Michael Tetzschner (Høyre), 2013-05-28:
Ofte oppfattes saker som viktige først når det er stor politisk uenighet og strid om dem. Jeg vil likevel si at personvernmeldingen er et av de viktigste dokumentene Stortinget får seg forelagt i denne sesjonen, selv om det er lavt konfliktnivå. Det er mye vi er enige om – det synes jeg er en styrke for personvernarbeidet. Vi ser denne stortingsmeldingen som en viktig anledning til å drøfte nærmere de foruroligende utviklingstrekk som kan svekke personvernet, og tiltak som kan gjøres for å bedre datasikkerhet og behandling av personlig data. Vi må dessverre konstatere at når det innføres ny teknologi eller igangsettes tiltak som innebærer behandling av personopplysninger, er det sjelden personvernhensynet som er i sentrum. En grunn til dette er at driverne av ny teknologi, de som ønsker å registrere opplysninger, ofte er praktisk orienterte sektorinteresser, som naturlig nok ser sine egne behov, men ikke tar hensyn til at andre sektorer gjør det samme. Dermed kan antallet registreringer i alle livets forhold til slutt bli overveldende, og da må det være en politisk oppgave å sette grensene. Meldingen er også en avrapportering til Stortinget om hvilke forslag fra Personvernkommisjonen som er fulgt opp eller tenkt fulgt opp. Regjeringen har valgt en noe mer generell tilnærming enn Personvernkommisjonens områdegjennomgang og vil heller snakke om generelle personvernprinsipper, mål og tiltak en kan tilpasse og bruke på personvernproblemstillinger uansett hvilket samfunnsområde det gjelder. Det er en forståelig systematikk hvis den gjennomføres konsekvent. En samlet komité har med litt forskjellige formuleringer gått inn for å grunnlovfeste personvernet. Det er gledelig, og forhåpentligvis blir det fulgt opp gjennom en større gjennomgang av menneskerettighetenes plass i Grunnloven. Men det er viktig at grunnlovfesting får noe mer enn en symbolsk betydning, den skal også ha materiell betydning. Personverninteressene vil kunne bli avveid mot andre rettslige normer av samme trinnhøyde, f.eks. avveiningen mot Grunnloven § 100 om ytringsfrihet, slik også systematikken er i Den europeiske menneskerettskonvensjonen, der vernebestemmelsen for privatlivet og ytringsfriheten er tatt inn som henholdsvis artikkel 8 og artikkel 10. Komiteen har merket seg med tilfredshet at regjeringen omtaler Personvernkommisjonens forslag om å avgrense tilgjengeligheten av ligningsopplysninger. Jeg skal kanskje avstå fra å minne for sterkt om hvem som var pådriverne i den saken, for det var lenge forsvar for å legge ut folks personlige økonomiske opplysninger i en underholdningskontekst – også et uttalt synspunkt fra regjeringen. Men vi kan konstatere at det er skjedd en fornuftig oppstramming av tilgjengeligheten her, som også tar bedre vare på personvernet. Komiteen har notert seg at det er kommet klargjørende forskrifter om arbeidsgivers innsyn i arbeidstakers epost. Vi har også merket oss at det er kommet en reservasjonsrett mot innsyn i den elektroniske pasientjournalen på tvers av institusjonene, og innsynsrett i tilgangsloggen ble innarbeidet i helseregisterloven 19. juni 2009. EU behandler for tiden nye regler om personopplysninger, og det ventes at nye bestemmelser vil ha betydning for den norske personvernlovgivningen. Det betyr at meldingen er avventende. Den vil avvente rettsutviklingen i EU før man selv vil oppdatere personopplysningsloven, og vi tar det til etterretning. Vi har også på plussiden merket oss at når det gjelder spørsmålet om sentrale elevregistre, er arbeidet ikke helt avsluttet, men vi ser i hvert fall frem til at det sluttføres med en rimelig sikkerhet for at elevdata blir forbeholdt det bruket elevdata er innsamlet for, og legger til grunn at elev- og studentopplysninger forvaltes uten utleveringsplikt til utenforstående, det være seg nysgjerrige eller næringsdrivende. Jeg har nå redegjort for det som er de samlende, felles synspunkter fra komiteen, og går litt over på å belyse de sidene som har vært særlig utdypet fra Høyres side, og som gledeligvis også har fått tilslutning fra en samlet opposisjon og i noen tilfeller hele komiteen. Mye av personverndiskusjonen dreier seg om hvilken terskel vi