Datatilsynet har i løpet av året mottatt en rekke høringer som reiser sentrale spørsmål om offentlig sektors behandling av personopplysninger. Felles for mange av initiativene er ønsket om å få til en mer kostnadseffektiv og brukerrettet offentlig forvaltning, i tråd med regjeringens moderniseringsprogram. Noen av de foreslåtte tiltakene innebærer lagring av store mengder personopplysninger i sentrale databaser, eventuelt at det etableres portaler for utveksling av personopplysninger forvaltningen imellom. Eksempler på dette er Moderniseringsdepartementets planer om en felles offentlig it-arkitektur og etablering av en database med grunndata for det offentlige til bruk av ulike forvaltningsorganer. Videre Helse- og omsorgsdepartementets "Norsk pasientregister" og Utdanningsdepartementets sentrale elevregister knyttet til nasjonale prøver.
Det effektive ikke alltid det riktige
Det er naturlig, og i de fleste sammenhenger også riktig, at man også i offentlig sektor tar i bruk ny informasjonsteknologi for å effektivisere og rasjonalisere sine saksbehandlingsprosesser og samhandling med publikum.
Imidlertid vil Datatilsynet minne om at stat og kommune ikke ensidig kan legge vekt på idealer fra privat sektor og etablere løsninger som synes hensiktsmessige ut fra rene effektivitetshensyn. Selv om offentlige etater, i likhet med privat sektor, driver utstrakt tjenesteyting, utøver det offentlige i tillegg også en betydelig grad av makt- og myndighetsutøvelse. Det offentlige må derfor, i tillegg til økonomisk rasjonalitet, også legge vekt på hensyn som rettssikkerhet, personvern og medvirkning for alle deler av befolkningen. Det er i siste instans opp til de øverste politiske myndigheter å avveie rene effektivitetshensyn opp mot slike grunnleggende rettigheter.
Sentrale databaser
Datatilsynet ser med bekymring på en utvikling mot store sentrale databaser med personopplysninger. Ut fra personvern- og rettssikkerhetshensyn kan det i mange sammenhenger faktisk være hensiktsmessig at personopplysninger fortsatt lagres på forskjellige steder i forvaltningen og at manglende standardisering forhindrer "fri flyt" av opplysningene. Det at det krever en del ressurser å samle inn og sammenstille personopplysninger fra ulike kilder kan også bidra til mindre misbruk. Menneskelige "portvakter", som stiller spørsmål ved hvorvidt det er riktig og nødvendig å gi ut personopplysningene, kan også redusere unødig spredning. Dersom man fjerner disse hindringene ved etablering av nye og mer effektive løsninger, må det i stedet bygges inn andre mekanismer som reduserer potensialet for at personopplysninger spres unødig eller misbrukes.
All erfaring tilsier dessuten at etableringen av store databaser med godt strukturerte personopplysninger raskt fører til et press for at opplysningene også skal taes i bruk til helt andre formål enn hva de opprinnelig ble innsamlet for.
Felles it-arkitektur og felles grunndata
Moderniseringsdepartementet sendte høsten 2004 ut to rapporter til høring, "Forprosjektrapport om arkitektur for elektronisk samhandling i offentlig sektor" og rapporten "Persondatautveksling i Norge". Begge rapportene berører hvordan det offentlige bedre kan utveksle og benytte persondata. Rapportene har imidlertid en så overlappende og uoversiktlig tematikk at det var vanskelig for Datatilsynet å ta stilling til innholdet i disse. Rapportene er lite konkrete med hensyn til mål, analyser, tiltak og konsekvenser. Vurderinger med hensyn til personvern og informasjonssikkerhet er nærmest helt fraværende. Man har stort sett nøyd seg med å gå rett på lettvinte konklusjoner om at fordelene ville overstige de mulige ulempene for personvernet, eller at slike spørsmål var det andre prosjekter som tar hånd om. Lov og regelverk, herunder personvernlovgivningen, blir i den ene rapporten omtalt som "hindringer" for de nye og effektive løsningene som søkes etablert. Dette kan være uttrykk for en manglende forståelse for de hensynene og veloverveide vurderingene som ligger bak dagens personvernlovgivning i Norge og Europa for øvrig.
