1 Årsmelding for Datatilsynet 1998

Datatilsynets styre

Datatilsynets styre hadde ved inngangen til 1998 følgende syv medlemmer og varamedlemmer:

• Leder i Kommunenes Sentralforbund Halvdan Skard, formann (varamedlem lagdommer Lars Jorkjend)

• Direktør Åshild Movik, nestformann (varamedlem konsulent Ida Børresen)

• Konsulent Maja Arnestad (varamedlem sjefskonsulent Anne-Cecilie Fagerlie)

• Sekretær Pål Gundersen (varamedlem yrkeshygieniker Bjørn Erikson)

• Skifterettsdommer Hilde Gaarder (varamedlem amanuensis Kirsten Sandberg)

• Advokat Arne Dag Hestnes (varamedlem advokat Jan Tore Bergh)

• Direktør Knut E. Schrøder (varamedlem sorenskriver Roald Tørrisen)

Styret valgte 26. februar 1998 å fratre sine verv.

Nytt styre ble oppnevnt 30. april 1998 med følgende sammensetning:

• Advokat Regine Ramm Bjerke, formann (varamedlem byrettsdommer Nina Opsahl)

• Art director Marianne Voll, nestleder (varamedlem konsulent Berit Opedal Windheim)

• Sjefslege Jan Olav Johannessen (varamedlem yrkeshygieniker Bjørn Erikson)

• Prosjektleder Jennifer Akselsen (varamedlem advokat Wenche Flavik)

• Administrasjonssjef Roar Svartberg (varamedlem adm.dir. Per Rosenblad Brun)

• Sorenskriver Roald Tørrissen (varamedlem kinosjef Egil Akselsen)

• Kontorsjef Anne Lise Holøs (varamedlem kontorsjef Inger Gjesdahl)

Den 8. juni 1998 ble det bestemt at Per Rosenblad Brun skal fungere som varamedlem for Roar Svartberg, mens Egil Akselsen skal fungere som varamedlem for Roald Tørrissen.

Styret er oppnevnt frem til 1. april 2000.

Styrets beretning

I forbindelse med oppnevningen henstilte Justisdepartementet til det nye styret å videreføre etablert praksis i forholdet mellom styre og direktør. Styret har i tråd med dette lagt til grunn at styret fungerer som et fagstyre, og at direktøren treffer endelig avgjørelse i administrative saker, eventuelt etter at sakene har vært forelagt styret for nærmere drøftelse.

Det nye styret hadde i 1998 fire styremøter. Styret har behandlet 20 saker. I tillegg er 29 saker lagt frem til orientering.

Alle klagesaker til Justisdepartementet behandles av styret. Av de 20 sakene styret behandlet var ti klagesaker. Ni av klagesakene ble sendt over til Justisdepartementet som klageinstans. I en klagesak ble administrasjonens vedtak omgjort av styret.

De fleste klagesakene gjelder helt eller delvis avslag på søknad om konsesjon for opprettelse av personregister. Flere av klagesakene har reist spørsmål av større rekkevidde eller av prinsipiell betydning. Blant disse nevnes søknad fra Kreditorforeningen i Oslo om å opprette et register over samtlige skatteytere i Norge og søknad fra kredittopplysningsbyråene om tillatelse til å registrere eierskap i motorvogn og til å innhente slike opplysninger fra Motorvognregisteret. I disse sakene fastholdt styret administrasjonens avslag. Justisdepartementet har senere stadfestet avslagene. Styret tok til følge en klage fra bankforeningene over avslag på søknad om opprettelse av et felles personregister over personer som hever giroanviste beløp kontant.

Ut over klagesakene har styret behandlet saker av prinsipiell rekkevidde for personvernet. Blant disse nevnes vedtakelse av Retningslinjer for informasjonssikkerhet ved behandling av personopplysninger og høringsuttalelser i saker som i særlig grad berører personvernet.

Styret fører to protokoller fra styremøtene, en vedtaksprotokoll og en referatsprotokoll. Vedtaksprotokollen er offentlig etter offentlighetsloven. Styret vedtok i juni 1998 at også referatsprotokollen skal være offentlig.

Regine Ramm Bjerke

Styreformann

Leder

Virksomhetsåret 1998 ble for Datatilsynets vedkommende særlig preget av to omstendigheter:

1. Uenigheten mellom departement og styre på den ene siden og administrasjon på den annen om fordeling av ansvar mellom styre og administrasjon som kulminerte med styrets fratredelse 26. februar.

2. Arbeidet med å forberede gjennomføringen av ny lov om behandling av personopplysning, basert på Skaugeutvalgets utredning «Et bedre personvern, forslag til lov om behandling av personopplysninger» NOU 1997:19.

Styrings- og ansvarskonflikten som fikk stor, offentlig oppmerksomhet, hadde ved meldingsårets begynnelse også nådd Stortinget. I innstilling S.nr.107 (1997-98) jfr. St.meld. nr. 8 (1997-98) av 19. februar fra Stortingets Justiskomite ga en enstemmig komite i merknader uttrykk for at man anså det ønskelig inntil en ny lov er behandlet av Stortinget å beholde den innarbeidede arbeidsdelingen. Også debatten om innstillingen viste flertallstilslutning til dette synet.

Etter parlamentarisk skikk, var dermed grunnlaget for departementets effektuering av styrets endringsønsker falt bort.

Nytt styre ble oppnevnt i statsråd 30. april 1998, og samarbeidet med det nye styret har vært godt.

Skaugeutvalgets innstilling fra mai 1997 tar bl.a. sikte på å implementere EU direktiv 95/46 EF «Om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger». Skaugeutvalgets innstilling ble avgitt i mai 1997 og høringsprosessen var avsluttet medio september samme år. Implementeringsdato for EU/EØS området var 24. oktober 1998.

Når dette skrives er det uklart når lovproposisjon vil bli sendt Stortinget og når ikrafttreden vil kunne skje. Innenfor ordinære budsjettrammer har Datatilsynet forsøkt å utvikle en beredskap basert på formodet lovinnhold. Av ressursmessige grunner, var det for administrasjonen ikke mulig å prioritere dette arbeidet så høyt som ønskelig kunne være. I løpet av høsten har tilsynets faglige seksjonssjefer imidlertid bistått departementets lovavdeling med råd og kommentarer. Statsbudsjettet for 1999 kom ikke til å inneholde grunnlag for å ta opp igjen prosjektarbeidet knyttet til ny lov.

Den ordinære virksomheten i meldingsåret har vært preget av mange store og prinsipielt viktige saker. En del av disse vil bli berørt nedenfor.

Arbeidet med sikkerhet i forbindelse med personvern har øket i intensitet, og ved meldingsårets utgang er nye krav til informasjonssikkerhet og flere rådgivende dokumenter ferdigstilt og tilgjengelige for brukerne. Ut over eget sikkerhetsarbeid har DT deltatt eksternt i arbeidet med utarbeidelse av vilkår innenfor særlige sektorer - eksempelvis helse og justis.

Et relativt høyt svangerskapsfravær har resultert i at staben tidvis har vært noe mindre enn hjemlet. Til tross for uvanlig innsatsvilje og fleksibilitet har det ikke vært mulig å hindre at saksbehandlingstiden har gått noe opp. Etaten er selv den første til å innrømme det uheldige i en slik utvikling. Det er likevel vanskelig å se hvorledes et pålegg eller beslutning i overordnet organ kan fjerne årsakene til økende behandlingstid.

Inspirert av vår svenske søsterinstitusjon, Datainspektionen, har DT i meldingsåret gjennomført to, omfattende kontroller av ulike private og offentlige databrukere i henholdsvis Trøndelag og Rogaland. Resultater og inntrykk har til dels vært meget oppmuntrende. Den bekrefter således at det har vært en riktig strategi å bruke økende ressurser på informasjonsvirksomheten. Det er også et poeng at kontrollvirksomheten, og den publisitet den ofte utløser, i seg selv er en både rimelig og effektiv informasjonsbærer.

Gjennom de 20 årene Datatilsynet har virket, har møtene med virkeligheten understreket at det kan være vanskelig å funksjonere helt ut tilfredsstillende i rollene som ombud og forvaltningsorgan samtidig.

Datatilsynets engasjement spenner over et vidt spektrum. For å fremme kunnskapen og bevisstheten om personvernutfordringer i samtiden, er det stadig oftere nødvendig og ønskelig at Datatilsynet imøtekommer forventninger om å formulere kommentarer til dagsaktuelle problemstillinger uten at de foreligger for behandling som forvaltningssaker etter personregisterloven. Det er stadig slik at alle vesentlige, prinsipielle og retningsgivende spørsmål er gjenstand for styrebehandling og avgjørelse der. Med lengre høringsfrister ville flere av Datatilsynets uttalelser rekke styrebehandling.

Datatilsynets innlegg i samfunnsdebatten blir i praksis ikke avgrenset til områder som reguleres direkte i personregisterloven. «Søppel-analyse»-saken og «Drosje-video»-saken illustrerer det faktum at ikke alle personvernrelaterte saker som dukker opp i det offentlige ordskiftet, anrettes som saker for Datatilsynet. I begge tilfeller ble det på det rene at tiltakene ikke reguleres av personregisterloven, men det ble åpenbart ventet av Datatilsynet å kunne bidra med prinsipielle kommentarer. Det ville være uriktig å melde seg ut av slike debatter.

Datatilsynet har også i 1998 kunnet glede seg over et godt forhold til media. Offentlighetsprinsippet praktiseres ut fra prinsippet om meroffentlighet, og det har lykkes å yte god dokumentservice overfor aviser, radio og tv. Ikke unaturlig viser det seg at de nye nettavisene er interessert i vårt arbeide og raskt fanger opp interessante saker i vår journal.

Det gode, uformelle samarbeidet med og kontakten til andre forvaltningsorganer på departements- og direktoratnivå er ivaretatt. Dette gir seg bl.a. utslag i at DT får flere høringssaker der personvernspørsmål også reises i tilknytning til primærformålet enn tidligere.

På en rekke områder synes samfunnsutviklingen å representere et økende press på persondatabasene. Når det teknisk er forholdsvis enkelt å bruke informasjoner for kontroll, etterforsknings- eller analyseformål, vil et formulert behov for å gjøre det ofte følge rett etter. Mulighet legitimerer behov. Overgangen til elektroniske passasjerlister innen transportsektoren innebærer en interessant ressurs f.eks. for Toll-etaten som har gitt til kjenne ønske om å være «online» til basene som inneholder transportørenes kundeinformasjoner.

Datatilsynet har pekt på de problemer som vil knytte seg til de enorme mengdene av prinsipiell uinteressant overskuddsinformasjon som dermed gjøres tilgjengelig for et statlig kontrollorgan gjennom utlevering.

Det er vanskelig konkret å påvise hvorvidt Norge i meldingsåret er blitt et mer gjennomsiktig og gjennomregistrert samfunn. Reformer og tiltak som peker i en slik retning vil som oftest hver for seg være begrunnet av gode, legitime ønsker og behov. Summen og den samlede virkning kan derfor være vanskelig for de politiske myndigheter å måle og vurdere. Det ligger i dag også utenfor den ressursramme tilsynet har til rådighet å kunne bidra med vurderinger av det omfang og den kompleksitet det her er tale om.

Det er imidlertid til liten trøst at det i vårt land heller ikke er andre institusjoner innenfor eller utenfor offentlig sektor som har mulighet for å måle utviklingens tempo og retning på dette samfunnsmessig særdeles viktige området.

Georg Apenes

Direktør

Datatilsynet i 1998 - sammendrag

Organisasjon

I 1998 hadde Datatilsynet 22 faste stillingshjemler. Stillingene er fordelt på direktør, administrativ seksjonssjef med fem i staben, juridisk seksjonssjef og ni jurister, teknologisk seksjonssjef og to teknologer, informasjonssjef og webredaktør. Tre av stillingene er nyopprettet i meldingsåret; en teknolog, en sekretær og webredaktøren på informasjon.

Bevilgningen for 1998 var på 10 786 mill kroner fra 9 211 mill kroner i 1997.

Saksbehandling

Saksmengden er mer kompleks og mangfoldig enn tidligere. Dette gir nye utfordringer for saksbehandlingen, kontroll- og informasjonsvirksomheten.

I 1998 ble det totalt registrert 10 107 dokumenter. Året før ble 11 653 dokumenter registrert.

Flere henvendelser er ikke direkte knyttet til søknader om oppretting av registre eller å drive konsesjonspliktig virksomhet. Enkeltpersoners hverdagsliv og engasjement i samfunnsdebatten om personvern resulterer i at de tar kontakt med Datatilsynet. Antall dokumenter er derfor ikke en reell målestokk for saksmengden.

Konsesjoner

Datatilsynet ga konsesjon til å opprette 1 923 personregistre i 1998. Av disse var 505 offentlige, 1 283 private og 135 kandidatregistre. Dette er en nedgang i forhold til 1997 da det ble gitt 2 419 konsesjoner. I meldingsåret ble det gitt om lag 430 konsesjoner til nye forskningsprosjekter. Konsesjoner til forskning utgjorde 22% av det totale antall konsesjoner for personregistre. I tillegg ble det gitt om lag 300 konsesjonsforlengelser til forskning.

Avslag og klager på søknad om konsesjon

Datatilsynet har gitt avslag ved 40 søknader om konsesjon i meldingsåret. I 20 av sakene ble det gitt delvis avslag og i de resterende 20 ble søknadene helt avslått.

I løpet av meldingsåret kom det inn 20 klager over Datatilsynets vedtak, mot ti klager i 1997. I tillegg ble fire klagesaker fra 1997 ferdigbehandlet. Klagen ble trukket i tre av sakene, fem ble omgjort av tilsynets administrasjon og tolv gikk videre til styrebehandling. De resterende fire er fortsatt under behandling i administrasjonen.

Av sakene som ble styrebehandlet i meldingsåret, ble en omgjort av styret. I de resterende sakene fastholdt styret administrasjonens vedtak og oversendte sakene til Justisdepartementet for videre behandling.

