archive-no.com » NO » P » PERSONVERNNEMNDA.NO

Total: 189

Choose link from "Titles, links and description words view":

Or switch to "Titles and links view".
  • Personvernnemnda
    av teknologiske sikkerhetsløsninger hvor det fremgår at alle bilder blir lagret i 7 dager og det kun er Niscayah AS som har direkte tilgang til bildene Dokumentasjonen er mottatt og godtatt av alle ansatte I lokalene i Tromsø er arealet delt opp i tre soner Kundeareal hvor kundene kommer inn og oppholder seg Midtareal hvor ansatte mottar og oppbevarer edelmetaller Bakareal pauseareal hvor ansatte kan oppholde seg Grunnet veggskillet i mellom kundeareal og midtareal vil kameraovervåkning i kundedelen være verdiløst ved en hendelse i midtre del Transaksjoner av gullverdiene foregår enkelt fortalt 50 i kundeareal og 50 i midtareal Store verdier er også oppbevart i den midtre delen av lokalet og derfor helt nødvendig med overvåkning Overvåkningen er for verdiene som bytter hand og oppbevares i lokalet og ikke av ansatte Det er overvåkning av transaksjonen av edelmetaller som foregår i denne delen av lokalet Midtre del av lokalet er ikke ment for kunder Alarm som personalet kan utløse er avgrenset til risikoen for ran mens kameraovervåkning i denne del av lokalet vil være essensielt ved et eventuelt innbrudd og ran Bakre del kjøkken pauserom og toaletter er ikke kameraovervåket Således er oppfatningen om at de ansatte blir kontinuerlig overvåket en misforståelse Det er ikke de ansatte som overvåkes men verdiene i lokalet Kameraovervåkningen er meldt til Datatilsynet som pålagt og det har vært kommunikasjon ved innmeldingen med Datatilsynet da GullAdam hadde spørsmål rundt dette GullAdam har forholdt seg til alle regler og informasjon gitt av Datatilsynet og informasjon funnet på Datatilsynets nettsider og GullAdam stiller seg uforstående til Datatilsynets pålegg om å avslutte kameraovervåkningen som GullAdam mener er nødvendig for å verne om liv og helse samt forebygge straffbare handlinger 5 Datatilsynets vurdering Datatilsynet er av den oppfatning at det å få hele sin arbeidsdag fanget opp av overvåkningskameraer utgjør et betydelig inngrep i den ansattes personvern Selv om formålet ikke er å overvåke de ansattes prestasjoner vil et slikt tiltak normalt oppleves som bade kontrollerende og tyngende Det må kunne forutsettes at selv innenfor det tidsrommet ansatte har stilt seg til arbeidsgivers disposisjon har den enkelte et behov for en viss grad av frihet også en frihet fra å bli overvåket Det rettslige utgangspunktet følger av personopplysningsloven 38 overvåkning av et sted der en begrenset krets av personer ferdes jevnlig er bare tillatt dersom formålet er å forebygge farlige situasjoner ivareta hensynet til sikkerheten eller det for øvrig foreligger et særskilt behov Det skal derfor meget tungtveiende grunner til for at overvåkning av den del av lokalet der ansatte ufører sine primære oppgaver altså der de befinner seg mesteparten av arbeidsdagen skal kunne overvåkes Datatilsynet er av den oppfatning at vilkårene i personopplysningsloven 38 om kameraovervåkning ikke er oppfylt I brev av 13 6 2013 utdyper Datatilsynet at etter Datatilsynets vurdering gir ikke de nye opplysningene klare holdepunkter for å vurdere hvorvidt overvåkningen av de ansattes primærarbeidssted er nødvendig for å ivareta de angitte formålene med kameraovervåkningen I den opprinnelige klagen Datatilsynet mottok fra en av GullAdams tidligere

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_03.htm (2014-09-28)
    Open archived version from archive


  • Personvernnemnda
    sykdom eller tilpasningsvansker i samtale med sosialtjenesten Hun kan derimot ha nevnt sykdom hos far Han hadde på dette tidspunkt angina Under enhver omstendighet fremstår det som noe spesielt at kommunen verken henviser til kilden for opplysningene i sin journal og i særdeleshet ikke tar i betraktning verdien av en ung pikes karakteristikk av egne foreldre både med hensyn til psykiske plager og tilpasningsvansker Når det ikke fremgår av journalnotatet selv hvem hva som er kilden til klagernes diagnose er det rimelig å utlede av det som er beskrevet at klagerne har psykisk sykdom og tilpasningsvansker Journalen tar ingen kildemessige reservasjoner om dette Diagnosene kan derfor like godt fremstå som referanse til en kilde som er valid som til det motsatte slik kommunen nå hevder Det tilligger neppe en ungjente som selv sliter å gi uttalelser av en slik karakter med troverdighet Det er åpenbart at opplysninger som er kommet fra datter må undersøkes både grundigere og med større sikkerhet av sosialetaten Det var det full mulighet til Det beklemmende for Tysnes kommune i dette tilfellet var nok at de ikke på noen måte informerte foreldre om hverken datterens situasjon på dette tidspunkt eller noe senere da deres datter var utsatt for et alvorlig seksuelt overgrep Tysnes kommune avviser at å videreformidle denne type opplysninger nesten 30 år etter hendelsen ikke er et brudd på tausbetsplikten Det er klagerne uenig i og det vises til straffelovens 121 jf forvaltningslovens 13 Selv om kommunen fremmer en for så vidt alvorlig sak om omsorgsovertakelse for barn til fylkesnemnda er man bundet av tausbetsplikt Særlig fordi dette er opplysninger som kan spres av en privat part som ikke nødvendigvis er underlagt tausbetsplikt Videre er det mulig at fremleggelse av journaldokumentet er et brudd på arkivloven Statsarkivaren i Hordaland har uttalt seg i media Bergens Tidende i anledning overgrepet mot datteren I vurderingen må også tas med at fylkesmannen stiller spørsmålstegn ved verdien av opplysningene Ut fra sakens spesielle karakter må det anses at disse eksakte opplysninger måtte ha svært lite å si for den fylkesnemndssak som var fremmet Når det gjelder brev av 18 12 2012 har kommunen utdypet omstendighetene rundt journalføringen her Hvor informasjonen om klagerne foreldrene kommer fra er ikke beskrevet i selve notatet Det vises ikke til at det er datteren som sier det Informasjonen om foreldrene er formulert på en slik måte at det gis inntrykk av at man har en objektiv kilde til informasjonen Informasjonen om foreldrene er uansett uriktig Foreldrene hadde verken psykiske vanskeligheter eller tilpasningsproblemer De er opprinnelig begge fra Tysnes samme område og hadde kun noen få år bodd på Husnes før de kom tilbake og etablerte seg på hjemstedet Tysnes kommune beskriver at man mener journalnotatet er egnet til å beskrive vanskelighetene jenten selv opplever i egen oppvekst Til dette er å bemerke at hennes situasjon utmerket kan forstås ut fra de øvrige opplysninger i notatet De uriktige opplysningene om foreldrene fremstår som delvis løsrevne fra jentens vanskeligbeter og beskriver to foreldre som har

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_02.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    og tidligere saker av samme karakter eller hvor ofte et fenomen erfaringsmessig forekommer Slik informasjon er ofte viktig for vurdering av skyldspørsmål men denne typen spørsmål vil ikke Folkehelseinstituttets sakkyndige kunne besvare uten å ha et arkiv over sitt arbeid med tidligere saker Rettspatologi er en høyt spesialisert medisinsk fagdisiplin som krever vedvarende fagutvikling og kvalitetskontroll På samme måte som for alle andre medisinske fagspesialiteter er det derfor også ut fra faglige hensyn behov for å ta vare på informasjon om det arbeidet som er utført slik at dette kan bli systematisert analysert og gjenstand for læring I tillegg til at instituttet naturligvis har et selvstendig ansvar for å kunne dokumentere sin virksomhet ovenfor andre som måtte ha behov for og rett til innsyn FHI mener også at rettspatologene har plikt til å ta vare på sine nedtegnelser og vurderinger om enkeltpersoner uavhengig av det som følger av rettspleielovene De har som leger plikt til å føre journal for sitt arbeid Det vises til helsepersonelloven 39 og 40 jf 36 og pasientjournalforskriften 8 flg Det foreligger selvstendig hjemmelsgrunnlag for å oppbevare rettspatologenes nedtegnelser i tillegg til det hjemmelsgrunnlaget som følger av rettspleielovene FHI bemerker at Datatilsynets pålegg er gitt med hjemmel i en lov som overlapper hjemmelsgrunnlaget for andre lover FHI mener at det er et juridisk gråsoneområde mellom personvernloven og rettspleielovene og at det trengs en klargjøring av grenseflatene mellom disse Når man skal foreta en slik klargjøring er det imidlertid nødvendig å vurdere alle konsekvenser både positive og negative ved de avgrensningene man gjør Derfor blir det galt at Datatilsynet skal foreta en lovfortolkning som ensidig tar hensyn til det ene lovområdet Hvis FHI skulle bli nødt til å gjennomføre Datatilsynets pålegg slik