Bakgrunn

Ved EØS-komiteens beslutning av 25. juni 1999 ble europaparlaments- og rådsdirektiv om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personverndirektivet), tatt inn i EØS-avtalens vedlegg XI om telekommunikasjonstjenester. Samtidig ble EØS-avtalens protokoll 37 endret til også å omfatte EFTA-statenes deltakelse i den arbeidsgruppen som personverndirektivet oppretter for å gi råd til Kommisjonen i ulike spørsmål knyttet til behandling av personopplysninger.

Personverndirektivet har som siktemål å etablere felles reguleringsprinsipper og et ensartet vern for behandling av personopplysninger i hele EU-området. Direktivet skal sikre fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandling av personopplysninger. Samtidig har direktivet som formål å sikre fri utveksling av personopplysninger mellom medlemsstatene.

EØS-komiteens beslutning og direktivet i norsk oversettelse følger som trykte vedlegg til proposisjonen. Forslag til lovendringer for å gjennomføre beslutningen er forelagt Stortinget ved Ot.prp. nr. 92 (1998-1999) om lov om behandling av personopplysninger.

Nærmere om direktivet

Etter artikkel 1 skal medlemsstatene i samsvar med direktivet sikre vern av fysiske personers grunnleggende rettigheter og friheter ved behandling av personopplysninger. Vernet av retten til privatlivets fred fremheves særskilt. Samtidig skal direktivet sikre fri utveksling av personopplysninger i det indre marked.

Artikkel 2 definerer begreper som benyttes i direktivet.

Artikkel 3 angir direktivets saklige virkeområde. Direktivet får i utgangspunktet anvendelse på enhver behandling av personopplysninger som helt eller delvis utføres ved hjelp av elektroniske hjelpemidler og på manuell behandling av personopplysninger der disse inngår eller skal inngå i et register.

Artikkel 4 angir forholdet mellom direktivet og nasjonal lovgivning. Hovedregelen er at behandling av personopplysninger innenfor fellesskapet skal følge reglene om personvern i den staten der den behandlingsansvarlige er etablert.

Artikkel 6 oppstiller enkelte grunnleggende prinsipper for opplysningenes kvalitet og krav til behandling av personopplysninger.

Artikkel 7 oppstiller uttømmende vilkår for at behandling av personopplysninger kan finne sted. Personopplysninger kan behandles når den registrerte har gitt sitt utvetydige samtykke, eller når behandlingen er nødvendig for å vareta nærmere definerte interesser.

Artikkel 8 oppstiller i utgangspunktet et forbud mot å behandle sensitive personopplysninger elektronisk eller som en del av et manuelt personregister, men det åpnes for å fastsette nærmere bestemte unntak fra forbudet.

Etter artikkel 9 skal det gjøres unntak fra de fleste av de alminnelige reglene i direktivet for behandling av personopplysninger som utelukkende finner sted i journalistisk øyemed eller i forbindelse med kunstnerisk eller litterær virksomhet, i den grad dette er nødvendig for å forene retten til privatlivets fred med reglene om ytringsfrihet.

Artiklene 10 og 11 inneholder regler om opplysningsplikt for den behandlingsansvarlige, både når personopplysninger samles inn direkte fra den registrerte, og når personopplysninger hentes fra andre kilder enn den registrerte selv.

Artikkel 12 gir den registrerte rett til å få innsyn i opplysninger. Enhver registrert har rett til å få opplyst hos den behandlingsansvarlige om det behandles personopplysninger om en selv, om formålet med behandlingen, hvilke opplysningstyper som brukes, kilden for og mottakerne av opplysningene, samt i visse tilfeller "logikken" bak disse behandlingene. Ulike unntak fra denne innsynsretten er hjemlet i artikkel 13. Begrensningene må gjøres ved lov, og må være nødvendige ut fra nærmere bestemte hensyn som nevnes i art. 13 bokstav a-g.

Artikkel 14 inneholder en bestemmelse som på nærmere angitte vilkår gir den enkelte rett til å motsette seg at visse særlige kategorier av personopplysninger blir behandlet. Det er anledning til å begrense denne retten i nasjonal lovgivning. Det oppstilles videre en rett til å motsette seg persondatabehandlinger som er ledd i markedsføring.

Artikkel 15 oppstiller som hovedregel en rett for den enkelte til å nekte å la seg undergi avgjørelser som har rettsvirkninger for ham eller henne eller som berører vedkommende i vesentlig grad, og som i sin helhet er truffet på grunnlag av elektronisk behandling av opplysninger med sikte på å vurdere visse personlige forhold.

Artikkel 17 pålegger bl.a. medlemsstatene å gi regler om den behandlingsansvarliges plikt til å iverksette tekniske og organisatoriske tiltak for å beskytte personopplysninger.

