Først publisert i Datatilsynets tidsskrift SPOR 2/1998 - SPOR magasin
Mulighetene for overvåking øker når elektroniske hjelpemidler blir tilgjengelige for de fleste.
Aktivitetslogging
Datatilsynets oppgave er, i tillegg til å sørge for at personregisterlovens regler om overvåking følges, å bidra til at overvåkingspotensialet som ligger i teknologien er kjent for både overvåker og den overvåkede.
Studentradioen i Bergen søkte i 1997 om tillatelse til å benytte aktivitetsloggen i sitt edb-system for å kontrollere brukerne. Aktivitetsloggen i et edb-system eller datanett, forteller hva brukeren har foretatt seg i nettverket, for eksempel hvilke web-sider en bruker har besøkt på internett.
Aktivitetsloggen kan føres uten konsesjon i følge personregisterlovens hovedforskrift § 2-20. Registeret kan bare brukes til administrasjon av systemet og til å avdekke og oppklare brudd på sikkerheten i edb-systemet.
Avtalen som var skissert mellom Studentradioen og brukeren, gikk ut på at brukeren ikke skulle fremsette ærekrenkelser, diskriminerende uttalelser, formidle pornografi (blant annet laste ned eller lagre pornografi), krenke privatlivets fred, oppfordre eller medvirke til ulovlige handlinger ved hjelp av Studentradioens edb-system. Studentradioen ønsket å kontrollere aktivitetsloggen til ansatte og andre brukere og begrunnet dette med hensynet til eget omdømme og ansvar.
Formålet Studentradioen oppga for bruk av aktivitetsloggen, ligger utenfor det loggen kan brukes til. Registre brukt til overvåking slik Studentradioen i Bergen ønsket, krever konsesjon fra Datatilsynet. Datatilsynet sendte også problemstillingen til vurdering i både arbeidsgiver- og arbeidstakerorganisasjonene.
Før Datatilsynet tok stilling til den konkrete saken, trakk Studentradioen søknaden.
Elektronisk overvåking av ansatte
Et edb-systems registre eller aktivitetslogg kan bare brukes til å administrere systemet og til å avdekke eller oppklare brudd på sikkerheten i edb-systemet. Likevel har mange tolket dette som det nå er fritt fram for å overvåke de ansatte. Slik er det ikke. Aktivitetsloggene skal ikke brukes til å overvåke hva de ansatte gjør i arbeidstiden.
Et klart regelbrudd er om arbeidsgiveren logger hvilke web-sider en ansatt har vært inne på for å se om sidene har relevans i jobben eller om den ansatte har kikket på sider med et innhold arbeidsgiver ikke kan godta.
Overvåking av ansattes e-post
Enkelte virksomheter har regler for hva som ansees som korrekt oppførsel på nettet. Dette kan dreie seg om alt fra hvordan man svarer på e-post ("no dirty language") til hvilke sider man kan gå inn på. Arbeidsgiveren ønsker at moralreglene overholdes, og i noen tilfeller ser de derfor på de ansattes e-postmeldinger og får oversikter over hvilken informasjon den ansatte er interessert i. Dette er ikke uvanlig i USA, og mange internasjonale selskaper har innført et lignende regime i Norge etter ordre fra sin moderbedrift.
Denne typen overvåking er hverken lovlig eller akseptert i Norge, og bryter mot regler i såvel straffeloven og personregisterloven, som arbeidsmiljøloven.
Aktivitetsloggen skal benyttes for å ivareta sikkerheten - ikke for å "bedre" moralen.
Ansatte bør være klar over at de fleste IT-systemer registrerer alt som foregår, slik at arbeidsgiveren i teorien kan få kjennskap til hva den ansatte har gjort og hvor lang tid han eller hun har brukt på dette. Arbeidsgiver har ikke lov til å bruke loggene til å overvåke de ansatte, selv om dataene utgjør et potensiale for overvåking.
Cookies og profilbasert annonsering
En hjemmeside ser ikke alltid lik ut for alle som går inn på den. Mange virksomheter skreddersyr utseendet på hjemmesiden etter registrerte preferanser og ønsker fra den enkelte bruker. Det kan bety at om du liker fluefiske kan du få tilbudt reklame for dette. Liker du derimot fisking med sluk, får du reklame for det når du går inn på web-sidene om fiske.
Slik skreddersydd markedsføring har selvsagt som hensikt å "kapre kunden" ved å kjenne hans eller hennes behov eller interesser, nesten før kunden selv kjenner dem.
