Tendensene er hentet fra erfaringer fra tilsyn og saksbehandling, fra høringsarbeidet, deltakelse i forskjellige arbeids- og styringsgrupper, samt gjennom saker som Datatilsynet er blitt oppmerksom på gjennom medieomtale. Beskrivelsen av tendensene bygger på en grundigere omtale andre steder i årsmeldingen.
Farvel anonymitet
Muligheten til å være anonym eller benytte alternativer som ikke etterlater spor er i ferd med å forsvinne fra det norske samfunnet. Datatilsynet har observert denne utviklingen over flere år. Årsaken til utviklingen er trolig en blanding av lav bevissthet i befolkningen rundt behovet for anonyme alternativer, og at de som utvikler nye teknologibaserte løsninger ikke legger tilstrekkelig vekt på personvern. I stadig flere sammenhenger forventes vi å identifisere oss eller etterlate elektroniske spor, selv om det ikke kan påvises saklig grunn for registreringen.
Bruk av kontaktløse brikker har satt fortgang i utviklingen. Brukeren trenger ikke å foreta seg noe for å aktivere sporingen. En direkte, kontaktløs kommunikasjon mellom brikke og system gjør registreringen til en enkel jobb, enten det dreier seg om å åpne en dør, eller å identifisere personer.
Brikker som kan fjernavleses innebærer at den enkelte i mindre grad kan vite når vedkommende legger igjen elektroniske spor. Årsaken er at man ikke trenger medvirkning fra den enkelte. Dette vil gjøre det vanskelig folk flest å følge med på hvor omfattende overvåkingspresset er, og hvordan dette utvikler seg.
Slutt på fri ferdsel?
Innen samferdselssektoren bygges det i akselererende grad opp en infrastruktur som gir muligheter for overvåking. Dette skjer innen alle transportformer. Dette kan være ved bruk av kamerateknologi, RFID-brikker (som i Autopass), elektronisk billettering innen offentlig kommunikasjon, flåtestyring, og såkalte ”svarte bokser” i bilene, som løpende registrerer kjøremønsteret. I tillegg er det under planlegging og oppbygging et obligatorisk system for satellittbasert overvåking.
Datatilsynet har registrert at denne utviklingen har kunnet foregå nærmest uten debatt.
Da Personvernnemnda tillot lagring av passeringsopplysninger for ”sporingsfrie brikker” i helautomatiske bomstasjoner, etterlyste den samtidig en debatt om helheten i de tiltakene som innskrenker retten til å kunne ferdes i det norske samfunnet uten å bli registrert og overvåket. Personvernnemnda viser i vedtaket til at den er henvist til å begrense sin saksbehandling til en vurdering av den aktuelle klagen, men oppfordrer til en gjennomgang på området.
Helautomatiske bomstasjoner og nye biometriske pass som kan avleses på avstand er allerede innført, og vil komme til å omfatte alle reisende i årene fremover. Systemene er enten obligatoriske, eller alternativene bortfaller i praksis fordi de blir lite tilgjengelige, eller kostbare for den enkelte å ta i bruk.
Overvåkingssystemer kan misbrukes, og de endrer maktbalansen mellom den enkelte og det offentlige. Datatilsynet er sterkt bekymret for de svake begrunnelsene for lagringen av alle våre bevegelser, og den manglende viljen til å vurdere risikoen ved systemene. Det kan virke som om systemene tas i bruk bare fordi løsningene finnes, og fordi det er effektivt og praktisk for overvåkeren at individene automatisk blir identifisert. De som står bak utviklingen av de nye teknologiske løsningene har i liten eller ingen grad vurdert om fordelene oppveier innhogget i den enkeltes personvern.
Sporingsbrikker er et spesielt kraftig overvåkingsverktøy dersom man kombinerer det med en ”klassisk” teknologi som kameraovervåking. Datatilsynet har i meldingsåret sett eksempler på slike kombinerte systemer, blant annet overvåking av båter og havneanlegg i Mandal. Det er tydelig at flere aktører arbeider med forskjellige teknologier i kombinasjon med bruk av kamerasystemer, for bedre å kunne identifisere enkeltpersoner direkte, eller indirekte via kjøretøyer og andre gjenstander.
Elektroniske merking av dømte, demente eller arbeidstakere
Spørsmålet om hjemmesoning med elektronisk merking av dømte voldsforbrytere ble sendt på høring i 2006. Datatilsynet påpekte at forslaget innholder uavklarte spørsmål i forhold til hvor detaljert overvåkingen skal være.
