Personvernnemndas avgjørelse av 2. november 2009 (Ingvild Hanssen-Bauer, Leikny Øgrim, Tom Bolstad, Ann R Sætnan, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 8.1.2009, hvor Datatilsynet vedtok at Rogaland fylkeskommune ikke kan bruke fødselsnummer for administrering av skoleskyss.
2 Saksgang
Datatilsynet mottok en henvendelse fra Sola kommune 18.6.2008 vedrørende utlevering av fødselsnummer i forbindelse med administrasjon av skoleskyss til elever i grunnskolen som har krav på gratis skoleskyss. Sola kommune ønsket en uttalelse fra Datatilsynet om dette ville være i tråd med personopplysningsloven §§ 8 og 12, samt offentlighetsloven § 2.
Datatilsynet mottok et brev fra Rogaland fylkeskommune 26.6.2008 med enkelte presiseringer i saken.
På bakgrunn av disse henvendelsene ga Datatilsynet i brev av 28.8.2008 dels veiledning om meldepliktordningen og forholdet til offentlighetsloven § 2, dels vurdering av kravene i personopplysningsloven § 12, som medførte varsel om vedtak.
Datatilsynet mottok 10.9.2008 kopi av brev med skjema fra Kolumbus til grunnskolene i Rogaland for innhenting av elevenes fødselsnummer.
Rogaland fylkeskommune kom med kommentarer til varsel om vedtak i brev av 3.10.2008. Hvorpå Datatilsynet deretter fattet 8.1.2009 vedtak overfor Rogaland fylkeskommune om at fylkeskommunen ikke kunne bruke fødselsnummer som entydig identifikasjonsmiddel i administreringen av skoleskyss til grunnskoleelever.
Det er Rogaland kollektivtrafikk FKF som administrerer skoleskyssen. Rogaland kollektivtrafikk FKF har merkenavnet Kolumbus, klager blir derfor heretter benevnt ”Kolumbus”. Kolumbus påklaget vedtaket 11.2.2009.
Personvernnemnda mottok saken 31.8.2009, som ble oversendt fra Datatilsynet 24.8.2009. Klager ble orientert om dette i brev fra nemnda datert 1.9.2009, med frist til uttalelse innen 18.9.2009. I brev av 11.9.2009 kom Rogaland fylkeskommune med kommentarer til Datatilsynets oversendelsesbrev.
3 Faktum
Kolumbus administrerer gratis skoleskyss som kommunene i Rogaland og fylkeskommunen er pålagt i henhold til opplæringsloven. Skoleadministrasjonen i hver kommune ber skolene om å melde inn de elever som etter lovens vilkår har rett på fri skoleskyss. Et excel-ark med oversikt over elevene, navn, adresse og fødselsnummer blir sendt til fylkeskommunen. Opplysningene i listene blir lastet over i forvaltningssystemet Safir Skyss, der det blir laget et elevkort for hver elev. Et utvalg av dataene blir overført til billetteringssystemet Fara, der det blir utstedt et skysskort til eleven. I Fara blir det ikke brukt fødselsnummer. Fødselsnummeret fremgår heller ikke av skysskortet.
4 Klagers anførsler
Kolumbus påklaget Datatilsynets vedtak om ikke å bruke fødselsnummer. Begrunnelsen for klagen er at Datatilsynets vedtak bygger på uriktige faktiske forutsetninger, at nødvendighetskravet i personopplysningsloven § 12 er tolket urimelig strengt og at vedtaket vil representere en usaklig forskjellsbehandling i forhold til alle de andre fylkeskommunene som bruker samme system.
Fødselsnummer blir kun brukt ved kvalitetssikring av de opplysningene som skolen melder inn. Etter at rett er tilstått, blir fødselsnummer ikke bruk i noen oversikt eller billetteringssystem. Fødselsnummer blir heller ikke utlevert til andre. Fødselsnummer brukes som ledd i utøvelsen av en lovpålagt plikt.
Safir Skyss er laget ut fra hensynet til en sikker og effektiv administrasjon av skoleskyss. Systemet blir brukt av fylkeskommuner over hele landet. Det er mulig å vaske informasjonen mot folkeregister og kartbaser, for å kvalitetssikre og for å forebygge mulige feilkilder, og for disse funksjonene trenger man fødselsnummer.
