1.1 Innledning

       Datatilsynet, som har vært i virksomhet siden 1. januar 1980, har viktige oppgaver etter personregisterloven. Det skal bl.a. behandle og avgjøre søknader om konsesjon for personregistre og annen bruk av personopplysninger, kontrollere at lover og regler som gjelder personregistre og personopplysninger blir fulgt, og gi råd, rettledning og informasjon om personvern. Årsmelding fra Datatilsynet fremlegges for Stortinget årlig.

1.2 Justisdepartementets merknader

       Høsten 1995 ble det opprettet et utvalg (Skauge-utvalget) som skal vurdere og eventuelt foreslå endringer i personregisterlovgivningen. Utvalget skal etter planen avgi sin utredning i mars 1997.

       Regjeringen er opptatt av å bruke teknologien for å effektivisere samfunnet innenfor de rammer personvernet setter, og peker på at ny teknologi også gir mulighet til å sikre personvernet f.eks. ved større mulighet til å holde oversikt over hvordan registrert informasjon benyttes. Departementet bemerker videre at det ligger under Skauge-utvalget å foreta vurderinger av hvilke oppgaver Datatilsynet bør ha i fremtiden.

       Årsmeldingen tar bl.a. opp spørsmål knyttet til forsikring og personvern. Som følge av nylig vedtatte endringer i personregisterforskriften blir livsforsikringsselskapenes registre også underlagt konsesjonsplikt. Det betyr at vilkår knyttet til bruk og registrering av opplysningene kan gjøres ved en individuell behandling.

       Det fremgår i årsmeldingen at enkelte kommuner har gjort forsøk med opprettelse av offentlige servicekontorer som behandler forespørsler på vegne av ulike etater. Informasjonstilgangen har vært viet mye oppmerksomhet ved utviklingen av disse kontorene, og etatene har etablert tekniske tilgangssperrer for opplysninger som anses irrelevante for kontorets ansatte. Taushetsplikten er ikke til hinder for at forsøkene med servicekontorer kan gjennomføres.

       Datakommunikasjon innen helsevesenet kan gi medisinsk-faglige fordeler. Departementet bemerker at det bør stilles strenge krav til organisatoriske, fysiske og tekniske sikringstiltak for å ivareta helsepersonellets taushetsplikt.

       Årsmeldingen omtaler forholdet mellom CD-rom-utgivelser av aviser og tidsskrifter, og mulig inntreden av konsesjonsplikt på mottakers hånd. I forskriftene til personregisterloven er det tatt inn en ny bestemmelse som medfører konsesjonsfritak for mottaker i slike tilfeller.

       I årsmeldingen står sikkerhetsspørsmål sentralt. Spørsmålet er gitt større oppmerksomhet ved opprettelsen av Rådet for IT-sikkerhet. Rådet skal bl.a. arbeide med utredning av behovet for et sertifiserings- og godkjenningsorgan.

       Datatilsynet har reist tvil om hvordan straffeloven § 390 b om forbud mot skjult fjernsynsovervåkning på offentlig sted er å forstå på enkelte punkter, og departementet knytter noen kommentarer til bestemmelsen. At overvåkingskameraene er synlige er ikke tilstrekkelig, men heller ikke nødvendig, for å oppfylle opplysningsplikten. Det må være avgjørende om informasjonen er egnet til å underrette de som berøres om overvåkningen.

       I årsmeldingen har Datatilsynet også tatt opp forskning og personvern. Den nasjonale forskningsetiske komité for medisin (NEM) anbefaler som hovedregel følgende prinsipper for utnyttelse av befolkningsundersøkelser til forskningsformål: Deltakerne avgir et generelt samtykke til utnyttelse for forskningsformål; utnyttelse av materiale som tidligere ikke er godkjent skal forelegges Den regionale forskningsetiske komité, og ved kobling til andre godkjente registre eller datakilder skal resultatet anonymiseres. Departementet er enig i at lovregulering av store sentrale helseregistre til forskningsformål bør vurderes.

1.3 Årsmelding for Datatilsynet 1995

1.3.1 Innledning

       I meldingen fremheves det at lover og politiske beslutninger må bli teknologiens styringsredskaper. Utrygghet gjennom vold og kriminalitet aktualiserer overvåknings- og kontrolltiltak som må sies å få stadig større aksept. Det er derfor viktig å bidra til at lovlydige borgeres integritet ikke ofres i anstrengelsene for å avsløre lovbryterne. Personregisterloven har i det alt vesentlige vist seg som et egnet middel i arbeidet for å sikre og forsvare grunnleggende forestillinger om en privat sfære rundt det enkelte individ.

