28 Datatilsynets og Personvernnemndas taushetsplikt og tilgang til opplysninger

28.1 Gjeldende rett

Personopplysningsloven § 44 regulerer Datatilsynets og Personvernnemndas tilgang til opplysninger og adgang til steder mv. De samme reglene gjelder for Personvernnemnda som for Datatilsynet, som med hjemmel i § 44 første ledd kan kreve de opplysninger som trengs for at de kan gjennomføre sine oppgaver. Etter § 44 tredje ledd, jf. første og annet ledd, gjelder dette også taushetsbelagte opplysninger.

Personopplysningsloven § 45 første ledd fastsetter at taushetsplikten etter forvaltningsloven § 13 flg. gjelder tilsvarende. Det er presisert i personopplysningsloven § 45 første ledd at taushetsplikten også omfatter opplysninger om sikkerhetstiltak. Det følger videre av personopplysningsloven § 45 annet ledd at Datatilsynet og Personvernnemnda uten hinder av taushetsplikten etter første ledd kan gi opplysninger til utenlandske tilsynsmyndigheter når det er nødvendig for å treffe vedtak som ledd i tilsynsvirksomheten.

28.2 Forordningen

Det følger av forordningen artikkel 54 nr. 2 at medlemmene og personellet hos tilsynsmyndigheten både i og etter utnevnelsesperioden skal være bundet av taushetsplikt med hensyn til eventuell konfidensiell informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet, i samsvar med unionsretten eller nasjonal rett. Det følger videre av artikkel 54 nr. 2 at i utnevnelsesperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av denne forordning.

Etter artikkel 58 nr. 1 bokstav a, e og f kan tilsynsmyndigheten kreve tilgang til alle opplysninger eller alle steder der opplysninger finnes når dette er nødvendig for utførelse av tilsynsmyndighetens oppgaver.

Etter artikkel 90 kan statene fastsette nasjonale regler om tilsynsmyndighetens tilgang til opplysninger underlagt lovbestemt taushetsplikt, dersom slike regler er nødvendige for å forene retten til personvern med bestemmelser om taushetsplikt. Eventuelle nasjonale regler skal kun omfatte personopplysninger som den behandlingsansvarlige eller databehandleren har mottatt som følge av, eller har innhentet i forbindelse med, en aktivitet som omfattes av den lovbestemte taushetsplikten.

28.3 Forslaget i høringsnotatet

Det ble i høringsnotatet foreslått å videreføre reglene i personopplysningsloven § 45.

For å ivareta hensynet til varslere slik forordningen forutsetter i artikkel 54 nr. 2 siste punktum, foreslo departementet å utvide taushetspliktsbestemmelsen til også å gjelde for opplysninger om varsling.

Departementet foreslo ikke å videreføre bestemmelsen i personopplysningsloven § 44 første ledd for så vidt gjelder Datatilsynets tilgang til opplysninger, fordi denne tilgangen følger direkte av forordningen artikkel 58 nr. 1 bokstav a og e. Departementet foreslo å videreføre personopplysningsloven § 44 første ledd for Personvernnemnda ved å la personvernforordningen artikkel 58 nr. 1 bokstav a og e gjelde tilsvarende for Personvernnemnda.

Personopplysningsloven § 44 annet ledd ble ikke foreslått videreført, da Datatilsynets rett til å kreve adgang til steder hvor det finnes personopplysninger følger direkte av forordningen, jf. artikkel 58 nr. 1 bokstav f.

Departementet foreslo å videreføre regelen i personopplysningsloven § 44 tredje ledd om at tilgangen til opplysninger eller steder gjelder uten hinder av taushetsplikt.

28.4 Høringsinstansenes syn

Statistisk sentralbyrå viser til at det i den foreslåtte bestemmelsen om taushetsplikt ikke er oppstilt noen begrensinger, og formoder da at slik tilgang også er ment å gjelde opplysninger som er taushetsbelagt etter særlovgivning og i ytterste konsekvens også sikkerhetsgradert informasjon. Høringsinstansen viser videre til at dersom tilsynsmyndighet gis tilgang til opplysninger som er regulert av en streng taushetsplikt etter særlov, har det formodningen mot seg at de etter forslaget til § 20 kun er underlagt taushetsplikt etter forvaltningslovens alminnelige taushetspliktregler. Høringsinstansen mener det her må presumeres at særlovgivningens taushetsplikt følger med opplysningene, og derigjennom pålegger tilsynsmyndighetens personale samme taushetsplikt som opplysningene er regulert av, ved tilgang til slike opplysninger.

Datatilsynet mener at taushetsplikten må forsterkes. Etter høringsinstansens syn er det det sentrale poenget med taushetsplikten å beskytte varslere, for å bidra til å motivere de som sitter på informasjon om mulige regelbrudd til å komme frem. Datatilsynet mener at taushetsplikten også bør gjelde for sakens parter. Høringsinstansen mener videre at en slik taushetsplikt med hensyn til varslere antakelig også bør gjelde overfor Personvernnemnda.

Datatilsynet viser til at departementet har foreslått at forordningen artikkel 58 nr.1 bokstav a og e skal gis tilsvarende anvendelse overfor Personvernnemnda. Etter høringsinstansens syn innebærer dette at nemnda skal ha undersøkelseskompetanse, herunder kunne gjennomføre stedlig kontroll (on sight inspections). Høringsinstansen mener det er betenkeligheter knyttet til at en behandlingsansvarlig eller databehandler som klager til Personvernnemnda kan risikere at nemnda selv etterforsker saken, herunder foretar stedlige kontroller.

