1. Sammendrag

1.1 Proposisjonens hovedinnhold

Justisdepartementet fremmer forslag om enkelte endringer i personopplysningsloven. Det fremmes også forslag om en endring i arbeidsmiljøloven.

Forslaget er tredelt. For det første foreslår departementet en hjemmel i personopplysningsloven til å gi forskrifter om særskilte former for behandling av personopplysninger. Bestemmelsen er generelt utformet for å kunne møte reguleringsbehov som følger av den teknologiske utviklingen. I første omgang tar departementet sikte på å bruke hjemmelen til å gi forskrifter om arbeidsgiveres innsyn i ansattes e-post mv.

For det andre foreslår departementet å innføre en generell adgang for Datatilsynet til å ilegge overtredelsesgebyr ved brudd på personopplysningsloven eller forskrifter gitt i medhold av denne. Formålet med forslaget er å gi Datatilsynet et mer effektivt sanksjonsmiddel.

For det tredje foreslår departementet å gi Statens innkrevingssentral en begrenset særnamsmyndighet for innkreving av tvangsmulkt fastsatt i medhold av personopplysningsloven.

I kap. 2 i proposisjonen behandles bakgrunnen for lovforslagene.

1.2 Hjemmel til å gi forskrifter om særskilte former for behandling av personopplysninger – herunder om arbeidsgiveres rett til innsyn i ansattes e-post mv.

Gjeldende personopplysningslov gjelder behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler, og annen behandling av personopplysninger når disse inngår eller skal inngå i et personregister. Høyesterett har i en avgjørelse gjort det klart at arbeidsgiveres innsyn i ansattes e-post innebærer en behandling av personopplysninger som faller inn under lovens virkeområde.

Verken personopplysningsloven eller -forskriften inneholder bestemmelser som særskilt retter seg mot behandling av personopplysninger som befinner seg i elektronisk utstyr (for eksempel i en e-postkasse) som en arbeidsgiver har stilt til ansattes disposisjon. I mangel av særskilt regulering må spørsmålet om arbeidsgiveres rett til innsyn i ansattes e-post mv. vurderes på grunnlag av lovens generelle bestemmelser. Datatilsynets praksis har vist at lovens alminnelige bestemmelser ikke gir en klar nok anvisning på når arbeidsgivere har rett til innsyn i arbeidstakeres e-post mv.

Fornyings- og administrasjonsdepartementet foreslo i høringsnotatet å utvide forskriftshjemmelen i personopplysningsloven til også å omfatte bestemmelser om særskilte former for behandling av personopplysninger. Bakgrunnen for forslaget var særlig å gi hjemmel til å fastsette forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv. Hjemmelen var generelt utformet for å møte fremtidige reguleringsbehov.

Departementet foreslår også etter høringsrunden å utvide forskriftshjemmelen i personopplysningsloven, slik at Kongen får adgang til å fastsette nærmere bestemmelser om særskilte former for behandling av personopplysninger. Et flertall av høringsinstansene var positive under høringen.

Det umiddelbare siktemålet med forslaget er å åpne for særlig regulering av arbeidsgiveres rett til innsyn i ansattes e-post mv. Datatilsynet har hatt en økende pågang av henvendelser fra arbeidsgivere og arbeidstakere om hvor grensen for lovlig innsyn går etter gjeldende rett. Ulike elektroniske kommunikasjonsverktøy har blitt en selvfølgelig og naturlig del av arbeidslivet, samtidig som grensen mellom arbeid og fritid i mange tilfeller er mindre klar enn før – for eksempel ved at flere benytter seg av hjemmekontor. På denne bakgrunn er det ønskelig å gi nærmere forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv.