1.3.2 Datatilsynets virksomhet

       I løpet av 15 år har Datatilsynets fagområder gjennomgått en eksplosiv utvikling. Tilsynet mottar et stadig økende antall henvendelser om å delta i ulike prosjekt- og planleggingsgrupper. Av kapasitetsgrunner er det bare et fåtall slike henvendelser tilsynet kan imøtekomme. Personregisterloven trenger en revisjon. Foruten dette lovarbeidet, ligger den største utfordringen for Datatilsynet i å ruste opp tilsynet slik at det er en ressurssterk samarbeidspart som bidrar til en effektiv og forsvarlig informasjonsforvaltning.

       Det må søkes om konsesjon fra Datatilsynet for å opprette edb-baserte personregistre og manuelle personregistre som inneholder sensitive personopplysninger. I 1995 var det en klar økning i antall konsesjonssaker i forhold til 1994. Datatilsynet bruker flest ressurser på behandling av søknader om konsesjon. Tilsynet får også mange henvendelser om personvernspørsmål. Restansene i saksmengden har sunket siden 1994. Datatilsynet bidrar også aktivt i forskjellig høringsarbeid. I 1995 ble spesielt teknologiske kontroller prioritert. Det ble bl.a. foretatt kontroller i flere av landets kommuner som viste en generelt manglende bevissthet om edb-sikkerhet.

       Datatilsynet har arbeidet aktivt for å strukturere bl.a. mediekontakten og forholdet til ulike målgrupper. Tilsynet har flere informasjonshefter og brosjyrer som sendes ut på forespørsel, bl.a. til skoler. Høsten 1995 ble første nummer av Datatilsynets kvartalsskrift SPOR utgitt. Det skal gi generell informasjon om tilsynets virksomhet og ta opp aktuelle temaer. Det ble også arrangert et stort seminar for edb-konsulenter, -leverandører og -rådgivere høsten 1995. Videre har tilsynet deltatt på foredragsvirksomhet og internasjonale møter innen personvernfeltet.

1.3.3 Prinsipielle saksområder

       Det er svært sensitive opplysninger som samles inn i forsikringsbransjen. Selskapene ønsker stadig å registrere nye typer personopplysninger og bruke dem til nye formål. Datatilsynet har også registrert at blandede konsern, dvs. virksomheter som både er finans- og forsikringsselskaper, ønsker å opprette felles kunderegistre. Dette gir problemer i forhold til taushetsplikt og utlevering av opplysninger. Datatilsynet har vært engasjert i arbeidet med utformingen av egenerklæringsskjemaer til bruk i forsikringsbransjen. Skadeforsikringsselskapenes registre reguleres gjennom konsesjon fra Datatilsynet. Livsforsikringsselskapenes registre har derimot vært regulert i forskrifter. Det er vanlig at selskapene har benyttet svært vide fullmaktserklæringer for å skaffe samtykke til innhenting av taushetsbelagt informasjon. Datatilsynet arbeider for at forsikringsselskapene skal benytte en mer konkret fullmaktserklæring. I forsikringsbransjen er det opprettet flere fellesregistre. I 1995 arbeidet Datatilsynet med en revisjon av konsesjonene for disse registrene. Tilsynet mener kundene bør få årlig utskrift av de opplysninger som er registrert, alternativt gjenpart hver gang opplysninger blir registrert.

       Under behandling av konsesjonssøknaden for de nyopprettede offentlige servicekontorenes registre, stilte tilsynet spørsmålstegn ved lovligheten av å gi tjenestemenn ved servicekontorene tilgang til ulike etaters taushetsbelagte informasjon. Justisdepartementet konkluderte med at taushetspliktreglene ikke hindrer etableringen av slike kontorer. Datatilsynet har besluttet at de ansatte ved servicekontorene må forholde seg til hver enkelt etats konsesjoner.

       I 1995 behandlet tilsynet en søknad fra Haukeland Sykehus om å etablere en kobling mellom sykehusets interne datanett og Internett via en brannmur. En brannmur er et sikkerhetstiltak som skal hindre uvedkommende i å få tak i sensitiv informasjon. Søknaden ble avslått pga. manglende dokumentasjon for at koblingen ville hindre uautorisert tilgang til pasientopplysninger. Sykehuset har påklaget vedtaket. Tilsynet legger vekt på at når helseinstitusjoner skal koble seg opp mot eksterne nettverk, må det skje på en slik måte at pasientens tillit til helsevesenet ikke blir svekket.

