1.1 Proposisjonens hovedinnhold

Justisdepartementet fremmer forslag om enkelte endringer i personopplysningsloven. Det fremmes også forslag om en endring i arbeidsmiljøloven.

Forslaget er tredelt. For det første foreslår departementet en hjemmel i personopplysningsloven til å gi forskrifter om særskilte former for behandling av personopplysninger. Bestemmelsen er generelt utformet for å kunne møte reguleringsbehov som følger av den teknologiske utviklingen. I første omgang tar departementet sikte på å bruke hjemmelen til å gi forskrifter om arbeidsgiveres innsyn i ansattes e-post mv.

For det andre foreslår departementet å innføre en generell adgang for Datatilsynet til å ilegge overtredelsesgebyr ved brudd på personopplysningsloven eller forskrifter gitt i medhold av denne. Formålet med forslaget er å gi Datatilsynet et mer effektivt sanksjonsmiddel.

For det tredje foreslår departementet å gi Statens innkrevingssentral en begrenset særnamsmyndighet for innkreving av tvangsmulkt fastsatt i medhold av personopplysningsloven.

I kap. 2 i proposisjonen behandles bakgrunnen for lovforslagene.

1.2 Hjemmel til å gi forskrifter om særskilte former for behandling av personopplysninger – herunder om arbeidsgiveres rett til innsyn i ansattes e-post mv.

Gjeldende personopplysningslov gjelder behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler, og annen behandling av personopplysninger når disse inngår eller skal inngå i et personregister. Høyesterett har i en avgjørelse gjort det klart at arbeidsgiveres innsyn i ansattes e-post innebærer en behandling av personopplysninger som faller inn under lovens virkeområde.

Verken personopplysningsloven eller -forskriften inneholder bestemmelser som særskilt retter seg mot behandling av personopplysninger som befinner seg i elektronisk utstyr (for eksempel i en e-postkasse) som en arbeidsgiver har stilt til ansattes disposisjon. I mangel av særskilt regulering må spørsmålet om arbeidsgiveres rett til innsyn i ansattes e-post mv. vurderes på grunnlag av lovens generelle bestemmelser. Datatilsynets praksis har vist at lovens alminnelige bestemmelser ikke gir en klar nok anvisning på når arbeidsgivere har rett til innsyn i arbeidstakeres e-post mv.

Fornyings- og administrasjonsdepartementet foreslo i høringsnotatet å utvide forskriftshjemmelen i personopplysningsloven til også å omfatte bestemmelser om særskilte former for behandling av personopplysninger. Bakgrunnen for forslaget var særlig å gi hjemmel til å fastsette forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv. Hjemmelen var generelt utformet for å møte fremtidige reguleringsbehov.

Departementet foreslår også etter høringsrunden å utvide forskriftshjemmelen i personopplysningsloven, slik at Kongen får adgang til å fastsette nærmere bestemmelser om særskilte former for behandling av personopplysninger. Et flertall av høringsinstansene var positive under høringen.

Det umiddelbare siktemålet med forslaget er å åpne for særlig regulering av arbeidsgiveres rett til innsyn i ansattes e-post mv. Datatilsynet har hatt en økende pågang av henvendelser fra arbeidsgivere og arbeidstakere om hvor grensen for lovlig innsyn går etter gjeldende rett. Ulike elektroniske kommunikasjonsverktøy har blitt en selvfølgelig og naturlig del av arbeidslivet, samtidig som grensen mellom arbeid og fritid i mange tilfeller er mindre klar enn før – for eksempel ved at flere benytter seg av hjemmekontor. På denne bakgrunn er det ønskelig å gi nærmere forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv.

Departementet foreslår at forskriftshjemmelen innarbeides i personopplysningsloven, og ikke i arbeidsmiljøloven, slik noen få høringsinstanser har tatt til orde for. Dette er etter departementets syn den beste løsningen, ettersom hjemmelen er ment å åpne for bestemmelser som presiserer personopplysningslovens alminnelige krav til behandling av personopplysninger. Bestemmelsen er dessuten generelt utformet, og dekker behovet for å kunne gi forskrifter om andre særskilte former for behandling av personopplysninger enn innsyn i e-post på arbeidsplassen. Ny teknologi og nye former for behandling av personopplysninger kan foranledige behov for ytterligere regulering for å ivareta personvernet.

Av opplysningshensyn og av hensyn til sammenhengen med arbeidsmiljølovens regler om kontrolltiltak, foreslår departementet, som i høringsnotatet, at det blir tatt inn en henvisningsbestemmelse i arbeidsmiljøloven som gjør det klart at arbeidsgiveres innsyn i e-post mv. bare kan skje når det følger av personopplysningslovens regler.

