6 Tilgang til opplysninger

6.1 Tilgang til opplysninger for bruk til offisiell statistikk

6.1.1 Gjeldende rett

Gjeldende statistikklov inneholder ingen særskilt regulering av utlevering av opplysninger fra Statistisk sentralbyrå til andre nasjonale statistikkprodusenter for bruk i offisiell statistikk.

6.1.2 Statistikklovutvalgets vurderinger

Statistikklovutvalget uttaler at opplysninger bør kunne utleveres fra Statistisk sentralbyrå til andre nasjonale statistikkprodusenter til bruk i offisiell statistikk. Utvalget foreslår en egen bestemmelse om tilgang til opplysninger for bruk i offisiell statistikk i sitt lovforslag § 3-4. Etter forslaget skal Statistisk sentralbyrå gi tilgang til opplysninger til annen offentlig myndighet i den utstrekning det er nødvendig for offisiell statistikk. Opplysningene skal bare brukes for offisiell statistikk omfattet av det nasjonale statistikkprogrammet, og skal bare gjøres tilgjengelig for personer med tjenstlig behov i forbindelse med slik statistikk.

Det vises for øvrig til utvalgets redegjørelse i NOU 2018: 7 kapittel 8.7.2.

6.1.3 Høringsinstansenes syn

Flere høringsinstanser er positive til utvalgets forslag. Det gjelder blant annet Barne-, ungdoms- og familiedirektoratet, Fiskeridirektoratet, Folkehelseinstituttet, Kunnskapsdepartementet og Skattedirektoratet.

Datatilsynet skriver blant annet at det må sørges for at bestemmelsen samsvarer med personvernforordningens artikler 5, 6 og 9 om krav til rettslig grunnlag.

Statistisk sentralbyrå støtter at loven legger til rette for at byrået kan gi andre offentlige myndigheter tilgang til opplysninger for bruk i offisiell statistikk. Dette vil gi grunnlag for effektiv og samfunnsnyttig statistikkproduksjon og samordning av det nasjonale statistikksystemet.

6.1.4 Departementets vurderinger

Ved utvikling, utarbeiding og formidling av offisiell statistikk bør utgangspunktet være at hver enkelt produsent som i henhold til det nasjonale statistikkprogrammet er tillagt oppgaven med å utarbeide en bestemt statistikk, selv innhenter de nødvendige opplysningene i medhold av egne hjemler for innhenting. Dersom statistikkprodusenter deler data, blir det statistiske systemet mer effektivt. I stedet for at data om de samme fenomenene innhentes og kvalitetssikres flere ganger, er det hensiktsmessig å innhente og bearbeide dataene én gang og deretter dele dem med andre. Det vil redusere den samlede ressursbruken, og kvaliteten vil være mer enhetlig.

Den europeiske statistikkforordningen artikkel 21 åpner for deling av fortrolige data innad i det europeiske statistikksystemet, så fremt dette er nødvendig for effektiv utvikling, utarbeiding og formidling av europeisk statistikk, eller for å forbedre statistikkens kvalitet. Fortrolige data som er innhentet av statistikkbyrået eller annen myndighet, kan oversendes til en annen statistikkprodusent innenfor det europeiske statistikksystemet, herunder Eurostat. Opplysninger bør på samme måte kunne utleveres fra Statistisk sentralbyrå til andre nasjonale statistikkprodusenter til bruk for utvikling, utarbeiding eller formidling av offisiell statistikk.

Departementet deler utvalgets syn om at det innenfor systemet for offisiell statistikk bør etableres mekanismer for å dele data. Statistisk sentralbyrå kan innhente data fra andre produsenter ved bruk av opplysningsplikten. Derfor vil det bare være nødvendig å legge til rette for at Statistisk sentralbyrå gir andre produsenter tilgang til data. Dataene som deles, skal bare kunne brukes til utvikling, utarbeiding eller formidling av offisiell statistikk.

Innenfor systemet for offisiell statistikk bør Statistisk sentralbyrå etter departementets oppfatning kunne gi tilgang til opplysninger uavhengig av hvem opplysningene er hentet fra. Det kan derfor gis tilgang til opplysninger innhentet fra offentlige registre, foretak og privatpersoner, slik også utvalget foreslår.

Departementet er enig med utvalget i at tilgangen til slik informasjon i utgangspunktet bør begrenses til demografiske og sosioøkonomiske bakgrunnsopplysninger, men lovutkastet er ikke begrenset til dette. I prinsippet kan også andre opplysninger, for eksempel særlige kategorier av personopplysninger eller kriminalitetsopplysninger, deles innenfor systemet når det er nødvendig for offisiell statistikk. Helsedatautvalget fremhever i sin rapport Et nytt system for enklere og sikrere tilgang til helsedata opplysninger om landbakgrunn og innvandringskategori, utdanningsnivå og arbeidstilknytning, trygdestatus og inntektsnivå som de viktigste opplysningene som helseforvaltningen trenger tilgang til for helsestatistikk, helseanalyser, kvalitetsindikatorer samt styring og planlegging. Dette er opplysninger som bare vil deles etter lovforslaget § 13 så fremt formålet er utvikling, utarbeiding eller formidling av offisiell statistikk. Departementet er enig i utvalgets forslag om at det skal kunne gis nærmere regler om slik datatilgang i forskrift.

Adgangen til å dele opplysninger innad i systemet for offisiell statistikk gjelder bare opplysninger som Statistisk sentralbyrå innhenter for sine egne statistikker i medhold av lovforslaget § 10. Departementet viser for øvrig til forslaget om at det kan gis forskrift om at byrået i helt spesielle tilfeller kan innhente opplysninger som utelukkende skal brukes av andre produsenter av offisiell statistikk. Dette er nærmere omtalt i kapittel 5.1.

Opplysningene skal som nevnt bare benyttes til utvikling, utarbeiding eller formidling av offisiell statistikk, og de må ikke omfatte mer enn det som er nødvendig for formålet. Departementet foreslår videre at opplysningene bare skal gjøres tilgjengelige for personer med tjenstlig behov i forbindelse med offisiell statistikk. Opplysninger som kan utgjøre en fare for rikets sikkerhet, deles ikke. Regler om statistisk konfidensialitet i lovforslaget § 7, taushetsplikt i § 8 og informasjonssikkerhet i § 9 gjelder for denne typen opplysninger.

Departementet viser til forslag til ny statistikklov § 13.

6.2 Tilgang til opplysninger for statistiske resultater og analyser

6.2.1 Gjeldende rett

Etter statistikkloven § 3-1 bokstav d skal Statistisk sentralbyrå gi opplysninger til statistisk bruk for forskningsformål og for offentlig planlegging innenfor rammen av statistikkloven § 2-5. Statistikkloven § 2-5 bestemmer at annen bruk av opplysninger enn til offisiell statistikk må være godkjent av Datatilsynet og ikke være til skade for rikets sikkerhet.

Datatilsynet har i to vedtak 16. mars 2006 og 11. august 2015 gitt Statistisk sentralbyrå nærmere retningslinjer for utleveringsadgangen. Opplysninger som utleveres til statistisk bruk for offentlig planlegging skal som hovedregel anonymiseres, som er et strengere krav enn for forskning. Til forskning er det mulig å gi tilgang til mikrodata som, enten direkte eller indirekte, kan tilbakeføres til fysisk eller juridisk person, men graden av identifikasjon skal aldri være større enn strengt nødvendig sett i lys av det konkrete formålet. I praksis er tilgangen i dag begrenset til indirekte identifiserbare opplysninger.

Direkte og indirekte identifiserbare opplysninger er underlagt taushetsplikt etter statistikkloven § 2-4. Før slike opplysninger kan utleveres, må Statistisk sentralbyrå fatte vedtak om dispensasjon fra taushetsplikten. Det følger av Datatilsynets vedtak av 11. august 2015 at dispensasjon kan gis «når det finnes rimelig og ikke medfører uforholdsmessig ulempe for andre interesser». Skjønnsvurderingen er lik den som følger av forvaltningsloven § 13 d.

Såkalte grunndata om næringslivet er særskilt regulert i vedtak fra Datatilsynet, og er ikke underlagt taushetsplikt hos Statistisk sentralbyrå. Dette er opplysninger som i all hovedsak er offentlige og gratis tilgjengelige hos Direktoratet for forvaltning og IKT (Difi) og Brønnøysundregistrene.

Statistisk sentralbyrå gir tilgang til data til bruk i forskningsprosjekter etter søknad. Som hovedregel gis tilgang til data bare til byråets egne forskere og forskere ved forskningsinstitusjoner som er forhåndsgodkjente. Virksomheter som faller inn under universitets- og høgskoleloven og retningslinjer for statlig basisfinansiering av forskningsinstitutter, er automatisk godkjent.

Forskningsinstitusjoner som ikke er forhåndsgodkjente, vil likevel kunne få tilgang. Betingelsen er at de gjennomfører prosjekter finansiert av Norges forskningsråd eller andre nasjonale eller internasjonale forskningsprogrammer, eller på oppdrag fra statlig sentralforvaltning som benytter Kunnskapsdepartementets standardavtale for forsknings- og utredningsoppdrag.

Før godkjenning gjør Statistisk sentralbyrå en vurdering av sikkerhetstiltakene i institusjonen basert på egenevaluering. I tillegg ser man på organiseringen av forskningsaktiviteten, herunder praksis og retningslinjer for offentliggjøring av forskningsresultater. Det viktigste kriteriet for godkjenning er at institusjonen kan dokumentere forskerkompetanse og forskningsaktivitet på høyt nivå.

Statistisk sentralbyrå stiller krav om at data som er gjort tilgjengelige, skal slettes ved prosjektslutt. Tillatelse gis for fem år av gangen. Det må søkes særskilt om eventuell videre bruk og oppbevaring av data, herunder oppbevaring som må til for å sikre etterprøvbarhet av analysene.

Institusjonene er selv ansvarlige for at behandlingen skjer i henhold til annet regelverk, først og fremst personopplysningsloven. Det betyr at de må oppfylle enkelte krav for å kunne behandle personopplysninger. Medisinske og helsefaglige forskningsprosjekter må i tillegg innhente forhåndsgodkjenning fra en regional komité for medisinsk og helsefaglig forskningsetikk (REK).

Etter dagens regelverk kan Statistisk sentralbyrå bare tilby anonyme opplysninger til stat eller kommune for bruk i offentlig planlegging. Det strenge kravet til anonymitet gjelder ikke for datasett som bare inneholder opplysninger om personers kjønn, alder, bosted og fødeland. Statistisk sentralbyrå har også gjort et spesifikt unntak fra anonymiseringskravet for opplysninger og tabeller til Folkehelseinstituttets arbeid med folkehelseprofiler.

I hovedsak er det opplysninger fra offentlige registre som utleveres til offentlig planlegging. Det finnes likevel eksempler på at opplysninger byrået har hentet inn direkte fra privatpersoner eller foretak, utleveres for planleggingsformål.

Tilgang gis på basis av skriftlige avtaler, der det presiseres at opplysningene bare er til «statistisk bruk i offentlig planlegging». Det innebærer at opplysningene bare skal brukes på et aggregert nivå, og at forsøk på rekonstruksjon av identitet ikke er tillatt.

