Etter personregisterloven § 8 har Datatilsynet adgang til i visse tilfeller å gi den registeransvarlige pålegg om å rette, slette eller supplere et personregister. Tilsynet har ikke anledning til å følge opp gjennomføringen av pålegget med virkemidler som f.eks. tvangsmulkt.

Personregisterloven § 40 pålegger objektivt erstatningsansvar for kredittopplysningsforetak som meddeler opplysninger i strid med lovens regler eller opplysninger som viser seg uriktige eller åpenbart misvisende. For andre virksomheter finnes det ingen erstatningsregel i personregisterloven, slik at det er det alminnelige ulovfestede uaktsomhetsansvaret som gjelder. I Innst. S. nr. 80 (1991-1992) ber justiskomiteen regjeringen vurdere om det er ønskelig å utvide den objektive erstatningsregelen for kredittforetak til andre typer registre og om det bør innføres en egen lovhjemmel for oppreisningserstatning i personregisterloven.

Personregisterloven § 38 setter straff for forsettlige og uaktsomme overtredelser av visse bestemmelser i loven.

Artikkel 23 og 24 i EU-direktivet pålegger medlemsstatene å fastsette sanksjoner, herunder regler om erstatning, for overtredelse av de nasjonale bestemmelser som gis til gjennomføring av direktivet.

Utvalget foreslår en bestemmelse som gir Datatilsynet generell hjemmel til å gi pålegg om at behandling av personopplysninger i strid med lovens regler skal opphøre eller bare kunne fortsette på nærmere bestemte vilkår. Datatilsynet får kompetanse til å ilegge en løpende tvangsmulkt når dette er nødvendig for å sikre at pålegg blir etterlevd.

Utvalget går videre inn for at den behandlingsansvarlige skal være ansvarlig for økonomisk tap som han forvolder, med mindre han eller hun godtgjør at vedkommende ikke har utvist uaktsomhet (skyldansvar med omvendt bevisbyrde). Kredittopplysningsforetak skal, på samme måte som i dag ha et objektivt ansvar. Utvalget frarår at det innføres en oppreisningsregel i den nye loven.

Utvalget går inn for å sette straff for overtredelse av en rekke av reglene i forslaget til ny personopplysningslov. Det foreslår at straffen under særdeles skjerpende omstendigheter kan settes til fengsel inntil to år, mens strafferammen ellers er ett år.

Det er generell oppslutning blant høringsinstansene om å skjerpe og utvide dagens sanksjonsbestemmelser. Enkelte reiser imidlertid spørsmål om påleggsbestemmelsen går langt nok. Datatilsynet foreslår en regel som gir tilsynet adgang til å gi pålegg om at behandlinger av personopplysninger som på grunn av sitt omfang eller art vil virke krenkende for den enkelte skal opphøre, eller bare kunne gjennomføres på nærmere bestemte vilkår. Det har ikke kommet innvendinger mot forslaget om å innføre et erstatningsansvar. Flere tar til orde for at det også bør kunne gis erstatning for ikke-økonomisk tap. Når det gjelder straffebestemmelse, reiser ØKOKRIM spørsmål om strafferammen ved særdeles skjerpende omstendigheter bør økes til tre år.

Departementet slutter seg i hovedsak til forslagene om å utvide og skjerpe sanksjonsmulighetene. I motsetning til utvalget mener departementet at det er behov for en oppreisningsbestemmelse, jf. lovutkastets § 49, og departementet finner ikke grunn til å straffesanksjonere innsynsreglene. Strafferammen for særlig grove overtredelser av den nye loven bør slik departementet ser det settes til tre år.

Datatilsynet får gjennom lovforslaget til dels vide fullmakter. En hjemmel til ut fra en helhetsvurdering å sette særlige vilkår for særskilte behandlinger av personopplysninger, vil i realiteten fremstå som en generell fullmakt for tilsynet til å gjøre unntak fra og supplere lovens behandlingsregler. Departementet går ikke inn for å gi Datatilsynet en slik skjønnsmessig adgang til å stanse eller sette vilkår også for behandlinger som er lovlige.

Komiteens merknader

Stortinget har i Innst. S. nr. 80 (1991-1992) fra justiskomiteen bedt Regjeringen vurdere om det er ønskelig å utvide den objektive erstatningsregelen for kredittforetak til andre typer registre, og om det bør innføres en egen lovhjemmel for oppreisningserstatning i personregisterloven. Sammen med EU-direktivets pålegg til medlemsstatene om å fastsette sanksjoner, herunder regler om erstatning for overtredelse av de nasjonale regler som følger av gjennomføringen av direktivet, gir dette stortingsvedtaket etter komiteens mening et godt utgangspunkt for vurdering av sanksjoner og erstatningsspørsmålet.

Komiteen er enig i at Datatilsynet gis en generell adgang til å pålegge behandlingsansvarlige å stoppe ulovlige behandlinger eller stille de nødvendige vilkår for at behandlingen skjer i samsvar med loven.

Komiteen går inn for å gi Datatilsynet mulighet for å ilegge løpende tvangsmulkt når det er nødvendig for å sikre at de lovmessige vedtak blir etterlevd. Komiteen vil understreke viktigheten av at tilsynsmyndigheten får den nødvendige tyngde og virkning bak sine pålegg, og mulighet til å gripe inn raskt overfor de behandlingsansvarlige.

Komiteen er enig i lovforslaget om å innføre en generell erstatningsregel bygget på et skyldansvar med omvendt bevisbyrde.

Komiteen følger departementet i at loven får en oppreisningsbestemmelse (§ 49) og at det ikke er nødvendig å straffesanksjonere innsynsreglene. Dette siste vil også være i samsvar med innsynsreglene i forvaltningsloven og offentlighetsloven som ikke er straffebelagt.

Komiteen støtter at strafferammen for særlig grove overtredelser av loven settes til tre år. Komiteen slutter seg også til departementets forslag om å skjerpe skyldkravet til å omfatte både forsettlige og grovt uaktsomme brudd på lovens regler.

Komiteen støtter Justisdepartementet i at Datatilsynet ikke får en skjønnsmessig adgang til å stanse eller sette vilkår også for behandlinger som er lovlige.