Maktforskyvning
Rapportene tar til orde for å få til mer gjenbruk og en mer effektiv utnyttelse av forskjellige typer grunndata på tvers av forvaltningen. En betydelig del av den informasjonen som skal utveksles vil naturlig nok være personopplysninger. Det at offentlige myndigheter får en enklere tilgang til stadig større mengde opplysninger om den enkelte borger, uten å være i direkte kontakt med vedkommende, kan isolert sett bidra til en svært effektiv forvaltning. Imidlertid kan det også bidra til en forsterket maktforskyvning fra den enkelte borger til myndighetene.
”Min side”
Moderniseringsdepartementet skal etablere en felles inngangsdør til offentlige tjenester på Internett i løpet av sommeren 2005. Gjennom "Min side" skal borgerne kunne få tilgang til digitale tjenester uavhengig av hvilken sektor eller forvaltningsnivå som tilbyr tjenestene.
Innsyn gir bedre personvern
Etableringen av ”Min side” kan gjøre det lettere for den enkelte å kontrollere hvilke personopplysninger som ulike statlige og kommunale etater har registrert om vedkommende. Det er også mulig å etablere løsninger som varsler den berørte når ulike forvaltningsorganer utveksler opplysninger om vedkommende. Bedre muligheter for innsyn vil bidra til økt kvalitet i de personopplysningene som forvaltningsorganene benytter seg av, ved at feil i opplysningene oppdages og rettes, og overskuddsinformasjon slettes. På denne måten kan ”Min side” bidra til, ikke bare en mer effektiv og brukervennlig forvaltning, men også til et bedre personvern. Dette forutsetter imidlertid at hensynene til personvern og informasjonssikkerhet taes inn som sentrale premisser allerede tidlig i planleggingen.
Ulike brukere - ulike forutsetninger
Når det offentlige skal etablere løsninger hvor man oppfordrer alle til å ta i bruk dataverktøy i sin dialog med forvaltningen må det også etableres sikkerhetsløsninger som tar høyde for at brukerne har høyst ulike forutsetninger for å bidra til oppfyllelse av den samlede informasjonssikkerheten ved bruk av tjenestene. Det er en kjensgjerning at mange private databrukere i liten grad tar i bruk helt elementære sikkerhetsløsninger, eksempelvis viruskontroll, brannmur, passord og annen konfigurasjonskontroll. Og, i enda mindre grad, elektronisk signatur og kryptering som i dag er nødvendig for sikker kommunikasjon. Mange er også fortsatt avhengig av å benytte offentlig tilgjengelige PCer for eksempel på biblioteker, skoler og internettkafeer.
Datatilsynet har derfor overfor Moderniseringsministeren pekt på behovet for at det foretas sikkerhetsvurderinger og tilpasninger av løsningen også med tanke på de store variasjonene med hensyn til sluttbrukernes dataverktøy, kompetanse og mulighet til å ivareta eget personvern. Ved bruk av dagens nettbankløsninger er det i første rekke bankene selv som tar konsekvensene ved misbruk. Brukerne lider derfor i liten grad tap dersom de ikke selv har utvist grov uaktsomhet. Ved etablering av en felles portal, hvor mange personopplysninger gjøres tilgjengelig, må det tilsvarende avklares hvem som skal ta ansvaret ved misbruk og hvem som skal bære kostnadene når noe går galt. Det kan vise seg vanskelig å sette en prislapp på den byrde borgeren må bære dersom personopplysninger skulle komme på avveie eller bli misbrukt.