Hvordan finner annonsørene og eierne av hjemmesidene ut hvilke preferanser en kunde har? Det er flere metoder. En er å spørre brukeren direkte om dette og deretter la brukeren identifisere seg når hjemmesiden besøkes.
En annen måte er å bruke en "cookie" som identifiserer brukeren ved neste besøk. En "cookie" er en slags oppsamler av informasjon om brukerens bevegelser på nettet. Cookien følger oss, dersom vi ikke gir "programmet" beskjed om noe annet. Informasjonen i den kan leses av andre.
En tredje variant er å bruke en cookie og deretter følge brukerens gang på hjemmesidene for så å lage en profil over brukeren eller kunden ut fra hvilke bevegelser brukeren har på nettet. I det siste tilfellet kan brukerne være "anonyme", men likevel få tilbudt skreddersydd reklame etter sitt bruksmønster. I de to første variantene er brukerne ikke anonyme.
Det kan oppstå spørsmål om det foretas registreringer som kan gå utover registreringer tillatt i ordinære, konsesjonsfritatte kunderegistre, ved å bruke denne typen overvåking av kunder eller brukere. Dette må vurderes i hvert tilfelle. Det er derfor viktig at både virksomheter, leverandører og brukere er kjent med denne overvåkingsmuligheten. Slike spørsmål vil Datatilsynet arbeide mer med i 1998.
Opptak av telefonsamtaler
Bruk av telefon for å overvåke eller avlytte andre er ikke et ukjent fenomen. Datatilsynet mottok flere henvendelser høsten 1997 om opptak av telefonsamtaler man selv deltar i. Mange reagerte negativt på at samtaler med tilbud om et produkt ble tatt opp uten at samtykke ble innhentet på forhånd, eller at lydbåndopptaket på annen måte var varslet. Opptaket ble senere benyttet som bevis for at en konkret avtale var inngått.
I henvendelsene Datatilsynet mottok, mente den ene parten at opptaket ikke gjenspeilet det konkrete hendelsesforløpet i samtalen. På bakgrunn av mange reaksjoner, tok Datatilsynet forholdet opp med foretaket som gjorde opptakene.
Datatilsynet kunne etter korrespondanse med selskapet og et kontrollbesøk, konstatere at opptakene måtte være å anse som en del av selskapets kunderegister. Kunderegisteret måtte etter sitt innhold også oppfattes som et konsesjonspliktig register i henhold til personregisterloven. I forbindelse med konsesjonsbehandlingen satte Datatilsynet som konsesjonsvilkår at det aktuelle firmaet på forhånd skulle varsle at telefonsamtalen ble tatt opp på lydbånd.
Fordi lydbåndopptakene ble ansett som et konsesjonspliktig personregister, kunne Datatilsynet sette vilkår for opptaket av samtalen og bruken av dette opptaket. Datatilsynet har imidlertid i arbeidet med denne og lignende saker, ofte sett at regelsettet når det gjelder lydbåndopptak ikke er tilfredsstillende dersom opptakene ikke rammes av konsesjonsplikt.
Overvåking i drosjene
Datatilsynet har fått mange henvendelser om overvåking i drosjer. Flere drosjesentraler har vurdert muligheten av å innføre overvåkingsutstyr i bilene, enten videoopptak eller fotografering av passasjerene. Digital overføring av bilder til sentralen har også blitt diskutert.
Personregisterloven § 37a og § 37b gir regler for fjernsynsovervåking og billedopptak. Loven setter som vilkår at det skal foreligge et saklig behov for at overvåking kan iverksettes. Det er opp til den enkelte, her det enkelte drosjeselskap, å vurdere om slikt behov er til stede. Datatilsynet skal ikke godkjenne det enkelte tiltak, men Datatilsynet kan imidlertid tolke lovens bestemmelser.
Når det skal vurderes om overvåking i en konkret sak er i overensstemmelse med personregisterlovens regler, må fordelene med overvåkingen veies opp mot den integritetskrenkelse som overvåkingen vil innebære overfor den enkelte person. Etter Datatilsynet vurdering er det tvilsomt om iverksettelse av overvåking i drosjene er i overensstemmelse med personregisterlovens regler om overvåking. Denne vurderingen stemmer også overens med publikums oppfattelse av overvåking i drosjer. En undersøkelse gjennomført av Statistisk sentralbyrå, Statens informasjonstjeneste og Datatilsynet sommeren 1997, viser at et flertall (55 prosent) av publikum oppfatter overvåking i drosjer negativt.