Feil på feil i partsinnlegg fra Bjarne Kvam

I Lov og Rett nr 1. 2012 retter stipendiat Bjarne Kvam kritikk mot Datatilsynet for en for restriktiv lovtolkning og for å i for stor grad legge vekt på personvernhensyn i saksbehandlingen.

Hovedargumentet er at Personvernnemnda ifølge Kvam omgjør opp til 50 prosent av Datatilsynets saker. Artikkelen er preget av unøyaktigheter, faktafeil og lettvint omgang med tall. Den kan ikke bedømmes som en fagartikkel, men et rent partsinnlegg mot personvern og Datatilsynet.

Først litt fakta. Datatilsynet mottar ca. 10 000 henvendelser fra privatpersoner og næringsdrivende hvert år. Vi behandler ca 1 400 enkeltsaker, og gjennomfører i et normalår 50 – 100 tilsyn. Mange saker ender med vedtak. I løpet av de siste ti årene er det ifølge Kvam behandlet 103 saker i Personvernnemnda. Dette utgjør en forsvinnende liten prosent i forhold til det totale sakstallet i Datatilsynet.

Datatilsynets årsmelding behandles hvert år i Stortinget. Til årsmeldingen for 2010 bemerker Fornyings-, administrasjons- og kirkedepartementet i oversendelsen: "At det er avvikende syn mellom Datatilsynet og Personvernnemnda i nær halvparten av de saker som er ferdigbehandlet i 2010, antas blant annet å gjenspeile sakenes kompleksitet og prinsipielle karakter. Departementet viser også til at nemnda har vært delt i synet på enkeltsaker. For øvrig påpeker departementet at antallet klagesaker er meget lavt tatt i betraktning det høye antall vedtak Datatilsynet fatter årlig. (…) Datatilsynet er opptatt av at noen spørsmål er av så prinsipiell karakter at det er riktig at de avgjøres av klageorganet. Departementet deler denne vurderingen". (Meld. St. 6 (2011-12, s. 12)) 

Også kommunal- og forvaltningskomiteen har synspunkter på dette, og skriver:"Flertallet legger imidlertid til grunn at dette ikke er et resultat av dårligere saksbehandling hos Datatilsynet, men heller et uttrykk for at flere saker er sammensatte og prinsipielle. Det totale antall klagesaker er lavt tatt i betraktning Datatilsynets saksmengde" (Innst. S 164 F (2011-12)). Merk forøvrig at mindretallet ikke har en annen oppfatning på dette punktet.

Jeg vil også nevne at jeg har diskutert Kvams artikkel med leder i Personvernnemnda, Eva Jarbekk, som uttrykker det slik: "Antall saker som går til nemnda er så lite at det ikke kan trekkes statistikk ut av det. Dette er egentlig misbruk av statistikk." Jarbekk sa for øvrig det samme på juristenes fagdager 14. oktober 2011.

Professor Peter Blumes vurdering av Personvernnemndas praksis er også interessant (Complex nr. 3/2009). Blume har gjennomgått alle nemndsvedtak fra 2001 til 2008. At han opererer med lavere omgjøringsprosent enn Kvam lar jeg ligge, mer interessant er det at Blume ikke har noen kritiske bemerkninger til omgjøringsprosenten. Nå skal det sies at dette ikke var en del av Blumes oppdrag, men det ville vært naturlig at det ble diskutert dersom han fant omgjøringsprosenten oppsiktsvekkende. Hva som er oppsiktsvekkende er imidlertid at Kvam ikke nevner Blumes arbeid overhode. Vi snakker om den største gjennomgang av nemndas praksis noen gang, og dersom Kvam hadde hatt seriøse hensikter med sitt foretak, ville et så viktig arbeid hatt en naturlig plass.

