CLAUDE A. LENTH
AD(iAN(iEN TIL A BENYTTE PERSONOPPLYSNINGER
Med vekt på det opprinnelige behandlingsformålet som begrensningsfaktor
COMPLEX 2/2000
INSTITUTT FOR RETTSINFORMATIKK
II
UNIVERSITETSFORLAGET
C om pLex nr 2/2000 Institutt for rettsinform atikk Postboks 6706 St Olavs plass
0130 Oslo
Claude A. Lenth
ADGANGEN TIL Å BENYTTE PERSONOPPLYSNINGER
M ed v ek t p å d et o p p r in n e lig e b e h a n d lin g s fo r m å le t sorn b e g r e n s n in g s fa k to r
Universitetsforlaget
© U n iv ersitetsfo rla g et 2 0 0 0 IS B N 8 2 - 1 5 0 -0 0 2 0 - 7
Institutt for rettsin form atik ks u tg iv e lser i Skriftserien C o m p le x er støttet av
L o vd ata K op i nor
Trykk o g inn bin d in g: A IT O tta A S
Forord
D enne avhandlingen ble skrevet m ens jeg var ansatt som vitenskapelig assistent ved Institutt for R ettsinform atikk i O slo og ble innlevert for sensur desem ber 1998.
Professor Knut S. Selm er har vært m in hovedveileder og jeg retter en stor takk til ham for å ha loset meg gjennom skriveprosessen både m ed faglige innspill, gode råd og ikke m im t en særegen evne til å oppm untre til videre innsats. Takk også til Line M. Coil som jeg har delt kontor med i et helt år.
Jeg har hatt stor glede av å sam arbeide m ed henne både faglig og sosialt. En takk går også til stipendiat Jens Petter Berg som har bidratt med m ange faglige innspill og interessante diskusjoner. En stor takk går til alle ansatte og studenter ved Institutt for R ettsinform atikk som alle har bidratt til at studietiden ved instituttet har vært svært positiv.
I sluttspurten har jeg fått god hjelp fra advokat og styreform ann i Datatilsy
net Regine Ram m Bjerke, advokat A m und N oss og fra m ine foreldre.
Den største takken går til m in kjære Joaquine som hele tiden har vært tål
m odig og forståelsesfull undei skriveprosessen og som har stillet opp med m iddag hver kveld det siste året!
August 1999 Cand. Jur. C laude A. Lenth
Innhold
F o r o r d ... ... 3
1. In n le d n in g ... 9
1.1 Bakgrunn for oppgavens le m a ... 9
1.2 Problem stillinger, avgrensninger, p re sise rin g er...10
1.3 Den videre fr e m still'n g... 13
2. P erso n v e rn og fo rm å lsb e g re n set b ru k av p e rso n o p p ly s n in g e r ... 14
2.1 Hva er personvern ? ... 14
2.2 Personverninteresser som taler for at det opprinnelige formålet m ed registreringen blir re s p e k te rt... 15
2.2.1 Innledning ... 15
2.2.2 Interessen i kunnskap om behandling av person opplysn in ger... 16
2.2.3 Interessen i diskresjon...17
2.2.4 Interessen i et riktig beslutningsgrunnlag... 19
2.2.5 Interessen i samfunnets overvåkningsnivå... 20
3. H va k an p e rs o n o p p ly s n in g e r b ru k e s til - R e ttstilsta n d e n d e lege l a t a ...22
3.1 In n led n in g ... 22
3.2 Oversikt over personregisterloven med fo rsk rifte r...22
3.3 Nærm ere om reguleringen av bruken i personregisterloven . 25 3.3.1 Eksem pler fr a Justisdepartem entets praksis i forbin delse m ed klager på D atatilsynets enkelt vedtak etter p erso iregisterlo ven... 30
3.4 N æ rm ere om reguleringen av bruken i forskriftene til personregisterloven... 34
3.4.1 Bruk av form ålsbestem m elser...34
3.4.2 U tleverin g... 42
3.4.3 Kobling... 47
3.5 U lov festet p erso n v ern ...52
3.5.1 Innledning... 52
3.5.2 Nærmere om rettspraksis ved bruk av tilgjengelige
person op p lysn in g er... 53
Rt. 1990 s 1008 ... 53
Rt. 1992 s 904 ...56
Sivilom budsm annens uttalelser - sak 96-1365 ...58
Rt. 1991 s 6 1 6 ...60
Ikke publisert Lagm annsrett avgjørelse - Tappetåm saken ... 62
Rt 1997 s 795 ...64
RG 1993 s 77 ...66
3.5.3 En nærmere vurdering av rettsp ra k sis...67
4. F o rm a lsb e ste m th e t i in te rn a sjo n a le t e k s t e r ... 71
4.1 Innledning ...71
4.2 O E C D 's retningslinjer fra 1980 ... 72
4.2.1 Retningslinjenes in n h old... 72
4.2.2 Retningslinjenes rettskildevekt...75
4.3 Europarådskonvensjonen fra 1981 ...76
4.3.1 Konvensjonens in n h o ld... 76
4.3.2 Konvensjonens rettskildevekt ... 78
4.3.3 Rekommandasjonene til konvensjonen ...80
4.4 Direktiv 95/46/EF - EU sitt personverndirektiv ... 81
4.4.1 D irektivets in n h o ld... 81
4.4.2 D irektivets rettskildevekt... 84
5. N O U 1997:19, forslag til ny § 8 i p e rso n reg isterlo v en ... 87
5.1 Innledning ... 87
5.2 G enerelt om lovforslaget og bruk av tilgjengelige p e rso n o p p ly sn in g e r... 88
5.3 Forholdet m ellom § 8 og § 7 - form ålsangivelsen ...89
5.4 N æ rm ere om tolkningen av lovforslagets § 8 ... 90
5.4.1 Unntaket i § 8, l ledd, nr. 3 - Uforenlighetskravet ...91
5.4.2 Forholdet mellom § 8, l ledd, nr 3 og interesse m odel len i personregisterloven... 95
5.4.3 Unntaket i § 8, 1 ledd, nr. I - Samtykke fil krenkelser av person vern et...97
5.4.4 Unntaket i § 8, 1 ledd, nr. 2 - Lovfestet b ru k... 101
5.5 Hvilken rettskildem essig betydning har lo v fo rsla g e t? ...103
6. O p p su m m e rin g 107
7. R e g is t r e ... 110
Litteraturliste ... 110
U tredninger, innstillinger, forarbeider m .v... 112
Andre kilder ... 113
1. Innledning
7. 1 Bakgrunn for opp ga vens tema
M oderne inform asjonsteknologi åpner for stadig nye m uligheter når det gjelder innsam ling, registrering, bruk og lagring av personopplysninger, heretter kalt inform asjonsbehandling. Tradisjonelt har personopplysninger blitt registrert som følge av et gjensidig forhold m ellom individ og stat eller organisasjon/virksom het. Den som søker om sosial stønad m å for eksempel gi en rekke opplysninger om sin sosiale status, inntekt, forsørgelsesbyrde osv til m yndighetene før søknaden blir vurdert. Tilsvarende m å den som for eksem pel søker om lån i banken eller som ønsker å forsikre seg mot ulykker oppgi en rekke opp lysninger til de aktuelle institusjoner. På denne måten blir det innsam let og registrert store m engder opplysninger om enkeltper
so n er.1 Ifølge D atatilsynet er hver voksne nordm ann i gjennom snitt registr
ert i 400-500 personregistre.2
I tillegg har utviklingen av m oderne inform asjonsteknologi bidratt til at stadig flere tjenester i sam funnet blir elektronisk behandlet og følgelig til m er elektronisk registrering av opplysninger. Kjente eksem pler her er elek
troniske betalingskort, digitale telefonsentraler og sist men ikke m inst elek troniske inform asjonsdatabasei som kan oppsøkes gjennom Internett.