Departementet foreslår at forskriftshjemmelen innarbeides i personopplysningsloven, og ikke i arbeidsmiljøloven, slik noen få høringsinstanser har tatt til orde for. Dette er etter departementets syn den beste løsningen, ettersom hjemmelen er ment å åpne for bestemmelser som presiserer personopplysningslovens alminnelige krav til behandling av personopplysninger. Bestemmelsen er dessuten generelt utformet, og dekker behovet for å kunne gi forskrifter om andre særskilte former for behandling av personopplysninger enn innsyn i e-post på arbeidsplassen. Ny teknologi og nye former for behandling av personopplysninger kan foranledige behov for ytterligere regulering for å ivareta personvernet.

Av opplysningshensyn og av hensyn til sammenhengen med arbeidsmiljølovens regler om kontrolltiltak, foreslår departementet, som i høringsnotatet, at det blir tatt inn en henvisningsbestemmelse i arbeidsmiljøloven som gjør det klart at arbeidsgiveres innsyn i e-post mv. bare kan skje når det følger av personopplysningslovens regler.

1.3 Overtredelsesgebyr

Datatilsynet har etter gjeldende rett ikke hjemmel til å ilegge overtredelsesgebyr for brudd på personopplysningslovens regler. Personopplysningsloven gir i dag hjemmel for at Datatilsynet kan gi pålegg om at ulovlig behandling skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med loven. Pålegget kan følges opp med en tvangsmulkt, som løper inntil pålegget er oppfylt.

Fornyings- og administrasjonsdepartementet foreslo i høringsnotatet å innføre en generell bestemmelse om overtredelsesgebyr i personopplysningsloven etter mønster av forslaget fra Sanksjonsutvalget.

Departementet går også etter høringsrunden inn for å endre personopplysningsloven slik at Datatilsynet får hjemmel til å ilegge overtredelsesgebyr for brudd på personopplysningsloven og forskrifter gitt i medhold av denne. Forslaget er i all hovedsak i tråd med forslaget i høringsnotatet, som fikk støtte av et flertall av høringsinstansene. Gjeldende sanksjonsmuligheter – pålegg, tvangsmulkt og straff – er etter departementets syn av flere grunner ikke tilstrekkelige virkemidler for en effektiv håndhevelse av loven.

Etter departementets syn bør en bestemmelse om overtredelsesgebyr ha et minst like bredt virkeområde som lovens straffebestemmelse. Departementet foreslår derfor at overtredelsesgebyr skal kunne ilegges ikke bare den behandlingsansvarlige, men enhver som har overtrådt personopplysningsloven eller forskrifter gitt i medhold av denne.

Tilsynsmyndighetene står etter departementets forslag ikke fritt i vurderingen av om overtredelsesgebyr skal ilegges. Etter forslaget skal det – både med hensyn til om gebyr skal ilegges og eventuelt hvor stort det skal være – særlig legges vekt på blant annet hvor alvorlig overtredelsen er og om andre reaksjoner blir ilagt overtrederen eller noen som handler på dennes vegne. Det skal også særlig legges vekt på blant annet graden av skyld, og på om det foreligger gjentakelse. Forslaget gir den nødvendige fleksibilitet for Datatilsynet til å vurdere i hvilke situasjoner overtredelsesgebyr er en egnet reaksjonsmåte, og i hvilke tilfeller det anses nødvendig å anmelde forholdet. Samtidig er den enkeltes rettssikkerhet ivaretatt ved at tilsynsmyndighetens skjønn er underlagt klare føringer gjennom de momenter som skal tillegges vekt i vurderingen av om gebyr skal ilegges og hvor stort gebyret skal være.

Departementet viderefører forslaget i høringsnotatet om at overtredelsesgebyret ikke bør være standardisert, dvs. lyde på et bestemt beløp, men fastsettes i den enkelte sak.

Departementet foreslår å gi Statens innkrevingssentral en begrenset særnamsmyndighet for innkreving av overtredelsesgebyr, slik det også foreslås for innkreving av tvangsmulkt. Begrunnelsen er hensynet til best mulig utnytting av offentlige ressurser og til effektiviteten av Datatilsynets nye sanksjonsmiddel.

