10 ting næringsdrivende og arbeidsgivere bør vite om personvern

10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven Av advokat Erik Børresen eb@advtofte.no

Erik Børresen er advokat og par tner i Advokatfirma Tofte DA, Sørlandets ledende advokatfirma. Han arbeider med informasjonsrett, arbeidsrett og familierett. Han bistår også med eiendomstransaksjoner både for private og for næringsdrivende.

1. HVA ER PERSONVERN? Personvern er ikke et klart definert begrep. Det anses normalt å omfatte ivaretakelse av personlig integritet, mulighet for privatliv, selvbestemmelse og selvutfoldelse. Personvern kan stå i et motsetningsforhold til andre viktige prinsipper, som ytringsfrihet eller offentlighet i rettspleien.

Enhver kan for eksempel følge rettssaker som går for norske domstoler, men det er også begrensninger i denne retten. Rettssaker om barnefordeling går for lukkede dører på grunn av personvernet til partene i saken. Publikum kan derfor ikke overvære disse.

Personvern handler også om vår egen kontroll med opplysninger om oss selv. Slik samfunnet har utviklet seg, har dette blitt mer og mer vanskelig.

Det samles inn store mengder data om oss – alt fra hva vi foretar oss på nett, til hvor vi kjører bilen, og hva vi handler på butikken.

Google og Facebook er eksempler på aktører som lagrer store mengder data om oss. Dette er informasjon som også i stor grad er tilgjengelig for oss på nett. Er det først lagt ut informasjon på nettet, kan det være vanskelig å få bort den informasjonen senere. Uttrykket ”big data” omhandler slik innsamling av enorme mengder data som stiller store krav til lagring, analyse og bruk. Slik innsamling åpner nye dører for forskning,

trendanalyser og markedsføring, men kan være problematisk for personvernet.

USAs datasnokingsskandale har satt slik informasjonsinnsamling i et nytt lys. Advokat Elden mener f.eks. at han mistet sitt visum til USA som følge av sin dialog med en klient på Facebook.

Facebook mener selv at de med stor grad av sikkerhet kan forutse en fremtidig skilsmisse ved bruk av den informasjonen de sitter på om deg, sammenholdt med all informasjon til øvrige brukere. Dersom du har søkt etter informasjon om et produkt på nett, vil du oppleve at reklamen på nettsider du besøker, gjelder nettopp slike produkter. Dette skyldes at du legger igjen spor på nettet som lagres og sammenstilles og deretter benyttes kommersielt.

I Norge har vi mange rettsregler som regulerer personvernet. Grunnloven § 102 første punktum gir de overordnede retningslinjer for personvern i Norge og lyder: ”Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. ” Dette grunnleggende utgangspunktet gjennomsyrer vårt lovverk. Vi har regler om politiets rett til å foreta ransakelser, kommunikasjonskontroll, om bruk av videoovervåking, lagring av informasjon om kunder og ansatte, om taushetsplikt

10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven

1

i forvaltningen og for bestemte yrkesgrupper mv. Alle disse reglene er utslag av at man anser personvern som viktig.

Personopplysningsloven er en sentral lov på dette området, og den regulerer behandling av personopplysninger. Lovens formål er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger. Den skal ivareta grunnleggende personvernhensyn, som behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplys-

ninger. Dette er regler som er svært viktige, men som mange nok ikke i tilstrekkelig grad er kjent med eller tar inn over seg i sitt daglige virke.

Reglene i denne loven gjelder for de aller fleste virksomheter i Norge i dag.

Likevel er det nok mange som mener at personvern er noe som ikke er så viktig eller bare brysomt. Gjør det noe om noen har lagret noe om deg som de kanskje ikke har lov til? Gjør det noe om vi har liggende de gamle kundelistene våre selv om personene kanskje ikke er kunder

Grunnloven § 102 første punktum gir de overordnede retningslinjer for personvern i Norge og lyder : “Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon.”

2 10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven

lenger? Behøver vi å ha regler om telefonsalg til privatpersoner? Gjør det noe om vi beholder kopi av e-post fra tidligere ansatte etter at de har sluttet? Er det i orden å filme naboen fra en kameradrone og legge filmen ut på Internett?

I en straffesak vil man for eksempel i noen tilfeller bruke opplysninger om hvor en mobiltelefon har befunnet seg, som bevis, og mange tenker at dette er uproblematisk. Et slikt ”bevis” sier egentlig bare at et sim-kort har vært i en telefon i et nærmere angitt område på et bestemt tidspunkt. Flere personer kan ha vært i samme område og derved bli ”mistenkt” blant annet basert på slike opplysninger. Dette kan, dersom vilkårene for øvrig er oppfylt, medføre ransaking, avhør og kanskje varetektsfengsling.

