Ny personopplysningslov

Høring utkast til ny personopplysningslov – gjennomføring av personvernforordningen i norsk rett. Innspill til ny personvernlov

Innspill fra Forskerforbundet

Det vises til høring fra Justis- og beredskapsdepartementet vedrørende utkast til ny personopplysningslov, datert 6. juli 2017.  Av høringsbrevet framgår at den nye personopplysningsloven implementerer personvernforordningen i norsk rett.  Forordningen trer i kraft 25. mai 2018. Forordningens tekst ligger fast, så høringen vil bare kunne påvirke de tilpasningene i nasjonal rett som forordningen åpner for. 

Forskerforbundet er opptatt av å ivareta, styrke og synliggjøre forskningsvirksomheten i arkiv-, bibliotek- og museumssektoren og vil med dette løfte fram noen merknader knyttet til formålangivelsen «arkivformål i allmennhetens interesse». I tillegg har vi konkrete merknader til §§ 6 og 14 i lovutkastet, inkludert forslag til endringer og/eller tilføyelser.

Vårt høringssvar bygger i all hovedsak på innspill fra Arkivarforeningen, som er en fagpolitisk forening under Forskerforbundet.

Vedrørende formålsangivelsen «arkivformål i allmennhetens interesse» i forordningen, og behovet for å gjennomgå hjemler knyttet til dette formålet i nasjonal lovgivning

Den nye forordningen har tatt inn uttrykket «arkivformål i allmennhetens interesse» som en egen formålsangivelse, med det utgangspunkt at arkivformål ikke skal anses som uforenlig med det opprinnelige formålet med behandlingen av personopplysninger. Det er et godt utgangspunkt, men det fører også med seg noen uklarheter som kan gjøre det nødvendig å se nærmere på om hjemlene i norsk rett til å behandle personopplysninger i arkiver fremdeles vil være tilstrekkelige når den nye forordningen trer i kraft.

Høringsutkastet har i hovedsak gode drøftinger av hvilke nasjonale tilpasninger i personopplysningsloven som sådan som vil være hensiktsmessige i forbindelse med behandling av personopplysninger for arkivformål.  Disse hensynene blir hovedsakelig fanget opp av §§ 6 og 14 i utkastet til ny lov. Det er derimot etter vårt syn lagt for lite vekt på å utdype hvilket materiale og hva slags virksomhet som vil eller bør være omfattet av dette formålet, særlig i lys av de kriteriene som kommer til uttrykk i forordningens fortalepunkt 158, annet punktum. I norsk (foreløpig uoffisiell) oversettelse lyder disse kriteriene slik:

«Offentlige myndigheter eller offentlige eller private organer som oppbevarer fortegnelser av offentlig interesse, bør være tjenester som i henhold til unionsretten eller medlemsstatenes nasjonale rett har en rettslig forpliktelse til å innhente, bevare, vurdere, organisere, beskrive, kommunisere, fremme, spre og gi tilgang til fortegnelser av varig verdi i allmennhetens interesse.»

Det kan være rimelig å anta at det i en del sammenhenger vil stilles spørsmål om hvorvidt det foreligger en tilstrekkelig klar «rettslig forpliktelse» til å utføre de oppgavene som tilsier at et arkivformål er et holdbart grunnlag for å behandle personopplysninger. Arkivloven i sin nåværende form har en formålsparagraf som gir et godt utgangspunkt for å begrunne arkivenes posisjon, men den mangler kanskje tilstrekkelig tydelighet om hvilke virksomheter i samfunnet som ivaretar dette formålet.

I høringsnotatet, side 123-124, drøfter departementet ulike typer behov for tilpasninger i særlovgivningen som følge av forordningen. For den typen tilfeller der «bestemmelser i særlovgivningen er regler som gir lovgrunnlag for behandling av personopplysninger på et bestemt område» (kursivert i høringsnotatet) antas det i hovedsak at eksisterende bestemmelser kan videreføres uendret. Det kan være grunn til å tvile på om den antakelsen er holdbar for hele det feltet som burde være omfattet av arkivformål som behandlingsgrunnlag, sett i lys av kravet i fortalepunkt 158 til at det foreligger en rettslig forpliktelse.

Arkiver, som en sekundærbruk av dokumentasjon av spor etter menneskelig aktivitet, finnes i atskillig flere virksomheter i samfunnet enn bare i de offentlige arkivdepotinstitusjonene. Blant annet er det en rekke museer som har arkiver tilknyttet sine samlinger, samt en del andre offentlige og private virksomheter som forvalter arkivmateriale som en avgrenset del av virksomheten.

I noen grad vil det finnes bestemmelser i lov eller forskrift som kan tenkes å innfri det fortalepunkt 158 legger til grunn som et krav til en rettslig forpliktelse til å forvalte slike arkiver. Et eksempel er universitets- og høyskoleloven § 1-4, der en del institusjoner pålegges et særskilt ansvar for å bygge opp, drive og vedlikeholde museer med vitenskapelige samlinger og publikumsutstillinger. Antakelig kan for eksempel arkivene ved HL-senteret, knyttet til Universitetet i Oslo, anses å være underlagt en rettslig forpliktelse i medhold av universitets- og høyskoleloven. Det er kanskje mer tvilsomt om dette ville være tilstrekkelig som grunnlag for Skeivt arkiv knyttet til Universitetsbiblioteket ved Universitetet i Bergen.

Et annet eksempel på rettslig forpliktelse som antakelig vil være holdbar som grunnlag for arkivformål er de relativt nye bestemmelsene om digitalt nettarkiv i pliktavleveringslova §§ 4 a – 4 c. Disse hjemlene er imidlertid nært knyttet til Nasjonalbibliotekets høsting av nettsteder, og neppe mulig å anvende for andre virksomheter som anser det relevant å bevare dokumentasjon fra aktiviteter på nettet for arkivformål i allmennhetens interesse.

