Prop. 94 L

(2021–2022)
Proposisjon til Stortinget (forslag til lovvedtak)

Lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet mv.

Tilråding fra Barne- og familiedepartementet 8. april 2022, godkjent i statsråd samme dag. (Regjeringen Støre)

Dokumentet på regjeringen.no

1 Hovedinnholdet i proposisjonen

Barne- og familiedepartementet legger med dette fram forslag om en ny lov om forskriftshjemmel for behandling av personopplysninger for å gjennomføre enkelte frivillige tiltak på barne-, oppvekst- og familieområdet. Formålet med loven er å sikre et klart og tydelig rettslig grunnlag for å behandle personopplysninger ved gjennomføring av tiltak besluttet av statlige myndigheter på området, slik at personvernet til den enkelte ivaretas.

Barne-, oppvekst- og familieområdet er et sektorovergripende felt, der gjennomføring av tiltak kan forutsette behandling av personopplysninger. Sektorlovgivningen kan komme til kort når det gjelder behandling av personopplysninger ved sektorovergripende tiltak. For å gjennomføre slike tiltak vil det i dag være situasjoner hvor det ikke foreligger et klart og tydelig rettslig grunnlag for behandling av personopplysninger, og hvor det kan være tvil om samtykke fra berørte foreldre og eventuelt barn er tilstrekkelig.

Tiltakene det er tale om vil kunne omfatte tilbud som fritidsaktiviteter, foreldreveiledning, eller andre støttetilbud for barn og unge og deres foreldre. Tiltakene er uensartede, og vil variere med hensyn til målgruppe, omfang og hvilke personopplysninger det er nødvendig å behandle for å oppnå intensjonen med tiltakene. Det skal være frivillig å benytte seg av de aktuelle tiltakene.

For å sikre et supplerende rettsgrunnlag etter Europaparlaments- og rådsforordningen (EU) 2016/679 (personvernforordningen/GDPR, heretter personvernforordningen eller forordningen), foreslår departementet at loven skal gi hjemmel for at det enkelte tiltakets behandling av personopplysninger reguleres i forskrift. Den enkelte forskrift må oppfylle de krav personvernforordningen stiller til blant annet hva det supplerende rettsgrunnlaget må inneholde. For å sikre personvernet til de som berøres, må det foretas konkrete vurderinger av personvernkonsekvensene, og eventuelt fastsettes personverntiltak i den enkelte forskrift. Videre vil personvernforordningens regler om de registrertes rettigheter gjelde for behandlingen av personopplysninger i forbindelse med tiltakene.

Departementet legger videre fram forslag til endringer i enkelte andre lover. I lov 16. juni 2017 nr. 48 om adopsjon (adopsjonsloven), lov 18. juni 2021 nr. 97 om barnevern (barnevernsloven), foreløpig ikke trådt i kraft, og i lov 4. september 2015 nr. 85 om gjennomføring av konvensjon 19. oktober 1996 om jurisdiksjon, lovvalg, anerkjennelse, fullbyrdelse og samarbeid vedrørende foreldremyndighet og tiltak for beskyttelse av barn (lov om Haagkonvensjonen 1996), foreslår departementet at det inntas en bestemmelse som gir hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når dette er nødvendig for å behandle saker etter lovene.

Departementet legger også fram forslag til endring i lov 8. april 1981 nr. 7 om barn og foreldre (barnelova) § 44, som innebærer at forvaltningen av reglene om reisekostnader ved samvær, flyttes fra statsforvalteren til Arbeids- og velferdsetaten (NAV). Forslaget innebærer at saker om henholdsvis reisekostnader ved samvær og barnebidrag samles hos én og samme instans, slik at saker mellom de samme partene kan vurderes og ses i sammenheng. Departementet legger videre fram forslag til endring i lov 22. juni 2013 nr. 43 om arbeidsgivers innrapportering av ansettelses- og inntektsforhold m.m. (a-opplysningsloven), slik at NAV har tilgang til registeret også i forbindelse med forvaltningen av reglene om reisekostnader ved samvær.

