9 Fødselsnummer og andre entydige identifikasjonsmidler

9.1 Gjeldende rett

Fødselsnummer, andre identifikasjonsnumre og biometriske identifikasjonsmidler regnes ikke som sensitive personopplysninger etter dagens lov, jf. personopplysningsloven § 2 nr. 8. Etter personopplysningsloven § 12 gjelder det imidlertid noen tilleggskrav for bruk av slike identifikasjonsmidler.

Etter personopplysningsloven § 12 første ledd kan «fødselsnummer og andre entydige identifikasjonsmidler» bare benyttes når det foreligger «saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering». Uttrykket «andre entydige identifikasjonsmidler» omfatter andre nasjonale identifikasjonsnumre enn fødselsnummer, samt fingeravtrykk og andre biometriske data, jf. Ot.prp. nr. 92 (1998–99) side 114. Bestemmelsen gjennomfører 95-direktivet artikkel 8 nr. 7.

Etter annet ledd kan Datatilsynet pålegge en behandlingsansvarlig å benytte fødselsnummer eller annet entydig identifikasjonsmiddel hvis det er nødvendig for å sikre at personopplysninger har «tilstrekkelig kvalitet».

Tredje ledd gir hjemmel til å fastsette ytterligere bestemmelser om bruk av fødselsnummer i forskrift. Forskriftshjemmelen i loven § 12 siste ledd er benyttet, og etter personopplysningsforskriften § 10-2 skal postsendinger som inneholder fødselsnummer være utformet slik at nummeret ikke er tilgjengelig for andre enn adressaten. Tilsvarende gjelder sendinger som formidles ved hjelp av telekommunikasjon.

9.2 Forordningen

Forordningen har ingen bestemmelse om bruk av fødselsnummer og andre entydige identifikasjonsmidler tilsvarende gjeldende lov § 12. Fødselsnumre og andre identifikasjonsnumre omfattes ikke av reglene for særlige kategorier av personopplysninger. Bruk av identifikasjonsnumre reguleres altså av de alminnelige reglene for behandling av personopplysninger.

Derimot regnes «biometriske opplysninger med det formål å entydig identifisere en fysisk person» som særlige kategorier av personopplysninger, jf. artikkel 9 nr. 1. Forordningen stiller dermed strengere krav til behandlingen enn det som gjelder for identifikasjonsnumre. Disse kravene er likevel lempeligere enn gjeldende lov § 12. Etter forordningen artikkel 9 nr. 2 bokstav a vil den registrertes samtykke være tilstrekkelig for lovlig behandling, mens tilleggskravene etter gjeldende rett gjelder uavhengig av den registrertes samtykke.

Både for nasjonale identifikasjonsnumre og biometriske identifikasjonsmidler åpner forordningen for at det fastsettes særlige vilkår i nasjonal rett. Etter artikkel 87 kan medlemsstatene fastsette «nærmere særlige vilkår for behandling av et nasjonalt identifikasjonsnummer eller andre generelle identifikatorer». Nummeret eller identifikatoren skal i så fall bare brukes sammen med «nødvendige garantier for den registrertes rettigheter og friheter» i henhold til forordningen. Når det gjelder biometriske identifikasjonsmidler, åpner artikkel 9 nr. 4 for at det i nasjonal rett fastsettes eller opprettholdes nærmere vilkår for behandling av slike opplysninger.

9.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre gjeldende rett om vilkårene for behandling av fødselsnummer og andre nasjonale identifikasjonsnumre.

For andre entydige identifikasjonsmidler enn identifikasjonsnumre, herunder biometriske opplysninger, foreslo departementet at gjeldende rett om vilkårene for behandling videreføres inntil videre.

Departementet ga i høringsnotatet uttrykk for at det fremsto overflødig å opprettholde særbestemmelsen i personopplysningsloven § 12 annet ledd, som gir Datatilsynet kompetanse til å pålegge bruk av fødselsnummer og andre entydige identifikasjonsmidler.

Departementet ba om høringsinstansenes syn på om det er behov for å videreføre bestemmelsen i personopplysningsforskriften § 10-2 om forsendelser som inneholder fødselsnummer, og om det i så fall vil være hensiktsmessig å angi mer spesifikt i lovteksten hvilke krav som stilles til elektronisk kommunikasjon, for eksempel at kommunikasjonen må være kryptert.

Adgangen til å gi forskrifter om bruk av fødselsnummer og andre entydige identifikasjonsmidler ble foreslått videreført.

