2 Personvernnemndas årsmelding 2005
2.1 Samandrag
Dette er Personvernnemndas femte årsmelding. I løpet av året har det komme 17 klagar, av desse er ni ferdigbehandla. Datatilsynets vedtak er omgjort heilt eller delvis i fem av dei ni sakene. Dessutan er seks klagar frå 2004 ferdigbehandla. I alt er det altså ferdigstilt 15 klagar i løpet av året.
Saksmengda har auka monaleg i 2005. Dessutan har fleire av sakene vore komplekse og prinsipielle. Personvernnemnda kan berre ta stilling i konkrete saker, men ser at det på fleire område er behov for ein sektorovergripande rettspolitisk debatt.
2.2 Innleiing
Personvernnemnda er oppretta med heimel i lov om behandling av personopplysningar (2000:31). Loven trådde i kraft 1.1.2001. Personvernnemnda er eit klageorgan for vedtak fatta av Datatilsynet etter personvernloven og etter helseregisterloven (2001:24).
Personvernnemnda er eit uavhengig forvaltningsorgan administrativt underlagt Kongen og Fornyings- og administrasjonsdepartementet.
Personvernnemndas arbeid er regulert av personopplysningsloven, forskrifter til denne, samt ein instruks som departementet har utarbeidd. Forvaltningsloven og offentlegloven kjem også til bruk som for forvaltninga elles.
Sjølv om departementet utarbeider instruks, inneber dette ikkje noka form for instruksjonsmyndigheit i enkeltsaker. Departementet kan ikkje gi generelle instruksar om lovtolking eller skjønnsutøving.
Personvernnemnda skal årleg orientere Kongen om behandling av klagesakene.
2.3 Medlemmer
Personvernnemnda har sju medlemmer som blir oppnemnde for fire år med høve til oppnemning for ytterlegare fire år. Leiar og nestleiar i Personvernnemnda blir oppnemnde av Stortinget, mens dei andre medlemmene blir utnemnde av Kongen. Første gongs oppnemning skjedde i 2001. I 2005 blei leiar og nestleiar, samt medlemmene Siv Bergit Pedersen og Hanne I Bjurstrøm, oppnemnde for fire nye år. I tillegg blei det oppnemnt tre nye medlemmer.
Personvernnemnda består av følgjande personar:
Jon Bing, leiar
Gro Hillestad Thune, nestleiar
Siv Bergit Pedersen
Hanne I Bjurstrøm
Tom Bolstad
Leikny Øgrim
Jostein Halgunset
I tillegg er det oppnemnt personlege vararepresentantar.
2.4 Andre organisatoriske forhold
Sekretariatet til Personvernnemnda har fram til desember 2005 vore advokat Camilla Sivesind Tokvam. Avtalen gjekk ut 1.12.2005 og Moderniseringsdepartementet bestemte at ein skulle prøve ei tilsetjing i departementet med arbeidsstad i sekretariatet, i første omgang som ei prøveordning for eitt år. I november blei det utlyst ei 80 % stilling i sekretariatet som ei mellombels tilsetting for inntil eitt år. Primo desember 2005 blei Tonje Røste Gulliksen tilsett som seniorrådgivar i departementet, med tiltreding 1.3.2006. Ho skal fungere som sekretær for Personvernnemnda fram til 1.3.2007.
Personvernnemnda tok departementets avgjerd om omorganisering av sekretariatet til etterretning. Nemnda meinte likevel at sjølve framgangsmåten var uheldig, nemnda var ikkje blitt overtydd om at omlegginga ville føre til ei innsparing (som var oppgitt som hovudgrunngiving for omorganiseringa), og nemnda frykta at tilsettinga kom så seint at perioden utan sekretariat (2-3 månader) ville medføre ei uheldig forseinking i nemndas arbeid med klagesaker.
Etter omstenda er likevel nemnda nøgd med at omlegginga på sikt ser ut til å sikre arbeidsforholda for nemnda.
