nødvendighet
12.6.1 Gjeldende rett 12.6.1.1 Behandlingsgrunnlag
I personopplysningsloven 2000 fremgår de almin-nelige reglene om behandlingsgrunnlag av § 8.
Etter denne bestemmelsen kan behandling av per-sonopplysninger bare finne sted dersom den registrerte har samtykket, dersom det er en lov-festet adgang til behandling, eller dersom behand-lingen er nødvendig for et av formålene i bokstav a til f. For behandling av sensitive opplysninger må i tillegg et av vilkårene i § 9 første ledd være oppfylt.
Etterretningstjenestens behandlingsgrunnlag følger av personopplysningsloven 2000 sammen-holdt med etterretningstjenesteloven § 3 første ledd. Etterretningstjenesten kan bare behandle personopplysninger dersom behandlingen antas å ha betydning for ivaretakelsen av tjenestens opp-gaver etter § 3. Etterretningstjenesteloven § 3 før-ste ledd gir tjenefør-sten adgang til å innhente, bear-beide og analysere informasjon i den utstrekning
det kan bidra til å sikre viktige nasjonale interes-ser, som er nærmere beskrevet i bokstav a til j.
Etterretningstjenesten må vurdere om det er nød-vendig å behandle den aktuelle informasjonen.
Vurderingen er av etterretningsfaglig karakter, og kan variere etter fagområde, tema og andre omstendigheter. Det er tilstrekkelig at informasjo-nen kan være egnet, alene eller sett i sammen-heng med annen informasjon, til å bidra til å sikre viktige nasjonale interesser.
Etterretningstjenesteloven § 4 andre ledd sup-plerer det generelle behandlingsgrunnlaget i § 3 når det gjelder oppbevaring av opplysninger om norske fysiske og juridiske personer. Etterret-ningstjenesten kan bare oppbevare informasjon som gjelder norske fysiske og juridiske personer dersom informasjonen har direkte tilknytning til ivaretakelsen av Etterretningstjenestens oppgaver etter § 3 eller er direkte knyttet til en slik persons arbeid eller oppdrag for tjenesten. Det følger av bestemmelsen at innhentingsforbudet etter første ledd ikke skal tolkes dit hen at Etterretningstje-nesten er avskåret fra å behandle opplysninger om norske fysiske og juridiske personer.
12.6.1.2 Behandlingsformål
Personopplysninger kan bare benyttes for uttryk-kelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, jf. personopp-lysningsloven 2000 § 11 første ledd bokstav b.
Dette innebærer at den behandlingsansvarlige forut for behandlingen må fastsette et formål som er tilstrekkelig konkret og avgrenset til at det ska-per åpenhet og klarhet om hva behandlingen skal tjene til. Generelle og vage beskrivelser som
«administrative oppgaver» eller «kommersiell bruk» vil ikke være tilstrekkelig presise. Jo større fare behandlingen kan medføre for personvernet, desto viktigere er det at formålet er presist defi-nert (Ot.prp. nr. 92 (1998–99) punkt 16 side 114).
Personopplysninger skal ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, jf. personopplys-ningsloven 2000 § 11 første ledd bokstav c. Bok-stav c må leses i sammenheng med § 11 første ledd bokstav a, som krever at behandlingen må oppfylle kravene til lovlig behandling i § 8, og eventuelt § 9 dersom det dreier seg om sensitive opplysninger. Hva som skal til før det nye behand-lingsformålet er uforenlig med det opprinnelige formålet, må vurderes konkret og individuelt.
Det følger av etterretningstjenesteloven § 3 at tjenesten bare kan behandle personopplysninger for etterretningsformål. Skal tjenesten behandle
opplysninger med andre formål, må det etter per-sonopplysningsloven § 11 foreligge et eget behandlingsgrunnlag for dette etter §§ 8 eller 9.
12.6.1.3 Nødvendighet
Kravet til nødvendighet er et grunnleggende per-sonvernprinsipp som innebærer at det ikke er lov-lig å behandle en personopplysning som det ikke er nødvendig å behandle for det aktuelle formålet.
Personopplysningsloven 2000 oppstiller ikke uttrykkelig krav om nødvendighet for at en opp-lysning skal kunne behandles. Det gjelder likevel et implisitt krav om nødvendighet etter § 28 første ledd første punktum, som fastslår at behandlings-ansvarlig ikke skal lagre personopplysninger len-ger enn det som er nødvendig for å gjennomføre formålet med behandlingen.