Det er både ubehagelig og kan skape problemer for de som utsettes for dette. Vedkommende kan bli navngitt i media, og nærmiljøet vil fort forstå at vedkommende er mistenkt for den aktuelle handlingen.

Det er sammenstillingen av informasjonen som gjør at det har bevisverdi, og som samlet sett også gjør det problematisk dersom vi ikke har retningslinjer for lagring. Det er snart ikke lenger mulig å ha et privatliv – alle kan finne ut svært mye om oss ved å foreta enkle søk på nettet. De store leverandørene sammenstiller informasjon fra mange ulike aktører og gir et totalbilde av en person, uten at det er noen garantier for at informasjonen er korrekt.

Ved alvorlig kriminalitet eller terrorisme er det mange som mener at vi må finne oss i å bli mistenkeliggjort for å beskytte samfunnet. Det er lett å bevise sin uskyld dersom man ikke har gjort noe galt, mener noen. Andre mener at man skal være forsiktig med å benytte personopplysninger på en slik måte. Det finnes ingen

universale svar på dette, men man må forholde seg til de rettsregler som gjelder i Norge om dette i dag.

Utfordringen er ofte at det som kan fremstå som uproblematisk for noen, er vanskelig å akseptere for andre. Vi har alle ulike grenser for hvor nær vi ønsker at andre skal komme, og hvor mye de skal vite om oss. I tillegg er det vanskelig å forutse hvordan personopplysningene andre har lagret, vil påvirke oss i fremtiden.

I det følgende vil jeg behandle den delen av personvernet som knytter seg til personopplysninger.

2. HVA ER PERSONOPPLYSNINGER? Dette begrepet er sentralt for å forstå personvern og når personopplysningsloven får anvendelse. Personopplysninger er langt mer enn et navn, en adresse eller et fødselsnummer. En personopplysning er enhver informasjon som kan knyttes til én eller flere bestemte personer.

Personopplysningsloven definerer personopplysning som opplysninger og vurderinger som kan knyttes til en enkeltperson. Dette kan være informasjon som er knyttet til et navn eller et fødselsnummer, men også informasjon om telefonnummer, bilnummer, film eller fotografi som avbilder en person, fingeravtrykk eller annen informasjon som kan knyttes til en person.

Et praktisk eksempel er e-post. En e-post vil normalt inneholde et navn enten på avsender eller mottaker, og derved vil innholdet defineres som personopplysninger. Et kundearkiv, en pasientjournal, en bærbar PC eller en mobiltelefon vil også inneholde personopplysninger.

Det er vanskelig å tenke seg næringsvirksomhet som ikke behandler personopplysninger slik som angitt i personopplysningsloven.

10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven 3

3. NÅR GJELDER PERSONOPPLYSNINGSLOVEN? Personopplysningsloven gjelder behandling av personopplysninger som skjer ved elektroniske hjelpemidler og annen behandling av personopplysninger når disse skal brukes i et personregister. Med behandling menes enhver bruk, innsamling, lagring, registrering, sammenstilling og utlevering. Med andre ord vil alle næringsdrivende som har en datamaskin, mobiltelefon e.l., være underlagt personopplysningsloven.

4. FORMÅLSBETRAKTNINGER VED INNSAMLING OG BRUK AV PERSONOPPLYSNINGER Et bærende prinsipp i personopplysningsloven er at personopplysningene bare kan benyttes i samsvar med det formålet de er samlet inn for.

Dette følger av personopplysningsloven § 11 bokstav b) – e) og annet ledd. Dette setter klare begrensninger for hvordan informasjonen kan benyttes og lagres. Bruk som ikke er i samsvar med formålet, er ikke tillatt.

Flere bedrifter har tatt i bruk GPS-systemer i sine kjøretøy for å effektivisere driften av virksomheten. Høyesterett kom i 2013 til at sammenstilling av GPS-data med timelister for å kontrollere om en ansatt hadde fått overtidsbetaling ulovlig, ikke var i samsvar med formålet med innsamlingen. Slik bruk var derfor i strid med personopplysningsloven. Det var et sentralt

moment i vurderingen til Høyesterett at den ansatte ikke var blitt godt nok informert om at opplysningene kunne benyttes til slik kontroll, og at det derfor manglet samtykke fra den ansatte til dette.