6.2.2 Statistikklovutvalgets vurderinger

Utvalget understreker at det datamaterialet Statistisk sentralbyrå samler inn og bearbeider for statistikkformål, utgjør en betydelig ressurs som også andre bør kunne nyttiggjøre seg. Utvalget mener det er fullt mulig å gi vesentlig videre tilgang til data enn i dag, og samtidig ta nødvendig hensyn til oppgavegivernes interesser, som personvern og kommersielle interesser. Utvalget peker spesielt på at forskningsinstitusjoner med dokumentert evne til å håndtere data på en sikker måte, bør få lettere, enklere og billigere tilgang. Offentlige myndigheter med statistikk- og analysebehov bør også få tilgang til mer data enn i dag. Utvalget peker videre på at ny teknologi kan bidra til bedre tilgang, for eksempel ved å gi brukere sikker tilgang til data på en analyseplattform.

Utvalget foreslår på denne bakgrunn at Statistisk sentralbyrå skal gi tilgang til opplysninger for utarbeiding av statistiske resultater og analyse når det ikke medfører uforholdsmessig ulempe for andre interesser. Utvalget viser til at dagens statistikklov i praksis avgrenser tilgang til formålene forskning og offentlig planlegging. Det er etter utvalgets syn ikke hensiktsmessig å beskrive relevante formål så konkret i loven, blant annet fordi det er vanskelig å gi gode definisjoner av for eksempel begrepet «offentlig planlegging». Loven bør i stedet åpne for tilgang for utarbeiding av «statistiske resultater og analyser», som er den avgrensningen som følger av det europeiske statistikkregelverket. Statistisk og analytisk bruk av data til forskning vil fortsatt være et av de viktigste bruksområdene. Det er viktig å legge til rette for at kvantitative forskningsprosjekter både i privat og offentlig regi får best mulig tilgang til data fra Statistisk sentralbyrå.

Utvalget foreslår at Statistisk sentralbyrå skal gjøre data tilgjengelig for ulike former for statistikk-, utrednings- og analyseformål i offentlig forvaltning. Opplysningene må ikke brukes som grunnlag for enkeltvedtak, kontroll eller annen myndighetsutøvelse.

Data fra Statistisk sentralbyrå bør etter utvalgets forslag også kunne benyttes for å utvikle generelle systemer og algoritmer for automatisert saksbehandling, persontilpassede tjenester eller verktøy for å målrette kontrolltiltak. Opplysninger om en enkeltperson eller virksomhet kan imidlertid ikke brukes for å tilpasse saksbehandlingen til denne konkrete personen eller virksomheten.

Bestemmelsene i dagens statistikklov om utlevering av opplysninger reflekterer i liten grad at data kan ha kommersiell verdi eller være beskyttet av immaterielle rettigheter. Dersom tilgang til opplysningene er i konflikt med noens rettigheter etter åndsverksloven eller annen lovgivning, bør det etter utvalgets syn innhentes samtykke fra rettighetshaver. Problemstillingen vil for eksempel kunne oppstå når private registre og databaser inngår i grunnlaget for offisiell statistikk.

Utvalget foreslår videre at opplysningene det skal gis tilgang til, ikke skal inneholde større grad av identifikasjon enn det som er nødvendig for det aktuelle formålet. Dette prinsippet bør anvendes likt enten det gjelder person- eller virksomhetsopplysninger.

Utvalget viser til at i mange tilfeller vil anonyme opplysninger være tilstrekkelige for det aktuelle formålet, men det bør ikke være et absolutt krav for offentlige myndigheters tilgang slik det i stor grad er i dag. Kjennskap til den statistiske enhetens identitet vil normalt ikke være nødvendig for statistiske og analytiske formål, men det kan være en forutsetning for å gjennomføre kobling mellom ulike datakilder.

Opplysningenes opprinnelse og hvordan de er regulert i annet regelverk, må også inngå i den helhetlige vurderingen. På generelt grunnlag bør det etter utvalgets syn være høyere terskel for å gi tilgang til opplysninger som er innhentet direkte fra privatpersoner og foretak, enn for opplysninger innhentet fra administrative registre.

Utvalget foreslår at regler om oppbevaring og sletting ikke bør lovfestes, men kan oppstilles som vilkår for tilgang. Tilgangen må vare så lenge behovet er tilstede. Det er viktig å legge til rette for oppbevaring av data av hensyn til krav om etterprøvbarhet av analyseresultatene. Slettekrav må heller ikke være til hinder for gjenbruk av opplysninger i prosjekter med lignende formål og samme databehov, slik at kvalitetsforbedringer og merverdi som er tilføyd datasettet, kan nyttiggjøres av flere.

Etter forslaget skal tilgang gis etter søknad til Statistisk sentralbyrå, som skal foreta en konkret vurdering i hvert enkelt tilfelle. Vurderingen vil i stor grad bygge på samme temaer som forvaltningsloven § 13 d om utlevering av opplysninger til forskning. Det skal gis anledning til å påklage avslag til overordnet departement, slik at vurderingene kan kvalitetssikres i to ledd. En slik klageadgang vil medføre en endring fra dagens situasjon, der tilgang reguleres gjennom avtaler med Statistisk sentralbyrå. Statistisk sentralbyrå praktiserer en ordning med forhåndsgodkjenning av forskningsinstitusjoner. Denne ordningen bør videreføres og baseres på institusjonens egenvurdering av informasjonssikkerhet, formål og kompetanse. Godkjenningsordningen bør etter utvalgets syn ikke være begrenset til forskningsinstitusjoner, men bør også kunne omfatte for eksempel statistikk- og analysemiljøer i offentlig forvaltning og i privat sektor.

Behovet for å videreføre byråets ordning med forhåndsgodkjenning av institusjoner, bør vurderes i lys av tekniske løsninger for hvordan opplysninger gjøres tilgjengelig. Eksempelvis bør ikke en videre utbredelse av løsningen som er utviklet for Oslo kommune, kreve godkjenning av den enkelte kommune, i og med at løsningen i praksis kun gir tilgang til anonyme opplysninger. Tilsvarende vil utvikling av mer avanserte analyseplattformer med fjerntilgang redusere behovet for godkjenning av den enkelte institusjon som gis tilgang.

Utvalget foreslår at prinsippet om at betalingen ikke skal overstige de faktiske kostnadene ved å gi tilgang, bør forankres direkte i loven eller i forskrift. Tid som medgår som del av den alminnelige kontroll- og veiledningsplikten i forvaltningen, kan det ikke tas betalt for.

Det vises for øvrig til statistikklovutvalgets redegjørelse i NOU 2018: 7 kapittel 9.4.2.

6.2.3 Høringsinstansenes syn

Høringsinstansene er gjennomgående positive til utvalgets forslag om mer deling av data.

Forskningsinstituttenes Fellesarena skriver blant annet at de støtter utvalgets syn om at dersom private aktører har nødvendig hjemmelsgrunnlag og søker om tilgang til identifiserbare data, bør tilgang gis, men bare dersom det er mulig å ilegge og følge opp sanksjoner hvis vilkårene for tilgang brytes.

Helsedirektoratet skriver blant annet at data som er samlet inn og tilrettelagt av Statistisk sentralbyrå for statistikkformål, også bør kunne brukes til annen analyse, og at offentlige myndigheter bør kunne gis tilgang til data som er relevante og tilstrekkelige for deres samfunnsoppdrag. Det er etter direktoratets vurdering svært viktig at behovet for data til planleggings- og styringsformål ivaretas.

Kommunal- og moderniseringsdepartementet (KMD) er positive til at tilgangen til Statistisk sentralbyrås datamateriale gjøres mer tilgjengelig for analyseformål. Det er også viktig at tilgangen gjøres lettere, enklere, billigere og mer forutsigbar. Departementet skriver videre at i tillegg til å gi forskningsinstitusjoner økt tilgang er de opptatt av at også statistikk- og analysemiljøer i privat sektor som er kommersielle, får økt tilgang. En utvidet tilgang vil også stimulere til økt konkurranse om oppdrag. KMD anbefaler at det vurderes om en liknende ordning som «ministerieordningen» i Danmark kan fungere i Norge.

Kunnskapsdepartementet støtter utvalgets forslag om å gi en videre tilgang til data enn i dag og skriver blant annet at økt tilgang til offentlige data er viktig for effektivisering, innovasjon, næringsutvikling og et åpent demokratisk samfunn.

Statistisk sentralbyrå støtter utvalgets forslag om at flere enn i dag bør få vurdert behovet for tilgang til data til statistisk bruk, forskning og analyse.

Datatilsynet, Helsedirektoratet og Kommunal- og moderniseringsdepartementet peker på at personvernhensyn må vurderes grundig.

Flere høringsinstanser er enig med utvalget i at tilgjengeligheten til data til forskning må forbedres når det gjelder prising, saksbehandlingstid og transparens i kriterier for å vurdere tilgang og bruk av data. Dette gjelder blant annet Abelia, Akademikerne, Direktoratet for e-helse, Folkehelseinstituttet, Forskningsinstituttenes fellesarena, Frischsenteret, Handelshøyskolen ved Universitetet i Stavanger, Kommunal- og moderniseringsdepartementet, Kompas-Forum og Panda analyse, Kompetanse Norge, NIBIO, NIFU, NTNU og Norges Forskningsråd.

Forskningsinstituttenes Fellesarena mener samtidig at utvalget ikke går langt nok, og at det burde vært trukket opp en hovedregel om at anonyme og ikke-sensitive data er åpent tilgjengelige.

De nasjonale forskningsetiske komiteene (FEK) anbefaler at Statistisk sentralbyrå ved deling og sammenkobling av data må ta hensyn til menneskeverd og personvern. Tilgang til helsedata må etter deres syn reguleres likt uavhengig av hvilket regelverk som hjemler tilgangen. FEK anbefaler at tilgangsbestemmelsen i helseregisterloven med forskrifter fortrinnsvis bør gå foran statistikkloven.

Direktoratet for e-helse skriver:

«Direktoratet for e-helse mener videre at det er viktig å ha tilgang til korrekte demografiske og sosioøkonomiske opplysninger på individnivå for å kunne analysere helsedata med hensyn til demografiske og sosioøkonomiske forhold, både for statistikk, helseanalyser og forskning.

Helseanalyseplattformen, slik den er beskrevet i konseptvalgutredningen, skal være en sikker plattform for behandling av sensitive personopplysninger til forskningsformål. Intensjonen i Statistikklovutvalgets rapport oppfylles ved at kopier av utvalgte datasett med sosioøkonomiske og demografiske data lagres på Helseanalyseplattformen. I det videre lovarbeidet er det viktig å sikre at dette formaliseres tilstrekkelig.

Det vil være uheldig om for eksempel forskere må søke om tilgang til slike data i flere omganger eller dersom helseregistrene ble utvidet med sosioøkonomiske data for å unngå å hente data fra SSB.

[…] Det er viktig at bestemmelsen [§ 3-6] gir tilstrekkelig hjemmel for utlevering av SSBs data til Helseanalyseplattformen.»