O m fanget av elektronisk overvåkning og bruk av elektronisk adgangskon
troll på arbeidsplasser og i offentlige institusjoner er også økende. Resul
tatet av den nye teknologien er at brukeren legger igjen opplysninger om seg selv liver gang tjenestene br jkes. Hver gang du betaler m ed et elektron
isk betalingskort, vil det a u to n a tis k bli registrert en rekke opplysninger knyttet til transaksjonen, for eksempel beløp, tid, sted og dato. Dette om tales gjerne som elektroniske s p o r/ K onsekvensen av den autom atiske inform asjonssam lingen er at det blir registrert store m engder opplysninger om enkeltpersoner. Forskjellen fra de tradisjonelle innsam lingsm etodene er at det blir innsam let store m engder av personopplysninger ofte uten at indi
videt selv kjenner til det.
1. D a ta tilsy n e t har anslått al d et lin n es god t o v er 1 m illio n registre i N o rg e o g at om lag 6 5 (XX) av d is s e har k o n se s jo n fra D a ta tilsy n e t etter p e rso n r eg isterlo v en , jf. S p o r nr. 2.
1 9 9 8 s 2 5 .
2 . S e S p o r nr. 3 , 1998 s 11.
3. M esta d , Ingvild: E lek tro n isk e sp jr , 1986 s 2.
10 A dgangen til å benytte personopplysninger
Sam tidig er etterspørselen etter personopplysninger stor. Tilgang på slik inform asjon er ofte en forutsetning for å kunne utøve innflytelse og kontroll over personer og derm ed bidra til styring av atferden. Det offentlige er for eksem pel interessert i å bruke opplysningene innen forvaltningen. Et prak
tisk eksem pel er ligningsetatens behov for å etterkontrollere skattyterens selvangivelse. Påtalem yndighetene vil på sin side være interessert i å bruke tilgjengelig inform asjon for å bekjem pe krim inalitet. Personopplysninger vil også kunne utgjøre grunnlaget for økonom isk vinning, gjennom utnyt
telse i produksjons-, handels-, og tjenesteytende foretak.4 Innenfor næ rings
livet blir personopplysninger særlig blitt brukt til m arkedsføringen av produ kter og tjenester. Tenk bare hvilken nytte en kom m ersiell bokklubb ville hatt av å få utlevert bibliotekregistrene slik at den kunne finne ut hvem som leser hva. Et annet påregnelig bruksom råde kan for eksem pel være at arbeidsgiver overvåker de ansatte for å bruke inform asjonen til å kartlegge effektivitet og produktivitet. Trolig er det bare fantasien som setter grenser for hvordan personopplysninger kan utnyttes kom m ersielt.
Den store m engden registrerte personopplysninger i sam funnet kom bin
ert med en stadig økende interesse for å bruke disse opplysningene øker risikoen for at opplysningene kan bli brukt til uventede og uønskede formål sett fra et personvernperspektiv. Individets personverninteresser blir derm ed satt under el økende press
1.2 Problemstillinger, avgrensninger, presiseringer
Personvernretten regulerer beskyttelse av individets personverninteresser under inform asjonsbehandlingen. I denne avhandlingen skal jeg redegjøre for hvilke grenser som gjelder for hva personopplysninger som allerede er tilgjengelige, kan brukes til og hvordan dette er regulert.
Med personopplysninger m ener jeg opplysninger og vurderinger som direkte eller indirekte kan knyttes til en identifiserbar, fysisk person også om talt som den registrerte.'1 Med "tilgjengelig" m ener jeg inform asjon som allerede er blitt innsam let og registrert og som ligger lagret enten på et elek-
4 . Et ek se m p el på at p erso n o p p ly sn in g er a n ses lor å ha ø k o n o m isk verdi er Rt 1992 s 1629. I ler gjaldt tvisten hvorvidt k u n d efo rteg n elsen i det k onkursram m ede selsk ap et var om fattet av ban k en s d riftstilbehørspant etler p a n telo v e n s § 3 -4 , e lle r om det tiltalt konkursboet. Partene var m ed andre ord v illig e til å risikere p ro se ssu tg ifter for å få e ien d o m sretten til o p p ly sn in g e n e .
5. Jf. p erso n r eg isterlo v en § 1 o g lo v fo rsla g et i N O IJ 1 9 9 7 :1 9 . § 2, nr. I.
I. Innledning II
ironisk medium eller i et m anuelt arkiv. Jeg skal altså redegjøre for adgan
gen til å bruke opplysninger som allerede er blitt innsam let og registrert.
Dette om taler jeg som den første opprinnelige innsam lingen og registrerin
gen av de aktuelle personopplysningene. Tilgjengelige personopplysninger kan være innsam let og registrert på en lovlig eller en ulovlig måte.
1 forbindelse med redegjørelsen for hvordan bruken av tilgjengelige per
sonopplysninger er regulert, vil jeg gi en kort oversikt over adgangen til å innsam le og registrere persenopplysninger etter personregisterloven.
O pplysningene blir først og f r e n s t registrert for å kunne benyttes til næ rm ere bestem te form ål. Poenget er at når opplysningene først er blitt tillatt reg
istrert og innsam let, vil risikoen for uventet og uønsket bruk øke som følge av tilgjengeligheten. Følgelig vil begrensninger i adgangen til å innsam le og registrere personopplysninger også kunne være en effektiv m åte å beg
rense hvilke formål opplysningene kan brukes til. På denne m åten er det en næ r sam m enheng m ellom reguleringen av registrering og bruk av person
opplysninger.
Når personopplysninger først er blitt tilgjengelige, oppstår spørsm ålet om liva de kan brukes til. Et sentralt utgangspunkt her vil være selve bakgrunnen for at opplysningene er gjort tilgjengelige. M ed andre ord det opprinnelige form ålet m ed innsam lingen og registreringen av person
opplysningene. Jeg skal derfor redegjøre for hvordan det opprinnelige form ålet benyttes for å regulere bruken av tilgjengelige opplysninger. Prob
lem stillingen blir derm ed i hvilken grad det opprinnelige form ålet med innsam ling og registrering av personopplysningene begrenser hva opplys
ningene kan brukes til. 1 denne forbindelsen kom m er jeg til å bruke begrepene form ålsbestem thet, form ålsbegrenset, form ålsbestem m elser og opprinnelige behandlingsform ål som fellesbetegnelse på at bruk av person
opplysninger begrenses til sine opprinnelige innsam lings- og registrerings- form ål.
I personverndebatten er det også blitt forsøkt å forankre personvernet i ett enkelt overordnet synspunkt, nem lig "form ålsbestem thetsprinsippet":
"Personopplysninger kan ikke brukes til andre form ål enn del de opprin
nelig er innsam let for".6 "Prinsippet" forutsetter altså at tilgjengelige per
sonopplysninger bare kan brukes til de formål som de opprinnelig ble registrert og innsam let til.
6 . B lu m e . Peter: F o rm å lsb e ste m lh ;d sp r in c ip p e t i d a ta b e sk y tte lse sr e tte n ,1 9 9 5 s 1 10 flg.
o g St. m eld . nr. 3 3 (1 9 9 4 -9 5 ) , s 13.
12 Adgangen (il <1 benytte personopplysninger
Jeg anser "form ålsbestem thetsprinsippet" for 3 være en retningslinje og et utgangspunkt for den avveiningen som foretas når tilgjengelige person
opplysninger ønskes brukt til andre formål enn det de opprinnelig ble innsam let og registrert for. Jeg forstår med andre ord begrepet "prinsipp" i denne sam m enhengen som en form for overordnet retningslinje.8 N år jeg i resten av avhandlingen bruker ordet "form ålsbestem thetsprinsippet", m ener jeg derfor det sam m e som en "retningslinje" for avveiningen m ed m indre jeg presiserer at begrepet beskriver et annet rettslig innhold. Jeg skal rede
gjøre næ rm ere for hvilke personvernhensyn som ligger til grunn for ret
ningslinjen i kapittel 2.2. Min gjennom gang av de relevante rettskildene på personvem rettens om råde vil også antyde i hvilken grad "form ålsbestem t
hetsprinsippet" som retningslinje, blir brukt i norsk personvernrett som begrensning for hva tilgjengelige personopplysninger kan brukes til.
