være intensjonen til utvalget at de skal legge til grunn korrekte og oppdaterte opplysninger for sine vurderinger og konklusjoner. I så måte vil personopplysningsloven §§ 27 og 28 være med å bidra til at utvalgets arbeid blir utført på en tilfredsstillende måte.

Departementet vil understreke at dette unntaket kun gjelder en svært begrenset personkrets. Utvalgets leder skal føre liste over alle personer som har mottatt opplysninger undergitt taushetsplikt. Videre vil departementet vise til taushetspliktbestemmelsene som blir pålagt utvalget, se kapittel 7.2. I tillegg vil departementet i lovbestemmelsen presisere at det stilles et strengt krav til at opplysningene som innhentes av utvalget er formålsbestemt til den oppgaven utvalget er tildelt i mandatet.

Departementet vil også påpeke at man er av den oppfatning at den oppgaven utvalget er satt til er av stor samfunnsmessig betydning. Det er ønskelig at man får svar på de spørsmål som utvalget skal ta stilling til, slik at man kan unngå slike tragiske hendelser i fremtiden. På denne bakgrunn vil departementet foreslå en lovbestemmelse som gir utvalget rett til å behandle sensitive personopplysninger som er nødvendige for at utvalget skal kunne utføre sitt arbeid. Personopplysningslovens øvrige bestemmelser vil gjelde for utvalget.