Informasjonsomfanget og søkemulighetene på Internett gjør dette til en tomleplass for dem som er aller best kjent med hvordan man skal finne fram. Samtidig har Internett åpnet for nye problemstillinger for personvernet. I 2001 har Datatilsynet hatt flere slike problemstillinger til vurdering. Spørsmål og saker omfatter både nye muligheter og trusler for personvernet på Internett.
Markedsføring på Internett
Den aktive Internettsurfer kommer stadig over mer eller mindre nyttig informasjon på nett. Ofte vil det tilbys varer og abonnementer. Det krever gjerne at forbrukeren må registrere seg med personlige opplysninger som kunde, medlem eller abonnent for å få full nytte av tilbudet. Når nettstedet blant annet informerer om hvordan opplysningene skal brukes og oppbevares og nettbrukeren forholder seg til den informasjonen, må man kunne si at han eller hun går inn i et kundeforhold med åpne øyne og dermed samtykker til at de personlige opplysningene faktisk samles inn og brukes. Er du kunde eller bruker, må du også regne med å motta tilbud, reklame og annen informasjon for eksempel via e-post.
I en del tilfeller får bruker reklame på e-post uten at noe kundeforhold er etablert og det nærmest er ukjent hvor avsender har fått adressen fra. Det kan bety at nettbrukerne i sin iver etter å komme inn på et nettsted har avgitt personopplysninger som for eksempel e-postadressen sin, og så glemt det. Mange opplever stor pågang fra tilbydere og markedsførere pr e-post. Markedsføringsloven krever at det innhentes samtykke fra brukeren før reklamen sendes pr e-post. Dette kravet gjelder også for tekstmeldinger (SMS).
Cookies
Cookies er filer som legges til på harddisken når brukeren surfer på nettet. Cookiene inneholder informasjon om nettsteder maskinen har besøkt og hvilke innstillinger som er valgt. Tjenester som krever registrering legger gjerne igjen en cookie slik at bruker slipper å skrive brukernavn og passord ved hver pålogging.
Cookiene kan hentes fram ved neste besøk på nettstedet og gi indikasjoner på hvem brukeren er, hva slags informasjon som er lest, preferanser, vaner mv. Hvis innholdet i cookien brukes i forhold til en identifiserbar person, vil dette reguleres av personopplysningsloven. Om brukerens adferd på nettet hentes ut og brukes i tilknytning til identitet, vil det dermed kreve et samtykke fra brukeren. En samling av cookies er velegnet som grunnlag for å komponere tilbud, å gi anbefalinger eller komme med reklameutspill.
Brukere som har nyere nettlesere har anledning til å gi tillatelse til eller hindre at en cookie legges på harddisken. Få ser ut til å gjøre dette, noe som kan indikere at denne muligheten ikke er godt nok kjent.
Eu og cookies
Eu-parlamentet har i et tillegg til personverndirektivet foreslått en mer restriktiv regulering av cookies. I forslaget går det fram at eiere av nettsteder må innhente tillatelse fra bruker før det legges igjen en cookie. Det kan bety at det blir vanskeligere å være annonsør og markedsfører på nett. Eu-kommisjonen skal behandle vedtaket før det eventuelt trer i kraft.
Offentliggjøring av nyhetsgrupper
Offentliggjøring av meldinger fra nyhetsgrupper (newsgrupper) ble diskutert da Nasjonalbiblioteket gjorde det kjent at det planla å offentliggjøre meldinger samlet helt fra 1995 på Internett.
En nyhetsgruppe er et åpent elektronisk diskusjonsforum der ulike temaer kan tas opp av hvem som helst. Her kan opplysninger om personlige forhold, medisinske diagnoser, psykiske problemer, livskriser og annet bli både beskrevet og knyttet til navn. Datatilsynet mener at Nasjonalbiblioteket ikke har lovhjemmel til å offentliggjøre meldingene. Tilsynet er i tvil om pliktavleveringsloven åpner for å gjøre meldingene elektronisk søkbare og allment tilgjengelig over tid. Nasjonalbiblioteket hevdet på sin side at pliktavleveringsloven forplikter dem til å vurdere innsamlingen at dette materialet og skrev i brev til Datatilsynet at.. "å samle inn meldingene uten å gi tilgang til materialet i ettertid, framstår som ufornuftig bruk av statlige ressurser".
