Seminar DRI 2002 2. februar 2006

1. Seminar DRI 2002 2. februar 2006 Interessen i å bestemme over tilgangen til opplysninger om egen person Stipendiat Thomas Olsen, AFIN (Avd. for forvaltningsinformatikk, UiO)

2. -Rendyrket tilstand -Vil ofte komme i motstrid med andre idealer eller møte andre hindringer Personvernidealet -Betegner de sidene ved personvernidealet som er synliggjort og dermedaktualisert -Feks sider som er brakt inni den offentlige debatt Personverninteresser -Konkretisering av interessene-Feks interessen i å bestemme over til-gangen til oppl. om egen person kan bli konkretisert til krav til etabl. tillitsforhold, konfidensialitet, beskyttet privatliv og vern av individets identitetsbilde Krav Tiltak Personvergarantier Lovgiver og andre kan imøtekomme kraveneved tiltak: Lover, organisa-toriske tiltak, tekniske tiltak… Personverntiltak ellers

3. Interessen i å bestemme over opplysninger om egen person Utgangspunktet: • Det er opp til den enkelte selv å velge når, til hvem og under hvilke forutsetninger personopplysninger skal utleveres og behandles • Ved vanlig deltakelse i samfunnet må nødvendigvis andre håndtere opplysninger om deg • MEN: Opplysninger skal i minst mulig grad behandles med grunnlag i tvang eller ved at noen tar seg til rette

4. Grunnleggende verdier • Menneskets selvbestemmelsesrett og verdighet • EMK (1950), art 8: • ”Enhver har rett til respekt for sitt privat- og familieliv, sitt hjem og sin korrespondanse” • Inngrep må være tilstrekkelig hjemlet og nødvendig i et demokratisk samfunn for å ivareta nærmere bestemte interesser. • Lovsprinsippet i EMK og legalitetsprinsippet i norsk rett: • Behandling av personopplysninger er et inngrep som krever rettslig grunnlag (hjemmel)

5. Utviklingstrekk innen personvernlovgivningen • Lov om personregistre (1978) • Fokus på registre som inneholdt personopplysninger • Konsesjonsplikt (forhåndsgodkjennelse av myndighetene, Datatilsynet) • Lov om behandling av personopplysninger (pol) (2000) • Fokus på behandling av personopplysninger (innsamling, sammenstilling, utlevering, etc) • Stor vekt på den enkeltes selvbestemmelse (samtykke) • Mindre vekt på konsesjonsplikt (kun for sensitive opplysninger)

6. Hjemmel for behandling av pers. oppl. (pol § 11, jf §§ 8 og 9) § 8.Vilkår for å behandle personopplysninger Personopplysninger (jf. § 2 nr. 1) kan bare behandles dersom den registrerte har • samtykket, • eller det er fastsatt i lov at det er adgang til slik behandling, • eller behandlingen er nødvendig for a) å oppfylle en avtale med den registerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås, (…) f) at den behandlingsansvarlige (eller tredjepersoner som opplysningene utleveres til) kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen

7. Lovhjemlet behandling Offentlige myndigheter: - Kriminalitetsbekjempelse/etterforskning - Skatt og avgiftsinnkreving - Medisinske registre (fødsels-,dødsårsaks-, kreftregisteret etc) Private: • Kredittopplysningsvirksomhet • Kameraovervåkning

8. Behandling basert på samtykke Pol § 2 (1) 7) Samtykke: ”en frivilllig, uttrykkelig og informerterklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv” • Selvbestemmelse til besvær? • Hvor informert er man egentlig? • Frivillig samtykke? • Jobbsøknad, forsikring, registrering på Internett for å få tilgang til tjenester)

9. Elektroniske spor og selvbestemmelse • Kilder til elektroniske spor • Elektronisk betalingsformidling • Samferdsel (Bompengeringer, trafikk-kontroll etc) • Internett og mobiltelefoni • Kameraovervåkning • Utfordringer: • Valgfrihet og selvbestemmelse? • Informasjon? • Behov for identifisering? • Hvilke opplysninger kreves for tjenesten? • Hvordan hindre oppbygging og samkjøring av personprofiler?

10. Peter Steiner, The New Yorker, 1993

11. Tom Toles, Buffalo News, 2000

12. I Krav om etablert tillitsforhold • Behandling av personopplysninger skal i størst mulig grad bygge på et tillitsforhold • Den behandlingsansvarlige skal anerkjenne og behandle den registrerte som en meningsberettiget person i spørsmål som gjelder behandling av opplysninger om vedkommende

13. Tiltak som kan sikre et tillitsforhold mellom den registrerte og den behandlingsansvarlige • Frivillig og informert samtykke • Informasjonsplikt pol kap III • Varsling av registrerte • Veiledningsplikt (pol § 6 og forvaltningsloven § 11) • Rett til innsyn og til retting sletting av feilaktige opplysninger • Tekniske og organisatoriske tiltak som gir tillit til behandlingen av oppl.

14. II Krav om konfidensialitet • Spredningen av opplysninger om den registrerte skal begrenses til det omfang og på den måte som den registrerte selv ønsker eller ville ha ønsket • Fokuset er (først og fremst) på andres håndtering av opplysninger om den registrerte • Opplysninger (om den registrerte) hos andre og vernet mot tredjeparter

15. Tiltak som kan ivareta konfidensialitet- Informasjonssikkerhet • Tilfredsstillende tekniske og organisatoriske tiltak som sikrer at ikke uvedkommende får tilgang til opplysninger • Pol § 13 Informasjonssikkerhet: ”Planlagte og systematiske tiltak” sørge for tilfredsstillende konfidensialitet, integritet og tilgjengelighet

16. Tiltak som kan ivareta konfidensialitet- Taushetsplikt • Taushetsplikt • Stillingsbestemt (for eksempel forvaltningstjenestemenn, fvl § 13 flg) • Profesjonsbestemt (for eksempel leger, advokater etc) • Unntak fra taushetsplikt (opplysningsplikt) • Hvitvaskingsloven • Opplæringsloven

17. Tiltak som kan ivareta konfidensialitet- Restriksjoner på utlevering av oppl. Eksempler • Innsyn i skattelister, ligningsloven § 8-8 • Postsendinger som inneholder fødselsnummer skal være utformet slik at nummeret ikke er tilgjengelig for andre enn adressaten, forskrift til pol § 9-2.

18. III Krav om beskyttet privatliv • Forutsetter at opplysninger om private/huslige forhold ikke spres til andre • Tiltak som ivaretar kravet: • Staffeloven § 390 ”offentlig meddelelse om huslige forhold” • Straffeloven § 390a ”ved plagsom opptreden krenke andres fred” • Pol § 26 reservasjonsregisteret • Markedsføringsloven

19. IV Krav om vern av individets identitetsbilde • Beskyttelse av egen oppfatning om seg selv • Fokuset er på individets evne til selv å bestemme over og beskytte hvordan det fremstår over for seg selv • Opplysninger fra andre til datasubjektet • Sammenliknet med konfidensialitet • Opplysninger fra andre til tredjeparter

20. Tiltak som kan ivareta individets identitetsbilde Eksempler: • Pol § 23 (1) c) • Opplysninger som det anses utilrådelig at den registrerte får kjennskap til • Forvaltningsloven § 19 (1) c) • Bioteknologiloven § 6a-1(4) og (5) • Begrenset adgang til å drive oppsøkende genetisk veilledning