Sikkerhetsnivåer og klargjøring av ansvar
Å få til en sikker identifisering av brukeren vil være helt avgjørende. Dersom det skal benyttes én portal med sentral pålogging må sikkerhetsnivået dimensjoneres i forhold til det til enhver tid mest sensitive materialet som tilbys, og det samlede omfanget av personopplysninger som kan hentes ut via portalen.
Moderniseringsdepartementet har nedsatt en prosjektgruppe som skal komme fram til løsninger for sikker kommunikasjon mellom publikum og forvaltningen. Viktige aktører i denne prosessen har vært de store offentlige etatene som har utstrakt samhandling med publikum. Datatilsynet har kun vært observatør i arbeidet. Tilsynet konstaterer at de offentlige etatene kommuniserer ulike behov med hensyn til hva som skal regnes som tilstrekkelig sikker kommunikasjon. Det må imidlertid være hensynet til brukerne som er avgjørende for hvilken løsning som velges. Datatilsynet mener at det bør etableres én enhetlig løsning som kan gi tilfredsstillende kommunikasjon mellom alle parter og nivåer. Dette også ut fra en samfunnsøkonomisk vurdering.
Før løsningen blir satt i drift må det også være avklart hvem som skal være behandlingsansvarlige etter personopplysningsloven for de ulike elementer av datagrunnlaget som presenteres i portalen, og hvem som skal være behandlingsansvarlig for den samlede løsningen. De behandlingsansvarlige vil være selvstendig ansvarlige for å forankre elementene i en sikkerhetsstrategi. Gjennomførte risikovurderinger må også dokumentere en samlet forsvarlig sikkerhet i alle ledd av løsningen.
Skoleporten og nasjonale prøver
Utdanningsdepartementet har, i forbindelse med nasjonale prøver, etablert et sentralt register som lagrer karakterer, navn og fødselsnummer for alle skoleelever i Norge. Datatilsynet fikk utover høsten 2004 henvendelser fra mange lærere som var bekymret for denne sentrale registreringen og den tilhørende profilbyggingen. I følge nettstedet "skoleporten.no" skal profilen følge eleven og brukes til å gi tilpasset opplæring.
Datatilsynet ser det som uheldig at forskriftsbestemmelsen som pålegger den sentrale innrapporteringen ikke var forelagt Datatilsynet til uttalelse. Tilsynet bad derfor Utdanningsdepartementet om en redegjørelse for hvilke vurderinger som ligger til grunn for å knytte karakteropplysningene til navn og fødselsnummer. Over tid kan disse profilene bli meget omfattende, og innebære personvernrisiko for den enkelte elev. Man kan heller ikke forvente at barn kan ivareta sine rettigheter etter loven på samme måte som voksne.
Datatilsynet har i oppfølgende møter med Utdanningsdepartementet uttrykt sin fortsatte skepsis til den løsningen som er valgt. Utdanningsdepartementet vil som følge av dette ta løsningen opp til ny vurdering, og var ved årsskiftet fortsatt i dialog med Datatilsynet om dette.
Ny lov om utdanningsstøtte
Datatilsynet stiller seg kritisk til den foreslåtte bestemmelsen om innhenting av personopplysninger i forslaget til ny Lov om utdanningsstøtte. I stedet for å innhente opplysninger ved samtykke fra søkeren selv, foreslås det at Statens lånekasse med hjemmel i lov skal kunne innhente en rekke opplysninger fra andre.
Tilsynet har forståelse for at man søker å etablere mer effektive og kostnadsbesparende tiltak for administrasjon av utdanningsstøtten. På den annen side er det vesentlig at lånsøkere i størst mulig grad selv bidrar med opplysninger som er relevante. En administrasjon av rettigheter som i stor grad baserer seg på innhenting av opplysninger fra andre, vil kunne føre til at den registrerte mister oversikten over hvilke opplysninger som er lagt til grunn for behandlingen. Innhenting av opplysninger fra andre krever i tillegg høy kvalitet og pålitelighet.