Blodprøver innlevert til medisinsk forskning, kan ikke senere benyttes til å avdekke alvorlig kriminalitet. Det er mange gode grunner til at man skulle kunne benytte slik informasjon f.eks. der hvor man har DNA til en ellers ukjent person som man med stor grad av sikkerhet mener vil begå terrorisme. Ved bruk av slike helseopplysninger vil man kunne finne ut hvem denne personen er, og derved stanse handlingen. Dette er likevel ansett som så problematisk at det ikke er tillatt i Norge. Dersom man aksepterer at man benytter personopplysningene til annet enn det formål de er samlet inn for, vil det for eksempel medføre at man avstår fra å delta i medisinsk forskning. Det er også viktig at man med rimelig grad av sikkerhet vet hva personopplysningene vil bli brukt til i fremtiden.

Personopplysningsloven definerer personopplysninger som opplysninger og vurderinger som kan knyttes til en enkeltperson.

4 10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven

5. HVORDAN SKAL VI FORHOLDE OSS TIL PERSONOPPLYSNINGSLOVEN? Personopplysningsloven setter klare begrensninger for hva en næringsdrivende kan gjøre med personopplysninger i sin virksomhet.

Det finnes også eksempler på det motsatte.

Høyesterett har akseptert at fotobevis ervervet ved automatisk trafikkontroll, også brukes som bevis for andre forhold enn fartsovertredelse (som er formålet med innsamlingen). Høyesterett har akseptert at bilde fra fotoboks ble brukt som bevis for bilbrukstyveri – vedkommende som var avbildet, hadde stjålet bilen han ble avbildet i. Høyesterett mente av bildet var fremskaffet på lovlig måte, det var varslet med skilt, og overtrederen hadde selv kontroll på om det ble tatt bilde eller ikke. Derfor ble dette tillatt, selv om det ikke var i samsvar med formålet.

Dette prinsippet gjelder for alle som behandler personopplysninger. Det er derfor viktig å tenke gjennom hva opplysningene skal brukes til når de samles inn, og at det gis tilstrekkelig med informasjon slik at man kan benytte informasjonen som tiltenkt senere. Når informasjonen først er samlet inn, må man eventuelt innhente samtykke fra den registrerte for å kunne benytte informasjonen til et annet formål.

Man skal også være oppmerksom på at opplysningene ikke kan lagres lenger enn formålet med innsamlingen tilsier. Dersom man innhenter fødselsnummer for å foreta kredittsjekk, så skal fødselsnummeret slettes etterpå, selv om personen blir registrert som kunde og fødselsnummeret da vil gi en entydig og god identifikasjon av vedkommende.

Personopplysninger kan bare behandles dersom den registrerte har samtykket, det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for å oppfylle en avtale med den registrerte, eller bruken er i samsvar med de øvrige formål som fremkommer av personopplysningsloven § 8. Dersom det er sensitive personopplysninger som skal behandles, stilles særskilte krav i personopplysningslovens § 9. Det er også egne krav for bruk av fødselsnummer.

Alle som er underlagt personopplysningsloven, skal ha en behandlingsansvarlig. Det innebærer at alle som driver næringsvirksomhet, skal ha en behandlingsansvarlig. Denne personen skal sørge for at personopplysninger bare behandles når dette er tillatt, at opplysningene benyttes til angitt formål, at de er tilstrekkelige og relevante for formålet, at opplysningene er korrekte og oppdatert og ikke oppbevares lenger enn nødvendig.

Den behandlingsansvarlige skal etablere og vedlikeholde et internkontrollsystem som skal være dokumentert og tilgjengelig. Dette kan gjerne gjøres som del av HMS-arbeidet i bedriften etter internkontrollforskriften til blant annet arbeidsmiljøloven. Det sentrale er at man har et bevisst forhold til behandling av personopplysninger, og at behandlingen er i samsvar med reglene i personopplysningsloven. Virksomheten skal lage en oversikt over personopplysninger som behandles etter personopplysningsforskriftens § 2-4. En risiko- og sårbarhetsanalyse bør også lages.

10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven 5

Det finnes en rekke bestemmelser i personopplysningsloven som det vil føre for langt å gå inn på her. Det viktige er å være oppmerksom på at dersom man skal samle inn eller behandle personopplysninger, så må man kontrollere hva man har lov til å gjøre i medhold av personopplysningsloven og personopplysningsforskriften.

Et praktisk eksempel er arbeidsgivers innsyn i ansattes e-post. Hva gjør man når en ansatt blir langvarig syk og man har behov for tilgang til vedkommendes e-post?

