Datatilsynet anmeldte i 2005 flere virksomheter til politiet for brudd på personopplysningsloven enn noen gang tidligere. Så lenge personopplysningsloven var helt ny, var Datatilsynet tilbakeholdent med å anmelde virksomheter. Tilsynet ønsket at virksomhetene skulle få noe rom for å tilpasse seg loven. I 2005 er det imidlertid gått fire år etter lovens ikrafttreden, og alle overgangsperioder er løpt ut for lenge siden. I mellomtiden har Datatilsynet gjennom informasjonstiltak og tilsyn lagt stor vekt på å opplyse om lovens krav.
I meldingsåret avdekket Datatilsynet flere saker som fremsto som svært alvorlige brudd på personopplysningsloven. Det ville gitt en negativ signaleffekt dersom tilsynet lot virksomhetene slippe lett fra såpass alvorlige brudd på loven.
Ansatte var ikke varslet om innsyn i e-post
Datatilsynets anmeldelse av Redningsselskapet og AS Vinmonopolet knyttet til urettmessig innsyn i e-post har vakt stor medieoppmerksomhet det siste året. Datatilsynet bestemte, etter å ha mottatt diverse klager på selskapene, å foreta stedlig tilsyn for å avdekke om virksomhetene hadde foretatt innsyn i e-post i strid med personopplysningsloven. Dette ble bekreftet under tilsynene.
Informasjonsplikten kommer til uttrykk i personverndirektivet (Europaparlaments- og rådsdirektiv 96/46/EF). Direktivet styrker den enkeltes personvern og rettssikkerhet gjennom å gi den registrerte rettigheter, og gjennom å gi brukere av andres personopplysninger en rekke plikter. Informasjonsplikten skal gi den registrerte kunnskap slik at han eller hun skal kunne benytte seg av sine rettigheter.
I begge disse sakene har innsynet bevisst blitt foretatt uten forutgående informasjon til de berørte. Informasjonen ble først gitt lang tid i etterkant. De registrerte ble på denne måten fratatt muligheten til å komme med sine innvendinger, og hadde heller ingen muligheter til å utøve sine rettigheter etter loven. Sakene er nå til behandling hos henholdsvis Asker og Bærum og Oslo politidistrikt.
I kjølvannet av disse to anmeldelsene har Datatilsynet mottatt svært mange henvendelser knyttet til samme problemstilling. Det er gjennomført flere tilsyn på bakgrunn av henvendelsene. I tre tilfeller er det avdekket såpass alvorlige brudd på informasjonsplikten at Datatilsynet har varslet virksomhetene om at det vurderer å anmelde forholdet. Det var ikke tatt endelig standpunkt til dette ved utløpet av meldingsåret.
Flåtestyring – overvåking av arbeidstaker i bil
Ved montering av GPS-systemer i biler, samt bruk av data fra fartsskrivere, kan flere ansatte nå overvåkes uten at arbeidsgiveren behøver å være tilstede. Flere arbeidstakere har kontaktet Datatilsynet og fortalt at de finner dette belastende. Arbeidsgiverne anfører at data hentet fra fartsskrivere er deres eiendom, og at det er uproblematisk å sjekke dataene opp mot ansattes timelister.
Effektivitetshensyn ligger til grunn for montering av GPS-systemer i bilene. Arbeidsgiveren kan da til enhver tid få vite hvor den ansatte befinner seg, og kan disponere mannskapene bedre. Datatilsynet vil imidlertid ikke tillate at data hentet fra fartsskrivere sjekkes mot de ansattes timelister. Fartsskrivere er installert for å kontrollere at føreren av bilen overholder bestemmelsene om kjøre- og hviletid. Bruk av opplysningene til andre formål vil være i strid med personopplysningsloven. Arbeidsmiljølovens bestemmelser om styringsrett åpner for at arbeidsgivere kan iverksette tiltak for å for effektivisere virksomheten. Flåtestyring i sanntid kan være et akseptabelt effektiviseringstiltak. Derimot tillater ikke personopplysningsloven, etter Datatilsynets tolkning, at innhentede data lagres med det formål å kartlegge arbeidstakeres kjøremønster.