       Datatilsynet mottok i 1995 en rekke henvendelser fra politiske ungdomsorganisasjoner som hadde spørsmål om adgang til utlevering av medlemslister til ulike etater i kontroll- og revisjonsøyemed. Tidligere har Datatilsynet akseptert utlevering dersom det foreligger et vedtak om dette fra foreningens eller organisasjonens generalforsamling. Dette har imidlertid vært aktuelt for mindre sensitive registre. Datatilsynet mener at det bør være tilstrekkelig om en autorisert revisor bekrefter antall medlemmer i forhold til kontrollmyndighetene. Det er utarbeidet nye forskrifter til personregisterloven. En av endringene er at opplysninger fra foreningers medlemsregistre kan utleveres som ledd i regnskaps- eller revisjonsbehandling.

1.3.4 Nye saksområder

       Den siste tiden har det oppstått et stadig større behov for elektronisk kommunikasjon innen helsesektoren. I store nettverk vil ikke helsepersonellet lenger ha mulighet til å forvalte taushetsplikten som forutsatt, men problemet kan avhjelpes noe ved å stille strenge krav til sikringstiltak.

       Aftenposten fikk i 1985 tillatelse til å gi publikum tilgang til avisens databaserte arkiv. Det ble som hovedregel satt vilkår om anonymisering eller blokkering når artikkelen var sju år gammel. Aftenposten søkte om tillatelse til å oppheve sjuårsregelen i forbindelse med nye leveringsmåter for informasjon og ny produksjonsteknikk. Datatilsynet vedtok at sjuårsfristen kunne oppheves.

       I mai 1995 ga tilsynet den første tillatelsen til å utgi risikoprofil (scoring) av privatpersoner i kredittopplysningsøyemed. Dette er en modell som beregner sannsynligheten for at søker kommer til å betale sine forpliktelser. Det er et vilkår at gjenparten som sendes til den omspurte ikke bare skal inneholde resultatet av scoringen, men også alle underlagsopplysninger.

       NRK søkte i 1995 om endring i konsesjonen for lisensregisteret slik at det kunne åpnes for samkjøring med eksterne personregistre dersom Datatilsynet og respektive registereiere samtykket. Samtidig ble det søkt om tillatelse til å koble lisensregisteret med Telenors register over privatpersoner som har telefon. Disse skulle motta en oppfordring om å betale lisens dersom det forelå lisensplikt. Datatilsynet avslo søknaden fordi ordningen ville gi sterke signaler om aksept for mulig framtidig bruk uten at det ble vurdert hvilke typer eksterne registre NRK ønsket skulle omfattes av endringene. Når det gjaldt den konkrete søknaden om kobling, ble det lagt vekt på at koblingen inneholdt et sterkt element av kontroll. Datatilsynet mente at NRKs behov for bruk av eksterne personregistre ved lisensinnkreving først bør vurderes i forhold til lov eller forskriftshjemler. Saken ble sendt departementet som klagesak.

       Datatilsynet behandlet i 1995 en sak om overføring av personopplysninger til Sabre, et globalt reisereservasjonssystem som ligger i USA. Basen inneholder opplysninger om reisemønster og andre reiserelaterte opplysninger. Tilsvarende konsesjon er tidligere gitt til et reisereservasjonssystem kalt Amadeus som ligger i Tyskland. Datatilsynet avslo søknaden fra Sabre med den begrunnelse at personvernlovgivningen i USA (i motsetning til i Tyskland) ikke var tilfredsstillende. Datatilsynet er opptatt av hvilke personvernmessige konsekvenser som kan oppstå dersom personopplysninger overføres til et land som ikke har personvernlovgivning. Vedtaket er påklaget til departementet.

       Toll- og avgiftsdirektoratet ba om Datatilsynets vurdering av tollvesenets online-tilgang til bookingsystemer. Datatilsynet ser at en online-tilgang kan redusere spredning av personopplysninger ved at tollvesenet selv innhenter opplysninger om reisende. På den annen side får myndighetene et stort kontrollpotensiale, og faren for uberettiget mistenkeliggjøring av personer med spesielle reisemønstre øker. En online-tilgang bør derfor ha uttrykkelig hjemmel i lov.