Direktivet etablerer en tilsynsordning der hovedregelen er meldeplikt til tilsynsmyndigheten for all elektronisk behandling av personopplysninger, jf. artikkel 18. For personopplysningsbehandlinger som kan innebære særlige farer for de registrertes friheter og rettigheter, krever artikkel 20 at det skal foretas en forhåndskontroll, f.eks. en konsesjonsplikt. Det forutsettes at antallet slike behandlinger bør være svært begrenset sett i forhold til det totale antallet behandlinger av personopplysninger i samfunnet.

Medlemsstatene skal iht. artikkel 21 sikre at behandlingene er offentlig tilgjengelige, bl.a. gjennom å gi regler om at tilsynsmyndigheten skal føre et register over behandlinger som er innmeldt etter artikkel 18.

Direktivets bestemmelser om klageadgang, ansvar og sanksjoner, jf. artikkel 22-24, oppstiller visse generelle krav, men overlater til medlemsstatene å utforme detaljene i gjennomføringen.

Det skal være fri utveksling av personopplysninger mellom medlemsstatene, mens det for overføring av personopplysninger til tredjestat oppstilles ulike grunnprinsipper som skal sikre at opplysninger som hovedregel bare overføres til stater som har et tilstrekkelig vernenivå når det gjelder personvern, jf. artikkel 25. Direktivet etablerer særlige prosedyrer for å sikre en enhetlig praktisering av overføringsreglene. Kommisjonen og medlemsstatene skal bl.a. holde hverandre orientert om tredjestater som de finner ikke har et tilstrekkelig vernenivå.

Medlemsstatene og Kommisjonen skal iht. artikkel 27 oppmuntre til utarbeidelse av såkalte atferdsregler (bransjevise atferdsnormer).

Hver medlemsstat skal utpeke minst en offentlig tilsynsmyndighet som skal påse at reglene som gis for å gjennomføre direktivet overholdes, jf. artikkel 28.

Det skal nedsettes en uavhengig arbeidsgruppe for personvern i forbindelse med behandlingen av personopplysninger, bestående av én representant fra tilsynsmyndighetene i hver medlemsstat, i tillegg til representanter fra EUs egne organer, jf. artikkel 29. Gruppen skal bl.a. gi Kommisjonen råd i spørsmål som gjelder personvern ved behandling av personopplysninger, jf. artikkel 30.

EØS-komiteens beslutning

Hver EFTA-stat skal utpeke en representant til å delta som observatør i den arbeidsgruppen som direktivet oppretter for å gi råd til Kommisjonen i ulike spørsmål knyttet til behandling av personopplysninger Det er gitt visse særlige tilpasninger for EFTA-statenes vedkommende.

I forhold til reglene om overføring av personopplysninger til tredjestat er det gitt tilpasninger som skal sikre gjensidig informasjon om tredjestatsspørsmål og som medfører at EFTA-statene står fritt til å velge om de vil følge beslutninger fra Kommisjonen om f.eks. å nekte overføring av personopplysninger til bestemte tredjestater.

EFTA-statene skal innen seks måneder fra tidspunktet for beslutningen (som var 25. juni 1999), bekrefte overfor de øvrige EØS-stater at de forfatningsmessige krav er oppfylt, dvs. for Norges del at Stortingets samtykke er innhentet. Fristen for gjennomføring av direktivet i norsk rett er den samme.

Forholdet til norsk rett

Direktivet nødvendiggjør endringer i norsk personregisterlovgivning på en del punkter. De nødvendige endringene er foreslått gjennomført i Ot.prp. nr. 92 (1998-1999) om lov om behandling av personopplysninger.

Direktivet inneholder ikke noen uttrykkelig regulering av forholdet mellom behandlingsreglene i direktivet og innsynsregler som følger av offentlighets- og forvaltningslovgivningen, men det legges til grunn at direktivet ikke gjør det nødvendig å begrense den innsynsretten som følger av offentlighetsloven.

Administrative og økonomiske konsekvenser

For dem som behandler personopplysninger vil utvidet innsynsrett og nye varslingsregler kunne medføre visse meromkostninger, uten at det er mulig å tallfeste disse konkret. Det vil også påløpe utgifter hos Datatilsynet.

Konklusjoner og tilråding

Etter Justisdepartementets syn vil direktivet gjennom innlemmelse i EØS-avtalen sikre et styrket personvern, samtidig som man tar hensyn til behovet for en fleksibel og teknologiuavhengig regulering.

De tilpasningene som er fremforhandlet om prosedyrene knyttet til en enhetlig praktisering av reglene om overføring av personopplysninger til tredjestat, gir en tilfredsstillende sikring av EFTA-statenes mulighet til på selvstendig grunnlag å vurdere om de vil følge Kommisjonens beslutninger.