Justisdepartementet avgjorde i løpet av dette meldingsåret 13 saker. Av dem ble tre omgjort. I ti av sakene ble Datatilsynets vedtak stadfestet. Ved utgangen av året var to saker fortsatt til behandling i departementet.

Kontroller

Datatilsynet konsentrerte seg i meldingsåret om fylkesvise kontroller innen et bredt spekter fra videobutikker til internasjonale konsern. Tilsynets teknologiseksjon har deltatt sammen med juristene under 41 kontroller av personvern og informasjonssikkerhet i Trøndelag og Rogaland. Resultatene fra kontrollene var i hovedtrekk like i de to fylkene. På tross av en mangel på konkret kjennskap til regelverket fulgte de fleste personvernets generelle grunntanker.

Høringsuttalelser

Datatilsynet mottok 116 høringssaker i 1998 mot 171 i 1997. Flere av sakene er svært omfattende. Dette gjelder spesielt høringssaker knyttet til arbeidet med ny lov om helseregistre og regelverket for Schengenavtalen.

Informasjon

Informasjonsseksjonen har i meldingsåret økt fra en til to stillinger, og har fått en webredaktør i tillegg til informasjonssjef. Datatilsynet har satset på en oppdatert informasjon gjennom sine websider. Magasinet SPOR kom i fem utgaver dette året. Ledelsen, juristene og teknologene har i løpet av året hatt en øking i sin foredrag -og seminarvirksomhet landet rundt.

Sentrale saker

Telekommunikasjonsdirektivet

Datatilsynet tok opp ansvaret for gjennomføring og oppfølging av direktivet om telekommunikasjon med Justisdepartementet i meldingsåret. Direktivet om telekommunikasjon er en utdyping av EUs personverndirektiv 95/46.

Retningslinjer for informasjonssikkerhet

Datatilsynet har et tverrsektorielt ansvar for å gi regler for informasjonssikkerhet, samt føre kontroll med at reglene etterleves. Markante ansvarsområder også i 1998, har vært å informere om forhold av betydning for informasjonssikkerheten, som for eksempel forandringer i trusselbildet og innføring av ny teknologi, og gi råd om organisatoriske og tekniske sikkerhetsløsninger.

Datatilsynet vedtok 9. juni 1998 å ta i bruk nye Retningslinjer for informasjonssikkerhet ved behandling av personopplysninger som underlag ved utarbeidelse av konsesjonsvilkår, og ved Datatilsynets sikkerhetskontroller.

Schengens informasjonssystem

I Schengens informasjonssystem (SIS) har Datatilsynet i meldingsåret engasjert seg i to viktige områder; forslag til lov om SIS og etablering av en prosjektgruppe i det nasjonale Schengenprosjektet.

Datatilsynet har deltatt i Stortingets åpne høringer om Schengenavtalen, i debatter i media og i Schengenlandenes felles tilsynsorgan JSA.

De nye helselovene

Datatilsynet har hatt de nye helselovene til høring i meldingsåret. De viktigste for DT er lov om pasientrettigheter, lov om spesialisthelsetjenesten, lov om helsepersonell og lov om helseregistre.

Personvern og Internett

1998 har vært sterkt preget av saker hvor aktører med omfattende personregistre har ønsket å legge disse ut på Internett. Eksempler på dette er Telenors ønske om å legge ut telefonkatalogens hvite sider og Konkurransetilsynet som vil legge ut en database over vedtak.

Personregisterloven er ikke oppdatert i forhold til mange av de spørsmålene som reises, og vanskelige tolkningsspørsmål oppstår som følge av dette.

Fjernsynsovervåking

Gater, torg, flyplasser, drosjer, sykehjem og skoler blir gjenstand for kameraovervåking for å trygge vår alles hverdag. Fokusering på dette temaet fra såvel yrkesgrupper, enkeltpersoner og media, gir grunn til ettertanke.

Samarbeid og utvalg

• Datatilsynet er representert i «Brukergruppen for elektronisk saksbehandling» som ble nedsatt av Statskonsult høsten 1998.

• Lege/Forsikringutvalget er et statlig utvalg som skal se på forsikringsselskapenes adgang til å innhente, oppbevare og lagre helseopplysninger. Arbeidet forventes avsluttet innen 1999.

• Datatilsynets saksbehandlere i teknologiseksjonen har i 1998 deltatt i Nærings- og handelsdepartementets råd for IT-sikkerhet (RITS) og i de utvalg Rådet har nedsatt. - Samarbeid om veiledninger i informasjonssikkerhet er innledet overfor Justissektoren med mål å utarbeide en sikkerhetshåndbok på overordnet nivå for hele sektoren: Politiet, domstoler og kriminalomsorgen.

• Datatilsynet fortsetter samarbeidet med Sosial- og helsedepartementet og med Statens Helsetilsyn om veiledninger i informasjonssikkerhet for helsesektoren.

• Datatilsynet er representert som observatør i Rådet for persondataarkivering, opprettet etter initiativ fra Norsk forskningsråd.

Internasjonale fora

• Det uformelle, nordiske samarbeidet for datatilsyn fortsatte med tilsynssjefmøte i Åland i 1998.

• Norge er gitt observatørstatus i den såkalte «Artikkel 29»-gruppen. Gruppen har som oppgave,

med utgangspunkt i de to EU-direktivene om personvern og om telekommunikasjon, å arbeide for presisering, konkretisering og felles strategier for de nasjonale tilsynsorganene.

Tilsynssjefene fra alle land som har datatilsyn møtes en gang pr. år, i 1998 i Campostela de Santiago i Spania.

«Berlin-gruppen» møtes to ganger i året for å diskutere personvernspørsmål knyttet til telekommunikasjon. I 1998 ble vårmøtet avholdt i Hongkong og høstmøtet, som vanlig, i Berlin. Norge ble oppfordret til å påta seg vertskapsforpliktelser ved neste møte i april 1999.

• Norge er for tiden også observatør i Schengensamarbeidets tilsyns- og kontrollorgan, JSA (Joint Supervicory Authority.) som hjemles i Schengenavtalen. Norges muligheter for å ta initiativ og øve innflytelse er i utgangspunktet begrenset av vår status som observatør uten stemmerett.

Juridisk og teknologisk seksjon

Ansvar på tvers av samfunnssektorene

1 Nye retningslinjer for informasjonssikkerhet

I medhold av Personregisterlovens § 8b kan Datatilsynet ved enkeltvedtak gi regler for sikring av personregistre. Sikkerhetsregler gis for konsesjonspliktige registre og for personregistre fritatt for konsesjon i medhold av Forskrifter til personregisterloven. I tillegg gir Datatilsynet regler for informasjonssikkerhet for personregistre opprettet med hjemmel i egen lovgivning - i de tilfeller der det ikke er fastsatt egne sikkerhetsregler i hjemmelsloven, noe som bare unntaksvis er tilfellet.

Datatilsynet vedtok 9. juni 1998 Retningslinjer for informasjonssikkerhet ved behandling av personopplysninger, som underlag ved utarbeidelse av konsesjonsvilkår og for Datatilsynets sikkerhetskontroller.

Retningslinjene er resultat av et utviklingsarbeid som ble gjennomført i 1997 og i begynnelsen av 1998. Formålet med arbeidet var å bringe Datatilsynets sikkerhetsregelverk bedre i samsvar med den teknologiske utviklingen, og med virksomhetenes behov for å ta i bruk moderne databehandling av personopplysninger.

Tidligere regelverk har hatt som utgangspunkt at personopplysninger - og i særlig grad sensitive personopplysninger - skulle føres i egne, isolerte edb-system. Utviklingen av informasjonssystemene innebærer en stadig tettere integrering mellom forskjellige funksjoner. Det dreier seg ikke bare om sammenkobling av funksjoner i virksomhetens eget informasjonssystem, men også tilkobling av informasjonssystem med sensitive personopplysninger til eksterne nett, bl.a. Internett.

Ved utvikling av retningslinjene er det tatt hensyn til anerkjente standarder for informasjonssikkerhet og kvalitetssikring. Utviklingsarbeidet er koordinert med arbeid som er utført i regi av Nærings- og handelsdepartementet med sikte på å etablere norske sertifiseringsordninger for informasjonssikkerhet.

Det er viktig å merke seg at det ikke er tilstrekkelig bare å etablere avanserte tekniske sikkerhetstiltak for å oppnå tilfredsstillende informasjonssikkerhet. Organisatoriske tiltak, herunder klare ansvarsforhold og tilstrekkelig kompetanse, er også påkrevd.

Datatilsynets Retningslinjer for informasjonssikkerhet ved behandling av personopplysninger omfatter derfor krav til etablering av kvalitetssystem som også dekker bruk av informasjonssystemet og informasjonssikkerhet.

Datatilsynet har under arbeidet med retningslinjene hatt kontakt med brukere, fagmiljøer og offentlige organer, blant annet ved å sende ut høringsutkast på flere stadier i utviklingsprosessen. En rekke tilbakemeldinger er mottatt og innarbeidet, og dette har bidratt til at det endelige dokumentet er blitt positivt mottatt av brukerne.

Veiledning i informasjonssikkerhet for kommuner og fylkeskommuner

Datatilsynets retningslinjer omfatter i mindre grad detaljerte tekniske sikkerhetskrav enn tidligere sikkerhetsreguleringer. Årsaken til dette er at retningslinjene ikke skal være for sterkt knyttet til teknologiske løsninger eller bestemte virksomhetssektorer. DT er klar over at dette skaper et behov for å gi mer konkret veiledning og informasjon om hvordan kravene til sikkerhet kan imøtekommes.

Datatilsynet tar dette alvorlig og utarbeider derfor veiledninger i informasjonssikkerhet spesielt rettet mot enkelte sektorer, eller som omhandler spesielle sikkerhetsmessige problemstillinger. Slike veiledninger utarbeides i nært samarbeid med de aktuelle brukerne.

Et eksempel på slik veiledning er resultatet av Datatilsynets samarbeid med kommuner og fylkeskommuner. Tidlig i 1998 inviterte Datatilsynet til deltakelse i en arbeidsgruppe med formål å utarbeide Veiledning i informasjonssikkerhet for kommuner og fylkeskommuner. Sammen med Kommunenes Sentralforbund deltok representanter fra seks kommuner og fylkeskommuner i dette arbeidet.

Veiledningen inneholder anbefalinger og eksempler på hvordan tilfredsstillende organisatoriske og tekniske sikkerhetstiltak kan implementeres i kommunal/fylkeskommunal sektor. Veiledningen anviser sikkerhetstiltak ved følgende databruk:

• Integrasjon i virksomhetens eget informasjonssystem, herunder sammenkobling mellom de deler av informasjonssystemet hvor sensitive personopplysninger behandles og systemet for øvrig.

• Tilkobling til virksomhetens partnere og leverandører for ekstern behandling av sensitive personopplysninger (databehandling) og ved service og vedlikehold av informasjonssystemet.

• Bruk av hjemmekontor og ved telependling.

• Tilkobling til eksterne datanett, både for (sikker) overføring av sensitive personopplysninger virksomheter imellom, og for generell informasjonsinnhenting - herunder bruk av Internett.

Veiledningen skal ikke oppfattes som en entydig kravspesifikasjon, men angir hvordan tilfredsstillende informasjonssikkerhet kan implementeres. I utgangspunktet kan virksomhetene fritt velge alternative løsninger, men må da påregne et mer omfattende dokumentasjonskrav fra Datatilsynets side.

Sikkerhetsveiledningen for kommuner og fylkeskommuner er, etter å ha vært til høring (bl.a. hos kommuner og fylkeskommuner valgt ut av Kommunenes Sentralforbund), nå til endelig bearbeiding hos Datatilsynet.

Samarbeid - justissektoren og helsevesenet

Tilsvarende samarbeid om veiledninger i informasjonssikkerhet er innledet overfor justissektoren med mål å utarbeide en sikkerhetshåndbok på overordnet nivå for hele sektoren: Politiet, domstoler, kriminalomsorgen mv.

I tillegg fortsetter Datatilsynets samarbeidet med Sosial- og helsedepartementet og med Statens helsetilsyn om veiledninger i informasjonssikkerhet for helsesektoren. Arbeidet er omfattende, og resulterer derfor i flere dokumenter som tar for seg organisatoriske og tekniske anbefalinger. Til nå er veiledninger for bruk av Internett og ved elektronisk overføring (EDI) av helseopplysninger ferdigstilt. Anbefalinger ved etablering av sikkerhetstiltak i større sykehus og i mindre virksomheter i helsevesenet er under utarbeidelse.

Arbeidsformen Datatilsynet her har valgt - å ta utgangspunkt i en felles, grunnleggende sikkerhetsnorm (retningslinjene) for så i nært samarbeid med sektorer og bransjer å utarbeide detaljerte anbefalinger - har vist seg effektiv, men også svært ressurskrevende. Brukerne må kunne forvente at Datatilsynet er i stand til å starte slikt arbeid når behov avdekkes. Dette forutsetter at Datatilsynet har høy kompetanse på datateknikk og informasjonssikkerhet, og dessuten god saksbehandlingskapasitet. Alternativet - sak til sak vurdering av sikkerheten i hver enkelt virksomhet uten harmoniserte grunnleggende krav - har vist seg lite tilfredsstillende.

Datatilsynets sikkerhetskrav

En rekke virksomheter har nå presentert avansert databruk - herunder tilkobling av informasjonssystem som inneholder sensitive personopplysninger til Internett - for godkjenning hos Datatilsynet. Etter evaluering av informasjonssikkerheten har flere virksomheter fått tillatelse til slik databruk. Dette gjelder virksomheter såvel innen offentlig sektor som i det private næringslivet.

Saksbehandlingen er omfattende, og Datatilsynet tilbyr konsultasjonsmøter for å sikre effektiv kommunikasjon og avklare virksomhetenes behov i forhold til Datatilsynets sikkerhetskrav.

Aktivt og passivt samtykke

2 Personvern i helsesektoren

Datatilsynet har de siste årene sett en økende tendens til opprettelse av sentrale, til dels store helseregistre. Registrene blir opprettet som rene forskningsregistre, eller i forbindelse med oppbygging av ulike kompetansesentre. Kompetansesentrene har behov for omfattende informasjon til bruk i blant annet kvalitetssikring av ulike behandlingsopplegg.

