Hjem

Personvernnemnda

Personvernnemnda (PVN) er klageorgan for vedtak fattet av Datatilsynet.

Personvernnemnda skal behandle klager på vedtak som Datatilsynet fatter i medhold av personopplysningsloven og enkelte andre lover.

Personvernnemnda fatter fortløpende vedtak etter mottatte klager.

Personvernnemnda møtes ca en gang i måneden.

Siste vedtak

PVN-2004-02 NTNU

Klage på Datatilsynets vedtak om vilkår om samtykke for fortsatt lagring av opplysninger fra prosjektet «Helse- og stressreaksjoner hos oljearbeidere i Nordsjøen» - NTN

Etter Alexander Kielland-ulykken i 1980 ble det 1984-85 gjennomført en undersøkelse blant de overlevende basert på muntlig samtykke fra de overlevende og skriftlig samtykke fra en kontrollgruppe. Det er flere ganger søkt om konsesjon for videre lagring med sikte på en oppfølgningsundersøkelse, den siste konsesjonen (gitt etter personregisterloven) utløp 2002. Ny søknad ble fremmet januar 2004. Datatilsynet ga delvis avslag, og krevde innhenting av skriftlig samtykke fra de registrerte innen 1.6.2004. Klager ønsket først å innhente samtykke i forbindelse med igangsettelse av oppfølgingsstudien, og lagring for et lengre tidsrom. Personvernnemnda ga klager tillatelse til fortsatt lagring inntil vedtak i nemnda forelå. Klagen ble tatt til følge. Personvernnemnda tillater lagring inntil seks måneder fra vedtakets dato. Før oppfølgingsprosjektet blir igangsatt, må tilfredsstillende samtykke innhentes. Personvernnemnda fant at nødvendighetsbegrunnelsen i personopplysningsloven § 8 litra d her kunne benyttes, og at samfunnets interesser klart oversteg ulempene for den enkelte i dette tilfellet, jfr personopplysningsloven § 9 litra h. Saken ble sendt tilbake til Datatilsynet, som har kompetanse etter personopplysningsloven § 33 til å gi konsesjon.

PVN-2004-01 Statens Arbeidsmiljøinstitutt – STAMI

Klage på Datatilsynets vedtak om vilkår om samtykke for konsesjon for delstudie 1 og 2 – Statens Arbeidsmiljøinstitutt – STAMI

Saken gjelder en klage fra Statens arbeidsmiljøinstitutt (STAMI) i forbindelse med en oppfølgingsstudie om kreft og lungesykdommer blant ansatte i norsk silisiumkarbidindustri. Hovedspørsmålet er hvorvidt det skal kreves informert samtykke for å tillate oppfølgingsstudien, eller om denne kan baseres på en av nødvendighetsbegrunnelsene, jfr personopplysningsloven § 11 jfr §§ 8 og 9. Med utgangspunkt i personopplysningsloven § 11, peker Personvernnemnda på at for sensitive opplysninger må både betingelsene i personopplysningsloven § 8 og § 9 være oppfylt. Av de tre alternative begrunnelsene i personopplysningsloven § 8 slutter Personvernnemnda seg til Datatilsynets tolkning av loven, som gir samtykke prioritet. Men Personvernnemnda tolker loven slik at hvis det foreligger tilstrekkelig begrunnelse for å avvike fra hovedregelen, kan dette gjøres. En slik begrunnelse finner Personvernnemnda i den konkrete saken i hensynet til undersøkelsens kvalitet. Når personopplysningsloven § 8 er tilfredsstilt, må man så bestemme om også vilkårene etter personopplysningsloven § 9 er til stede. Personvernnemnda foretar en konkret vurdering av saken, og finner at i dette tilfellet vil samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte, jfr 9, 1.ledd litra h. Etter dette blir klagen å ta til følge.

Personvernnemndas årsmelding 2016

I løpet av 2016 kom det inn tilsammen 18 klagesaker. Totalt 14 av de 18 sakene var ferdigbehandlet ved utgangen av 2016. I tillegg ble 13 saker innkommet i 2015 ferdigbehandlet i 2016. Personvernnemnda avgjorde således totalt 27 saker i 2016, mot totalt 16 saker i 2015. Klager er gitt helt eller delvis medhold i 11 av de 27 sakene. To av sakene ble avsagt med dissens (PVN-2015-07 Tromsø kommune og PVN-2016-15 Tromsø kommune II). Saksmengden har vært noe høyere i forhold til tidligere år, og flere av sakene har vært prinsipielle.

PVN-2003-07 Nasjonalt folkehelseinstitutt

Klage på Datatilsynets vedtak om nektelse av konsesjon for regelmessige overføringer av data fra UDI til Tuberkuloseregisteret – Nasjonalt folkehelseinstitutt

Spørsmål om Tuberkuloseregisteret regelmessig skal påføres opplysninger fra UDI for å sikre kvaliteten på opplysningene. Tuberkuloseregisteret er et sentralt register opprettet i medhold av lov. Personvernnemnda anser at vurderingen om innhenting av opplysninger må foretas i henhold til denne loven, og at det er et prinsipielt spørsmål som Helsedepartementet må vurdere, og eventuelt hjemle ved endringer i forskriften for registeret. Datatilsynets vedtak opprettholdt.

PVN-2003-06 Norsk Rikstoto AS

Klage på Datatilsynets vedtak om opphør av bruk av fødselsnummer – Norsk Rikstoto AS

Norsk Rikstoto ønsket å bruke fødselsnummer for identifikasjon av spillere. Etter personopplysningsloven § 12 kan fødselsnummer bare brukes ”når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering” I likhet med Datatilsynet fant Personvernnemnda at det forelå saklig grunn for sikker identifisering, men – også i likhet med Datatilsynet – at det den metoden som ble benyttet ikke ga sikker identifisering. Jf klagesak 07/2002. Klagen ble ikke tatt til følge.