de nå er formulert vil dette etter Folkehelseinstituttets mening få store og uforutsigbare konsekvenser for rettspleien I tillegg til betydelige økonomiske merkostnader vil de praktiske ulempene endringen vil medføre svekke og ikke styrke personvernet for dem som blir berørt Datatilsynets pålegg vil i praksis føre til at det vil bli en betydelig flyt av informasjon mellom ulike instanser gjentatte ganger over en lengre tidsperiode Instituttet er i kontakt med ulike instanser 8 10 ganger i løpet av en rettsprosess før saken er avsluttet Det innebærer at instituttet vil måtte levere fra seg slette motta og gjenopprette informasjon like mange ganger før saken er henlagt eller det foreligger rettskraftig dom Dataene knyttet til rettsmedisinske analyser finnes ikke i ett enkelt dokument som kan overføres i sin helhet men som mange små informasjonsbiter i mange ulike administrative systemer Rapportene FHI sender over består av et uttrekk av de elementene som blir regnet som de viktigste for saken slik den fremstår i øyeblikket Grunnlagsdataene i ubearbeidet form vil være helt uegnet til bruk i rettsapparatet og derfor er man avhengig av at analyseresultatene blir fortolket og satt inn i en sammenheng slik de blir når den sakkyndige avgir sine vurderinger Hvis man skulle overføre alle disse dataene til den enkelte oppdragsgiver hver gang man avga et prøvesvar og deretter gjenopprette dem neste gang samme instans eller en annen instans ønsket en utdyping klargjøring eller revurdering av svaret ville dette medføre risiko for at enkelte dataelementer på et eller annet tidspunkt ville kunne bli uteglemt slik at dokumentasjonen utilsiktet ble ufullstendig forvekslet slik at saksgrunnlaget ble forvrengt ødelagt slik at data ble borte eller lekket slik at data kom på avveie Ut fra et personvernhensyn vil det etter Folkehelseinstituttets mening være like viktig å sikre at de dataene som er lagret om en person er korrekte og fullstendige som å sikre at de ikke blir lagret unødvendig lenge så lenge de blir lagret på en trygg måte FHI kan derfor ikke se at det å gjennomføre Datatilsynets pålegg uten en konsekvensanalyse vil tjene personvernet for de som berøres av dette Endelig anfører FHI at det er uenig med Datatilsynet i fortolkningen av arkivloven I henhold til arkivlovens 1 har Folkehelseinstituttet plikt til å oppbevare saksdokumenter som er innkommet og generert under saksbehandlingen FHI mener at instituttet generelt og instituttets rettsmedisinske virksomhet spesielt klart faller inn under formålet til arkivloven Bevaringsplikten fremgår også av forskrift om offentlige arkiv 3 18 flg I brev av 15 4 2013 anfører FHI at grunnlaget for oppbevaring av personopplysninger når det gjelder rettspatologi er straffeprosessloven Det anføres flere alternative behandlingsgrunnlag herunder at obdusenten rettspatologen har selvstendig dokumentasjonsplikt og at det arbeidet som utføres under en obduksjon inklusive rettsmedisinske obduksjoner ikke dokumenteres noe annet sted enn den aktuelle avdelingen dvs i FHI eller i sykehuset som har utført den rettsmedisinske obduksjonen FHIs prinsipale anførsel er at behandling av personopplysninger på vegne av påtalemyndigheten har sitt grunnlag i straffeprosessloven 228 138 og 237 og påtaleinstruksen kap 13 Dette er da utenfor personopplysningslovens anvendelsesområde FHI fremholder at så lenge behandlingen av personopplysninger skjer i tilknytning til oppdrag for politi og påtalemyndigheten vil dette være hjemlet i straffeprosessloven og påtaleinstruksen Under enhver omstendighet vil rettspatologiske undersøkelser falle utenfor personopplysningslovens anvendelsesområde jf personopplysningsloven 2 nr 1 Rettsmedisinske obduksjoner vil ikke omhandle personopplysninger som kan knyttes til en levende fysisk enkeltperson Også dette har konsekvenser for vurderinger opp mot personvernopplysningsloven Etter FHIs mening må det være de prosessuelle og rettssikkerhetsmessige behov som avgjør når lagringskravet opphører etter straffeprosessloven Personopplysningslovens virkeområde inntrer først når straffeprosesslovens virkeområde opphører og eventuelt annet behandlingsgrunnlag ikke foreligger For at FHI skal kunne utføre sitt samfunnsoppdrag for påtalemyndigheten trenger instituttet å oppbevare informasjon også etter at den aktuelle saken er rettslig konkludert rettskraftig dom ev henlagt I mange straffesaker etterspør retten informasjon om hvilke paralleller man kan trekke mellom den aktuelle saken og tidligere saker av samme karakter eller hvor ofte et fenomen erfaringsmessig forekommer For å besvare slike spørsmål på en fyllestgjørende måte og ut fra norske forhold er det arkivet som de rettspatologisk sakkyndige har over arbeidet med tidligere saker av uvurderlig betydning Dette erfaringsgrunnlaget blir tillagt betydelig verdi både i arbeid med enkeltsaker og av retten Rettspatologi er en høyt spesialisert medisinsk fagdisiplin som krever vedvarende utvikling og kvalitetskontroll Det er sterke faglige behov for å ta vare på informasjon om det arbeidet som er utført slik at dette kan bli systematisert analysert og gjenstand for læring I tillegg har instituttet et selvstendig ansvar for å dokumentere sin virksomhet overfor andre som måtte ha behov for og rett til innsyn En rettsmedisinsk obduksjon utføres på vegne av påtalemyndigheten og det utarbeides alltid en rapport over funn vurderinger og konklusjoner Straffeprosessloven gir ikke bare hjemmel men også plikt til å oppbevare informasjon Det innebærer at de nødvendige opplysningene i hvert enkelt oppdrag må oppbevares inklusive notater skisser bilder mv som ikke inngår i obduksjonsrapporten Dette gjelder også for personopplysninger som FHI har mottatt og behandlet som en del av det sakkyndige oppdraget som kopi av pasientjournaler fra tiden før vedkommende døde Ansatte ved FHI blir rutinemessig oppnevnt og opptrer som sakkyndig jf straffeprosessloven 138 og 237 Et oppdrag som rettsoppnevnt sakkyndig vil normalt alltid være knyttet til det enkelte forutgående oppdrag rettsmedisinsk obduksjon med sakkyndigrapport utført av FHI på vegne av politi og påtalemyndighet selv om den sakkyndige oppnevnes av domstolen FHI vil også peke på at instituttet skal stå til rådighet for Den rettsmedisinske kommisjon når det er avgitt sakkyndige vurderinger og at sakkyndigrapporter i bl a rettspatologi alltid skal sendes til Den rettsmedisinske kommisjon jf strpl 146 Kommisjonen må ha tilgang til det underlagsmaterialet som den rettsmedisinske sakkyndigrapporten bygger på for tilfredsstillende å kunne foreta en hensiktsmessig kontroll Disse spørsmål er også drøftet i NOU 2001 12 Rettsmedisinsk sakkyndighet i straffesaker Det legges stor vekt på dokumentasjon kvalitetssikring og akkreditering Plikten til å foreta rettslige obduksjoner ble lovfestet allerede i 1751 Den rettsmedisinske kommisjon ble opprettet i 1900 Rettsmedisinere har siden da hatt plikt til å sende inn avskrift av sakkyndigerklæringen jf strpl 147 Enhver som tjenestegjør som sakkyndig i rettsmedisinske spørsmål skal straks sende den rettsmedisinske kommisjon avskrift av den skriftlige erklæring som han gir retten eller påtalemyndigheten Dette forutsetter en korresponderende dokumentasjonsplikt hos den sakkyndige Den rettsmedisinske kommisjon hadde 7883 saker i 2011 jf Årsmelding for Den rettsmedisinske kommisjon 2011 Etter at to instans reformen i rettsapparatet ble innført kommer saken ofte opp på nytt for lagmannsretten Forut for ny rettsrunde hender det at rettsmedisineren mottar forespørsel om tilleggsuttalelse med et nytt mandat der spesielle spørsmålsstillinger presiseres Med slike anmodninger følger ofte mange dokumenter Avhør tekniske undersøkelser etc De nye mandatene besvares skriftlig og presenteres ved behandlingen i lagmannsretten Alt materiale arkiveres ved FHI Også ved hovedforhandlingen i lagmannsretten gjør rettsmedisineren notater Etter at dom er falt mottas kopi av dommen Dersom dommen blir kjent ugyldig på grunn av saksbehandlingsfeil blir det en ny runde med mulighet for nye eller utdypende mandater besvarelse av disse notater fra hovedforhandlingen og kopi av den nye dommen I en slik omfattende sak kan sakarkivet inneholde flere fulle mapper med alle dokumentene som er nevnt ovenfor Medisinske journaler blir som regel returnert til sykehusene men man beholder som regel kopi av korte sammenfatninger epikriser Sakarkivet i rettspatologi består av et elektronisk arkiv som går tilbake til 1984 samt et papirarkiv som går tilbake til 1856 Det elektroniske sakarkivet inneholder navn på den undersøkte med personnummer og adresse instituttets løpenummer rekvirent og rekvirentens saksnummer Dersom politiet har vært til stede ved obduksjon eller klinisk