Tilsynet er også kritisk til forslaget om å gi en vid lovhjemmel til å kunne innhente opplysninger også om tredjepersoner.
Samordning av arbeidsmarkedsetaten, trygdeetaten og sosialtjenesten
Rattsø-utvalget la sommeren 2004 frem sitt forslag om en samordning av arbeidsmarkedsetaten, trygdeetaten og sosialtjenesten. Utvalgets anbefaling innebærer en løsning der det organiseres en ny, statlig etat for arbeid og inntekt, og en ny statlig etat for pensjoner samt stønader og refusjoner i forbindelse med nedsatt helse, pluss en rekke andre ytelser knyttet til barn. Utvalget foreslår at kommunen beholder ansvaret for å yte sosialhjelp.
Deler av forslaget vil innebærer store personvernmessige konsekvenser for den enkelte. En sentralisert og stor ansamling av til dels meget sensitive personopplysninger gir et økt potensiale for misbruk. Svært mye kunnskap om det enkelte menneske vil kunne bli tilgjengelig for førstelinjetjenesten. Forslaget kan også føre til et stort press mot taushetsplikten mellom fagområdene og internt i etatene.
Utvalget ønsker at man skal ha en stor grad av organisatorisk fleksibilitet. Det anbefalte forslaget legger derfor opp til at førstelinjetjenesten skal kunne arbeide på tvers av formelle etatsgrenser. De skal kunne håndtere opplysninger fra mennesker som søker hjelp både når det gjelder pensjonsspørsmål, refusjon av utgifter for sin nedsatte helse, og spørsmål om manglende inntekt ved langvarig sykdom.
Datatilsynet mener at forslaget om en slik førstelinjetjeneste ikke er tilrådelig, spesielt om det legges opp til at den enkelte saksbehandler skal få tilgang til svært omfattende, og kanskje også sensitiv informasjon om innbyggerne i kommunen.
Taushetsbestemmelsene bør etter Datatilsynets oppfatning ikke strekkes lenger enn nødvendig. Den enkelte saksbehandler bør ikke gis tilgang til flere opplysninger enn vedkommende faktisk trenger for å løse sin oppgave. Selv om den enkelte saksbehandler har taushetsplikt også overfor saksbehandlere i samme etat, har organiseringen av arbeidet mye å si for om personopplysninger spres eller ikke. Mindre etater med noe mer spesialiserte oppgaver vil medføre mindre spredning.
Datatilsynet anbefaler at man bruker de muligheter som ny IT-teknologi gir, til å etablere interne tilgangsbegrensninger. Slike begrensninger i systemene kan sikre at saksbehandlerne kun får tilgang til de opplysningene de trenger for å løse sine konkrete oppgaver. En uthuling av taushetsplikten vil kunne gi etatene lav tillit i befolkningen.
Datatilsynet er for øvrig ikke enig i Rattsø-utvalgets fremstilling av at personvern og rettssikkerhet ”setter unødige hindringer for et samarbeid mellom offentlige etater til brukerens beste”. Regelverket på personvernområdet er nært knyttet opp til internasjonale konvensjoner som Norge er forpliktet til å følge.
Supplerende stønad for personer med kort botid i Norge
I utkast til Lov om supplerande stønad for personar med kort butid i Norge foreslås det at trygdekontorene skal gis en svært vid adgang til å kontrollere rettighetshaverne etter loven. I realiteten gis Trygdeetaten mulighet til å innhente alle typer opplysninger fra alle offentlige instanser. Den foreslåtte loven vil innebære en oppheving av taushetsplikten i en rekke andre særlover. Datatilsynet er skeptisk til en slik oppheving uten at det er vurdert hva taushetsplikten og diskresjonshensyn representerer av verdi i den enkelte særlov. Trygdeetaten vil, dersom lovforslaget gjennomføres, også få tilført mye overskuddsinformasjon.