Departementets, Stortingets og Jarbekks vurdering samsvarer med våre egne. Det er de vanskeligste og mest usikre sakene som går til nemnda, og slik skal det være. Nemnda er bredt sammensatt, også med folk fra medisin, forskning og næringsliv. Datatilsynet mener det i enkelte saker er viktig at nemnda avgjør saker av prinsipiell betydning. At Datatilsynets vedtak omgjøres er et sunnhetstegn, og vi tar selvsagt alle avgjørelser fra nemnda på stort alvor. Men samtidig er vi av den oppfatning at omgjøringsadgangen i realiteten ikke sier noe som helst om hvordan Datatilsynet i det daglige tolker og praktiserer loven, hvordan vi veier ulike hensyn mot hverandre og hvordan vi i møte med næringsdrivende, organisasjoner og enkeltmennesker foretar brede vurderinger av ofte motstridende hensyn.

Artikkelen skjemmes av direkte feilaktige beskrivelser av flere saker. Jeg skal nøye meg med å gjennomgå noen av dem.

Saken mot Kreftregisteret sprang ut av et tilsyn der Datatilsynet avdekket at registeret i en årrekke hadde unnlatt å innhente samtykke fra kvinner som var registrert i registeret, jf. helseforskningsforskriftens § 1-9, 2. ledd, første punktum, der det heter: "Ved negative funn skal personopplysninger (….) slettes etter at opplysningene er kvalitetssikret, og senest seks måneder innen innsamling av opplysningene, med mindre den registrerte har samtykket til at opplysninger registreres permanent."

Personvernnemnda ga Datatilsynet medhold i det materielle, men ga Kreftregisteret en noe lengre frist for å innrette seg etter vedtaket.

Kvam fremstiller det langt på vei slik at Datatilsynet ikke fikk medhold i det materielle, men det er altså ikke riktig. I tillegg viser han til et partsinnlegg fra professor Bernt som mener vår lovtolkning var ”formalistisk”.  Kvams konklusjon er at ”også nemnda kan ta feil, noe Kreftregister-saken viser” (Kvam, LoR 1/2012, s. 49, note 18).  I sin iver etter å klistre Datatilsynet på veggen ved å vise til at våre avgjørelser blir omgjort av nemnda, klarer han heller ikke å motstå fristelsen til å klistre nemnda til veggen dersom den kommer til avgjørelser han er uenig i. Her blandes snørr, barter, hummer og kanari sammen i en stor gryte.

Han omtaler så et angivelig forslag fra Helse- og omsorgsdepartementet og påstår at en forskrift fra departementet ”reddet” kreftprøvene fra sletting. Referansen er en nyhetsartikkel fra 14. oktober 2010. Hadde Kvam tatt sitt oppdrag seriøst hadde han enkelt avslørt at det aldri ble sendt noe forslag på høring fra departementet, rett og slett fordi Kreftregisteret fant et system for å innhente samtykker fra de registrerte. Like viktig var at Datatilsynet og Kreftregisteret kom til enighet i en annen, like omfattende sak som gjaldt livmorhalsprøver. Det var en lang og vanskelig, men samtidig konstruktiv prosess, som endte med et godt resultat for personvernet og et godt resultat for Kreftregisteret. Dette viser hvor galt det kan gå når man bruker avisartikler som kilde uten å sjekke om det som står i artikkelen er riktig eller galt.

Vårt vedtak om sletting av IP-adresser er også feilaktig gjengitt. Det er riktig at Datatilsynet fattet et vedtak om at IP-adresser måtte slettes etter tre uker. Det Kvam unnlater å nevne er ekomloven som i § 2-7, annet ledd fastsetter at trafikkdata skal "slettes eller anonymiseres så snart de ikke lenger er nødvendig for kommunikasjons- eller faktureringsformål". Post- og teletilsynet skriver i brev av 6. mars 2009 at vårt vedtak om tre ukers lagring harmonerer med deres regelverk. Selv om Kvam i debatt i Her og nå kritiserte Datatilsynet for å stå på lovens bokstav, er det for et seriøst og hardarbeidende tilsyn selsomt å oppleve kritikk for å legge vekt på ordlyden i en bestemmelse.