9.4 Høringsinstansenes syn

Alle høringsinstansene som har uttalt seg om spørsmålet, støtter forslaget om å opprettholde nasjonale særregler om behandling av opplysninger om fødselsnummer og andre entydige identifikasjonsnumre. Arbeids- og velferdsdirektoratet, Direktoratet for e-helse, Helsedirektoratet, Politidirektoratet, Skattedirektoratet, Forbrukerrådet, Helse Nord-Trøndelag HF og Juristforbundet støtter forslaget om å videreføre gjeldende rett. Datatilsynet støtter forslaget om særskilt regulering av fødselsnummer, og foreslår at det også vurderes å gi et eksplisitt forbud mot at fødselsnummer og andre nasjonale identifikasjonsnumre blir brukt til autentisering. Brønnøysundregistrene mener at det bør gå uttrykkelig frem av loven at fødselsnummeret ikke er sensitivt, for å skape klarhet og forståelse av regelverket om fødselsnummer. Direktoratet for forvaltning og IKT gir uttrykk for at muligheten for å justere bestemmelsen bør utredes, og at det er «verdt å se nærmere på om utviklingen har ført til at uønsket sammenkobling av opplysninger bør motvirkes med andre tiltak enn strenge vilkår for bruk av fødselsnummer, i alle fall i offentlig sektor».

Når det gjelder biometriske identifikasjonsmidler, mener Arbeids- og velferdsdirektoratet, Skattedirektoratet, Datatilsynet, Forbrukerrådet, Vestfold fylkeskommune, Advokatforeningen, Den norske legeforening, Landsforeningen i Norge og Brækhus Advokatfirma DA at det fortsatt bør gjelde nasjonale særregler. Arbeids- og velferdsdirektoratet uttaler:

«Vi mener at særvilkårene for bruk av fødselsnummer og andre entydige identifikasjonsmidler bør utvides til også gjelde for biometrisk identifisering. Som for bruk av fødselsnummer er det viktig å forhindre usaklig og unødvendig bruk av biometriske opplysninger.»

Brækhus Advokatfirma DA gir uttrykk for at det er behov for ytterligere skranker utover forordningens regler om særlige kategorier av personopplysninger:

«Selv om utgangspunktet etter forordningens artikkel 9 nr. 1 er at bruk av biometriske opplysninger i identifikasjonsøyemed er forbudt, så kan det gjøres unntak fra dette ved uttrykkelig samtykke, jf. artikkel 9 nr. 2 bokstav a. Samtykkekravet utgjør en viktig skranke. Etter vårt syn er det imidlertid også behov for ytterligere skranker for å ivareta den personlige integritet, da særlig ved å stille krav om nødvendighet. Biometriske opplysninger, som for eksempel fingeravtrykk, er svært sensitiv informasjon.»

Politidirektoratet og Universitetet i Oslo mener at det ikke er nødvendig med nasjonal særregulering på dette punktet. Universitetet i Oslo uttaler:

«Det finnes i dag en uheldig særnorsk sammenkobling av fødselsnummer og biometriske data som fremgår av personopplysningsloven § 12 samt forarbeidene (Ot.prp. nr. 92 (1998–99) side 114, 1. spalte), jf:

«Bestemmelsen gir en generell regulering av bruk av fødselsnummer og andre entydige identifikasjonsmidler som for eksempel fingeravtrykk og andre biometriske data.»

En tilsvarende regulering finnes ikke i forordningen.

UiO vil fraråde at det lages nasjonale særregler for bruk av biometriske opplysninger, og mener at forordningens alminnelige regler for behandling av sensitive personopplysninger bør gjelde for biometriske opplysninger.»

Helse Bergen HF uttaler at det ikke bør vedtas særnorske regler på dette området uten at det først avklares hvilke konsekvenser slike særregler vil ha for anskaffelser i helsesektoren.

Av de som uttaler seg om innholdet i eventuelle nasjonale særregler om biometriske opplysninger, mener Skattedirektoratet, Forbrukerrådet, Landsforeningen i Norge, Advokatforeningen, Den norske legeforening og Brækhus Advokatfirma DA at gjeldende rett inntil videre bør videreføres. Datatilsynet peker på forskjellene mellom identifikasjonsnumre og biometriske opplysninger, og uttaler:

«Biometri kan brukes til både identifisering og autentisering. Derfor vil biometriske data ofte behandles på en annen måte enn fødselsnummer. Videre vil ulike hensyn gjøre seg gjeldende ettersom de biometriske dataene brukes til identifisering eller autentisering. På denne bakgrunn ber Datatilsynet departementet vurdere behovet for en separat bestemmelse om biometri.»