Folkehelseinstituttet skriver blant annet:

«Demografiske og sosioøkonomiske bakgrunnsdata er nøkkelelementer i mange analyser som er basert på helseregistre. Det er rasjonelt å gjenbruke opplysninger SSB allerede har samlet inn fremfor å øke rapporteringsbyrden ved å innhente tilsvarende data fra helse- og omsorgstjenestene. Ny registrering av de samme opplysningene vil ikke bare gi unødvendig merarbeid for helsepersonell, men også for registerforvaltningen, samtidig som dobbeltarbeidet ikke innebærer noen gevinst i form av personvern eller informasjonssikkerhet.»

Frischsenteret peker blant annet på forslaget i § 3-6 om at virksomhetsidentifiserende opplysninger skal gis samme vern som personidentifiserende opplysninger. I dag beskyttes fysiske personer mot identifikasjon «til skade for denne», mens virksomheter kun beskyttes mot «urimelig skade». Denne høringsinstansen er bekymret for at forslaget kan gjøre det vanskeligere å foreta analyser som ofte er av særlig interesse for myndighetene, som effekter av tiltak, forklaring av sykefravær og uførhet, ledighet og arbeidsmarked.

Folkehelseinstituttet viser til at utvalget skriver at dagens standardvilkår for tildeling av data bør gjennomgås. Folkehelseinstituttet trekker særlig frem dagens forbud mot overføring av individdata som forvaltes av Statistisk sentralbyrå til samarbeidspartnere i internasjonale forskningsprosjekter som problematisk. Et slikt generelt forbud kan etter Folkehelseinstituttets syn ikke videreføres, og spesielt etter at EUs personvernforordning er implementert. Tyngende vilkår som ikke fremstår som «forholdsmessige og saklige» i den konkrete saken, bør ifølge Folkehelseinstituttet kunne påklages til departementet etter reglene i forvaltningsloven, på lik linje med avslag.

Helsedirektoratet skriver blant annet:

«Helsedirektoratet mener at det, både av personvernhensyn og av hensyn til allmennhetens tillit til det offentliges behandling av sensitive opplysninger, bør stilles klare skranker for sekundærbruk av opplysninger som er innsamlet for statistiske formål. Helsedirektoratet viser i den forbindelse til at det i forskriftene for flere nasjonale helseregistre er gitt egne bestemmelser om forbud mot bruk av registeropplysninger til konkrete formål. Som eksempel kan nevnes Norsk pasientregisterforskriften § 1-3, der det er slått fast at opplysningene i registeret ikke kan brukes som «grunnlag for enkeltvedtak eller andre individuelle beslutninger eller tiltak rettet mot de registrerte», og at opplysningene i registeret ikke kan brukes i forsikringsøyemed, av påtalemyndighet, domstol eller arbeidsgivere selv om den registrerte har samtykket.»

Forslaget om at datamateriale som Statistisk sentralbyrå samler inn for statistikkformål i større grad skal kunne gjøres tilgjengelig for analyseformål utenfor byrået, sammen med forslaget om at lovbestemt taushetsplikt ikke lenger skal være til hinder for at byrået kan innhente taushetsbelagte opplysninger, aktualiserer ifølge Helsedirektoratet flere spørsmål som gjelder forholdet til taushetsplikten etter helselovene og forvaltning av opplysningene som er registrert i helseregistre.

Kunnskapsdepartementet er bekymret for at formuleringen «statistiske resultater og analyser» i forslag til § 3-6 kan gi en for snever eller uklar tolkning av loven i praksis:

«Vi ber derfor om at det vurderes om formuleringer som forskning, vitenskapelige formål eller lignende formuleringer også bør tas inn i bestemmelsen. Det forutsettes at personvernhensyn ivaretas, og at data om enkeltpersoner utleveres uten identifiserende kjennetegn, med mindre det foreligger samtykke eller lovhjemmel.»

NSD – Norsk senter for forskningsdata mener utvalgets vurderinger om sletting ikke tar høyde for at kravet om forhåndsgodkjenning av behandlingsgrunnlag bortfaller når den nye personopplysningsloven trer i kraft. De mener dette kan bety mer byråkrati og kostnader for prosjekter som ikke får dekket sine behov gjennom dagens løsning for fjerntilgang, og at det er viktig at byrået legger opp til fleksible løsninger for forskning i tråd med personvernforordningen og norsk personopplysningslov.

Kripos viser, med støtte fra Politidirektoratet, til at § 3-6 tredje ledd gir anledning til å tilgjengeliggjøre direkte identifiserbare opplysninger for sammenstilling og annen behandling. Kripos skriver videre:

«I henhold til tredje ledd tredje punktum skal direkte identifiserbare opplysninger slettes så snart sammenstillingen er gjennomført. Det gis imidlertid ikke anvisning på sletting av direkte identifiserbare opplysninger som behandles for andre formål. Slik Kripos ser det, bør det vurderes om bestemmelsen bør inneholde anvisning om at slike opplysninger skal slettes når formålet med behandlingen er oppfylt.»

Politiets sikkerhetstjeneste (PST) støtter innstillingens forslag om at hensyn til rikets sikkerhet bør være ett av momentene som vurderes ved forespørsler om deling av datasett. Det kan ifølge PST tenkes tilfeller hvor hele eller deler av datasettene som Statistisk sentralbyrå forvalter, bør skjermes av hensyn til rikets selvstendighet og sikkerhet og andre vitale nasjonale sikkerhetsinteresser fordi de er gradert i henhold til sikkerhetsloven. Slike tilfeller kan oppstå enten fordi datasettet inkluderer svært spesifikke uttrekk av informasjon, eller fordi datasettet er svært omfattende. PST skriver videre:

«Av denne grunn anbefaler PST at deling av datamateriale som samles inn og bearbeides av SSB, bare bør skje etter at den instansen som eier informasjonen (enten det er SSB eller en samarbeidende institusjon), har foretatt en tilfredsstillende verdivurdering av datamaterialet. Deling av materiale som vurderes å være gradert i henhold til Sikkerhetsloven, bør dermed skjermes og kan bare deles med aktører som er klarert og autorisert til å motta slik informasjon, og som har tjenstlig behov for informasjonen.

Av samme årsaker støtter PST utvalgets forslag om å inkludere bestemmelser om informasjonssikkerhet i lovteksten som omfatter alle opplysninger, og at bestemmelsene også omfatter tilgangsstyring og forvaltning av og kontroll med informasjonssikkerhetsregimet.»

Statistisk sentralbyrå skriver blant annet:

«SSB har strenge kontrollmekanismer til eksisterende ordning for utlån av data og stiller krav til systemer og rutiner for informasjonssikkerhet fra mottakerne av forskningsdata. På tross av de iverksatte tiltakene, har fysisk utlån en iboende risiko for at sensitive opplysninger kan komme på avveie, som det er ønskelig å komme bort fra. Det er oppdaget flere brudd på retningslinjer for tilgang til data fra eksterne brukere. Alvorlige brudd har ført til at SSB har sett seg nødt til å stoppe utlån til institusjoner i en periode.»

Statistisk sentralbyrå viser til det arbeidet som foregår for å gi tilgang til data, og til utvalgets drøfting av behovet for å se spørsmålet om tilgang til data fra byrået til forskning, statistikk og analyse i sammenheng med andre initiativer i forvaltningen for tilrettelegging av data for slike formål.

Forskningsinstituttenes Fellesarena støtter utvalgets forslag om at det bør gis anledning til å påklage avslag til overordnet departement slik at vurderingene kan kvalitetssikres i to ledd. Folkehelseinstituttet og Helsedirektoratet mener klageadgang ved avslag på søknad om tilgang til data til overordnet departement bør fremgå direkte av ny § 3-6.

Datatilsynet skriver om § 3-6:

«I § 3-6 utvides tilgangen for SSB og andre myndigheter og private til å gjelde statistiske resultater og analyser, herunder forskning. Det går ikke frem av loven om dette er andre opplysninger enn de som er innsamlet i medhold av opplysningsplikt for utarbeiding av offisiell statistikk og som omtales i § 3-4. Forskjellen på de to bestemmelsene er at tilgangen etter 3-4 er begrenset til å prioritere offentlige myndigheters behov for å utarbeide offisiell statistikk mens den siste bestemmelsen i § 3-6 inneholder enkelte skranker for utlevering i form av tidsbegrensning, interesseavveininger, grad av identifikasjon og mulighet for bruk av vilkår for andre formål enn offisiell statistikk. Også her må det skilles mellom hvilke kategorier opplysninger som kan utleveres for konkrete formål.»

Flere av høringsinstansene har merknader som behandles i tilknytning til vurderingen av forslaget.

6.2.4 Departementets vurderinger

6.2.4.1 Innledning

Departementet deler utvalgets syn om at datamaterialet som er samlet inn og bearbeidet av Statistisk sentralbyrå for statistikkformål, er en verdifull ressurs som i størst mulig grad bør utnyttes også til andre statistikk- og analyseformål. Opplysningene som Statistisk sentralbyrå innhenter, bør derfor kunne gjøres tilgjengelige i større grad enn i dag. Samtidig må blant annet hensynet til personvern ivaretas på en betryggende måte. Dette kan tale for å gå skrittvis frem med hensyn til å utvide tilgangen for andre.

Departementet foreslår at andre kan gis tilgang til opplysninger fra Statistisk sentralbyrå når opplysningene skal brukes til statistiske resultater og analyser, herunder forskning, og «det ikke medfører uforholdsmessig ulempe for andre interesser». Dette er i samsvar med utvalgets forslag, og gir anvisning på en bred vurdering før det gis tilgang. Det er viktig at den som får tilgang, har en dokumentert evne til å håndtere dataene på en sikker måte. I vurderingen av «uforholdsmessig ulempe for andre interesser» inngår også for eksempel hensynet til personvern, til beskyttelse av kommersielle interesser og til nasjonale forsvars- og sikkerhetsinteresser. Departementet foreslår noen flere begrensninger i tilgangen til opplysninger enn det som følger av utvalgets forslag.

Det må skilles mellom identifiserbare og anonyme opplysninger. Tilgang til anonyme opplysninger reguleres i forslaget til § 15, mens omtalen i dette kapitlet gjelder identifiserbare opplysninger. Begrepet identifiserbare opplysninger dekker en skala fra tilnærmet anonyme opplysninger til direkte identifiserbare opplysninger som underlegges en særlig restriktiv regulering. Normalt vil opplysninger gjøres tilgjengelige i en indirekte identifiserbar form, noe som innebærer at direkte identifiserende kjennetegn er fjernet og at detaljeringsgraden reflekterer behovet knyttet til det konkrete formålet med behandlingen. Dette vil være i samsvar med prinsippet om dataminimering, jf. personvernforordningen artikkel 5 nr. 1 bokstav c, som innebærer at opplysningene skal være adekvate, relevante og begrenset til det som er nødvendig for formålet.

