Personvernnemndas vedtak 31. august 2021 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets vedtak 24. april 2021 om at Fiskeridirektoratet har behandlingsgrunnlag for å innhente opplysninger om stedsposisjon ved elektronisk signering av landings- og sluttseddel, jf. landingsforskriften §§ 8 og 8a.
Sakens bakgrunn
A kontaktet Fiskeridirektoratet 27. oktober 2020 med spørsmål om signering av landingsseddel på mobiltelefon. Bakgrunnen for henvendelsen var innføringen av landingsforskriften § 8a om elektronisk signering av landings- og sluttsedler. I brev til A 11., 13., og 27. november 2020 redegjorde Fiskeridirektoratet for reglene om signering av landingsseddel.
Landingsforskriften gjelder ved landing, mottak og omsetning av fisk fra norske fartøy, uansett hvor de befinner seg. Landingsforskriften § 8a bestemmer at landings- og sluttsedler skal undertegnes elektronisk ved bruk av elektronisk signatur godkjent av Fiskeridepartementet.
Fra 1. desember 2020 skal alle sedler undertegnes elektronisk via ny signeringsapplikasjon på mobil eller nettbrett. Bestemmelsen åpner i tredje ledd for at salgslaget kan gi dispensasjon fra kravet når det foreligger særlige grunner.
Det følger av bestemmelsens andre ledd hvilke opplysninger som skal fremgå av landings- og sluttsedler:
«a. tidspunktet for når seddelen ble signert ved at hver av partenes signatur har sitt eget tidsstempel,
b. geografiske koordinater som angir hvor hver av partene var ved signering, og
c. entydig informasjon om hvem som har signert seddelen.»
A kontaktet Datatilsynet 1. desember 2020. Han mener Fiskeridirektoratet ikke kan kreve posisjonsinformasjon ved signering med privat mobiltelefon eller nettbrett.
I brev til A 11. desember 2020 konkluderte Datatilsynet med at Fiskeridirektoratets behandling av posisjonsdata er lovlig i henhold til personvernforordningen artikkel 6 nr. 1 bokstav e, jf. landingsforskriften §§ 8 og 8a. Tilsynet var enig i de vurderinger Fiskeridirektoratet hadde foretatt og viste til disse. Tilsynet skrev videre at det ikke så behov for videre undersøkelser i saken og viste til artikkel 57. A ble ikke orientert som sin rett til å klage på avgjørelsen.
A ba i brev 21. desember 2020 om en utdypende begrunnelse fra Datatilsynet. Han purret på dette i brev 4. januar 2021, 11. januar 2021 og 10. mars 2021.
I brev 26. april 2021 opprettholdt Datatilsynet sin vurdering av at Fiskeridirektoratet hadde behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e, jf. landingsforskriften §§ 8 og 8a. Datatilsynet gjentok sin konklusjon om at det ikke forelå noe lovbrudd og avsluttet saken. Av brevet framgår det at avgjørelsen kan påklages til Personvernnemnda, jf. personopplysningsloven § 22 og forvaltningsloven §§ 28 og 29.
A klaget rettidig på Datatilsynets avgjørelse 9. mai 2021. Datatilsynet vurderte klagen, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 27. mai 2021. Partene ble orientert om saken i brev fra nemnda 1. juni 2021, og fikk anledning til å komme med kommentarer. Ingen av partene har gitt kommentarer.
Saken ble behandlet i nemndas møte 31. august 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Datatilsynet tar ikke stilling til hvorvidt Fiskeridirektoratet kan kreve posisjonsinformasjon på en privat eiendel som mobiltelefonen eller nettbrett, men forutsetter at dette ligger innenfor handlingsrommet til Fiskeridirektoratet i § 8a siste ledd.
Datatilsynet vurderer landingsforskriften §§ 8 og 8a og finner at behandlingen av posisjonsdata er lovlig i henhold til personvernforordningen artikkel 6 nr. 1 bokstav e, i det slik behandling er nødvendig ved utøvelse av offentlig myndighet. For at behandlingen skal være lovlig må den suppleres med et rettslig grunnlag i nasjonal rett. Her vil landingsforskriften §§ 8 og 8a etter tilsynets vurdering være tilstrekkelig rettslig grunnlag. Datatilsynet deler for øvrig Fiskeridirektoratets vurdering og viser til denne.