Meldingene har ikke redaksjonelt vern
Meldinger i nyhetsgrupper er meldinger i det offentlige rom og har ingen grad av redaksjonelt vern. Datatilsynet mener at personvernulempene ved offentliggjøring av meldingene er så store at Nasjonalbiblioteket er oppfordret til å vente med offentliggjøring inntil hjemmelsgrunnlaget er avklart.
Skattelister på Internett
Skattelisten er alltid et hett tema hver gang den legges ut. Fra å skape stort oppmøte på landets likningskontorer ved at likningsprotokollene lå ute til allment innsyn, har familiene samlet seg rundt pcen i 2001. Her har de kunnet laste ned skatteinformasjon fra alle landets skattelister via sine ulike nettaviser. Riktignok har enkelte medier også tatt seg betalt for denne skatteekstra- servicen, men det er likevel svært enkelt å hente ned informasjon om nærmeste nabo eller arvetanten.
Likningsloven
Skattelistene viser de foreløpige likningstallene før klagebehandling og oppgir nettoinntekt, formue og utliknet skatt, i tillegg til navn og adresse. Det er likningsloven som åpner for at skattelistene skal være allment tilgjengelige i tre uker etter at likningen er foretatt. Etter den tid er informasjonen fortsatt offentlig etter offentlighetsloven. Utlevering av hele listen i elektronisk format kom til ved hjelp av retningslinjer fra Finansdepartementet. Her ble det åpnet for en slik utlevering blant annet til presse eller andre som hadde konsesjon fra Datatilsynet. Datatilsynet har vært svært restriktiv med tildeling av slike konsesjoner.
I dag gjelder personopplysningsloven som krever samtykke fra hver enkelt skattyter dersom skattelistene skal brukes til et annet formål. Det er unntak fra reglen, blant annet i forhold til det som kalles journalistisk virksomhet, § 7 i personopplysningsloven.
Det er dette unntaket avisene påberoper seg når hele skattelisten publiseres ubehandlet på Internett som en del av nettutgaven av avisen.
Innvendinger mot skatt på nett
Datatilsynet har flere innvendinger mot skattelister på Internett.
Datatilsynet er kritisk til at informasjon hver borger er pliktig til å gi fra seg til skatteberegning skal brukes til helt andre formål uten at den enkelte selv får anledning til å velge dette. Dersom for eksempel markedsførere vil bruke skattetallene som grunnlag for markedsføring, skal det innhentes samtykke fra hver skattyter.
Skattelisten får et nytt formål når den eksponeres på Internett - noe som blir ugjenkallelig. Her eksponeres opplysningene for mange flere enn det som var en opprinnelig tanke ved offentliggjøring - å sikre demokratisk rett til sammenlikning med likemann. Videre er det ingen tvil om at Internett og elektroniske medier har en mye større mulighet for søkbarhet, sammenstilling og systematisering av informasjon som overhode ikke gjelder for papirformatet. Det er selvsagt dette som er årsaken til at så mange nettaviser har hatt "superopplag" i løpet av høsten. Ingen leter i listen på likningskontoret, "alle" søker på Internett.
Personvernproblem
At Internett åpner for utvidet bruk av skattelisten utgjør et personvernproblem og uthuler personvernprinsippet om at når formålet for bruk av personopplysninger endrer seg skal den enkelte få anledning til å ta stilling til dette.