Når det gjelder hvem som kan bruke de tilgjengelige personopplysnin
gene sondrer jeg m ellom registereiers bruk og andres bruk. Med registereier m ener jeg den som har foretatt den opprinnelige innsam lingen og registre
ringen av personopplysningene som forvalter opplysningene og som er juridisk ansvarlig.1' Med andre enn registereier m ener jeg de som ønsker å bruke opplysningene, men som ikke selv har foretatt den opprinnelige innsam lingen og registreringen av opplysningene. Jeg avgrenser mot databehandlingsforetaks bruk av registereierens inform asjon."1
7. Innst. S. nr. 2 4 (1 9 9 5 -% ) s 3 - 4 : " [ ...] K om iteen ser sa m tid ig at d el vil k u n ne op p stå situ asjon er hvor det v ille bli absurd å ikke kunne a v v ik e fra dette prinsippet.".
8. Bacher. Inge Lorange: Innføring i naturressurs o g m iljørett. 1995 s 4 9 flg. B a c h e r tar utgangspunkt i al det ikke er noen klar o p p fatn in g av hva so m kan reg n es so m et "prin
sipp" o g n evn er i d en n e sa m m en h en g en fem fo rsk jellig e m u lig e rettslig e b e ty d n in g e n Et rettslig prinsipp kan en ten sie s å in n eb æ re et standpunkt til et h o v e d sp ø r sm å l, e ller et standpunkt på et høyt g en era litetsn iv å , e lle r en g en era liserin g e ller sa m m en fa tn in g utledet Ira en k eltregler, e lle r som en overordnet retn in gslin je o g til slutt so m et gru n n krav e lle r en m inim u m sn orm .
9 . P erson registerloven § 1 1 , 3 ledd.
10. M ed "databehandlingsforetak" m en es se lv ste n d ig e foretak h vis virk som h et består i å bearbeide p erso n o p p ly sn in g er for en registeransvarlig ved h jelp av elek tron isk e h jelpem id ler. Slik virk som h et er k o n sesjo n sp lik tig etter p erson registerloven § 2 2.
D atab eh and lin gsforetak ets adgan g til å bearbeide o g bruke inform asjonen vil i utgan gs
punktet bero på den interne avtalen som er inngått m ed op p d ragsgiveren (r e g is
tereieren), jf. p ersonregisterloven § 2 3 . B egren sn in ger i registereiers eg e n adgan g til å bruke de gen ererte p e rso n o p p ly sn in g en e vil sette en g ren se fo r hva so m lo v lig kan av ta les m ello m partene.
1. Innledning 13
1.3 Den videre frems tilling
Frem stillingen er delt opp i 6 kapitler. I kapittel 2 skal jeg gi en kort forklar
ing på hva personvern er, for deretter å analysere næ rm ere hvilke person
verninteresser som taler for at bruken av tilgjengelige personopplysninger blir avgrenset ved hjelp av form ålsbestem m elser. I kapittel 3 skal jeg rede
gjøre for rettstilstanden de lege lata når det gjelder bruken av tilgjengelige personopplysninger. Her skal jeg også foreta en gjennom gang av rettsprak
sisen på det ulovfestede personvernets om råde. I kapittel 4 skal jeg ta for meg form ålsbestem thet i internasjonale tekster og i kapittel 5 presenterer og redegjør jeg for lovforslaget i NOU 1997: 19 § 8. I kapittel 6 avslutter jeg m ed å gi en kort oppsum m ering av hovedpoengene i avhandlingen.
2. Personvern og formålsbegrenset bruk av personopplysninger
2.1 Hva er personvern ?
Personvern blir gjerne frem stilt som et "knippe av interesser" som enkeltin
dividet har, relatert til inform asjonsbehandlingen." Bakgrunnen for dette er at personvernbegrepet i seg selv anses for å være så vagt og upresist at det ikke er egnet som grunnlag for en næ rm ere rettslig analyse. Det er gjort Here forsøk på å gi en m er presis definisjon av liva personvern er, uten at disse hit
til kan sies å ha lykkes fullt u t.12 Følgelig vil den tradisjonelle interessete- orien fortsatt utgjøre et viktig utgangspunkt for rettslige vurderinger og analyser på personvernets om råde.13 Den tradisjonelle interesselæ ren har ikke bare teoretisk interesse, den innebærer også en type ram m e for hvilke hensyn Datatilsynet kan legge vekt på når det ved skjønn, treffer avgjørelser innenfor sin forvaltningsm essige kom petanse.14
Personverninteressene har blitt forsøkt klassifisert i en "interesse- kataog". Det presiseres at interessekatalogen ikke utgjør noen uttøm m ende oppregning over hvilke relevante interesser som inngår i personvernet. Etter som sam funnet utvikler seg vil det kunne oppstå nye m uligheter for kren
kelser av personvernet. Det kan for eksem pel skyldes ny teknologi og/eller endringer i oppfatninger i opinionen. Interessekatalogen har derfor i teorien blitt karakterisert som en rettslig stand ard.1:1 Hvilke personverninteresser som frem heves vil også kunne avhenge av hvilket utgangspunkt som velges
11. S e for ek se m p el B ing: Personvern i fareson en . 1991 s 4 2 .
12. A a rø , A n n -H elen : A rb eid stagere rett til p ersonvern , 1997 s 39 viser til andre teoretisk e forklaringer på liva personvern er: Shartum: P erson vem retten s in n tog ?, 1997 s 2: "Et sett av overord n ed e ideer o g verdier knyttet til b eh an d lin g av p ersonop p lysnin ger."
P erson vem u tvalget: N O U 1 9 9 3 :2 2 s 24. I spalte: "Personvern betyr i h o v ed sa k vern o m den p er so n lig e integritet." B lek clid /S elm er: Data o g p ersonvern, 1976 s 21: "En m u lig in teresse fra en k eltp erson ers sid e i å u tøve kontroll m ed den inform asjon som besk river dem ." P erson registerlovutvalget: N O U 199 7 :1 9 s 21: "På et helt gen erell plan kan personvernet sie s å g je ld e krav til b eh an d lin g av p erso n o p p ly sn in g er når kravene er begrunnet ut fra v iss e id e e lle (ik k e -ø k o n o m isk e ) in teresser som en tilleg g e r fy sisk e (o g even tu elt ju r id isk e) personer."
13. S elm er, Knut S.: D a ta tilsy n e ts kontroll m ed forvaltn in gen , 19 8 6 s 5 9 3 . 14. D jøn ne m .fl.: P erso n reg isterlo v en , 1987 s 13.
15. B ygrave/B erg: R e fle c tio n s, 1995 s 3 5 .
2. Personvern og formålsbegrenset bruk av personopplysninger 15
lor analysen. P ersonregisterlovutvalget nevner tre m ulige slike utgangs
punkter: Det integritetsfokuserte-, det m aktfokuserte- og det beslutnings- fokuserte p e r s o n v e r n e t.D e l presiseres at personvernet ikke er delt opp i tre deler. Poenget med oppdelingen er å få frem hvor sam m ensatt person- vernbegrepet er.