1.3.5 Temaer i 1995

       Fokuseringen på Internett var det mest oppsiktsvekkende trekket innen edb-utviklingen i 1995. Innen år 2000 vil trolig hele det offentlige Norge være knyttet sammen i et gigantisk nettverk. Kommunikasjon er den viktigste trenden i IT-utviklingen. Her ligger det store utfordringer i å hindre uvedkommende i å få tilgang til databaser der de ikke skal ha adgang. I 1995 fikk Regjeringen i oppdrag å komme med forslag til en løsning på spørsmålet om et edb-sertifiseringsorgan.

       Vi etterlater oss stadig flere elektroniske spor og flere og flere tjenester vil bli knyttet til kort. Registrering av kundeforhold er et område som illustrerer at elektroniske spor kan være en attraktiv handelsvare. Dersom man utvider kundeopplysninger med andre opplysninger, kan det snart lages en nøyaktig elektronisk profil av en person. Samtidig øker de store nettverkene tilgangen på opplysninger. Datatilsynet har ikke gitt adgang til tilknytning til store nettverk for svært sensitive opplysninger med mindre det kan legges fram dokumentasjon på at sikkerheten er betryggende. Det er et utgangspunkt at en forbruker skal ha mulighet til å handle uten at varer og vaner blir registrert. Datatilsynet gir i de fleste tilfeller konsesjon til en utvidet registrering dersom kunden samtykker. Spørsmålet blir om samtykket er avgitt frivillig, og om det skal aksepteres at personopplysninger blir en del av den kommersielle omsetningen. For å oppnå at man tar hensyn til personvernet, bør det stilles visse minstekrav til et kortsystem. Det må eksistere et anonymt alternativ og den registrerte skal vite hva som registreres og i hvilken hensikt. Det må også være klare ansvarsforhold med hensyn til oppbevaring og bruk av opplysningene, og maskin- og programvare må være slik at det minimaliserer risikoen for uautorisert tilgang.

       Etter personregisterloven § 37 a er fjernsynsovervåkning bare tillatt dersom dette er saklig begrunnet ut fra hensynet til virksomheten der overvåkningen skjer. Datatilsynet mottar mange henvendelser fra personer som ønsker en avklaring på overvåkningsforhold og de fleste er overrasket over hvor lite Datatilsynet kan gjøre for å hjelpe dem på dette området. Tilsynet gir råd og veiledning i lovforståelsen og pålegger eventuell sletting. Et eksempel er forholdet til overvåkning i drosjer. Tilsynet mener det er tvilsomt om loven åpner for en slik form for overvåkning. Datatilsynet har imidlertid ikke mulighet til å nekte at overvåkning finner sted, og det mangler sanksjonsbestemmelser. Tilsvarende problemer oppleves i forbindelse med overvåkning av arbeidsplasser. Datatilsynet mener at vilkår for slik overvåkning ikke er oppfylt dersom den eneste begrunnelsen er fare for svinn. I svært mange tilfeller vil ulempene for den ansatte være større enn den fordel som oppnås.

       Straffeloven § 390 b setter forbud mot overvåkning på offentlig sted dersom det ikke er informert om at stedet er overvåket. Dette kan være vanskelig når det er store områder som overvåkes eller når både fokusering og retning på kamera kan fjernstyres. Det reises spørsmål ved om det foreligger et krav om fastmontert kamera i bestemmelsen, og om bestemmelsen forbyr bruk av skjulte kameraer.

       Når det gjelder forskning og personvern oppstår spørsmålet om det er gitt samtykke til bruk av personopplysninger. Datatilsynet har gitt tillatelse til de fleste registerkoblinger til forskningsformål, enten fordi resultatet er anonymt eller fordi det gis strenge vilkår om sikkerhet, tilgangskontroll osv. I prosjekter hvor det skal være direkte kontakt med personer er det tilsynets hovedregel at det skal innhentes skriftlig samtykke. Et eksempel det vises til i meldingen når det gjelder samtykkeproblematikk er helseundersøkelsen i Nord-Trøndelag. Fordi prosjektet er så ambisiøst og omfattende er Datatilsynet skeptisk til å gi tillatelse. Det er derfor gitt en midlertidig tillatelse. Tilsynet har bedt Nasjonal etisk komité for medisinsk forskning om assistanse til å utforme vilkårene. Datatilsynet mener at opprettelse av store sentrale helseregistre gir et enormt overvåkningspotensiale. Mange av disse forskningsprosjektene kan derfor være egnet for lovregulering.