Fiksjon og reklame
Datatilsynet har bedt pressens organer som rette instans, å ta stilling til hvordan journalistisk virksomhet skal defineres i forhold til nettpublisering av skattelister. I svarbrev til Datatilsynet skrives det:..I den grad det finnes definerte avgrensninger i noen form, gjelder det i forhold til reklame og fiksjon…" Datatilsynet forstår dette som at pressens organer selv definerer journalistikk som alt som ikke er nettopp reklame og fiksjon. Og at denne vurderingen også legges til grunn ved publisering av skattelister på Internett.
Definisjon av "redaksjonell virksomhet" utfordres
Datatilsynet forutser at utviklingen i årene fremover vil komme til å utfordre pressens egen, nærmest altomfattende definisjon av begrepet "redaksjonell virksomhet". Det er også uavklart gjennom praksis, hva som konkret skal forstås med begreper som " redaksjon" og "journalist" - altså de rettssubjekter og fysiske virksomheter som skal kunne påberope seg den særbehandling lovgiver har ønsket å innrømme en - antatt - samfunnskritisk og fritt samfunnsovervåkende presse.
Svært mange av de skattytere som henvender seg til Datatilsynet har åpenbart problemer med å forstå at opptrykk og publisering i aviser av masseopplysninger fra likningen er et eksempel på samfunnskritisk virksomhet.
Lovendring kan begrense
Datatilsynet ønsker å samarbeide med Skattedirektoratet og Finansdepartementet om muligheten for å vurdere om retningslinjene som åpner for massedistribusjon av skattelistene kan begrenses. Det er likevel endringer i likningsloven eller offentlighetsloven som må til for å begrense utlevering av skattelistene.
Ulovlig med skattelister på Internett?
Skattedirektoratet har bedt Finansdepartementet i brev datert 20. desember 2001, vurdere om likningsloven og retningslinjene kan endres slik at det blant annet blir ulovlig å legge skattelistene ut på Internett. Videre ber direktoratet Finansdepartementet vurdere om skattytere med sperret adresse ikke lenger skal tas med i listene, at adresseopplysninger eller skattyters fødselsdato ikke skal framgå av listene og at det blir ulovlig å bruke skattelisteopplysninger i adresserings- og distribusjonsvirksomhet.
Datatilsynet støtter denne anmodningen.
Mindreårige på nett
Skoler, idrettslag og andre som jobber med barn har erfart at det er populært å lage egne hjemmesider med informasjon om aktiviteter. I løpet av 2001 har Datatilsynet fått mange henvendelser fra foreldre, lærere, barnehagepersonell og frivillige i barnearbeid om hva som er tillatt med hensyn til publisering av bilder og navn på barn på nett.
Datatilsynet laget et informasjonsskriv om dette basert på reglene i personopplysningsloven. Her blir det oppfordret til varsomhet med publisering av bilder, navn og andre opplysninger om barn og unge på Internett. I utgangspunktet skal den foresatte samtykke til at opplysninger om mindreårige legges på nettet. Den mindreårige skal også få informasjon om konsekvenser ved slik eksponering.
Negative konsekvenser
Publisering av navn og bilde på Internett kan ha negative konsekvenser. Det kan være gode grunner til å beskytte barn og unge mot enkelte miljøer eller personer. Opplysningene på nettet er søkbare for alle og kan enkelt hentes fra både inn- og utland. Informasjonen kan brukes til markedsføring, videresalg eller andre framstøt overfor den mindreårige. Slik bruk er i mange tilfeller ulovlig.
Samtykke
Før publisering skal foresatte avgi et frivillig, utrykkelig og informert samtykke. For personer under 18 år skal foresatte i utgangspunktet samtykke på barnas vegne, men hvis den unge er over 15 år kan han eller hun gi samtykke til at skole eller forening publiserer bilde med navn på nettet. Den foresatte skal fortsatt få informasjon om bruken.