Når det gjelder tolkningen av personopplysningsloven § 12, nødvendighetskriteriet, viser klager til forarbeidene til bestemmelsen. Safir Skyss er ment å samvirke med andre databaser, som folkeregister og kartbaser, for å sikre at elevene får den rett til skoleskyss som de har krav på etter loven, og for å sikre at skoleskyss kun gis til den som har lovmessig krav på denne ytelsen. Med den mengdeproblematikk fylkeskommunen står overfor, er det et klart samfunnsmessig behov at forvaltning av lovens skoleskyssordning skjer på en rasjonell og effektiv måte. Rogaland fylkeskommune administrerer skoleskyss for skoler i 26 kommuner.
Klager viser til ulike typetilfeller av feil som kan oppstå og som kan løses ved bruk av fødselsnummer. For eksempel feilskrift adresse, adresser uten gatenavn og nummer, feilskrift navn eller ulik skrivemåte, feilskrift fødselsdato eller mange med samme fødselsdato, elev oppgir falsk adresse for å oppnå gratis skoleskyss, vasking mot kartbase viser ny og kortere skolevei og barn med delt bosted. Bruk av fødselsnummer vil verifisere data som danner grunnlag for vedtak om skoleskyssrettigheter og avhjelpe de fleste feilkildene.
Klager viser til konsekvensene ved feil i registrene. Dette vil kunne få uheldige konsekvenser for både den registrerte og for samfunnet. Konsekvenser kan være at elever ikke får skysskort i tide, elever får kort som de ikke har krav på og kommunene kan bli fakturert flere ganger for samme transport. Klager viser også til samfunnsmessige konsekvenser, som for eksempel tungvint forvaltning og ødsling av offentlige midler.
Klager anfører at det vil representere en usaklig forskjellsbehandling dersom fylkeskommunen ikke skal ha anledning til å bruke systemet som flere andre fylkeskommuner benytter for å løse samme oppgave. Det fremstår også som uforståelig at en skole i en kommune skal kunne innhente og bruke fødselsnummer i sin virksomhet, mens fylkeskommunen ikke skal kunne gjøre det samme for å oppfylle en lovpålagt oppgave. Likeledes at NAV kan bruke fødselsnummer for å unngå forveksling av personer, mens fylkeskommunen ikke kan gjøre det. Kolumbus er ikke en kommersiell aktør.
Klager viser til Datatilsynets henvisning til PVN-2006-09. Klager mener at sakene ikke er direkte sammenlignbare. Det er derfor urimelig at samme vurdering legges til grunn. Fingeravtrykk kan være en integritetskrenkelse, i motsetning til bruk av fødselsnummer. I denne saken brukes fødselsnummer som en nøkkel mellom flere systemer hvor hensikten er å finne elevens identitet. Fødselsnummeret er en sikker fellesnevner for de ulike systemene. Like sikker identifikasjon er ikke mulig.
Klager viser til at Justisdepartementet har uttalt at elevlister, inkludert fødselsnummer, er omfattet av hovedregelen om rett til innsyn etter offentlighetsloven § 2. Justisdepartementet har uttalt at ”I den utstrekning det foreligger en innsynsrett etter offentlighetsloven følger det av personopplysningsloven § 6 første ledd at personopplysningsloven ikke kommer til anvendelse. Innsyn kan da gis også ved å bruke elektroniske hjelpemidler”.
Klager viser til meldeskjema fra Safir Data AS til Datatilsynet hvor det fremgår at fødselsnummer skulle benyttes i behandlingen av personopplysningene. Det kom ikke noe svar fra Datatilsynet og dermed hadde Safir Data AS grunn til å tro at Datatilsynet ikke hadde noen innvendinger mot behandlingen.
Det vises også til forskrift til folkeregisterloven §§ 9-3 og 9-4. I denne saken har Sentralkontoret for folkeregistrering vurdert det slik at opplysningene var nødvendig. Klager mener at dette underbygger at Datatilsynet har lagt en for streng vurdering til grunn av om personnummer er nødvendig i behandlingen.
5 Datatilsynets vurdering
Datatilsynet er ikke enig i anførselen om at tilsynet bygger på uriktige faktiske forutsetninger. Datatilsynet har lagt til grunn de nye opplysningene og detaljene i saken og har gjort en ny vurdering av saken. Likevel er Datatilsynet kommet til samme resultat.
