Rundskriv

Hovednr. 83 - Lov om behandling av personopplysninger

Utarbeidet av Rikstrygdeverket Generelt kontor 15.01.01

Sist endret 17.03.2005.

Dokumentets innhold og struktur er i all hovedsak ny og endringene er derfor ikke markert i teksten

Personopplysningsloven

1. januar 2001 trådte lov om behandling av personopplysninger av 14. april 2000 nr. 31 i kraft og avløste personregisterloven av 1978. Loven gjelder for alle offentlige og private virksomheter som behandler personopplysninger. Formålet med loven er å beskytte den enkelte borger mot at personvernet blir krenket når vi behandler personopplysninger. Med behandling menes enhver bruk av personopplysninger, som for eksempel innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter.

En person eier opplysninger om seg selv, og må derfor gi tillatelse (samtykke) til registrering og bruk av opplysningene. Samtykke fra den registrerte er ikke nødvendig dersom behandlingen har hjemmel i lov. Personopplysningsloven pålegger imidlertid den som behandler opplysninger å informere den registrerte om hvordan opplysninger behandles og plikter å gi den registrerte rett til innsyn i hvilke opplysninger som behandles, hvordan de behandles og hvordan sikkerheten er ivaretatt.

Den behandlingsansvarlige må, for å ivareta sine plikter, utarbeide en beskrivelse av formålet med behandlingen, hvilke opplysninger som behandles, lagres og utleveres.

Dette rundskrivet vil spesielt skissere hvilke deler av loven som direkte berører trygdekontorene og andre enheter i etaten som mottar og lagrer personopplysninger. Hvilke forpliktelser de enkelte enhetene blir pålagt og hvordan forpliktelsene skal innfris. Vi går også nærmere inn på hvordan man skal forholde seg til publikum når de gjør krav i henhold til den nye loven gjeldende.

Loven regulerer kun opplysninger om fysiske personer, ikke opplysninger om juridiske personer (selskap/stiftelser og lignende). Det innebærer at loven ikke vil gjelde overfor trygdeetatens tjenesteleverandører, som for eksempel ortopediske verksteder. Opplysninger om disse vil verken være melde- eller konsesjonspliktige, og verkstedene har ikke de samme rettighetene som privatpersoner. Dersom det ortopediske verkstedet drives som et enkeltmannsforetak, vil imidlertid personopplysningsloven kunne komme til anvendelse. Opplysningene som behandles om verkstedet vil da kunne knyttes til en bestemt person.

Grunnkravene til behandling

Vilkårene for å behandle sensitive personopplysninger, så som helseopplysninger, er først og fremst knyttet til samtykke fra den registrerte eller hjemmel i lov.

Krav til hjemmel følger av lovens §§ 8 og 9, der det listes opp hvilke alternative hjemmelsgrunnlag som kan anvendes. I tillegg må behandlingen av opplysningene være i tråd med grunnkravene i § 11, som blant annet setter krav til formålsavgrensning.

Nærmere om kravene til samtykke

Kravet til samtykke er et grunnleggende element i personvernsammenheng. Hva som ligger i begrepet samtykke er nærmere definert i lovens § 2 nr. 7. Det skal være en frivillig, uttrykkelig og informert erklæring om at han eller hun godtar behandling av opplysninger om seg selv.

Stort sett har trygdeetaten lovhjemmel for de behandlinger vi foretar. Det forekommer imidlertid noen unntak der lovhjemmel mangler helt eller delvis og derfor må suppleres med et samtykke. Dette gjelder først og fremst i tilfeller der trygdeetaten gjennomfører brukerundersøkelser eller bidrar til forskningsprosjekter. Det vil også være tilfellet ved f.eks. kjøp av helsetjenester. Samtykke kan gis i forbindelse med utfylling av ulike skjema og blanketter eller på direkte forespørsel til medlemmet.

Bruk av opplysningene - formålsavgrensing

Selv om grunnvilkåret for å behandle opplysninger er oppfylt, kan det fortsatt være begrensninger i hvordan vi kan bruke opplysningene. Opplysningene skal være samlet inn til et uttrykkelig angitt formål, og ikke brukes til senere formål som er uforenelige med det opprinnelige formålet. Det innebærer at man må være nøye med å definere formålet med innsamling av opplysninger, slik at det ikke er tvil om hva opplysningene skal brukes til.