En næ rm ere redegjørelse for hva personvern er og de interesser som inngår i interessekatalogen v Ile sprenge denne avhandlingens rammer. Jeg nøyer meg derfor m ed å vise til relevant litteratur på o m råd e t.17
2.2 Personverninte resser som taler for at det opprinnelige formålet med registreringen blir respektert
2.2.1 Innledning
1 kapittel 1.2 presenterte jeg "form ålsbestem thetsprinsippet". Jeg tar som nevnt utgangspunkt i at dette prinsippet m å anses for å være en form for ret
ningslinje og et utgangspunkt for avveiningen av hva tilgjengelige person
opplysninger lovlig kan brukes til. E ckhoff og Sundby legger til grunn at slike retningslinjer m å betraktes som utrykk for hensyn som har vekt når man står overfor avveininger.Is Følgelig vil det være sentralt å analysere næ rm ere hvilke personvernhensyn som ligger til grunn for retningslinjen om at personopplysninger ikke skal kunne brukes til andre form ål enn det de opprinnelig er blitt innhentet for. En slik analyse er et viktig grunnlag for å forstå hvorfor form ålsbestem thet blir brukt innenfor personvernlovgivnin
gen og ikke m inst for å kunne tolke og anvende de enkelte form ålsbestem m elsene i praksis. Etter m itt skjønn er det naturlig å foreta denne analysen m ed utgangspunkt i de personvernhensyn som inngår i den tradisjonelle interessekatalogen.
16. N O U 1 9 9 7 :1 9 s 21 flg.
17. S e B le k e lid / S elm er: D a la o g p ersonvern , 1976 s 13. U er blir in te r e sse m o d e lle n intro- d u se n o g analysert o g B ing: P ersonvern i fa reso n en . 1991 o g N O U 1 9 9 7 :1 7 . kapittel 3.
18. E ck h o ff/S u n d b y : R ettssy stem er . 1991 s 114.
16 Adgangen til å benytte personopplysninger
2.2.2 Interessen i kunnskap om behandling av personopplysninger
Individet har interesse i å ha kunnskap om den inform asjonsbehandling som kan få konsekvenser for det. Tradisjonelt har denne interessen blitt betegnet som interessen i innsyn og interessen i å være opplyst. Ved å få innsyn i for eksem pel et personregister, vil den registrerte få kunnskap om hvilke opplysninger som er lagret der. Først når individet har fått kunnskap om inform asjonsbehandlingen, vil det også være i stand til å ivareta andre personverninteresser. 19 Kunnskap om inform asjonsbehandlingen er dess
uten også en viktig forutsetning for å ha kontroll over den. Interessen i kunnskap om behandlingen av personopplysninger gjelder på alle stadier av inform asjonsbehandlingen; hvilke opplysninger innsam les, hvem innsam - ler, hvordan lagres den. form ålet med innsam lingen, hva brukes inform a
sjonen til og til hvem videreform idles inform asjonen. Interessen i kunnskap om inform asjonsbehandlingen må trolig forankres i individets g runn
leggende interesse i å kontrollere inform asjon om seg selv.20
B estem m elser om innsynsrett er sentrale for individets m ulighet til å få kunnskap om inform asjonsbehandlingen. Sam m en med bestem m elser som pålegger registereier en inform asjonsplikt overfor den registrerte, har dette vært de tradisjonelle m åtene å ivareta interessen i kunnskap om inform a
sjonsbehandlingen. Innsynsretten vil im idlertid kunne få begrenset verdi som virkem iddel. Dette er en konsekvens av at det blir registrert stadig m er personopplysninger i dagens m oderne teknologisam funn. For de Heste m ennesker er det næ rm est en um ulig oppgave å ha oversikt til en hv er tid over all behandling av opplysninger som angår dem selv, selv om de kan kreve innsyn.
Form ålsbestem t bruk av personopplysninger ivaretar interessen i kunnskap om inform asjonsbehandlingen. Ved at det blir næ rm ere angitt hvilke form ål opplysningene vil bli brukt til allerede på innsam lingstids
punktet, øker forutberegneligheten for individet. Individet blir derm ed inform ert om den videre behandlingen av opplysningene allerede på et tidlig stadium i behandlingsprosessen. Derm ed reduseres kanskje også usikkerheten for at personopplysningene kan bli brukt til uventede og uøn
skede form ål. Dessuten vil form ålsbestem thet også gjøre det m er forut-
19. Bing,: Personvern i fareson en , 1991 s 5 2 . B in g anser in teressen i innsikt som en forut
setn in g for å fo r fø lg e in teressen i d isk resjon . 2 0 . B le k e li/ Selm er: Data o g p ersonvern. 1974 s 2 9.
2. Personvern og form ålsbegrenset bruk av personopplysninger 17
beregnelig når det g jelder hvem som vil få tilgang på personopplysningene.
På denne m åten bidrar form ålsbestem thet til at inform asjonsbehandlingen blir m er åpen og gjennomsiktig;.21 En forutsetning for at form ålsbestem thet skal kunne ivareta interessen i kunnskap om inform asjonsbehandling er selvfølgelig at individet faktisk får kunnskap om hvilke formål de aktuelle personopplysningene kan brukes til og blir brukt til. Her er bestem m elser om innsynsrett og inform asjonsplikt sentrale.22
2.2.3 Interessen i diskresjon
M ed interessen i diskresjon forstår jeg individets interesse i å kontrollere og begrense innsam ling av personopplysninger, hvem som får opplysningene, hva de brukes til og hvem som kan bruke inform asjonen. Interessen i dis
kresjon er sentral i del integritetsfokuserte personvernet.23 D iskresjonsinter- essen kan også ses på som en videreføring av interessen i å ha et privatliv.
Vi ønsker å ha kontroll med opplysninger om oss selv som vi oppfatter som personlige. 24 Interessen i diskresjon er dessuten relativ. Den vil variere fra m enneske til m enneske og etter arten av personopplysninger.
Dagens velferdssam funn kan ikke fungere dersom individet selv alltid vil kunne bestem m e hvilke opplysninger han vil avgi og til hvilke formål.
.Skattem yndighetene trenger for eksem pel opplysninger om form ue og inntekt for å kunne gjennom føre beskatningen og den som søker om sosial- støtte må avgi personlige opplysninger til saksbehandleren for at denne skal kunne vurdere søknaden. D ette er eksem pler på viktige sam funnsoppgaver som ikke kan gjennom føres uten tilgang på personopplysninger. Det er der
for ikke mulig å sikre individet "absolutt" diskresjon i dagens sam funn.25 Når personopplysninger først er blitt innsam let og registrert, vil indivi
det være interessert i at de blir behandlet med diskresjon. Knut Selm er har beskrevet interessen i diskresjon ul fra to aspekter: Interessen i at den som
2 1 . B lu m e, P e te n F o r m å lsb e ste m th td sp r in c ip p e t i d a ta b esk y ttelsesretten , 1995 s 1 10. "Del skal væ re m u lig fo r d e n e n k elte borger at foru d se, til h v ilk e form ål in form ation om den p å g æ ld en d e b liver b enyttet. D e lte å p en h ed sp rin cip b etraktes so m n oget centrait i en retlig regu lerin g, h v is form ål er at b esk ytte det en k e lte m e n n e sk e s p e r s o n lig e integritet o g privatliv."
2 2 . For de k o n sesjo n sfr ita tie p erson registren e so m er regulert i fo rsk riften e til p erso n r eg is
terlo v en , fo lg e r det direkte av fo rsk riften e hva o p p ly sn in g e n e kan brukes til.
2 3 . N O U 1997: 19. s 21 flg.
2 4 . B le k e lid / Selm er: D ata o g p ersonvern , 1 9 7 4 s 29.
2 5 . N O U 19 9 7 : 19, s 2 2 o g Innst. S. nr. 2 4 ( 1 9 9 5 -9 6 ), s 3 flg.