rettsmedisinsk undersøkelse er navnet på polititjenestepersoner angitt Videre er det oppgitt navnet på den eller de rettsmedisinerne som utførte undersøkelsen Den elektroniske rapporten består av sammenfatning og konklusjon samt selve rapporten uten vedlegg Bildedokumentasjon fra undersøkelsen er i noen tilfeller lagret elektronisk sammen med rapporten I det elektroniske arkivet finnes foruten obduksjonsrapporter klinisk rettsmedisinske undersøkelser åstedsundersøkelser rekonstruksjoner og sakkyndige rapporter erklæringer rekvirert av påtalemyndigheten Det elektroniske arkivet ligger på en sikker server i et lukket nett Rettsmedisinerne sekretærene og utvalgte ingeniører i avdelingen har tilgang I papirarkivet oppbevares alle dokumenter i sakene FHIs oppdragsgivere mottar kun foreløpige obduksjonsrapporter den endelige obduksjonsrapporten samt skriftlige tilleggsrapporter De eneste vedleggene er ev kopi av rettstoksikologisk undersøkelse og av ev nevropatologisk undersøkelse dersom hjernen er undersøkt særskilt Andre underdokumenter vedlegges ikke Disse finnes kun oppbevart i sakarkivet Papirarkivet oppbevares i et avlåst rom der kun legene sekretærene og noen få utvalgte ingeniører har adgang Det elektroniske arkivet brukes blant annet til forberedelse av rettssaker Rettspatologen blir gjerne spurt om hvor hyppig forskjellige skader forekommer og om karakteristiske trekk ved enkelte typiske hendelsesforløp Eksempler kan være Hvor ofte ser dere traumatiske subaraknoidalblødninger voldsfremkalte blødninger i de bløte hjernehinner Eller Hva er typisk hendelsesforløp ved knivstikk som treffer et stort blodkar Kan den tilskadekomne bevege seg etter knivstikket Hvor lenge kan han overleve Hvordan vil handlingsevnen være Før en rettssak vil rettspatologen ved hjelp av stikkordsøkning kunne oppdatere seg på denne typen informasjon ved bruk av det elektroniske arkivet Dette er kodet slik at man kan søke f eks på traumatisk subaraknoidalblødning eller på drap med skarp gjenstand Ved flere anledninger har det blitt reist straffesak opptil fire år etter at obduksjonen var utført og saken var blitt henlagt Underlagsdokumentene fantes og finnes kun i sakarkivet Disse var avgjørende i saken ettersom mandatet fra politi påtalemyndighet retten vil bli presisert som følge av forklaring fra den som er siktet tiltalt og fra vitner Ved gjenopptakelsessaker er problemstillingen den samme Underlagsdokumentene finnes ikke i oppdragsgivers arkiv og heller ikke i arkivet til Den rettsmedisinske kommisjon For forskning og undervisning er sakarkivet uunnværlig Lærebok i rettsmedisin er den eneste oppdaterte læreboken faget i Norge Det materialet som finnes i sakarkivet er svært verdifullt bl a for oppdatering av læreboken selvfølgelig avidentifisert Rettsmedisinsk institutt har i alle år gjort opp materialer basert på sakarkivet Sakarkivet representerer i tillegg en enestående kilde for historisk medisinsk historisk og for kriminalhistorisk forsking I tillegg til straffeprosesslovens bestemmelser mener FHI at helsepersonelloven også kommer til anvendelse Det er riktig at rettspatologi ikke er helsehjelp til levende men metodisk er det ingen forskjell på en medisinsk obduksjon og en rettsmedisinsk obduksjon Begge utføres av medisinsk personell med patologisk ekspertise og begge undersøkelser skal bidra til å fastslå dødsårsak og årsakssammenhenger En medisinsk obduksjon rekvireres av lege av medisinske grunner jf transplantasjonsloven 7 Det er ingen tvil om at dette er helsehjelp og at obduksjonsrapporten er å anse som en del av pasientjournalen jf blant annet NOU 2011 21 Når døden tjener livet s 62 og 88 En rettsmedisinsk obduksjon rekvireres av påtalemyndigheten iht straffeprosessloven 228 og påtaleinstruksen kap 13 Det er her ikke uttrykt samme krav til dokumentasjon og kvalitetskontroll og saksbehandlingen er ikke nærmere regulert I gjeldende forskrift om obduksjon er det imidlertid i merknaden til 2 sagt at selv om forskriften ikke gjelder rettslige obduksjoner er det ingen ting i veien for at påtalemyndigheten legger prinsippene i obduksjonsforskriften til grunn så langt disse passer Bortsett fra selve hjemmelsgrunnlaget for å begjære utførelse er det liten faglig forskjell på undersøkelsene I opp til halvparten av de rettsmedisinske undersøkelsene er dødsårsaken sykdom og helsetjenesten har behov for å få dette dokumentert i pasientjournalen Tilsvarende undersøker også sykehuspatologene unaturlige dødsfall hvor det ikke er begjært rettslig obduksjon men hvor funnene fører til melding til politiet og disse kan gjøre en straffesak aktuell Det er derfor rimelig at det stilles samme krav til håndtering NOU 2011 21 foreslår derfor ny obduksjonslov som også delvis skal gjelde rettsmedisinske obduksjoner FHI mener at rettspatologene har dokumentasjonsplikt og at denne også kan utledes av helsepersonelloven og obduksjonsreglene I tillegg til obduksjoner utføres det også kliniske rettsmedisinske undersøkelser av voldsofre og gjerningspersoner og medisinsk personell bistår ofte politiet ved åstedsundersøkelser i voldssaker Rettsmedisinske undersøkelser av levende utføres vanligvis av allmennpraktikere gynekologer og barneleger Undersøkelse av torturofre er også blitt en disiplin som utføres av både rettsmedisinere og kliniske leger Selv om dette er undersøkelser som er begjært av påtalemyndigheten har legen dokumentasjonsplikt etter helselovgivningen uavhengig av grunnlaget for anmodningen FHI har plikt til å oppbevare saksdokumenter som er innkommet og generert under saksbehandlingen jf arkivloven 1 FHI mener FHI generelt og den rettsmedisinske virksomhet spesielt klart faller inn under formålet til arkivloven særlig ettersom FHIs underliggende dokumentasjon ikke finnes andre steder Bevaringsplikten fremgår også av forskrift om offentlige arkiv 3 18 flg Unntak kan følge av særlige bestemmelser om sletteplikt i straffeprosessloven Det er FHIs syn at også sakkyndige oppdragsvirksomhet i utgangspunktet er underlagt arkivplikt Når det gjelder saken S and Marper vs UK ECHR 1581 2008 så gjaldt den tidsubestemt lagring av DNA prøver og registrering av DNA profiler i forbindelse med lovbrudd i Storbritannia Britisk lovgivning tillot at selv om saken ble henlagt eller tiltalte ble frifunnet ble ikke DNA profilene slettet fra registeret og DNA prøvene det biologiske materialet fra personer lagret på ubestemt tid Flertallet av Europarådets medlemsland tillater at det innhentes fingeravtrykk og DNA prøver i forbindelse med straffesaker men Storbritannia var det eneste medlemslandet som tillot systematisk og tidsubestemt oppbevaring av slike DNA profiler og av den avgitte prøven som danner grunnlag for analysen Det gjaldt for alle som avga prøver uavhengig av status i straffesaken Saken involverte to personer fra Sheffield England Mr S og Michael Marper Mr S ble arrestert i 2001 da han var 11 år Fingeravtrykk og DNA prøve ble innhentet Han ble senere frikjent Michael Marper ble også arrestert i 2001 og siktet for trakassering av sin partner Hans fingeravtrykk og DNA prøver ble tatt Saken ble senere henlagt da Marper og hans partner ble forlikt før det kom til rettslig behandling Menneskerettighetsdomstolen kom til at det å holde DNA prøver av personer pågrepet men som senere er frikjent eller anklagene frafalt var et brudd på retten til privatliv i henhold til den europeiske menneskerettskonvensjonen Som følge av dette vedtok Storbritannia i 2010 at det biologiske materialet fra en person og som danner grunnlag for en analyse skal destrueres Videre er det bestemt at DNA profilen fra en person som frifinnes eller der saken blir henlagt skal slettes i DNA registeret etter seks år Denne saken var allerede kjent og aktuell i 2005 og den ble nevnt i NOU 2005 19 Lov om DNA register til bruk i strafferettspleien Norge har da også landet på en annen løsning enn hva Storbritannia hadde og vi lagrer ikke mottatt prøvemateriale fra personer for DNA profiler Det biologiske materialet destrueres rutinemessig etter at analysen er utført DNA profiler fra personer oppbevares i samsvar med Påtaleinstruksen og databehandleravtalen med KRIPOS DNA profiler for fornærmede og referansepersoner dvs vitner blir ikke overført til KRIPOS DNA registeret det har heller ikke vært tillatt i Norge noen gang Dette er prøver som avgis med samtykke og analysesvarene blir kun benyttet i den saken samtykket gjelder DNA registeret føres ved KRIPOS og er bygget opp i tre hoveddeler jf påtaleinstruksen kap 11a Identitetsregister Her registreres straffedømte når det foreligger rettskraftig dom mv og inntil fem år etter den registrerte er død Etterforskningsregister Her registreres DNA av den som med skjellig grunn mistenkes for en straffbar handling