2 Bakgrunn

2.1 Lovforslaget om forskriftshjemmel for behandling av personopplysninger

Ulike offentlige instanser, frivillige organisasjoner og andre aktører som gjennomfører eller skal gjennomføre tiltak på barne-, oppvekst- og familieområdet, kan ha behov for å behandle personopplysninger for å kunne gjennomføre tiltak besluttet av statlige myndigheter på en tilfredsstillende måte. Dette gjelder særlig eksisterende tiltak, men det er også behov for en hjemmel for å kunne gi forskrifter for framtidige tiltak på området.

For å kunne behandle personopplysninger må det foreligge et behandlingsgrunnlag etter personvernforordningen artikkel 6 nr.1, eventuelt supplert av nasjonal lovgivning. Aktuelle behandlingsgrunnlag for de tiltak det her er snakk om kan være samtykke eller at et behandlingsgrunnlag følger av sektorlovgivningen.

Samtykke kan være et lite egnet behandlingsgrunnlag for enkelte av tiltakene på det aktuelle området, fordi det kan være en skjevhet i styrkeforholdet mellom forvaltningen og de personene som tiltakene gjelder.

Videre er ulike tilbud, tiltak og tjenester til forskjellige brukergrupper på området ofte ikke omfattet av en etablert tjeneste, og dermed heller ikke av sektorlovgivningen. Flere av disse tiltakene er nasjonale, for eksempel tilskuddsordninger, hvor tildelingen fastsettes av Stortinget i de årlige budsjettvedtakene. Tilskudd er ett av flere virkemidler det offentlige har for å gi et tilbud til målgrupper, sikre drift av frivillige organisasjoner og til gjennomføring av prioriterte mål. På barne-, oppvekst- og familieområdet er det flere ulike tilskuddsordninger. Gjennom de ulike tilskuddsordninger gis for eksempel barn og unge mulighet til å delta og utvikle seg i samfunnet, og det legges blant annet til rette for økt deltakelse og bedre levekår ved tilskudd til utsatte barn og ungdom. Det er imidlertid bare selve tildelingen til tiltaket som er hjemlet i budsjettvedtaket, ikke innhenting og behandling av personopplysninger. Budsjettvedtak er derfor ikke tilstrekkelig som rettslig grunnlag (supplerende rettsgrunnlag) for å fastsette forskrifter om innhenting og behandling av personopplysninger. Det mangler av den grunn klare og tydelige rettslige grunnlag for å behandle personopplysninger på dette området.

Behovet for en klar hjemmel ble aktualisert ved gjennomføringen av programmet Familie for første gang og prøveprosjektet med fritidskortet, som hører under Barne- og familiedepartementets ansvarsområde.

Det første tiltaket, programmet Familie for første gang, er et internasjonalt program, og målgruppen er sårbare førstegangsforeldre. Målsettingen med programmet er å forbedre mor og barns helse under svangerskap, barnets helse og utvikling og foreldrenes helse og framtidige livssituasjon. Programmet er å anse som et helseprogram, samt forebyggende barnevern gjennom intensiv foreldrestøtte, og er dermed tverrsektorielt. Dette gir utfordringer fordi dagens sektorinndeling innebærer at sektorlovene normalt regulerer tiltak sektor for sektor, men ofte ikke tiltak som går på tvers av flere sektorer. For programmet Familie for første gang ble det vurdert hvorvidt det foreligger et rettslig grunnlag i gjeldende rett som er dekkende for programmets behandling av personopplysninger. Det ble blant annet vurdert om barnevernloven eller helselovgivningen kunne gi et hjemmelsgrunnlag, men konklusjonen var at det ikke foreligger tilstrekkelig rettslig grunnlag i eksisterende lovgivning for å behandle de nødvendige personopplysninger. Videre ble det konkludert med at samtykke ikke er godt egnet fordi det kan være en skjevhet i styrkeforholdet mellom forvaltningen og de personene programmet gjelder.

Det andre tiltaket, prøveprosjektet med fritidskortet, hadde til formål at alle barn skal ha mulighet til å delta i faste, organiserte fritidsaktiviteter, uavhengig av familiens økonomi. For å forvalte ordningen var det behov for å innhente opplysninger om barnets fulle navn og adresse, barnets fødsels- og personnummer og barnets foresatte eller verger. Personopplysningene kommunene skulle behandle var om «sine» borgere, og allerede innhentet til andre formål, blant annet opplærings- og helseformål. Opplysningene kunne imidlertid ikke viderebehandles fordi formålet ikke var forenlig med innsamlingsformålet etter sektorlovgivningen, og særskilt rettsgrunnlag manglet.