1.3 Overtredelsesgebyr

Datatilsynet har etter gjeldende rett ikke hjemmel til å ilegge overtredelsesgebyr for brudd på personopplysningslovens regler. Personopplysningsloven gir i dag hjemmel for at Datatilsynet kan gi pålegg om at ulovlig behandling skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med loven. Pålegget kan følges opp med en tvangsmulkt, som løper inntil pålegget er oppfylt.

Fornyings- og administrasjonsdepartementet foreslo i høringsnotatet å innføre en generell bestemmelse om overtredelsesgebyr i personopplysningsloven etter mønster av forslaget fra Sanksjonsutvalget.

Departementet går også etter høringsrunden inn for å endre personopplysningsloven slik at Datatilsynet får hjemmel til å ilegge overtredelsesgebyr for brudd på personopplysningsloven og forskrifter gitt i medhold av denne. Forslaget er i all hovedsak i tråd med forslaget i høringsnotatet, som fikk støtte av et flertall av høringsinstansene. Gjeldende sanksjonsmuligheter – pålegg, tvangsmulkt og straff – er etter departementets syn av flere grunner ikke tilstrekkelige virkemidler for en effektiv håndhevelse av loven.

Etter departementets syn bør en bestemmelse om overtredelsesgebyr ha et minst like bredt virkeområde som lovens straffebestemmelse. Departementet foreslår derfor at overtredelsesgebyr skal kunne ilegges ikke bare den behandlingsansvarlige, men enhver som har overtrådt personopplysningsloven eller forskrifter gitt i medhold av denne.

Tilsynsmyndighetene står etter departementets forslag ikke fritt i vurderingen av om overtredelsesgebyr skal ilegges. Etter forslaget skal det – både med hensyn til om gebyr skal ilegges og eventuelt hvor stort det skal være – særlig legges vekt på blant annet hvor alvorlig overtredelsen er og om andre reaksjoner blir ilagt overtrederen eller noen som handler på dennes vegne. Det skal også særlig legges vekt på blant annet graden av skyld, og på om det foreligger gjentakelse. Forslaget gir den nødvendige fleksibilitet for Datatilsynet til å vurdere i hvilke situasjoner overtredelsesgebyr er en egnet reaksjonsmåte, og i hvilke tilfeller det anses nødvendig å anmelde forholdet. Samtidig er den enkeltes rettssikkerhet ivaretatt ved at tilsynsmyndighetens skjønn er underlagt klare føringer gjennom de momenter som skal tillegges vekt i vurderingen av om gebyr skal ilegges og hvor stort gebyret skal være.

Departementet viderefører forslaget i høringsnotatet om at overtredelsesgebyret ikke bør være standardisert, dvs. lyde på et bestemt beløp, men fastsettes i den enkelte sak.

Departementet foreslår å gi Statens innkrevingssentral en begrenset særnamsmyndighet for innkreving av overtredelsesgebyr, slik det også foreslås for innkreving av tvangsmulkt. Begrunnelsen er hensynet til best mulig utnytting av offentlige ressurser og til effektiviteten av Datatilsynets nye sanksjonsmiddel.

1.4 Begrenset særnamsmyndighet for innkreving av tvangsmulkt

Etter gjeldende personopplysningslov kan Datatilsynet fastsette tvangsmulkt for å sikre etterlevelsen av pålegg om at behandling av personopplysninger i strid med loven eller forskriften skal opphøre eller endres i tråd med fastsatte vilkår. Tvangsmulkten løper for hver dag som går etter utløpet av den fristen som er satt for å oppfylle pålegget, inntil pålegget er oppfylt.

Personopplysningsloven gir ikke særlige regler om innkreving av tvangsmulkt som ikke blir betalt innen fristen. De alminnelige reglene i tvangsfullbyrdelsesloven om inndriving av pengekrav gjelder derfor. Det innebærer at Datatilsynet som saksøker må fremme en begjæring om tvangsfullbyrdelse for namsmannen. Etter tvangsfullbyrdelsesloven er beslutning om tvangsmulkt truffet av offentlig myndighet med hjemmel i lov, tvangsgrunnlag for utlegg.

Departementet foreslår å gi Statens innkrevingssentral begrenset særnamsmyndighet for innkreving av tvangsmulkt etter personopplysningsloven.

1.5 Økonomiske og administrative konsekvenser

Forslagene antas å ha beskjedne økonomiske og administrative konsekvenser.