6.2.4.2 Hva kan opplysningene brukes til?

Den europeiske statistikkforordningens regler om behandling av fortrolige data setter grenser for videre bruk av opplysninger hentet inn for statistiske formål. Dette omtales ofte som statistisk konfidensialitet. Som fortrolige data regnes data som gjør det mulig å identifisere statistiske enheter direkte eller indirekte og dermed å avsløre enkeltopplysninger. Statistiske enheter omfatter både fysiske og juridiske personer. For å avgjøre om en statistisk enhet kan identifiseres, skal alle relevante midler en tredjemann med rimelighet kan tenkes å ta i bruk for å identifisere den statistiske enheten, tas i betraktning, jf. statistikkforordningen artikkel 3 nr. 7. Artikkel 2 nr. 1 bokstav e definerer statistisk konfidensialitet som forbud mot bruk av de innhentede dataene for ikke-statistiske formål og mot urettmessig offentliggjøring av dataene. Prinsippet gjelder uavhengig av om opplysningene er innhentet direkte for statistiske formål eller indirekte fra administrative kilder. Begrepet «til bruk for statistiske formål» defineres i forordningen artikkel 3 nr. 8 som at opplysningene brukes utelukkende til utvikling og utarbeiding av statistiske resultater og analyser.

Opplysninger innhentet for europeisk statistikk, som statistikkforordningen pålegger Norge å utarbeide, kan dermed bare brukes til utvikling og utarbeiding av statistiske resultater og analyser, herunder for å utføre statistiske analyser for vitenskapelige formål, jf. artikkel 23. Disse prinsippene er generelle, og departementet mener derfor at de bør gjelde også for andre opplysninger som er innhentet for offisiell statistikk. Etter departementets oppfatning innebærer dette også at det ikke kan gis tilgang til opplysninger når hensikten er å legge opplysningene inn i andre registre. I slike tilfeller vil Statistisk sentralbyrå ikke ha tilstrekkelig kontroll over videre bruk.

I forordningens fortale punkt 27 gis noen eksempler på bruksområder som åpenbart faller utenfor begrepet «statistisk bruk». Her står det at bruk av fortrolige data for formål som ikke er utelukkende statistiske, for eksempel administrative, rettslige eller skattemessige formål, eller til kontroll av statistiske enheter, bør være strengt forbudt. Opplysningene kan derfor ikke brukes til å påvirke rettsstillingen til den opplysningene gjelder. Opplysningene kan benyttes til å utvikle generelle systemer og algoritmer som kan inngå i verktøy for å utnytte ressursene i en offentlig myndighet på en mest mulig effektiv måte. Opplysninger om en enkeltperson eller virksomhet kan imidlertid ikke brukes for å tilpasse saksbehandlingen til denne konkrete personen eller virksomheten.

At opplysningene ikke kan gjøres tilgjengelig for annet enn utarbeiding av statistiske resultater og analyser, herunder forskning, er viktig for den videre vurderingen av hvilke opplysninger som bør gjøres tilgjengelig og for hvem.

6.2.4.3 Hvem bør gis tilgang til opplysninger fra Statistisk sentralbyrå?

I dag er tilgang til opplysninger begrenset til forskningsinstitusjoner og offentlige myndigheter. Utvalget foreslår at restriksjonen på hvem som kan søke om tilgang, fjernes, og at flere bør gis anledning til å få vurdert behovet for tilgang til opplysninger for utarbeiding av statistiske resultater og analyser. Departementet mener det bør åpnes for noe videre tilgang enn i dag, men går ikke like langt som utvalget.

Departementet legger til grunn at det fortsatt skal være vid adgang til å gi forskere tilgang til opplysninger, etter en konkret vurdering. Forskningsinstitusjoner er underlagt strenge regler om behandling av opplysningene de mottar. I likhet med i dag, må personer som får tilgang til opplysninger i medhold av lovforslaget § 14, underlegges samme taushetsplikt som gjelder for ansatte i Statistisk sentralbyrå. Departementet foreslår derfor at taushetsplikten etter lovforslaget § 8 også skal gjelde for de som får tilgang til opplysninger i medhold av § 14.

Dette ligger også til grunn for utvalgets forslag. Utvalget peker samtidig på at forskningsinstitusjoner bør få lettere, enklere og billigere tilgang til opplysninger fra Statistisk sentralbyrå enn i dag. Utvalget uttaler i kapittel 9.4.2, på side 97 i utredningen, blant annet:

«Medlemmer av utvalgets referansegruppe har uttrykt bekymring for tilgangen til data fra Statistisk sentralbyrå. Utvalget har også mottatt henvendelser fra institusjoner og organisasjoner som uttrykker at tilgangen er vanskelig, tidkrevende, uforutsigbar og kostbar. Det må gjennomføres tiltak både for å redusere brukerkostnadene, korte ned saksbehandlingstiden, og å øke forutsigbarheten for vilkår og tilgang. Byrået bør harmonisere tidsbegrensninger, for eksempel femårsfristen beskrevet ovenfor, og andre vilkår med kravene som er stilt av forskningsetiske- og personvernmyndigheter. Dette bør gjøres raskt og uavhengig av det pågående lovarbeidet.»

Også flere høringsinstanser peker på at forskningsinstitusjoner bør få lettere, enklere og billigere tilgang til opplysninger fra Statistisk sentralbyrå. Blant annet skriver Forskningsinstituttenes Fellesarena:

«FFA støtter utvalgets forslag om at spesielt forskningsinstitusjoner med dokumentert evne til å håndtere data på en sikker måte bør få lettere, enklere og billigere tilgang til data. Utvalgets forslag er i kjernen av de momentene FFA og UHR tok opp med lovutvalget underveis i deres arbeid. Tilgjengeligheten til data til forskning må forbedres vesentlig, både når det gjelder prising, saksbehandlingstid og transparens i kriterier for å vurdere tilgang og bruk av data. Prissettingen må bli mer transparent.»

Departementet mener det er et viktig å sikre effektiv veiledning og behandling av søknader om tilgang til data, og at saksgangen bør være forutsigbar og mest mulig transparent, se nærmere omtale i kapittel 6.2.4.6 nedenfor.

Departementet er enig med utvalget og mange høringsinstanser i at offentlige myndigheter bør få økt tilgang til opplysninger til statistisk og analytisk bruk. Offentlige myndigheter har generelt gode systemer for å håndtere taushetsbelagt informasjon slik at opplysningene ikke kommer på avveie. Departementet foreslår derfor at offentlige myndigheter skal kunne gis tilgang til opplysninger. Med offentlige myndigheter menes både statlige, fylkeskommunale og kommunale myndigheter. Andre eksempler på offentlige myndigheter er Norges Bank og Riksrevisjonen. Særlovsselskaper eller selskaper som eies av det offentlige, bør etter departementets syn ikke omfattes.

Dersom en offentlig myndighet setter ut et analyseoppdrag til andre, vil den offentlige myndigheten kunne få tilgang og kunne gi opplysningene videre til den som utfører oppdraget på den offentlige myndighetens vegne. Det må fremgå av søknaden om tilgang at opplysningene skal gis videre, hvem opplysningene skal gis videre til og hvordan videreformidlingen skal skje. Den som får opplysningene vil da ha samme taushetsplikt som den offentlige myndigheten de utfører oppdrag på vegne av. Den offentlige myndigheten må forsikre seg om og ta ansvar for at den som utfører oppdraget, er i stand til å behandle opplysningene på en trygg måte og overholde taushetsplikten. Data til statistikk- og analyseformål til internasjonale organisasjoner med grunnlag i folkerettslig avtale, som for eksempel FN og OECD, vil være omfattet av forslaget. Det samme gjelder utveksling mellom nasjonale statistikkmyndigheter, slik det for eksempel gjøres på skandinavisk nivå for å få best mulig datagrunnlag for pendlerstatistikk.

Når Statistisk sentralbyrå vurderer om noen bør gis tilgang til opplysninger etter lovforslaget § 14, vil ett av vurderingstemaene være om den som gis tilgang har en dokumentert evne til å håndtere dataene på en sikker måte og at opplysningene bare vil bli benyttet til utarbeiding av statistiske resultater og analyser. I utgangspunktet kan også mange private virksomheter håndtere taushetsbelagt informasjon på en betryggende måte. En god del private virksomheter har likevel ikke samme erfaring i å håndtere taushetsbelagt informasjon, og det vil derfor være større risiko for at opplysninger kommer på avveie. Når opplysninger skal brukes til statistiske resultater og analyser, vil det som oftest være nødvendig å gi tilgang til en betydelig mengde opplysninger. Etter departementets oppfatning vil stor spredning av opplysninger i seg selv øke risikoen for at opplysningene kan komme på avveie. Dette hensynet taler for å begrense gruppen av dem som kan gis tilgang til opplysninger fra Statistisk sentralbyrå.

Departementet foreslår på denne bakgrunn at tilgangen til opplysninger ved forskrift begrenses til forskere og forskningsinstitusjoner og offentlige myndigheter for utarbeiding av statistiske resultater og analyser. Departementets lovforslag er ikke begrenset til norske forskere, forskningsinstitusjoner eller offentlige myndigheter. På bakgrunn av risikoen for at opplysningene det gis tilgang til skal komme på avveie, vil det likevel som hovedregel ikke gis tilgang til opplysninger for bruk utenfor Norge. Unntak vil gjelde blant annet når dette er nødvendig for ivaretakelse av internasjonale statistikkforpliktelser.

Departementet viser til at det pågår et betydelig arbeid med å utvikle nye teknologiske plattformer for å gi tilgang til data. Nye nasjonale og internasjonale løsninger gjør slik deling sikrere mot at de kan misbrukes eller komme på avveie. Med sikrere løsninger vil også kretsen av mottakere kunne utvides, se også nærmere omtale under kapittel 6.2.4.5. For å sikre at det er mulig å gå skrittvis frem, foreslår departementet en forskriftshjemmel som gir departementet mulighet for å avgrense kretsen av hvem som kan gis tilgang.

Enkelte høringsinstanser mener det bør komme klarere frem av lovteksten at det også kan gis tilgang til opplysninger for forskningsformål. Departementet er enig i dette, og foreslår en presisering i lovforslaget § 14 første ledd.

6.2.4.4 Hvilke opplysninger bør Statistisk sentralbyrå gi tilgang til?

Spørsmålet om hvilke opplysninger Statistisk sentralbyrå skal kunne gi tilgang til, må vurderes sammen med hvem byrået skal kunne gi opplysninger til. Departementet foreslår at tilgangen begrenses til forskere og offentlige myndigheter, jf. kapittel 6.2.4.3 ovenfor. Departementet begrenser dermed kretsen av mulige mottakere sammenlignet med utvalgets forslag.

Departementet foreslår i likhet med utvalget at det skal kunne gis tilgang til opplysninger «når det ikke medfører uforholdsmessig ulempe for andre interesser». Blant disse interessene inngår blant annet hensyn til personvern og til å bevare tilliten til Statistisk sentralbyrå, men det ligger ikke absolutte begrensninger på hvilke typer opplysninger det kan gis tilgang til. Det kan gis tilgang til opplysninger om virksomheter og enkeltpersoner (personopplysninger). Det kan etter utvalgets forslag også gis tilgang til særlige kategorier av personopplysninger som nevnt i personvernforordningen artikkel 9, for eksempel opplysninger om helse og fagforeningsmedlemskap. Etter departementets oppfatning vil imidlertid opplysningenes sensitivitet være ett av forholdene som må inngå i vurderingen av om tilgang skal gis.

