Identifisering av behandlingsgrunnlag og vilkår
All behandling av personopplysninger må ha et behandlingsgrunnlag for å være lovlig. Statsmyndigheten må derfor identifisere et behandlingsgrunnlag før det sendes ut SMS gjennom lokasjonsbasert befolkningsvarsling.
Les om de forskjellige behandlingsgrunnlagene etter personvernforordningen.
Normalt vil det aktuelle behandlingsgrunnlaget for statsmyndigheten være dersom "behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse", eller dersom behandlingen er "nødvendig for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt". I begge tilfellene må behandlingen også ha hjemmel i lov eller forskrift. Det vil si at behandlingsgrunnlaget må fastsettes i en lov som den behandlingsansvarlige er underlagt.
Dersom det er akutt fare for personers liv og helse, kan myndigheten også vurdere om behandlingen av personopplysninger er «nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser». Dette behandlingsgrunnlaget bør bare vurderes dersom det er klart at behandlingen ikke kan baseres på et annet behandlingsgrunnlag.
Hva ligger i "viktig melding fra statsmyndighet?
Myndigheten må også vurdere om vilkårene i ekomloven § 2-10 er oppfylt for å utløse teletilbydernes plikt til å formidle meldingen, altså om det er tale om en "viktig melding fra statsmyndighet":
- At meldingen må være viktig, innebærer en klar terskel for å ta i bruk lokasjonsbasert befolkningsvarsling. Meldingen må være av vesentlig betydning for å håndtere og redusere skadevirkninger av uønskede hendelser som kan føre til betydelig skade eller tap av verdier, eller fare for liv og helse. I dette ligger at det må foreligge et akutt behov for informasjonsspredning og at varslingen må nå ut til mange personer så raskt som mulig. Det kan foreligge både behov for landsdekkende eller større regional varsling og mindre regionalt eller lokalt behov. Sistnevnte vil for eksempel være typisk ved akutt fare for ras eller brann i et mindre geografisk område. Det er den enkelte statsmyndigheten som har ansvaret for å vurdere hva som er en viktig melding, og ikke teletilbyderen.
- At meldingen må være fra en statsmyndighet, innebærer at det i utgangspunktet er en statlig myndighet som må treffe beslutningen om at varsling skal skje. Statsmyndighet inkluderer departementer og underliggende etater, og dette vil normalt utelukke at for eksempel regionale og kommunale organer som fylkeskommuner og kommuner alene treffer beslutningen om lokasjonsbasert befolkningsvarsel på SMS (se likevel unntak fra dette nederst på siden). Det kan imidlertid tenkes at ulike instanser er involvert i formidlingen av viktig melding. I rapporten fra arbeidsgruppen ledet av DSB, brukes det et eksempel hvor en kommune eller en bedrift er den som kjenner faren best og derfor utformer meldingen, mens et eksternt varslingsselskap kan stå for selve utsendelsen, og at politiet er organet som til slutt treffer beslutningen om at varsling skal skje.
Når en kommune ønsker å varsle
Dersom det ikke er en statsmyndighet, men for eksempel en kommune som fatter beslutningen om varsling, er den utenfor formidlingsplikten til teleoperatørene i ekomloven § 2-10.
Personvernregelverket hindrer ikke tiltak som skal verne folks liv og helse, og har en sikkerhetsventil for å behandle nødvendige personopplysninger i nødsituasjoner som oppstår. Dette gjelder også for varsling.
På grunn av et uklart regelverk for lokasjonsbasert befolkningsvarsling, kan Datatilsynet likevel ikke utelukke andre juridiske eller faktiske utfordringer for involverte aktører i slike situasjoner. Vi anbefaler derfor kommunene så langt det er mulig å utarbeide systemene sine for lokasjonsbasert SMS-varsling slik at en statsmyndighet, for eksempel politiet, tar beslutningen om utsendelse av varsler.