som etter loven kan medføre frihetsstraff mv Frifinnelse eller henleggelse medfører sletteplikt Domfellelse innebærer overføring til identitetsregisteret ut fra strafferamme Sporregister Her registreres DNA fra ukjent gjerningsperson mv Foreliggende databehandleravtale mellom KRIPOS og FHI regulerer blant annet krav til oppbevaring og sletting 5 Datatilsynets vurdering FHI gjennomfører ulike oppdrag på vegne av en rekke oppdragsgivere bade privatpersoner forvaltningsorganer politi og påtalemyndighet og domstoler Behandlingen omfatter blant annet DNA analyser og rettspatologiske undersøkelser Datatilsynet har lagt til grunn at Folkehelseinstituttet behandler personopplysninger i forbindelse med nevnte virksomhet og at personopplysningsloven kommer til anvendelse for deler av behandlingen Folkehelseinstituttet behandler personopplysninger som databehandlere for sine oppdragsgivere og at Folkehelseinstituttet må svare som behandlingsansvarlig dersom det behandler personopplysninger utover det som med rimelighet kunne sies å være avtalt med oppdragsgiverne på vedtakstidspunktet Folkehelseinstituttet må ha et rettslig grunnlag for behandlingene enten i form av databehandleravtaler med oppdragsgiverne personopplysningslovens 15 eller i et selvstendig behandlingsgrunnlag som nevnt i personopplysningsloven 8 og 9 for eksempel hjemmel i lov Folkehelseinstituttet mangler databehandleravtaler som fullt ut dekker deres behandling av personopplysninger Folkehelseinstituttet mangler selvstendig behandlingsgrunnlag for å oppbevare personopplysninger som er innhentet i forbindelse med eller som stammer fra oppdragsvirksomheten Det ble lagt til grunn at slik oppbevaring krever hjemmel i lov Med bakgrunn i ovennevnte vedtok Datatilsynet at personopplysninger fra oppdragsvirksomheten må slettes eller tilbakeføres til oppdragsgiver med mindre det inngås databehandleravtaler som gir instituttet et tilfredsstillende rettslig grunnlag for fortsatt behandling av opplysningene Tilsynet vedtok at det uansett måtte etableres databehandleravtaler for den delen av virksomheten som utvilsomt var omfattet av oppdraget Om personopplysningsbegrepet I klagen anfører Folkehelseinstituttet at en DNA profil ikke alltid vil være å anse som en personopplysning Instituttet hevder at resultatet blir at alt biologisk materiale som er egnet til å kartlegge DNA er å anse som en personopplysning Datatilsynet mener at det må skilles mellom det biologiske materialet og opplysninger som utledes av materialet Sistnevnte kan etter omstendighetene utvilsomt være omfattet av personopplysningsbegrepet En DNA profil som er utledet av et biologisk materiale er å anse som et entydig identifikasjonsmiddel Bruken av slike er regulert i personopplysningslovens 12 Det må derfor kunne legges til grunn at DNA profiler er ansett å være personopplysninger i personopplysningslovens forstand I denne saken er DNA profilene uansett knyttet til andre opplysninger både identifiserende opplysninger som navn og fødselsnummer og til opplysninger fra den saken som undersøkelsen springer ut av for eksempel straffesak og forvaltningssak Datatilsynet fastholder således at det inngår personopplysninger i Folkehelseinstituttets behandling Om det biologiske materialet Folkehelseinstituttet oppbevarer omfattende mengder biologiske materiale som stammer fra deres oppdragsvirksomhet i en eller flere biobanker Datatilsynet har for denne saken lagt til grunn at personopplysningsloven ikke gjelder for slik behandling Tilsynet har i den forbindelse lagt avgjørende vekt på Personvernnemndas avgjørelse i sak PVN 2002 8 Datatilsynet mener imidlertid at rettstilstand en her er uklar Etter tilsynets vurdering kan det stilles spørsmål ved om ikke menneskerettsloven jf EMK artikkel 8 pålegger staten en plikt til å lovregulere en så vidt omfattende og systematisk behandling av biologisk materiale som man står overfor her Det foreligger i dag to lovverk som særregulerer biobankvirksomhet som sådan nemlig lov om behandlingsbiobanker og helseforskningslovens bestemmelser om forskningsbiobanker Disse er ikke anvendelige for biobankene ved Folkehelseinstituttet jf særlig helseforskningsloven 2 første ledd og behandlingsbiobankloven 1 og 2 I henhold til presumpsjonsprinsippet jf Grunnlovens 110c skal norsk lov tolkes slik at den kommer i overensstemmelse med folkeretten Dette prinsippet kan legges til grunn ved fortolkningen av personopplysningslovens anvendelsesområde og medføre at loven allikevel gjelder biologisk materiale i den utstrekning det ikke er etablert særlovgivning eller et av de øvrige unntakene i loven kommer til anvendelse Tilsynet gjør oppmerksom på at personopplysningsbegrepet i politiregisterloven vedtatt men ikke trådt i kraft omfatter biologisk materiale såfremt materialet er analysert eller på annen måte er identifisert politiregisterloven 2 jf politiregisterforskriften 1 2 nr 1 Den delen av biobanken som FHI har på vegne av politi og påtalemyndighet blir regulert i politiregisterlovens bestemmelser når forskriften trer i kraft Biologisk materiale som FHI behandler på vegne av andre oppdragsgivere vil heller ikke for fremtiden være regulert med mindre man legger til grunn at personopplysningsloven gjelder Om forholdet til rettspleielovene og hensynet til en forsvarlig rettspleie I klagen viser Folkehelseinstituttet til rettspleielovene og belyser behovet for at ulike instanser innen rettspleien besitter opplysninger og biologisk materiale fra straffesaker og sivile saker Folkehelseinstituttet viser også til at personopplysningsloven ikke gjelder for saker som avgjøres i medhold av rettspleielovene jf personopplysningsforskriften 1 3 slik at tilsynet ikke har kompetanse til å fatte vedtak i denne saken Datatilsynet vil understreke at denne saken angår hvorvidt det utenfor rettspleielovene og annet eventuelt behandlingsgrunnlag for den behandlingsansvarlige foreligger et selvstendig behandlingsgrunnlag for analyseinstitusjonen i henhold til personopplysningslovens 8 og 9 Datatilsynet har derfor heller ikke vurdert rekkevidden av rettspleielovene eller andre behandlingsgrunnlag for instituttets oppdragsgivere Tilsynet har i stedet overlatt til Folkehelseinstituttet og deres oppdragsgivere å identifisere den konkrete grensen gjennom inngåelse av databehandleravtaler som angir omfanget av oppdraget Det forhold at personopplysninger oppstår i eller har inngått i saker som behandles etter rettspleielovene er uansett ikke til hinder for at personopplysningsloven kommer til anvendelse på den videre behandlingen av opplysningene slik FHI synes å legge til grunn I henhold til Personvernnemndas avgjørelse i PVN 2008 02 gjelder unntaket bare frem til dom er falt Den videre behandlingen reguleres derfor uansett av personopplysningsloven med mindre det er etablert særlovgivning som nevnt i personopplysningsloven 5 Folkehelseinstituttet anfører at det vil kunne få negative konsekvenser for deres oppdragsgivere dersom instituttet etterkommer tilsynets pålegg om sletting Til dette vil Datatilsynet bemerke at tilsynets vedtak ikke griper inn i oppdragsgivernes anledning til å instruere Folkehelseinstituttet Inngåelse av en gyldig databehandleravtale om fortsatt oppbevaring etter at analysen er gjennomført vil medføre at opplysningene allikevel ikke skal slettes i tråd med tilsynets vedtak Dersom oppdragsgiverne ikke har kompetanse til å inngå avtaler med slikt innhold må de eventuelt henvende seg til lovgiver og be om at regelverket endres Folkehelseinstituttet bestrider at det foreligger et krav om databehandleravtaler ved behandling av personopplysninger etter rettspleielovene Datatilsynet er enig i at det for enkelte oppdragsgiveres vedkommende kan stilles spørsmål ved om det foreligger en slik plikt Uten en formalisert databehandlerrelasjon mellom oppdragsgiverne og FHI står man imidlertid overfor en ren utlevering av sensitive personopplysninger mellom to selvstendige rettssubjekter Dette kan være i strid med lovbestemt taushetsplikt for oppdragsgiverne Uten en databehandleravtale kan oppdragstaker uansett ikke vise til rettspleielovene som rettslig grunnlag for sin behandling og må i stedet kunne vise til et selvstendig behandlingsgrunnlag i personopplysningsloven Rekkevidden av databehandleroppdragene Datatilsynet har for sitt vedtak lagt til grunn at Folkehelseinstituttet er behandlingsansvarlig for enhver behandling som går utover databehandleroppdragene slik disse er definert i databehandleravtalene For disse behandlingene må instituttet ha et selvstendig behandlingsgrunnlag etter personopplysningsloven 8 og 9 Denne sondringen forutsetter i praksis at omfanget av databehandleroppdraget er nærmere definert gjennom en inngått databehandleravtale jf