Kvams påstand om at IP-adresser burde vært lagret lengre av politi og etterforskningsmessige formål bryter med det helt grunnleggende prinsipp om at opplysninger samlet inn for et formål ikke kan brukes til et annet formål. Hva politiet den gang hadde ønsker med hensyn til lagringstid var, og måtte naturlig nok være helt irrelevant for Datatilsynet. Dersom vi hadde sett hen til politiets behov ved fastsettelse av internettleverandørenes frister for å slette data, så ville vi ha tatt utenforliggende hensyn. Det er under enhver omstendighet lovgiver som skal regulere politiets tilgang til, og behandling av personopplysninger i forbindelse med etterforskning av kriminalitet. Ikke Datatilsynet eller andre forvaltningsorganer. Hvordan Kvam da kan mene at Datatilsynets vedtak var ugyldig på grunn av feil lovanvendelse er for meg en gåte.

Han kritiserer oss også for en avgjørelse som ble omgjort i Personvernnemnda og som gjaldt et beredskapshjem (PVN 2010/11). Stridens kjerne var en internettside som inneholdt adresse på et beredskapshjem og navn på de som drev hjemmet. Personopplysningsloven § 7 sier at loven bare i begrenset grad gjelder behandling av personopplysninger for "litterære eller journalistiske, herunder opinionsdannende formål". Bestemmelsen trekker opp grensen mellom personvern og ytringsfrihet. Denne grensen er imidlertid ikke alltid klar, særlig når det gjelder hjemmesider og private ytringer som krenker andre mennesker eller verste fall avslører opplysninger som kan ha et stort skadepotensiale dersom de kommer ut.

BUF-etat uttalte i saken at opplysninger om navn og adresse på beredskapshjem var sensitiv informasjon, og at barnet kunne settes i en enda mer utsatt situasjon dersom navn og adresse på beredskapshjemmet ble kjent. Datatilsynet mente en slik ytring ikke var beskyttet av ytringsfriheten. Nemnda kom imidlertid til et annet resultat og mente ytringen kom inn begrepet ”annen opinionsdannende virksomhet”.

Avgjørelsen har vært kritisert. Medieansvarsutvalget (NOU 2011:12) foreslo å fjerne begrepet ”opinionsdannende virksomhet”, slik at Datatilsynet vil få en noe større adgang til å gripe inn overfor denne typen rent sjikanerende og potensielt skadelige uttalelser. Kvam gjennomgår Medieansvarsutvalgets motiver og sier at den foreslåtte endringen "ikke vil endre lovens materielle innhold."

16. desember 2011 sendte Justisdepartementet et forslag til endring i personopplysningsloven på høring, der det nettopp foreslås å endre bestemmelsen i tråd med Medieansvarsutvalgets innstilling. I proposisjonsutkastet heter det: "Departementets lovforslag representerer et ønske om en viss endring i praksis i forhold til den avveining som nemnda foretok i den angitte saken"  (Prop. 47 L (2011-2012) pkt. 4.6.). Dette avslører kvaliteten på Kvams arbeid. Han konkluderer på tvers av Justisdepartementets klare uttalelse i forarbeidene. Hvorvidt dette er slurv eller nok et uttrykk for Kvams avslappede forhold til rettskilder lar jeg ligge.

Jeg kunne fortsatt, men nøyer meg med å påpeke tre ting som ikke er faktafeil, men forvrengning av virkeligheten. Det fremstilles som om vi er svært restriktive når det gjelder å innvilge konsesjoner til helseforskning. Dette er positivt feil, og de aller fleste søknader innvilges faktisk.  Kvam tar også opp spørsmålet om Datatilsynet bør deles i en ombuds- og en tilsynsdel og spør om de to rollene er forenlige. Han finner støtte i at et mindretall i Personvernkommisjonen mente at Datatilsynet burde deles. Dette er riktig, men mindretallet var på én person, flertallet på 14 (NOU 2009:1, s. 207, pkt. 18.3). Dersom Kvam var en etterrettelig forsker ville han nyansert dette.

For å gi et nyansert bilde burde Kvam også trukket fram hovedkonklusjonen i Difis evaluering (Difis rapport 2011:8). Her heter det at Datatilsynet oppnår gode resultater med begrensede ressurser, vi får skryt for myndighetsutøvelsen, og at vi i det store og hele har god rolleforståelse. Når dette forbigås i stillhet underbygger det vår teori om at dette ikke er ment som en forskningsartikkel, men et partsinnlegg mot personvern og Datatilsynet.

Innlegget stod på trykk i Juristkontakt nr. 3 2012.