12.6.2 Forslaget i høringsnotatet
I høringsnotatet punkt 12.5 foreslås det å regulere Etterretningstjenestens behandlingsgrunnlag i en bestemmelse om «formålsbestemthet» i lovutkas-tet § 9-2. Det følger av forslaget at tjenesten kan behandle personopplysninger for etterretningsfor-mål. Etterretningsformål defineres som «formål å ivareta en eller flere av tjenestens oppgaver etter lovforslagets kapittel 3», jf. lovutkastet § 1-4 nr. 3.
Etterretningstjenesten skal etter lovutkastet kapittel 3 innhente og analysere informasjon om utenlandske militære og sivile forhold som kan bidra til å avdekke og motvirke forhold som nevnt i lovutkastet § 3-1 bokstav a til i. I tillegg skal tje-nesten innhente informasjon om andre utenland-ske forhold (§ 3-2), opprettholde okkupasjonsbe-redskap (§ 3-3), og drive internasjonalt samarbeid (§ 3-4). Det vises til at tjenesten også skal kunne innhente evneinformasjon som utgjør nødvendige forutsetninger for å kunne gjennomføre opp-gavene (§ 3-5). Lovutkastet kapittel 3 danner altså rammen for hva slags personopplysninger som kan behandles til hvilke formål.
På samme måte som PSTs virksomhet anses som ett behandlingsformål, jf. Ot.prp. nr. 108 (2008–2009) punkt 9.2 side 74 til 76, vurderes det i høringsnotatet at også oppgavene etter lovutkas-tet kapittel 3 bør regnes som ett behandlingsfor-mål. Dette særlig med hensyn til at oppgavene angitt i kapittel 3 anses for å ha en nær og naturlig sammenheng, og sjelden vil være uforenlige med hverandre.
I lovutkastet § 9-5 foreslås et uttrykkelig krav om at Etterretningstjenesten skal vurdere om per-sonopplysningene er nødvendige å behandle for
etterretningsformål. Det foreslås at nødvendig-hetsvurderingen skal foretas første gang opplys-ningen vurderes brukt for etterretningsformål, herunder når opplysningene inntas i et produkt som planlegges distribuert utenfor tjenesten, og ellers dersom ny informasjon eller andre omstendigheter tilsier det. For personopplysnin-ger som er rådata i bulk, foreslås en særregel om at nødvendighetsvurderingen skal gjennomføres samlet når rådata innhentes etter reglene i lovut-kastet § 5-3, og ellers når ny informasjon eller andre omstendigheter tilsier det.
I lovutkastet § 9-5 tredje ledd foreslås det behandlingsgrunnlag for personopplysninger om kilder som ikke ønsker å samarbeide med tje-nesten, for å hindre at vedkommende kontaktes igjen. Behandling om slike kilder skal begrenses til det som er strengt nødvendig for dette formå-let. Regelen foreslås av hensyn til den registrerte selv.
I lovutkastet § 9-7 foreslås et unntak fra kra-vene til formålsbestemthet og nødvendighet, som skal sikre at Etterretningstjenesten har hjemmel til å behandle personopplysninger som samles inn, men som ikke ennå er vurdert for etterret-ningsrelevans (rådata).
I høringsnotatet punkt 12.4.2 vurderes det at det ikke er nødvendig å skille mellom behandling av alminnelige personopplysninger og behandling av sensitive personopplysninger. Dette begrunnes i at Etterretningstjenestens regelverk og forslaget i høringsnotatet bærer preg av at tjenesten nett-opp behandler sensitive nett-opplysninger. Personnett-opp- Personopp-lysningenes grad av sensitivitet vil imidlertid være et sentralt moment i forholdsmessighetsvurderin-gen. Det foreslås en egen bestemmelse om diskri-mineringsforbud, se punkt 12.7 under.
12.6.3 Høringsinstansenes syn
Kripos mener at det bør ses hen til det alminnelige nødvendighetsprinsippet i personvernlovgivnin-gen ved utforminpersonvernlovgivnin-gen av § 9-5, det vil si at opplys-ninger kun kan behandles når det er nødvendig for å oppnå formålet med behandlingen. Kripos mener også at begrepet «distribuert» i § 9-5 andre ledd bør erstattes med begrepet «utlevert».
