3 Ny forskriftshjemmel om behandling av personopplysninger fra grunnboken
3.1 Gjeldende rett
3.1.1 Personopplysningsloven
3.1.1.1 Personopplysningslovens formål
Lov 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) angir formålet i § 1:
«Formålet med denne loven er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger. Loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger.»
Personopplysninger er i § 2 definert som «opplysninger og vurderinger som kan knyttes til en enkeltperson».
Når det gjelder grunnboks- og matrikkelinformasjon vil behandlingen av informasjon fra registrene i all hovedsak involvere personopplysninger.
3.1.1.2 Personopplysningslovens saklige virkeområde – behandling av personopplysninger
Personopplysningslovens saklige virkeområde er behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler og annen behandling av personopplysninger når disse inngår eller skal inngå i et personregister, jf. § 3. Loven gjelder ikke behandling av personopplysninger som den enkelte foretar for rent personlige eller andre private formål.
Behandling av personopplysninger er i § 2 definert som «enhver bruk av personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter». I utgangspunktet er alle handlinger som kan tenkes utført med personopplysninger omfattet. I praksis vil bruken ofte bestå av en serie sammenknyttede handlinger.
Det følger av § 5 at bestemmelsene i personopplysningsloven gjelder for behandling av personopplysninger om ikke annet følger av en særskilt lov som regulerer behandlingsmåten. Videre fremgår det av § 6 at personopplysningsloven ikke begrenser innsynsrett etter offentlighetsloven, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger.
3.1.1.3 Behandlingsansvarlig og databehandler
Det fremgår av § 2 at en behandlingsansvarlig er «den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes». Behandlingsansvar betegner en formell posisjon og innebærer krav til etterlevelse av en rekke plikter i loven.
Databehandler er «den som behandler personopplysninger på vegne av den behandlingsansvarlige», jf. § 2. Databehandler er en person eller virksomhet utenfor den behandlingsansvarliges organisasjon, og vil typisk være et databehandlingsforetak. Begrepet brukes m.a.o. ikke om personer som faktisk behandler data, men betegner en bestemt type avtalepart som behandlingsansvarlige ofte anvender. Loven krever at denne relasjonen skal avtalereguleres, se § 15.
3.1.1.4 Vilkår for å behandle personopplysninger
Det følger av personopplysningsloven § 8 at personopplysninger bare kan behandles dersom den registrerte har samtykket eller det er fastsatt i lov at det er adgang til slik behandling eller behandlingen er nødvendig for:
«a) å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås,
b) at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse,
c) å vareta den registrertes vitale interesser,
d) å utføre en oppgave av allmenn interesse,
e) å utøve offentlig myndighet, eller
f) at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.»
Kravet om at et av de tre anførte grunnlag for behandling skal foreligge (samtykke, lovhjemmel eller nødvendighet ut fra særskilt opplistede formål) er en grunnforutsetning for at behandlingen skal være lovlig, jf. § 8. Et slikt behandlingsgrunnlag må foreligge før personopplysninger i det hele tatt blir behandlet.
Når det gjelder nødvendighetskriteriet uttales bl.a. følgende i de spesielle merknadene til bestemmelsen i Ot.prp. nr. 92 (1998–99) Om lov om behandling av personopplysninger:
«I tråd med loven for øvrig benyttes «behandling» som et overbegrep som omfatter en rekke forskjellige former for håndtering av personopplysninger, jf. § 2 nr 2. Vurderingen av om nødvendighetskravet er oppfylt kan bli forskjellig alt ettersom hva slags form for behandling det er tale om. Etter forholdene kan det f.eks tenkes at innsamling av opplysningene er nødvendig, men at utlevering av dem ikke er det.»
Når det gjelder behandling av personopplysninger fra grunnbok og matrikkel, vil det være umulig å skulle innhente samtykke fra hver enkelt av de registrerte. De aktuelle hjemlene for å være behandlingsansvarlig er derfor at
det gis særskilt hjemmel i eller i medhold av lov for de aktuelle behandlingsformål
den behandlingsansvarlige skal utøve en oppgave av allmenn interesse (bokstav d)
den behandlingsansvarlige kan ivareta en berettiget interesse og hensynet til den registrertes personvern ikke overstiger denne interessen (bokstav f).