Ettersom Datatilsynet anser Fiskeridirektoratet for å ha hjemmel til å kreve dokumentasjon på stedsposisjonen til den som signerer elektronisk, finner ikke tilsynet grunnlag for å gå inn i spørsmålet om bruk av BankID.
Datatilsynet finner ikke holdepunkter for at det foreligger lovbrudd. Tilsynet mener også at saken er tilstrekkelig undersøkt og avslutter den, jf. forvaltningsloven § 17 og personvernforordningen artikkel 57.
As syn på saken i korte trekk
Fiskeridirektoratet kan ikke kreve posisjonsinformasjon ved signering av landingsseddel med privat eiendel som mobiltelefon eller nettbrett. Dette overvåker en hel yrkesgruppe og bryter med fiskernes personvern. Posisjonsgivning på mobiltelefonen kan også lett manipuleres.
Fiskeridirektoratet har instruert Norges Råfisklag til å utvikle og benytte elektronisk signering av landingsseddel i landingsforskriften §8a som krever at hver fisker skal benytte sin personlige mobiltelefon for signering. For å få signert landingsseddelen må fiskernes posisjonssporing på mobiletelefonen være slått på. Signeringsappen med sporing må være frivillig.
En signeringsløsning via BankID, på en enhet som er på fiskemottaket, vil sikre stedsposisjon og samtidig vareta personvernet for fiskerne. Norges Råfisklag foreslo en BankID-løsning overfor Fiskeridirektoratet, noe direktorat avviste.
Signering av landingsseddel på app kan være frivillig på lik linje som andre apper, det være seg smittevernsapp, Snapchat m.m. Da ville nok flertallet av fiskerne brukt appen og de som ikke ønsker en slik sporing kunne signere med BankID, som også ivaretar posisjonsgivning ved signering.
FHI måtte gjøre bruk av sin smittevernsapp frivillig grunnet personvernet, dette i forbindelse med nyere tids største pandemi. Da må signeringsappen med sporing også være frivillig. Signeringsappen er også eneste app som krever posisjonsgivning fra bruker for å fungere.
Fiskeridirektoratets syn på saken
Fiskeridirektoratet bestiller ikke løsningen for elektronisk signering av landingssedler, men har et godkjenningsansvar ved innføring av nye rutiner ved bruk av elektronisk signatur, jf. landingsforskriften § 8 siste ledd. Bestemmelsen oppstilte også tidligere et krav til at løsning for elektronisk signering skal samle inn posisjonsopplysninger på signeringstidspunktet.
Innsamling av posisjonsopplysninger fra signeringstidspunktet for landingssedler er ikke i strid med bestemmelsene i personvernforordningen.
Behandlingen er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt», jf. artikkel 6 nr. 1 bokstav e. Fiskeridirektoratet har behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e, og landingsforskriften, jf. artikkel 6 nr. 3. Bestemmelsene i landingsforskriften §§ 8, 8a, 9, 10 og 11 oppstiller plikt til å fylle ut landingsseddel og fastsetter hvilken informasjon seddelen skal inneholde for den som lander fisk og mottakeren av denne. Umiddelbart etter undertegning skal landingsseddel overføres til salgslaget, jf. landingsforskriften § 14 første ledd. Salgslagene skal deretter fortløpende overføre sedlene til Fiskeridirektoratet, jf. landingsforskriften § 20 første ledd.
Innsamling av posisjonsopplysninger på signeringstidspunktet er helt nødvendig for å kontrollere at samtidighetskravet i landingsforskriften § 8 første ledd overholdes. Etter § 8 første ledd skal mottaker «umiddelbart etter at landing er fullført, der omsetning ikke skjer samtidig, fylle ut en landingsseddel». Landingsseddelen skal signeres av mottaker eller dennes representant og den som lander «før denne forlater mottaksstedet», jf. § 8 første ledd tredje punktum. Innsamling av posisjonsopplysninger er også nødvendig for å vurdere søknader om dispensasjon fra kravet om samtidig undertegning av landingsseddel etter landingsforskriften.
Innsamlingen av posisjonsopplysningene er i samsvar med personvernforordningen artikkel 5. De registrerte gis informasjon om behandlingen i personvernerklæringen, og det gis informasjon i signeringsappen. Personopplysningene samles inn til spesifikke, uttrykkelig angitte og berettigede formål. Formålet med landingsforskriften er å sikre en bærekraftig forvaltning av viltlevende marine ressurser gjennom registrering av opplysninger om fangsten til bruk ved ressurskontroll, kvotekontroll og for statistikkformål, jf. landingsforskriften § 1. Fiskeridirektoratet behandler ikke de innsamlede opplysningene til andre formål. Det samles ikke inn mer personopplysninger enn det som er nødvendig for disse formålene.