Personvernnemnda held sine møte i lokale utanfor Datatilsynet og Regjeringskvartalet for også på denne måten å markere sjølvstende.
Personvernnemnda har si eiga heimeside, www.personvernnemnda.no, der blant anna vedtaka er publiserte fullt ut. Heimesida har lenke frå Datatilsynets heimeside, og lenker til personvernrelatert materiale tilgjengeleg på Internettet. Personvernnemndas vedtak blir òg publiserte i ein eigen database hos Lovdata lenka til det andre dokumenterte materialet. Dermed kan ein brukar lett slå opp på Personvernnemndas vedtak ved oppslag på paragraf i personopplysningsloven, andre lovar, dommar mv. som vedtaka viser til.
2.5 Møte og konferansar 2005
Personvernnemnda har i 2005 hatt i alt 15 møte. Møta blei i hovudsak nytta til å behandle klagesaker, men også administrative forhold som arbeidsform, organisering av sekretariatet og saksbehandling, samt vurdering av budsjett og budsjettforslag for 2006 har blitt behandla i møta. I tillegg til nemndmøte har det vore førebuande møte med sekretariatet og ein eller fleire medlemmer, pluss enkelte tilsvarande møte i samband med behandling av klagesaker.
Personvernnemnda har hatt fem møte med departementet.
Leiar Jon Bing og sekretær Camilla Sivesind Tokvam deltok på den internasjonale konferansen for datatilsynsmyndigheiter i Montreux, Sveits 14.-16. 9.2005.
Personvernnemnda ytte økonomisk støtte til «Personvernkonferansen 2005», som blei arrangert av Avdeling for forvaltningsinformatikk, Universitetet i Oslo, den 5.12.2005. Personvernnemndas medlemmer deltok på konferansen, men var tilbakehaldne med å gi uttrykk for haldningar til faglege spørsmål i tråd med Personvernnemndas ønske om å reindyrke rolla som klageorgan. Tema for konferansen var fjernsynsovervaking.
Konferansen tok sikte på å kaste lys over kva slik overvaking er, kva for rettsreglar som gjeld og kva for sosiale konsekvensar ho kan få.
2.6 Klagesaksbehandling
Personvernnemnda mottok i 2005 totalt 17 klagesaker. Ni av desse var ferdigbehandla ved utgangen av året. Oversikt over vedtaka, samt vedtaka i sin heilskap, er publisert på Personvernnemndas heimesider. I tillegg er vedtaka publiserte i eigen database hos Lovdata.
Saksmengda har auka monaleg i 2005 i forhold til tidlegare år. Fleire av sakene har vore prinsipielle. Personvernnemnda vil særleg trekkje fram spørsmålet om anonym ferdsel på offentleg stad, som stod sentralt i sakene PVN-2005-09 Det Mosaiske Trossamfund og PVN-2005-11 Statens vegvesen.
I sak PVN-2005-11 slutta Personvernnemnda seg til Datatilsynets oppfatning av at spørsmålet om retten til å ferdast anonymt på offentleg stad, og elles til å opptre anonymt i samfunnet, er eit grunnleggjande rettspolitisk spørsmål av sentral verdi for personvernet. Det er òg eit spørsmål som er sektorovergripande. Det ville vore sterkt ønskjeleg at ein kunne ta stilling til dette spørsmålet generelt, ikkje berre i ei konkret sak. Men Personvernnemnda er bunden til å avgrense si saksbehandling til ei vurdering av den konkrete klagen. Personvernnemnda kommenterte likevel at den oppsplitting i konkrete klagar som er nødvendig for prøving av enkeltvedtak ikkje må få lov til å erstatte ein meir prinsipiell rettspolitisk debatt.