Det er egne regler om dette i personopplysningsforskriften. Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post i en arbeidstakers e-postkasse dersom det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten, eller ved begrunnet mistanke om at arbeidstakers bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed. Det er en rekke prosedyrer som skal følges ved innsyn, herunder at arbeidstaker så langt som mulig skal varsles og har rett til å uttale seg før arbeidsgiver gjennomfører innsyn. Advokat Jon Arne Østvik har skrevet nærmere om dette i en egen artikkel i denne utgaven av Eurojuris Informerer.

Datatilsynet fører tilsyn med loven. De kan føre tilsyn der det finnes personopplysninger, og kreve å få tilgang til informasjon. Overtredelse av loven kan medføre overtredelsesgebyr, pålegg om endring eller opphør og tvangsmulkt inntil pålegget er gjennomført. Overtredelse er også straffesanksjonert med bøter eller fengsel i inntil ett år. Det er også lovfestet erstatningsansvar for økonomisk tap som er påført som følge av ulovlige handlinger.

6. MELDEPLIKT OG KONSESJON Det er regler om både meldeplikt og konsesjonsplikt etter personopplysningsloven.

Hovedregelen etter personopplysningsloven § 31 er meldeplikt. Behandlingsansvarlig skal gi melding til Datatilsynet minst 30 dager før behandling av personopplysninger med elektroniske hjelpemidler eller ved opprettelse av manuelt personregister som inneholder sensitive personopplysninger.

Meldingen må fornyes hvert tredje år.

Det er en rekke praktiske unntak fra denne meldeplikten inntatt i personopplysningsforskriften. Den viktigste er kanskje personopplysninger om kunder, abonnenter og leverandører forutsatt at opplysningene behandles som ledd i administrasjon og gjennomføring av kontraktsforpliktelser. Opplysninger ved eie eller leie av fast eiendom, aksjebøker etter aksje- og allmennaksjeloven, personalregistre (på visse vilkår) og aktivitetslogg i datanett (på visse vilkår) er også unntatt. Opplysningene kan ikke brukes til andre formål senere.

Det kreves konsesjon for behandling av sensitive personopplysninger, samt for teletjenester, forsikring og bank- og finansinstitusjoner. Dette følger av personopplysningsforskriften. De dette angår, er normalt godt kjent med disse reglene.

Det finnes også andre unntak fra disse reglene.

Det viktigste unntaket gjelder der den registrerte har samtykket og opplysningene er nødvendige for gjennomføringen av en kontraktsforpliktelse.

Generelt anbefales å melde behandling av personopplysninger til Datatilsynet dersom man er i tvil.

Det er lite arbeid forbundet med dette, og konsekvensen er bare at man kommer i Datatilsynets liste over foretak som har overholdt meldeplikten.

6 10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven

7. INNSYN OG INFORMASJONSPLIKT Enhver som ber om det, har rett til å få vite hva slags behandling av personopplysninger som foretas, og kan kreve en rekke opplysninger fra registeret. Dette gjelder uavhengig av om vedkommende selv er registrert. Dette gjelder blant annet hva slags type personopplysninger som behandles, hvor opplysningene hentes fra, og om opplysningene vil bli utlevert. Dette følger av personopplysningsloven § 18. Man skal altså kunne vite hvordan personopplysningene blir brukt, før man gir opplysningene fra seg. Dersom den som ber om opplysninger, også er registrert, skal det i tillegg opplyses hvilke opplysninger om den registrerte som behandles, og sikkerhetstiltakene ved behandlingen.

Loven spesifiserer ikke hvordan disse opplysningene skal gis. Datatilsynet anbefaler at det utarbeides en personvernerklæring som legges ut på den næringsdrivendes nettsider. Den bør inneholde opplysningene som fremgår av personopplysningsloven § 18. En slik erklæring kan også inneholde opplysninger om bruk av informasjonskapsler (cookies). Dette er lovpålagt etter ekomloven § 2-7b. Den kan også inneholde øvrig informasjon om hvem som driver nettstedet, herunder firmanavn, adresse og organisasjonsnummer. Dette er også lovpålagt og vil gjøre det enklere å finne ut hvem som står bak nettstedet. Slik vil informasjonen være samlet på ett sted.

Når det samles inn informasjon, skal det gis informasjon til den registrerte om navn og adresse på den behandlingsansvarlige, formålet med behandlingen, om opplysningene vil bli utlevert, og eventuelt til hvem, at det er frivillig å gi fra seg opplysningene, og annen informasjon som gjør den registrerte i stand til å bruke sine rettigheter etter loven.