Departementet er gjennom erfaringen med disse tiltakene blitt bevisst på at behovet for klar hjemmel også vil kunne oppstå for andre statlige tiltak på området som ikke er regulert i lov, og hvor sektorlovgivningen ikke gir et tilstrekkelig grunnlag for behandlingen av personopplysninger. For å løse dette har departementet kommet til at det mest hensiktsmessige er å foreslå en egen lov om forskriftshjemmel, istedenfor å utarbeide en egen lov for hvert enkelt tiltak hvor det er behov for å behandle personopplysninger, som ville vært alternativet.

De statlige tiltakene lovforslaget er ment å favne forvaltes og administreres i hovedsak av direktoratene, kommuner, eller regioner som Bufetats regioner. I noen tilfeller er gjennomføringen av tiltakene lagt til private virksomheter, eksempelvis frivillige organisasjoner i forbindelse med tilskuddsforvaltning. Ofte er gjennomføringen av tiltaket avhengig av at flere aktører fra ulike sektorer samarbeider, og det kan her være snakk om offentlige organer, frivillige organisasjoner og andre private aktører.

Målgruppen for de aktuelle tiltakene kan være barn, foreldre eller familier, og tiltakene kan for eksempel være tilbud om fritidsaktiviteter, foreldreveiledning eller andre støttetilbud for barn og unge. Tiltakene er ment å være et tilbud eller gode for målgruppen, som det vil være frivillig å benytte seg av. Dette innebærer at lovforslaget ikke omfatter tvungne tiltak, som for eksempel barnevernstiltak.

Hvilke typer personopplysninger som behandles ved gjennomføringen av tiltak vil variere. Der det for noen tiltak er tale om behandling av mindre sensitive personopplysninger, som var tilfelle med prøveprosjektet om fritidskortet, vil det for andre tiltak kunne være nødvendig med behandling av personopplysninger av mer sensitiv karakter. I programmet Familie for første gang er det for eksempel nødvendig å få tilgang til svært sensitive opplysninger, blant annet helseopplysninger, for å kunne yte adekvat og tilpasset hjelp.

2.2 Høringen

Barne- og familiedepartementet sendte 13. desember 2021 forslag til lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet mv. på offentlig høring til følgende instanser, med høringsfrist 7. februar 2022:

Departementene

Arbeids- og velferdsdirektoratet (AVdir)

Barne-, ungdoms- og familiedirektoratet (Bufdir)

Barneombudet

Barnesakkyndig kommisjon (BSK)

Barne-, ungdoms- og familieetaten (Bufetat), region Midt- Norge

Bufetat, region Nord

Bufetat, region Sør

Bufetat, region Vest

Bufetat, region Øst

Datatilsynet

Den rettsmedisinske kommisjon (DRK)

Diakonhjemmet Høgskole

Domstoladministrasjonen (DA)

Folkehelseinstituttet (FHI)

Fylkesnemndene for barnevern og sosiale saker

Helse Midt-Norge RHF

Helse Nord RHF

Helse Sør-Øst RHF

Helse Vest RHF

Helsedirektoratet

Høgskolen i Innlandet

Høgskolen i Molde

Høgskolen i Volda

Høgskolen i Østfold

Høgskulen på Vestlandet

Høyesterett

Integrerings- og mangfoldsdirektoratet (IMDi)

Statens sivilrettsforvaltning (SRF)

Statistisk sentralbyrå (SSB)

Statsforvalterne

Sysselmesteren på Svalbard

Tingrettene

Universitetet i Agder (UiA)

Universitetet i Bergen (UiB)

Universitetet i Oslo (UiO)

Universitetet i Stavanger (UiS)

Universitetet i Sørøst-Norge (USN)

Universitetet i Tromsø (UiT)

Utdanningsdirektoratet (Udir)

Utlendingsdirektoratet (UDI)

Utlendingsnemnda (UNE)

Velferdsforskningsinstituttet (NOVA v/OsloMet)

VID vitenskapelige høgskole

Kommunene

Longyearbyen lokalstyre

Adopsjonsforum

Akademikerne

Aleneforeldreforeningen (AFFO)

Alternativ til vold (ATV)