1.4 Begrenset særnamsmyndighet for innkreving av tvangsmulkt

Etter gjeldende personopplysningslov kan Datatilsynet fastsette tvangsmulkt for å sikre etterlevelsen av pålegg om at behandling av personopplysninger i strid med loven eller forskriften skal opphøre eller endres i tråd med fastsatte vilkår. Tvangsmulkten løper for hver dag som går etter utløpet av den fristen som er satt for å oppfylle pålegget, inntil pålegget er oppfylt.

Personopplysningsloven gir ikke særlige regler om innkreving av tvangsmulkt som ikke blir betalt innen fristen. De alminnelige reglene i tvangsfullbyrdelsesloven om inndriving av pengekrav gjelder derfor. Det innebærer at Datatilsynet som saksøker må fremme en begjæring om tvangsfullbyrdelse for namsmannen. Etter tvangsfullbyrdelsesloven er beslutning om tvangsmulkt truffet av offentlig myndighet med hjemmel i lov, tvangsgrunnlag for utlegg.

Departementet foreslår å gi Statens innkrevingssentral begrenset særnamsmyndighet for innkreving av tvangsmulkt etter personopplysningsloven.

1.5 Økonomiske og administrative konsekvenser

Forslagene antas å ha beskjedne økonomiske og administrative konsekvenser.

2. Komiteens merknader

Komiteen, medlemmene fra Arbeiderpartiet, lederen Anne Marit Bjørnflaten, Thomas Breen, Ingrid Heggø og Hilde Magnusson Lydvo, fra Fremskrittspartiet, Hanne M. Blåfjelldal, Jan Arild Ellingsen og Solveig Horne, fra Høyre, Elisabeth Aspaker og André Oktay Dahl, og fra Sosialistisk Venstreparti, Akhtar Chaudhry, er fornøyd med at Regjeringen nå legger fram lovendringsforslag som bedre skal regulere arbeidsgivers rett til innsyn i ansattes e-post mv. Lovendringsforslaget som foreligger vil gi nødvendig hjemmelsgrunnlag for å utarbeide nødvendige forskrifter for dette. Komiteen er enig i lovforslaget som også vil gi hjemmelsgrunnlag til Datatilsynet for å ilegge overtredelsesgebyr for brudd på loven, og komiteen er fornøyd med at Regjeringen i dette spørsmålet legger seg på linje med det som er foreslått av Sanksjonlovutvalget. Komiteen er også enig i at man skal kunne ilegge overtredelsesgebyr til enhver som har overtrådt personopplysningsloven og ikke bare den enkelte behandlingsansvarlige. Dette vil gi overtredelsesgebyr ilagt av Datatilsynet et bredt og nødvendig virksomhetsområde.

Komiteens flertall, medlemmene fra Arbeiderpartiet, Høyre og Sosialistisk Venstreparti, har registrert at noen av høringsinstansene problematiserer om forskriftshjemmelen burde ligge i arbeidsmiljøloven. Det ble på denne bakgrunn stilt spørsmål til statsråden om dette. Flertallet er på bakgrunn av svarbrevet fra statsråden (vedlagt), og de høringssvar som foreligger, enig med Regjeringens forslag om at hjemmelen bør plasseres i personopplysningsloven. Dette fordi hjemmelen som foreslås, er ment å åpne for bestemmelser som presiserer personopplysningslovens alminnelige krav til behandling av personopplysninger. Den er også generelt utformet slik at man kan møte mulige framtidige behov for forskriftsendringer dersom man ser det er nødvendig i takt med utviklingen av ny teknologi eller nye former for behandling av personopplysninger.

Flertallet mener at hensynet til sammenhengen med arbeidsmiljølovens bestemmelser om kontrolltiltak blir godt ivaretatt av forslaget om en ny henvisningsbestemmelse i arbeidsmiljøloven § 9-5.

Komiteens medlemmer fra Fremskrittspartiet er tilfredse med at man nå lager en forskriftshjemmel og forskrift som regulerer arbeidsgivers adgang til overvåkning av ansattes e-post. Disse medlemmer mener imidlertid at bestemmelsen burde stått i arbeidsmiljøloven i stedet for personopplysningsloven. Dette for å holde bestemmelser som angår kontroll av ansatte mest mulig samlet og således gjøre det enklere for ansatte å finne frem i lovverket som angår dem.