Informasjon og erklæring om samtykke

En økende tendens i søknadene er at registreringene blir basert på samtykke fra de registrerte. Datatilsynet har derfor endret fokus noe i behandlingen av disse søknadene. Medisinsk forskning er viktig, og Datatilsynet har hverken kompetanse eller behov for å vurdere hvilke prosjekter som har livets rett. Derfor nekter Datatilsynet sjelden forskere å registrere visse typer opplysninger fordi DT mener de er integritetskrenkende eller mangler relevans. Datatilsynet forutsetter at de enkelte er i stand til å ivareta sitt eget personvern, i den grad de får tilstrekkelig informasjon. Det er derfor lagt vekt på at informasjonsskriv og samtykke-erklæringer er i samsvar med de prosjektbeskrivelser DT mottar, og de råd som forskerne eventuelt har fått fra de respektive etiske forskningskomiteer.

Uklarheter i forbindelse med personvern er også knyttet til disse sakene. Mange forskere tar sikte på svært lang oppbevaringstid, eventuelt permanent lagring av opplysningene. I tillegg har de ofte ambisjoner om å utnytte opplysningene maksimalt, både i forbindelse med det aktuelle prosjektet og i fremtidige prosjekter. I de fleste tilfeller er registeransvarlig villig til å informere om dette og innhente samtykke fra den registrerte, men DT ser også tilfeller der dette ikke ønskes fordi det kanskje kan svekke svarprosenten. Selv om samtykke innhentes gjelder dette uoverskuelige forhold, og informasjonen kan derfor sjelden bli helt tilfredstillende for de som deltar i undersøkelsene. Det kan derfor reises tvil om hvorvidt samtykket er reelt i mange sammenhenger. Dette er et stort etisk problem, spesielt i forbindelse med prosjekter der respondenten blir bedt om å avgi blodprøver og samtidig gir et generelt samtykke til at blodprøven kan benyttes i senere forskning.

Det er også problemer knyttet til samtykkets utstrekning. Datatilsynet har ofte en annen oppfatning enn forskeren når dette problemet reises, men forsøker å løse problemet i samarbeid med forskeren. I praksis har det som regel resultert i at prosjektene går som planlagt med enkelte modifikasjoner, for eksempel redusert lagringstid. Det hender også at DT mener det er nødvendig å innhente nytt samtykke for ny bruk av opplysningene.

Datatilsynet behandlet nylig en sak der det måtte søkes nytt samtykke for nye og utvidede prosjekter. Det dreide seg om å skrive til 37 000 kvinner og be om tillatelse til å se på andre forhold enn det som detaljert var beskrevet i forbindelse med det opprinnelige prosjektet/samtykket. Prosjektledelsen mente også dette var nødvendig, og ny forespørsel om samtykke har nå gått ut til de involverte kvinnene.

Datatilsynet har også til vurdering hvordan man eventuelt kan utvikle en av de store helseundersøkelsene, og informasjon samlet inn i den konkrete forbindelse, til å bli en «opplysningsbank» i forskningssammenheng. Også her blir det vesentlig hva deltakerne egentlig samtykket til, og om de i så fall forsto både konsekvenser og omfang. Datatilsynet har ennå ikke tatt stilling til saken, men ser at den reiser viktige avgrensningsspørsmål.

Nasjonale helseregistre

Til tross for ulike betenkeligheter knyttet til sentrale forskningsregistre, har Datatilsynet ikke avslått søknader hverken for prosjektrelaterte eller permanente helseregistre.

I tillegg har Datatilsynet gitt konsesjoner til allerede etablerte registre, som Medisinsk Fødselsregister og Dødsårsaksregisteret.

Dødsårsaksregisteret er det tredje største helseregisteret i Norge, og ble etablert i 1951. Registeret gir grunnlag for den årlige dødsårsaksstatestikken fra Statistisk sentralbyrå og for ulike forskningsprosjekter. Registeret inneholder bl.a. opplysninger om dødsårsaker, misbruk av narkotika, død i fengsel og arrest og fødsel i eller utenfor ekteskap for registrerte under to år.

Når det gjelder Dødsårsaksregisteret har tilsynet hatt en lang dialog med Statens Helsetilsyn, og det er enighet om at registeret er konsesjonspliktig. Opplysningene kan fortelle mye om, og ha betydning for, gjenlevende slektninger, og faller derfor inn under konsesjonsplikten. En del forhold måtte avklares før konsesjon kunne gis, men denne er nå endelig utformet og utstedt til Statens Helsetilsyn.

For Medisinsk Fødselsregisters konsesjon, var det på tide med en oppdatering både når det gjaldt ulike tilleggstillatelser som har vært gitt siden den opprinnelige konsesjonen, og for tekniske krav fra Datatilsynets side. Medisinsk Fødselsregister ble etablert i 1970 og er landets største medisinske register. Det skal bl.a. forestå en løpende overvåking av helseforholdene blant gravide og barn i nyfødtperioden og gi grunnlag for å utvikle normer, standarder og retningslinjer for helsetjenesten på området.

Saksbehandlingen resulterte i at det ble gitt en revidert konsesjon til Statens Helsetilsyn, som står som formell eier av registeret. Arbeidet med konsesjonen avdekket uoversiktlige forhold nå det gjelder disposisjonsrett, drift og eierskap til registeret.

I tillegg har Datatilsynet fått inn søknad om konsesjon til videre oppbevaring av det såkalte Åndssvakeregisteret. Registeret ble omtalt i media, og Datatilsynet tok kontakt med Statens Helsetilsyn for å få en avklaring på konsesjonsspørsmålet. DT fikk samtidig kunnskap om et «vanføreregister». Etter en avklarende runde mottok DT konsesjonssøknad fra Statens Helsetilsyn. Datatilsynet ba om en nærmere begrunnelse for behovet for videre registrering. Registeret utgjør en stor belastning for de registrerte, og Datatilsynet anser det som påkrevet at registereier har et bevisst forhold til nødvendigheten av materialet. Datatilsynet avventer svar på anmodningen.

De nye helselovene

Datatilsynet har hatt de nye helselovene til høring. De viktigste for tilsynet er lov om pasientrettigheter, lov om spesialisthelsetjenesten, lov om helsepersonell og lov om helseregistre. Sistnevnte har høringsfrist først i 1999.

Ved utarbeidelsen av de ulike odelstingsproposisjonene er DTs synspunkt delvis tatt hensyn til. Det er imidlertid ett viktig forhold som ikke er behandlet, og som Datatilsynet ønsker å følge opp. Det gjelder forholdet til sikring av informasjon i helsesektoren.

Helsemyndighetene har gitt tydelig uttrykk for at de ønsker å gi egne regler på dette området. Dette kommer til utrykk i både lov om helsepersonell og lov om spesialisthelsetjenesten, der Helsedepartementet blir gitt forskriftskompetanse til å gi sikkerhetsvilkår til sektoren. I lov om Helseregistre er det foreslått en henvisning til Datatilsynets sikkerhetsforskrifter, Helse- og sosialdepartementet er gitt anledning til å bidra med egne tilføyelser.

Datatilsynet har tilsynsansvar for sikkerheten i alle samfunnssektorer. Datatilsynet utvikler detaljerte regler og har ansvar for oppfølgingen. Det utarbeides nå generelle sikkerhetsforskrifter i tilknytning til forslag til lov om behandling av personopplysninger. Det vil være naturlig at de samme sikkerhetskravene stilles overfor helsevesenet.

Helsesektoren vil måtte forholde seg til krav fra Datatilsynet uansett, enten fordi registre faller utenfor helsevesenets egne hjemler, eller fordi helsevesenet har behov for å kommunisere elektronisk med registre som er underlagt Datatilsynets krav. Det vil derfor være uheldig å ikke ha samsvar mellom de to regelsettene. Helsedepartementet kan legge seg på samme linje som Datatilsynet og benytte de samme kravene, men det vil likevel være uheldig og forvirrende for brukerne å måtte forholde seg til til to regelsett og to myndigheter på ett og samme område. Å ha ett regime og så ensartede regler som mulig er viktig for sikkerheten.

Behovet for forskrifter

Datatilsynet vil avslutningsvis presisere hvorfor arbeidet med sikkerhetsforskrifter er vesentlig. Datatilsynet har ikke forskriftskompetanse, og må derfor gi regler til alle registereiere ved enkeltvedtak. Dette er tungvint og upraktisk så lenge DT tilstreber å gi ensartede regler til alle ved registrering av sensitiv informasjon.

DT mottar henvendelser og søknader som medfører at de samme reglene må gis enkeltvis til flere tusen leger og sykehus. Dette har nå aktualisert seg gjennom to konkrete saker DT har hatt til behandling. Den ene omhandler et reseptsikrersystem som leger kan knytte seg opp til for å bedre kvaliteten på sine tjenester. I utgangspunktet må alle leger som ønsker å knytte seg til systemet søke Datatilsynet om tillatelse.

Den andre saken gjelder poliklinikkers refusjonsadgang fra Rikstrygdeverket. Departementet har sendt et forslag til endring i «Forskrift for godtgjørelse av utgifter til legehjelp som utføres poliklinisk ved helseinstitusjoner på fylkeskommunal helseplan og ved statlige helseinstitusjoner,» ut på høring. Endringen innebærer at alle poliklinikkene skal overføre sine refusjonskrav elektronisk til Rikstrygdeverket. Etter dagens regelverk er det ikke anledning til dette uten Datatilsynets godkjenning av sikkerheten ved overføringen. Endringen er obligatorisk for poliklinikkene, og uten sikkerhetsforskrifter kan Datatilsynet risikere å måtte saksbehandle søknader fra alle landets sykehus. Dette vil være en unødvendig stor arbeidsbelastning som kan unngås dersom forskriftene kommer på plass.

EUs politisamarbeid

3 Schengen informasjonssystem

I forhold til Schengen informasjonssystem (SIS) har Datatilsynet i meldingsåret engasjert seg i to viktige områder; forslag til lov om SIS og etablering av en prosjektgruppe i det nasjonale Schengenprosjektet.

Datatilsynet har i flere år vært opptatt av hvilke konsekvenser Schengensamarbeidet vil få for personvernet. Deltakelse i Stortingets åpne høringer om Schengenavtalen, debatter i media og deltakelse i Schengenlandenes felles tilsynsorgan JSA er eksempler på tilsynets engasjement.

Høringsuttalelse: Forslag til lov om Schengen informasjonssystem

Høsten -98 sendte Justisdepartementet ut forslag til lov om Schengen informasjonssystem (SIS). Datatilsynet avga en kritisk høringsuttalelse.

Sentrale personvernrettigheter er ikke tilfredsstillende ivaretatt i forslaget, som rett til innsyn og mulighet for å korrigere og slette opplysninger. Forslaget setter til side Datatilsynets vedtakskompetanse på en rekke sentrale områder. Dette gjelder bl.a. vedtaksmyndighet i forhold til retting og sletting av opplysninger slik kompetansen er formulert i personregisterloven §8.

Registeransvarlig (Kriminalpolitisentralen) skal ifølge forslaget ha vedtaksmyndighet i slike saker.

Justisdepartementet gis også en svært vid adgang til å gi forskrifter i medhold av loven.

Forkriftskompetanse foreslås gitt på sentrale områder; som for eksempel hvem som skal ha tilgang til SIS for å kunne gjøre direkte oppslag i registeret, og hvem registeret skal kunne utlevere opplysninger til. Vesentlige bestemmelser som dette bør fremgå av lovteksten fordi den registrerte skal kunne orientere seg om hvem som har tilgang og hvor opplysningene havner. Spørsmål om å utvide kretsen av myndigheter som kan få tilgang til eller utlevert opplysninger bør dessuten være gjenstand for en politisk behandling.

Departementet skal kunne gi forskrift om den praktiske gjennomføringen av Datatilsynets kontroll med den norske delen av SIS. En slik forskriftskompetanse eksisterer ikke for noen andre registre, og vil etter vår oppfatning være i strid med EU-direktiv om beskyttelse av personopplysninger og Schengenavtalens prinsipp (art. 114) om at kontrollorganet skal føre uavhengig kontroll.

Generelt savner Datatilsynet en harmonisering av regelverket innenfor politisektoren og spesielt i forhold til viktige personvernregler som innsyn, retting og sletting av opplysninger. Man vil lett kunne havne i paradoksale situasjoner hvis SIS og politiets øvrige registre skal operere med ulike rettigheter.

Hva er saklig behov?

4 Fjernsynsovervåking

I meldingsåret har krav om fjernsynsovervåking kommet fra stadig flere hold. Datatilsynet mener overvåking av offentlige rom er et sterkt inngrep i den private sfære, og at kontinuerlig overvåking ved hjelp av kamera bør være unntaket og ikke regelen.

Fjernsynsovervåking blir mer og mer vanlig. Antall kameraer og utplasseringssteder øker. Datatilsynet ser nye tendenser innen overvåkingen; direkte oppkobling mot politiet, fjernsynsovervåking av skoler og eldreboliger, montering av Internettkameraer og drosjenæringens ønske om kameraovervåking.

Politiets overvåking med kamera

I 1998 kom det krav fra mange hold om at politiet skulle ta i bruk fjernsynsovervåking av offentlige gater og torg. Frem til i dag har politiet ikke selv brukt med kameraer til overvåking, med unntak av de som er montert utenfor politistasjonene. Fjernsynsovervåking i regi av politiet skal nå settes igang i Bodø sentrum og rundt Sentralbanestasjonen i Oslo.

Denne praksisen reiser spørsmål som trenger en politisk avklaring. Lovgrunnlaget er ett av spørsmålene. Personregisterloven § 37a gir generell hjemmel for overvåking av offentlige rom og gjelder også for politiet. Forskrift om fjernsynsovervåking, som bl.a. annet gir hjemmel for å utlevere opptakene til politiet, er ikke egnet. Hvis det er politiet selv som overvåker vil de kunne ende opp i en dobbeltrolle.