I sak PVN-2005-01 Lydbandopptak tok Personvernnemnda stilling til det saklege verkeområdet for personopplysningsloven ved tolking av § 3. Av dette vedtaket går det fram at Personvernnemnda fann kommentarane til forarbeida til personopplysningsloven § 3, 1.ledd litra a og b utilstrekkelege for å klargjere det saklege verkeområdet, og tolkinga av kriteriet «elektroniske hjelpemidler» blei utdjupt. Ein fann òg visse inkonsistensar mellom personopplysningsloven § 3 og kapittel VII om fjernsynsovervaking. Også i sak PVN-2005-09 Det Mosaiske Trossamfund er det ein diskusjon av visse føresegner om fjernsynsovervaking. Det er f. eks. påpeikt at loven ikkje regulerer overvaking av private område, og ikkje løyser spørsmålet når den behandlingsansvarlege av praktiske årsaker ikkje kan varsle om overvaking av offentlege område ved skilting mv. Nemnda går ut frå at desse og andre prinsipielle merknader i vedtaka vil ha interesse i samband med den pågåande revisjonen av loven.
Saker som er behandla i 2005 er:
Klage på Datatilsynets avvising av å påleggje Wiersholm, Mellbye & Bech advokatfirma å slette lydbandopptak
PVN-2005-1. Ein advokat hadde gjort opptak av samtalar med den andre parten i ei sak som stod for retten. Opptaka var gjorde utan å informere den andre parten. Den andre parten kravde at opptaka blei sletta. Personvernnemnda kom til at lydopptaka ikkje representerte noko personregister under tilvising til bl.a. Rt-1991-616 (Gatekjøkkenkjenninga), og derfor ikkje fall inn under det saklege verkeområdet for personopplysningsloven etter personopplysningsloven § 3, 1.ledd litra b. Ved tolkinga av personopplysningsloven § 3,1.ledd litra a vil også behandling av personopplysningar med «elektroniske hjelpemidler» falle inn under lovens saklege verkeområde. Personvernnemnda kom til at dette kriteriet måtte forståast slik at behandlinga skjedde automatisk, dvs. utan at menneske styrte opptaket. Tilvising til forarbeid og utanlandsk rett. Personvernnemnda framhever at sjølv om tilfellet ikkje fell inn under det saklege verkeområdet for personopplysningsloven, kan det ha innverknad på personvernet for den enkelte, og viser i den aktuelle saka til karakteristikk av opptak av telefonsamtalar utan å informere den andre parten i Rt-1997-795.
Klage på Datatilsynets vedtak om å avvise sak med krav om innsyn i innbetalt forsikringspremie
PVN-2005-2. Saken galdt spørsmål om innsyn i to typar opplysningar i samband med ein ytingsbasert, kollektiv personforsikringsavtale mellom eit forsikringsselskap og tidlegare arbeidsgivar. Opplysningane utgjorde konkrete tal, men var resultatet av ei berekning og då derfor «ingen anvendeleg informasjon om hvilken innbetaling som forsikringstakar reelt sett har gjort for det enkelte medlem». Personvernnemnda kom til at det var personopplysningar, og derfor gjenstand for innsyn.
Dinest tok Personvernnemnda stilling til om ein kunne gi innsyn utan omsyn til teieplikt i forsikringsavtaleloven § 17-2. Under tilvising til klåre fråsegner i forarbeida kom ein til at innsynsretten kunne gjerast gjeldande.
Endeleg tok Personvernnemnda stilling til om ein kunne gi innsyn utan omsyn til teieplikt i forsikringsverksemdsloven § 1-3, og kom til at opplysningane ikkje vedgjekk «andres forretningsmessige forhold». Personvernnemnda uttaler også at teieplikta i forsikringsverksemdsloven § 1-3 vil stå tilbake for innsynsretten etter personopplysningsloven.
