Personopplysninger som handelsvare

Personopplysninger er en raskt voksende handelsvare. Selskaper tjener penger på personlige opplysninger generert fra brukerne. Gratistjenester har ofte som forretningsidé at brukeren betaler ved å stille sine personopplysninger til rådighet for videresalg i bytte mot et gode. Økningen i antall opplysninger som samles inn, øker treffsikkerheten og dermed betalingsvilligheten. Datatilsynet mener denne utviklingen vil forsterkes i årene som kommer. Man gir fra seg stadig flere og mer inngripende opplysninger uten å være seg bevisst hvilken krets disse opplysningene blir spredt til, og hvordan de kan brukes.

Datatilsynet nedsatte i 2010 en arbeidsgruppe som skal se på personvernutfordringer knyttet til sosiale nettsamfunn og apps. Det er gjennomført et forprosjekt med utgangspunkt i Facebook, som blant annet viser at profilinformasjonen som hver enkelt bruker frivillig gir fra seg, kun er en liten del av den samlede informasjonen som Facebook innhenter. Facebook samler også inn informasjon om brukere som ikke er medlemmer, og via selskapets ulike informasjonsapplikasjoner innhenter Facebook opplysninger om brukere av andre nettsteder. Som mot-ytelse får nettsidene som implementerer Facebooks informasjonsapplikasjoner, blant annet tilgang på statistikk. En av forprosjektets konklusjoner er at nevnte problemstillinger ikke kan ignoreres i tilsynets videre arbeid, uavhengig av om norsk rett har jurisdiksjon over Facebook eller ikke.

Departementet bemerker at personopplysninger synes å ha fått en betydelig verdi i næringslivet. Internasjonale undersøkelser kan tyde på at borgerne gjennomgående undervurderer markedsverdien av egne personopplysninger. Samtidig synes det å være et stort gap mellom næringslivets betalingsvillighet for personopplysninger og for eksempel den prisen som settes på forsikring mot id-tyveri. Departementet påpeker viktigheten av at Datatilsynet følger utviklingen på dette området, og at borgerne bevisstgjøres om verdien på gjenbruksmulighetene når de gir fra seg opplysninger.

Frislipp av personopplysninger

Offentleglova er klarere enn tidligere regelverk med hensyn til hva stat og kommune kan og skal publisere på Internett. Datatilsynet har registrert en tendens til at offentlige myndigheter i stadig større grad også offentliggjør saksdokumenter som inneholder personopplysninger. Dette kan ha ulike årsaker. Personopplysninger fra offentlige registre kan ha kommersiell interesse. Det offentlige har i enkelte situasjoner pålagt seg selv å lage begrensninger i søkefunksjonaliteten. Datatilsynet påpeker at slike begrensninger kan bli virkningsløse når opplysningene lastes ned og publiseres av andre.

Datatilsynet er bekymret for at enkeltpersoner skal oppleve at det ved feil legges ut sensitive personopplysninger om dem, og at bekymringer for feil, identitetstyveri og profildannelse skal medføre at befolkningen avstår fra å klage eller på annen måte benytte seg av rettigheter de har overfor det offentlige. Dette kan i så fall utgjøre et demokratiproblem. Et av formålene med en åpen forvaltning er at den skal gi borgerne kontroll med myndighetene. Men åpenhet kan i verste fall også føre til tap av kontroll for den enkelte borger. Det offentlige må med andre ord bli mer bevisst på hvilke opplysninger som publiseres. Det er således ikke åpenhet i seg selv som er problemet, men at en sak gjøres tilgjengelig på Internett på en slik måte at den relateres til enkeltpersoner i årevis via søkemotorer. Offentlighetshensynet kan ivaretas uten at informasjonen tilgjengeliggjøres på denne måten.

Departementet har forståelse for Datatilsynets bekymring knyttet til praktisering av offentlighets-reg-lene. Til tross for at personvern var ett av flere temaer som sto sentralt i arbeidet med den nye offentlighetsloven, viser dagens praksis at det stadig er utfordringer å ta tak i. De personvernmessige utfordringene ved å publisere journaler og saksdokumenter på Internett bør derfor diskuteres og vurderes, enten i forbindelse med den forestående evalueringen av offentlighetsloven eller i annen sammenheng.

Tap av kontroll i nettskyen?

Det er en økende trend blant privatpersoner og virksomheter i retning av å flytte mye av den informasjonen som tradisjonelt har vært lagret lokalt på datamaskinen, ut på nettet til den såkalte nettskyen (cloud computing). Nettskyen er en fellesbetegnelse på et vidt spekter av tjenester som leveres over eksterne nettverk. En typisk nettskytjeneste er databasetjenester og lagring av data i store eksterne serverparker.

Det kan både være kostnadseffektivt og praktisk å benytte slike tjenester.