Når politiet står for fjernsynsovervåkingen blir store mengder overskuddsinformasjon tilgjengelig og politiets bruk av denne informasjonen må være regulert.

Prøveprosjekt

I Oslo skal politiet gjennomføre et prøveprosjekt i områdene rundt Oslo Sentralbanestasjon. Døgnet rundt skal flere kameraer være i drift. Grønland politistasjon skal følge med på kameraenes monitorer, og på forhånd skal det være avklart i hvilke tilfeller bildene skal overføres til kommandosentralen ved Oslo Politikammer.

Prøveprosjektet har en tidsramme på inntil ett år. En evaluering av prosjektet skal bl.a. gi svar på hvilken kriminalitet som fanges opp, om systemet virker kriminalitetsforebyggende og om kriminaliteten forflytter seg. Datatilsynet har ytret ønske om å være med på en slik evaluering.

Storbritannia er av de landene som har mest erfaring med slik overvåking i regi av politiet.

De fleste av disse kamerasystemene er digitale, og teknologi for å gjenkjenne ansikter er tatt i bruk bl.a. på flyplasser og ved T-banestasjoner. Så langt er politiet i Storbritannia fornøyd og dette har igjen ført til et økt press i Norge for innføring av lignende systemer. Forkjempere for personvern i Storbritannia er langt mer skeptiske og ennå er ikke systemet evaluert. Vil kriminaliteten bare forflytte seg til områder uten fjernsynsovervåking?

Direkte kobling

På Oslo Hovedflyplass Gardermoen er det satt opp om lag 400 kameraer. Datatilsynet kjenner til reaksjoner fra både ansatte og publikum som har følt seg krenket av overvåkingen.

På befaring ble Datatilsynet kjent med at også politiet er koblet direkte til systemet. Dette medfører problemer i forhold til Datatilsynets regelverk. Når det er snakk om utlevering til politiet i Forskrift om fjernsynsovervåking, er det snakk om en fysisk utlevering av et opptak, ikke direkte oppkobling. Datatilsynet stiller spørsmål ved om en slik overvåking er hjemlet i lovverket. Dette vil bli avklart i løpet av 1999.

Internettkameraer

Personregisterloven gjelder for bilder fra Internettkamera når enkeltpersoner kan bli gjenkjent direkte eller indirekte på bildene, og hvis bildene er tatt på offentlig sted. Internettkameraer som faller innenfor lovverket gir nye utfordringer for regelverket, særlig i forhold til reglene om tilgang til og utlevering av bildene. Normalt skal bare den som er avbildet kunne få opptaket utlevert fra et overvåkingskamera. Blir bildene lagt fritt ut på Internett kan ingen kontrollere tilgjengelighet eller hvem som laster dem ned. Normalt skal opptak fra overvåkingskamera slettes senest én uke etter opptak. På Internett vil bildene få lengre levetid og derfor er det grunn til skepsis ved bruk av Internettkameraer for overvåking.

Overvåking av barnehager

Nylig har Datatilsynet fått forespørsler fra publikum om lovligheten av å benytte seg av fast installerte Internettkameraer i barnehager. Foreldrene kan ved hjelp av passord gå inn på barnehagens Internettsider og i direkte overføring se sine små leke. Formålet skal være å fremme kontakten mellom foreldre og barn. Det er spørsmål om dette oppfyller personregisterlovens krav til saklig behov for overvåking.

Overvåking av skoleelever

Datatilsynet har det siste året fått flere henvendelser fra skoler som vil overvåke både skolegårder og innendørs lokaler. Begrunnelsene er de samme som for et kjøpesenter - å forebygge tyverier, vold og vandalisme. Enkelte skoler har også montert kameraer utenfor skoleområdet for å hindre salg av narkotika og voldstrusler mot skoleungdommene.

Datatilsynet mener en eventuell overvåking av skoleanlegg bare bør finne sted på tidspunkt ingen har sitt faste tilhold der. Å skifte ut lærere og den tryggheten de representerer i skolegården, med kameraovervåking, er også et tankekors.

Overvåking i drosjer

Drosjesjåførenes sikkerhet har vært fokusert i mediene i 1998. Drosjenæringen vurderer nye tiltak for å gjøre drosjen til et trygt arbeidssted for sjåførene. Ett forslag til tiltak er å benytte seg av fast monterte automatkameraer som tar ett eller flere bilder av hver passasjer. Om dette vil virke preventivt i forhold til vold og ran er ennå ikke dokumentert. Datatilsynet har ikke myndighet til å gripe inn, men deltar svært gjerne på en kommende evaluering av de ulike systemene.

Overvåking av skipsleder

Sommeren 1998 ble Datatilsynet gjort oppmerksom på Kystverkets planer om å sette opp overvåkingskameraer i skjærgården i ytre Oslofjord. Det er skipsleden som skal festes til filmen, men det blir også personovervåking fordi de linjegående fartøyene kan identifiseres. Datatilsynet gjorde Kystverket oppmerksom på at overvåkede områder skal merkes tydelig. Dette fremgår av Straffelovens § 390b. Hvordan informasjon eller skilting skal skje ble ikke avklart i 1998.

Aktivt og informert samtykke

5 Personvern og forskning

Datatilsynet ga i meldingsåret om lag 430 konsesjoner til nye forskningsprosjekter og 300 konsesjonsforlengelser.

Konsesjoner til forskning utgjorde 22% av det totale antall konsesjoner for personregistre.

Publiserte rapporter og lignende fra forskningsprosjekter skal være anonymiserte, og omtale av registrerte personer skal normalt ikke kunne tilbakeføres til identifiserbare personer. Dette er et alminnelig vilkår for konsesjon for historiske og samfunnsvitenskapelige forskningsprosjekter. Vilkåret kan være problematisk ved forskning der offentlig kjente personer er involvert. Deres handlinger kan allerede være alminnelig kjent og derfor ikke lette å anonymisere.

Sentrale historiske hendelser

Problemstillingen ble aktualisert i et forskningsprosjekt om det militære granskningsoppgjøret etter 2. verdenskrig. I klage på Datatilsynets konsesjonsvedtak ble det anført at vilkåret kunne gjøre det vanskelig eller umulig å omtale viktige historiske begivenheter. Å være registrert i et konsesjonspliktig personregister kunne, etter forskerens oppfatning, ikke føre til en generell immunitet mot omtale.

Etter å ha innhentet uttalelse fra Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH), la administrasjonen frem saken for Datatilsynets styre. Etter forslag fra administrasjonen vedtok styret:

«Publisering i form av rapporter og lignende skal skje i anonymisert form. Prinsippet om anonymisering kan bare fravikes dersom belysning av sentrale, historiske hendelser svekkes vesentlig uten at identiteten offentliggjøres, og viktigheten av opplysningene i den aktuelle debatt veier vesentlig tyngre enn den ulempen en offentliggjøring vil medføre for den registrerte, hans ettermæle og hans etterlatte. Den registeransvarlige skal foreta en vurdering av om opplysningene kan offentliggjøres eller ikke ut i fra de ovennevnte kriteria og de momenter som er skissert ovenfor.»

Som grunnlag for vedtaket ble det bl.a. lagt vekt på at levende personer må ha et sterkere vern mot publisering enn de døde. Datatilsynets oppfatning var også at man i en viss utstrekning gir avkall på vern hvis man selv har valgt en sentral posisjon i samfunnslivet. Høyt rangerte offiserer og andre med sentrale posisjoner har derfor som hovedregel mindre krav på vern enn de med mindre fremtredende roller. At opplysningene hadde vært offentliggjort i andre sammenhenger tidligere, ble også tillagt vekt. Personer som dukker opp i debatten for første gang vil under denne betraktningen ha et større krav på vern. Vurderingstemaene måtte også avveies mot ytringsfriheten.

Aktivt samtykke

I prosjektet Den nordiske ITP-studien («Nordisk undersøkelse av riskene forbundet med idiopatisk trombocytopenisk purpura hos barn under 15 år»), var det i konsesjonen stilt krav om å innhente aktivt informert samtykke til alle deler av undersøkelsen. Vedtaket ble påklaget under henvisning til at studien ville endre karakter fra en befolkningsbasert til en selektert undersøkelse, og ville resultere i en lavere svarprosent. En selektert undersøkelse ville på langt nær ha samme verdi som en befolkningsbasert undersøkelse, ble det hevdet.

Klager anførte også at rent sykdomsrelaterte opplysninger måtte anses som lite følsomme - bl.a. fordi det ikke skulle registreres opplysninger om sosiale forhold. Nasjonale data ville være avidentifiserte og tilsvarende prosjekter var gjennomført i andre nordiske land uten krav til samtykke.

Etter Datatilsynets oppfatning måtte forskningsprosjektets samfunnsnytte veies opp mot pasientenes personvern. Kravet om aktivt informert samtykke til alle deler av undersøkelsen er basert på det grunnleggende personvernprinsippet om å ha kontroll over opplysninger om seg selv. Det skal svært gode grunner til for å fravike dette.

Kvaliteten på grunndataene ville ikke svekkes nevneverdig ved et krav om samtykke, var Datatilsynets vurdering. De fleste som rammes av sykdommen, om ikke alle, ville være interessert i å delta i undersøkelsen. Sykdomsrelaterte opplysninger er «sensitive» i relasjon til personregisterloven.

Datatilsynet fant heller ikke å kunne fravike kravet om samtykke fordi opplysningene skulle avidentifiseres. Derimot skulle pasientene selv - på bakgrunn av informasjon om prosjektets tiltenkte bruk av opplysningene - få anledning til å velge om de ville være med i forskningsprosjektet eller ikke.

Norsk praksis på området var så klar at man ikke fant å kunne dispensere fra vilkåret, og henvisningen til de nordiske prosjektene ble derfor ikke tillagt avgjørende vekt.

Justisdepartementet stadfestet Datatilsynets vedtak.

Kobling

Kravet om samtykke var også temaet i en forskningssak som ble sluttbehandlet av Justisdepartementet i januar 1998. Prosjektet skulle identifisere alkoholikere som var behandlet for bruddskader ved ortopediske avdeling på et sykehus. Hensikten med studien skulle være å skaffe objektive bevis for en betydelig overhyppighet av komplikasjoner blant alkoholikere.

Pasientene skulle identifiseres ved kobling av sykehusets journalregister opp mot politiets register og registeret til en avrusingsinstitusjon. Pasienter ved ortopedisk avdeling skulle defineres som alkoholikere dersom de hadde vært innbrakt til fyllearresten fire ganger eller mer, eller hadde vært til avrusing ved behandlingsinstitusjonen.

Datatilsynet ga konsesjon til prosjektet med vilkår om aktivt informert samtykke fra de aktuelle personene, og om at førstegangs kontakt skulle opprettes via den institusjonen (politet/behandlingsinstitusjon) der de var registrert.

I den påfølgende klagesaken ble det bl.a. anført at politiet neppe hadde ressurser til å henvende seg til samtlige personer som hadde vært innbrakt til fyllearresten fire eller flere ganger. Studien ville bli verdiløs fordi kravet til samtykke kunne føre til en lav deltakerprosent og en skjev fordeling av deltakere. Hverken politikammeret, Riksadvokaten, Rådet for taushetsplikt og forskning, Regional komite for medisinsk forskningsetikk eller Justisdepartementets politiavdeling hadde innvendinger mot denne studien.

Til tross for klagers anførsler fant ikke Datatilsynet å kunne gi samtykke til å benytte såvidt sensitive opplysninger til andre formål enn hva de opprinnelig var innsamlet for. En kobling av registrene ville innebære en klassifikasjon av personene som alkoholikere, noe som måtte betegnes som svært sensitivt. Opprettelse av et slikt register måtte etter Datatilsynets oppfatning baseres på et aktivt informert samtykke, der den enkelte selv kunne avgjøre deltakelse eller ikke.

Justisdepartementet stadfestet også her Datatilsynets vedtak.

Offentliggjøring og ytringsfrihet

6 Personvern og Internett

Internett har de siste årene vært i en rask og voldsom vekst. Vi kan knapt forestille oss hvilke konsekvenser denne veksten vil få for personvernet. Alle kan spre informasjon verden over ved hjelp av noen få tastetrykk. Muligheten til retting og sletting av personopplysninger er illusorisk og potensialet for spredning er uten grenser.

Gjennom media, foredrag, seminarer og andre kanaler har Datatilsynet søkt å nå ut til Internettaktørene. Resultatet er stadig flere henvendelser om personvern og regelverk. Tilgangen på personopplysninger på Internett utvides hele tiden. Datatilsynet har hverken som oppgave å stikke kjepper i hjulene for den nye teknologien eller å legge uforholdsmessige begrensninger på ytringsfriheten. Men personvernet kan styrkes ved å begrense spredningen av informasjonen.

Konsesjoner og krav om samtykke

1998 har vært sterkt preget av saker hvor aktører med store personregistre vil legge disse ut på Internett. Eksempler på dette er Telenors ønske om å legge ut telefonkatalogens hvite sider og Konkurransetilsynets som vil legge ut en database med vedtak.

Datatilsynet stiller strenge krav til personregistre på Internett. Hovedregelen for en slik offentliggjøring er kravet om samtykke fra den enkelte før opplysningene legges ut på nettet.

Ofte kan anonymisering av personopplysninger være et fullgodt alternativ. Konkurransetilsynets databaser er egnet for anonymisering. Her er det vedtakets innhold som er viktig, og ikke hvem det gjelder. Det ble gitt konsesjon med vilkår om samtykke og anonymisering.

Grensen mellom offentlighet og personvern

Det har blitt reist mange spørsmål om grensen mellom offentlighetsprinsippet og personvern når dokumenter og journaler blir offentlig tilgjengelig på Internett.

