Publisering av sportsprestasjoner og terningkast for utleiere
En karateklubb publiserte en liste over klubbens meritterte utøvere. En av utøverne meldte seg ut av klubben og ba om å bli slettet fra listen. Leder av karateklubben avviste kravet og viste til at ytringsfriheten ga ham en rett til å publisere listen. En annen sak gjaldt en leieboerforening som åpnet for at leietakere kunne gi terningkast over utleieobjekter på foreningens hjemmeside. Opplysningene skulle fungere som en veileder for leietakerene, og igjen ble ytringsfriheten anført som grunnlag for publiseringen.
Personopplysningsloven har en egen bestemmelse som åpner for at personvernhensynene i enkelte tilfeller må vike for ytringsfriheten. Datatilsynet kom likevel til at ytringsfriheten i disse tilfellene ikke gikk foran personvernhensynene. Tilsynet viste til at det bare kan gjøres unntak fra bestemmelsene i personopplysningsloven når personvernet kan true ytringsfriheten, og bare så langt det er nødvendig for å oppnå en tilfredsstillende balanse mellom hensynet til personvern og ytringsfrihet. Etter tilsynets oppfatning var ikke dette tilfellet i disse to sakene.
Karateklubben har påklaget Datatilsynets avgjørelse inn for Personvernnemnda, som da årsmeldingen ble skrevet ikke hadde behandlet saken.
Min side
Statens etablering av nettstedet ”Min side” med bruk av sikkerhetsportal, elektroniske IDer og signaturer er en kritisk utfordring for informasjonssikkerheten. En sentralisert tilgjengeliggjøring av det offentlige myndigheter vet om befolkningen i Norge fordrer gode risikovurderinger og god kontroll i alle ledd.
Statens selvpålagte tidsfrister for utvikling av ”Min side”, sikkerhetsportalen og PKI-løsninger har vært såpass korte at staten ikke har kunnet gjennomføre det ordinære løpet med høringer og innhentinger av de berørtes oppfatninger. Arbeidet har allerede blitt utsatt flere ganger. Datatilsynet er på ingen måte komfortabel når det gjelder personvernnivået på arbeidet til nå, noe som også er kommunisert til de involverte myndigheter. Datatilsynet har hatt liten mulighet til å være proaktiv, men har måttet ta stilling til de forskjellige kravspesifikasjoner i etterkant, etter hvert som de er ferdigstilt. Tilsynet er glad for at Fornyingsdepartementet på slutten av meldingsåret utsatte lanseringen av ”Min side” noe, for å kunne ha bedre tid.
Datatilsynets bekymring er knyttet til sikkerheten innen følgende områder:
Ett sentralt lagringssted: Det er tenkt opprettet et sentralt lagringssted for kommunikasjon mellom det offentlige og landets befolkning. Dette kan både dreie seg om e-post og et såkalt tiltrodd digitalt arkiv. Datatilsynet mener at et slik sentralt lagringssted for befolkningens kommunikasjon med det offentlige vil være sikkerhetsmessig uskikket og vil skape langt flere ulemper enn fordeler for befolkningen.
Uvedkommendes innsyn: Et prinsipp innen personvern er å sikre at ikke uvedkommende får tilgang til kommunikasjonen av personopplysninger mellom to parter. Man må, etter Datatilsynets mening, unngå at ”Min side” blir et senter der dette prinsippet brytes. Planene for tiltrodd digitalt arkiv vil gå i mot grunnprinsippet om at ikke uvedkommende skal ha tilgang til personopplysninger. Datatilsynet vil se nærmere på planene om å la ”Min side” og sikkerhetsportalen håndtere ukrypterte personopplysninger på veien mellom sender og mottaker.
En felles påloggingsmekanisme: For personvernet kan en sentral påloggingsmekanisme være en kritisk faktor. Det kan gi store konsekvenser om en tilgangsløsning gir tilgang til ”alt”. Datatilsynet fremholder at en borger vil ha mange forskjellige roller. Det kan være som ansatt, som politiker, som fotballtrener, som kasserer i en forening og kanskje til og med under pseudonym eller inkognito. Ett kort, én ID, og full tilgang til alt uavhengig av hvilken rolle man opptrer i vil lett kunne medføre rolleblanding.
Når identifisering er unødvendig, skal det selvfølgelig også være mulig å være anonym. Det bør være mulig å laste ned informasjon og skjemaer uten å måtte identifisere seg. At borgere i fremtiden vil ha elektroniske IDer, vil også føre til at flere krever vår elektroniske ID før vi får tilgang på tjenester eller informasjon. Datatilsynet tror tilgjengeligheten på elektroniske IDer vil medføre at folk vil få en mindre sjanse til å opptre anonyme enn før.
Fildeling / Håndhevelse av immaterielle rettigheter på Internett
Opphavsrettens grunntanke er at opphavsmannen skal kompenseres for kopiering og bruk av materialet vedkommende har skapt. Den raske utbredelsen av Internett stiller rettighetshavere til filmer, musikk og andre åndsverk overfor store utfordringer. Hvordan kan bruken av opphavbeskyttet materiale på Internett kontrolleres og begrenses? Problemstillingen er særlig aktuell i forhold til bruk av fildelingstjenester, der brukerne raskt og vederlagsfritt kan utveksle filmer, musikk og annet materiale over Internett, uten samtykke fra eventuelle rettighetshavere.
Anledningen til å håndheve opphavsretten er ikke ubegrenset. Innsamling og bruk av opplysninger, for eksempel om brukere av fildelingstjenester, vil kunne være underlagt personopplysningsloven.
Datatilsynet ser at bransjen i økt utstrekning overvåker fildelingstjenester for å forfølge opphavsrettsbrudd. Overvåkingen foretas uten at brukeren har informasjon om dette. Det er grunn til å anta at slik overvåking vil øke i kjølvannet av nye endringer i åndsverkloven. Endringene innebærer blant annet at det i praksis er underlagt straffansvar å forsettlig laste ned ulovlig tilegnede filer fra Internett.
Datatilsynet har av rettssikkerhetsgrunner stilt kritiske spørsmål ved en utvikling der private aktører overvåker brukere av fildelingstjenester. Privatpersoner trenger ikke forholde seg til de samme prosesskravene som politiet er underlagt under etterforskning.
Mange forhold tilsier at man bør gå varsomt frem med overvåking av fildelingstjenester. Opplysningene som innhentes kan trolig klassifiseres som sensitive, fordi de sier noe om potensielt straffbare forhold. Bruk av slike opplysninger er etter loven underlagt særlig strenge krav. Fildelingstjenestene kan dessuten også brukes til fullt lovlige formål. I tillegg er opplysningene som innhentes i hovedsak knyttet til datamaskinen som brukes på nettet, og ikke nødvendigvis til den enkeltpersonen som får mistanken rettet mot seg, for eksempel eieren eller hovedbrukeren av datamaskinen.
Datatilsynet vil følge utviklingen på området nøye også i 2006.