Det kan etter Miljøverndepartementets oppfatning synes tvilsomt om behandlingsformålene i bokstav d) og f) er dekkende når det gjelder kommersiell videreformidling av eiendomsinformasjon med personopplysninger. Departementet mener derfor at grunnlaget for virksomheters behandling av personopplysninger fra grunnbok og matrikkel må være en særskilt hjemmel for behandlingen i eller i medhold av lov.
3.1.2 Tinglysingsloven
Lov om tinglysing av 7. juni 1935 nr. 2 § 38 annet ledd lyder som følger:
«Departementet kan også gi de forskrifter som det ellers finner påkrevd til gjennomføring av loven, herunder om hvordan publikum skal ha adgang til registrenes opplysninger.»
Ot.prp. nr. 9 (1935–1936) Om lov om tinglysing gir lite veiledning i tolkningen av forskriftshjemmelen i § 38 annet ledd. Tinglysingsloven § 38 annet ledd fikk sin nåværende utforming ved lov 8. februar 1980 nr. 3 ved at «herunder om hvordan publikum skal ha adgang til registrenes opplysninger» ble tatt inn. Forarbeidene her gir også lite veiledning i forhold til tolkningen av den generelle forskriftshjemmelen.
Som påpekt av Justisdepartementet i høringsuttalelsen av 10. august 2012, er en naturlig forståelse av ordlyden i tinglysingsloven § 38 annet ledd «til gjennomføring av loven» at forskriften utelukkende skal kunne gi presiserende bestemmelser. Da tinglysingsloven ikke inneholder bestemmelser om behandling av personopplysninger, trekker dette i retning av at bestemmelsen ikke gir hjemmel for å forskriftsregulere behandling av personopplysninger.
3.1.3 Matrikkelloven
Matrikkelloven § 30 inneholder bestemmelser om utlevering og behandling av opplysninger fra matrikkelen. Bestemmelsens siste ledd lyder som følger:
«Departementet kan i forskrift gi nærare reglar om behandling, utlevering og sal av opplysningar, og kan under dette frita behandling etter andre ledd frå meldeplikt etter § 31 i personopplysningslova.»
I forskrift 26. juni 2009 nr. 864 om eiendomsregistrering (matrikkelforskriften) er det gitt nærmere bestemmelser om behandling, utlevering og salg av matrikkelopplysninger.
3.2 Forslaget i høringsnotatet
Som følge av at gjeldende bestemmelse i tinglysingsloven § 38 ikke anses for å gi hjemmel til å forskriftsregulere behandling av personopplysninger, foreslo Miljøverndepartementet i høringsnotatet at tinglysingsloven § 38 endres og får følgende ordlyd i et nytt annet ledd (gjeldende annet ledd foreslås flyttet til tredje ledd):
«Departementet kan i forskrift gi nærmere regler om utlevering og annen behandling av grunnbokens opplysninger, herunder om virksomheters tilgang til og salg av slike opplysninger.»
Det ble ikke foreslått endringer i forskriftshjemmelen i matrikkelloven.
3.3 Høringsinstansenes syn
Miljøverndepartementet har mottatt høringsuttalelser fra Justis- og beredskapsdepartementet, Nærings- og handelsdepartementet, Fornyings-, administrasjons- og kirkedepartementet, Kartverket, Datatilsynet, Norsk Eiendomsinformasjon as, IKT-Norge og Geomatikkbedriftene.
Justis- og beredskapsdepartementet, Fornyings-, administrasjons- og kirkedepartementet og Datatilsynet har ingen merknader til forslaget til endring i tinglysingsloven.
Nærings- og handelsdepartementet har ingen merknader til endringen, men skriver samtidig at de forutsetter at endringene ikke svekker eller forhindrer private aktørers muligheter for å utvikle og levere verdiøkende tjenester basert på rådata fra grunnboken.