Etter lovforslaget § 10 skal Statistisk sentralbyrå uten hinder av taushetsplikt kunne innhente opplysninger som er nødvendige for utvikling, utarbeiding eller formidling av offisiell statistikk. Forslaget innebærer blant annet at Statistisk sentralbyrå vil kunne innhente helseopplysninger fra helseregistre i den utstrekning det er nødvendig for offisiell statistikk, noe byrået ikke har adgang til etter gjeldende statistikklov. Departementet foreslår at Statistisk sentralbyrås tilgang til helseopplysninger fra helseregistre begrenses til de lovbestemte helseregistrene, jf. kapittel 5.1.4.4. Helsedirektoratet peker i sin høringsuttalelse blant annet på at forslaget om at datamateriale som Statistisk sentralbyrå samler inn for statistikkformål, i større grad skal kunne gjøres tilgjengelig for analyseformål utenfor byrået, sammen med forslaget om at lovbestemt taushetsplikt ikke lenger skal være til hinder for at Statistisk sentralbyrå kan innhente taushetsbelagte opplysninger, aktualiserer flere spørsmål som gjelder forholdet til taushetsplikten etter helselovene og forvaltning av opplysningene som er registrert i helseregistre.

Departementet viser til at det følger av helseregisterloven § 17 at enhver som behandler helseopplysninger etter denne loven, har taushetsplikt etter helsepersonelloven §§ 21 flg. Etter helsepersonelloven § 21 skal helsepersonell hindre at andre får adgang eller kjennskap til opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell. Helsepersonelloven § 23 nr. 6 bestemmer at taushetsplikten etter § 21 ikke er til hinder for at opplysningene gis videre etter regler fastsatt i lov eller i medhold av lov når det er uttrykkelig fastsatt eller klart forutsatt at taushetsplikt ikke skal gjelde. Etter forslaget til statistikkloven § 10 følger det blant annet at Statistisk sentralbyrå kan kreve helseopplysninger. Når opplysninger er gitt videre til Statistisk sentralbyrå i medhold av lov, er det reglene om taushetsplikt og unntak fra taushetsplikt i statistikkloven som gjelder for disse opplysningene. Etter departementets oppfatning er helseopplysninger fra helseregistre likevel av en så sensitiv karakter at det kan reises spørsmål ved om andre bør gis tilgang til slike opplysninger fra Statistisk sentralbyrå. Opplysninger i helseregistre skiller seg fra andre typer opplysninger blant annet ved at den registrerte kan reservere seg mot bestemte typer bruk av opplysningene. Det må sikres at Statistisk sentralbyrå ikke gir andre tilgang til helseopplysninger i strid med slike reservasjoner. Dette krever ytterligere utredning. Inntil dette er gjort, foreslår departementet at Statistisk sentralbyrå ikke skal gi andre tilgang til helseopplysninger byrået har mottatt fra helseregistre. Regler om dette foreslås tatt inn i forskrift, jf. lovforslaget § 14 sjette ledd. Departementet viser også til at både Statistisk sentralbyrå og helsemyndighetene arbeider med et nytt system for enklere og sikrere tilgang til helsedata.

Utover dette er det etter departementets oppfatning vanskelig på forhånd å legge begrensninger på hvilke typer opplysninger det kan bli aktuelt å gi tilgang til. Det kan likevel oppstå behov for å begrense tilgangen til andre typer opplysninger. Departementets forslag til forskriftshjemmel i § 14 sjette ledd gir departementet mulighet til å avgrense tilgang til bestemte typer opplysninger.

Departementet deler utvalgets syn om at det ikke bør gis tilgang til opplysninger som har konkret kommersiell verdi for den opplysningspliktige og denne verdien forringes av Statistisk sentralbyrås tilgjengeliggjøring av opplysningene. Dette kan være aktuelt når private registre og databaser inngår i grunnlaget for offisiell statistikk. Etter departementets oppfatning bør ikke andre gis tilgang til slike opplysninger med mindre den opplysningspliktige har samtykket til det. Det samme gjelder dersom tilgang til opplysninger er i strid med noens rettigheter etter åndsverksloven eller annen lovgivning.

Når opplysningene er innhentet fra andre myndigheter, kan det i enkelte tilfeller være hensiktsmessig at Statistisk sentralbyrå rådfører seg med den aktuelle myndigheten for å vurdere om det ligger begrensinger på bruken som det bør tas hensyn til.

Politiets sikkerhetstjeneste (PST) skriver i sin høringsuttalelse blant annet:

«PST støtter innstillingens forslag om at hensyn til rikets sikkerhet bør være ett av momentene som vurderes ved forespørsler om deling av datasett. Det kan tenkes tilfeller hvor hele eller deler av datasettene som SSB forvalter bør skjermes av hensyn til rikets selvstendighet og sikkerhet og andre vitale nasjonale sikkerhetsinteresser fordi de er gradert i henhold til sikkerhetsloven. Slike tilfeller kan oppstå enten fordi datasettet inkluderer svært spesifikke uttrekk av informasjon, eller fordi datasettet er svært omfattende.»

Departementet understreker at opplysningsplikten til byrået i medhold av lovforslaget § 10 ikke gjelder dersom utleveringen til Statistisk sentralbyrå kan medføre fare for rikets sikkerhet. Det er likevel viktig at byrået før data gjøres tilgjengelig, vurderer om sammenstilling av datasettet kan innebære at informasjonen som det søkes om tilgang til, endrer status og kan bli sikkerhetsgradert som følge av sammenstillingen. I så fall er tilgangen til dette sammenstilte datasettet begrenset til de som kan få tilgang til slike opplysninger i medhold av sikkerhetslovgivningen.

Hensynene nevnt over er generelle og ville gjort seg gjeldende også dersom opplysningene skulle gjøres tilgjengelig fra annen offentlig myndighet. Når opplysningene gjøres tilgjengelig fra Statistisk sentralbyrå, er det i tillegg viktig å ikke undergrave tilliten til at innsamlede opplysninger ikke brukes til annet enn statistiske resultater og analyser. Det ville øke risikoen for at opplysninger enten ikke blir innrapportert eller blir rapportert feil. Denne problemstillingen gjelder primært de opplysningene byrået samler inn direkte fra enkeltpersoner og fra foretak gjennom sine egne undersøkelser, og i mindre grad opplysninger som hentes fra administrative registre i offentlig forvaltning. Det må derfor utvises særlig aktsomhet når det gjelder tilgang til slike opplysninger, og som en hovedregel bør tilgang bare gis til forskere.

Departementet støtter utvalgets forslag om at opplysningene det gis tilgang til, ikke bør inneholde større grad av identifikasjon enn det som er nødvendig for det aktuelle formålet. Opplysningene det gis tilgang til, bør som hovedregel ikke inneholde direkte identifiserende kjennetegn. Graden av identifikasjon må også ses i sammenheng med risikoen for bruk i strid med formålet og den alminnelige tilliten til statistikkmyndigheten. Etter departementets oppfatning bør dette gjelde både personopplysninger og foretaksopplysninger. Prinsippet om statistisk konfidensialitet gjelder begge typer opplysninger. I mange tilfeller vil anonyme opplysninger være tilstrekkelige for det aktuelle formålet, men det bør ikke være et absolutt krav for utlevering til offentlige myndigheter, slik hovedregelen er etter gjeldende ordning.

Tilgang til en entydig identifikator vil normalt være nødvendig for å kunne sammenstille data fra ulike kilder på enhetsnivå. Sammenstilling bør, som i dag, som hovedregel skje ved at det utveksles en entydig identifikator som ikke er direkte identifiserende («felles løpenummer»), eller ved at sammenstilling skjer i Statistisk sentralbyrå. Utlevering av direkte identifiserende opplysninger fra Statistisk sentralbyrå for sammenkobling bør kunne skje unntaksvis, forutsatt at utleveringen er nødvendig, sammenstillingen skjer i medhold av lov og direkte identifiserende opplysninger slettes så snart de nødvendige sammenstillingene er utført.

Departementet foreslår på denne bakgrunn at Statistisk sentralbyrå kan gi tilgang til opplysninger som Statistisk sentralbyrå har hentet inn for utvikling, utarbeiding og formidling av offisiell statistikk. Begrensninger i tilgangen til helseopplysninger reguleres nærmere i forskrift. Det kan bare gis tilgang til opplysninger for forskningsinstitusjoner og offentlige myndigheter når det ikke medfører uforholdsmessig ulempe for andre interesser. Opplysningene det gis tilgang til, skal ikke inneholde større grad av identifikasjon enn det som er nødvendig for det aktuelle formålet. Graden av identifikasjon må også ses i sammenheng med risikoen for bruk i strid med formålet og den alminnelige tilliten til statistikkmyndigheten. Opplysningene skal som hovedregel ikke inneholde direkte person- eller foretaksidentifiserende kjennetegn.

Forutsetningen både for forskere og offentlige myndigheter er at opplysningene bare kan benyttes til statistiske resultater og analyser. Departementet mener at med dagens teknologiske løsninger for deling og utlån, bør tilgangen for andre aktører begrense seg til anonyme data.

6.2.4.5 Hvordan bør Statistisk sentralbyrå gi tilgang til opplysninger?

Tilgang til opplysninger i medhold av lovforslaget § 14 skal, som etter gjeldende ordning, gis etter søknad til Statistisk sentralbyrå. Byrået skal vurdere hvert enkelt tilfelle konkret. Utlån av data innebærer en større risiko for urettmessig bruk og spredning av opplysninger sammenlignet med tilgang gjennom en sikker løsning som Statistisk sentralbyrå har kontroll over, som microdata.no eller eventuelle andre fjerntilgangsløsninger som kan utvikles senere. Forslaget til ny bestemmelse om tilgang til opplysninger gir anvisning på en konkret risikovurdering, og legger til rette for at det kan gis tilgang i flere tilfeller i takt med at tilgangsløsningene blir sikrere. Etter departementets oppfatning vil dette bidra til dynamikk og fleksibilitet med hensyn til teknologiutviklingen.

Forslaget åpner for større grad av skjønn ved avgjørelsen av hvem som skal få tilgang til hvilke opplysninger fra Statistisk sentralbyrå. Det må utarbeides retningslinjer for dette skjønnet. Retningslinjene kan utarbeides av departementet eller byrået. Det er naturlig at dette inngår i styringsdialogen. Retningslinjene bør være offentlig tilgjengelige og oppdateres etter hvert som praksis utvikles. Dette vil gjøre vilkårene for tilgang mer tilgjengelige og vil bidra til forutsigbarhet for den som ønsker tilgang. Departementet foreslår at det i § 14 inntas en forskriftshjemmel som blant annet gir departementet adgang til å utfylle bestemmelsen.

Statistisk sentralbyrå praktiserer i dag en ordning med forhåndsgodkjenning av forskningsinstitusjoner i forbindelse med vurdering av om forskningsinstitusjoner kan gis tilgang til opplysninger etter gjeldende rett. Forhåndsgodkjenningen gjelder blant annet forhold knyttet til sikkerhetstiltakene i institusjonen basert på egenevaluering, organiseringen av forskningsaktiviteten og at institusjonen kan dokumentere forskningskompetanse på høyt nivå. Virksomheter som faller inn under universitets- og høgskoleloven og retningslinjer for statlig basisfinansiering av forskningsinstitusjoner, er automatisk godkjent. Godkjenningsordningen bør etter departementets syn videreføres, men bør ikke være begrenset til forskningsinstitusjoner. I en tilpasset form bør den også kunne omfatte offentlige myndigheter med statistikk- og analyseoppgaver.