Formålet med trygdeetatens innsamling og behandling av opplysninger vil selvsagt variere fra behandling til behandling og må derfor vurderes konkret for hver behandling. Som eksempel kan nevnes at det å innhente opplysninger for å beregne, utbetale, kvalitetssikre og følge opp et vedtak om sykepenger kan være et formål — nærmere bestemt "forvaltning av sykepenger". Dersom vi senere benytter opplysningene ved behandling av en attføring- eller uføresak, anses dette ikke uforenelig med det opprinnelige formålet, da formålet med folketrygdloven er å gi stønad til livsopphold.

Loven krever at man ikke lagrer opplysningene lenger enn det som er nødvendig for å oppnå formålet. Man skal ikke ha opplysninger om noen lenger enn nødvendig, eller lenger enn hjemmelsgrunnlaget tilsier. Arkivlovens krav til lagring går generelt foran personopplysningsloven. Datatilsynet kan likevel pålegge sletting i konkrete tilfeller der registrerte opplysninger er særlig belastende for en personvernet til en enkeltperson. Regelverket for lagring og sletting av opplysninger er implementert i IKT‑systemene som behandler personopplysninger i etaten.

Den registrerte sine rettigheter

Generell informasjon

Trygdeetaten er pålagt en informasjonsplikt overfor den registrerte, plikten er knyttet til både generell og individuell informasjon. Enhver som ber om det skal få generell informasjon om hvilke behandlinger trygdeetaten foretar, uavhengig av om de er registrert eller ikke. Rikstrygdeverket har derfor utarbeidet generelt informasjonsmateriale som tilfredsstiller kravene i loven. Dette ligger på trygdeveven og finnes også i papirform.

Innsynsretten

Innsynsrett vil si at en person har krav på informasjon om bruk av opplysninger om seg selv i ulike sammenhenger. Rett til innsyn er utvidet og supplert med andre regler.

Medlemmenes rett til innsyn og kunnskap om hva trygdeetaten har av opplysninger om vedkommende, er avgjørende for de muligheter medlemmet har til å påvirke hvordan egne opplysninger behandles og eventuelt utøve andre rettigheter etter loven. Reglene i personopplysningsloven supplerer forvaltningsloven og offentlighetsloven og stiller spesielle krav til etaten.

Regelen åpner ikke for at man kan se opplysninger om andre enn seg selv. Opplysninger om andre personer som fremkommer i samme dokumentet må derfor anonymiseres.

Reglene om partsinnsyn etter forvaltningsloven vil ikke bli berørt av denne bestemmelsen. Kravene til hvem som kan kreve innsyn vil heller ikke bli berørt. Reglene om mindreåriges muligheter til innsyn vil derfor fortsatt følge de samme prinsipper som er lagt til grunn i rundskriv nr. 21 om forvaltningsloven § 13a nr. 1 og 2.

Det innebærer at dersom trygdekontoret får en forespørsel fra medlemmer om innsyn i hva trygdeetaten har registrert om dem, har trygdeetaten langvarig praksis for å gi innsyn i saksdokumentene etter bestemmelsene i forvaltningsloven. For også å imøtekomme retten til innsyn etter personopplysningslovens § 18 skal man automatisk spørre om det også er ønskelig med innsyn i det som eventuelt er registrert om vedkommende. En viktig systemstøtte for dette er rapporten G04 i Infotrygd, som kan bestilles fra trygdekontoret.

Krav om retting av personopplysningene

Den registrerte har krav på å få rettet opplysninger som er uriktige, ufullstendige eller som det ikke er adgang til å registrere. Dette kan skje når den registrerte ber om det eller etter trygdekontorets eget tiltak. Når trygdekontoret oppdager mangler ved registrerte opplysninger, er de forpliktet til å varsle f.eks. mottaker av opplysningen om dette for å begrense eventuelle skadevirkninger.

Retting skal i all hovedsak skje ved markering og supplering av riktige opplysninger. Medlemmet kan klage trygdekontorets vedtak om retting, eller avslag på retting, inn for Datatilsynet. Datatilsynet kan deretter pålegge trygdekontoret å rette, eventuelt slette eller sperre, opplysningene. Datatilsynets vedtak kan påklages til Personvernnemnda.

Klagebehandlingen er nærmere beskrevet nedenfor

Informasjon ved registrering

Trygdeetaten skal informere om en rekke forhold når man innhenter opplysninger fra den registrerte. Dette skal gi den registrerte mulighet til å forstå hva som skjer med opplysningene om en selv. Rikstrygdeverket anser den generelle informasjonen som er utarbeidet og gjort tilgjengelig for publikum, samt eksisterende informasjon på standardblankettene, i kombinasjon med publikums kunnskap om folketrygdloven, som tilstrekkelig informasjon.