Kameraovervåking på arbeidsplassen
Utlevering av billedopptak uten samtykke eller lovhjemmel
Høsten 2003 ble det utlevert et billedopptak fra en ansatt i DnB Nor Bank ASA til ISS Norge AS, som var ansvarlig for renholdet av bankens lokaler. Formålet med utleveringen var å fastslå og dokumentere manglede renhold i banklokalet. Opptaket ble vist til ISS’ representant, og den ISS-ansatte var identifiserbar på opptaket.
Klageren, personen som var avbildet på det aktuelle opptaket, tok kontakt med Datatilsynet, og ønsket at tilsynet skulle ta saken opp med DnB Nor. Utleveringen av opptaket fikk store konsekvenser for vedkommende. Han ble ute av stand til å jobbe som et resultat av episoden.
Saklig grunn
Etter personopplysningsloven er kameraovervåking bare tillatt dersom formålet med overvåkingen er saklig begrunnet i virksomheten. Normalt vil kameraovervåking i et banklokale oppfylle personopplysningslovens krav til et gyldig behandlingsgrunnlag. Formålet med overvåkingen vil være kriminalitetsbekjempelse og eventuelt ivaretakelse av de ansattes liv og helse.
Personopplysninger fra kameraovervåkingsanlegg kan bare utleveres dersom den som er avbildet samtykker eller utleveringsadgangen følger av lov (Personopplysningslovens § 39 første ledd). Et gyldig samtykke vil i denne sammenhengen si en frivillig, utrykkelig og informert erklæring fra den registrerte om at han eller hun godtar utleveringen. I dette tilfellet forelå ikke et gyldig samtykke til utlevering av opptaket.
Avdekking av dårlig renhold vil ikke være saklig grunn til å ha kameraovervåking i et banklokale. For å avdekke mangelfullt renhold kunne man ha gått frem på en annen måte, for eksempel kunne en representant fra ISS evaluert resultatet av vaskingen ved oppmøte, i stedet for å kikke på opptak fra overvåkingskameraer.
Banken er en profesjonell part som må forventes å sette seg inn i det regelverk som gjelder for bruk av kameraovervåking. Å bli overvåket i sitt daglige virke oppfattes av mange som en belastning i seg selv. Verre er det når opptakene i tillegg blir brukt til andre formål enn det de var beregnet for, og andre formål enn dem man har fått informasjon om. Ulovlig utlevering av fjernsynsopptak kan få store konsekvenser.
Datatilsynet fant det viktig for allmennhetens tillit generelt, og arbeidstakeres stilling spesielt, at saken ble strafferettslig forfulgt, og politianmeldte DnB NOR Bank ASA for brudd på personopplysningslovens bestemmelser.
Politiet var enig med Datatilsynet i at det var begått brudd på personopplysningsloven, og ila DnB NOR Bank ASA en bot på 200 000,- for forholdet. Banken vedtok forelegget.
Kameraovervåking i garderobe
Et bilverksted gjennomførte kameraovervåking av garderoben for sine mannlige ansatte uten at dette var skiltet eller informert om på annen måte. Formålet var å oppklare eventuelle straffbare forhold utført av de ansatte i arbeidstiden. Forholdet var allerede anmeldt av de ansattes fagforening da saken kom inn til Datatilsynet.
Datatilsynet vurderte på bakgrunn av foreliggende informasjon at kameraovervåkingen ikke oppfylte lovkravene. Tilsynet kunne ikke se at det forelå et særskilt behov for overvåking. Overvåkingen var verken varslet eller meldt til Datatilsynet. På denne bakgrunn ble det sendt en anmeldelse til støtte for fagforeningens anmeldelse.