18 Adgangen (il å benylte personopplysninger
sitter med inform asjonen ikke sprer/avslører denne videre og interessen i at inform asjonen ikke blir brukt til andre formål eller overføres til andre som ønsker å bruke opplysningene.:f>
En sentral bestem m else som ivaretar diskresjonsinteressen er person
registerloven $ 6 som oppstiller et krav om at det m å være en saklig for
bindelse m ellom formålet m ed registreringen og opplysningene som registreres, del såkalte relevansprinsippet.27 R elevansprinsippet ivaretar dis
kresjonsinteressen i forhold til hvilke personopplysninger som kan registr
eres. Når inform asjonen først er registrert, ivaretas diskresjonsinteressen ved hjelp av for eksem pel taushetsplikt, forbud m ot spredning av opplys
ninger og krav til datasikkerhet, jf. personregisterloven § 8b som gir hjem mel for å gi forskrifter eller treffe enkeltvedtak om datasikkerhet.2*
Bruk av form ålsbestem thet ivaretar individets interesse i diskresjon. Ved å bestem m e at personopplysninger bare kan brukes til bestem te form ål, reduseres risikoen for at opplysningene vil bli brukt til andre uønskede og uventede formål. Sam tidig blir det m ulig for individet allerede på registre
ringstidspunktet å forutse hva inform asjonen vil bli brukt til og kanskje enda viktigere - hva den ikke vil bli brukt til. Som følge av at personopplys
ninger har fått en stadig økende sam funnsm essig og kom m ersiell interesse, er det grunn til å være på vakt mot frem tidig uventet og uønsket bruk av tilgjengelige personopplysninger. Når inform asjonen først er blitt registrert, vil det alltid være en viss risiko for at den kan bli m isbrukt. R isikoen kan begrenses ved å sette snevre ram m er for hva opplysningene kan brukes til.
2 6 . B le k e lid / Selm er: Data o g personvern, 1974 s 3 0 .
2 7 . Jeg k o m m er næ rm ere inn på d en n e b estem m e lsen i kapittel 3.
2 8 . F orsk riftsk om p etan sen etter § 8b er d elegert til Justisdepartem entet m en s D atatilsynet har k om p etan sen (il å fatte en k eltved tak om datasikkerhet m ed h jem m el i § 8b. D et er en n å ikke utarbeidet noen forskrifter om d atasikkerhet. D atatilsyn ets styre v ed tok 9.
ju n i. 1998 " R etnin gslin jer for in form asjon ssik k erh et ved b eh an d lin g av p e r so n o p p ly s
ninger". R etn in g slin jen e er ikke regler gitt m ed hjem m el i lov. m en retn in gslin jer for D a ta tilsy n e ts sk jø n n su tø v e lse niir d el fattes en k eltved tak etter § 8b. R etn in g slin jen e er o g så m en t å væ re et grunnlag for u tarbeidelse av sikkerhetsrutiner i den en k elte regis- tereiers bedrift. For at retn in g slin jen e skal være rettslig b in d en d e m å altså D atatilsynet fatte et en k eltved tak etter § 8b. F ø lg e lig vil kravene til datasikkerhet langt på vei bero på D a ta tilsy n e ts arbeidskapasitet o g kon trollm u ligheter. O p p g a v en e vil n ep p e bli m in dre i tidene so m kom m er. D et kan d erfor etter m in m e n in g stille s spørsm ål ved hvorfor ikke Justisdepartem entet har utgitt forskrifter so m stiller m inim um skrav til datasikker
heten h os a lle registereiere.
2. Personvern og form ålsbegrenset bruk av personopplysninger 19
Sam tidig gir form ålsbesternthet m ulighet for en m er fleksibel regulering av diskresjonsinteressen. Sensitive opplysninger kan for eksem pel under
legges en strengere regulering enn de m er trivielle opplysningene. Dette kan reguleres gjennom angivelsen av hvilke form ål opplysningene kan brukes til. Form ålsbestem t bruk av personopplysninger vil også sette beg- rensninger for hvem som kan få tilgang på personopplysningene. Personop
plysninger vil i utgangspunktet ikke kunne utleveres til utenforstående som ønsker å realisere formål som ikke er i sam svar med det personopplysnin
gene opprinnelig ble innhentet for.29
2.2.4 Interessen i et riktig beslutningsgrunnlag
Interessen i et riktig beslutningsgrunnlag bygger på individets interesse i at beslutninger som angår en selv bygger på riktige fakta når det gjelder per
soninform asjon. Denne interessen frem står som den m est sentrale i det beslutningsorienterte person v em b eg rep et/" Det treffes en rekke beslut
ninger i dagens sam funn som får konsekvenser for individets rettigheter og plikter. Følgelig h ar individet interesse i at personopplysningene som dan
ner grunnlaget for avgjørelser er så fullstendige og riktige som mulig.
Denne interessen er i utgangspunktet forskjellig fra diskresjonsinteressen.
hvor det er spørsm ål om å ville tilbakeholde inform asjon om en selv uansett hvor fullstendig og riktig den er.
Interessen i et riktig beslutningsgrunnlag kan være truet i to typer situa
sjoner. Det kan tenkes at opplysningene som tjener som grunnlag for beslut
ningene ikke er korrekte eller er ufullstendige. Dette om tales som interessen i datakvalitet. Personregisterloven § 8 inneholder regler som skal ivareta den registrertes interesse i datakvalitet. I tillegg vil individet være interessert i al irrelevant inform asjon ikke inngår i beslutningsgrunnlaget. For eksempel at det legges vekt på den arbeidssøkende vaktm esterens tidligere politiske engasjem ent ved ansettelse av ny vaktm ester ved Stortinget. Her er det en parallell til reglene om utenforliggende hensyn innenfor forvaltningsretten.
2 9 . I k o n se sjo n e n e fra D a ta tilsy n e t blir sp ø rsm å le t om ad g a n g en til u tleverin g av o p p ly s
n in g e n e so m regel sæ rskilt regulert v ed sid en av fo r m å ls a n g iv e lse n for lo v lig bruk.
S a m tid ig er d et på det rene at det vil væ re en nær sa m m e n h e n g m e llo m liva p erso n o p p ly sn in g e n e o p p rin n e lig b le in nhentet for o g hvorvidt o p p ly sn in g e n e kan utleveres.
D erso m det for e k se m p e l er se n sitiv e o p p ly sn in g e r so m bare kan brukes til et konkret form ål h os registereier, vil det h eller ikke væ re gru n n lag fo r å tillate u tlev erin g av o p p ly sn in g e n e i sa m m e k o n se sjo n .
3 0 . B ing: P ersonvern i fa reso n en . 1991 s 4 6 o g N O U 1 9 9 7 :1 9 s 2 2 flg.
20 Adgangen til il benytte personopplysninger •
F orm ålsbestem thet kan indirekte ivareta interessen i et riktig beslut
ningsgrunnlag. I forhold til god datakvalitet er utgangspunktet at denne alltid bør være best mulig, men at kravet likevel vil kunne variere fra per
sonregister til personregister. For eksem pel vil det stilles større krav til datakvaliteten i Det nasjonale folkeregisteret enn for m edlem sregisteret i den lokale fotballklubben. M Kravet til god datakvalitet har igjen sam m en
heng med hva opplysningene skal brukes til og hvilke konsekvenser eventu
ell bruk av uriktig eller m issvisende inform asjon kan få for den registrerte.
Følgelig bør det fo r eksempel oppstilles strengere begrensninger for hvilke form ål m edlem sregisteret med presumptivt dårligere datakvalitet kan benyt
tes til enn for Det nasjonale folkeregisteret hvor kvaliteten nok vil være bedre. På denne m åten vil form ålsbestem thet bidra til å redusere risikoen fo r at opplysninger fra registre med for dårlig datakvalitet blir brukt som grunnlag i beslutninger overfor den registrerte.
