Home

Personvernnemnda


Personvernnemnda behandler og avgjør klager over Datatilsynets vedtak, jf. personopplysningsloven § 22 andre ledd. Personvernnemnda kan prøve alle sider av de sakene som tas til behandling, også Datatilsynets skjønnsutøvelse.

Personvernnemnda har et eget sekretariat som forbereder sakene til behandling i nemnda.

Lenke til Datatilsynet: www.datatilsynet.no.

Siste avgjørelser og årsmeldinger

PVN-2006-13 Personopplysninger i forsikringssak

lage på Datatilsynets vedtak om å ikke intervenere i sak angående spesialisterklæring utarbeidet i forsikringssak som inneholdt personopplysninger om andre personer enn klager

Saken gjelder klage fra en person vedrørende en spesialisterklæring utarbeidet for Vesta forsikring som inneholder personopplysninger om andre personer enn klager. Klager underskrev en fullmakt til Vesta

Erklæring om fritak for taushetsplikt. Legen tok likevel med informasjon om andre enn klager i sin spesialisterklæring, blant annet utleverte den personopplysninger om klagers nærmeste familie. Saken ble først klaget inn for Helsetilsynet i Vestfold, som konkluderte med at spesialisterklæringen ikke er utarbeidet i henhold til god praksis. Helsetilsynet vurderte reaksjonskapittelet i helsepersonelloven, men fant at det ikke dreide seg om så grov uaktsomhet at saken burde oversendes Statens helsetilsyn til vurdering som mulig pliktbrudd i henhold til helsepersonelloven § 55. Datatilsynet viser til at det ikke har kompetanse til å overprøve den sakkyndige vurderingen, og når Helsetilsynet i Vestfold ikke anser utlevering i strid med reglene om taushetsplikt, finner Datatilsynet at det ikke har rettslig grunnlag som gjør det naturlig å ta videre skritt i sakens anledning. Personvernnemnda mener at utlevering av personopplysninger om andre enn den som har samtykket, sannsynligvis er et brudd på taushetspliktsbestemmelsene i helseregisterloven og helsepersonelloven. Slik nemnda ser det, har Helsetilsynet i Vestfold funnet at utleveringen er et taushetspliktsbrudd etter helsepersonelloven, men Helsetilsynet konkluderer med at reaksjonskapittelet i helsepersonelloven likevel ikke skal benyttes. Personvernnemnda må derfor legge dette til grunn. Det finnes ingen ytterligere sanksjoner etter personopplysningsloven.

PVN-2006-12 Bokettersyn hos advokat

Klage på Datatilsynets vedtak om at opplysning om bokettersyn hos advokat ikke er en personopplysning

Datatilsynet mottok klage fra en advokat fordi opplysning fra Tilsynsrådet for advokatvirksomhet om at det var besluttet bokettersyn hos advokaten var blitt offentliggjort. Datatilsynet vedtok at slik opplysning om en advokat ikke er en personopplysning i personopplysningslovens forstand. Personvernnemnda vurderte hvorvidt det å offentliggjøre en liste over advokater som er underlagt bokettersyn er i strid med taushetspliktsbestemmelsen i forvaltningsloven fordi dette er “noens personlige forhold”, jf. forvaltningsloven § 13, 1.ledd nr 1. Nemnda kom til at slike virksomhetsrelaterte opplysninger, herunder bokettersyn hos advokat, faller utenfor taushetsplikten om personlige forhold. Opplysningen er derfor offentlig. Personopplysningsloven § 6 angir at innsynsretten etter forvaltningsloven eller offentlighetsloven ikke begrenses. Klagen ble derfor ikke tatt til følge.