Kripos mener videre at lovutkastet § 9-7, som gir Etterretningstjenesten hjemmel til å behandle personopplysninger for å avklare om grunnkrav til behandling er oppfylt, ikke gir føringer for behandlingen, og at bestemmelsen fremstår som et generelt unntak fra formålsbestemthet og nød-vendighet. Kripos mener det bør gjelde en viss tidsfrist for denne avklaringen.
12.6.4 Departementets vurdering 12.6.4.1 Innledning
Departementet viderefører i hovedsak det materi-elle innholdet i forslaget i høringsnotatet, men foreslår en omstrukturering av bestemmelsene og flere lovtekniske justeringer. Etter departemen-tets vurdering bør Etterretningstjenestens behandlingsgrunnlag komme klart frem i en egen bestemmelse, og paragrafoverskriften til lovforsla-get § 9-2 foreslås derfor endret fra «formålsbe-stemthet» til «behandlingsgrunnlag». Departe-mentet foreslår å ta inn kravet til vurdering av nødvendighet i bestemmelsen. Denne endringen gjør lovutkastet § 9-5 om nødvendighet overflødig, og departementet viderefører heller ikke forslaget om unntak fra kravet til formålsbestemthet og nødvendighet i lovutkastet § 9-7.
12.6.4.2 Behandling av personopplysninger Behandling av personopplysninger er definert i lovforslaget § 1-3 bokstav b. Med behandling menes «enhver operasjon eller rekke av operasjo-ner som gjøres med personopplysninger, enten automatisert eller ikke». Definisjonen tilsvarer definisjonen i personvernforordningen, og er ment å omfatte de samme behandlingsformene.
Definisjonen er ikke uttømmende, så andre opera-sjoner eller aktiviteter enn de som er nevnt i bestemmelsen kan etter omstendighetene tes. Det skal svært lite til før en aktivitet er omfat-tet av definisjonen, slik at mer eller mindre enhver befatning som Etterretningstjenesten har med personopplysninger, vil regnes som behandling.
Det følger av lovforslaget § 4-1 at Etterret-ningstjenesten som hovedregel ikke kan benytte innhentingsmetoder overfor personer i Norge.
Personopplysningene som tjenesten behandler, vil dermed i hovedsak gjelde personer som befinner seg utenfor norsk territorium. Det er imidlertid ikke forbudt for tjenesten å behandle personopp-lysninger om norske borgere, så lenge det er nød-vendig for etterretningsformål og opplysningene ikke er innhentet i strid med forbudet mot innhen-ting i Norge. Dette er en videreføring av gjeldende etterretningstjenestelov § 4 andre ledd. Behand-ling av personopplysninger om norske borgere kan aktualiseres på ulike måter, for eksempel ved innhenting fra åpne kilder som berører personer i Norge, eller ved innhenting av rådata i bulk, se nærmere proposisjonen kapittel 8.
Etterretningstjenesten behandler forskjellige typer personopplysninger i sin
etterretningsvirk-somhet. Enkelte av opplysningene kan være
«sensitive personopplysninger» etter personopp-lysningsloven 2000 § 2 nr. 8, for eksempel opplys-ninger om etnisk bakgrunn eller politisk oppfat-ning. I motsetning til reguleringen i personopplys-ningsloven 2000, foreslår ikke departementet at det oppstilles krav om et særskilt behandlings-grunnlag utover det som følger av lovforslaget kapittel 9. Det anses ikke hensiktsmessig å skille mellom vanlige og sensitive personopplysninger når det gjelder behandlingsgrunnlaget, da det lig-ger i sakens natur at tjenesten vil måtte behandle sensitive personopplysninger. Departementet mener derfor at det samme kravet til nødvendig-het bør gjelde for all behandling av personopplys-ninger, uavhengig av personopplysningens art.
Forholdsmessighetsvurderingen vil imidlertid kunne tilsi at én personopplysning er nødvendig å behandle, mens en annen, av mer sensitiv karak-ter, ikke vil være det.
12.6.4.3 Behandlingsformål
Departementet viderefører forslaget om å knytte det rettslige grunnlaget for behandling av person-opplysninger til formålet med behandlingen.