Klage på Datatilsynets vedtak om avvising
PVN-2005-3. Saken gjeld nettstad som inneheld kritiske kommentarar til behandlinga av barnevernsaker og relaterte spørsmål. Personvernnemnda kjem til at nettstaden behandlar personopplysningar, men fell innanfor personopplysningsloven § 7, som avgrensar bruk av loven for «journalistiske, herunder opinionsdannende, formål». Det blir vist til diskusjonen i forarbeida av forholdet til Grunnloven § 100 og Den europeiske menneskerettskonvensjonen, jf. Ot prp nr 92 (1998-1999) Om lov om behandling av personopplysninger (personopplysningsloven) , særleg pkt. 11.6. Personvernnemnda presiserer at nettstadene må, på same vis som andre media, overhalde og respektere føresegner som gjeld omtale av enkeltpersonar.
Klage på Datatilsynets vedtak om å forby «koplingsbru» mellom helseregister
PVN-2005-4. HUNT hadde etablert ei «koplingsbru» som gjorde det mogleg å kople avidentifiserte forskingsregister med diverse sentrale helseregister i Noreg. Brua blei oppbevart og administrert av Statistisk sentralbyrå. Dei filene som forskarane får tilgang til, vil i praksis framstå som fullstendig anonymiserte. Datatilsynet meinte at koplingsbrua representerte ein risiko for den registrerte. Rett nok er det slik at jo fleire variablar ein har registrert om kvart individ, jo meir mogleg er det - reint teoretisk - å finne ut kven denne personen er («bakvegsidentifisering»). Men det at koplingsbrua finst, tilfører i denne samanheng ingen risiko ut over den som ligg der frå før. Personvernnemnda kom til at samfunnet si interesse i at behandlinga skjer klårt overstig ulempene for kvar enkelt, og tillet at koplingsbrua blir oppbevart i 10 år rekna frå 1.1.2003. Datatilsynets vedtak blei omgjort.
Klage på Datatilsynets avgjerd om å trekkje tilbake ei tidlegare fråsegn om at fakturautstedarar skal kunne få utlevert fakturamottakars e-postadresse frå banken til fakturamottakaren ved inngåing av tenesteavtale om e-faktura
PVN-2005-5. Klagaren hadde kravd å få utlevert e-postadresser som kundar hadde gitt til ein bank i samband med avtale om e-faktura. Personvernnemnda kom til at banken var behandlingsansvarleg, og derfor ikkje kunne utlevere opplysningane utan etter samtykke frå kunden. Datatilsynet hadde avvist saka, Personvernnemnda sluttar seg til denne vurderinga og uttaler at saka fortonar seg «mer som en interessekonflikt mellom to næringsdrivende om funksjonelle sider ved e-fakturatjenesten enn et spørsmål om å ivareta kundenes personvern og rettssikkerhet». Klagen førte ikkje fram.
Klage på vedtak om delvis avslag på konsesjon til å behandle helseopplysningar
PVN-2005-7. Statens folkehelseinstitutt (FHI) søkte løyve til å opprette forskingsfil for studiar av sosiale og etniske forskjellar i perinatal helse. Registeret inneber ei samanstilling av to etablerte register, Medisinsk fødselsregister og Dødsårsaksregisteret, og vidare samanstilling med fødelandsregister og utdanningsfil frå Statistisk sentralbyrå. Den registrerte pasientgruppa omfattar mor, far og barn som er registrerte i Medisinsk fødselsregister, totalt ca 2,2 millionar personar. Datatilsynet gav konsesjon under føresetnad av sletting etter fem år, og at utlevering til ekstern bruk kravde ny konsesjon. Dette blei påklaga. Personvernnemnda kom til at helseregisterloven § 8, 1.ledd må tolkast slik at registeret krev heimel i forskrift. Klagen blei ikkje teken til følgje.