personopplysningsloven 15 Under kontrollen fremkom det at FHI ikke kunne legge frem databehandleravtaler med alle sine oppdragsgivere og at den databehandleravtalen som var inngått med KRIPOS ikke var klar på dette punktet Avtalen omhandlet verken sletting eller arkivering av personopplysninger I mangel av andre holdepunkter la Datatilsynet derfor til grunn at oppdragene må anses å være avsluttet når analysen er gjennomført og resultatet er oversendt oppdragsgiver Det kunne etter tilsynets vurdering ikke legges grunn at oppdragene omfattet en fortsatt oppbevaring av de aktuelle opplysningene hos RMI Det ble ved vurderingen tatt hensyn til at slik oppbevaring innebærer et betydelig inngrep i den enkelte registrertes personvern hvilket skjerper kravet til det rettslige grunnlagets i dette tilfellet avtalens klarhet Datatilsynet tok også med i betraktningen at det kunne stilles spørsmål ved om de ulike oppdragsgiverne hadde rettslig kompetanse til å inngå en avtale som innebærer at opplysningene ikke slettes og at dette burde avklares av den behandlingsansvarlige Med mindre noe annet nå er uttrykkelig avtalt med de behandlingsansvarlige fastholder tilsynet at databehandleroppdraget er oppfylt idet resultatene av prøveundersøkelsen er oversendt oppdragsgiver Folkehelseinstituttet har erklært at det vil inngå databehandleravtaler med noen av sine oppdragsgivere i tråd med Datatilsynets vedtak Tilsynet har ikke fått fremlagt disse men legger til grunn at avtalene nå er inngått og tilfredsstiller personopplysningslovens krav til slike Datatilsynet kjenner ikke til omfanget og rekkevidden av nye avtalene Det er derfor uklart for tilsynet hvor stor andel av angjeldende opplysninger som fremdeles behandles i Folkehelseinstituttet uten at det er klart hjemlet i databehandleravtaler Slik Datatilsynet ser det er det ikke nødvendig for tilsynsmyndighetene å avklare dette spørsmålet Det er tilstrekkelig å konstatere at det fremdeles skjer en omfattende oppbevaring av personopplysninger som ikke er eller vil bli hjemlet i en databehandleravtale Det endelige omfanget avklares gjennom inngåelse av databehandleravtaler i tråd med Datatilsynets vedtak Om Datatilsynets brev av 5 mai 2006 til Folkehelseinstituttet Folkehelseinstituttet anfører at Datatilsynet tidligere har hatt en annen praksis enn hva som legges til grunn i denne saken Instituttet viser til en uttalelse fra tilsynet i 2006 vedrørende rusmiddelanalyser som instituttet gjennomfører på vegne av politi og påtalemyndighet arbeidsgivere mfl Opplysningene fra disse analysene inngår i det såkalte SRI data hos Folkehelseinstituttet Tilsynet uttaler om dette at lagring av slike analyseresultater antas å gå inn under den nevnte unntaksbestemmelsen som en nødvendig del av analyseoppdraget Datatilsynet legger fremdeles dette til grunn som et utgangspunkt men forutsetter videre at dette bare gjelder iden utstrekning lagringen også er regulert i databehandleravtalen mellom Folkehelseinstituttet og deres oppdragsgivere Selv om dette ikke følger uttrykkelig av nevnte brev mener tilsynet at dette er en åpenbar forutsetning som følger av personopplysningsloven 11 jf 8 9 og 15 Uavhengig av dette mener tilsynet at det ikke kan se seg bundet av en tidligere uttalelse av veiledende karakter Spørsmålet om Folkehelseinstituttets eventuelt gode tro er uansett uten betydning ved vurderingen om det foreligger et rettslig grunnlag for den aktuelle behandlingen Om sakkyndigvirksomhet som grunnlag for Folkehelseinstituttets oppbevaring av personopplysninger fra oppdragsvirksomheten Folkehelseinstituttet anfører at deres ansatte rutinemessig blir oppnevnt og opptrer som sakkyndige i henhold til straffeprosesslovens 138 og 237 og derved har et selvstendig behov for å oppbevare opplysninger som er relevante i den forbindelse Til dette vil Datatilsynet bemerke at også sakkyndigoppdraget gjennomføres på vegne av en oppdragsgiver Det er derved oppdragsgiver som har ansvaret for gjennomføringen av oppdraget herunder å sørge for at de sakkyndige har adgang til de dokumenter og opplysninger som er nødvendig for å opplyse saken for vedkommende Det forekommer at også andre enn den som har gjort den rettsmedisinske undersøkelsen utnevnes som sakkyndig Dette forutsetter at opplysningene i saken er tilgjengelige for sakkyndige uavhengig av om de er ansatt i FHI En teoretisk mulighet for at det oppstår et fremtidig sakkyndigoppdrag nettopp for ansatte ved FHI kan etter tilsynets vurdering ikke begrunne at instituttet selv kontrollerer et så vidt omfattende og sensitivt materiale som det her er tale om Det gjelder selv om muligheten for at det oppstår et slikt oppdrag er relativt stor En slik ordning medfører en betydelig behandling av overskuddsinformasjon hos FHI som vanskelig kan anses å være forholdsmessig Datatilsynet fastholder at FHI ikke har behandlingsgrunnlag etter personopplysningslovens 11 jf 8 og 9 til å oppbevare nevnte opplysninger for sakkyndigformål En slik oppbevaring må eventuelt hjemles i en databehandleravtale med oppdragsgiver Om arkivloven som mulig behandlingsgrunnlag for Folkehelseinstituttets oppbevaring av personopplysninger fra oppdragsvirksomheten I Datatilsynets vedtak ble det lagt til grunn at Folkehelseinstituttet ikke har selvstendig arkivplikt etter arkivloven for personopplysninger som de behandler på vegne av sine oppdragsgivere Tilsynet la til grunn som et generelt prinsipp at databehandleravtalen med den behandling sansvarlige uttømmende angir rammene for en databehandlers behandling av personopplysninger jf personopplysningslovens 15 Spørsmålet om arkivlovens eventuelle anvendelse må derved løses med bakgrunn i den behandlingsansvarliges forhold Folkehelseinstituttet har klaget på dette Datatilsynet kan imidlertid ikke se at det er anført forhold som medfører endringer i de vurderinger som ligger til grunn for tilsynets vedtak Datatilsynet fastholder derved at arkivloven ikke gir behandlingsgrunnlag for Folkehelseinstituttet til å oppbevare de aktuelle opplysningene etter at oppdraget er avsluttet Arkivering må eventuelt hjemles i en databehandleravtale med oppdragsgiver Om helsepersonelloven som mulig behandlingsgrunnlag for Folkehelseinstituttets behandling av personopplysninger fra rettspatologiske undersøkelser I klagen viser FHI til rettspatologiske undersøkelser er å anse som helsehjelp og derved underlagt helsepersonellets journalplikt etter helsepersonellovens 40 jf journalforskriftens 8 flg Datatilsynet har ingen merknader til dette Datatilsynet synes ikke å ha vurdert problemstillingen og opphever vedtaket vedrørende sletting av opplysninger som pålegges journalført etter nevnte regelverk Tilsynet forutsetter at opplysningene behandles i tråd med helsepersonellovens bestemmelser Spørsmål om saksbehandlingsfeil Folkehelseinstituttet anfører at Datatilsynet ikke har opplyst saken tilstrekkelig jf forvaltningslovens 17 Instituttet viser i den forbindelse til at verken Riksadvokaten KRIPOS eller politiet formelt er hørt i denne saken Til dette vil Datatilsynet bemerke at tilsynet sendte en kopi av sitt varsel om vedtak til en rekke mottakere og ba om deres eventuelle merknader til saken Dette gjaldt også Riksadvokaten KRIPOS og Politidirektoratet Tilsynet mottok en rekke uttalelser blant annet fra Riksadvokaten Disse ble vurdert før Datatilsynet fattet sitt vedtak Datatilsynet påstår at det derved har opplyst saken i tråd med kravene i forvaltningslovens 17 og bestrider at vedtaket er beheftet med en saksbehandlingsfeil Eventuelle mangler må uansett anses å være reparert ved den dialogen Datatilsynet har hatt med Politidirektoratet og KRIPOS etter at vedtaket ble truffet og med foreliggende klagesaksbehandling Datatilsynets konklusjon og avsluttende merknader Datatilsynet kan ikke se at det er fremkommet opplysninger som medfører endringer i tilsynets vedtak utover det som gjelder opplysninger underlagt journalplikt etter helsepersonelloven 40 Tilsynet oversender saken til behandling i Personvernnemnda Datatilsynet vil bemerke at denne saken belyser behovet for en gjennomgang av ansvarsforhold og behandlingsregler for håndtering av bevis særlig i forbindelse med straffesaker For både forvaltningssaker sivile saker og straffesaker bør det etter til synets vurdering skje en avklaring og eventuell formalisering av sakkyndiges selvstendige ansvar for behandling av personopplysninger Det er grunn til å se på om personopplysningsloven er egnet til å ivareta de hensyn som gjør seg gjeldende eller om det bør etableres særlovgivning Datatilsynets ytterligere bemerkninger Datatilsynet har kommet med ytterligere bemerkninger i brev av 19 4 2013 Tilsynet har merket seg at FHI viser til et uhjemlet samfunnsoppdrag for fortsatt behandling av