På denne bakgrunn fremmer disse medlemmer følgende forslag til en ny bestemmelse i arbeidsmiljøloven:

"Ny § 9-15 skal lyde:

Ny § 9-15 Arbeidsmiljøloven

Innsyn i arbeidstakers e-postkasse mv.

Departementet kan gi forskrift om arbeidsgiverens rett til innsyn i arbeidstakers e-postkasse, personlige område i virksomhetens datanettverk og andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakerens disposisjon."

Disse medlemmer innser at plasseringen i arbeidsmiljøloven vil begrense bestemmelsens virkeområde i forhold til studenter, medlemmer i lag og foreninger etc., men mener dette hensyn er underordnet med hensyn til verdien av felles plassering av kontrolltiltak som berører ansatte.

Etter disse medlemmers oppfatning er det behov for bedre informasjon om hvilke rettigheter arbeidstagere har og hvor en kan henvende seg dersom en mener seg uberettiget overvåket av arbeidsgiver. Disse medlemmer ønsker derfor at Regjeringen kommer tilbake med forslag til tiltak som ivaretar dette hensynet og fremmer derfor følgende forslag:

"Stortinget ber Regjeringen fremme forslag om tiltak som ivaretar arbeidstageres behov for informasjon om hvilke rettigheter de har og hvor de kan henvende seg når de føler seg uberettiget overvåket av arbeidsgiver."

Komiteen er enig i behovet for å effektivisere inndrivingen av tvangsmulkt og overtredelsesgebyr og stiller seg derfor bak Regjeringens forslag om å gi Statens innkrevingssentral begrenset særnamsmyndighet for dette.

3. Forslag fra mindretall

Forslag fra Fremskrittspartiet:

Forslag 1

Ny § 9-15 skal lyde:

Ny § 9-15 Arbeidsmiljøloven

Innsyn i arbeidstakers e-postkasse mv.

Departementet kan gi forskrift om arbeidsgiverens rett til innsyn i arbeidstakers e-postkasse, personlige område i virksomhetens datanettverk og andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakerens disposisjon.

Forslag 2

Stortinget ber Regjeringen fremme forslag om tiltak som ivaretar arbeidstageres behov for informasjon om hvilke rettigheter de har og hvor de kan henvende seg når de føler seg uberettiget overvåket av arbeidsgiver.

4. Komiteens tilråding

Komiteen har ellers ingen merknader, viser til proposisjonen og rår Odelstinget til å gjøre slikt

vedtak til lov

om endringer i personopplysningsloven mv. (forskriftshjemmel, overtredelsesgebyr og innkreving av tvangsmulkt)

I

§ 3 fjerde ledd første punktum skal lyde:

Kongen kan gi forskrift om særskilte former for behandling av personopplysninger, og om behandling av personopplysninger i særskilte virksomheter eller bransjer.

§ 36 skal lyde:

§ 36 Definisjon

Med fjernsynsovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende fjernsynskamera, fotografiapparat eller lignende apparat.

§ 44 fjerde ledd skal lyde:

Kongen kan gi forskrift om unntak fra første til tredje ledd av hensyn til rikets sikkerhet. Kongen kan også gi forskrift om dekning av utgiftene ved kontroll.

§ 46 skal lyde:

§ 46 Overtredelsesgebyr. Pålegg om endring eller opphør av ulovlige behandlinger

Datatilsynet kan pålegge den som har overtrådt denne loven eller forskrifter i medhold av den, å betale et pengebeløp til statskassen (overtredelsesgebyr) på inntil 10 ganger grunnbeløpet i folketrygden. Fysiske personer kan bare ilegges overtredelsesgebyr for forsettlige eller uaktsomme overtredelser. Et foretak kan ikke ilegges overtredelsesgebyr dersom overtredelsen skyldes forhold utenfor foretakets kontroll.