Overvåking av enkelte kriminelle reiser spørsmål om vi ønsker et samfunn der ”uønskede” og ”vanskelige” grupper av mennesker blir elektronisk merket. Tilsynet antar at dersom man først har valgt å åpne for elektronisk merking av en type kriminelle, har man overskredet en terskel, og neste skritt på veien mot økt bruk av denne type tiltak vil være langt enklere å ta.
Med jevne mellomrom har også spørsmålet om elektronisk merking av sykehjemspasienter dukket opp. Datatilsynet presiserer at merking er et tvangstiltak som må vurderes ut fra helselovgivningen i det enkelte tilfelle. Tilsynet mener imidlertid det er etisk betenkelig om sykehjemmene skulle få anledning til å kompensere for manglende personale og manglende diagnostikk av senildemente, med elektronisk merking av alle pasienter.
Datatilsynet foretok i meldingsåret flere tilsyn for å se på såkalt ”flåtestyring”, som innebærer en type overvåking og sporing av ansatte gjennom lokalisering av tjenestebiler og mobiltelefoner. Slik sporing av arbeidstakere reiser spørsmål om hvor detaljert og kontinuerlig det er rimelig at en ansatt skal kunne følges av sin arbeidsgiver.
Voksende databaser og informasjonssamlinger
Gjenbruk, nye formål og evig lagring svekker den enkeltes mulighet til å ivareta eget personvern.
Gjenbruk av personopplysninger til nye formål er problematisk for personvernet av flere årsaker. Den registrertes rett til kunnskap om hva opplysningene om ham eller henne skal brukes til står helt sentralt i europeisk personverntenkning. Den registrerte blir informert om ett formål, og danner seg en forståelse av hvordan opplysningene skal brukes. Dersom opplysninger blir benyttet til nye formål, som den registrerte ikke har overskuet, fjerner man muligheten til oversikt. Uten oversikt blir den enkelte fratatt muligheten til å bruke sine øvrige rettigheter etter personvernlovgivningen. Den som har opplysninger får mer makt på bekostning av den registrerte. Forskjellige formål kan også innebære ulike krav til kvalitet og etterrettelighet. Opplysninger som er innsamlet for ett spesifikt formål, er ikke automatisk tilstrekkelige og relevante for alle andre formål.
Datatilsynet har observert at stadig flere aktører ønsker lagring i stadig lengre tid, også av opplysningstyper som tidligere har blitt slettet. Respekten for slettebestemmelsene har gjennomgående vist seg å være liten. Når man samtidig vet at terskelen for å registrere opplysninger er lav, gir dette grunnlag for bekymring. Mange virksomhetsledere hevder at langvarig oppbevaring ”kan være nyttig” for virksomheten, men få klarer å gjøre argumentet mer håndgripelig.
Datatilsynet fikk i 2006 også høringssaker der ønsket om videre lagring sto sentralt. Det tidligere overvåkingspolitiet - POTs arkiver ble foreslått lagret videre, med en rett til å komme med tilleggsopplysninger for de registrerte som hadde fått innsyn. Dette ble foreslått til tross for at Stortingets forutsetning var at det skulle være mulig med sletting.
Flere får tilgang til store, overgripende databaser og journalsystemer
I en situasjon der flere og flere store databaser og informasjonssystemer får flere brukere med rett til å logge seg på, lese og bruke personopplysninger, må man ta utfordringen med mulig internt misbruk alvorlig.
I 2006 så Datatilsynet, i samarbeide med Helsetilsynet, på bruken av elektronisk pasientjournal i Helse Bergen HF og ved Akershus Universitetssykehus HF. Tilsynene konkluderte med at pasientjournalene ved disse to helseforetakene ikke var godt nok beskyttet mot intern ”snoking” fra ansatte som ikke deltar i behandlingen av pasienten. Datatilsynet og Helsetilsynet mente dette hadde sammenheng med at sykehusene ikke hadde tilpasset journalsystemene til hvordan de faktisk hadde valgt å organisere seg internt.
Datatilsynet mener det er alvorlig at helseforetakene ikke evner å gi tilstrekkelig fortrolighet rundt opplysninger de mottar for å yte helsehjelp. Det er ikke tilstrekkelig at alle som får tilgang til journalene har taushetsplikt. Sykehusene må aktivt sørge for at bare de som deltar i pasientbehandlingen får tilgang.