Varsel ved innhenting av opplysninger fra andre kilder

I utgangspunktet skal den registrerte varsles dersom man innhenter opplysninger fra andre kilder enn den registrerte selv. Det er imidlertid ikke nødvendig å varsle dersom innsamlingen er hjemlet i lov. Rikstrygdeverket anser hjemlene i folketrygdloven som tilstrekkelig i denne forbindelse. Rikstrygdeverket har likevel bestemt at det av hensyn til personvernet skal varsles ved innhenting av opplysninger fra leger. Dette skal gjøres ved at den registrerte alltid får tilsendt kopi av brevet til legen.

Rettigheter i forbindelse med automatiserte avgjørelser

Dersom en avgjørelse fullt ut er basert på en automatisk behandling av personopplysninger kan den registrerte kreve dokumentasjon av regelinnholdet i datamaskinprogrammene, samt kreve at avgjørelsen blir overprøvd av en fysisk person. I trygdeetaten gjelder dette utbetaling av ordinær barnetrygd.

Svarfrister - formkrav

Trygdekontoret skal svare på henvendelser om innsyn eller generell informasjon så fort det lar seg gjøre, og senest innen 30 dager fra den dagen henvendelsen kom. Dersom dette er umulig skal det gis en tilbakemelding til vedkommende med en begrunnelse for forsinkelsen og et sannsynlig tidspunkt for når svar kan gis.

Den som henvender seg til etaten kan kreve at all informasjon skal skje skriftlig. Trygdekontoret kan også kreve at den registrerte leverer inn en skriftlig og undertegnet begjæring om innsyn.

Internkontroll

Loven pålegger trygdeetaten å etablere planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i loven, samt for å sikre personopplysningenes kvalitet. Rikstrygdeverket har etablert et internkontrollsystem. Internkontrollsystemet er et overordnet system som samler etatens policy for å ha kontroll på området. Internkontrollsystemet finnes på trygdeveven, og er en viktig del av trygdeetatens styrings- og kontrolltiltak.

Heftet "Informasjonssikkerhet, personvern og beredskap i trygdeetaten"

Alle ansatte, vikarer, konsulenter osv. skal få utdelt heftet "Informasjonssikkerhet, personvern og beredskap i trygdeetaten". Heftet tar for seg generell sikkerhetsproblematikk, og alle ansatte er forpliktet til å gjøre seg kjent med innholdet. Linjeleder er ansvarlig for utdeling av heftet. Heftet ligger også på trygdeveven. 

Meldeplikt § 31 og konsesjonsplikt § 33

Loven har regler om når behandlinger er meldepliktige til Datatilsynet, og når man eventuelt også må søke om konsesjon.

Trygdeetaten v/Rikstrygdeverket gir melding til Datatilsynet om hvordan vi generelt vil behandle personopplysninger før vi benytter personopplysninger i nye rutiner, IKT-systemer eller saksbehandlingsprosesser. Det er gitt unntak for enkelte områder i forskrift. For behandling av sensitive personopplysninger som ikke har konkret hjemmel i lov, kreves konsesjon (forhåndstillatelse fra Datatilsynet). Datatilsynet vil kontrollere at trygdeetaten følger lovens krav ved å komme på inspeksjoner.

Det er Rikstrygdeverket som tar seg av meldinger og konsesjonssøknader for de sentrale systemene. Opprettelse av lokale systemer, som brukerundersøkelser, forskningsprosjekter og lignende, skal følge etablerte rutiner. Spørsmål rettes til Generelt kontor i Familie- og Pensjonsdivisjonen.

 

 

Klagemulighetene

De registrertes rettigheter følger av personopplysningsloven. Dersom rettighetene helt eller delvis ikke kan innfris skal dette fremgå skriftlig fra trygdekontoret. Dette blir å betrakte som et enkeltvedtak som kan påklages etter reglene i forvaltningsloven.

Klageinstansen kan omgjøre eller opprettholde vedtaket. I de tilfellene trygdekontoret ikke tar klagen til følge skal saken oversendes fylkestrygdekontoret. Dersom fylkestrygdekontoret mener at vedtaket må stadfestes skal saken oversendes Rikstrygdeverket v/ Generelt kontor. Klagen skal i siste instans rettes til Datatilsynet, fordi Datatilsynet forvalter det aktuelle regelverket. Det er Rikstrygdeverket som forbereder saken for klagebehandling i Datatilsynet.

Klage på saksbehandling og enkeltvedtak knyttet til folketrygdloven skal rettes til fylkestrygdekontoret, på vanlig måte. I disse sakene er det fylkestrygdekontoret som er klageinstans.