Ved vurderingen av om overtredelsesgebyr skal ilegges, og ved utmålingen, skal det særlig legges vekt på

a)hvor alvorlig overtredelsen har krenket de interesser loven verner,

b)graden av skyld,

c)om overtrederen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen,

d)om overtredelsen er begått for å fremme overtrederens interesser,

e)om overtrederen har hatt eller kunne ha oppnådd noen fordel ved overtredelsen,

f)om det foreligger gjentakelse,

g)om andre reaksjoner som følge av overtredelsen blir ilagt overtrederen eller noen som har handlet på vegne av denne, blant annet om noen enkeltperson blir ilagt straff og

h)overtrederens økonomiske evne.

Oppfyllelsesfristen er 4 uker etter at vedtaket om overtredelsesgebyr er endelig. Dersom et vedtak om overtredelsesgebyr bringes inn for en domstol, kan den prøve alle sider av saken.

Datatilsynet kan gi pålegg om at behandling av personopplysninger i strid med bestemmelser i eller i medhold av denne loven skal opphøre, eller stille vilkår som må være oppfylt for at behandlingen skal være i samsvar med loven.

Ny § 47 a skal lyde:

§ 47 a Innkreving av refusjonskrav, overtredelsesgebyr og tvangsmulkt

Refusjonskrav som nevnt i § 44, overtredelsesgebyr etter § 46 og tvangsmulkt etter § 47 er tvangsgrunnlag for utlegg.

Når Statens innkrevingssentral er pålagt å innkreve krav som nevnt i første ledd, kan kravene innkreves ved trekk i lønn og andre lignende ytelser etter reglene i dekningsloven § 2-7. Innkrevingssentralen kan også innkreve gebyrene og avgiftene ved å stifte utleggspant for kravet dersom panteretten kan gis rettsvern ved registrering i et register eller ved underretning til tredjeperson, jf. panteloven kapittel 5, og utleggsforretningen kan holdes på Innkrevingssentralens kontor etter tvangsfullbyrdelsesloven § 7-9 første ledd.

II

Ny § 9-5 skal lyde:

§ 9-5 Innsyn i arbeidstakers e-post mv.

Arbeidsgivers rett til innsyn i arbeidstakers e-post mv. reguleres i forskrift gitt i medhold av personopplysningsloven § 3 fjerde ledd første punktum.

III

Loven trer i kraft straks. Overtredelsesgebyr etter § 46 kan bare ilegges for lovovertredelser begått etter at loven trådte i kraft.

Vedlegg

Brev fra Justis- og politidepartementet v/statsråden til justiskomiteen, datert 23. oktober 2008

Spørsmål til behandlingen av Ot.prp. nr 71 (2007 - 2008) Om lov om endringer i personopplysningsloven mv. (forskriftshjemmel, overtredelsesgebyr og innkreving av tvangsmulkt)

1) Jeg viser til brev fra Justiskomiteen 16. oktober 2008 med spørsmål til behandlingen av Ot.prp. nr. 71 (2007-2008) Om lov om endringer i personopplysningsloven mv. (forskriftshjemmel, overtredelsesgebyr og innkreving av tvangsmulkt).

I Ot.prp. nr. 71 (2007-2008) foreslår regjeringen at det i personopplysningsloven § 3fjerde ledd tas inn en hjemmel til å gi forskrifter om særskilte former for behandling av personopplysninger. Bestemmelsen er generelt utformet for å kunne møte reguleringsbehov som følger av den teknologiske utviklingen. Forskriftshjemmelen åpner således for å gi ulike typer bestemmelser som presiserer personopplysningslovens alminnelige regler, forutsatt at disse er knyttet til særskilte former for behandling. Det fremgår imidlertid i proposisjonen at departementet i første omgang tar sikte på å bruke hjemmelen til å gi forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv. På dette punktet vil forskriftsbestemmelsene bli en presisering og klargjøring av reglene i personopplysningsloven § 8 om vilkår for å behandle personopplysinger. De mest berørte departementene – Arbeids- og inkluderingsdepartementet, Fornyings- og administrasjonsdepartementet og Justisdepartementet – holder for tiden på å utarbeide egne forskriftsbestemmelser som vil kunne tre i kraft når den nødvendige lovhjemmelen er på plass.