Signeringsapplikasjonen samler utelukkende inn geografisk posisjon på signeringstidspunktet og forutsetter at brukeren har gitt applikasjonen tilgang til å samle inn posisjonsdata fra sin enhet. En slik tilgang innebærer imidlertid ikke at det løpende samles inn posisjonsdata. Verken direktoratet eller andre har tilgang til å se bevegelsene til eier av smarttelefonen til enhver tid. Ved bruk av signeringsløsningen, vil det genereres en PDF med landingsmelding og signaturer fra mottaker og fisker. Dette dokumentet inneholder ikke informasjon om posisjon. Posisjonsopplysningene sendes sammen med signert landingsmelding til Fiskeridirektoratet.
Personvernnemndas vurdering
Posisjonsopplysninger er knyttet til eieren av mobiltelefonen og vil derfor være personopplysninger, jf. personvernforordningen artikkel 4 nr. 1.
For at en behandling av personopplysninger skal være lovlig, må den ha et rettslig grunnlag. De rettslige grunnlagene for behandling av personopplysninger framgår av personvernforordningen artikkel 6 nr. 1.
Det følger av artikkel 6 nr. 1 bokstav e at behandlingen er lovlig dersom den er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Den rettslige forpliktelsen må i henhold til artikkel 6 nr. 3 være fastsatt i unionsretten (bokstav a) eller i nasjonal rett (bokstav b). Fiskeridirektoratet har vist til landingsforskriften §§ 8, 8a, 9, 10 og 11 som supplerende rettsgrunnlag. Det er ingen tvil om at både lov- og forskriftsbestemmelser kan utgjøre supplerende rettsgrunnlag, jf. Prop. 56 LS (2017–2018) punkt 6.3.2 side 33.
Det framgår av landingsforskriften § 8a at landings- og sluttsedler skal undertegnes elektronisk ved bruk av elektronisk signatur godkjent av Fiskeridirektoratet i medhold av § 8. I bestemmelsens andre ledd bokstav b fastslås det at «geografiske koordinater som angir hvor hver av partene var ved signering» skal framgå av landings- og sluttseddelen. Kravet om posisjonsinformasjon ved signering av landings- og sluttseddel framgår dermed uttrykkelig av landingsforskriften § 8a andre ledd bokstav b og tilfredsstiller kravet til supplerende rettsgrunnlag, jf. artikkel 6 nr. 3.
Fiskeridirektoratet har også redegjort for at posisjonsinformasjon er nødvendig for å kontrollere at samtidighetskravet i landingsforskriften § 8 første ledd overholdes, samt for å vurdere søknader om dispensasjon fra kravet etter landingsforskriften om samtidig undertegning. Nemnda slutter seg til den vurderingen.
Behandlingen er også lovlig etter personvernforordningen artikkel 5. Personopplysningene samles inn til spesifikke, uttrykkelig angitte og berettigede formål, og benyttes ikke til andre formål. Det samles heller ikke inn mer personopplysninger enn det som er nødvendig for disse formålene.
Nemnda bemerker at i og med at posisjonsopplysninger er nødvendig for å kontrollere samtidighetskravet og forskriften pålegger innsamling av disse opplysningene, vil valg av signaturløsning (BankID eller app) være uten betydning for hvilke personopplysninger som samles inn og behandles, og personvernulempen for den enkelte vil være den samme. Nemnda viser i den forbindelse til at signeringsapplikasjonen utelukkende samler inn geografisk posisjon på signeringstidspunktet. Tilgang til posisjonsdata på signeringstidspunktet innebærer ikke at det løpende samles inn posisjonsdata. Verken direktoratet eller andre har tilgang til å se bevegelsene til eier av smarttelefonen til enhver tid.
Nemnda har, som Datatilsynet, kommet til at Fiskeridirektoratets behandling av opplysninger om posisjonsdata er lovlig, jf. personvernforordningen artikkel 6 nr. 1 bokstav e, jf. landingsforskriften §§ 8 og 8a. Behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets vedtak opprettholdes.
Oslo, 31. august 2021
Mari Bø Haugstad
Leder