personopplysninger fra straffesaker ut over databehandleroppdraget fra påtalemyndigheten Tilsynet fastholder at et uhjemlet samfunnsoppdrag ikke tilfredsstiller personopplysningslovens krav til behandlingsgrunnlag for den aktuelle behandlingens art og omfang Tilsynet bemerker også at behandling av sensitive personopplysninger er underlagt konsesjonsplikt etter personopplysningsloven og helseregisterloven Dette gjelder også for etablering av permanente forskningsregistre FHI har ikke konsesjon for angjeldende materiale 6 Personvernnemndas merknader Inhabilitet Personvernnemnda tok først opp spørsmålet om inhabilitet i henhold til forvaltningslovens 6 Marta Ebbing er ansatt ved Folkehelseinstituttet og fratrådte etter en vurdering av 6 annet ledd Hennes vararepresentant Anne Forus er ansatt ved Helsedirektoratet Nemnda er kommet til at hun ikke er inhabil etter 6 annet ledd Tilsvarende gjelder for Gisle Hannemyr som er ansatt ved Universitetet i Oslo Innledende bemerkninger Folkehelseinstituttet uttrykker i brev av 18 2 2013 til Personvernnemnda overraskelse over at Datatilsynet fremmer saken Nemnda vil påpeke at FHI selv har klaget Datatilsynet har da en plikt til å oversende saken til klageorganet Videre finner nemnda det underlig at FHI påstår seg ikke å være part i saken Enhver som behandler personopplysninger er ansvarlig for å ha et tilstrekkelig rettsgrunnlag for dette enten i databehandleravtale eller i form av et selvstendig behandlingsgrunnlag Saksbehandlingsfeil FHI har anført at det foreligger saksbehandlingsfeil ved at Riksadvokaten og politiet ikke har vært hørt i saken Disse aktørene ble varslet under saken i god tid før avgjørelse ble truffet De ble bedt om å inngi eventuelle bemerkninger men besvarte først henvendelsene etter at vedtak var fattet Vi kan derfor ikke se at Datatilsynet har gjort feil i sin saksbehandling Skulle varslingen som ble gitt bli ansett som rettslig utilstrekkelig ser nemnda det likevel slik at en eventuell feil ikke kan ha virket inn på Datatilsynets vedtak jf analog anvendelse av forvaltningsloven 41 Under enhver omstendighet har disse aktørers kommentarer foreligget for og vært vurdert av klageorganet En eventuell feil anses derfor nå som reparert Arkivloven FHI har påberopt seg en selvstendig arkivplikt Dette berører samtlige vedtak og drøftes derfor innledningsvis Personvernnemnda ser det slik at databehandleres arkivplikt vil være avledet av oppdragsgivernes arkivplikt databehandler må derfor motta og sende fra seg dokumentene til oppdragsgiver med mindre avtalene går ut på at databehandler skal arkivere på vegne av oppdragsgiver Etter nemndas syn kan det ikke være en selvstendig arkivplikt for en databehandler som kun skal behandle personopplysninger på vegne av en oppdragsgiver Den enkelte oppdragsgiver må lagre dette selv eller inkludere i avtalen en instruks om at FHI skal lagre dokumenter på vegne av behandlingsansvarlig Når FHI er databehandlere har FHI ingen selvstendig arkivplikt for behandlingsansvarliges dokumenter Vedtakets punkt 2 Pålegget lyder FHI må bringe til opphør behandlinger av personopplysninger for personprøver ved DNA analyser som går ut over hva instituttet har rettslig grunnlag for etter straffeprosessloven 158 flg eller hva som er avtalt med Kripos i databehandleravtale Opplysninger skal slettes i samsvar med personopplysningsloven 28 Eventuell avslutning må gjennomføres forsvarlig og i samarbeid med Kripos Nemnda er enig med Datatilsynet i at behandling av personopplysninger krever et rettslig grunnlag og at behandling som ikke har det skal opphøre og opplysningene slettes Spørsmålet er da hvilke opplysninger FHI har rettslig grunnlag for å ta vare på og hvilket grunnlag FHI har for å behandle opplysningene jf personopplysningsloven 11 jf 8 og 9 En personopplysning er en opplysning som kan knyttes til en enkeltperson jf 2 nr 1 Behandling er enhver bruk av personopplysninger jf 2 nr 2 Nemnda skal ta stilling til det rettslige grunnlaget for Folkehelseinstituttets behandling av personopplysninger i forbindelse med DNA analyser Personopplysningsloven 9 første ledd bokstav b gir hjemmel for behandling av personopplysninger som er fastsatt i lov Problemet i denne saken er hvorvidt straffeprosessloven gir hjemmel for den behandling som finner sted hos FHI eller om FHI har en selvstendig hjemmel Det virker ikke bestridt at straffeprosessloven 151 hjemler det engasjement som gis FHI for å foreta de analyser det er tale om i denne saken For de analyser FHI gjennomfører innenfor rammen for en slik engasjementsavtale er det åpenbart for Personvernnemnda at FHI er å anse som databehandler jf personopplysningsloven 2 nr 5 En databehandler er den som behandler personopplysninger på vegne av den behandlingsansvarlige Den behandlingsansvarlige kan ikke avtale behandling ut over det den behandlingsansvarlige selv har hjemmel for og databehandler kan ikke behandle personopplysninger på annen måte enn det som er avtalt mellom partene jf 15 med mindre det foreligger særskilt behandlingsgrunnlag I det foreliggende tilfellet ønsker FHI å oppbevare visse personopplysninger etter at oppdraget er avsluttet Det rettslige spørsmålet er da om det foreligger et annet behandlingsgrunnlag enn databehandleravtalen for slik oppbevaring og bruk Personvernnemnda har vurdert om straffeprosesslovens bestemmelser gir et slikt grunnlag Personvernnemnda ser at straffeprosessloven og påtaleinstruksen regulerer ulike typesituasjoner og skal gjennomgå disse nedenfor For de tilfeller hvor påtalemyndigheten selv har hjemmel for videre lagring kan rettsgrunnlag for FHIs lagring etableres gjennom en databehandleravtale Problemet knytter seg da til situasjoner hvor lagring ikke kan hjemles gjennom databehandleravtale fordi behandlingsansvarlig ikke har hjemmel for videre oppbevaring Nærmere bestemt vil dette gjelde situasjoner som definert i påtaleinstruksen kap 11 a For det tilfelle at det foreligger samtykke til DNA test er det uttrykkelig regulert i

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_01.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    til å prioritere denne typen sak Klager vil viser til dokument som Datatilsynet publiserte 1 6 2012 på nettsiden om kameraovervåkning punkt 3 om privat grunn hvor det står at en privat person kan lovlig overvåke eget hus og hage Det er likevel noen begrensninger og problemområder en må være klar over Kameraet kan ikke samtidig fange opp deler av et offentlig område eller en annen persons eiendom Klager er misfornøyd med Datatilsynets prioritering av enkeltsaker og mener at enkeltmennesket også har rett på beskyttelse Småsaker kan også avdekke store saker Klager ber om at saken blir prioritert i Personvernnemnda 5 Datatilsynets vurdering Datatilsynet utarbeidet sommeren 2011 forskjellige tiltak med mål om å effektivisere saksbehandlingen inkludert retningslinjer for prioritering av innkomne saker Antallet saker som kommer inn er større enn den kapasitet tilsynet har til å behandle alle i sin fulle bredde Tilsynet er derfor nødt til å prioritere hva tilsynet skal bruke tiden på for å sikre at arbeidet gir så godt resultat for personvernet totalt som mulig Det vil si at ikke alle saker blir undersøkt i sin fulle bredde og kjørt gjennom forvaltningssporet Datatilsynet har satt opp kriterier for en slik prioritering for henvendelser fra privatpersoner En sak tas opp til behandling hvis klagen indikerer at det foreligger en systemfeil i den innklagde virksomheten Eksempler om vi har fått flere klager mot samme virksomhet om vi har fatt flere klager på samme problemstilling på ulike virksomheter om klagens innhold indikerer systemsvikt om innklagde har svart klager på en måte som indikerer systemsvikt saken bar prinsipiell interesse det er snakk om et område med ny regulering det dreier seg om en personvernkrenkelse av stor velferdsmessig betydning for den enkelte saken er på et område som er prioritert på virksomhetsplanen Denne listen er ikke uttømmende men indikerer hva det legges vekt på når tilsynet vurderer hvilke saker det skal bruke ressurser på Denne saken synes å ha utgangspunkt i en nabokonflikt som gjelder forhold som antas å være utenfor Datatilsynets myndighetsområde Klager beskriver blant annet skadeverk som er en sak for politiet Vurderingen av denne enkeltsaken er at den ikke indikerer noen systemsvakhet eller svikt i et system som kunne ha konsekvenser for flere Tilsynet kan ikke se at saken har noen prinsipielle sider eller gjelder nye regler Klager mener selv at dette har stor velferdsmessig betydning for henne men opplysningene i saken bærer preg av rene påstander som ikke er begrunnet nærmere eller belagt med faktaopplysninger som underbygger påstanden Beskrivelsen til klager inneholder heller ikke objektive holdepunkter som tilsynet kunne tatt utgangspunkt i for å avklare om loven er brutt eller ikke At noen for eksempel har med seg en PC eller at det er observert et kamera i et vindu er ikke noen entydige holdepunkter for at overvåkning skjer Temaet i klagen overvåkning av privat eiendom har tilsynet tidligere fått en rekke henvendelser om og tilsynet har blant annet laget og publisert en veileder på nettsiden for hva som gjelder for kameraovervåkning av egen bolig tomt som