Amathea – Veiledningstjeneste for gravide

Amnesty International Norge

Antirasistisk senter

Arbeidsgiverforeningen Spekter

Barn av rusmisbrukere (BAR)

Childwatch International – UiO

Den Norske Advokatforening

Den Norske Dommerforening

Den norske jordmorforening

Den norske legeforening

Den norske tannlegeforening

Fafo

Fagforbundet

Fellesorganisasjonen (FO)

Fellesskap mot seksuelle overgrep (FMSO)

Forandringsfabrikken

Foreningen Adopterte

Foreningen 2 Foreldre (F2F)

Forum for Barnekonvensjonen (FFB)

Frelsesarmeens barne- og familievern

FRI – Foreningen for kjønns- og seksualitetsmangfold

Funksjonshemmedes fellesorganisasjon (FFO)

Gatejuristen

Hovedorganisasjonen Virke

Inoradopt

Innvandrernes Landsorganisasjon (INLO)

Jordmorforbundet

Juridisk rådgivning for kvinner (JURK)

Jussbuss

Jussformidlingen

Jusshjelpa i Nord-Norge

Kirkens bymisjon

Kommunesektorens organisasjon (KS)

Kompetanse Norge

Krisesentersekretariatet

Kvinnefronten

Kvinnegruppa Ottar

Landsforeningen for barnevernsbarn (LFB)

Landsgruppen av helsesøstre

Landsorganisasjonen for romanifolket (LOR)

Landsorganisasjonen i Norge (LO)

Landsrådet for norske barne- og ungdomsorganisasjoner (LNU)

Likestilling Inkludering Mangfold (LIM)

Likestillingssenteret

Likestillingssenteret KUN

Mannsforum

Mental Helse

MiRA ressurssenter for kvinner med minoritetsbakgrunn

Nasjonalforeningen for folkehelsen

Norges Juristforbund

Norges Kvinne- og familieforbund

Norges politilederlag

Norges Røde Kors

Norges Røde Kors Ungdom

Norsk barne- og ungdomspsykiatrisk forening

Norsk barnevernlederorganisasjon (NOBO)

Norsk Barnevernsamband

Norsk Fosterhjemsforening

Norsk Innvandrerforum

Norsk kvinnesaksforening

Norsk organisasjon for asylsøkere (NOAS)

Norsk psykologforening

Norsk sykepleierforbund

Norsk tannpleierforening

Norsk Tjenestemannslag (NTL)

Næringslivets Hovedorganisasjon (NHO)

Organisasjonen for private barneverntiltak (OPB)

Organisasjonen mot offentlig diskriminering (OMOD)

Organisasjonen for barnevernsforeldre (OBF)

Press – Redd Barna Ungdom

Private Barnehagers Landsforbund (PBL)

Redd Barna

Reform – ressurssenter for menn

Rettspolitisk forening

Rådet for psykisk helse

Samarbeidsrådet for tros- og livssynssamfunn

Selvhjelp for innvandrere og flyktninger (SEIF)

SINTEF

Stiftelsen barnas rettigheter

Stiftelsen Kirkens Familievern (SKF)

Stiftelsen Rettferd

Stine Sofies Stiftelse (SSS)

UNICEF Norge

UNIO – Hovedorganisasjon for universitets- og høyskoleutdannede

Universitets- og høgskolerådet (UHR)

Utdanningsforbundet

Velferdsalliansen

Verdens Barn

Vergeforeningen

Voksne for Barn

Yrkesorganisasjonenes sentralforbund (YS)

Departementet har mottatt 26 høringssvar. Følgende 14 høringsinstanser har avgitt realitetsuttalelser:

Finansdepartementet

Justis- og beredskapsdepartementet

Arbeids- og velferdsdirektoratet

Barne-, ungdoms- og familiedirektoratet

Datatilsynet

Skatteetaten

Aurskog- Høland kommune

Bergen kommune

Kommunesektorens organisasjon (KS)

Narvik kommune

Oslo kommune

Time kommune

Øygarden kommune

BarnsBeste – nasjonalt kompetansenettverk for barn som pårørende

3 Ny lov om forskriftshjemmel for behandling av personopplysninger

3.1 Gjeldende rett

3.1.1 Personopplysningsloven og personvernforordningen

Personvernforordningen er innlemmet i EØS-avtalen og inkorporert i norsk rett gjennom lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven). Personvernforordningen skal verne fysiske personers grunnleggende rettigheter og friheter ved behandling av personopplysninger, samtidig som den skal sikre fri flyt av personopplysninger mellom medlemsstatene.