N år det gjelder interessen i å unngå at det blir vektlagt irrelevant infor
m asjon i beslutningsgrunnlaget, vil form ålsbestem m elser også kunne bidra til dette. Poenget er at desto llere kilder som brukes, desto større er risikoen for at en av disse kildene også kan inneholde uriktig og/eller m isvisende inform asjon i forhold til den aktuelle beslutningen. Form ålsbestem m elser reduserer m uligheten for å trekke inn tiere opplysningskilder og derm ed risikoen for at beslutningstakeren vektlegger irrelevant inform asjon.
2.2.5 Interessen i samfunnets overvåkningsnivå
Interessen i sam funnets overvåkningsnivå kan presiseres som interessen i å redusere risikoen for overdreven kontroll og uhjem let m aktbruk og derm ed unngå at forholdet mellom individ og stal, organisasjoner eller virksom heter blir tilstram m et. I norsk personvernteori har denne interessen blitt behandlet som en del av de kollektive personverninteresser. B egrunnelsen for å utvikle de kollektive interessene har til dels vært ønsket om å få et noe videre perspektiv i personverndebatten.32 Interessen i sam funnets ov ervåk
ningsnivå er sentral i det m aktfokuserte personvernet og er langt på vei et spørsm ål om hva slags sam funn vi ønsker.1' Vurderingen av denne interes
3 1 . D et koster p en g er o g er ressu rsk reven d e å ha et personregister oppdatert til en h ver tid.
F ø lg e lig bør det væ re et sa k lig beh ov o g sa m m en h en g m ello m u tgiften e m ed å opp- reth old e en h øy d atakvalitet på p erso n o p p ly sn in g en e o g hva o p p ly sn in g e n e er m ent å sk u lle brukes til.
3 2. B in g . Jon: P ersonvern i fareson en . 1991 s 58.
3 3 . N O U 1997: 19, s 2 2 .
2. Personvern og formålsbegrenset bruk av personopplysninger 21
sen får derfor et noe m er politisk preg enn de andre personverninteressene jeg har beskrevet ovenfor.
Registrerte personopplysninger kan brukes for å kontrollere eller over
våke hele eller store deler av befolkningen. Et slikt skrekksenario dannet utgangspunktet for O rw ells rom an "1984" og var trolig en av Uere skrem m ende frem tidsvisjoner som satte fart i personvem debatten på slutten av
1960-tallet. Jeg tror ingen i dag ville hevde at vi står overfor et "Storebror ser deg sam funn". Likevel e r det på bakgrunn av den teknologiske utviklin
gen grunn til å ta trusselen alvorlig. "Storebror ser deg sam funnet" er trolig derfor m er aktuell i dag enn det den var da den ble brukt som skrekkeksem pel for å sette fart i personvem debatten i slutten av 1960-årene. Som kjent har Justisdepartem entet høsten 1998 gitt tillatelse til et prøveprosjekt hvor politiet i O slo skal videoovervåke enkelte gater og om råder i hovedstaden som ledd i kampen mot økende voldskrim inalitet.
O vervåkningssam funnet skyldes ikke bare kontroll fra det offentliges side. Økende kom m ersiell hruk av tilgjengelige personopplysninger vil også kunne bidra til at den registrerte føler at han blir kontrollert og over
våket. For eksem pel at m atvareforretn ingen registrerer dine forbruksvaner og bruker inform asjonen til d rekte m arkedsføring av sine produkter.
Form ålsbestem t bruk av personopplysninger bidrar til å ivareta interes
sen i at sam funnets overvåkr ingsnivå holdes på et rim elig nivå. Form åls
bestem m elser reduserer risikoen for at tilgjengelige personopplysninger kan og vil bli brukt for å oppnå kontroll og m akt. Form ålsbestem m elser bidrar også m er indirekte til at sam funnets overvåkningsnivå holdes på et rim elig nivå ved at risikoen for ekspansiv dataopphopning i sam funnet reduseres. Poenget er at desto flere personopplysninger som lovlig kan reg
istreres og oppbevares, desto større er risikoen for at disse sam m en med m oderne inform asjonsteknologi kan bli brukt til uønskede og uventede kontrollform ål. Med andre ord øker risikoen for et overvåkningssam funn når m engden av tilgjengelig personopplysninger øker. Ved at det bestem m es at personopplysninger bare kan innsam les og registreres til bestem te form ål allerede p å registreringstidspunktet, fjernes også begrun
nelsen for å lagre inform asjon i påvente av m ulige frem tidige bruksform ål.
På sam m e m åte bør tilgjengelige personopplysninger slettes når de ikke lenger kan eller skal brukes til det opprinnelige behandlingsform ålet.
3. Hva kan personopplysninger brukes til - Rettstilstanden de lege lata
3.1 Innledning
I dette kapitlet skul jeg redegjøre for hvordan bruken av personopplysninger er regulert i gjeldende norsk rett. I denne forbindelse skal jeg først gi en kort oversikt over reguleringen av inform asjonsbehandlingen i personregis
terloven. Jeg tar ikke sikle på å gi en uttøm m ende oversikl over hvordan behandlingen av personopplysninger er regulert i personregisterloven. Hen
sikten her er først og frem st å få frem sam m enhengen m ellom reguleringen av henholdsvis registreringen og bruken av inform asjonen. I tillegg linnes det enkelte bestem m elser i sæ rlovgivningen som regulerer behandlingen av personopplysninger innenfor sine om råder og dessuten et ulovfestet person
vern. Privatrettslige avtaler vil også kunne utgjøre et egnet supplem ent innenfor visse avgrensede om råder. '4 Jeg vil ikke kom m e næ rm ere inn på disse avtalene i denne frem stillingen.
Det rettslige utgangspunktet for bruken av personopplysninger er grunn
prinsippet i norsk rett om at enhver står fritt til å utføre en handling så lenge denne ikke er fo rb u d t/'”' Dette utgangspunktet gjelder både for private og offentlige rettssubjekter. B egrensninger i denne handlefriheten kan enten følge av lovfestede regler eller av ulovfestet rett. Rent praktisk innebæ rer dette derfor at enhver kan bruke tilgjengelige personopplysninger såfrem t dette ikke er forbudt. Følgelig vil undersøkelsen av gjeldende rett i denne besvarelsen bestå i å redegjøre for hvilke begrensninger som g jeld er for adgangen til å bruke tilgjengelige personopplysninger.
3.2 Oversikt over personregisterloven med forskrifter
B ehandling av personopplysninger reguleres i personregisterloven av 1978 nr. 48 med tilhørende forskrifter, heretter om talt som personregisterloven.
Dette lovverket utgjør det sentrale utgangspunktet for den videre rede
gjørelsen for hvordan bruk av personopplysninger er regulert.
3 4 . H oved avtalen m e llo m LO o g N A F in n eh o ld er b e ste m m e lse r om registrering av per
so n o p p ly sn in g e r m .m .
35. EckhofF, Torstein: F orvaltningsrett, 1994 s 120.
3. Hva kan personopplysninger hrukes (il - Rettstilstanden de lege lata 23
Etter personregisterloven ) I gjelder loven for personregistre og bruk av personopplysninger i visse lyper v i r k s o m h e t .M e d personopplysninger m enes alle opplysninger og vurderinger som direkte eller indirekte kan knyttes til den enkelte person, sam m enslutninger eller stiftelser. Med et per
sonregister m enes registre, fortegnelser m .m . der personopplysninger er lagret system atisk p å en slik m åte at en kan gå inn i registeret og finne igjen opplysningene om en enkelt person eller sam m enslutning med hjelp av en type «nøkkel». 7 Personregisterloven om fatter derfor all registrering av opplysninger som på en eller annen m åte kan knyttes tilbake til et enkelt individ eller sam m enslutning gjennom et personregister.