Etter søknad fra Fylkesmannen i Oslo og Akershus ble det gitt en tidsbegrenset dispensasjon fra konsesjonen for utlevering av opplysninger fra offentlig journal. I følge konsesjonen fra Datatilsynet skulle opplysningene ikke være tilgjengelige i elektronisk form utover tre måneder. Dispensasjonen ble gitt i forbindelse med at Fylkesmannen ble invitert til å være med på Statens Informasjonstjenestes prosjekt «Elektronisk postjournal». Denne tjenesten gjør postjournaler fra en rekke departementer og andre offentlige organer tilgjengelig over Internett for avisredaksjoner.

Datatilsynet har tatt kontakt med Statens Informasjonstjeneste for å få mer informasjon om hvordan Elektronisk postjournal er bygd opp og skal også delta på en kommende evaluering.

Lignende spørsmål ble reist av Oslo byrett og Høyesterett i forbindelse med ønsket om å publisere rettens berammingslister på Internett. Listene skal være offentlig tilgjengelig ifølge domstolslovens offentlighetsprinsipp. Begge instanser har fått Datatilsynets vurdering.

Datatilsynet er generelt skeptisk til registre som blir liggende over ubegrenset tid på Internett og mener krav om sletting eller anonymisering etter en viss tid er vesentlig. En sletting fra primærkilden vil begrense spredning og oppsporing betraktelig. Tidsbegrensning på offentliggjøring av personopplysninger på Internett er et nyttig verktøy for personvernet.

Private registre

Mange som henvender seg til Datatilsynet er bekymret fordi andre har publisert opplysninger om dem på Internett. Personregisterloven er ikke oppdatert i forhold til de spørsmålene som reises, og vanskelige tolkningsspørsmål oppstår som følge av dette. Et vanlig problem er at personregisterloven ikke gjelder i forhold til personregistre opprettet for privat bruk. Mulighetene for å spre opplysninger langt utenfor hjemmets fire vegger har gjort disse registrene til en større personverntrussel enn tidligere. I tillegg ser det ut til at Internett har gjort det mer attraktivt å lage registre til ulike private formål. Et eksempel er utlegging av personopplysninger i forbindelse med hobbyer som f.eks. slektsforskning. Datatilsynet merker en økende pågang fra publikum som mener dette er en trussel mot personvernet.

Det meste kan registreres

7 Økende overvåking i arbeidslivet

Den enkeltes rett til selv å bestemme over registrering og overvåking er svakere i arbeidslivet enn ellers. Som privatperson kan du i i en viss grad selv bestemme om du registreres eller ikke. Å bruke elektroniske betalingskort er for eksempel ditt eget valg. På arbeidsplassen, derimot, er man underlagt arbeidsgiverens styringsrett.

Datatilsynet er opptatt av arbeidstakernes personvern. Arbeidsgivere overvåker og kontrollerer sine ansatte i større grad enn før. Det kan være flere årsaker til dette, som behovet for å kunne fordele kostnader på prosjekter eller kunder, eller ønsket om å kontrollere de ansattes effektivitet og arbeidsmoral. Potensialet for overvåking i arbeidslivet er stort. Ulike kontrollsystem følger ofte med når bedriften kjøper telefonsystem, datasystemer og systemer for adgangskontroll eller tidsregistrering. Videoovervåking av ansatte blir stadig vanligere. Selv om hvert enkelt tiltak har et godt formål og skjer i lovlige former, kan denne overvåkingen bli en belastning.

Fjernsynsovervåking av ansatte

Fjernsynsovervåking av ansatte er ikke lenger uvanlig. Opptaksutstyret er blitt billigere, og dermed senkes terskelen for å ta det i bruk. Omfattende overvåking er krenkende for den enkeltes integritet, og svekker tillitsforholdet mellom arbeidsgiver og ansatt. Datatilsynet ser stadig flere eksempler på skjult overvåking i denne sammenhengen, til tross for at dette er straffbart.

Fjernsynsovervåking krever ikke tillatelse. Datatilsynet kan derfor ikke nekte noen å sette igang eller gi pålegg om å slutte. Det er domstolen som håndhever regelverket for dette. Reglene krever at overvåkingen er saklig begrunnet. På en arbeidsplass må det i tillegg foreligge særskilt behov.Området må være tydelig merket. Dette betyr at det i praksis er fritt frem for enhver arbeidsgiver som mener å ha et «særskilt behov» for overvåking, så lenge skiltene er på plass.

Registrering av ansattes telefonbruk

Arbeidsgivere har ikke anledning til å registrere telefonsamtaler for å overvåke ansatte eller for å disiplinere de ansattes telefonbruk. I løpet av meldingsåret har Datatilsynet fått flere saker med denne problematikken til vurdering. Nordkapp kommune hadde planlagt å installere et system som skulle registrere all trafikk i telefonsentralen. Systemet kunne registrere hvilke numre de ansatte ringer til og får oppringning fra og hvor lenge samtalene varer. Troms fylkeskommune har vurdert å installere tilsvarende system i fylkesbygget i Tromsø. I et brev til Nordkapp kommune har Datatilsynet understreket at det ikke er anledning til å foreta slik registrering for å kontrollere ansatte.

Arbeidsgivere som har et saklig behov for å registrere oppringt nummer for samtaler de ansatte har, kan registrere dette dersom de får en avtale mellom partene i arbeidslivet. Datatilsynet antar at arbeidsgiveren har et saklig behov hvis arbeidstakeren skal bli fakturert for de private samtalene han eller hun tar fra jobbtelefonen. Brukes opplysningene til kontroll av ansatte, må arbeidsgiveren ha konsesjon fra Datatilsynet.

Personvern når arbeidsgiver betaler privattelefon

Datatilsynet ser problemer for personvernet når arbeidsgivere får spesifiserte telefonregninger med både jobb- og privatsamtaler for sine ansatte.

Avtale om fri telefon på jobb og privat ikke uvanlig. Datatilsynet anbefaler at den ansatte står som abonnent/kunde, og at arbeidsgiver betaler et avtalt beløp. En slik ordning aksepteres av ligningsmyndighetene, og hindrer arbeidsgiver innsyn i de ansattes telefonvaner.

Har arbeidstaker en avtale om å få refundert jobbsamtaler tatt hjemmefra, må han eller hun ha spesifisert telefonregning. Da kan arbeidstakeren gå gjennom spesifikasjonen og svartsladde oppringte private numre. Det er bare bilag for kostnadene forbundet med de samtalene arbeidsgiveren skal betale, han trenger, ikke en spesifisert oversikt over alle oppringte telefonnumre.

Datatilsynet har teleoperatørenes konsesjoner til revisjon, bl.a. med utgangspunkt i de ansattes personvern når arbeidsgiver betaler for telefonbruken.

Overvåking og registrering gjennom Internett

Mange arbeidsgivere ønsker å bruke elektroniske logger for kontroll av ansattes bruk av Internett. Dette er ikke i strid med personregisterloven hvis opplysningene som hentes ut av loggen ikke kan tilbakeføres til den enkelte, hverken direkte eller indirekte. Hvis kontrollen foretas på individuelt nivå slik at opplysningene om den enkelte kan spores, vil aktivitetsloggen være et personregister underlagt personregisterloven. Da er loggen konsesjonspliktig, med mindre den faller inn under unntaksbestemmelsen om aktivitetslogg i edb-systemer eller datanett (Personregisterlovens hovedforskrift § 2-20). Denne bestemmelsen fritar aktivitetsloggen fra konsesjonsplikt når den brukes til administrasjon av systemet eller til å oppklare eller avdekke brudd på sikkerheten i systemet. Kontroll av ansatte gjennom loggene krever konsesjon.

CV eller bilde på Internett

De ansattes kompetanse er viktigste produksjonsfaktor for mange virksomheter. Derfor ønsker mange å legge ut CV og eventuelle bilder av staben på Internett. Dette forutsetter samtykke og medvirkning fra de ansatte. Internett betyr en grenseløs spredning av personopplysninger. Datatilsynet vil derfor mane til varsomhet når opplysninger om ansatte legges ut for hele verden på nettet. Private eller personlige opplysninger i faglige presentasjoner på Internett bør unngås.

Lokale instrukser for bruk av Internett i bedriftene

En rekke arbeidsgivere lager instrukser for de ansattes bruk av Internett. For eksempel kan en slik instruks inneholde forbud mot søking på enkelte emner, forbud mot nedlasting av spill, etc. Arbeidsgivere har anledning til utarbeidelse av disse retningslinjene, men kan ikke bruke loggene for å kontrollere oppfølgingen. Datatilsynet er derfor betenkt når det går frem i instruksen at de elektroniske loggene vil bli brukt til kontroll.

Elektronisk effektivitetsmåling

Elektronisk registrering av hvor lang tid hver enkelt ansatt bruker på hver aktivitet er et annet eksempel på overvåking. En slik registrering kan hjemles i avtale mellom arbeidsgiver og fagforening, men en virksomhet uten fagforening trenger konsesjon for registreringen. Datatilsynet har vurdert om opprettelse og bruk av slike personregistre kan volde problemer for de ansatte som ikke kan løses tilfredsstillende ved vilkår i konsesjonen. Etter tilsynets oppfatning er det selve registreringen som kan volde problemer, fordi det oppleves som ubehagelig kontroll og overvåking når aktiviteter i arbeidstiden registreres elektronisk på et detaljnivå. Det kan i noen grad avhjelpes ved at den aktuelle gir skriftlig samtykke til ordningen. Datatilsynet har gitt konsesjon til slik registrering på vilkår med skriftlig samtykke fra den enkelte. De som ikke samtykker skal ikke registreres ut over det som følger av forskriftens regler for personalregistre.

Personalregistre til kontrollformål

Personalregistre på edb er fritatt for konsesjonsplikt når de føres i henhold til forskriftene. Fagforening og arbeidsgiver kan avtale registrering av flere typer opplysninger i et personalregister enn det som følger av forskriften. Det er ikke anledning til å avtale bruk av et utvidet personalregister til f.eks. kontrollformål, fordi formålet ikke lenger er personaladministrasjon.

Bruk av kunderegistre for å overvåke ansattes økonomi

En bank ønsket å overvåke de ansattes privatøkonomi, fordi økonomiske problemer kunne være en sikkerhetsrisiko for behandling av store verdier. De fleste har både boliglån og lønnskonto i banken de er ansatt i, og derfor er de registrert både i kunderegisteret og i personalregisteret. Banken ønsket å bruke opplysninger fra kunderegisteret til å skaffe seg en oversikt over de ansattes økonomiske situasjon. Slik kontroll faller utenfor formålet med et kunderegister, i tillegg til at utlevering av opplysninger fra kunderegisteret ville kreve samtykke fra den enkelte.

Å bruke registrerte opplysninger på tvers av formålet opplysningene var registrert til, gir store kontrollpotensialer. Arbeidsgivere kan ikke benytte kunderegistre for å kontrollere de ansatte.

Register til forebygging av kriminalitet i konsernet

Mange arbeidsplasser er en del av et internasjonalt konsern med ulike lands kultur og praksis på dette feltet. Til tider resulterer dette i situasjoner som ikke er i samsvar med norsk arbeidsrett og personvern. Et eksempel er et konsern som ønsket å registrere opplysninger om kriminelle forhold selskapet, ansatte eller kontraktsmedhjelpere hadde vært involvert i. Opplysningene skulle oppbevares i et manuelt register, som regnes for å være et konsesjonsfritt personalregister. Skulle registeret derimot registrere kriminelle forhold utenfor arbeidsforholdet ville det vært konsesjonspliktig. Datatilsynet er likevel skeptisk til tiltak som kan assosieres med angiveri og overvåking.

8 Bare søppel?

Å analysere innholdet i søppelsekker for å lete seg frem til hvem som har satt dette fra seg på gale steder er et lovlig inngrep mot en privatperson. Lovligheten er likevel ikke en garanti for at folk flest synes denne fremgangsmåten er i orden. Slike tiltak vil sannsynligvis oppfattes som svært ubehagelige.

I et avisoppslag på vårparten kom det frem at en kommune gikk gjennom ulovlig plassert søppel ved kommunens miljøstasjoner. Søppelet skulle identifisere synderen. Datatilsynets direktør uttalte i den forbindelse sin avsky for slike tiltak og satte spørsmålstegn ved lovligheten.

Etter en henvendelse skulle Datatilsynet bringe klarhet i om det foregikk en registrering i strid med personregisterlovens regler i denne saken og i tilfelle hvordan kommunen hadde vurdert denne registreringen i forhold til regelverket.

Kommunen hadde på sin side fått spørsmålet utredet av et advokatkontor. Det viste seg at tiltaket etter all sannsynlighet er hjemlet i forurensningslovens regler. Kommunen hadde altså hjemmel for avfallsanalysen. Hvorvidt det var klokt å benytte den, er en annen sak.

Saken er et godt eksempel på at personvern er mye mer enn registrering av personopplysninger i et register. Tiltak som i varierende grad kan være samfunnsnyttige gir konsekvenser som er mindre hyggelige eller direkte ubehagelig for den enkelte. Selv med de beste hensikter og loven i hånd kan personvernet krenkes.

9 Forenklede forelegg

Ved bruk av forenklet forelegg får man tilbud om å vedta forelegget på stedet. Dette fordi både samfunnet og den enkelte skal slippe de mer formelle og omfattende sidene ved en rettergang. Viktige rettssikkerhetsgarantier blir satt til side for en mer effektiv og forenklet behandling av relativt kurante saker. Datatilsynet har ingen betenkeligheter med systemet som sådan, men er opptatt av at opplysninger om forhold som folk flest oppfatter som «opp og avgjort» likevel blir registrert.

På bakgrunn av avisoppslag om politiets bruk av opplysninger om vedtatte forelegg i ansettelsessaker, tok Datatilsynet kontakt med politiavdelingen i Justisdepartementet.

Datatilsynet ville i første omgang kontrollere at vilkårene i Statens Innkrevingssentrals konsesjon ikke var brutt. Det var de ikke.

Datatilsynet har grepet fatt i en prinsipiell side ved saken som angår personvernet. Forenklede forelegg blir registrert i bøteregisteret på linje med andre ilagte bøter, til tross for at hverken Sivilombudsmannen eller Datatilsynet kan se at det er hjemmel for dette i strafferegistreringsloven. Sivilombudsmannen har trukket samme konklusjon i to konkrete saker han har hatt til behandling.