I meldingsåret dukket også opp spørsmål om taushetsplikten for helsepersonell i det hele tatt beskytter den enkelte pasient mot intern snoking ved helseinstitusjonene. Under etterforskningen av en sak der en leder ved Helgeland sykehus snoket i pasientjournaler, kom politiet frem til at taushetsbestemmelsene ikke var brutt så lenge opplysningene ikke var blitt utlevert til andre. Datatilsynet hevdet at sykehuset likevel hadde et ansvar for å sikre sine systemer, og sykehuset ble ilagt virksomhetsstraff for brudd på plikten til å ha tilstrekkelig informasjonssikring.
Datatilsynet har grunn til å tro at personopplysninger er for dårlig sikret mot intern snoking, ikke bare i sykehus og andre helseinstitusjoner, men generelt i virksomheter hvor store mengder personopplysninger behandles, det være seg i privat som i offentlig sektor. Problemet med internt misbruk får ofte ikke tilstrekkelig oppmerksomhet når man gir store brukergrupper direkte tilgang til mengder av opplysninger. Blant annet påpekte Datatilsynet dette problemet i forbindelse med forslaget om å gi politiet rett til å gå inn i valutaregisteret uten krav om at det bare skjer i forbindelse med etterforskning av konkrete saker.
Etterforskning i privat regi
De siste årene har Datatilsynet arbeidet med flere vanskelige saker der privat etterforskning har vært i fokus. Private etterforskere har blant annet bistått arbeidsgivere med å undersøke påstått illojalitet fra ansattes side. Blant de metodene som har vært anvendt er gjennomgang av e-poster og filer som ansatte har lagret på arbeidsgivers informasjonssystem.
Musikk og filmbransjen har i lang tid hevdet at de taper store summer på systematiske brudd på Lov om opphavsrett. Det er særlig såkalte fildelingstjenester som har vært fremholdt som kanal for spredning av opphavsrettlig beskyttet materiale. Rettighetshavernes interesseorganisasjoner har ikke vært tilfreds med politiets håndtering av lovbruddene, og har derfor i flere land tatt initiativ til å etterforske slike saker på eget initiativ. I 2006 arbeidet Datatilsynet med spørsmål om konsesjon til et advokatfirma som vil overvåke fildelere på Internett.
Datatilsynet har de siste årene også fått flere henvendelser fra ansatte som føler et ubehag ved at de blir utsatt for ”skjulte kunder”, det vil si personer som under dekke av å være kunder undersøker servicenivå eller oppførsel på oppdrag fra arbeidsgivere. Arbeidsgiver fremholder slike tiltak som en hensiktsmessig måte å utøve kontroll av kvalitet på egne tjenester, mens ansatte på sin side gjerne kan oppleve et stort ubehag ved dette.
Det er ikke uproblematisk at private aktører skal etterforske lovbrudd eller misligheter uten noen form for fullmakt fra lovgivende myndighet. Politiets kommunikasjonskontroll og etterforskning er regulert i straffeprosessloven. Infiltrasjon og provokasjon er metoder politiet bare kan benytte når kravene i Riksadvokatens retningslinjer er oppfylt. Tilsvarende gir Lov om vaktvirksomhet retningslinjer til vaktselskapene. Prosessreglene som gjelder politiets arbeid garanterer den mistenkte en rekke rettigheter. Regelverket har blitt utviklet gjennom flere år som følge av påvirkning fra instanser som har tydelige roller; Storting, regjering, politi og domstoler. Offentligheten har hatt betydelig innsyn og mulighet til påvirkning av reglene, gjennom høringer, debatter og direkte dialog. Dette er ikke tilfelle når det gjelder privat etterforskning. Derfor setter slik etterforskning personvernet under et særlig press. Når en privat aktør etterforsker, vil den mistenkte være avskåret fra de rettighetene som prosessreglene skal sikre. Datatilsynet har i flere saker også sett at de metodene man har til hensikt å bruke ikke har vært kommunisert godt nok til de personene som er under mistanke. Terskelen for å sette i verk til dels svært inngripende tiltak har vært lav.
Biometri gir nye utfordringer
Flere og flere aktører ønsker å ta i bruk biometriske løsninger for identifisering eller autentisering. Det kan være til pålogging på PC, avgivelse av fingeravtrykk i stedet for garderobelapp, eller som adgangskontroll, for eksempel til treningsstudioer.
Biometri kan beskrives som kjennetegn som utgår fra kroppen, og som er unike for den registrerte og samtidig permanente eller stabile over tid. Ved å måle disse kjennetegnene kan de benyttes til å gjenkjenne en person eller bekrefte en persons påståtte identitet. De mest kjente formene for biometriske kjennetegn er fingeravtrykk, håndavtrykk og ansiktsform, samt iris- eller netthinneavlesning.
