10. Overføring av person­opplysninger til utlandet

Etter personregisterloven § 36 må Datatilsynet i utgangspunktet samtykke før personregistre eller personopplysninger som skal innføres i et personregister overføres til utlandet, men samtykkekravet er ved forskrift redusert til en meldeplikt. Bruk av internasjonale kommunikasjonskanaler som internett reiser særlige spørsmål i forhold til gjeldende regler.

EU-direktivet fastsetter at det skal være fri utveksling av personopplysninger mellom medlemslandene, mens det for overføring av personopplysninger til tredjeland oppstilles ulike grunnprinsipper som skal sikre at opplysninger som hovedregel bare overføres til land som har et tilstrekkelig beskyttelsesnivå når det gjelder personvern.

Utvalget går inn for at overføring til tredjeland som hovedregel bare skal kunne tillates dersom mottakerlandet regulerer behandling av personopplysninger på en tilstrekkelig forsvarlig måte. De stater som har gjennomført EU-direktivet, skal anses å oppfylle kravet. På nærmere bestemte vilkår skal man også kunne overføre opplysninger til stater som ikke anses å regulere behandlingen av personopplysninger på en tilstrekkelig forsvarlig måte. Utvalget legger da blant annet vekt på at det er vanskelig å ha noen klar oppfatning av hvilke behov for overføring som kan oppstå i fremtiden. Datatilsynet skal føre kontroll med at vilkårene for overføring er oppfylt, og vil ha kompetanse til å nekte eller sette vilkår for overføringen.

Utvalget drøfter videre enkelte spørsmål knyttet til bruk av internasjonale kommunikasjonskanaler, som internett. Mange av de hjemmesidene som opprettes på internett vil normalt falle utenfor lovforslagets anvendelsesområde, ettersom de ofte vil være rent private. For de hjemmesidene som omfattes av lovforslaget, finner utvalget det naturlig å anse publiseringen på internett som en overføring av personopplysninger til utlandet.

Det er ikke kommet vesentlige innvendinger mot utvalgets forslag, og departementet slutter seg i hovedsak til forslaget. Det har vært reist spørsmål om forhåndskontroll fra Datatilsynets side før opplysningene overføres til utlandet. Departementet kan ikke se noen grunn til å innføre et krav om forhåndskontroll utover den som vil bli foretatt i forbindelse med lovens alminnelige regler om melde- og konsesjonsplikt.

Det er reist spørsmål om hvilken betydning overføringsreglene i praksis vil få i forhold til bruk av internett. Departementet viser til at private hjemmesider med informasjon av privat karakter, og internettjenester der personopplysninger bare brukes for kunstneriske, litterære eller journalistiske (opinionsdannende) formål, vil kunne legges ut på internett uten hensyn til behandlings- og overføringsregler.

Det er på det rene at bruk av internasjonale kommunikasjonskanaler som internett vil kunne stille mange og stadig nye utfordringer til lovverket. Dette er derfor et område som det vil være grunn til å følge særlig nøye i forbindelse med den etterkontrollen av personopplysningsloven som det vil bli lagt opp til.

Komiteens merknader

EU-direktivets utgangspunkt om at det skal være fri utveksling av personopplysninger mellom medlemslandene og at overføringer til tredjeland som hovedregel kun skal kunne skje når vedkommende land har et tilstrekkelig høyt beskyttelsesnivå for personvern, synes etter komiteens oppfatning å være et godt utgangspunkt for den norske lovgivningen. Derfor er komiteen enig i at alle land som gjennomfører EU-direktivet må anses å oppfylle kravet, og at overføringen til tredjeland i utgangspunkt skal kunne skje når vedkommende land har en tilstrekkelig forsvarlig behandlingsmåte av personopplysninger.

Under bestemte vilkår må det også etter komiteens syn være mulig å overføre personopplysninger til tredjeland som normalt ikke oppfyller de strenge krav vi setter for behandling av personopplysninger.

Komiteen følger departementet i at det ikke er nødvendig å innføre spesielle krav om forhåndskontroll ved overføringer av personopplysninger til utlandet. Lovens alminnelige regler om melde- og konsesjonsplikt må etter komiteens syn anses å være tilstrekkelig også i disse tilfeller.

Bruk av internasjonale kommunikasjonskanaler, som internett, stiller en overfor spesielle utfordringer. Komiteen er enig med Justisdepartementet i at private hjemmesider med informasjon av privat karakter, og internettjenester der personopplysninger kun brukes for kunstneriske, litterære eller journalistiske formål, fritt må kunne legges ut på nettet. For de hjemmesidene som omfattes av lovforslaget, mener komiteen imidlertid at overføringsreglene for personopplysninger til utlandet må gjelde.

Komiteen peker på at det må utformes forutsigbare rettslige og økonomiske rammebetingelser for den elektroniske handelen som sikrer norske bedrifter konkurranseevne nasjonalt og internasjonalt. For å sikre konkurranseevne bør det i utgangspunktet ikke innføres strengere regelverk i Norge enn i EU-land. Dette må legges til grunn ved utarbeidelse av forskrifter på området. Skulle Regjeringen mene at det er nødvendig å innføre strengere regler for slik virksomhet i Norge, må reglene forelegges Stortinget til behandling. Komiteen peker på at stabile og gode rammevilkår er er viktig kriterium for å sikre investorinteresser i denne bransjen.

Når det gjelder internasjonale kommunikasjonskanaler, ser komiteen klart at lovverket vil kunne bli stilt overfor mange og nye utfordringer i framtiden, og at dette vil være et felt en må følge spesielt nøye i forbindelse med etterkontrollen av personopplysningsloven. Komiteen forutsetter at dette er et spørsmål som vil bli forelagt Stortinget på nytt.

Forrige kapittel
Neste kapittel