aksepterer for registrering. Det betyr at registrering skal begrunnes i et legalt behandlingsformål. Sektororganiseringer i staten innebærer at det er langt flere instanser som til enhver tid vil argumentere for mer registrering av personopplysninger for sine formål, enn de instanser – i praksis ofte bare Datatilsynet – som tar til orde for alternativer, som advarer mot formålsutglidning, som er kritiske til sammenkobling av eksisterende registre, og som i det hele utgjør en modererende stemme i koret av krav om flere opplysninger om borgerne. Mye av sektorlovgivningen viser at sektororganene ikke selv klarer å avveie personvernhensyn mot påståtte nyttehensyn. Jeg mener det bør overveies om ikke Justis- og beredskapsdepartementet skal ha det endelige ansvaret for å fremme lover initiert av sektordepartementene, hvor personvernhensyn er motstående hensyn til de praktiske nytteformål som begrunner inngrep i personvernet. Et eksempel på et dilemma mellom sektorlovgivning og denne generelle meldingen hvor det er stor enighet, er at mens vi har jobbet med meldingen i komiteen, har det kommet to lover som impliserer dilemmaer når det gjelder personvernet. Jeg tenker på ekomloven og lov om endringer i folketrygdloven, som gjaldt særlig misbruk av velferdsordninger, hvilket ingen er imot, i og for seg. Hvis man leser de lovene, ser man at de ikke har noen overbevisende avveining eller drøftelse av personvernhensyn. Der er det nyttehensynene, kontrollmulighetene, som råder grunnen alene. Høyre mener det er viktig å foreta grundige avveininger mellom hensynet til personvern og behovet for å avdekke og forebygge trygdemisbruk. Det er særlig forslag i ulike sammenhenger om registersamkjøring som kan reise denne problemstillingen. Et av prinsippene for personvern er at behandling av personopplysninger først og fremst skal være basert på frivillig, uttrykkelig og informert samtykke. I tilfeller hvor det ikke er praktisk eller mulig, må det foreligge et annet rettslig grunnlag. Vi mener det er avgjørende at departementet gjennom utforming av forskrift tar tilstrekkelig hensyn til personvernet, og vi vil altså følge alle forslag som kommer i særlovgivningen meget nøye. Sammenstilte masseregistre i andre land har også åpnet for uspesifiserte søk på befolkningskategorier hvor individet tildeles en score rangert ut fra en antatt normaladferd, hvoretter individer som stikker seg ut, blir gjenstand for særskilt kontroll. Forvaltningseksperter har pekt på at en slik etterretningsanalyse rettet uspesifisert mot egne borgere uten konkret mistanke, og utenom særhjemmelen som finnes for å beskytte rikets sikkerhet m.m., bryter med prinsippet om informasjon og aktinnsikt. Høyre vil understreke at det er et lovgiveransvar på ethvert tidspunkt å vurdere utbredelsen av slike metoder, og at en slik praksis som beskrevet ovenfor, i henhold til legalitetsprinsippet alltid vil kreve klar lovgivning. Behovet for kontroll med generøse velferdsordninger i andre land har begrunnet analyse- og etterretningsvirksomhet rettet mot egne borgere – både uten konkret mistanke og med anonyme tips som eneste grunnlag. Spørsmålet er om vi vil bringe samfunnet videre i denne retningen. Men det finnes alternativer. Blant annet kan man si at hvis du mottar en ytelse fra det offentlige, har du også skrevet under på at du må finne deg i – i hvert fall samtykke som et vilkår for ytelsen – å bli kontrollert når det gjelder de opplysningene du har gitt. Man må stå inne for de opplysningene man har gitt, og man må på forhånd være klar over at det er en del av betingelsene for å få ytelsen. En slik klargjøring vil faktisk også forebygge – og det er jo det vi politikere er veldig opptatt av – fristelser og brudd på prinsippene for å motta ytelsene. Det er jo et langt bedre og mer skånsomt kontrollregime enn å overrumple brukerne i ettertid med de tekniske mulighetene som ingen kunne forutse at man faktisk hadde. To viktige prinsipper gjør seg gjeldende for behandling av personopplysninger. Det er formålsbestemthet og proporsjonalitet. Ved registersamkjøring vil opplysninger samlet inn til andre formål brukes til kontroll, noe som faktisk kan være betenkelig. Samtidig er det ikke urimelig at offentlige