Datatilsynet har erfart at lagring av informasjon i nettskyen reduserer brukernes kontroll med dataene. Mange av tjenestetilbyderne har ikke egen serverpark, men bruker en annen leverandør for den faktiske lagringen. For eksempel kan det innebære at dataene flyttes til en server i et annet land, uten garanti for at de behandles etter et bestemt regelverk. Datatilsynet mener det er viktig at både privatpersoner og virksomheter er klar over de usikkerhetsmomenter som gjelder ved kjøp av tjenester i nettskyen, og at dette særlig gjelder for virksomheter som behandler personopplysninger. Overføres personopplysninger til land utenfor EØS-området, krever regelverket i utgangspunktet en prosess som involverer Datatilsynet.

Datatilsynet har utarbeidet en kortfattet veileder i personvernkonsekvenser ved bruk av nettjenester. Tilsynet påpeker at de reglene som gjelder for en behandlingsansvarlig i Norge, også gjelder for behandlingen av personopplysninger som lagres i nettskyen. Også departementet er enig i at lagring av kundeopplysninger eller andre personopplysninger i nettskyen kan medføre en personvernrisiko. I praksis er det imidlertid svært vanskelig å føre kontroll med overholdelse av regelverket når personopplysningene er lagret i nettskyen og i praksis kan flyttes rundt kontinuerlig. For næringslivet bør spørsmålet om IKT-sikkerheten i nettskyen gi grunnlag for refleksjoner over virksomhetens sårbarhet. EUs standardavtaler for overføring av personopplysninger til tredjeland kan blant annet være et godt instrument for å sikre at de nasjonale personvernreglene etterleves ved bruk av databehandlere i land utenfor EØS-området.

Innebygget personvern – privacy by design

Datatilsynet har lagt vekt på å medvirke til at personvern bygges inn i nye teknologiske løsninger fra starten. Det vil si en tilnærming med fokus på personvernfremmende teknologi, eller personvernvennlig design, og anerkjennelse av at godt personvern ikke kan sikres utelukkende ved hjelp av lover og regulering. Ideelt sett må personvern inngå som en naturlig del av en organisasjons virksomhetsstyring.

Dersom det ikke bygges inn personvern i designfasen ved nyutvikling av informasjonssystemer, viser det seg ofte å være vanskelig å få dette til i ettertid.

Departementet deler Datatilsynets vurdering av betydningen av innebygget personvern. Jo tidligere i prosesser det tenkes personvern, jo lettere er det å finne frem til gode og rimelige personvernløsninger. Det er viktig å arbeide frem internasjonalt aksepterte løsninger som de store teknologiutviklerne implementerer i sine systemer. Departementet følger utviklingen på dette området med interesse og ønsker å bidra til at det offentlige tar i bruk innebygget personvern.

Helseregistre

Datatilsynet viser til at helsesektoren er et område hvor personvernet er under stort press. Datatilsynet viser til at forventning om å kunne samle inn og forske på helseopplysninger, større mobilitet både mht. pasienter og helseopplysninger, og ønsket om effektivisering av pasientbehandling ved bruk av informasjonsteknologi, er viktige drivkrefter i helsesektoren.

I meldingsåret ble rapporten «Gode helseregistre – bedre helse (strategi for modernisering og samordning av sentrale helseregistre og medisinske kvalitetsregistre)» sendt på høring i regi av HOD. Datatilsynet hadde flere merknader til rapporten. Tilsynets viktigste merknad gikk på valg av registerform, og at prinsippet om pasientens samtykke i økende grad tilsidesettes. Datatilsynet uttrykker også skepsis til at rapporten åpner for sammenslåing av helseregistrene til et altomfattende sentralisert helseregister.

Datatilsynet mener at etableringen av et sentralt altomfattende helseregister ikke er en ønsket utvikling av hensyn til personvernet. Ansvaret for de ulike helseregistrene bør derfor etter Datatilsynets oppfatning tillegges ulike organisasjoner, slik at det opprettes skranker ved koblinger og utleveringer. Dersom det ikke opprettes slike skranker, vil ulovlig bruk av helseregistrene kunne skje uoppdaget.

Et godt og effektivt samarbeid mellom helsepersonell med tilhørighet i forskjellige statlige og kommunale virksomheter forutsetter at helseopplysninger kan utveksles på enklest mulig måte. Enklere «informasjonsflyt» av helseopplysninger stiller store krav til fremtidens IKT-systemer i helsesektoren. «Norm for informasjonssikkerhet i helsesektoren» med veiledere er et solid og viktig arbeid for å sikre forsvarlige IKT-systemer, og er resultat av et godt samarbeid mellom helsemyndighetene og andre aktører, herunder Datatilsynet.

I tillegg til omfattende omstillinger i helsetjenestene er det etablert en langsiktig strategi for sekundærbruk av helseopplysninger, til for eksempel administrasjon, styring, forebygging og forskning. Trenden er at registrene skal være identifiserbare, nasjonale og at hvert register skal dekke et bredt spekter av ulike formål uten pasientens samtykke. Når formålet med et register er bredt, blir opplysningsmengden tilsvarende omfangsrik. Prinsipielt kan det argumenteres for et skille mellom registerformer som skal benyttes for henholdsvis primærbruk og sekundærbruk. Det er derfor positivt at Helse- og omsorgsdepartementet legger opp til at samtlige av helseregisterlovens registerformer, også de mer personvernfremmende, skal vurderes som alternativer ved etablering av fremtidige helseregistre.