Det er kun Forbrukerrådet som har uttalt seg om hvorvidt det bør videreføres en særbestemmelse som gir Datatilsynet kompetanse til å pålegge bruk av entydige identifikasjonsmidler. Forbrukerrådet støtter departementets forslag om ikke å videreføre en slik bestemmelse.

Høringsinstansene er delt i synet på om det bør gjelde egne regler om forsendelser som inneholder fødselsnummer eller andre identifikasjonsnumre. Arbeids- og velferdsdirektoratet, Brønnøysundregistrene, Forbrukerrådet, Statens lånekasse for utdanning, Oslo kommune, KS, Kirkerådet, Landsorganisasjonen i Norge og Norges Rederiforbund mener at det fortsatt bør gjelde slike regler. Datatilsynet uttaler:

«Vi er enig med departementet i at regelen også kan følge av forordningens artikkel 5 og 32. Regelen er imidlertid praktisk, og vi foreslår derfor at bestemmelsen likevel videreføres av pedagogiske årsaker.»

Når det gjelder spørsmålet om hvorvidt eventuelle regler om forsendelser bør inneholde spesifikke krav til elektronisk kommunikasjon, mener Arbeids- og velferdsdirektoratet og Brønnøysundregistrene at det ikke bør stilles spesifikke krav til elektronisk kommunikasjon, mens Oslo kommune, Landsorganisasjonen i Norge og Norges Rederiforbund mener at det bør gjelde slike krav. Datatilsynet uttaler at det i tråd med artikkel 87 bør fastsettes flere garantier som gir vern mot misbruk av fødselsnummer og andre entydige identifikasjonsmidler, herunder at regelen i gjeldende personopplysningsforskrift § 2-11 tredje ledd om konfidensialitet ved elektronisk overføring bør videreføres.

Politidirektoratet, Direktoratet for forvaltning og IKT, Advokatforeningen, Juristforbundet og SAMFO – Arbeidsgiverforening for samvirkeforetak mener at det ikke bør videreføres særregler om forsendelser som inneholder fødselsnumre eller andre identifikasjonsnumre. Direktoratet for forvaltning og IKT uttaler:

«Vi er enige med departementet i at det ikke er grunn til å fastsette slike særlige krav til sikringstiltak for overføring av fødselsnumre.

Forordningen forutsetter at sikringstiltak velges basert på risiko i det enkelte tilfelle, i overensstemmelse med kravene i artikkel 32. Forordningens tilnærming, med risikobaserte krav, er etter vårt skjønn fornuftig for å sikre egnede sikringstiltak.

…

En særregulering av én type opplysninger i én sammenheng (overføring) fremstår som en unødig komplisering og dramatisering av skadepotensialet knyttet til konfidensialitetsbrudd for fødselsnummeret.»

9.5 Departementets vurdering

9.5.1 Vilkår for bruk av fødselsnummer og andre entydige identifikasjonsmidler

Departementet er enig med høringsinstansene i at det fortsatt bør gjelde særlige vilkår for bruk av fødselsnummer. Når entydig identifisering er nødvendig, kan fødselsnummer være effektivt for å forhindre forveksling og dermed sikre personopplysningskvaliteten. Samtidig muliggjør fødselsnummeret en sikker identifisering på tvers av systemer, og det legger til rette for enkel sammenstilling av personopplysninger fra forskjellige registre. Departementet foreslår på denne bakgrunn å videreføre gjeldende rett om særlige vilkår for bruk av fødselsnummer på grunnlag av forordningen artikkel 87, se lovforslaget § 12.

Det er etter departementets oppfatning noe uklart hvilke krav forordningen artikkel 87 annet punktum stiller til nasjonal rett. Etter departementets oppfatning må den foreslåtte bestemmelsen om tilleggsvilkår for bruk av fødselsnummer og andre identifikasjonsnumre i seg selv anses som et tiltak som skal verne den registrertes rettigheter og friheter ved behandling av fødselsnummer og andre entydige identifikasjonsnumre i tråd med kravene om «nødvendige garantier for den registrertes rettigheter og friheter i henhold til denne forordning» etter artikkel 87 annet punktum.