Klage på Datatilsynets vedtak om delvis avslag på søknad frå Kreftregisteret om konsesjon for to forskingsprosjekt
PVN-2005-8. Kreftregistret søkte om forlengd konsesjon bl.a. for to prosjekt som tok sikte på å klårleggje kreftrisiko blant tilsette i mineralullindustrien og aluminiumsindustrien. Datatilsynet avslo konsesjon under tilvising til at det ikkje låg føre samtykke, og at interesseavveging i personopplysningsloven § 9, 1.ledd litra h ikkje klart oversteig den enkeltes interesse i personvern. Personvernnemnda presiserte at samtykke frå den registrerte er hovudregelen, og at ein berre kan vike frå denne regelen når det ligg føre tungtvegande omsyn, jf. PVN 2004-01 STAMI. I dette tilfellet såg Personvernnemnda risikoen for fråfall av kohorten grunna unntak frå regelen, jf. personopplysningsloven § 8 litra d. Personvernnemnda meinte òg at samfunnets interesse i betre å forstå og kunne førebyggje kreft klårt overstig ulempene for den enkelte i dette tilfellet. Saka blei sendt tilbake til Datatilsynet, som har kompetanse til å gi konsesjon for prosjekta.
Spørsmål om fjernsynsovervaking av området nær lokala til Det Mosaiske Trossamfund i Oslo
PVN-2005-9. Saka galdt to spørsmål.
Spørsmål om oppbevaring av opptaka utover fristen på sju dagar, jf. personopplysningsforskrifta § 8-4. Personvernnemnda tillét oppbevaring inntil 30 dagar med særleg pålegg om sikring av opptaka, jf. personopplysningsloven § 46.
Spørsmål om å tillate overvaking av i det vesentlege offentleg stad, men òg ein liten del av eit område for ein «avgrenset krets av personer som jevnlig ferdes» (privat hage). Overvakinga bruker eit kamera med zoom-funksjon som dekkjer eit forholdsvis stort område. Personvernnemnda kom til at den behandlingsansvarleges interesser ikkje oversteig dei overvaka si interesse i personvern tilstrekkeleg til at ein kunne tillate overvakinga av det offentlege rom utanfor der kor overvakinga var varsla ved skilting, personopplysningsloven § 37, 1.ledd jf. § 8 litra f. Overvaking av nærliggjande privat område, der ein avgrensa krins av personar jamleg ferdast, blei tillaten etter personopplysningsloven § 38, jf. § 37, 1.ledd og § 8 litra f. Personvernnemnda føresette likevel samtykke av eigaren.
Fråsegn om tolking av personopplysningsloven § 40.
I interesseavveginga skilde Personvernnemnda seg i eit fleirtal og eit mindretal. Vedtaket pkt. 2 er utforma på grunnlag av fleirtalets syn.
Klage på vedtak om pålegg om sletting av kundeopplysningar
PVN-2005-10. Ved kjøp av bil overfører forhandlaren visse opplysningar til importør, som gjennom kjøpsavtalen blir part i denne med sjølvstendige plikter overfor kunden. Saka gjeld kva for opplysningar om kunden som importøren kan overføre til ein ny forhandlar som kunden ikkje har hatt kontakt med, og som det då heller ikkje er etablert noko avtaleforhold med. Personvernnemnda kom til at når formålet for ny forhandlar er kundeinformasjon og marknadsføring kan berre behandling av namn, adresse og det forholdet at den registrerte er kunde hos importøren grunngivast i personopplysningsloven § 8 litra f.
Datatilsynets vedtak blir stadfesta.
2.7 Rekneskap og budsjett for 2005
Personvernnemnda hadde i 2005 ei budsjettramme på kr 1 100 000, som kjem fram under kap 1500 Moderniseringsdepartementet i statsbudsjett for 2005. På grunn av auka saksmengd blei det første halvår klart at nemnda ville trenge større ressursar enn opphavleg budsjettert, og i samråd med departementet blei budsjettet auka til 2 100 000.
Totalt forbruk: kr 2 035 893. Personvernnemnda disponerte løyvinga til innkjøp av nødvendig litteratur, utstyr, tenester, drift og oppdatering av heimesider, økonomisk støtte til konferanse, deltaking på konferanse for tilsynsmyndigheiter, arbeidsgodtgjersle og reisegodtgjersle til nemndas medlemmer, godtgjersle til sekretariat og leige av møtelokale.
Oslo, 14. mars 2006
For Personvernnemnda
Jon Bing (leiar)