Når det gjelder nødvendighetskravet i personopplysningsloven § 12, bemerker Datatilsynet at begge vilkår i bestemmelsen må være oppfylt samtidig. Det må foreligge saklig behov for sikker identifisering og det må være nødvendig å benytte fødselsnummer for å oppnå en sikker identifisering.
Datatilsynet er enig med klager i at saklighetskriteriet er oppfylt. Det er nødvendighetskriteriet som hindrer bruk av fødselsnummer. I dette vilkåret ligger det et krav om at andre alternative parametre for personidentifikasjon ikke kan anses tilstrekkelige for å oppnå entydig identifisering. Dersom faren for forveksling av to personer kan elimineres ved hjelp av navn, fødselsdato og adresse, vil det normalt ikke være nødvendig å bruke fødselsnummer.
Det skal tillegges vekt hvilken betydning forveksling eventuelt har for den registrerte og den behandlingsansvarlige. Hvis det er umulig eller urimelig vanskelig å oppnå sikker identifisering på annen måte, og det er av stor betydning at den registrerte er sikkert identifisert, kan fødselsnummer benyttes. I de fleste tilfeller vil man imidlertid oppnå en tilfredsstillende identifikasjon ved hjelp av navn, adresse og fødselsdato, eventuelt med tillegg av egendefinerte kundenummer.
I tidligere saker om administrering av skolemelkordning og musikkskole har Datatilsynet vurdert personopplysningsloven § 12 og kommet til at vilkårene for å bruke fødselsnummer ikke er oppfylt.
I denne saken vil forveksling for eleven kunne medføre at vedkommende blir tildelt to skysskort (dobbeltregistrering), forsinket skysskort (manuell kontroll) eller avslag (avdekker misbruk). For klager vil forvekslingsfaren og forbud mot bruk av fødselsnummer medføre at man i større grad må stole på at eleven og skolen oppgir riktige opplysninger. Det vil medføre merarbeid for klager som må foreta manuell kontroll av det som fremstår som dobbeltregistreringer og mulig misbruk av skolekortordningen.
Etter Datatilsynets mening er det etterkontrollen av opplysningene som er begrunnelsen for bruken av fødselsnummer og ikke selve administreringen av skoleskyssordningen.
Datatilsynet viser til at Personvernnemnda har uttalt seg om nødvendighetskravet blant annet i sak PVN-2006-09 Oslo trimsenter. Nemnda la til grunn at dersom det finnes tilfredsstillende alternativer som er sikre nok for den behandlingsansvarliges formål og behov, er ikke nødvendighetskravet oppfylt.
Datatilsynet viser til at bestemmelsen i § 12 er strengt utformet og sikker identifisering kan oppnås ved bruk av navn, adresse og fødselsdato i denne saken.
Når det gjelder anførselen om usaklig forskjellsbehandling, vil Datatilsynet bemerke at bruk av fødselsnummer ikke er konsesjonsbelagt. Datatilsynet har ikke hatt noen foranledning til å fatte vedtak i forhold til andre fylkeskommuner. Personopplysningsloven gjelder imidlertid uavhengig av om vedtak er fattet, og andre fylkeskommuners bruk av fødselsnummer forutsettes å være i tråd med lovens regler. Dersom vedtaket blir opprettholdt i Personvernnemnda, vil Datatilsynet gjøre samtlige fylkeskommuner oppmerksom på saken og tolkningen av personopplysningsloven § 12.
Datatilsynet mener at forskrift til folkeregisterloven § 9-3 er irrelevant i denne sammenhengen, i det den regulerer offentlige myndigheters rett til å hente opplysninger i folkeregisteret, mens denne saken gjelder kommunens rett og eventuelle plikt til å utlevere fødselsnummer til fylkeskommunen i en konkret situasjon.
6 Personvernnemndas merknader
Medlemmene i nemnda vurderte sin habilitet. Leder i nemnda, Eva I. E. Jarbekk, valgte å fratre saken fordi hun har en klient med en tilsvarende problemstilling som vil kunne bli berørt av utfallet i denne saken. Nestleder Arve Føyen hadde lovlig forfall til møtet som behandlet saken. Sakens behandling ble derfor ledet av nestleders vara, Ingvild Hanssen-Bauer.
I denne saken skal nemnda ta stilling til om fødselsnummer kan brukes, jf personopplysningsloven § 12. Personopplysningsloven § 12, 1. ledd lyder:
Fødselsnummer og andre entydige identifikasjonsmidler kan bare nyttes i behandlingen når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering.