2) Komiteen ønsker departementets forslag til utforming og plassering av en alternativ forskriftshjemmel dersom den inntas i arbeidsmiljøloven i stedet for i personopplysningsloven, slik departementet foreslo i Ot.prp. nr. 71 (2007-2008).

Dersom komiteen ønsker en slik plassering, kan en bestemmelse i arbeidsmiljøloven overveies utformet slik:

"Innsyn i arbeidstakers e-postkasse m.v.

Departementet kan gi forskrift om arbeidsgiverens rett til innsyn i arbeidstakers e-postkasse, personlige område i virksomhetens datanettverk og andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiveren har stilt til arbeidstakerens disposisjon."

3) Komiteen ønsker videre departementets utfyllende synspunkter på en slik (alternativ) plassering av forskriftshjemmelen, ut over det som fremgår av Ot.prp. nr. 71 (2007-2008).

Arbeidsgiverens innsyn i ansattes e-post er å anse som en behandling av personopplysninger, og slikt innsyn går derfor saklig sett inn under personopplysningslovens anvendelsesområde. Arbeidsmiljøloven inneholder på sin side særlige regler om arbeidsmiljø, arbeidstid og stillingsvern mv., herunder et kapittel 9 om kontrolltiltak i virksomheten. Saklig sett er det mulig å forankre særlige regler om arbeidsgiverens innsyn i e-post her. En slik plassering ville knytte spørsmålet mer direkte til forholdene på arbeidsplassen.

Den klare fordelen med en plassering i personopplysningsloven er imidlertid etter mitt syn at personvernaspektet fremheves tydeligere. Datatilsynet har da også gitt uttrykk for at det av hensyn til ansattes personvern på arbeidsplassen ønsker at bestemmelser om arbeidsgivers rett innsyn i e-post skal forankres i personopplysningsloven. Jeg kan legge til at regjeringen legger opp til at forskriften, så langt den passer, også skal gjelde for universiteters og høyskolers innsyn i studenters e-postkasse og for organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse. En slik utvidet anvendelse er neppe like naturlig dersom man velger en forankring i arbeidsmiljøloven. Alt i alt mener jeg de beste grunner taler for den løsningen som er anbefalt i Ot.prp. nr. 71.

4) Avslutningsvis ber komiteen også om departementets forslag til og synspunkter på hvordan en klageadgang på overtredelsesgebyr ilagt av Datatilsynet kan synliggjøres i loven.

Som det fremgår av Ot.prp. nr. 71 (2007-2008) side 10) følger en slik klageadgang av personopplysningsloven § 42 fjerde ledd. Dette er den bestemmelsen som generelt angir den adgangen det etter loven er til å påklage avgjørelser fra Datatilsynet videre til Personvernnemnda. Klageadgangen omfatter både avgjørelser etter § 46 (hvor overtredelsesgebyret er foreslått inntatt) og andre avgjørelser som Datatilsynet fatter med hjemmel i de bestemmelsene som er særskilt oppregnet i § 42 fjerde ledd. Det er overhodet ikke tvilsomt at det eksisterer en slik klageadgang. Jeg oppfatter derfor at komiteens spørsmål retter seg mot den lovtekniske løsningen som er valgt i personopplysningsloven og ikke mot selve innholdet. Når personopplysningsloven har en felles bestemmelse i § 42 fjerde ledd om hvilke avgjørelser som kan påklages til Personvernnemnda, og denne bestemmelsen omfatter bl.a. pålegg om opphør og vedtak om tvangsmulkt i tillegg til overtredelsesgebyr som foreslått, vil det etter min mening være lite lovteknisk heldig å innføre en særskilt bestemmelse om klageadgangen for overtredelsesgebyr.

Oslo, i justiskomiteen, den 20. november 2008