Foreleggene blir registrert i det alminnelige bøteregisteret, som er et viktig arbeidsredskap for politiet, som mange har tilgang til.

Bøteregisteret blir bl.a. brukt ved utstedelse av vandelsattester. Justisdepartementet har fastslått i rundskriv, og i brev til Datatilsynet, at forenklede forelegg ikke skal komme med i disse attestene. Dette er en naturlig konsekvens av den svekkede rettssikkerheten som er knyttet til forenklede forelegg.

Justisdepartementet har gjort enkelte unntak for søknader om godstransportløyve, og har også myndighet til å gjøre flere unntak ved behov. I tillegg har det i meldingsåret versert saker i media der det ved en feiltagelse har vært lagt vekt på informasjon om forenklede forelegg i ansettelsessaker i politiet, og ved søknad om opptak ved politihøyskolen.

Informasjon om forenklede forelegg bør, etter Datatilsynets oppfatning, utnyttes i minst mulig grad så lenge rettssikkerheten er såpass svekket i forhold til «normal situasjonen». Datatilsynet er derfor opptatt av at hvis det finnes hjemmel til å registrere opplysninger om forenklede forelegg, bør registreringene bare skje i forbindelse med hjemmelen. Dette registeret skal ikke kobles opp mot andre, som Det sentrale straffe- og bøteregisteret i dette tilfellet.

10 Informasjon 1998

Datatilsynet arbeider for å øke publikums og registereiernes bevissthet om rettigheter og -plikter rundt personvern. I 1998 har arbeidet vært knyttet til satsingsområdene helsesektoren, justissektoren og elektroniske spor innen samferdsel.

Datatilsynet har en vid målgruppe for informasjonsvirksomheten. Publikum, fagmiljøer og formelle rammesettere er hovedgrupper. De viktigste kanalene er mediekontakt, webtjenesten, årsmeldingen, magasinet SPOR, pressemøter, seminarer, foredrag og en høy publisitet rundt kontrollvirksomheten. I 1998 arbeidet Datatilsynet med å legge til rette oppdatert informasjon for fagmiljøer og publikum, spesielt innenfor satsingsområdene helsesektoren, justissektoren og elektroniske spor innen samferdsel. I denne satsingen har webtjenesten stått sentralt.

Videre har Datatilsynet prioritert arbeidet med å informere om utviklingen i trusselbildet og om tekniske valg og muligheter. Retningslinjer og veiledninger for sikkerhet har vært fortløpende publisert på Datatilsynets hjemmeside på Internett, og sendt ut gratis på oppfordring via post eller e-post.

Informasjonsarbeidet i Datatilsynet bygger på prinsippene i den statlige informasjonspolitikken.

Meroffentlighet og offentlig journal

Meroffentlighet er et krav Datatilsynet setter til seg selv, og det har lykkes å yte en god dokumentservice overfor aviser, radio, tv og andre aktører.

Datatilsynet bruker normalt en til tre dager på å besvare bestillinger av saksdokumenter fra tilsynets offentlig journal. Journalen er fyldig og innholdsrik og legges bl.a. ut på pressesenteret i regjeringskvartalet. Behandlingen av journalbestillinger er arbeidskrevende. Datatilsynet bruker mer enn et halvt årsverk på arbeidet med å finne frem, kopiere og sende ut dokumenter. I 1998 mottok DT 260 bestillinger fra journalen og sendte ut om lag 1 400 dokumenter. Detter en øking fra 1997.

Mediekontakt

Aviser, fagblader, radio og tv er sentrale samarbeidspartnere for Datatilsynet. DT legger vekt på prinsippet om meroffentlighet og tilgjengelighet. Alle henvendelser blir behandlet raskt og likt. Mer enn et årsverk benyttes til daglig mediekontakt.

I meldingsåret arrangerte Datatilsynet pressemøter. Dette er åpne debattmøter med deltakere fra fagmiljø og media med tema som «Hva er forskjellen mellom informasjon på papir og på diskett?»

Utsendelse av informasjonsmateriell

Alt brosjyremateriell fra Datatilsynet blir gratis tilsendt (også klassesett).

Oppdatert informasjonsmateriell legges ut på Datatilsynets webtjeneste, et av Datatilsynets satsingsområder innen informasjonsvirksomheten.

SPOR

I 1998 ble fem nummer av Datatilsynets kvartalsskrift SPOR utgitt. Bladet distribueres fast og gratis til 3 000 mottakere, mot 2 500 i 1997. I tillegg mottar Datatilsynet mange ekstrabestillinger pr. nummer, fra studenter, fagmiljø og presse. SPOR gir generell informasjon om Datatilsynets virksomhet. Aktuelle temaer i meldingsåret har bl.a. vært nye retningslinjer for informasjonssikkerhet, Datatilsynets kontrollvirksomhet, ny lovgivning i helsesektoren, det nye telemarkedet, sentralt reservasjonsregister, bransjevise adferdsnormer, småbåtregisteret, fjernsynsovervåking og risikoanalyse.

Foredrag og seminarer

Daglig mottar Datatilsynet forespørsler om foredrag, forelesninger og om deltakelse på ulike seminarer og samlinger. Direkte kontakt med DTs ulike målgrupper har høy prioritet for tilsynet.

1998 deltok Datatilsynets ledelse, jurister og teknologer på mer enn 60 ulike eksterne arrangementer landet rundt. Temaene har kretset rundt personvern og personalforvaltning i det offentlige; forskningsetikk, informasjonssikkerhet, kunderegistre, rettigheter og plikter, personalregistre og personvern generelt. Foredragene har vært holdt på universitet og høyskoler, blant brukergrupper i det offentlige og private og på ulike fagsamlinger. I meldingsåret har Datatilsynet også kunnet bidra med ulike foredrag og seminarer på engelsk, spansk, fransk og i ett tilfelle med simultantolk for serbokroatisk.

Satsing på Internett

Gjennom meldingsåret har Datatilsynet arbeidet med å bedre kvaliteten på websidene. Webstedet er en spesielt viktig informasjonsressurs når den nye loven om behandling av personopplysninger kommer. DT har lagt vekt både på innholdet og enkel fremkommelighet.

Datatilsynet har siden 1991 hatt sin egen adresse på Internett. Inntil meldingsåret har dokumentene på webstedet stort sett vært kopier av brosjyrer og informasjonsskriv, noen få oversikter, samt en del pressemeldinger.

I løpet av året har Datatilsynet kommet langt på vei mot et sett temasider som skal fungere som en grei innfallsport for de av brukerne som kommer til DTs sider med ulike spørsmål. Temasidene kommer til å bli lagt ut i begynnelsen av 1999, og vil omhandle temaer som Datatilsynet får mange spørsmål om - som for eksempel kredittopplysning, kameraovervåking, forskning og bruk av fødselsnummer.

For å øke antallet brukere på webstedet har DT sett det som ønskelig og nødvendig å presentere aktuelt stoff på forsiden med jevne mellomrom. Saker og høringsuttalelser som Datatilsynet har lagt ut her har blitt relativt godt dekket av avisene. Andre forsideoppslag, som for eksempel temasiden om kredittopplysning, har blitt godt besøkt. Høringsdokumentet «Retningslinjer for informasjonssikkerhet for kommuner og fylkeskommuner» som også har blitt presentert på forsiden har vært ett av de mest leste dokumentene på webstedet.

Datatilsynet har lagt vekt på å gjøre det enklere å finne frem blant de sidene som ligger i nivået under forsiden, slik at leserne blir interessert i å skaffe seg mest mulig informasjon. De forskjellige teamene er tydeligere indeksert, og med pekere slik at man kan komme direkte til disse sidene. Blant annet er sidene med stoff om informasjonssikkerhet blitt omarbeidet for å gi bedre oversikt. Tilbakemeldinger fra de som besøker webstedet, sammen med analyser av statistikker over bruken, bidrar til å identifisere de sidene vi har måttet forandre.

På Datatilsynets websider er det også lagt ut pekere til relevante dokumenter andre steder på Internett. Dette er gjort både for å tilby leseren mest mulig informasjon, og for at Datatilsynets websted i stadig større utstrekning skal bli oppfattet som et viktig og nyttig sted å finne aktuell informasjon om personvern.

Det er også arbeidet med å gjøre det enklere å finne fram til Datatilsynets websted. Søkemaskinene på Internett er laget slik at »mest relevante» pekere skal komme først i resultatlistene ved søking på stikkord. Forskjellige metoder er benyttet for å bidra til at bruk av søkeord som «Datatilsynet», «personvern» etc. skal gi tilbakemeldinger som inneholder pekere til Datatilsynets websted. Det er registrert at pekere til Datatilsynets sider kommer stadig høyere opp på resultatlistene på flere av søkemaskinene.

Oppslutningen om sidene har økt siste halvdel av 1998. Webstedet hadde et snitt på 3 000 oppslag i uken i vårmånedene. I løpet av høsten steg antallet jevnt til om lag 7 500 oppslag i uka i november og desember. Fra august og utover har DT også sett at et økende antall lesere går videre fra forsiden til andre dokumenter på webstedet. Navigasjonsikonene som er lagt inn i de forskjellige dokumentene har også vært flittig brukt, noe DT ser som et tegn på at sidene også har blitt lest.

Datatilsynets virksomhet i 1998

Rammevilkår

Personregisterloven ble vedtatt i 1978 og trådte i kraft i 1980. Datatilsynet ble etablert 1. januar 1980.

Datatilsynet skal sikre gjennomføringen av personregisterloven. Loven skal beskytte de individrettede og samfunnsorienterte hensyn til personvern.

Det er personregisterloven som setter rammene for Datatilsynets virksomhet.

Virksomheten kan summeres opp i tre hovedoppgaver:

• Datatilsynet skal behandle og avgjøre søknader om konsesjon for personregistre og virksomheter som er konsesjonspliktige etter loven.

• Datatilsynet skal kontrollere at lover og forskrifter som gjelder for bruk av personopplysninger overholdes.

• Datatilsynet skal informere om personvern og sikring av data og om de reglene som gjelder for personregistre.

Videre vil også avgjørelser av prinsipiell og overordnet betydning for problemstillinger innen personvern som tas i Datatilsynets styre, være retningsgivende for Datatilsynets arbeid.

I 1998 hadde Datatilsynet 22 faste stillingshjemler. Stillingene er fordelt på direktør, administrativ seksjonssjef med fem i staben, juridisk seksjonssjef og ni jurister, teknologisk seksjonssjef og to teknologer, informasjonssjef og webredaktør. Datatilsynet har i meldingsåret opprettet tre nye stillingshjemler; en teknolog, en sekretær og en på informasjon.

Datatilsynet har i flere år bedt om økte bevilgninger for å kunne imøtekomme de utfordringer som virksomheten stadig stilles overfor. Nye og flere personvernproblemstillinger i samfunnet fører også til en øking i arbeidsmengden. Den raske utviklingen innen informasjonsteknologien byr på utfordrende og kompliserte problemstillinger for personvernet og for tilsynets oppgaveløsning. Behandlingstiden øker fordi saksmengden har blitt mer kompleks og mangfoldig enn tidligere. Dette gir også nye oppgaver for kontroll- og informasjonsvirksomheten.

Datatilsynet har påpekt behovet for ressurser til vedlikehold og oppdatering av juridisk og teknologisk kompetanse. Virksomheten må fortsatt kunne gi råd og veiledning og fatte beslutninger som samsvarer med de behov som følger av en rask utvikling.

Bevilgningen for 1998 var på 10 786 mill kroner mot 9 211 mill kroner i 1997.

Arbeidsmiljø

Datatilsynet er en relativt liten organisasjon som preges av medarbeidernes engasjement i virksomhetens problemstillinger. Miljøet er homogent med et høyt utdanningsnivå. Datatilsynets ansatte er fordelt på 13 kvinner og ni menn. 31.12 1998 var fire ansatte i svangerskapspermisjon.

Datatilsynet har tre fagorganisasjoner som aktivt deltar i planleggingsarbeid og utvikling av organisasjon og miljø. Et positivt engasjement for hele organisasjonen.

Fellesfunksjoner

Det har vært lagt vekt på å utvikle administrative fellesfunksjoner for fagseksjonene. Målet er å effektivisere og tilrettelegge slik at alle oppgaver knyttet til saksbehandling, kontroll og informasjon kan gjennomføres på en tilfredsstillende måte.

Administrasjonen har fremdeles store utfordringer knyttet til arkivspørsmål, tekniske løsninger og effektivisering av rutiner. Arbeidet med innføring av ny personopplysningslov vil prege fremdriften på disse områdene i tiden fremover.

Mål og virkemidler

Datatilsynet har definert sine mål med utgangspunkt i personregisterlovens rammer.

Overordnet mål for Datatilsynet er å ivareta og styrke personvernet.

Med dette utgangspunktet søker Datatilsynet å være en kompetent, profesjonell og aktiv aktør i den løpende samfunnsdebatten om personvernspørsmål, å drive aktiv kontroll- og informasjonsvirksomhet overfor de som forvalter personopplysninger og å bidra til at personvernet ivaretas i alle beslutningsprosesser som berører personopplysninger både i privat og offentlig sektor.

Datatilsynet mener det er nødvendig at registereiere er godt informert slik at de kan etterleve personregisterloven, og at allmennheten er like godt informert for å være i stand til å ivareta egne personvernrettigheter. Aktører innen privat og offentlig sektor må bevisstgjøres slik at personvernhensyn inkluderes i planlegging av regelverk, informasjonssystemer og utvikling av ny teknologi. Regelverket må være tidsmessig, og Datatilsynet ønsker å delta i og bidra til en løpende debatt om personvernets innhold.

Datatilsynets organisering og administrative fellesfunksjoner skal fungere slik at pålagte oppgaver (saksbehandling, kontroll- og informasjonsvirksomhet) kan utføres på en tilfredsstillende måte og målene for virksomheten oppnås.

Målsettingene gjenspeiles i de oppgaver Datatilsynet prioriterer hvert år. Dette beskrives i den årlige virksomhetsplanen.