Kartverket skriver i sin høringsuttalelse bl.a. følgende:
«Det er slik at staten har rettslig behandlingsgrunnlag for å føre grunnbok og eiendomsregister gjennom henholdsvis tinglysingsloven og lov om eiendomsregistrering. Når Miljøverndepartementet foreslår at også andre enn tinglysings- og matrikkelmyndigheten skal kunne ha kopier av slike registre utelukkende for tilgjengeliggjøring, skriver Justis- og beredskapsdepartementet at det kan stilles spørsmål om forskriftshjemmelen for dette er klar nok, særlig tinglysingsloven § 38. Videre skriver departementet at det ikke er tilstrekkelig at det i lov er bestemmelser som forutsetter behandling av personopplysninger. Det må fremgå klart i lov, eller i forskrift som er gitt i medhold av en lov, at personopplysninger kan samles inn og behandles, dersom dette skal være det rettslige grunnlaget for behandling.
Vi oppfatter Justis- og beredskapsdepartementet slik at departementet reiser spørsmål om lovhjemmelen for markedsaktørers behandling av personopplysningene til det her omtalte formål er tilstrekkelig både når det gjelder matrikkelloven og når det gjelder tinglysingsloven. Vi registrerer at Miljøverndepartementet i høringsnotatet er av en annen oppfatning og at departementet bare har sendt forslag om endring av tinglysingsloven på høring. Vi nøyer oss med å påpeke problemstillingen.
Når det gjelder forslaget til nytt annet ledd i tinglysingsloven § 38 vil vi påpeke at det på bakgrunn av innspillet fra Justisdepartementet ville være hensiktmessig om lovbestemmelsen nærmere anga hvilke virksomheter som skal behandle disse opplysningene, utover de som allerede har tilgang til opplysningene etter de ordinære utleveringsreglene i matrikkel- og tinglysingsregelverket. Videre vil det vært hensiktsmessig at formålet og omfanget av denne behandlingen avklares. Det er også viktig at de enkelte virksomheters forhold til tinglysings- og matrikkelregelverkets utleveringsregler avklares. Vi viser for øvrig til Justisdepartementets merknader til utredningen som det er referert til ovenfor.»
Norsk Eiendomsinformasjon as skriver bl.a. følgende:
«Vi tillater oss derfor å sette søkelys på om det virkelig er behov for en ny lovhjemmel for at aktører utenfor Staten skal få tilgang til store mengder data, og få et tilhørende behandlingsgrunnlag for å kunne behandle tinglyst informasjon. I denne forbindelse vil vi minne om at det var nettopp Justis- og beredskapsdepartementet som formelt sett foresto avgivelse av en løpende oppdatert kopi av grunnboksdatabasen til NE i en drøy 20-års-periode fra ca. 1990. Så langt vi vet skjedde dette uten at det forelå noen lovhjemmel for avgivelsen utover de lovreglene som forefinnes på området i dag.
Hensyntatt at Justis- og beredskapsdepartementet i alle år klarte seg uten en slik lovhjemmel som nå foreslås, er det derfor et åpent spørsmål om det virkelig er behov for den foreslåtte lovendringen.
Miljøverndepartementets forslag til lovtekst vil uansett innebære en tydeliggjøring, forutsatt at forskriftene som blir gitt i medhold av foreslått lovtekst virkelig gir aktørene utenfor Statens kartverk tilgang til rådata fra Grunnboken. Det synes vi er positivt.»
Geomatikkbedriftene har tilsvarende formuleringer som Norsk Eiendomsinformasjon as i sin høringsuttalelse.
IKT-Norge er av samme oppfatning som Norsk Eiendomsinformasjon as og Geomatikkbedriftene, og skriver bl.a. følgende i sin høringsuttalelse:
«Høringsnotatet tar utgangspunkt i personopplysningslovens krav til et behandlingsgrunnlag dersom aktører skal få tilgang til store mengder grunnboksdata. IKT-Norge stiller spørsmål ved behovet for en ny lovhjemmel for behandling av tinglyste data. Tinglyste data er per definisjon offentlige data, og formålet er at de skal gjøres tilgjengelige for allmennheten. Norsk eiendomsinformasjon har også i over 20 år hatt tilgang til hele grunnboksdatabasen, og vi kan ikke se at det ligger utfordringer i dagens lovverk for at også andre norske aktører skal få denne tilgangen.»