Andre entydige identifikasjonsmidler omfatter hovedsakelig biometriske personopplysninger. Biometriske kjennetegn er i stor grad uforanderlige, samtidig som de kan muliggjøre entydig identifikasjon. Etter departementets oppfatning bør også slike opplysninger ha et særlig vern. Et slikt vern følger delvis allerede av forordningens alminnelige regler, ved at behandling av biometriske opplysninger med det formål å entydig identifisere en fysisk person regnes som behandling av særlige kategorier av personopplysninger etter forordningen artikkel 9 nr. 1. Bruken av biometriske opplysninger til identifikasjonsformål er dermed i utgangspunktet forbudt, og kan bare skje i den utstrekning en av unntaksbestemmelsene i artikkel 9 nr. 2 åpner for dette, eventuelt i kombinasjon med nasjonal rett der dette er påkrevet etter artikkel 9 nr. 2. Etter artikkel 9 nr. 2 bokstav a vil imidlertid den registrertes samtykke være tilstrekkelig. Til tross for at behandlingen omfattes av reglene om særlige kategorier av personopplysninger, vil det altså skje en utvidelse av adgangen til å behandle slike identifikasjonsmidler dersom den någjeldende særreguleringen ikke videreføres. Etter departementets vurdering bør adgangen ikke utvides uten en nærmere utredning av hvordan forordningens alminnelige regler vil virke for biometriske identifikasjonsmidler. Med grunnlag i artikkel 9 nr. 4 foreslås det derfor at gjeldende rett videreføres inntil videre, slik at biometrisk identifisering fremdeles skal være betinget av saklig behov for sikker identifisering og at metoden er nødvendig for å oppnå slik identifisering, se lovforslaget § 12 første ledd.

Når det foreslås å videreføre de samme tilleggsvilkårene for behandling av både identifikasjonsnumre og biometriske identifikasjonsmidler, bør behandlingen etter departementets oppfatning inntil videre reguleres i samme bestemmelse, på samme måte som etter gjeldende rett.

9.5.2 Datatilsynets kompetanse til å pålegge bruk av fødselsnummer og andre entydige identifikasjonsmidler. Forskriftshjemmel

Departementet foreslår at særbestemmelsen som gir Datatilsynet kompetanse til å pålegge bruk av fødselsnummer og andre entydige identifikasjonsmidler, ikke videreføres. Bestemmelsen er etter departementets oppfatning overflødig ved siden av forordningens alminnelige regler om pålegg fra tilsynsmyndigheten, jf. artikkel 58 nr. 2 bokstav d.

Adgangen til å gi forskrift om bruk av fødselsnummer og andre entydige identifikasjonsmidler bør etter departementets oppfatning videreføres, se lovforslaget § 12 annet ledd. Forskriftshjemmelen vil for eksempel åpne for bestemmelser som konkretiserer lovens vilkår for bruk av entydige identifikasjonsmidler for nærmere bestemte typer av behandling.

9.5.3 Forsendelser som inneholder fødselsnummer

Høringen har vist at det er delte meninger om hvorvidt det fortsatt bør gjelde særregler om forsendelser som inneholder fødselsnummer. Etter departementets syn bør slike særregler ikke videreføres. Når det gjelder postforsendelser, er departementets oppfatning at forordningens alminnelige regler gjør det tilstrekkelig klart at det ikke er adgang til å la fødselsnummer fremgå utenpå en postforsendelse eller i mottagerfeltet i en vinduskonvolutt. Det vises til at personopplysninger skal behandles på en måte som sikrer tilfredsstillende sikkerhet for at opplysninger ikke kommer på avveie, jf. artikkel 5 nr. 1 bokstav f og 32, og at det ikke skal behandles opplysninger i større utstrekning enn det som er nødvendig for formålet, jf. artikkel 5 nr. 1 bokstav c. Når det gjelder elektronisk overføring, er departementets syn at særregler neppe tilfører noe ved siden av forordningens alminnelige regler om informasjonssikkerhet. Departementet er enig med Direktoratet for forvaltning og IKT i at det fremstår unødig kompliserende å gi særregler om informasjonssikkerhet for én opplysningstype i én behandlingssituasjon. Videre vil eventuelle bestemmelser om informasjonssikkerhet ved elektronisk overføring av fødselsnummer måtte gis en teknologinøytral utforming, noe som begrenser mulighetene for å stille spesifikke krav. Bestemmelsene vil derfor neppe ha vesentlig pedagogisk betydning ved siden av forordningen artikkel 32.