Behandlingen av saker, kontrollvirksomheten, informasjonsvirksomheten og arbeidet med ulike prosjekter er viktige virkemidler for å nå målsettingen for Datatilsynets virksomhet.

11 Saksbehandling i 1998

Mange henvendelser

Mange av henvendelsene til Datatilsynet tar også opp saker som ikke er direkte knyttet til søknader om oppretting av registre eller å drive konsesjonspliktig virksomhet. Henvendelsene omfatter andre deler av personregisterloven og tar gjerne opp temaer som er aktuelle i samfunnsdebatten eller som knytter seg direkte til enkeltpersoners hverdagsliv. Dette gjelder spørsmål om overvåking ved hjelp av både edb og kamera, kredittopplysninger, utlegging av skattelister, adressert reklame i posten, innsyn i registre og journaler, sletting av opplysninger, bruk av fødselsnummer med mer.

Spørsmål og henvendelser fra enkeltpersoner kommer i tillegg til tilsvarende spørsmål fra institusjoner i både privat og offentlig virksomhet.

Mangfoldig saksmengde

I hovedsak brukes flest ressurser på behandling av søknader om konsesjon for å opprette personregistre eller drive konsesjonspliktig virksomhet. De siste årene har sakene oftere vært mer komplekse og problemstillingene har blitt flere og mer sammensatte enn tidligere.

I 1998 ble det totalt registrert 10.107 dokumenter. På samme tidspunkt i 1997 var det registrert 11 653 dokumenter. Det er en nedgang i antall dokumenter som utgjør 15.2 prosent fra 1997 til 1998. Fra 1996 til 1997 var det en nedgang i antall dokumenter på 5.1 prosent og fra 1995 til 1996 var økningen på 28 prosent.

Restanser

Restansene i saksmengden er de samme som i 1997.

12 Konsesjoner

Et personregister er en samling av personopplysninger som er lagret slik at de registrerte kan identifiseres. Registre over næringsdrivende og firmaer omfattes også av personregisterloven. Eksempel på personregistre er registre sortert etter navn. Et register sortert etter bilnummer eller telefonnummer er også et personregister fordi identifisering er mulig.

Det må søkes om konsesjon fra Datatilsynet for å opprette edb-baserte personregistre. Det kreves også konsesjon for å opprette manuelle personregistre som inneholder sensitive personopplysninger. Sensitive personopplysninger er f.eks. opplysninger om rase, politisk eller religiøs oppfatning, opplysninger om en person har vært mistenkt, tiltalt eller dømt for straffbare forhold, helseforhold eller misbruk av rusmidler, seksuelle forhold, andre opplysninger som gjelder familieforhold utenom opplysninger om slektskap, formuesordning mellom ektefeller eller forsørgelsesbyrde.

I 1998 ble det gitt konsesjon til å opprette 1 923 personregistre. Av disse var 505 offentlige, 1283 private og 135 kandidatregistre. Dette er en nedgang i forhold til 1997 da det ble gitt 2 419 konsesjoner til oppretting av personregistre. I 1995 ble det gitt totalt 2 507 konsesjoner for oppretting av personregistre etter søknad.

Konsesjoner for oppretting av personregistre

Konsesjoner for visse typer virksomheter

Personregisterloven omfatter også disse virksomhetene:

• Kreditt- og personopplysningsvirksomhet som gir informasjon om kredittverdighet eller økonomisk vederheftighet.

• Virksomhet innen databehandling som bearbeider personopplysninger for andre med elektroniske hjelpemidler.

• Adresserings- og distribusjonsvirksomhet som selger eller tilbyr adresser for grupper av personer eller utsending av reklame eller annen informasjon til persongrupper.

• Virksomhet som driver opinions- og markedsundersøkelser for andre.

Virksomhetskonsesjonen gir bare tillatelse til å drive selve virksomheten. Foretaket må i tillegg søke om konsesjon for å opprette personregister som skal brukes i virksomheten.

Det er gitt totalt 522 virksomhetskonsesjoner i 1998.

Konsesjon til helhetlig psykiatriplanlegging for barn og ungdom

Stortinget har gitt uttrykk for at kommunene og fylkeskommunene skal styrke tilbudet til mennesker under 18 år med alvorlige psykiske lidelser. En arbeidsgruppe under ledelse av SINTEF/NIS utarbeidet i 1997 en metode for å kartlegge voksne pasienters behov for hjelp. Tilsvarende metode ble utarbeidet for barn og ungdom i 1998. Kartleggingen skal skaffe nødvendig oversikt over behovene slik at det kan planlegges utbygging av tilbudet til pasientgruppen. I tillegg skal kartleggingen danne grunnlag for beslutninger om tiltak som kan settes inn overfor hver enkelt pasient.

Det skal samles inn til dels svært sensitive og detaljerte opplysninger fra hver pasient og pasientens nærmeste fagperson, som lege eller fysioterapeut. Gruppen som skal vurdere behovene for de individuelle tiltakene består av fagfolk fra kommunalt og fylkeskommunalt nivå innen aktuelle tjenestetilbud som bolig, opplæring, fritid, helse- og sosiale tjenester.

Datatilsynet ga konsesjon for metodene i 1997 for voksne og i 1998 for barn og ungdom.

I tillegg har SINTEF/NIS fått konsesjon til å bearbeide avidentifiserte kommunale psykiatridata. Dette registeret skal bare benyttes til forskning og utarbeiding av statistikk på grunnlag av kommunale psykiatridata.

13 Avslag og klager

Datatilsynet har gitt søkerne avslag på søknaden i 40 saker i løpet av meldingsåret. Av disse var 20 saker delvis avslag og 20 fullstendig avslag i forhold til søknaden.

I løpet av meldingsåret kom det inn 20 klager over Datatilsynets vedtak. I tillegg ble fire klagesaker fra 1997 ferdigbehandlet. Klagen ble trukket i tre av sakene. Fem saker ble omgjort av tilsynets administrasjon, og tolv gikk videre til styrebehandling. De resterende fire er fortsatt under behandling i administrasjonen.

Av sakene som ble styrebehandlet i meldingsåret, ble en omgjort av styret. I de resterende sakene fastholdt styret administrasjonens vedtak og oversendte saken til Justisdepartementet for videre behandling.

Justisdepartementet avgjorde i løpet av dette meldingsåret 13 saker. Av dem ble tre omgjort. I ti av sakene ble Datatilsynet vedtak stadfestet. Ved utgangen av meldingsåret var to saker fortsatt til behandling i departementet?

Bruk av motorvognregisteret i kredittopplysningsvirksomhet

Kredittopplysningsbyråene ønsket å hente inn opplysninger fra motorvognregisteret til bruk i kredittopplysningsvirksomhet. De ville bruke opplysningene i en kredittvurdering av den registrerte eier av bilen. Datatilsynet fant ikke å kunne gi tillatelse til denne søknaden.

Avslaget ble i hovedsak begrunnet med at en slik bruk av motorvognregisteret strider mot formålet for opprettelsen av registeret. I tillegg innebærer denne registrering av opplysninger en betydelig svekkelse for den enkeltes personvern. Registrering av eierskap i motorvogn kan isolert sett virke positivt for den enkeltes kredittvurdering, men det er likevel viktig å se på de prinsipielle sidene ved en slik utvidelse av kredittopplysningsbyråenes registre. På sikt kan utvidelsen bidra til at byråene oppretter registre som gir et totalt bilde av hver enkelts gjeld og aktiva, i tillegg til betalingsanmerkninger. Dette vil være en så betydelig utvidelse av den tradisjonelle kredittopplysningsvirksomhet, at utvidelsen bør behandles politisk.

I tillegg er det lagt vekt på at utvidelser kan innebære en fare for større grad av automatiserte beslutninger i kredittgivning. Feil i registrene kan i så fall få meget store konsekvenser for den enkelte, og kan innebære en ugrunnet eller urimelig avvisende holdning overfor den kredittsøkende. Det er i tillegg Datatilsynets erfaring at mange finner det svært belastende å vite at en står oppført i byråenes registre uten at det er registrert betalingsanmerkninger. Hva som registreres bør derfor begrenses til bare å gjelde såkalte negative betalingserfaringer, slik det praktiseres i dag.

Justisdepartementet stadfestet tilsynets vedtak og tiltrådte i hovedsak tilsynets begrunnelse. Det ble understreket fra departementets side:

«Vedtaket er basert på prinsipielle synspunkter om at kredittopplysningsbyråenes registre ikke bør utvides til å inneholde opplysninger om hva den enkelte eier slik at registrene kan utvikle seg til sentrale registre over privatpersoners og næringsdrivendes totaløkonomiske situasjon.»

Kreditorforeningens ønske om å opprette et permanent register over samtlige norske skatteytere

Kreditorforeningen i Oslo søkte Datatilsynet om konsesjon for å opprette et permanent register over samtlige skatteytere i Norge. Datatilsynet fant ikke å kunne gi tillatelse til et slikt register og avslaget ble påklaget til Justisdepartementet.

Avslaget ble begrunnet ut fra at det ikke forelå et «saklig behov» for å oppbevare likningsopplysninger om samtlige skatteytere til bruk for inkassovirksomheten. Den som driver inkassovirksomhet foretar først og fremst inndriving av forfalte pengekrav. Inkassobyrået har derfor bare behov for opplysninger om de som er å anse som kunde eller debitor, ikke opplysninger om alle andre skattebetalere. Ved opprettelse av det omsøkte registeret vil inkassobyrået bli sittende med en mengde opplysninger de ikke har behov for, såkalt overskuddsinformasjon. Hensynet til den enkeltes personvern måtte derfor i denne sammenheng veie tyngre enn hensynet til billigere og enklere saksbehandling for inkassobyrået.

Justisdepartementet opprettholdt Datatilsynets vedtak.

Den norske bokklubben

Det har det siste året vært stor pågang fra næringsdrivende som ønsker å registrere detaljer rundt kundenes varekjøp. Datatilsynet har som fast praksis å ikke tillate registrering eller bruk av slike opplysninger i markedsføringsøyemed. De norske bokklubbene ønsket å oppbevare detaljopplysninger om medlemmenes bokkjøp lenger enn det som etter Datatilsynets vurdering var nødvendig. I klagen ble det anført at bokklubbene er pålagt å oppbevare slike detaljopplysninger etter likningsloven. Datatilsynet har sendt saken over til det aktuelle fagdepartement som skal vurdere hvilket detaljnivå opplysningene må ha for å oppfylle likningslovens regler.

14 Kontrollvirksomhet i 1998

Alle som behandler personopplysninger kan få Datatilsynet på besøk for en kontroll. I mai 1998 gjennomførte tilsynet 23 kontroller i Trøndelag og i november 18 kontroller i Rogalandsdistriktet. Tilsynet konsentrerte seg i meldingsåret om fylkesvise kontroller innen et bredt spekter av virksomheter, fra videobutikker til internasjonale konsern.

Datatilsynets teknologiseksjon har deltatt sammen med juristene under kontroller av personvern og informasjonssikkerhet i 1998. Det er et uttalt mål at kontrollhyppigheten skal økes. En forutsetning for dette er at de grunnleggende sikkerhetskrav omformes til forskrift. På denne måten vil kapasitet fra arbeid med forhåndsgodkjenning kunne frigjøres for kontroll. Slik overføring av kapasitet vil imidlertid ikke alene være tilstrekkelig for å nå den hyppighet av tekniske kontroller som vurderes som nødvendig. Dette vil fortsatt være et ressursspørsmål.

I Trøndelag konsentrerte tilsynet seg om føring av kunderegistre i videobutikker, føring av klientregistre ved sosial- og barnevernskontor i flere kommuner, hotellers registrering av gjestenes telefoner, samt registrering av ansatte ved store arbeidsplasser.

I Rogaland kontrollerte tilsynet videoovervåking i banker, postkontor og bensinstasjoner, føring av klientregistre ved sosial- og barnevernskontor i flere kommuner, elevregisteret ved videregående skoler og personalregistre i det private næringsliv.

Formål

Formålet med kontrollene var ikke å avdekke grove feil og mangler eller å stille noen i gapestokk. Derimot ville Datatilsynet nå ut med informasjon om regelverket, og skaffe kunnskap om bevissthetsnivå for behandling og registrering av personopplysninger. Gjennom kontrollene har DT også fått publisitet rundt egen virksomhet og personvern generelt og har nådd ut til nye brukergrupper.

Metode

Når Datatilsynet kommer på kontroll skal vi møte de ansvarlige for registrene. Derfor varsler DT alle kontroller på forhånd og ber om en bekreftelse på dette. Ved å gi forhåndsinformasjon får også de som skal kontrolleres en mulighet til å forberede spørsmål og planlegge forhold de ønsker drøftet med Datatilsynet.

Enkelte av kontrollene er hurtigkontroller, gjennomført på ca. 15-30 minutter, andre av langt mer omfattende karakter.

Hensikten er å se nærmere på hvordan personopplysningene blir behandlet i henhold til lovverket. DT registrerer hvilke opplysninger som lagres i registrene, hvor opplysningene blir hentet fra, hvem som har tilgang til opplysningene, samt hvilken informasjon som registereier gir de registrerte. I tillegg understrekes om de registrerte benytter seg av innsynsretten og om registerfører har utarbeidet rutiner for dette.

Dessuten kontrolleres sikkerheten, så vel organisatorisk som systemteknisk, både ved manuell og elektroniske lagring.

Opplysninger fra kontrollene blir vurdert etter gjeldende regelverk og eventuelle konsesjoner. Vurdering av dette skjer etter kontrollen og ikke på stedet. Finner Datatilsynets jurister eller teknologer klare brudd på regelverket blir dette umiddelbart påpekt. Uoverensstemmelser i forhold til regelverket er som regel løst gjennom en dialog i etterkant, og forholdet blir rettet opp.

I for- og etterkant av en kontrollturne ønsker tilsynet publisitet rundt personvern gjennom aktiv kontakt med lokalpressen. DT tilstreber en publisitet langt utover kontrollobjektene.

Resultat

Det er mangel på konkret kjennskap til regelverket og konsesjonene, men de fleste følger likevel personvernets generelle grunntanker.