Departementet foreslår, i likhet med utvalget, at Statistisk sentralbyrå i vedtak om tilgang til opplysninger kan stille vilkår for tilgang og bruk av opplysninger. Slike vilkår skal være forholdsmessige og saklige. Regler om oppbevaring og sletting bør ikke lovfestes, men kan oppstilles som vilkår for tilgang. Etter gjeldende ordning gis tilgang til data for prosjektperioden, men ikke lenger enn for fem år om gangen. Etter fem år må det eventuelt søkes om forlengelse. Dette bør videreføres som en hovedregel, men det bør vurderes i det enkelte tilfelle om det er hensiktsmessig med tilgang for en lengre periode.

Departementet legger til grunn at avslag på søknad om tilgang til opplysninger kan påklages i medhold av de alminnelige reglene om klage i forvaltningsloven. Muligheten for en slik toinstansbehandling vil sikre kvaliteten på vedtakene. Departementet vil være klageinstans for denne typen klager. Enkelte høringsinstanser reiser spørsmål ved om klageadgangen bør lovfestes i statistikkloven. Etter departementets oppfatning er dette ikke hensiktsmessig da klageadgang allerede følger av forvaltningsloven.

Etter gjeldende rett følger vilkårene for tilgang til opplysninger av vedtak fra Datatilsynet. Departementet mener, i likhet med utvalget, at vilkårene bør fremgå direkte av loven.

Datatilsynet skriver i sin høringsuttalelse at det blant annet i utvalgets lovforslag § 3-6 må skilles mellom hvilke kategorier opplysninger som kan utleveres til konkrete formål. Etter departementets oppfatning er det vanskelig å være mer konkret, da det ikke er mulig å forhåndsdefinere alle formål det kan være aktuelt å gi tilgang til opplysninger for. Departementet viser for øvrig til uttalelsene i Prop. 56 LS (2017–2018) om ny personopplysningslov, hvor Justis- og beredskapsdepartementet uttaler blant annet følgende i kapittel 11.2.5.2:

«Departementet har merket seg Datatilsynets synspunkt om at den foreslåtte bestemmelsen i høringsnotatet er for vidt formulert, og at det etter tilsynets vurdering er grunn til å tro at en slik bestemmelse ikke vil oppfylle forordningens krav til nasjonale bestemmelser. Etter departementets vurdering er det på dette området vanskelig å komme utenom at lovreglene i betydelig grad må være skjønnsmessige. For eksempel kan departementet ikke se at det bør gis lovregler om hvilke mer spesifikke formål innenfor arkiv, forskning og statistikk det er tillatt å behandle opplysningene for, hvilke typer særlige kategorier av personopplysninger som kan behandles i forskjellige typetilfeller, hvilke kategorier av registrerte det kan behandles opplysninger om eller hvor lenge opplysningene kan lagres eller lignende. Det vil være vanskelig å utforme slike bestemmelser som treffer i praksis, og det vil gi et omfangsrikt og detaljert regelverk. Slike bestemmelser vil etter departementets syn være uhensiktsmessige, og det er vanskelig å se at slike regler skal være påkrevet etter forordningen. Generelle lovregler om behandling for disse formålene må nødvendigvis ha betydelige elementer av skjønn. I tråd med forordningens system må vurderingene i første rekke foretas av den behandlingsansvarlige. Etter departementets syn er det i tråd med forordningen at bestemmelsen oppstiller en interesseavveining som grunnvilkår for lovlig behandling og at det samme vilkåret gjelder for et vidt spekter av behandlinger.»

Stortinget hadde ikke merknader til dette, jf. Innst. 278 L (2017–2018).

Datatilsynet vil for øvrig ha en tilsynsfunksjon overfor Statistisk sentralbyrå for så vidt gjelder behandling av personopplysninger. De som gis tilgang til personopplysninger, må ha tilstrekkelig grunnlag for å behandle slike opplysninger i henhold til personvernlovgivningen. Også da har Datatilsynet en rolle som tilsynsmyndighet.

Utvalget foreslår at Statistisk sentralbyrå skal gi tilgang til opplysninger når vilkårene er oppfylt. Etter departementets oppfatning vil utgangspunktet være at det skal gis tilgang til opplysninger når vilkårene er oppfylt. Det kan likevel tenkes tilfeller hvor vilkårene strengt tatt er oppfylt, men hvor det av helt særegne grunner ikke bør gis tilgang i det konkrete tilfellet. Det kan være behov for en sikkerhetsventil for slike tilfeller. Departementet foreslår derfor at Statistisk sentralbyrå kan gi tilgang til opplysninger når vilkårene er oppfylt.

6.2.4.6 Nærmere om prinsipper for prising og organisering ved deling av opplysninger

Utvalget skriver at forskningsinstitusjoner med dokumentert evne til å håndtere data på en sikker måte, bør få lettere, enklere og billigere tilgang til data enn i dag. Utvalget mener at prinsippet bør være at betaling for data ikke skal overstige de faktiske kostnadene ved å gi tilgang, og at dette bør forankres direkte i loven eller i forskrift. Flere høringsinstanser skriver at tilgjengeligheten til data til forskning må forbedres når det gjelder prising, saksbehandlingstid og transparens.

Departementet legger stor vekt på at Statistisk sentralbyrå skal organiseres slik at deling av data gjøres kostnadseffektivt, forutsigbart og uten unødig bruk av tid. Statistisk sentralbyrå bør ha oversiktlige systemer som gjør at forskere og andre kan vite hva de betaler for. Transparens vil i seg selv gi insentiv til Statistisk sentralbyrå om å være effektive. En effektiv prosess vil også fordre at Statistisk sentralbyrå fortsatt tilbyr veiledning til søkere om hvilke krav som stilles for å kunne dele data.

Departementet viser til at regjeringen i desember 2017 vedtok Nasjonal strategi for tilgjengeliggjøring og deling av forskningsdata. I regjeringens strategidokument heter det blant annet:

«En av Statistisk sentralbyrås (SSBs) oppgaver er å gi opplysninger til statistisk bruk for forskningsformål, innenfor rammene av blant annet personvern og statistisk konfidensialitet. Data fra SSB inngår i en rekke forskningsprosjekter. Det er et mål at denne strategien skal bidra til at det blir enklere å få tilgang til SSB-data til forskningsformål.»

Regjeringen formulerte følgende tiltak i strategien:

«Regjeringen vil

• utrede en finansieringsmodell for tilgang til data fra Statistisk sentralbyrå til forskning som ivaretar både hensynet til en effektiv bruk av ressurser på datatilgangen og samfunnsmessige gevinster av forskningen

• støtte opplæringstiltak for forskere og støttepersonell i regi av Statistisk sentralbyrå

• vurdere forslag fra Statistikklovutvalget og innspill fra høringen med sikte på å bedre forskeres tilgang til data fra Statistisk sentralbyrå»

Departementet ba blant annet på denne bakgrunn i tildelingsbrevet for 2018 byrået om å bli forelagt en vurdering av i hvilken grad kostnader og tidsbruk ved utlån av mikrodata kan reduseres. Departementet har fulgt opp dette i brev 28. mars 2019.

Tilgang og prising av opplysninger vil blant annet avhenge av hvilke plattformer og tekniske løsninger som velges for å gjøre data tilgjengelig. Valg av plattform vil både ha betydning for kostnader og effektivitet ved deling av data og hvordan hensynet til personvern og konfidensialitet blir ivaretatt. Statistisk sentralbyrå har lansert microdata.no for å gi lettere tilgang til data, og byrået arbeider videre med å oppgradere dette systemet slik at flere vil kunne få ivaretatt sine behov på en enklere måte. Systemer for fjerntilgang, slik at all aktivitet kan logges og spores og med innebygget kontroll, vil fremme personvernet, hensynet til statistisk konfidensialitet og effektiviteten i analysearbeidet.

Blant høringsinstansene vises det til at mange av forskningsprosjektene som mottar data fra Statistisk sentralbyrå, har behov for sammenstilling av data fra ulike kilder. Det er viktig at valg av tekniske løsninger og analyseplattformer som gjøres av ulike statistikkmyndigheter ses i sammenheng, slik at data kan kobles mellom disse på en mest mulig effektiv måte og de samlede kostnadene reduseres. Statistisk sentralbyrå, Direktoratet for e-helse og andre forvaltere av slike systemer må samarbeide for å få til dette. Det vil øke verdien av dataene og samtidig gjøre tilgangen til data enklere og billigere for forskere.

Departementet vil følge opp dette i styringsdialogen med Statistisk sentralbyrå. Med utgangspunkt i at byrået har på plass et effektivt system for deling av data, er departementet enig med utvalget i at det bør legges til grunn et prinsipp om at søkere bør betale en marginalpris. Grunnlaget for prising bør være Statistisk sentralbyrås merkostnader knyttet til å gi tilgang til det konkrete datasettet som det søkes om.

Det legges opp til at prisingsprinsipper for tilgang til data i Statistisk sentralbyrå fastsettes i forskrift til ny statistikklov, jf. lovforslaget § 14. Departementet vil arbeide videre med forskriften frem til statistikkprogrammet er klart og en ny statistikklov kan tre i kraft, se kapittel 3. Departementet vil legge frem en konkretisering av prisingsprinsipper, herunder eventuelle budsjettmessige konsekvenser, i et egnet budsjettdokument før loven trer i kraft.

6.2.4.7 Personvern

Etter den europeiske statistikkforordningen er opplysninger om både personer og virksomheter underlagt statistisk konfidensialitet. Personopplysninger har et særskilt vern også etter annet regelverk.

Personvernforordningen gjelder som norsk lov, jf. personopplysningsloven § 1. Etter personvernforordningen artikkel 4 nr. 1 er en personopplysning enhver opplysning om en identifisert eller identifiserbar fysisk person.

Forordningen oppstiller ikke et særlig behandlingsgrunnlag for arkiv-, forsknings- eller statistikkformål. Slik behandling må forankres i et av de alminnelige behandlingsgrunnlagene i artikkel 6 nr. 1, som blant annet omfatter samtykke (bokstav a), rettslig forpliktelse (bokstav c), allmenn interesse (bokstav e) og en interesseavveining (bokstav f).

I forbindelse med at personvernforordningen ble gjort til norsk lov i ny personopplysningslov, uttalte Justis- og beredskapsdepartementet i Prop. 56 LS (2017–2018) punkt 11.1.5.2 blant annet følgende:

«Det følger av artikkel 5 nr. 1 bokstav b at viderebehandling av personopplysninger for arkiv-, forsknings- eller statistikkformål i samsvar med artikkel 89 nr. 1 skal anses som forenlig med innsamlingsformålet. Videre følger det av fortalepunkt 50 at den behandlingsansvarlige ikke trenger et nytt rettslig grunnlag for å viderebehandle personopplysninger for forenlige formål.