Ingen høringsinstanser har gitt uttrykk for inn-vendinger mot å anse Etterretningstjenestens oppgaver etter kapittel 3 som ett behandlingsfor-mål.Departementet presiserer at behandling av personopplysninger for andre formål enn etterret-ningsformål, må følge de alminnelige reglene i personopplysningsloven 2018 og personvernfor-ordningen. I den sammenheng vil det særlig være personvernforordningen artikkel 6 nr. 4 som vil være avgjørende for om personopplysningene kan viderebehandles til nye formål. Dette vil blant annet gjelde ved viderebehandling for historiske, statistiske eller vitenskapelige formål. Etterret-ningstjenesten avleverer ikke arkiver til Riksarki-vet, og har derfor et eget ansvar for å dokumen-tere og lagre materiale for historiske formål. Det presiseres at behandling av personopplysninger for å oppfylle lovens krav, for eksempel for å sikre at tjenesten overholder forbudet mot innhenting i Norge etter lovforslaget § 4-1, vil regnes som etterretningsformål.
Hva som til enhver tid vil være etterretnings-formål, beror på oppgavebeskrivelsen i lovforsla-get kapittel 3. Dette er nærmere omtalt i kapittel 7 i proposisjonen og i merknadene til lovforslaget kapittel 3.
12.6.4.4 Nødvendighet
Nødvendighetskravet er et sentralt personvern-rettslig prinsipp, som gjelder for enhver behand-ling av personopplysninger hos Etterretningstje-nesten. Selv om tjenesten har hjemmel til å behandle opplysninger for etterretningsformål, utgjør nødvendighetskravet en begrensning, da opplysninger bare kan behandles når det er nød-vendig ut fra formålet.
Hvilke opplysninger det er nødvendig å behandle for etterretningsformål, beror på en konkret etterretningsfaglig vurdering. Sentrale momenter er omfanget av behandlingen, inngre-pets karakter, og hvor relevant informasjonen er for formålet. Kravet kan ikke tolkes så strengt at behandlingen må være den eneste mulige løsnin-gen, men det er heller ikke tilstrekkelig at behandlingen bare er hensiktsmessig. Et bærende synspunkt i den sammenheng, er at Etterretningstjenestens tilgang til informasjon skal sette tjenesten i stand til å løse oppgavene sine på en effektiv og hensiktsmessig måte. Kunn-skap om utenlandske og grenseoverskridende trusler og forhold for øvrig krever et stort tilfang av informasjon, som deretter må sammenstilles og analyseres for å danne et helhetlig bilde. I det praktiske etterretningsarbeidet er det avgjørende å kunne bearbeide store mengder opplysninger over tid.
En særskilt problemstilling er når nødvendig-hetsvurderingen skal finne sted. Kravet til nød-vendighet i forbindelse med behandling av per-sonopplysninger etter kapittel 9 gjelder først etter at opplysningene er samlet inn, jf. lovforslaget § 9-3, som fastsetter at reglene i kapittel 9 ikke gjelder for behandling i form av innhenting.
I høringsnotatet punkt 12.6.2.3 ble det vurdert om det var behov for å regulere tidspunktet for når nødvendighetsvurderingen etter kapittel 9 om behandling av personopplysninger skal foretas.
Det ble vist til at politiregisterloven gir politiet adgang til å behandle personopplysninger i fire måneder for å avklare om kravene til behandling er oppfylt. Det ble imidlertid vurdert som uhen-siktsmessig å oppstille en tilsvarende frist for Etterretningstjenesten. Kripos fremholder i sin høringsuttalelse at det bør tas inn en tidsfrist for å avklare om kravene til behandling er oppfylt.
D e p a r t e m e n t e t foreslår å sløyfe angi-velsen av når nødvendighetsvurderingen skal foretas. Etter departementets syn vil det gi en bedre og mer sammenhengende regulering der-som nødvendighetskravet for behandling av per-sonopplysninger i prinsippet gjelder straks
opplys-ningene er samlet inn. Kravet må imidlertid ses i sammenheng med bestemmelsene om Etterret-ningstjenestens adgang til å innhente informasjon.
For innhenting gjelder det nærmere regler i lov-forslaget kapittel 3 til kapittel 8. Det oppstilles blant annet et krav om forholdsmessighet etter lovforslaget § 5-4. I den forbindelse må nødvendig-heten av å samle inn opplysningene vurderes. I enkelte av bestemmelsene oppstilles det stren-gere nødvendighetskrav, for eksempel lovforsla-get §§ 6-6 og 6-7.