Datatilsynet blir for mye assosiert med maskiner og tekniske løsninger og ikke med de ansvarliges behandling av personopplysninger.

Det hersker en stor begrepsforvirring rundt personregisterlovens terminologi. Få vet hva begrepene innsyn, innhenting og utlevering av opplysninger innebærer.

Manglende kjennskap til regelverket, og ikke et bevisst ønske om å bryte/omgå regelverket, var årsak til de bruddene DT fant.

Det viste seg å være et overraskende lite press på registrene fra utenforstående.

Få av de registrerte benyttet seg av innsynsretten. Positivt mange hadde likevel utarbeidet rutiner for dette.

Internettkulturen virker edruelig og forstandig.

Fylkesvise kontroller har vært et vellykket og lærerikt prosjekt i meldingsåret, og er en effektiv bruk av midler for Datatilsynets virksomhet.

15 Høringer 1998

Datatilsynet hadde 116 høringssaker i meldingsåret. Mange av sakene kjennetegnes ved sitt volum og sin kompleksitet. I særlig grad høringer knyttet til arbeidet med ny lov om helseregistre og regelverket for Schengenavtalen. Disse er omtalt andre steder i meldingen.

Datatilsynet legger stor vekt på høringsarbeid, noe som er i overensstemmelse med Stortingets uttrykte ønske. Som høringsinstans kan Datatilsynet bidra til at samfunnsplanleggere og beslutningstakere har tilstrekkelig informasjon om personvern og sikring av personopplysninger.

Av de uttalelser Datatilsynet vektla kan nevnes midlertidig lov om begrenset innsyn i overvåkingspolitiets arkiver og registre. Datatilsynet presiserte at det ville være «mer i samsvar med de politiske myndighetenes ønske om å beklage uriktige handlinger og bygge opp et solid grunnlag for ny tillit, om det blir gitt mulighet for maksimalt innsyn i alle opplysninger om vedkommende. Tilsynet vil anta at jo lenger tilbake i tid det aktuelle materialet er registrert, jo mindre betenkelig vil det være å gi den enkelte det fullstendige innsyn - - -».

I forbindelse med høring om politiets overvåkingstjeneste understreker Datatilsynet viktigheten av legalitetsgrunnlaget for overvåkingspolitiets registre, og at en lovregulering er å foretrekke fremfor konsesjon. En lovregulering vil i større grad fremme sakens politiske drøftelse. I uttalelsen ble det også pekt på behovet for en tidsangitt slettebestemmelse for registeropplysningene, noe som vil medføre en aktiv gjennomgang og prøving av vilkårene for registrering.

Justisdepartementet har i meldingsåret også foreslått opprettelsen av et sentralt reservasjonsregister, et register Datatilsynet har etterlyst i lang tid. De senere år har det stadig kommet nye metoder for markedsføring mot enkeltpersoner, som reklame sendt på e-post eller telefaks. Adgangen til reservasjon må derfor ikke begrenses til post- og telefonmarkedsføring. Registeret er ennå ikke opprettet.

Forslag til ny regnskapslov var på høring i 1996. Saken var stor og kompleks, og først etter høringsfristen ble Datatilsynet klar over en del uheldige konsekvenser av forslaget, først og fremst forslaget om dokumentasjon av transaksjoner som er foretatt av privatpersoner ved kontantsalg over 10 000 kroner. Datatilsynet var prinsipielt imot en slik ordning, men uttalte sekundært at den nedre beløpsgrensen burde heves betydelig og foreslo grensen fastsatt til 1 G (tilsvarende beløp over kr. 40 000). Dette ble det ikke tatt hensyn til da regjeringen fremmet forslag om ny regnskapslov for Stortinget (regjeringen hadde justert beløpsgrensen til 20 000).

I sin begrunnelse uttalte Datatilsynet at «det norske samfunn er basert på at borgerne i stor grad kan opptre anonymt, noe som av de fleste oppleves som et gode. Innføring av regler om registrering av private varekjøp med kjøpesum over en relativ lav beløpsgrense innebærer at denne anonymiteten i stor grad forsvinner. Datatilsynet kan ikke se at hensynene bak den foreslåtte bestemmelsen er så tungtveiende at borgerne blir tvunget til å gi fra seg et viktig gode, nemlig anonymiteten.»

Saken vakte stor allmenn interesse. Stortinget vedtok at dokumentasjonskravet på kontantkjøp bare kan skje gjennom registrering av selger.

Datatilsynet ved direktøren ble i meldingsåret også innkalt til en åpen høring i Stortinget om opprettelse av personregister i forbindelse med forslag om innføring av kontantstøtten.

Etater og organisasjoner har hatt en høy aktivitet rundt regler for bruk av Internett i meldingsåret. Som regel blir Datatilsynet forespurt om høringsuttalelser og råd.

Kontor- og datateknisk landsforening har tatt initiativ til opprettelsen av et klageorgan for utenomrettslig behandling av klager over bruk av Internett, Internett etisk råd. Rådet har laget et utkast til etiske regler for Internettbruk. Datatilsynet ga sine synspunkter på reglene. Konklusjonen var at reglene i stor grad bar preg av de større kommersielle aktørenes interesser: Å verne de ulike kommersielle aktørenes økonomiske interesser og løse konflikter mellom disse. De svake aktørenes personvern blir ikke godt nok ivaretatt i forslaget. Datatilsynet poengterte dette både i høringsuttalelsen og på et etterfølgende høringsseminar.

I forhold til Schengen informasjonssystem (SIS) har Datatilsynet i meldingsåret engasjert seg i to viktige områder; forslag til lov om SIS og etablering av en prosjektgruppe i det nasjonale Schengenprosjektet.

Datatilsynet har i flere år vært opptatt av hvilke konsekvenser Schengensamarbeidet vil få for personvernet. Deltakelse i Stortingets åpne høringer om Schengenavtalen, debatter i media og deltakelse i Schengenlandenes felles tilsynsorgan JSA er eksempler på tilsynets engasjement. Generelt savner Datatilsynet en harmonisering av regelverket innenfor politisektoren og spesielt i forhold til viktige personvernregler som innsyn, retting og sletting av opplysninger. Man vil lett kunne havne i paradoksale situasjoner hvis SIS og politiets øvrige registre skal operere med ulike rettigheter.

16 Telekommunikasjonsdirektiv 97/66

Datatilsynet tok opp ansvaret for gjennomføring og oppfølging av direktivet for telekommunikasjon med Justisdepartementet i meldingsåret.

Direktivet for telekommunikasjon er en utdyping av EUs personverndirektiv 95/46 og følgelig nært knyttet opp til dette. Datatilsynet skal behandle spørsmål om bruk av personopplysninger, også innenfor telesektoren. Justisdepartementet ønsker direktivet lagt inn under Samferdselsdepartementets ansvarsområde, noe som i så fall medfører at Post- og teletilsynet, og ikke Datatilsynet, blir det aktuelle tilsynsorganet.

Personverndirektivet 95/46 (hoveddirektivet) fremhever at tilsynsorganet skal være både frittstående og sektoruavhengig. Selv om Post- og teletilsynet har personvern som et delmål, har dette tilsynet også en lang rekke andre formål knyttet til sitt mandat, formål som ikke ubetinget fremmer personvernet. Post- og teletilsynet kan derfor ikke regnes som et frittstående og uavhengig tilsynsorgan på personvernets fagområde. Også tilknytningen til Samferdselsdepartementet taler mot å legge telekommunikasjonsdirektivet 97/66 inn under Post- og teletilsynet. Datatilsynet vil også gjøre oppmerksom på at gruppen av tilsynsmyndigheter i EU-land («Artikkel 29-gruppen»), hvor Datatilsynet er representert ved direktøren, er pålagt tilsynsoppgaver for begge direktivene.

17 Utvalg og samarbeid

Datatilsynets oppgaver berører de fleste samfunnsområder. Dialog og samarbeid er en viktig og prioritert metode i Datatilsynets arbeid med å gjøre regler, rettigheter og plikter knyttet til personvern kjent i ulike fagmiljøer, blant konsesjonssøkere og blant beslutningstakere i utviklings- og planleggingsprosesser som også omfatter personvernspørsmål.

De etiske komiteer, forskningsmiljøene og Norsk Samfunnsvitenskapelig Datatjeneste (NSD) bidrar til aktuelle spørsmål som gir interessante innspill til behandling av forskningssaker.

• Datatilsynet er representert i «Brukergruppen for elektronisk saksbehandling» som ble nedsatt av Statskonsult høsten-98. Gruppen skal ha månedlige møter ut 1999.

• Lege/Forsikringutvalget er et statlig utvalg som skal se på forsikringsselskapenes adgang til å innhente, oppbevare og lagre helseopplysninger. Arbeidet forventes avsluttet innen 1999.

• Datatilsynets saksbehandlere i teknologiseksjonen har i 1998 deltatt i flere offentlige råd og utvalg. Av disse kan nevnes vår permanente deltakelse i Nærings- og handelsdepartementets råd for IT-sikkerhet (RITS). DT har også deltatt aktivt i de utvalg Rådet har nedsatt, bl.a. ved utredning av infrastruktur for bruk av digitale signaturer. - Saksbehandlere i teknologiseksjonen deltar også i det internasjonale møtet om personvern og sikkerhet i telekommunikasjon («Berlingruppen»), og i prosjektet som har som mål å etablere den norske delen av Schengen Information System (SIS).

• I forbindelse med implementeringen av den nasjonale delen av Schengen informasjonssystem (SIS) har Datatilsynet lenge påpekt behovet for å utrede problemstillinger knyttet til personvern og informasjonssikkerhet. Et eget delprosjekt ble etablert senhøsten -98 og prosjektgruppen har en prosjektdeltaker fra hver av følgende etater: KRIPOS, Politiets datatjeneste, Utenriksdepartementet, Utlendingsdirektoratet, Justisdepartementet og Datatilsynet. Målet er en personvernhåndbok til bruk for de etater som har tilgang til opplysninger i SIS.

• Samarbeid om veiledninger i informasjonssikkerhet er innledet overfor justissektoren med mål å utarbeide en sikkerhetshåndbok på overordnet nivå for hele sektoren: Politiet, domstoler, kriminalomsorgen mv.

• I tillegg fortsetter Datatilsynet samarbeidet med Sosial- og helsedepartementet og med Statens helsetilsyn om veiledninger i informasjonssikkerhet for helsesektoren. Arbeidet er komplisert og derfor presenteres bl.a. organisatoriske og tekniske anbefalinger i flere dokumenter. Til nå er veiledninger for bruk av Internett og ved elektronisk overføring (EDI) av helseopplysninger ferdigstilt. Anbefalinger ved etablering av sikkerhetstiltak i større sykehus og i mindre virksomheter i helsevesenet er under utarbeidelse.

• Datatilsynet er representert som observatør i Rådet for persondata-arkivering.

Datatilsynet har som organisasjon, medlemskap i Den Norske Dataforening, Fagpressens informasjonskontor og Norsk forening for juss og edb.

18 Internasjonal aktivitet

Erfaringene fra virksomhetsåret bekrefter tendenser fra foregående år mot mer omfattende, internasjonalt arbeid på personvernområdet.

Det uformelle, nordiske samarbeidet fortsatte med tilsynssjefmøte i Åland. Norge sto som arrangør av et nordisk saksbehandlermøte for jurister, der også jurister fra Justsidepartementets sivilavdeling deltok. Arrangementet ble av gjestende deltakere karakterisert som meget vellykket og vil bli gjentatt i Sverige i 1999.

Norge er gitt observatørstatus i den såkalte 'Artikkel 29'-gruppen. Gruppen har som oppgave, med utgangspunkt i de to EU-direktivene om personvern og om telekommunikasjon, å arbeide for presisering, konkretisering og felles strategier for de nasjonale tilsynsorganene. EU-kommisjonen er sekretariat og saksforbereder. Gruppen møtes 7-8 ganger pr. år på sjefsnivå.

EUs tilsynssjefer har et årlig møte på forsommeren. Årets møte var lagt til Dublin. Møtet danner rammen om uformelle drøftelser og informasjoner og har ingen besluttende eller innstillende myndighet. Også her har Norge mottatt generøs invitasjon til deltagelse.

Tilsynssjefene fra alle land som har datatilsyn møtes en gang pr. år, i 1998 i Campostela de Santiago i Spania. Programmet preges av foredrag og innledninger med påfølgende diskusjoner. I et særmøte av EU- og EØS-tilsynssjefene ble det denne gangen avgitt to uttalelser - en om den planlagte, islandske gen-databanken og en om bruk av Internett for publisering av etterforskningsrapporter etc. (Clinton-saken).

Den såkalte «Berlin-gruppen» møtes to ganger i året for å diskutere personvernspørsmål knyttet til telekommunikasjon. I 1998 ble vårmøtet avholdt i Hongkong og høstmøtet, som vanlig, i Berlin. Norge ble oppfordret til å påta seg vertskapsforpliktelser ved neste møte i april 1999.

Takket være Næringsdepartementets velvillige imøtekommenhet er tilsynet tildelt ekstraordinære midler som setter oss i stand til å imøtekomme oppfordringen. Ved meldingsårets utløp var forberedelsene i god gjenge.

Norge er for tiden også observatør i Schengensamarbeidets tilsyns- og kontrollorgan, JSA (Joint Supervicory Authority) som hjemles i Schengenavtalen. Det møtes 6-8 ganger pr. år. Norges muligheter for å ta initiativ og øve innflytelse er i utgangspunktet begrenset av vår status som observatør uten stemmerett. Det gir grunn til ettertanke at JSA synes å savne ønskede hjemler og ressurser for å kunne spille en aktiv rolle når det gjelder å hevde viktige personverninteresser innenfor Schengensamarbeidet. Undertiden kan det se ut til at organet blir oversett fordi det ikke råder over sanksjonsmuligheter og har helt minimale, administrative ressurser. JSA fremstiller seg derfor i dag som et atskillig svakere korrektiv enn hva det i sin tid antagelig var tenkt som.