Sammenstilling og utlevering av personopplysninger til en annen behandlingsansvarlig som skal benytte personopplysningene til arkiv-, forsknings- eller statistikkformål, må etter artikkel 5 nr. 1 bokstav b anses som forenlig viderebehandling. Den behandlingsansvarlige som utleverer personopplysningene, trenger dermed ikke et særskilt behandlingsgrunnlag for utleveringen. Det er derfor etter departementets syn ikke nødvendig å utforme en generell bestemmelse som gir supplerende rettsgrunnlag for sammenstilling og utlevering etter artikkel 6 nr. 1 bokstav e, jf. nr. 3. Det understrekes at den behandlingsansvarlige må sørge for at sammenstillingen og utleveringen er omfattet av nødvendige garantier i tråd artikkel 89 nr. 1, jf. også artikkel 5 nr. 1 bokstav b, og at det på vanlig måte ikke er adgang til å utlevere flere personopplysninger enn det som er nødvendig for formålet. Det understrekes også at den behandlingsansvarlige som mottar personopplysningene som utleveres, må påvise et behandlingsgrunnlag etter artikkel 6 nr. 1. Forslaget til § 8 vil kunne gi supplerende rettsgrunnlag i den forbindelse, jf. punkt 11.1.5.1 over.»

Etter departementets oppfatning innebærer dette at det etter personvernforordningen ikke er nødvendig med eget behandlingsgrunnlag for at Statistisk sentralbyrå skal kunne gi tilgang til opplysninger for utarbeiding av statistiske resultater og analyser. Mottakere av opplysningene må ha behandlingsgrunnlag for å kunne behandle opplysningene de mottar. Lovforslaget § 14 vil være behandlingsgrunnlag for Statistisk sentralbyrå til å gi tilgang til opplysninger. Dette vil innebære begrensninger både i hvem som kan gis tilgang og hvilke opplysninger det kan gis tilgang til. Bestemmelsen vil på denne måten bidra til å styrke personvernet til de som opplysningene gjelder.

Dersom utlevering vil utgjøre et inngrep i retten til privatliv etter Grunnloven § 102 og EMK artikkel 8, må det likevel vurderes om det er nødvendig med mer spesifikke lov- eller forskriftsbestemmelser og/eller garantier for å oppfylle Grunnlovens og EMKs krav om rettsgrunnlag for inngrep i privatlivets fred.

I Prop. 56 LS (2017–2018) om ny personopplysningslov skriver Justis- og beredskapsdepartementet i punkt 6.4:

«Grunnloven § 102 lyder:

«Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller.

Statens myndigheter skal sikre et vern om den personlige integritet.»

Bestemmelsen kom inn i Grunnloven som ledd i grunnlovsreformen i 2014. Komiteen ga i Innst. 186 S (2013–2014) punkt 2.1.9 side 27 uttrykk for at bestemmelsen «skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke og slettes når formålet ikke lenger er til stede».

Grunnloven § 102 gir ikke anvisning på noen adgang til eller vilkår for å gjøre inngrep i rettigheten. Høyesterett har imidlertid lagt til grunn at det kan gjøres inngrep i retten etter Grunnloven § 102 dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, se Rt. 2014 side 1105 avsnitt 28 og Rt. 2015 side 93 avsnitt 60.

Grunnloven § 102 har klare likhetstrekk med EMK artikkel 8, og må tolkes i lys av denne, jf. Rt. 2015 side 93 avsnitt 57. Det er etter departementets vurdering ikke holdepunkter for at Grunnloven § 102 stiller strengere krav enn EMK artikkel 8 om rettsgrunnlag for behandling av personopplysninger. Ved siden av Grunnloven § 102 må også legalitetsprinsippet, jf. Grunnloven § 113, tas i betraktning. Det følger av Grunnloven § 113 at «[m]yndighetenes inngrep overfor den enkelte må ha grunnlag i lov».

EMK artikkel 8 lyder (i norsk oversettelse):

• «1. Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse.

• 2. Det skal ikke skje noe inngrep av offentlig myndighet i utøvelsen av denne rettighet unntatt når dette er i samsvar med loven og er nødvendig i et demokratisk samfunn av hensyn til den nasjonale sikkerhet, offentlige trygghet eller landets økonomiske velferd, for å forebygge uorden eller kriminalitet, for å beskytte helse eller moral, eller for å beskytte andres rettigheter og friheter.»

[…]

Inngrep i retten etter EMK artikkel 8 nr. 1 må kunne rettferdiggjøres etter artikkel 8 nr. 2, som krever at inngrepet må ha tilstrekkelig hjemmel, ha et legitimt formål og være forholdsmessig.»

Å gi andre tilgang til opplysninger som er innhentet av Statistisk sentralbyrå, er et inngrep som er omfattet av Grunnloven § 102 og EMK artikkel 8. Særreguleringen av behandling av personopplysninger i personvernforordningen til blant annet forskningsformål og statistiske formål indikerer at denne typen behandling anses som lite inngripende. Det skal etter departementets forslag som hovedregel ikke gis tilgang til direkte personidentifiserende opplysninger. Opplysningene som det gis tilgang til, skal uansett ikke inneholde større grad av identifikasjon enn det som er nødvendig for formålet. Det følger av personvernforordningen artikkel 89 at behandlingen av opplysningene hos den som får tilgang til opplysningene, må oppfylle nødvendige garantier for å sikre den registrertes rettigheter og friheter. Vilkåret om at det bare kan gis tilgang til opplysninger når det ikke medfører uforholdsmessig ulempe for andre interesser, gir også anvisning på en forholdsmessighetsvurdering før det gis tilgang. Dette vil inngå som en del av helhetsvurderingen etter forslaget til ny statistikklov § 14.

At mottakerne kan dokumentere at de kan behandle opplysningene på en betryggende måte og bare til de formålene som fremgår av § 14, er en grunnleggende del av vurderingen. En annen garanti for å sikre den registrertes rettigheter og friheter er at den som får tilgang til opplysningene, får taushetsplikt. Det kan gis tilgang til opplysninger om et betydelig antall personer, men det er nødvendig når opplysningene skal brukes i forskning og til utarbeiding av statistiske resultater og analyser. Å gi tilgang til data til bruk for statistiske resultater og analyser vil ikke gi direkte nytte for den enkelte som opplysningene gjelder. Tilgjengeliggjøringen vil imidlertid gi stor samfunnsnytte, blant annet ved at forskning kan baseres på et bredere faktagrunnlag og at forvaltningen kan treffe bedre beslutninger gjennom statistiske resultater og analyser de kan gjennomføre med opplysningene de får tilgang til. Departementet mener samfunnsnytten klart overstiger ulempene for den registrerte.

Etter departementets oppfatning oppfyller forslaget kravene i Grunnloven § 102 og EMK artikkel 8.

Departementet viser til forslag til ny statistikklov § 14.

6.3 Anonyme opplysninger for fri bruk

6.3.1 Gjeldende rett

Gjeldende statistikklov har ikke særregler om anonyme opplysninger for fri bruk.

6.3.2 Statistikklovutvalgets vurderinger

Utvalget viser til at det i dagens statistikklov er antatt at formidling av anonyme opplysninger forutsetter Datatilsynets godkjennelse til «annen bruk» etter statistikkloven § 2-5. Etter utvalgets oppfatning er dette lite hensiktsmessig. En ny lov må i stedet legge til rette for at datasett som etableres og sammenstilles slik at personvernlovgivningens definisjon av anonymitet er fulgt, kan gjøres tilgjengelig for allmenheten til fri bruk.

Utvalget foreslår at Statistisk sentralbyrå skal gjøre tilgjengelig for allmennheten opplysninger om statistiske enheter formidlet på en slik måte at den statistiske enheten ikke kan identifiseres, verken direkte eller indirekte, hensyn tatt til alle relevante midler som med rimelighet kan tenkes brukt.

Det vises for øvrig til utvalgets redegjørelse i NOU 2018: 7 kapittel 9.4.1.

6.3.3 Høringsinstansenes syn

Flere høringsinstanser er positive til utvalgets forslag. Dette gjelder blant annet Abelia, Barne-, ungdoms- og familiedirektoratet, Difi, Direktoratet for e-helse, Fiskeridirektoratet, NSD og Universitets- og høgskolerådet.

Justis- og beredskapsdepartementet (JD) mener det må klargjøres om forslaget innebærer at Statistisk sentralbyrå skal gjøre anonymiserte opplysninger tilgjengelig for allmennheten på eget initiativ, eller om dette skal skje som en følge av innsynskrav og lignende. JD mener videre at det må klargjøres hvordan denne bestemmelsen stiller seg til innsynsretten etter offentleglova og andre lover. Offentleglova gjelder for Statistisk sentralbyrå, og opplysninger som ikke er omfattet av taushetsplikt eller andre unntak, vil være åpne for innsyn.

Statistisk sentralbyrå skriver i sin høringsuttalelse at offentleglova § 9, som omhandler retten til innsyn i sammenstilling av databaser, kan være lite forenlig med byråets virksomhet som sentral statistikkprodusent. Byrået ber om at departementet vurderer dette i forbindelse med lovarbeidet.

6.3.4 Departementets vurderinger

Departementet er enig i utvalgets forslag om å ta inn en bestemmelse i statistikkloven om anonyme opplysninger for fri bruk. Den europeiske statistikkforordningen har strenge regler om vern av fortrolige data i blant annet artikkel 20. Dette omfatter både person- og virksomhetsopplysninger. Som fortrolige data regnes ifølge artikkel 3 nr. 7 data som gjør det mulig å identifisere statistiske enheter direkte eller indirekte og dermed avsløre enkeltopplysninger. For å avgjøre om en statistisk enhet kan identifiseres, skal alle relevante midler en tredjemann med rimelighet kan tenkes å ta i bruk for å identifisere den statistiske enheten, tas i betraktning, se også lovforslaget § 7 om statistisk konfidensialitet og § 8 om taushetsplikt. Anonymiserte opplysninger er ikke omfattet av statistisk konfidensialitet og de begrensningene som legges på bruk av opplysninger som følge av dette.

Personvernregelverket gjelder enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. personvernforordningen artikkel 2 og artikkel 4. Anonymiserte opplysninger utfordrer verken hensynet til personvern eller statistisk konfidensialitet, men anonymisering krever nødvendig kompetanse.

Utvalget foreslår at Statistisk sentralbyrå skal gjøre anonymiserte opplysninger tilgjengelige for allmennheten. Departementet viser til at opplysningene byrået har hentet inn, vil være identifiserbare opplysninger. Tilgjengeliggjøring av anonymiserte opplysninger er viktig. Samtidig er dette et arbeid som krever ressurser, og som derfor må vurderes opp mot blant annet kostnader og hvilke ressurser Statistisk sentralbyrå har tilgjengelig. Det er viktig at dette ikke går på bekostning av byråets kjerneoppgaver. Departementet foreslår derfor at Statistisk sentralbyrå kan gjøre anonymiserte opplysninger tilgjengelige for andre. Det må ligge en avveiing til grunn av både om og på hvilken måte byrået vil gjøre slike opplysninger tilgjengelige.

Gjennom microdata.no tilbyr Statistisk sentralbyrå, i samarbeid med Norsk senter for forskningsdata, tilgang til opplysninger gjennom en løsning som har et anonymiserende grensesnitt med innebygd personvern. Gjennom microdata.no er det mulig å tilby enklere tilgang til Statistisk sentralbyrås registerdata. Tjenesten gir forskere og studenter ved godkjente forskningsinstitusjoner tilgang til å bruke registerdata fra byrået. Over tid vil flere få tilgang til flere opplysninger.