Løsninger som baserer seg på biometri nyter generelt høy tillit i befolkningen med hensyn til presisjon og sikkerhet. Det er derfor spesielt viktig å hindre uriktig bruk av slike verktøy. Når tilliten er høy, kan et eventuelt misbruk få særlig store konsekvenser. Det er viktig å øke bevisstheten om at en løsning som benytter biometri ikke nødvendigvis fører til bedre sikkerhet.
Biometrisk avlesning er som andre tekniske sikkerhetsløsninger, det vil være gode og dårlige løsninger. For eksempel kan dårlige fingeravtrykkslesere akseptere avkuttede fingre og gummihansker påført falske fingeravtrykk. Det vil alltid være et kappløp mellom nye teknologiske løsninger og forsøk på å omgå disse. Det kan være også være mangelfull identitetskontroll ved innregistrering. Dersom feil person blir registrert i utgangspunktet er løsningen ikke sikker, selv om det benyttes biometri.
I tillegg er det viktig å ha fokus også mot de øvrige sikkerhetstiltak. Man illustrerer dette ofte ved utsagnet: ”At det står en biometrisk avleser på hoveddøren betyr ikke nødvendigvis at rommet innenfor er godt beskyttet dersom bakdøren er ulåst”. Dette gjelder både fysiske løsninger og pålogging til informasjonssystemer. Det er derfor viktig å huske at biometri fremdeles bare er et ledd i en sikkerhetsarkitektur, som ett enkelt ledd i en kjetting.
Den viktigste grunnen til å være varsom med bruk av biometri er at den unikt beskriver individet, og dermed uløselig er knyttet til oss. Om det uforutsette skjer – at et individs biometri blir misbrukt – finnes det ingen muligheter til å ”skifte til ny”. Hvordan et eventuelt misbruk kan gjennomføres er det ikke sikkert at vi ser rekkevidden av i dag.
Datatilsynet vil også advare mot en tendens til at det stadig økende tilbudet av nye og teknologisk fasinerende biometriske løsninger i seg selv fører til at vi som individer i økende grad tvinges til å la oss identifisere, uten at det strengt tatt foreligger et reelt behov.
Alle under mistanke?
Datatilsynet har i 2006 arbeidet med en rekke saker der man planlegger tiltak som vil berøre en stor gruppe personer, også de som ikke er mistenkt for noe. Motforestillinger mot tiltakene blir gjerne møtt med munnhellet ”de som ikke har noe å skjule, har heller ikke noe å frykte”. Tiltakene gir den enkelte muligheten til å ”bevise” egen uskyld ved å stille seg fullstendig åpen for granskning av blant annet blod, urin, bevegelser og sosiale kontakter.
Innføringen av datalagringsdirektivet står for Datatilsynet som et paradigmeskifte i det norske rettssystemet. Med dette direktivet innfører man et etterforskningsmiddel til bruk for politiet som omfatter hele befolkningen. Det er et breddetiltak, ikke målrettet mot enkeltpersoner eller grupper av personer det hefter en mistanke ved. Opplysninger om all telefonbruk blir lagret: hvem som kontakter hvem til hvilke tidspunkter, hvor vi befinner oss, samt all Internettbruk: hvem som har hvilken IP-adresse til hvilke tidspunkt den akuelle IP-adressen er logget på Internett.
Det er imidlertid ikke bare for politiarbeid og etterforskning man ser denne vridningen mot at den enkelte må bevise sin renhet og uskyld. I 2006 avgjorde Personvernnemnda to klager om anledningen til å teste rus og bruk av doping. De to sakene fikk ulikt resultat.
Securitas fikk ikke anledning til å teste samtlige ansatte med blodprøver eller urinprøver. Personvernnemnda påpekte at det er vanskelig å tenke seg et reelt frivillig samtykke i et arbeidsforhold, og konkluderte med at samtykke ikke er godt nok. Treningssentrene fikk derimot anledning til å inngå avtale med mosjonistene om frivillig deltakelse i et anti-dopingprogram. Som et ledd i dette skal mosjonistene kunne bli tatt ut til tester. Datatilsynets innvending til prosjektet var at et slikt frivillig tiltak vil være lite målrettet, og antakelig bare treffe mosjonister som uansett er dopingfrie. Nemnda mente derimot at disse testene ”bidrar til sunne holdninger og et positivt sosialt press som er til inspirasjon for andre treningssentre.”