PVN-2006-11 REMA 1000 – fingeravtrykk ved registrering av timer

Klage på pålegg om at bruk av fingeravtrykk må opphøre

REMA 1000 har påklaget Datatilsynets vedtak om at REMA 1000 må avslutte bruken av fingeravtrykk i forbindelse med timeregistrering for de ansatte. Registrering i terminalen skjer ved at den ansatte taster sitt ansattnummer eller ID-nummer. Deretter blir vedkommende bedt om å legge en finger på leseplaten eller sensoren for å verifisere at det er tastet riktig nummer. Datatilsynet er ikke uenig i at REMA 1000 har et saklig behov for å sikre at lønn føres korrekt. Tilsynet er imidlertid av den oppfatning at fingeravtrykket ikke benyttes for sikker identifisering slik dette er formulert i § 12. Identifisering skjer ved hjelp av ansattkoden, mens fingeravtrykket brukes til autentisering, noe som faller utenfor § 12. Datatilsynet mener at lovens krav til nødvendighet heller ikke er oppfylt. Personvernnemnda har i sak PVN-2006-10 (Esso Norge) kommet til at personopplysningsloven § 12 dekker begge former for bruk av et “identifikasjonsmiddel” når bruk av fingeravtrykk til autentisering er en del av et system for sikker identifisering. Personvernnemnda mener at det foreligger et saklig behov for sikker identifisering i forbindelse med timeregistrering. Imidlertid finner nemnda at nødvendighetsvilkåret ikke er oppfylt. Etter nemndas oppfatning kan REMA 1000 benytte seg av “andre og mindre sikre identifikasjonsmidler” som likevel tilfredsstiller butikkjedens behov. Klagen tas derfor ikke til følge.

PVN-2006-10 Esso Norge AS – fingeravtrykk ved adgangskontroll

Klage på Datatilsynets vedtak om at Esso Norge må avslutte bruken av fingeravtrykksleser på tankanlegg.

Dissens. Esso ønsket å benytte fingeravtrykk i tilknytning til adgangskontroll ved fire forskjellige tankanlegg, i Fredrikstad, Tønsberg, Trondheim og Bergen. Bruken skulle være basert på en samtykkeerklæring og en “Safety Policy” og skulle sikre at kun autorisert og trenet personell ble gitt adgang til anlegget. Datatilsynet mente at klager har misforstått det første vilkåret i § 12 dit hen at et stort behov for fysisk sikring også gir et stort behov for sikker identifisering. Tilsynet fant at fingeravtrykket ikke benyttes til identifisering, men til autentisering etter at identifiseringen har funnet sted. Datatilsynet mente også at lovens krav til nødvendighet ikke var oppfylt. Etter Datatilsynets oppfatning kan klager oppnå like sikker identifisering ved døgnbemannet adgangskontroll. I følge tilsynet er manuell visuell kontroll opp mot adgangsbevis et godt alternativ til bruk av fingeravtrykk. Personvernnemnda mener at personopplysningsloven § 12 dekker begge former for bruk av fingeravtrykk som et “identifikasjonsmiddel”, det vil si både identifisering og autentisering. Ved bruken av kort og fingeravtrykksleser ved adgangsporten vil (1) personen være identifisert, og (2) personen være autentisert. Personen vil dermed få adgang til tankanlegget. Personvernnemnda er av den oppfatning at det ikke kan pålegges og derfor heller ikke vurderes – andre typer sikring slik som vakthold, gjerder, høye murer etc, idet dette ligger utenfor personopplysningsloven § 12 og midler for sikker identifikasjon ved adgangskontrollen. Nemnda kommer til at det foreligger et saklig behov for bruk av fingeravtrykksleser, og at bruken er nødvendig for å oppnå sikker identifisering. Et medlem kommer til at nødvendighetsvilkåret i § 12 utelukker bruk av samtykke som behandlingsgrunn, og vil avvise klagen.

PVN-2006-09 Oslo trimsenter – fingeravtrykk ved adgangskontroll.

Klage på Datatilsynets vedtak om at Oslo trimsenter må avslutte bruken av fingeravtrykk ved adgangskontroll til treningssenter

Datatilsynet mente at det kunne sies å foreligge et saklig behov for sikker identifisering i tilknytning til adgangskontrollen, men at lovens krav til nødvendighet ikke var oppfylt. Personvernnemnda var enig i Datatilsynets vurdering og tok ikke klagen til følge. Nemnda mener at treningssenteret kan benytte seg av “andre og mindre sikre identifikasjonsmidler”, som likevel er sikkert nok til å tilfredsstille treningssenterets behov.

PVN-2006-08 Oxigeno Fitness – fingeravtrykk ved adgangskontroll

Klage på Datatilsynets vedtak om at Oxigeno Fitness må avslutte bruken av fingeravtrykk ved adgangskontroll til treningssenter

Datatilsynet mente at det kunne sies å foreligge et saklig behov for sikker identifisering i tilknytning til adgangskontrollen, men at lovens krav til nødvendighet ikke var oppfylt. Personvernnemnda var enig i Datatilsynets vurdering og tok ikke klagen til følge. Nemnda mener at treningssenteret kan benytte seg av “andre og mindre sikre identifikasjonsmidler”, som likevel er sikkert nok til å tilfredsstille treningssenterets behov.