PVN-2003-05 Gjensidige Nor Sparebank ASA

Klage på Datatilsynets vedtak om at det ikke gis konsesjon til at konsernkunderegister skal kunne innholde opplysninger om produkttype – Gjensidige Nor Sparebank ASA

Spørsmål om konsernkunderegister skal kunne inneholder opplysninger om produkttype. Datatilsynet tillater at registeret inneholder opplysninger om produktkategori (betalingsformidling, spare- og innskuddsprodukter, lån og kredittgivning), men ikke produkttype (f eks at lånet er et fastrente lån). Personvernnemnda peker på at en endring i gjeldende praksis vil ha store praktiske konsekvenser, ettersom registrene da må endres. Spørsmålet vil bli lovregulert på grunnlag av NOU 2001:23 (Finansforetakenes virksomhet), og lovproposisjon ventes i løpet av våren 2004. På denne bakgrunn omgjør Personvernnemnda Datatilsynets vedtak og tillater inntil videre fortsatt registrering av produkttype i konsernkunderegisteret.

PVN-2003-04 Barnevernjournal

Krav om sletting av personopplysninger i barnevernjournal

Klager ønsket slettet opplysninger om seg selv i en journal ført i forbindelse med en barnevernjournal. Klager var ikke selv part i saken, men opptrådte av og til på vegne av parten, som var klagers barn. Selve barnevernsaken gjaldt klagers barnebarn. Journalen var omfattende (nær 400 dokumenter) og klager påpekte en rekke opplysninger som ble hevdet å være uriktige, f eks hvordan klagers adferd ble oppfattet på møter, tidspunkter for møter og telefoner mv. Personvernnemnda manglet grunnlag for å vurdere hva som var uriktige opplysninger, og gjennomføringen av sletting ved overstrykning i papirdokumenter ville være praktisk vanskelig. Dokumentene var også relevante i en barnevernssak som på vedtakstidspunktet ikke var avsluttet, jf personopplysningsloven § 27, 2 ledd. Personvernnemnda opprettholdt Datatilsynets vedtak om at klagers anførsler skulle supplere journalen, slik at vedkommende som ser journalen, vil kunne gjøre seg kjent med klagers fremstilling. Nemnda presiserte vedtaket dit hen at to brev til Nemnda med kommentarer også skulle supplere journalen, forutsatt at klager samtykket i dette.

PVN-2003-03 Stavanger kommune

Klage på Datatilsynets vedtak om opphør av behandling av opplysninger samt sletting av registre – Stavanger kommune

I forbindelse med boligadresseringsprosjektet innførte Statens kartverk et attributt i registeret over grunneiendom, adresse og bygning (GAB) kalt ”boligtype”. Dette ble innført fordi et annet attributt i registeret, ”bygningstype”, i sin definisjon anga hvor mange boliger bygningen hadde. Særlig for boliger oppført før 1983 var det en viss inkonsistens mellom denne definisjonen og det antall boliger som faktisk fantes i bygningen. Boligadresseringsprosjektet hadde bl a som formål å tildele en unik adresse til hver bolig, og det var derfor nødvendig at GAB reflekterte det antall boliger som bygningen faktisk inneholdt. Av praktiske og tekniske årsaker, innførte derfor Statens kartverk et nytt attributt i GAB (uten samtidig å endre GAB-forskriften tilsvarende). Stavanger kommune utnyttet disse opplysningene ved samkjøring med andre registre for å identifisere ulovlige boliger. Personvernnemnda finner at opplysningene avgitt til boligadresseprosjektet med formål å utarbeide statistikk og forbedre kvaliteten på enkelte registre, bl a GAB, ikke kan benyttes til slike kontrollformål, jfr personopplysningsloven § 11. 1.ledd litra c. Datatilsynets vedtak om å forby slik bruk av opplysningene, opprettholdes.

PVN-2003-02 “Psykoseregisteret”

Krav om sletting i Sentralkartoteket for alvorlig sinnslidende – «Psykoseregisteret»

Klager var registrert i Sentralkartoteket for alvorlig sinnslidende (“Psykoseregisteret”) med Riksarkivaren som behandlingsansvarlig. Bakgrunnen for registreringen var en frivillig innleggelse med diagnosen “depressiv nevrose”. Personvernnemnda kom til at klagen måtte behandles etter personopplysningsloven, ikke helseregisterloven. Personvernnemnda fant at registreringen var å betegne som sterkt belastende for den registrerte etter personopplysningsloven § 28. Etter en vurdering av forholdet til samfunnsmessige interesser kom Personvernnemnda til at hele innførselen i registeret angående den registrerte måtte slettes. Dissens.

PVN-2003-01 Sentralt låneregister

Klage på Datatilsynets vedtak i sak om avslag på konsesjonssøknad for opprettelse av sentralt låneregister

Personvernnemnda sluttet seg til Datatilsynets vurdering at hvis man baserte et sentral låneregister på samtykke av de registrerte, ville registeret knapt møte kravet til datakvalitet i personregisterloven § 11, 1.ledd litra d og e. Personvernnemnda mente at å gjøre samtykke til en forutsetning for å få lån, ville gjøre at samtykket ikke ville møtet kravet i personregisterloven § 2 nr 7 om bl a frivillighet. Personvernnemnda antok at etablering av et slikt sentralt register vanskelig kan etableres uten hjemmel i lov.