Personvernforordningen gir regler om behandling av personopplysninger. Personopplysninger defineres i forordningen som enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. artikkel 4 nr. 1. Med «behandling» menes enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten den er automatisert eller ikke, jf. artikkel 4 nr. 2. Typiske eksempler på behandling er innsamling, registrering, lagring, tilpasning eller endring, gjenfinning, bruk, utlevering, sammenstilling eller samkjøring og sletting.

Personvernforordningen oppstiller blant annet grunnleggende prinsipper og vilkår for behandling av personopplysninger. Den behandlingsansvarlige har ansvaret for at de grunnleggende prinsippene og vilkårene til enhver tid er oppfylt. Begrepet «behandlingsansvarlig» er definert i artikkel 4 nr. 7 i forordningen. Behandlingsansvarlig er en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.

Personvernforordningens grunnprinsipper

Reglene for behandling av personopplysninger bygger på noen grunnleggende prinsipper som er fastsatt i personvernforordningen artikkel 5. Prinsippene henger sammen, og angir rammer og krav som må følges ved enhver behandling av personopplysninger. Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at disse prinsippene overholdes (ansvarlighetsprinsippet).

All behandling av personopplysninger må være lovlig, rettferdig og åpen med hensyn til den registrerte. Det betyr blant annet at det må foreligge et gyldig rettslig grunnlag før behandling av personopplysninger kan skje, et såkalt behandlingsgrunnlag etter personvernforordningen artikkel 6.

Personopplysninger kan kun samles inn til spesifikke, uttrykkelig angitte og berettigede formål. Konkrete formålsangivelser er særlig viktig, da det i utgangspunktet er forbudt å viderebehandle opplysninger på en måte som er uforenelig med det opprinnelige formålet (formålsbegrensing). Personvernforordningen oppstiller unntak fra forbudet mot å viderebehandle personopplysninger til uforenelige formål i artikkel 6 nr. 4. Dersom viderebehandlingen bygger på «samtykke eller på unionsretten eller medlemsstatenes nasjonale rett som utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1», vil uforenlig viderebehandling være tillatt. Det må i så fall foreligge et særskilt rettsgrunnlag knyttet til selve viderebehandlingen.

Med et uttrykkelig angitt og konkret formål vil det være enklere å angi hvilke personopplysninger som er adekvate, relevante og nødvendige for å oppfylle formålet (prinsippet om dataminimering).

Personopplysninger som behandles skal være korrekte. Opplysningene skal også oppdateres hvis det er nødvendig (prinsippet om riktighet). Prinsippet om lagringsbegrensning innebærer at personopplysninger ikke skal lagres lenger enn det som er nødvendig for formålet de ble samlet inn for. Personopplysninger skal videre behandles slik at opplysningenes integritet og konfidensialitet beskyttes (prinsippet om integritet og konfidensialitet).

Nærmere om kravet til behandlingsgrunnlag

Behandling av personopplysninger er bare lovlig dersom det foreligger behandlingsgrunnlag etter personvernforordningen artikkel 6. Dette må identifiseres før en behandling av personopplysninger starter. Forordningen artikkel 6 nr. 1 oppstiller en uttømmende liste over alternative grunnlag i bokstavene a) – f).

De mest aktuelle behandlingsgrunnlagene på barne-, oppvekst- og familieområdet er artikkel 6 nr. 1 bokstav a), c) og e).

Artikkel 6 nr. 1 bokstav a) åpner for behandling av personopplysninger etter samtykke fra den registrerte. Det framgår av fortalen til forordningen at samtykke bør unngås som rettslig grunnlag der det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige, særlig dersom den behandlingsansvarlige er en offentlig myndighet og det derfor er usannsynlig at samtykket er gitt frivillig med hensyn til alle omstendigheter som kjennetegner den bestemte situasjonen, jf. forordningens fortalepunkt 43.