Internett åpner for en annen type eksponering enn det trykte mediet gjør, i tillegg til at søkemulighetene og sammenstillingsmuligheter er av en helt annen karakter. Dette utgangspunktet gjorde det nok også enkelt for en rekke organisasjoner å samarbeide med Datatilsynet om utsendelse av informasjonsskrivet. Blant de som videreformidlet informasjonen var Redd Barna, Barneombudet, lærerorganisasjonene og Norges idrettsforbund.
Ett eksempel
Bladet Tromsø publiserte bilder av skoleklasser hvor også navn på grunnskoleelevene var oppgitt. Datatilsynet skrev til Tromsø kommune og ba om en redegjørelse for hvordan bilder av barn i kommunens skoler kunne bli utlevert til uvedkommende. Det ble stilt spørsmål om foreldrenes samtykke var innhentet og hvilken informasjon skolene og kommunen hadde gitt til foreldrene før utlevering. Datatilsynet har ikke fått kommunens redegjørelse innen utgangen av meldingsåret.
Helsetjenester på Internett
I februar 2001 var Datatilsynet til stede på et åpent møte der forskjellige leverandører av helsetjenester på Internett presenterte sine tilbud. Dette ble innledningen til en dialog med mange av dem som er ansvarlige for tjenestene. Det resulterte også i en prosess for å bringe i orden en viktig forutsetning for i det hele tatt å tilby slike tjenester, nemlig konsesjon fra Datatilsynet.
Ulike nettsteder - ulike ordninger
De forskjellige nettstedene som tilbyr helsetjenester har litt ulike konsepter. Noen gir individuelle råd og veiledninger til brukeren, mens andre er organisert som "åpne torg" der alle kan lese både spørsmål og svar. På de sistnevnte legger tilbyderen opp til at brukerne skal være anonyme. Disse tjenestene er gratis å bruke, mens enkelte av nettstedene med individuelle og personlige svar tar betalt for tjenesten.
Konsesjonsplikt
Felles for alle tjenestene er at Datatilsynet har kommet til at de er konsesjonspliktige. Personopplysningsloven sier at behandling av sensitive personopplysninger i utgangspunktet krever konsesjon. Ingen av disse tjenestene kommer inn under de unntaksbestemmelsene som gjelder for behandlinger av helesopplysninger hos helsepersonell.
Konsesjon for "anonyme" opplysninger
En kuriositet er at også de nettstedene hvor det er lagt opp til at brukerne skal være "anonyme" er konsesjonspliktige, på tross av at anonymiserte helseopplysninger strengt tatt ikke er personopplysninger. Årsaken til at disse likevel vil trenge konsesjon, ligger i en vurdering i forarbeidene til loven. Her sies det med rene ord at fordi det er teknisk mulig å spore tilbake til en "anonym" bruker på Internett via teleoperatørens aktivitetslogger, vil man legge igjen et elektronisk spor som gjør at bruk av disse tjenestene genererer "personopplysninger".
Nødvendig dialog
Datatilsynet fikk mange henvendelser fra behandlingsansvarlige for de forskjellige nettstedene etter møtet. Vårt inntrykk er at dette var en nødvendig dialog, ikke minst fordi det blant flere av tjenesteleverandørene var dårlig gjennomtenkte sikkerhetsløsninger. Særlig var ukritisk bruk av e-post via Internett et problem. Som den profesjonelle part i dialogen mellom en bruker og fagpersonen, vil sistnevnte ha et ansvar for at tjenesten er lagt opp slik at brukerens personvern blir ivaretatt.
Ut over våren 2001 behandlet Datatilsynet konsesjonssøknader fra seks større eller mindre tjenesteleverandører av helsetjenester på Internett. For hver av disse er sikkerhetstiltakene vurdert, og i noen tilfeller ført til at tjenesten er lagt litt om for å oppnå tilfredsstillende sikkerhet.
Datatilsynet har i løpet av året fått henvendelser og tips om at det trolig finnes flere aktører som behandler helseopplysninger på nett uten konsesjon fra tilsynet. Kontroll og tiltak i forhold til disse vil bli vurdert og gjennomført i løpet av 2002.