8. HAR DU LOV TIL Å BRUKE SKYTJENESTER TIL LAGRING AV PERSONOPPLYSNINGER? Det er egne regler om overføring av personopplysninger til utlandet. Reglene skiller mellom ”trygge land” og resten av verden. Overføring av personopplysninger til tredjeland som ikke har et tilfredsstillende beskyttelsesnivå, krever at mottaker av opplysningene er en databehandler, og at grunnlaget for overføringen er EUs standardkontrakt inntatt i kommisjonsbeslutning 2010/87/EU datert 5. februar 2010, eller at Datatilsynet forhåndsgodkjenner overføringen.

Med tredjeland menes alle land som ikke har gjennomført direktiv 95/46/EF, og som heller ikke er godkjent ved EU-kommisjonsbeslutning.

Disse reglene kan ha betydning for flere. Dersom man ikke har egne servere for lagring av data eller e-post, må man forsikre seg om at dataene ikke eksporteres til utlandet i strid med reglene.

Skytjenester er lagringstjenester på nettet som lar deg lagre og hente ut dine data via Internett.

Du trenger ikke å ha informasjonen lagret på eget datautstyr og kan derfor enkelt få tilgang til informasjonen uavhengig av hvor du er, og hva slags utstyr du benytter. Eksempler på slike skytjenester er Gmail, Dropbox, GoogleDocs og Telenor Min Sky. Skytjenester fra store internasjonale aktører vil kunne ligge på ulike plasser i verden. I Danmark foreligger en avgjørelse om at advokater ikke kan benytte Dropbox til lagring av klientinformasjon fordi slik lagring er i strid med eksportforbudet i den danske personopplysningsloven. Noe av bakgrunnen for dette er at man ikke vet hvor Dropbox lagrer sine data.

Det er også slik at mange av disse systemene ikke sletter data, selv om brukeren ber om det.

10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven 7

På Dropbox kan man for eksempel hente frem igjen slettede filer, noe som kan være i strid med personopplysningsloven § 11 første ledd bokstav e siste alternativ.

Etter at det ble kjent at USA i stor utstrekning har fått tilgang til slike datasystemer, har mange blitt særlig oppmerksomme på de utfordringer det er å lagre personopplysninger på slike nettbaserte systemer. Det er grunn til å anta at det fortsatt vil være stort fokus på dette fremover.

Det er også slik at det finnes særlovgivning som forbyr slik lagring i utlandet. Arkivlova har for eksempel forbud mot overføring av arkivmateriale til utlandet.

9. SÆRSKILT OM PUBLISERING AV BILDER AV PERSONER I den private sfære er publisering av bilder ofte et omdiskutert tema. Reglene er imidlertid klare: I utgangspunktet er det ikke tillatt å publisere bilder av personer uten samtykke fra den avbildede. Reglene om dette følger både av personopplysningsloven og av åndsverksloven. Det er særlig åndsverkslovens bestemmelse i § 45 c som trekkes frem når det er tale om bilder, men et fotografi av en person er også å regne som personopplysning etter personopplysningsloven.

For alle praktiske formål må derfor en bedrift ha samtykke fra ansatte, kunder e.l. før de publiserer bilder av personer, enten dette er på bedriftens nettside, i brosjyrer eller på Facebook.

skal medarbeidere pålegges taushetsplikt der hvor konfidensialitet er nødvendig. Det er den behandlingsansvarlige som skal påse dette.

Normalt vil det også være i strid med formålet ved innsamlingen av personopplysninger å gi tilgang til opplysningene for andre. Det innebærer at det også ut fra formålsbetraktninger vil påligge en taushetsplikt for alle som behandler personopplysninger.

Spesiallovgivningen har også en rekke krav til taushetsplikt som vil komme i tillegg til reglene i personopplysningsloven. Dette gjelder i stor utstrekning offentlige virksomheter, men også private virksomheter som inkassovirksomhet, banker, privatskoler, barnehager, eiendomsmeglere, regnskapsførere, teleselskaper mv.

Den behandlingsansvarlige skal også sørge for sikring mot uautorisert tilgang. Dette innebærer beskyttelse med passord og eventuelt fysisk med avlåsing. Overføring av informasjon elektronisk skal krypteres eller sikres på annen måte når konfidensialitet er nødvendig. Det er da viktig at også sikkerhetskopier skal sikres på tilstrekkelig måte. Alle kravene til informasjonssikkerhet etter forskriften skal dokumenteres og bør inngå i internkontrolldokumentasjonen til den næringsdrivende.

10. TAUSHETSPLIKT OG SIKRING AV PERSONOPPLYSNINGER Personopplysningsloven har ingen uttrykkelig bestemmelse om taushetsplikt. Personopplysningsforskriften § 2-9 har en bestemmelse om taushetsplikt. Etter denne bestemmelsen 8 10 ting næringsdrivende og arbeidsgivere bør vite om personvern og personopplysningsloven