    Original URL path: http://www.personvernnemnda.no/vedtak/2012_15.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    unnlatelser som beskrevet i klagen ikke er omfattet av personopplysningslovens saklige virkeområde jf 3 første ledd I brev av 24 9 2012 ble Datatilsynets beslutning påklaget på nytt Saken ble oversendt Personvernnemnda 2 10 2012 som mottok saken 4 10 2012 Klager ble orientert om dette i brev fra nemnda datert 5 10 2012 med frist til uttalelse innen 15 10 2012 3 Faktum Saken dreier seg om en klage på Datatilsynets avvisningsvedtak Klager klaget inn NAV Midtbyen i Trondheim og vaktselskapet NOKAS til Datatilsynet fordi det ved en anledning ble utvekslet sensitive opplysninger i høylytte samtaler mellom klager og de ansatte i NAV uten at NAV skjermet mot andres påhør og innsyn 4 Klagers anførsler Klagen gjelder både det forhold at Datatilsynet har avvist klagen og det forhold at Datatilsynet ikke har oversendt saken til Personvernnemnda Det anføres at Datatilsynet er inhabilt 5 Datatilsynets vurdering Vedrørende klage på Datatilsynets manglende oversendelse til Personvernnemnda har Datatilsynet besluttet å gi klager medhold i at saken skal oversendes til klagebehandling Mangelen anses imidlertid å være reparert i og med foreliggende oversendelse Klager har anført at Datatilsynet er inhabil i saken Anførselen er ikke begrunnet Datatilsynet legger uansett til grunn at habilitetsspørsmålet bortfaller som følge av foreliggende oversendelse til nemnda Vedrørende personopplysningslovens saklige virkeområde er dette angitt lovens 3 Det følger av bestemmelsens første ledd at loven gjelder for behandling av personopplysninger som skjer helt eller delvis med elektroniske hjelpemidler og annen form for behandling av personopplysninger når disse inngår i eller skal inngå i et personregister Alternativet for kameraovervåkning i bokstav c er ikke relevant i denne saken Med bakgrunn i de samtaler som ble ført og de faktiske handlinger som fant sted i og ved NAV kontoret kan det tenkes at opplysninger om klager har blitt gjort tilgjengelig for de personer

    Original URL path: http://www.personvernnemnda.no/vedtak/2012_14.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    finner det dokumentet på bakgrunn av de opplysninger som er fremlagt i saken at det foreligger forhold som kan gi grunnlag for administrative reaksjoner etter helsepersonelloven kapittel 11 SJM har for det tredje anførsler knyttet til mulig løsning av saken Det fremheves her at det i denne saken er nok av eksempler både på krenkende særbehandling og administrative overgrep Videre at det også burde tilføyes udokumenterte negative påstander som etter en grundig gjennomgang ble tilbakevist av Fylkesmannen i Buskerud SJM påpeker også at faren for posttraumatisk stressforstyrrelser ved trakassering på arbeidsplassen har blitt behørig dokumentert SJM viser også til sak 2008 1159 hos Sivilombudsmannen Spørsmålet i denne saken var om Datatilsynets direktør skulle få innsyn i et notat der han ble kritisert for måten han oppførte seg under et åpent møte i Stortinget Synspunktene til tidligere direktør i Datatilsynet i denne saken støttes fullt ut Videre fremhever SJM den store psykiske belastningen om å bli nektet innsyn i dokumenter som kan skade ens fremtidige karriere og blokkere den utsatte fra å få jobb eller at man i bestrebelsene på å legge saken bak seg stadig går rundt og lurer på hva som sto i de såkalte interne dokumentene 5 Datatilsynets vurdering Hovedregelen om retten til innsyn følger av personopplysningsloven 18 Etter bestemmelsens annet ledd bokstav a kan den registrerte kreve at behandlingsansvarlig opplyser om hvilke opplysninger om den registrerte som behandles Spørsmålet i denne saken er om dokumentene kan unntas etter personopplysningsloven 23 bokstav e Der heter det at innsynsretten etter blant annet personopplysningsloven 18 ikke omfatter opplysninger som utelukkende finnes i tekst som er utarbeidet for den interne saksforberedelse og som heller ikke er utlevert til andre I forarbeidene til bestemmelsen er unntaket beskrevet på følgende måte Unntaket i første ledd bokstav e omfatter personopplysninger som utelukkende finnes i organinterne dokumenter i offentlig eller privat virksomhet typisk konsepter og utkast som utarbeides og bearbeides med elektronisk saksbehandlingsutstyr Unntaket er dels praktisk begrunnet og dels forankret i hensyn som underbygger unntaksreglene i offentlighetsloven 5 første ledd og forvaltningsloven 18 annet ledd første punktum Unntaket gjelder bare dersom opplysningene ikke er utlevert til andre dvs andre forvaltningsorganer eller andre rettssubjekter enn den behandlingsansvarlige Etter Datatilsynet vurdering er formålet med utarbeidelse av tekstene utelukkende intern saksforberedelse i forbindelse med arbeidet knyttet til arbeidskonflikten Hovedparten av dokumentene i denne saken er korrespondanse med advokaten som representerer virksomheten i arbeidskonflikten Datatilsynet mener dette ikke kan anses som en utlevering til andre etter bestemmelsen Datatilsynet mener også konsekvenshensyn taler i samme retning Ellers vil bruk av advokat i personalkonflikter i seg selv medføre at dokumenter som utelukkende er til intern saksforberedelse ikke vil være omfattet av dette unntaket fra innsynsretten 6 Personvernnemndas merknader Personvernnemnda skal ta stilling til om det skal gis innsyn i samtlige dokumenter i personalmappen i forbindelse med arbeidskonflikten Vestre Viken HF har anført at fem dokumenter er unntatt innsynsretten etter personopplysningsloven 23 bokstav e og Datatilsynet har gitt dem medhold i det Etter nemndas syn handler faktum om partsinnsyn i en

    Original URL path: http://www.personvernnemnda.no/vedtak/2012_13.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    forbindelse til at behandlingen er begrenset til ti år og derved ikke anses å være permanent Kreftregisteret anfører også at Datatilsynets vedtak av 20 4 2010 gjelder all behandling av personopplysningene mens foreliggende sak kun gjelder kvalitetssikring Datatilsynet mener at kvalitetssikringen ikke kan vurderes isolert men må ses i sammenheng med den øvrige behandling av personopplysninger som skjer i forbindelse med screeningprogrammene Det vises til at kvalitetssikringsformålet springer ut av Kreftregisterets ansvar for drift av screeningprogrammene slik dette er fastsatt gjennom kreftregisterforskriften Sammenhengen i regelverket taler altså for at også kvalitetssikringen av screeningprogrammene må vurderes etter bestemmelsene i helseregisterloven og kreftregisterforskriften og er underlagt det samtykkekravet som fremkommer der Videre anfører Kreftregisteret at opplysningene er lite sensitive og derved ikke er å anse som helseopplysninger Dette medfører at helseregisterloven ikke kommer til anvendelse jf dennes 3 Til dette bemerker Datatilsynet at det ikke er avgjørende hvor sensitive opplysningene er i seg selv men hvorvidt opplysningene er omfattet av helsepersonellets taushetsplikt jf 2 nr 1 I henhold til helsepersonellovens 21 omfatter taushetsplikten opplysninger om folks legems eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell Tilsynet av den oppfatning at opplysninger om resultatet av en helseundersøkelse og opplysninger om helsepersonellets undersøkelsesmetode med mer er omfattet av helsepersonellets taushetsplikt etter nevnte bestemmelse Taushetsplikten er ikke begrenset til å gjelde opplysninger av negativ karakter for eksempel at det er påvist sykdom Datatilsynet fastholder at angjeldende opplysninger er omfattet av helsepersonellets taushetsplikt og at behandlingen omfattes av helseregisterlovens bestemmelser Som det fremgår av Datatilsynets oversendelsesbrev ble vedtaket fattet som et resultat av en dialog mellom Kreftregisteret og Datatilsynet vedrørende de særlige utfordringer som meldte seg når det gjaldt kvalitetssikring av Livmorhalsprogrammet Datatilsynet begrunner i sitt brev av 1 6 2012 tilbaketrekkingen av vedtaket med at den aktuelle behandlingen reguleres av helseregisterloven og kreftregisterforskriften slik at tilsynet er avskåret fra å gi konsesjon i medhold av personopplysningslovens bestemmelser Datatilsynet legger også til