3.4 Departementets vurdering
3.4.1 Tinglysingsloven
Kartverket skriver i sin høringsuttalelse at det ville vært hensiktsmessig at forskriftshjemmelen i tinglysingsloven nærmere anga hvilke virksomheter som skal behandle opplysningene samt at formålet med og omfanget av behandlingen ble avklart. Miljøverndepartementet mener det er mest hensiktsmessig at de nærmere bestemmelser om behandlingen av opplysninger fra grunnboken blir gitt i forskrifts form og viser til utkastet til forskrift om behandling av opplysninger fra grunnbok og matrikkel som ble sendt på høring 10. mai 2012 i forbindelse med utredningen om formidling av grunnbok- og matrikkelinformasjon. Utkastet til forskrift inneholdt detaljerte bestemmelser som klart egner seg best i forskrifts form. Miljøverndepartementet viser samtidig til at en forskriftsfastsettelse av de nærmere bestemmelsene om behandling av eiendomsinformasjon vil gjøre det enklere å foreta nødvendige endringer etter hvert som det høstes erfaring med den nye ordningen det legges opp til.
IKT-Norge, Geomatikkbedriftene og Norsk Eiendomsinformasjon as stiller spørsmål ved om en lovhjemmel for behandling av personopplysninger fra grunnboken er nødvendig. Miljøverndepartementet viser her til at uttrykket «til gjennomføring av loven, herunder om hvordan publikum skal ha adgang til registrenes opplysninger» som står i den gjeldende forskriftsbestemmelsen i tinglysingsloven § 38 annet ledd trekker i retning av at forskriften kun skal kunne gi presiserende bestemmelser. Bestemmelsen synes dessuten å rette seg mot enkeltpersoners adgang til opplysninger i de aktuelle registrene, og tar i liten grad høyde for et regelverk om kommersielle aktørers nedlasting av hele eller deler av registerinformasjonen og videreformidling av opplysninger fra egne opprettede databaser. Personvern er et viktig hensyn, og behandling av personopplysninger fra grunnboken bør derfor sikres nødvendig lovmessig forankring.
Miljøverndepartementet er som følge av dette av den oppfatning at det er behov for en endring av tinglysingsloven § 38 for å klargjøre hva en forskrift kan inneholde av reguleringer når det gjelder behandling av personopplysninger fra grunnboken. Nærmere bestemte vilkår for behandlingen vil bli fastsatt i forskrift.
På bakgrunn av disse vurderingene har Miljøverndepartementet kommet til at forslaget til endring i tinglysingsloven som fremkom i høringsnotatet følges opp. Det foreslås en mindre endring i ordlyden for å få klarere frem at det åpnes for å regulere mottakervirksomhetenes behandling av opplysninger.
3.4.2 Forholdet til andre lover
Kartverket stiller også spørsmål ved om matrikkelloven burde hatt en tilsvarende forskriftshjemmel som den som nå foreslås i tinglysingsloven.
Siden det følger av bestemmelsen i matrikkelloven § 30 at det i forskrifts form kan fastsettes nærmere regler om behandling og utlevering, er Miljøverndepartementet av den oppfatning at forskriftshjemmelen gir adgang til å fastsette bestemmelser om behandling av personopplysninger, jf. personopplysningsloven § 8. Miljøverndepartementet kan som følge av dette ikke se at det er behov for en ny forskriftshjemmel i matrikkelloven.
Prinsippene for behandling og utlevering av matrikkelopplysninger er omtalt i Ot.prp. nr. 70 (2004–2005) kap. 30 s. 155–158. Departementet legger disse prinsippene fortsatt til grunn, men vil i tråd med Meld. St. 11 (2012–2013) Personvern – utsikter og utfordringar, kap. 5, åpne for mer viderebruk av opplysninger fra matrikkelen. Virksomheter som videreformidler opplysninger til brukere som kan behandle matrikkelopplysninger med hjemmel i matrikkelloven § 30, skal også selv kunne behandle slike matrikkelopplysninger. Nærmere bestemte vilkår for behandlingen vil bli fastsatt i forskrift.