Artikkel 6 bokstav c) åpner for behandling av personopplysninger dersom behandlingen er «nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige». Videre åpner artikkel 6 bokstav e) for behandling når behandlingen er «nødvendig for å utføre en oppgave i allmennhetens interesse» eller «utøve offentlig myndighet som den behandlingsansvarlige er pålagt».

Grunnlaget for behandlingen etter bokstav c) og e) skal «fastsettes» i EØS-retten eller i medlemsstatenes nasjonale rett, jf. artikkel 6 nr. 3. Dette innebærer at artikkel 6 nr. 1 bokstav c) og e) ikke alene kan utgjøre behandlingsgrunnlaget. Ved behandling med grunnlag i bokstav c) og e) stilles det krav om supplerende rettsgrunnlag, se nedenfor for nærmere beskrivelse av dette kravet.

For behandlingsgrunnlaget i bokstav c) og e) oppstilles det videre et krav om nødvendighet, noe som innebærer at behandlingen av personopplysninger må være nødvendig for å oppfylle en rettslig forpliktelse, utføre en oppgave i allmennhetens interesse eller for å utøve offentlig myndighet.

Personvernforordningen artikkel 9 oppstiller tilleggsvilkår for behandling av såkalte særlige kategorier av personopplysninger. Dette inkluderer opplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning, eller fagforeningsmedlemskap og genetiske og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering, jf. artikkel 9 nr. 1. Særlige kategorier av personopplysninger er gitt et særskilt vern, ved at en av unntaksbestemmelsene i artikkel 9 nr. 2 bokstav a) – j) må være oppfylt for at behandlingen skal være lovlig.

Det følger av personvernforordningen artikkel 10 at behandling av opplysninger om straffedommer og lovovertredelser bare skal utføres under en offentlig myndighets kontroll eller dersom behandlingen er tillatt i henhold til EØS-retten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter.

Viderebehandling av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål anses som forenlig med de opprinnelige formålene, jf. personvernforordningen artikkel 5 nr. 1 bokstav b). Slik viderebehandling krever derfor i utgangspunktet ikke særskilt viderebehandlingsgrunnlag. Personopplysningsloven § 8 og § 9 beskriver når personopplysninger og særlige kategorier av personopplysninger kan behandles til statistiske formål etter norsk rett. Ved behandling av særlige kategorier av personopplysninger til dette formålet er det oppstilt et ytterligere vilkår i personopplysningsloven § 9 nr. 1 om at samfunnets interesse i at behandlingen finner sted klart må overstige ulempene for den enkelte.

Krav om supplerende rettsgrunnlag

Etter personvernforordningen artikkel 6 nr. 3 krever behandling av personopplysninger med grunnlag i artikkel 6 nr. 1 bokstav c) og e) et supplerende rettsgrunnlag fastsatt i EØS-retten eller i medlemsstatenes nasjonale rett. Formålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag eller, når det gjelder behandling som nevnt i nr. 1 bokstav e), være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Videre framgår det at EØS-retten eller medlemsstatenes nasjonale rett skal oppfylle et mål i allmennhetens interesse og stå i et rimelig forhold til det berettigede målet som søkes oppnådd.

Det er lagt til grunn i forarbeidene til personopplysningsloven, Prop. 56 LS (2017–2018) punkt 6.3.2, at i alle fall lov- eller forskriftsbestemmelser kan utgjøre et supplerende rettsgrunnlag.

Videre nevner artikkel 6 nr. 3 eksempler på hva det supplerende rettsgrunnlaget kan inneholde:

[…] allmenne vilkår for lovlig behandling av personopplysninger, fastsatte spesifikasjoner for å fastslå hvem den behandlingsansvarlige er, hvilken type personopplysninger som skal behandles, de berørte registrerte, hvilke enheter personopplysningene kan utleveres til, formålsbegrensninger, hvor lenge opplysningen kan lagres og andre tiltak for å sikre lovlig og rettferdig behandling.

Personvernforordningens fortalepunkt 45 utdyper dette nærmere. Det framgår blant annet av fortalepunktet at nevnte rettslige grunnlag kan presisere forordningens allmenne vilkår for lovlig behandling av personopplysninger, og at en lov kan være tilstrekkelig som grunnlag for flere behandlingsaktiviteter «som bygger på en rettslig forpliktelse som påhviler den behandlingsansvarlige, eller dersom behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet».