Nødvendighetsvurderingen som foretas ved innhentingen, knytter seg naturlig nok ikke bare til selve innhentingen, men også til om det er behov for å beholde opplysningene en viss tid for å vurdere nærmere den konkrete relevansen. Når det er vurdert at innhentingen er nødvendig, jf.
kapittel 3 til 8, må det også etter lovforslaget § 9-2 kunne legges til grunn at det er nødvendig å beholde opplysningene en viss tid for å vurdere dem nærmere. På denne bakgrunn er departe-mentet kommet til at det ikke er behov for en bestemmelse som gjør unntak fra kravet til for-målsbestemthet og nødvendighet som foreslått i lovutkastet § 9-7, og forslaget videreføres ikke.
Departementet vil samtidig bemerke at selv om det er gjort en nødvendighetsvurdering ved innhentingen, må det foretas nye nødvendighets-vurderinger for å oppfylle kravet i § 9-2. Dette må i alle tilfeller gjøres når opplysninger som er inn-hentet og lagret, vurderes brukt i etterretnings-produkter. Dersom det viser seg at innhentede opplysninger ikke brukes i etterretningsproduk-ter, må det vurderes om fortsatt lagring er nød-vendig for etterretningsformål. Det lar seg imid-lertid ikke angi generelt på hvilke tidspunkter dette må gjøres. I hvilken grad større mengder av opplysninger kan vurderes samlet, beror på omstendighetene, på samme måte som etter per-sonopplysningsloven. Det vises til merknadene til
§ 9-2 for en nærmere omtale. Kravet til nødvendig-het må for øvrig ses i sammenheng med sletteplik-ten etter lovforslaget § 9-8, som blant annet inne-holder konkrete slettefrister for rådata innhentet i bulk.
Departementet bemerker at Etterretningstje-nesten i sine systemer vil kunne ha personopplys-ninger som på et tidspunkt var vurdert som nød-vendig å behandle for etterretningsformål, men som med tiden har fått mer historisk karakter.
Når en personopplysning mister sin relevans og blir mer av historisk karakter, vil ofte være van-skelig å tidfeste konkret. Sett hen til arbeidsmeto-dikk og at et sakskompleks kan gjøre det nødven-dig å behandle enkelte opplysninger over lang tid,
blir en konkret tidsfrist for fornyet vurdering av nødvendighet uhensiktsmessig.
Det understrekes at nødvendighetskravet gjel-der for alle deler av en behandling, blant annet med hensyn til hvilke opplysninger som kan lagres, hvem som skal få tilgang til opplysningene, og hvor lenge de skal oppbevares.
12.6.4.5 Særlig om behandling av rådata
Rådata defineres i lovforslaget § 1-3 bokstav h som ubearbeidet eller automatisk bearbeidet informa-sjon i enhver form hvis etterretningsverdi ikke er vurdert. Av tekniske og praktiske årsaker er det umulig å foreta rutinemessige gjennomgåelser av samtlige lagrede rådata på Etterretningstje-nestens innhentingsplattformer for å vurdere om hver enkelt informasjonsbit er nødvendig å behandle for etterretningsformål eller ikke. Dette gjelder uavhengig av omfanget til den konkrete innhentede dataen, og uavhengig av om det skjer ved bulkinnhenting eller ikke.
Rådata kan hentes inn på forskjellige måter.
Når Etterretningstjenesten mottar informasjon fra andre norske myndigheter, virksomheter eller internasjonale samarbeidende tjenester, er det under forutsetning av at avgiver av informasjonen vurderer opplysningene som nødvendige for Etterretningstjenestens oppdrag. Det er imidler-tid tjenesten selv som må vurdere om opplysnin-gene er nødvendig å behandle for etterretnings-formål, eller om de må slettes.
Når Etterretningstjenesten selv innhenter informasjon, gjøres dette basert på holdepunkter og etterretningsfaglige hypoteser, slik at en viss nødvendighetsvurdering allerede er foretatt på innhentingstidspunktet. I tillegg er innhentingen formålsstyrt. Målet er å fremskaffe etterretnings-relevant informasjon. Departementet viser til lov-forslaget §§ 5-1 og 5-2, som er nærmere omtalt i kapittel 9.
Det rettslige grunnlaget for innhenting av rådata foreligger i de ulike innhentingshjemlene i lovforslaget, og i nødvendighetsvurderingen som skal foretas etter § 5-3 første ledd om innhenting av rådata i bulk. Etter at rådataene er innhentet, vil nødvendighetskravet og kravet til behandlings-formål gjøre at Etterretningstjenesten må ta stil-ling til om de har behandstil-lingsgrunnlag for videre behandling av de konkrete personopplysningene.