PVN-2006-07 Tysvær kommune – saksomkostningsvedtak, jf. forvaltningsloven § 36.

I sak PVN-2006-07 omgjorde Personvernnemnda Datatilsynets vedtak. Wiersholm advokatfirma har på vegne av sine klienter Tysvær kommune og Lenovo Technologies BV Norway Branch (heretter “Lenovo”) krevd å få dekket kostnadene med å få omgjort vedtaket. Etter en samlet vurdering kom nemnda til at kravet skal avkortes. En slik avkortning må nødvendigvis være skjønnsmessig. Kun nødvendige kostnader i forbindelse med klagesak PVN-2006-07 dekkes.

PVN-2006-07 Tysvær kommune – fingeravtrykkspålogging.

Klage på Datatilsynets vedtak om at Tysvær kommune må avslutte bruken av fingeravtrykk ved pålogging av datasystem

Spørsmål om Tysvær kommune må avslutte bruken av fingeravtrykk ved pålogging av datasystem. Tysvær kommune benytter biometrisk tilgangskontroll på alle nye bærbare datamaskiner og noen stasjonære maskiner. Datatilsynet forbød bruken fordi den ikke var tillatt etter personopplysnings­loven § 12. Datatilsynet mente at selv om det foreligger saklig behov for sikker identifisering for å sikre at sensitive personopplysninger i datasystemet kommer på avveie, var ikke bruk av fingeravtrykksløsning nødvendig for å oppnå sikker identifisering. Etter Datatilsynets syn kunne kommunen i stedet bruke for eksempel smartkort kombinert med passord. Personvernnemnda omgjorde vedtaket. Etter Personvernnemndas syn er kommunens bruk av fingeravtrykksløsning nødvendig. Smartkortet kan gjenglemmes eller fratas den autoriserte bruker eller på annen måte komme på avveie. Smartkortet kan selv etter omstendighetene være en kandidat for et entydig identifikasjonsmiddel, og det finnes risikomomenter ved en slik løsning som man ikke finner ved en løsning som bygger på bruk av fingeravtrykk. Etter en konkret avveining kom Personvernnemnda til at kommunens bruk er tillatt, jf. personopplysningsloven § 12.

PVN-2006-06 Dopingprøver

Klage på Datatilsynets vedtak om at dopingtester ved treningssenteret Skullerud Sport Senter AS skal opphøre

Datatilsynet fattet vedtak om at om at dopingtester ved treningssenteret Skullerud Sport Senter AS skal opphøre. Antidoping-programmet består av en frivillig egenerklæring som medlemmer ved senteret kan undertegne. Medlemmer som har samtykket kan bli utsatt for uanmeldte dopingprøver. Datatilsynet mente at dopingtester av treningssenterets medlemmer er et for inngripende og lite egnet virkemiddel til at personvernulempene ved testene oppveies. Tiltaket vil ikke være tilstrekkelig og relevant, herunder forholdsmessig, i forhold til formålene som begrunner tiltaket. Personvernnemnda omgjorde Datatilsynets vedtak. Etter Personvernnemndas syn er antidoping-programmet vurdert under ett ikke et uforholdsmessig tiltak. Nemnda legger blant annet vekt på at samtykke er frivillig og at antidoping-programmet bidrar til holdningsskapende arbeid blant ungdom.

PVN-2006-05 Spørsmål om identitetsmisbruk.

Klage på Datatilsynets avvisningsvedtak

Spørsmål om identitetsmisbruk. Klager hevdet at det fantes en “falsk navnebror” ved søk på ulike telefonkataloger på Internettet. Klager henviste blant annet til søketjenesten “sesam.no”. Klager mente at den falske navnebroren skulle være registrert med fiktiv adresse i nærheten av klager og anmodet Datatilsynet om å avklare grunnlaget for dobbeltoppføringen med Telenor. Personvernnemnda kunne ikke finne at det var opplyst eller dokumentert feilaktige opplysninger per i dag som kunne kreves rettet etter personopplysningsloven § 27. Når det ikke kan påvises feilaktige opplysninger, faller forholdet utenfor personopplysningsloven og dermed utenfor Personvernnemndas kompetanse.