Alle personregistre som skal gjøre bruk av edb m å ha konsesjon, jf. per
sonregisterloven § 9, 1 ledd. I tillegg gjelder det konsesjonsplikt for oppret
telsen av personregistre som inneholder såkalte sensitive personopplysnin
ger uansett om disse er registrert i m anuelle eller digitale registre. Som følge av at de fleste personregistre i dag er basert på edb, innebæ rer dette i praksis at konsesjonskravet om fatter m ange personregistre. Datatilsynet har fått delegert m yndigheten til å vurdere konsesjonssøknadene etter § 9, 3 ledd.
I konsesjonsvurderingen skal D atatilsynet foreta en avveining mellom hvilke personvernproblem er opprettelsen og bruken av personopplysningene vil volde for den enkelte registrerte og interessene til konsesjonssøkeren.
Ved vurderingen av om konsesjon skal innvilges, er det et absolutt vilkår at behovet for registreringer av personopplysningene er saklig begrunnet og relevant for virksom heten til den som søker konsesjon, jf. personregis
terloven § 6. For å kunne vurdere hvorvidt registreringen tilfredsstiller rele
vans- og saklighetskravet i § 6, må form ålet med registreringen være kjent for Datatilsynet. 1 standardsøknaden for opprettelse av personregister punkt 7, må søkeren oppgi hva fo rn å le t bak opprettelsen av registeret er. Her skal søkeren spesifisere næ rm ere liva opplysningene i personregisteret skal brukes til.
3 6 . L oven g jeld er b åd e fo r o ffe n t ig e o g private organer. Det kan n e v n e s at i den dan sk e p erso n v e rn lo v g iv n in g en o p e r e r e s det m e d to fo r sk je llig e lo v er for h e n h o ld sv is o ffe n tlig e o g private organer.
3 7 . O t. Prp. nr. 2 ( 1 9 7 7 -7 8 ) , s 6 9 . En v a n lig "nøkkel" er bruk av fød selsn u m m er.
24 A dgangen til å benytte personopplysninger
Form ålet m ed opprettelsen av personregisteret blir d erlo r helt sentralt når D atatilsynet skal vurdere hvorvidt vilkårene i personregisterloven § 6 er oppfylt. Dette innebæ rer at Datatilsynet må ta stilling til hvorvidt den ønskede bruken av opplysningene er forenlig med individets interesse i per
sonvern allerede på registreringstidspunktet.38 Sam tidig vil det alltid være en større risiko for at opplysninger kan bli brukt i andre sam m enhenger enn det de opprinnelig ble registrert for når de først er blitt lagret. Se St. m eld.
nr. 33 (1994-95) s 13:
"I noen tilfeller er risikoen så stor at registrering ikke bør tillates. Når opplysningene foreligger, vil det klarligvis være vanskelig å ikke ta dem i betraktning."
D atatilsynet m å derfor også vurdere hvor stor risikoen er for at den lagrede inform asjonen kan bli brukt til andre formål enn det den opprinnelig ble registrert til. På denne m åten vil den angitte bruk i søknaden og m uligheten for senere konsesjonsstridig bruk inngå som en sentral del i vurderingen av hvorvidt registereier bør få konsesjon eller ikke. Det er derfor en næ r sam m enheng m ellom reguleringen av hvilke opplysninger som kan innsam les og registreres og den etterfølgende bruken av den sam m e inform asjonen.
Etter personregisterloven § 10 skal Datatilsynet vurdere hvorvidt oppret
telsen og bruken av personregistre kan volde personvernproblem er for den registrerte. Datatilsynet har kom petanse til å stille vilkår for opprettelsen og bruken av personregistre for dermed å ivareta den registrertes interesse i personvern, jf. personregisterloven § 11. Hvis de personvem rettslige inter
essene til den registrerte ikke kan ivaretas tilstrekkelig ved hjelp av vilkårs- settingen, m å D atatilsynet foreta en konkret interesseavveining m ellom ulem pene opprettelsen av registeret m edfører for den registrerte og de h en syn som taler for at registeret blir opprettet.
Med hjem m el i personregisterloven § 9, 2 ledd er det gitt forskrifter om at visse typer personregistre likevel ikke om fattes av konsesjonsplikten etter
§ 9, I ledd. B estem m elsene er gitt av Justisdepartem entet i m edhold av Kgl.
res. 1979 og vil bli om talt som forskriftene om konsesjonsfritak. Forskrift
ene er sist endret 2. desem ber 1996.
I forskriftene om konsesjonsfritak kapittel 2, reguleres 20 forskjellige typer av personregistre som alle er unntatt fra konsesjonsplikten.
38. NOU 1975: 10. pkt. 5.6.2 s 57.
3. Hva kan personopplysninger hrukes (il - Rettstilstanden de lege lata 25
De konsesjonsfritatte personregistrene representerer et stort antall av de eksisterende registertypene i sam funnet. Det er derfor rasjonelt og hensikts
m essig å regulere disse i fors<rifts form . Dette innebæ rer sam tidig en nød
vendig avlastning av D atatilsynet saksbehandlingsm engde. Rent praktisk innebæ rer forskriftene at hovedtyngden av personregistre på den private sek
tor og en m indre andel på den offentlige er unntatt fra konsesjonsplikten.1'' Forskriftene regulerer hvilke personopplysninger som kan registreres i det enkelte personregister og hva disse kan brukes til. Dersom det ønskes registrert tilleggsopplysninger eller bruke inform asjonen til andre formål enn det som følger av forskriftene om konsesjonsfritak, m å det søkes om konsesjon etter personregisteiloven.
De konsesjonsfritatte personregistrene er underlagt restriksjoner på inform asjonsbehandlingen på sam m e m åte som de konsesjonspliktige reg
istrene. For de konsesjonsfritatte registrene følger dette direkte av m ateri
elle bestem m elser i forskriften. Dette i m otsetning til de konsesjonspliktige registrene som ikke har tilsvarende m aterielle bestem m elser i personregis
terloven. Etter personregisterloven skal D atatilsynet foreta en individuell konsesjonsvurdering av det enkelte register og har kom petanse i kraft av personregisterlovens §§ 10 og; 1 1 til å stille vilkår. Følgelig blir behovet for m aterielle bestem m elser i loven mindre. B estem m elsene i forskriftene om konsesjonsfritak kan vel derfor best beskrives som standardvilkår tilpasset det enkelte konsesjonsfritatte personregister.
3.3 Nærmere om reguleringen av bruken i personregisterloven
Personregisterloven g jelder for bruk av personopplysninger innenfor både offentlige og private organer, jf. § 1 , 3 ledd.
Loven inneholder ingen generelle bestem m elser om hva tilgjengelige personopplysninger kan brukes til. H ovedreguleringen av bruken skjer gjennom fastsettelsen av vilk år i forbindelse med konsesjonstildelingen.
D atatilsynet skal gi regler for hvilke personopplysninger som kan registr
eres og hva de kan brukes til, dersom det innvilger konsesjonssøknaden, jf.
personregisterloven § I I , 1 ledd. Som følge av at konsesjonsordningen in n eb æ reren individuell saksbehandling, vil D atatilsynet derfor kunne vur
dere konkret hvilke personvernproblem er opprettelsen av det aktuelle per
3 9 . D jø n n e m .fl.: P erso n reg iste rlo v en , 19X7 s 9 2 .
26 Adgangen til å benytte personopplysninger
sonregister vil kunne få fo rd e n registrerte. Derm ed kan det fastsettes vilkår som er spesielt tilpasset behandlingen av de aktuelle personopplysningene.
Personregisterloven § 1 1 , 2 ledd angir selv eksem pler på vilkår som særlig bør overveies når bruken skal reguleres slik at den registrertes interesse i per
sonvern ivaretas på en forsvarlig måte. Det bør blant annet settes vilkår som regulerer adgangen til samkjøring med andre registre, bruk av fødsels-num - mer, utlevering av opplysninger til andre, ajourføring av registeret og sletting av opplysningene etter en viss tid. for å nevne noen sentrale vilkår. Jeg kom m er nærm ere inn på utlevering og kobling av personopplysninger i forbin
delse med gjennom gangen av forskriftene om konsesjonsfritak i avsnitt 3.4.