Dersom man ikke går grundig gjennom behovet for å ta stilling til om behandling av personopplysninger for arkivformål har tilstrekkelig grunnlag, i lys av fortalepunkt 158, vil det være en viss risiko for at det kan fremstå tilfeldig hvorvidt arbeid med å forvalte arkivmateriale i ulike virksomheter i samfunnet kommer inn under forordningens og den nye personopplysningslovens bestemmelser om arkivformål.

Det er nylig nedsatt et nytt arkivlovutvalg, og det vil kanskje være naturlig at de tar med forholdet til den nye forordningens bestemmelser om arkivformål og kravet til rettslig forpliktelse i fortalepunkt 158 i sine vurderinger, men det vil neppe eliminere behovet for å gjennomgå hvorvidt det er holdbare grunnlag i nasjonal lovgivning for at alle arkiver som bør komme inn forordningens og personopplysningslovens angivelse «arkivformål i allmennhetens interesse» faktisk gjør det.

Merknader til enkelte bestemmelser i lovutkastet.

Utover den generelle bekymringen om rekkevidden av bestemmelsene knyttet til «arkivformål i allmennhetens interesse», har vi noen mer konkrete merknader til §§ 6 og 14 i lovutkastet.

Det første alternativet for unntak fra forbudet mot behandling av bestemte typer sensitive personopplysninger, i forordningens artikkel 9 nr. 1, er at adgangen til slik behandling er fastsatt i lov eller i medhold av lov. Det er et greit utgangspunkt.

Alternativet, dersom slik behandling ikke er fastsatt i lov, er fire kriterier som skal være oppfylt. Det siste av disse kriteriene, bokstav d, er at det skal være utpekt en personvernrådgiver og at vedkommende har tilrådd behandlingen.

Som det fremgår av drøftingen på s. 38 og 39 i høringsutkastet vil private arkiver i liten grad ha grunnlag i lovgivning. I tillegg til rent private arkiver finnes det også en del historiske arkiver som er knyttet til museumssamlinger, biblioteker, og andre forsknings- eller kulturbevaringsinstitusjoner med ulike former for eierskap, der grunnlaget i lovgivning antakelig er varierende, og i en del tilfeller antakelig for svak til å komme inn under den første unntaksbestemmelsen i § 6.

Et krav om at ulike slike virksomheter må ha en personvernrådgiver, og at vedkommende må gi tilslutning til behandlingen, vil kunne slå uheldig ut i en del tilfeller. For det første vil det antakelig bety en mer omfattende plikt til å utpeke personvernrådgiver enn den utvidelsen som i utgangspunktet følger av forordningens artikkel 37 nr. 1. Dette er ikke departementets intensjon, jf. drøftingen på s. 67 i utkastet. Særlig for mindre, frittstående institusjoner som forvalter arkiv som en avgrenset del av virksomheten vil en plikt til å utpeke personvernrådgiver fremstå som uforholdsmessig ut fra omfang og skadepotensial.

En annen innfallsvinkel til å ivareta personvern ved så spesialiserte oppgaver som arkivforvaltning, kan være en bransjenorm i tråd med forordningens artikkel 40. En bransjenorm som oppfyller kriteriene i forordningen vil i seg selv oppfylle punkt c i utkastets § 6 første ledd, og bør etter vårt syn også kunne tre inn i stedet for et krav til å utpeke personvernrådgiver som gir sin tilrådning. En bransjenorm for arkivområdet er under utarbeidelse av gruppen av europeiske nasjonalarkivarer. Det er altså grunn til å anta at man etter hvert vil få en felles atferdsnorm for arkivområdet. I det foreløpige utkastet fra European Archives Group er det foreslått at en felles atferdsnorm skal være obligatorisk for offentlige arkivinstitusjoner, og frivillig for private.

På denne bakgrunn foreslås følgende endring i § 6:

d) tilrådning fra personvernrådgiver, eller at den behandlingsansvarlige er tilsluttet og etterlever bransjevis atferdsnorm på området.

Forslaget til § 14 første ledd er i utgangspunktet greit, forutsatt at man har tilstrekkelige kunnskaper om hva det innebærer å nå målene med behandlingen. I et digitalt skapt arkiv, i et arkivdepot, handler dette om å opprettholde arkivenhetenes autentisitet og gjenfinnbarhet over tid, også når det innimellom er behov for å gjøre endringer i formater eller teknologisk plattform. Rekonstruksjon av en arkivsak, som for eksempel dokumenterer saksbehandlingen av en søknad etter et bestemt regelverk, forutsetter at man også har bevart den konteksten saksbehandlingen inngikk i dersom man både skal kunne ha tillit til dokumentasjonens positive og negative troverdighet. Det kan være en fare for at formuleringen «målene med behandlingen» leses slik at man vurderer personvernrettigheter for den enkelte løsrevet, fra sak til sak, og overser effektene det kan ha for mulighetene til å opprettholde autentisitet og gjenfinnbarhet over tid.

Følgende tilføyelse i § 14 første ledd kan kanskje bidra til tydeliggjøring:

[… eller i alvorlig grad vil hindre at målene med behandlingen nås], herunder å bidra til redusert sannsynlighet for at arkivmaterialets samlede autentisitet og gjenfinnbarhet kan opprettholdes over tid.

Med vennlig hilsen
Forskerforbundet

Petter Aaslestad
Leder

Hilde Gunn Avløyp
Generalsekretær