TEST DEG SELV side 354

Lærebokas avsnitt om personvern er blant annet skrevet på grunnlag av personopplysningsloven av 14. april 2000. Denne loven blir erstattet av ny personopplysningslov av 15. juni 2018. Den nye loven består av to komponenter – en forordning fra EU om personvern i norsk oversettelse og en del med utfyllende regler for Norge. Loven trådte i kraft 20.juli 2018. Vi har satt løsningsforslag etter ny lovgivning inn i kursiv.

1. Hva menes med personopplysninger?

   Etter personopplysningsloven § 2 nr. 1 er personopplysninger opplysninger og vurderinger som kan knyttes til en enkeltperson. Det kan for eksempel være personnummeret, opplysninger om inntekt og formue og om straffbare forhold som en person er dømt for.

   I den nye personopplysningsloven av 2018 er personopplysninger definert slik i artikkel 4 nr. 1 (Forordningsdelen): «personopplysninger» enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.

   Definisjonen er meget vid. Med «enhver opplysning» siktes ikke bare til skrevne opplysninger, men også til film og bilder, for eksempel etter kameraovervåking.

2. Hva menes med behandling av personopplysninger?

   Etter personopplysningsloven § 2 nr. 2 er behandling av personopplysninger enhver bruk av personopplysninger. Det kan for eksempel være innsamling, registrering, sammenstilling, lagring og utlevering av personopplysninger.

   Den nye personopplysningsloven definerer «behandling» slik i artikkel 4 nr. 2 (Forordningsdelen):

   «behandling» enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.

   En skole som for eksempel kameraovervåker korridorene, behandler personopplysninger.

3. Hvilke prinsipper gjelder for behandling av personopplysninger?

   Følgende prinsipper gjelder:

   • Prinsippet om samtykke. Den som er registrert med personopplysninger, må samtykke, med mindre det er bestemt ved lov at det er adgang til å behandle opplysningene eller at behandlingen av enkelte andre grunner anses så nødvendig at samtykke eller lov ikke kreves. Se personopplysningsloven § 8.
   • Proporsjonalitetsprinsippet. Behandlingen må stå i rimelig forhold til formålet.
   • Prinsippet om et bestemt formål. Behandlingen må ha et saklig formål, jf. § 11.
   • Prinsippet om informasjon og innsyn. Se §§ 18 og 19.
   • Prinsippet om særlig sterkt vern mot behandling av sensitive opplysninger. Sensitive opplysninger er definert i § 2 nr. 8. (rase, etnisk bakgrunn, politisk holdning, religiøs oppfatning, straffbare forhold, helseforhold, seksuelle forhold). Vilkår for behandling av slike opplysninger går fram av § 9. Det kreves samtykke, hjemmel i lov, eller at behandlingen er spesielt nødvendig.

   Den nye personopplysningsloven trekker opp prinsippene for lovlig overvåking i artikkel 5 (Forordningsdelen). Bestemmelsen er ordrik og omfattende. Her kar vi laget en kortversjon:

   1. Personopplysninger skal
      1. behandles på en lovlig, rettferdig og åpent.
      2. samles inn for spesifikke, uttrykkelig angitte og berettigede formål.
      3. være adekvate, relevante og begrenset til det som er nødvendig for formålene.
      4. være korrekte og om nødvendig oppdaterte
      5. lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig
      6. behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene

      Disse prinsippene innebærer for eksempel at en skole må slette opptakene fra eventuell kameraovervåking innen rimelig tid slik at opplysningene ikke lagres lenger enn nødvendig (bokstav e). Betalingsanmerkninger i et kredittregister skal ikke registrere hudfarge eller etnisitet (bokstav b). Alle som er registrert skal ha krav på innsyn i hva som er registrert om dem (bokstav a), osv.

4. Hvilke samfunnsinteresser kan komme i konflikt med personvernet?

   Spørsmålet om personopplysninger kan behandles uten samtykke fra den registrerte, er avhengig av en avveining av samfunnsinteresser mot personverninteresser. Ofte er slik behandling en forutsetning for at forvaltningen kan utøve sin myndighet. Skatteetaten må for eksempel kunne behandle en rekke opplysninger uten å innhente samtykke for å kunne fungere effektivt. Et annet eksempel er at det ved tilsetting i bestemte stillinger kan kreves innsyn i strafferegisteret, se § 10.

   Ny personlov artikkel 6 (Forordningsdelen) om behandlingens lovlighet lyder slik:

   1. Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:
      1. den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål,
      2. behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse,
      3. behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige,
      4. behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser,
      5. behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
      6. behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.

   Nr. 1 bokstav f) får ikke anvendelse på behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver.

   Lovlig behandling av personopplysninger krever bare at ett av vilkårene er oppfylt. Behandlingen er for eksempel lovlig hvis den registrerte har samtykket til behandlingen. Hvis han eller hun ikke har gitt samtykke, vil vilkåret i bokstav e stå sentralt. Behandlingen må være nødvendig for å utføre en oppgave i allmenhetens interesse eller utøve pålagt offentlig myndighet.

   Bokstav f innebærer at lovlig behandling av personopplysninger forutsetter en avveining av de interesser som er knyttet til formålet med behandlingen og den registrertes interesser eller grunnleggende rettigheter og friheter. Ved kameraovervåking på en arbeidsplass må formålet tilsi at overvåkingsinteressene veier tyngre enn de ansattes rett til privatliv. I praksis innebærer dette at overvåkingen dekker et særlig behov for kontroll, for eksempel overvåking av et lokale der det telles penger, eller deler av et uteområde der det er fare for kriminelle handlinger.