I D atatilsynets standardkonsesjon for opprettelse av personregister følger det av punkt 1.1 at registeret bare kan brukes til bestem te form ål. 1 praksis begrenser Datatilsynet bruken av personopplysninger til de næ rm ere angitte form ål. Disse kan være forskjellig presisert avhengig av hva slags type per
sonopplysninger som ønskes registrert. Skal personopplysningene kunne brukes til andre form ål, må det innhentes ny tillatelse fra D atatilsynet.4"
Det er vanskelig å si noe generelt om hvordan D atatilsynet fastsetter de enkelte form ålsbestem m elsene og hvilken betydning hensynet til form ålet har for de vilkår som Datatilsynet har satt. Stortingets justiskom ite har kom m et med følgende bem erkninger til fastsettelsen av form ålet for per
sonopplysninger:
"Komiteen er enig i at desto m er sensitiv en opplysning er J o viktigere ei
det at et personregisters form ål er klart avgrenset. D ette må likevel ikke forhindre at d e t alltid må være et mål å få et registers fo rm å l så klart og
avgrenset som mulig."41
Jeg skal gi noen eksem pler fra Justisdepartem entets klagesaksbehandling over D atatilsynets konsesjonsvedtak.42 1 klagesaksbehandlingen begrunner D atatilsynet hvorfor de ikke gir konsesjon til opprettelsen av det ønskede registeret eller tillater den ønskede bruken av tilgjengelige personopplys
4 0 . N O U 1975: 10, pkt. 5 .6 .3 s 5 7 Hg.
4 1 . Innst. S. nr. 2 4 ( 1 9 9 5 -9 6 ) , s 3. In n stillin gen ble gitt på gru n n lag av St. m eld . nr. 33
11994-95).
4 2 . D atatilsynet a v sla g på k o n sesjo n ssø k n a d er er en k eltved tak etter fo rv a ltn in g slo v en § 2 o g kan p å k la g e s etter b este m m e lse n e i lo v en s kapittel 6, jf. § 3. En oversik t o v er Ju stis
d ep artem entets b eh an d lin g av k lager på D a ta tilsy n e ts en k eltved tak i perioden 1980 - 1996 er gitt i, B y g r a v e, L ee A.: Personvern i praksis 1997.
3. Hva kan personopplysninger brukes lil - Rettstilstanden de lege lata 27
ninger. I enkelte saker har forholdet m ellom form ålsbestem thet, vilkårset- ting og risiko for uønsket bruk blitt brukt som begrunnelse fo r avslag på konsesjonssøknadene. Et illustrerende eksem pel er den såkalte SenTaks saken:
I den endrede konsesjonen for Telenors lagring av sam taledata, « Sen
Taks», inneholder konsesjonens punkt 3.2 følgende regler om hva registeret kan brukes til/form ålet m ed bruken:43
"Registeret kan bare brukes til kundeadministrasjon og fakturering av abonnentenes bruk av telenettet.
Registeret kan nyttes til utvikling av nye tjenester og spesialtilbud av generell karakter, hvis det ikke bygges opp kundeprofiler som viser hvilke kommunikasjonspartnere en kunde har. Bruk av registeret fo r å kunne tilby nye tjenester og spesialtilbud til enkeltabonnenter skal kunne skje etter posistivt samtykke fra abonnentene.
Statistiske data fr a registeret kan benyttes fo r å markedsføre nye tjenes
ter.
Dersom registeret skal nyttes utover dette, må den registeransvarlige innhente ny tillatelse fr a D atatilsynet.
(...)"
4 3 . J u stisd ep a rtem en tets k la g ev ed ta k m ed sak sref. 5 6 1 7 /9 3 , o m talt so m sak nr. 4 0 hos B y g r a v e. T e le n o r fikk sin k o n se s jo n for S e n T a k ssy stem et første g a n g i 19l>4. H er var vilk åren e knyttet til sy s te m e t S en T a k s o g ikke til fu n k sjo n a liteten i sy ste m e t. S y stem et b le v id ereu tv ik let o g den d e le n som sørget for faktu rerin gen , R IT E L . b le erstattet av K O F (et K u n d e-O rd re-F ak tu ra-S ystem ). For T elen o r fram sto det som u h eld ig at k o n se sjon en knyttet se g til se lv e s y s e m et SenT aks o g ikke til fu n k sjo n a liteten . D erfor søk te T elen o r D a ta tilsy n e t om 3 få e idret den o p p r in n e lig e k o n se s jo n e n slik at den ikke len g er sk u lle væ re sy s te m a v h e n g ig . S ø k n a d e n b le in n v ilg e t.
28 A dgangen tii å benytte personopplysninger
SenTaks er navnet på Televerkets (nå Telenor AS) nye sentraliserte tak- seringssystem . System et innebæ rer blant annet at oppringt n um m er (B- num m er) og num m eret det ringes fra (A -num m er) blir registrert sam m en m ed blant annet sam talens dato og lengde, hvilke teletjenester som benyttes og abonnentens telefonkontonum m er, kredittkortnum m er, el. Det ble anført llere begrunnelser fra Telenor for innføringen av det nye takseringssyste- met: System et kunne brukes for alle tjenester, takseringen ville bli m er kor
rekt fordi sam talelengden ble registrert i sanntid og ikke i perioder, kundene ville få spesifisert regning og inform asjonen ville gi bedre grunnlag ved behandling av klager over teleregninger.
Telenor fikk avslag fra Datatilsynet på konsesjonssøknaden med den begrunnelse at de ulem pene som knyttet seg til den autom atiske registrerin
gen, herunder eksistensen av de registrerte opplysningene, ville øke kon
trollm ulighetene overfor enkeltindivider i sam funnet.44 D atatilsynet anså ikke fordelene som Telenor anførte for å være tunge nok i forhold til de generelle personvernhensynene som ble "truet". Datatilsynet åpnet im id
lertid for al sam taledata kunne registreres på næ rm ere forutsetninger hvis abonnenten sam tykket til det. Justisdepartem entet om gjorde D atatilsynets vedtak etter klage fra Telenor. Justisdepartem entet var enig m ed D atatilsy
net i at den autom atiske registreringen av sam taledata ville føre til en kartlegging og kontroll av abonnentens telefonbruk. Også det forhold al SenTaks system et ga m uligheten for slik kontroll ble trukket frem som et viktig personvernhensyn. Justisdepartem entet la im idlertid vekt på at form ålet med innføringen av SenTaks system et ikke var å føre kontroll, m en å bedre takseringen og abonnentenes kontroll av teleregningene. Det ble presisert at andre organer, personer og lignende ikke skulle kunne bruke opplysningene til slik kontroll. Justisdepartem entet uttalte følgende:
"Samtaledataene skal registreres og lagres utelukkende fo r disse form al og slettes når det ikke lenger er bruk fo r dem til disse øyemed. Slik sett synes Televerkets planlagte register å være i tråd m ed D atatilsynets linje
4 4 . D et m å p resiseres at både o ffe n tlig e o g private vil kunne lia in teresse i å bruke tralikk- o p p ly sn in g e r fo r å k on trollere e n k eltin d iv id en e i sam fu nn et. D e tilg je n g e lig e o p p ly s
n in g en e kunne fo r ek se m p el ten kes brukt av p å ta le m y n d ig h ete n e i fo rb in d else m ed etterfo rsk n in g av straffbare handlinger. T elenor se lv k unne ten kes å ha in teresse i å bruke o p p ly sn in g e n e til å kartlegge k u n denes telefon b ru k m ønster. O g andre bedrifter kunne, h v is de likk tilgan g til o p p ly sn in g e n e , væ re interesserte i å kon trollere de an sattes kontaktnett.