Denne typen tiltak er ikke enestående. Datatilsynet har i tidligere årsmeldinger blant annet påpekt presset for å ta i bruk politiattester som ”bevis for uskyld”, i stadig flere sammenhenger. Det er åpenbart at samfunnet har behov for å beskytte seg mot alvorlig kriminalitet, mot at lite egnede personer får visse jobber eller verv, og mot at personer arbeider ruset i jobber som innebærer ansvar for andres liv og helse. Datatilsynet mener imidlertid at man bør reflektere over mulige konsekvenser av å gå altfor langt i retning av at den enkelte selv i stadig flere sammenhenger forventes å ”bevise” egen renhet og uskyld. Gransking av kroppsvæsker og telefon- og internettbruk vil kanskje kunne avdekke noe, men de samfunnsmessige kostnadene vil kunne være svært store. Kontroll er det tydeligste uttrykk for mangel på tillit.
Begrepet ”personopplysning” innsnevres
Beskyttelsen av integriteten i Europeisk rettstradisjon er nært knyttet til vernet av personopplysninger. Kjernen i vernet er avhengig av hva begrepet omfatter, og kan lett undergraves dersom begrepets innhold endres.
I personopplysningsloven § 2, nr. 1 er personopplysning definert å være ”opplysninger og vurderinger som kan knyttes til en enkeltperson”. Innholdet i begrepet er nærmere beskrevet i forarbeidene til loven:
”Med uttrykket «enkeltperson» menes en person som direkte eller indirekte kan identifiseres, f eks ved hjelp av navn, identifikasjonsnummer eller et annet kjennetegn som er spesielt for personens fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sosiale identitet, jf direktivet artikkel 2 a. Eksempler på personopplysninger kan være opplysninger som foreligger i form av bilde, personens stemme, fingeravtrykk eller genetiske kjennetegn. Hvilket lagringsmedium som benyttes, er uten betydning så lenge identifikasjon er mulig.”
”I vurderingen av om personen lar seg identifisere, skal det tas i betraktning alle hjelpemidler som det er rimelig å tro at noen kan komme til å anvende for identifiseringsformål, jf direktivets fortale punkt 26. Det vil dreie seg om en personopplysning selv om det må benyttes en nøkkel - f eks i form av en tallkode - for å knytte forbindelsen mellom opplysningen og den bestemte personen. Krypterte opplysninger kan være personopplysninger slik loven nytter ordet, dersom noen kan gjøre opplysningene lesbare og dermed identifisere personene som opplysningene vedrører.” (Ot.prp. nr. 92, 1998-1999, side 101).
Personvernnemnda har gjennom flere saker gitt begrepet et annet og snevrere innhold enn det Datatilsynet, og de øvrige Europeiske tilsynsmyndighetene, har lagt til grunn i sin forvaltningspraksis. Integritetsvernet, lovens virkeområde og Datatilsynets mandat er etter dette noe uklart, og vil måtte vurderes grundig i det pågående lovrevisjonsarbeidet.
Personvernnemnda kom frem til overvåkingsbilder på et låst medium ikke er ”personopplysninger” i personopplysningslovens forstand. - Det finnes opplysninger om personer på opptaket, men disse er ennå ikke knyttet til identifiserbare enkeltpersoner, skriver nemnda i vedtakene om kameraovervåking i buss og tog.
Nemndas innstilling til dette spørsmålet kan etter Datatilsynets vurdering tolkes i retning av at opplysninger i svarte bokser ikke vil være beskyttet gjennom personopplysningsloven. I ytterste konsekvens kan det føre til at en virksomhet vil kunne samle store mengder opplysninger om atferd og bevegelser uten å informere, og uten å ta hensyn til slettereglene – så lenge opplysningene ligger på et låst medium. Sletteregelen på sju dager vil bare gjelde materiale som er ”tatt ut” av boksen.
Misbrukstrusselen ved langtidslagring av bilder fra kameraovervåking, eller andre personopplysninger, er stor. Datatilsynet ser det derfor som en uheldig utvikling dersom innsamlingen av personopplysninger på låste medier ikke skal omfattes av personopplysningsloven. At loven eventuelt vil gjelde på et senere tidspunkt vil i liten grad reparere dette.
Datatilsynet vil gjennom sin videre virksomhet søke å avklare realitetene, herunder presedensvirkningen av Personvernnemndas vedtak.
Les hele årsmeldingen for 2006 (pdf, nytt vindu)