28.5 Departementets vurdering

Det følger av artikkel 54 nr. 2 at «medlemmet/medlemmene og personellet hos hver tilsynsmyndighet skal, i samsvar med unionsretten eller medlemsstatenes nasjonale rett, både i og etter utnevnelsesperioden være bundet av taushetsplikt med hensyn til eventuell konfidensiell informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet. I utnevnelsesperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av denne forordning.» På denne bakgrunn foreslår departementet å fastsette særlige regler om taushetsplikt for den som utfører arbeid for Datatilsynet. Etter departementets syn bør det gjelde tilsvarende taushetspliktsregler for Personvernnemnda.

Det følger av forordningen artikkel 54 nr. 2 siste punktum at taushetsplikten skal omfatte opplysninger om fysiske personers varsling om brudd på forordningen. Etter offentleglova § 24 annet ledd kan det gjøres unntak fra innsynsrett i melding, tips eller lignende om lovbrudd fra private. Slike opplysninger kan det derfor nektes innsyn i. Departementet foreslår at det også fastsettes særskilt at taushetsplikten omfatter enkeltpersoners varsling om overtredelser av loven her. Datatilsynet har fremholdt at taushetsplikten om varsling bør gjelde også overfor sakens parter. Departementet viser i denne forbindelse til arbeidsmiljøloven § 2 A-4 der det fastsettes en særskilt taushetsplikt om arbeidstakere som varsler myndighetene om kritikkverdige forhold. Det følger videre av bestemmelsens annet ledd at denne taushetsplikten gjelder også overfor sakens parter. Etter departementets syn er det ikke behov for regler om at taushetsplikten også skal gjelde overfor sakens parter utenom i arbeidsforhold. Det er primært der det er en ubalanse i maktforholdet mellom varsleren og den det varsles om at en slik bestemmelse er aktuell. Departementet ser at det kan tenkes andre tilfeller der det er en slik ubalanse når det gjelder varsling om ulovlig behandling av personopplysninger. Etter departementets syn bør terskelen for å unnta parten for innsyn i sakens opplysninger legges høyt, og departementet kan ikke se at det på nåværende tidspunkt foreligger andre typetilfeller som bør reguleres særskilt. Det vises for øvrig til de generelle reglene i forvaltningsloven § 19 som også gir adgang til å unnta opplysninger fra sakens parter på nærmere bestemte vilkår.

Statistisk sentralbyrå mener at dersom tilsynsmyndigheten gis tilgang til opplysninger som er regulert av en streng taushetsplikt etter særlov, har det formodningen mot seg at den etter forslaget til § 20 kun er underlagt taushetsplikt etter forvaltningslovens alminnelige taushetspliktregler. Departementet foreslår ingen særlige regler om at taushetsplikt i særlov skal gjelde også for Datatilsynet og Personvernnemnda. Rekkevidden av eventuell taushetsplikt som følger av særlov vil måtte fastlegges i det enkelte tilfellet.

For at samarbeidet mellom tilsynsmyndighetene i ulike land skal bli effektiv, er det viktig at Datatilsynet får anledning til å samarbeide med tilsynsmyndighetene i andre land uten hinder av taushetsplikten. Departementet foreslår derfor å videreføre personopplysningsloven § 45 annet ledd som fastslår at Datatilsynet og Personvernnemnda kan gi opplysninger til utenlandske tilsynsmyndigheter uten hinder av taushetsplikten når dette er nødvendig for å kunne treffe vedtak som ledd i tilsynsvirksomheten.

Når det gjelder Datatilsynets tilgang til opplysninger, følger regler om dette av forordningen artikkel 58. Departementet finner imidlertid grunn til å fastsette særskilt i nasjonal rett at tilgangen til opplysninger skal gjelde uavhengig av taushetsplikt.

Forordningen gir ingen regler om Personvernnemndas tilgang til opplysninger. Departementet foreslo i høringsnotatet å videreføre gjeldende rett på dette punktet, ved å la forordningen artikkel 58 nr. 1 bokstav a og e gjelde tilsvarende for nemnda. Departementet har merket seg innvendingen fra Datatilsynet om at forslaget innebærer at nemnda har undersøkelseskompetanse. Departementet har etter dette kommet til at kun artikkel 58 nr. 1 bokstav a bør gjøres gjeldende for nemnda, og mener dette vil være en videreføring av gjeldende rett i personopplysningsloven § 44 første ledd. Det vises for øvrig til de generelle reglene i forvaltningsloven om klage og omgjøring, herunder § 33 femte ledd.

Bestemmelsene om tilgang til opplysninger må som i dag leses med de begrensninger som følger av forbudet mot selvinkriminering i Den europeiske menneskerettskonvensjon. Datatilsynet vil dermed ha begrenset rett til å kreve opplysninger i saker om overtredelsesgebyr eller andre administrative sanksjoner. Videre vil det foreligge begrensninger for bruk av tidligere innhentede opplysninger i disse sakene. Det vises til Prop. 62 L (2015–2016) kapittel 22 side 134–139 om rekkevidden av forbudet mot selvinkriminering.

Forholdet til kildevernet omtales i kapittel 14 om ytrings- og informasjonsfrihet.