grunn at konsesjon vil være i strid med Personvernnemndas avgjørelse i sak PVN 2009 06 Kreftregisteret er ikke enig i Datatilsynets lovforståelse og mener dessuten at innholdet i Datatilsynets oversendelsesbrev til Personvernnemnda ikke i tilstrekkelig grad gjenspeiler klagers anførsler herunder de argumenter som taler for at konsesjon er nødvendig og tilstrekkelig Datatilsynet har lagt til grunn for sin tilbaketrekking av vedtaket at helseregisterloven og kreftregisterforskriften regulerer forholdet og at vedtaket dermed var basert på feil lovanvendelse De anførsler og vurderinger som ligger til grunn for Datatilsynets tilbaketrekking av vedtaket er i hovedsak de samme som er fremsatt i forhold til avslaget på konsesjonssøknaden vedrørende Mammografiprogrammet PVN 2012 11 Det omfatter blant annet anførselen om at kvalitetssikringen ikke kan vurderes isolert men må ses i sammenheng med den øvrige behandlingen av personopplysninger som skjer i forbindelse med screeningprogrammene Videre omfatter det anførselen om signaler som gitt av lovgiver i forhold forslag til endringer i kreftregisterforskriften og lovgivers intensjon I tillegg til ovennevnte anførsler går Datatilsynet særlig inn på kreftregisterforskriften 1 9 2 og forståelsen av begrepet permanent Tilsynet konkluderer med at ordet permanent i denne sammenheng må forstås slik at det omfatter enhver behandling utover seks måneder Videre kommer Datatilsynet nærmere inn på hva som skal til for at opplysningene faller inn under helseregisterloven Datatilsynet mener at det ikke er avgjørende hvor sensitive opplysningene i seg selv er men om opplysningene omfattes av helsepersonells taushetsplikt jf helseregisterloven 2 nr 1 Tilsynet viser i den forbindelse til helsepersonelloven 21 og hva som omfattes av taushetsplikten og konkluderer med at det ikke vil la seg gjøre å oppnå konsesjon basert på personopplysningsloven Kreftregisteret har følgende merknader Det er riktig slik det fremgår av oversendelsesbrevet at Datatilsynet ble gjort kjent med de særlige utfordringene som gjelder kvalitetssikring av Livmorhalsprogrammet i tilknytning til et brev fra Kreftregisteret vedrørende status og fremdrift for innhenting av samtykke i Livmorhalsprogrammet Det er allikevel Kreftregisterets oppfatning at forholdet ikke reguleres av kreftregisterforskriften og at konsesjon er nødvendig for å kunne behandle opplysningene til kvalitetssikringsformålet Dette er også bakgrunnen for at Kreftregisteret tok initiativ til å legge frem problemstillingen for tilsynet Marsvedtaket ble fattet av Datatilsynet på eget initiativ og var altså ikke et resultat av en gjennomarbeidet konsesjonssøknad fra Kreftregisterets side med tilrådning fra vårt personvernombud slik tilfellet er når det gjelder saksgangen knyttet til avvisningsvedtaket i Mammografiprogrammet I praksis vil tilbaketrekkingen av marsvedtaket i Livmorhalsprogrammet ha samme virkning for Kreftregisteret som avslag på en konsesjonssøknad Datatilsynets lovforståelse synes i likhet med avvisningen av konsesjonssøknaden vedrørende Mammografiprogrammet å være basert på at helseregisterloven 5 2 er til hinder for at tilsynet kunne fatte marsvedtaket Kreftregisteret mener at Datatilsynet tar feil i lovanvendelsen og at det er hovedregelen i helseregisterloven 5 1 som vil komme til anvendelse også her hvor det heter Helseopplysninger kan bare behandles elektronisk når dette er tillatt etter personopplysningsloven 9 og 33 eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag Det er vår vurdering at kreftregisterforskriften ikke regulerer forholdet og at konsesjon derfor er nødvendig og tilstrekkelig Vi mener at marsvedtaket er basert på riktig lovforståelse og dermed fortsatt har gyldighet Det er altså selve tilbaketrekkingen av marsvedtaket vi angriper med hensyn til lovforståelsen Ettersom vi er av den oppfatning at forholdet ikke reguleres av kreftregisterforskriften og at helseregisterloven 5 1 kommer til anvendelse er det vår vurdering at det ikke har relevans i denne sammenheng å gå inn på en fortolkning av hva som skal forstås med begrepet permanent i kreftregisterforskriften 1 9 2 Kreftregisteret er imidlertid ikke enig i Datatilsynets tolkningsforståelse og viser til vår argumentasjon som fremgår av klagen Kreftregisteret finner heller ikke at det er relevant å gå nærmere inn på skillet mellom personopplysninger og helseopplysninger graden av sensitive opplysninger ettersom Datatilsynet etter vår lovforståelse har myndighet til å gi konsesjon til behandling av helseopplysninger til det aktuelle formålet med hjemmel i personopplysningsloven 9 og 33 jf helseregisterloven 5 1 Kreftregisteret mener at Datatilsynets begrunnelse for å trekke tilbake vedtaket er basert på feil lovanvendelse og at tilbaketrekkingen dermed er ugyldig Kreftregisteret

    Original URL path: http://www.personvernnemnda.no/vedtak/2012_12.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    til å mene at helseregisterloven 5 2 er til hinder for at tilsynet kan behandle konsesjonssøknaden Kreftregisteret er ikke enig i Datatilsynets lovforståelse og mener denne bestemmelsen ikke kan anvendes i dette tilfellet nettopp fordi den omsøkte behandling ikke er regulert i kreftregisterforskriften Kreftregisteret mener derfor at man må falle tilbake på hovedregelen i helseregisterloven 5 1 og at Datatilsynet har kompetanse til å behandle konsesjonssøknaden Kreftregisterforskriften inneholder bestemmelser om hvilke helseopplysninger Kreftregisteret kan inneholde jf forskriften 1 2 Bestemmelsens tredje ledd omhandler helseopplysninger om personer som har deltatt i undersøkelsesprogram for tidlig diagnose og kontroll for kreftsykdom screeningundersøkelser Forskriften 1 9 1 angir nærmere hvilke kategorier opplysninger Kreftregisteret kan inneholde om personer som har deltatt i screeningundersøkelser Kreftregisteret og Datatilsynet er enige i at forskriften må forstås slik at Kreftregisteret ikke har hjemmel til å registrere opplysninger om kvinner ved negativt funn permanent i Kreftregisteret uten samtykke Dette følger direkte av kreftregisterforskriften 1 9 2 jf 1 2 3 Screeningundersøkelsene er et offentlig frivillig helsetilbud til befolkningen som driftes av Kreftregisteret For å kunne gjennomføre en forsvarlig kvalitetskontroll av helsetilbudet herunder vite om helsetilbudet har fungert etter sin hensikt er det nødvendig å behandle nærmere angitte opplysninger som ikke omfattes av kreftregisterforskriften 1 9 1 Ettersom kreftregisterforskriften ikke gir tilstrekkelig hjemmel har Kreftregisteret funnet at det er nødvendig å søke konsesjon jf helseregisterloven 5 1 hvor det heter Helseopplysninger kan bare behandles elektronisk når dette er tillatt etter personopplysningsloven 9 og 33 eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag Klager mener det ligger innenfor Datatilsynets kompetanse å behandle konsesjonssøknaden Til sammenligning kan opplyses at Kreftregisteret har fått forhåndsgodkjennelse fra REK til å innhente alle relevante opplysninger fra pasientjournalene om kvinner med negative funn til evaluering av Mammografiprogrammet med hjemmel i helseforskningsloven jf helseregisterloven 5 1 følger av lov Ettersom det her dreier seg om saklig begrunnet kvalitetssikringsformål som en naturlig del av et helsetilbud og ikke forskning vil konsesjon etter klagers vurdering være nødvendig og tilstrekkelig Det understrekes at opplysningene som det søkes konsesjon til å behandle ikke oppbevares i Kreftregisteret med hjemmel i kreftregisterforskriften men i pasientjournalene med hjemmel i helsepersonelloven og journalforskriften Det er derfor ingen aktuell problemstilling slik Datatilsynet hevder at behandling av opplysninger til kvalitetssikringsformålet vil være i strid med kreftregisterforskriften 1 9 eller i strid med Personvernnemndas tidligere avgjørelse som retter seg mot Mammografiprogrammet Datatilsynets anførsel om at kvalitetssikringen må sees i sammenheng med den øvrige behandling kan ikke brukes som argument mot at Kreftregisteret må ha et nødvendig behandlingsgrunnlag for å foreta en kvalitetskontroll av helsetjenesten Kreftregisteret mener at Datatilsynets påstand om at en konsesjon til å behandle de omsøkte opplysninger til kvalitetssikringsformål er i strid med lovgivers intensjoner og de signaler som er gitt i forslag om endringer i kreftregisterforskriften ikke kan være riktig og må være basert på en misforståelse Det kan umulig ha vært lovgivers intensjon at kreftregisterforskriften skal være til hinder for at dette helsetilbudet som tilbys alle norske kvinner i alderen 50

    Original URL path: http://www.personvernnemnda.no/vedtak/2012_11.htm (2014-09-28)
    Open archived version from archive