myndigheter har anledning til å sjekke reell og faktisk informasjon når en person søker om en ytelse, som jeg var inne på. Personopplysningsloven tillater heller ikke at opplysninger lagres lenger enn nødvendig for å gjennomføre formålet med behandlingen. Ofte argumenteres det med at man ønsker å oppbevare opplysningene fordi de kanskje kan gjøre nytte senere, men uten at man har klart for seg hva opplysningene skal brukes til. I tillegg til at manglende sletting som regel vil være et brudd på personopplysningsloven, øker det også faren for at opplysningene senere kan brukes til andre formål som er uforenlige med det opprinnelige. Også passivitet – først og fremst det å ikke slette når formålet er oppfylt eller bortfalt – er nok til å overtre en rekke bestemmelser i personopplysningsloven, og vi må innrømme at oppdagelsesrisikoen for dette er forholdsvis begrenset. Derfor er kunnskaper om prinsippene vesentlig for alle de behandlingsansvarlige. Sammen med publikums innsynsrett i hva som er lagret, og hvilke muligheter for sletting som eksisterer, er de meget viktige. Om man ikke får slettet opplysningene, må man i hvert fall få anledning til å rette opplysninger som er uriktige. Vi har en tendens til å behandle personvernspørsmål bare som en side ved datasikkerhet, men la det være nevnt at også offentlig sektors omgang med enkeltmenneskers personopplysninger i manuelle registre eller papirregistre i enkelte sammenhenger har vært svært risikabel. Det er spørsmål om å diskutere personopplysninger mye videre enn bare knyttet til dataløsninger. Derfor hadde vi også sett for oss at man i større grad hadde lovfestet det som i andre land kalles forholdsmessighetsprinsipper, og som noen forvaltningsjurister i Norge har prøvd å utvikle teorier om. Det går i korthet ut på at det alltid skal være et rimelig forhold mellom mål og midler. Det skal stilles en rekke krav på veien for å anse prinsippet som tilfredsstilt. For det første må de inngrep som iverksettes, tilfredsstille kravet til egnethet. Det er for å sikre at de inngrep som gjøres for å nå de oppgitte, samfunnsmessige mål, tilsvarer deres betydning. Det er ingen grunn til at noen skal tåle dårligere personvern, uten at noe vesentlig er oppnådd på samfunnets hånd. Det stilles altså et krav om en særskilt vurdering av om inngrepet er avpasset i forhold til formålets betydning. I EU-domstolens praksis etter årtusenskiftet er man gått over fra å benytte kriteriet hensiktsmessighet til en drøftelse av virkemiddelets egnethet. At kravet til avveiningsrimelighet skal være gjennomgående, er formulert slik av domstolen: «Hvis det er mulighet for å velge mellom flere egnede tiltak, skal det minst inngripende middel velges, og inngrepet må til slutt ikke fremstå uforholdsmessig i forholdet til de tilsiktede formål.» Kravet til nødvendighet er et integrert prinsipp i behandlingsgrunnlaget i personopplysningsloven. Kravet om nødvendighet er ett av tre underprinsipper for å oppfylle et mer overordnet forholdsmessighetskrav. Så er det viktig å ha klart for seg at dette forholdsmessighetsprinsippet ikke bare gjelder på personvernrettens område, men at det også burde bli en integrert del av hele det fundamentet som forvaltningsretten står på. For dette er et viktig prinsipp å få gjennomslag for også når det gjelder andre inngrep enn det å registrere folks opplysninger. På noen punkter skulle vi ønsket oss at meldingen hadde vært mer utdypende. Blant annet vil opposisjonen peke på at meldingen burde drøftet gjenbruksproblematikken grundigere. En samlet komité har også pekt på at det i grunnprinsippet for lagring av opplysninger som kan knyttes til enkeltpersoner, ligger en begrensning i formålet med registreringen. Gjenbruk av opplysninger er derfor i utgangspunktet det samme som bruk av opplysninger ut over de normale grenser som personvernet setter. Det må derfor avklares nærmere på hvilket grunnlag en skal kunne tillate dette. Plikten til å vurdere personvernkonsekvenser for den enkelte gjelder like mye, enten det gjelder primærbruk eller gjenbruk av opplysninger. Så la meg avslutte med å ta opp forslaget der vi ber regjeringen utrede hvilke implikasjoner det har hatt, at man har hatt FRA-loven i Sverige.