Identifiserbare opplysninger som byrået har hentet inn, vil være omfattet av statistisk konfidensialitet og underlagt taushetsplikt etter lovforslaget § 8. Offentleglova § 13 gjør unntak fra innsyn for opplysninger som er underlagt taushetsplikt i eller i medhold av lov. Departementet foreslår at innsyn i anonymiserte opplysninger hos Statistisk sentralbyrå skal være begrenset til det som følger av lovforslaget § 15. Det vil være opp til Statistisk sentralbyrå å avgjøre om det skal gis tilgang til anonymiserte opplysninger og på hvilken måte. Departementet foreslår derfor at det tas inn i lovforslaget § 15 at offentleglova ikke gjelder for opplysninger som omfattes av bestemmelsen. For andre opplysninger i Statistisk sentralbyrå gjelder reglene i offentleglova.

Departementet viser til forslag til ny statistikklov § 15.

6.4 Databehandling på vegne av andre

6.4.1 Gjeldende rett

Det finnes en del eksempler på at Statistisk sentralbyrå samler inn og behandler opplysninger på vegne av en annen offentlig myndighet. Den alminnelige adgangen Statistisk sentralbyrå har til å inngå denne typen databehandleravtaler er ikke regulert i dagens statistikklov.

6.4.2 Statistikklovutvalgets vurderinger

Databehandleravtaler med Statistisk sentralbyrå gir ifølge utvalget andre statlige organer mulighet til å trekke på kompetansen og ressursene i byrået uten at tilgangen til data begrenses av statistikkloven og det europeiske statistikkregelverket. Utvalget mener dette er en løsning som i større grad bør benyttes.

Utvalget viser til at Statistisk sentralbyrå gjennom slike avtaler kan samle inn og behandle opplysninger utenfor systemet for offisiell statistikk. Dermed bestemmer ikke statistikkloven hvem som kan få tilgang til opplysningene, det reguleres i regelverket til den myndigheten som gir byrået oppdraget. Også bruken av opplysningene reguleres i oppdragsgivers regelverk, og oppdragsgiver kan bruke opplysningene som grunnlag for vedtak.

Utvalget mener at slike ordninger er særlig egnet for dataformidling som pågår over lengre tid. Utlevering av opplysninger hjemlet i statistikkloven kan være tilstrekkelig for tidsavgrensede prosjekter, men er mindre egnet dersom man ønsker at opplysningene skal oppdateres løpende og behandles på varig basis.

Som databehandler vil Statistisk sentralbyrå ikke kunne gjøre noe annet med opplysningene enn det den behandlingsansvarlige selv kan gjøre. Statistisk sentralbyrå kan bare benytte de kilder som den behandlingsansvarlige selv har tilgang til. For å unngå faren for sammenblanding av roller, bør det ifølge utvalget fremstå tydelig når Statistisk sentralbyrå gir tilgang til opplysninger som databehandler.

Utvalget viser til at det kan være enkelte utfordringer med slike avtaler, blant annet ved fordeling av kostnader ved større utvidelser i rapporteringen og tekniske investeringer. Utvalget mener dette bør kunne avklares mellom de ansvarlige departementene, dersom det ikke oppnås enighet mellom Statistisk sentralbyrå og oppdragsgiver.

Utvalget foreslår på denne bakgrunn at det synliggjøres i ny statistikklov at Statistisk sentralbyrå kan behandle opplysninger på vegne av andre statlige organer.

Det vises for øvrig til statistikklovutvalgets redegjørelse i NOU 2018: 7 kapittel 9.5.2.

6.4.3 Høringsinstansenes syn

Flere høringsinstanser støtter forslaget om at Statistisk sentralbyrå også fremover skal kunne påta seg databehandleroppdrag for andre. Noen peker også på enkelte utfordringer ved slike avtaler.

Riksrevisjonen støtter forslaget, men viser samtidig til at Statistisk sentralbyrå og Riksrevisjonen samler inn mange av de samme dataene fra virksomhetene med utgangspunkt i hver sin lovhjemmel. Det bør etter Riksrevisjonens syn ses på hvordan byrået og Riksrevisjonen kan samarbeide om innhenting, bearbeiding og analyse av data fremover.

Olav Ljones skriver at databehandlerrollen «er kinkig for SSB og utvalget burde sett grundigere på under hvilke forutsetninger en slik rolleblanding kan godtas».

Statistisk sentralbyrå støtter utvalgets forslag om at det synliggjøres i loven at byrået også fremover skal kunne påta seg databehandleroppdrag. Samtidig viser byrået til at det kan være utfordringer ved slike avtaler, særlig knyttet til finansieringen:

«Det må etableres gode ansvarsforhold og tilhørende finansieringsordninger for slike avtaler. Det kan også tenkes oppdrag som er lite forenlige med rollen som uavhengig statistikkprodusent, og som derfor bør avvises av den grunn. Det anbefales at databehandleravtaler som hovedregel bør være fullt ut finansiert av oppdragsgiver, dvs. at drifts-, investerings- og utviklingskostnadene dekkes av oppdragsgiver.»

Byrået viser til at flere slike avtaler vil øke den oppdragsfinansierte andelen av budsjettet, mens utvalget ellers i utredningen skriver at omfanget av oppdragsinntekter ikke må bli for stort.

6.4.4 Departementets vurderinger

Når Statistisk sentralbyrå samler inn og behandler opplysninger på vegne av andre, er det ikke statistikkloven, men den behandlingsansvarliges regelverk, som danner grunnlaget og rammene for innsamling, behandling og utlevering av opplysningene. Statistisk sentralbyrå kan derfor levere opplysningene til den behandlingsansvarlige uten de restriksjonene som følger av statistikkloven. Den behandlingsansvarlige kan deretter fritt behandle opplysningene innenfor rammene av eget regelverk.

I de fleste tilfeller der Statistisk sentralbyrå behandler opplysninger på vegne av andre, benytter Statistisk sentralbyrå også opplysningene til å utarbeide offisiell statistikk. Byrået benytter da innhentingshjemmelen i statistikkloven til å hente dataene videre inn til byrået. Avtalene omfatter som regel også å kvalitetssikre data.

Statistisk sentralbyrå har i brev til Finansdepartementet 1. november 2018 gitt en oversikt over aktive databehandleravtaler. Brevet er tilgjengelig på Finansdepartementets hjemmesider. Det var i alt 26 avtaler som da var aktive. De varierte i omfang. Det var inngått store avtaler på flere millioner kroner finansiert enten over den ordinære bevilgningen på statsbudsjettet eller som kontrakt med oppdragsgiver, og det var inngått avtaler på bare noen få tusen kroner. KOSTRA (Kommune-Stat-Rapportering) og ORBOF (Offentlig regnskapsrapportering fra banker og finansieringsforetak) er eksempler på store avtaler finansiert over statsbudsjettet. Byrået hadde store avtaler finansiert som markedsoppdrag blant annet med Helsedirektoratet og Norges Bank. Det er ifølge byrået utelukkende departementer, direktorater og statlige virksomheter som er oppdragsgivere.

Bakgrunnen for Statistisk sentralbyrås rolle som databehandler varierer. Tradisjonelt har begrunnelsen vært byråets kompetanse og etablerte infrastruktur for innhenting av opplysninger, som har medført at andre myndigheter gjerne vil samarbeide med byrået om datainnhentingen.

Departementet er enig med utvalget i at byrået bør kunne inngå denne typen avtaler. Slike avtaler må likevel begrunnes godt før de inngås. Statistisk sentralbyrå skal først og fremst ivareta det ansvaret og de oppgavene som byrået er pålagt gjennom lov og instrukser, og ikke være en databehandler for andre.

De avtalene som er inngått er av ulik karakter, jf. byråets brev av 1. november 2018. Som bakgrunn for forslaget til denne bestemmelsen legger departementet særlig vekt på de avtalene som skal sikre videreformidling av opplysninger som Statistisk sentralbyrå samler inn til egne statistikkformål, eventuelt tilleggsopplysninger i tilknytning til slik innsamling. Dermed kan en unngå at oppgavegiverne må gi de samme opplysningene til flere statlige organer.

Statistisk sentralbyrå får etter forslag til ny statistikklov et nokså vidtrekkende hjemmelsgrunnlag for å hente inn opplysninger for å utvikle, utarbeide og formidle offisiell statistikk, se kapittel 5. Samtidig stilles det strenge krav til at deling av opplysninger til sekundærbruk er begrenset til «statistiske resultater og analyser», jf. også det europeiske regelverket. Det kan tenkes at enkelte myndigheter har behov for å benytte noen typer opplysninger til andre formål enn dette. Det vil i tilfelle falle utenfor statistikkloven og må baseres på eget hjemmelsgrunnlag. Den aktuelle myndigheten vil da kunne inngå en avtale med Statistisk sentralbyrå om å innhente slike opplysninger etter dette hjemmelsgrunnlaget i tillegg til hjemmelen i statistikkloven. Blant annet Finanstilsynet har på denne bakgrunn inngått en databehandleravtale med Statistisk sentralbyrå.

Slike avtaler kan være aktuelle for å få registrert sosioøkonomiske opplysninger i helseregistrene. Dette må etter departementets mening i tilfelle gjøres med grunnlag i egen hjemmel lagt til helseregistrene og ikke statistikkloven. Helsemyndighetene kan inngå en databehandleravtale med Statistisk sentralbyrå om å hente inn opplysninger etter helseregistrenes hjemmelsgrunnlag, samtidig som byrået innhenter de samme opplysningene med hjemmel i statistikkloven. Opplysningene kan detter brukes av helsemyndighetene til de formål som angis i helselovgivningen, mens byråets egen bruk reguleres av statistikkloven. Opplysningene hentes inn bare en gang, slik at en unngår dobbeltarbeid og det legges til rette for konsistens i datamaterialet på tvers av viktige registre.

Det kan også være aktuelt å benytte databehandleravtaler for at staten som arbeidsgiver kan hente inn opplysninger om lønns- og personalforhold som innrapporteres via a-ordningen. Disse opplysningene benyttes blant annet av Kommunal- og moderniseringsdepartementet for å utarbeide lønnsstatistikk og for analysearbeid som understøtter statens arbeidsgiverpolitikk.

Avtaler som inngås skal støtte opp om Statistisk sentralbyrås statistikkarbeid og bidra til en samlet gevinst for forvaltningen. Det må etableres gode ansvarsforhold og tilhørende finansieringsordninger for slike avtaler, slik Statistisk sentralbyrå skriver i sin høringsuttalelse. Kostnadsdekning bør her være det bærende prinsippet. Departementet bør i styringsdialogen kunne avgjøre hvilke slike avtaler byrået inngår. Statistisk sentralbyrå har et ansvar for å påse at avtaler som inngås er forenlige med byråets rolle som uavhengig statistikkprodusent. Avtaler som inngås skal være en del av byråets rapportering til departementet.

Avtaler må være i tråd med annen lovgivning.

Departementet viser til forslag til ny statistikklov § 16.