Forarbeidene (Ot prp nr 92 (98-99) side 114, 1. spalte) uttaler følgende om bestemmelsen i § 12:
Bestemmelsen gir en generell regulering av bruk av fødselsnummer og andre entydige identifikasjonsmidler som for eksempel fingeravtrykk og andre biometriske data. Slike identifikasjonsmidler bør ikke benyttes i utrengsmål. Kravet til nødvendighet i første ledd vil bare være oppfylt dersom andre og mindre sikre identifikasjonsmidler, som f.eks navn, adresse og kundenummer ikke er tilstrekkelig. Det vil også ha betydning hvor viktig sikker identifisering er for den registrerte, dvs hvilke konsekvenser en forveksling kan føre til. Også samfunnets behov kan tillegges vekt.
Personvernnemnda har tidligere uttalt seg om § 12, og da særlig i tilknytning til bruk av fingeravtrykk (biometri). Det vises til sakene PVN-2006-07 Tysvær kommune, PVN-2006-08 Oxigeno fitness, PVN-2006-09 Oslo trimsenter, PVN-2006-10 Esso Norge og PVN-2006-11 Rema 1000. I sistnevnte sak uttalte nemnda at:
Nemnda aksepterer argumentet om at bruk av fingeravtrykksleser gir butikkjeden en god og sikker kontroll. Dette er imidlertid ikke nok. I følge forarbeidene kreves det noe mer. Det må i tillegg være slik at det ikke kan tas i bruk en løsning som ikke forutsetter bruk av et entydig identifikasjonsmiddel, og som gir tilfredsstillende sikkerhet. Nemnda legger til grunn at det finnes adekvate alternativer som er sikre nok for butikkjedens formål og behov.
På denne bakgrunn skal nemnda vurdere om det er ”saklig behov” for sikker identifisering og om metoden er ”nødvendig” for å oppnå slik identifisering, jf personopplysningsloven § 12. Det er ikke bestridt at det foreligger et saklig behov. Spørsmålet er derfor om metoden er ”nødvendig”.
I denne saken er det tale om utveksling av personnummer mellom kommune og fylkeskommune tilknyttet administrering av lovpålagt skoleskyss. Personnummer brukes primært av det offentlige til sikker identifisering i Norge. Etter nemndas syn er derfor bruken av personnummer i denne saken innenfor kjerneområdet for formålet med personnummer. Videre er det etter nemndas mening små personvernulemper forbundet med slik utlevering og bruk av personnummer. Personnummeret vil ikke fremgå av busskortet eller utleveres til noen utenforstående, men skal kun brukes til administrering og tildeling av skoleskyss i fylkeskommunen. Etter personopplysningsloven § 12, 2.ledd kan Datatilsynet pålegge bruk av entydige identifikasjonsmidler ”for å sikre at personopplysningene har tilstrekkelig kvalitet”. Man har eksempler fra praksis på at dette er påbudt for å unngå forveksling, det vil si av hensyn til den registrerte selv. For eksempel har Datatilsynet uttalt at ved barnehageopptaksprosessen bør barnets fødselsnummer brukes fordi faren for forveksling av barna er spesielt stor og konsekvensene av en forveksling vil kunne være svært uheldige. Etter nemndas syn er situasjonen i denne saken, slik den er beskrevet i faktum, sammenlignbar. Personvernnemnda mener at dette er et typisk eksempel hvor det vil være ”nødvendig” på grunn av de uheldige konsekvensene ved forveksling og feilaktig tildeling av skyssrettigheter. Nemnda legger vekt på at denne saken gjelder tildeling av rettigheter som man har i henhold til lov og at bruken av personnummer skal sikre rettigheter og hindre misbruk. Nemnda legger videre vekt på at det ikke er en kommersiell aktør som bruker personnumrene, men kun tale om utveksling av personnummer mellom to offentlige organer, to ansvarlige etater.
Etter en konkret vurdering er Personvernnemnda kommet til at det i denne situasjonen foreligger et saklig behov for bruk av personnummer som entydig identifikasjonsmiddel, og at dette er nødvendig for å oppnå en slik sikker identifisering. Bruken av personnummer i denne saken er derfor tillatt i samsvar med personopplysningsloven § 12.
7 Vedtak
Klagen tas til følge. Datatilsynets vedtak oppheves.
Oslo, 2. november 2009
Ingvild Hanssen-Bauer
Nestleder