I forarbeidene til personopplysningsloven, Prop. 56 LS (2017–2018) punkt 6.1 og 6.4, følger det at kravene til det supplerende rettsgrunnlaget må tolkes i lys av Den europeiske menneskerettskonvensjon (EMK) artikkel 8 og Grunnloven § 102, i tillegg til legalitetsprinsippet i Grunnloven § 113. Det betyr at kravet til klarhet, nødvendighet og forholdsmessighet i personvernforordningen artikkel 5 nr. 1 bokstav a) og fortalepunkt 39, må tolkes i lys av legalitetsprinsippet og EMK artikkel 8 og Grunnloven § 102. Det følger også av personvernforordningens fortalepunkt 41 at det rettslige grunnlaget bør være tydelig og presist, og at anvendelsen bør være forutsigbar for personer som omfattes av det. Disse kravene skal verne mot vilkårlighet og sikre tilstrekkelig presisjon.

Behandling av personopplysninger på barne-, oppvekst- og familieområde vil kunne aktualisere det grunnleggende hensynet til barnets beste og retten til familieliv. Hensynet til barnets beste følger blant annet av Grunnloven § 104 og FNs barnekonvensjon artikkel 3. Retten til familieliv følger av Grunnloven § 102 og EMK artikkel 8.

Hvorvidt det foreligger et tilstrekkelig supplerende rettsgrunnlag beror på en konkret vurdering, herunder av hvor inngripende behandlingen av personopplysninger er. Jo mer inngripende behandlingen er, jo strengere krav må stilles til utformingen av det supplerende rettsgrunnlaget. Vurderingen av graden av inngrep og inngrepets art, blir derfor avgjørende for behovet for et mer spesifikt grunnlag enn minimumskravet etter ordlyden i personvernforordningen artikkel 6 nr. 3.

Forordningens regler om særlige kategorier av personopplysninger

Behandling av særlige kategorier av personopplysninger er i utgangspunktet forbudt, jf. forordningens artikkel 9 nr. 1. Slike opplysninger kan kun behandles dersom man kan vise til et av unntakene i artikkel 9 nr. 2. På barne-, oppvekst- og familieområdet er unntakene i nr. 2 bokstav g) og h) de mest relevante unntakene.

Artikkel 9 nr. 2 bokstav g) åpner for behandling som er nødvendig av hensyn til «viktige allmenne interesser». Behandling etter bokstav h) er aktuell når det er «nødvendig i forbindelse med forebyggende medisin eller arbeidsmedisin for å vurdere en arbeidstakers arbeidskapasitet, i forbindelse med medisinsk diagnostikk, yting av helse- eller sosialtjenester, behandling eller forvaltning av helse- eller sosialtjenester og -systemer».

Begge alternativene krever et supplerende rettsgrunnlag i EØS-retten eller i nasjonal rett. Bestemmelsen i bokstav g) krever videre at behandlingen skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Garantiene skal ha som sitt primære formål å sørge for at behandlingen skjer i tråd med de grunnleggende prinsippene for behandling av personopplysninger, tatt i betraktning opplysningenes sensitivitet, behandlingens formål og risikoen ved behandlingen mv., jf. Prop. 56 LS (2017–2018) punkt 7.1.3. Bestemmelsen i bokstav h) krever at vilkårene og garantiene nevnt i artikkel 9 nr. 3 om taushetsplikt er innfridd.

Viderebehandling

Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b) at personopplysninger skal samles inn for «spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene». Artikkel 6 nr. 4 angir en ikke-uttømmende liste med momenter som skal vektlegges i vurderingen av om viderebehandlingen er forenlig med innsamlingsformålet, blant annet «enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen», jf. bokstav a). Etter fortalepunkt 50 i forordningen krever forenlig viderebehandling ikke et annet rettslig grunnlag enn det som ligger til grunn for innsamlingen av personopplysninger. En viderebehandling som er uforenlig med innsamlingsformålet, er i utgangspunktet forbudt, jf. forordningen artikkel 5 nr. 1 bokstav b). For at en slik viderebehandling skal være lovlig, må den enten ha et særskilt rettsgrunnlag i EØS-retten eller nasjonal rett eller være basert på samtykke fra den registrerte, jf. forordningen artikkel 6 nr. 4, hvor det framgår at EØS-retten eller den nasjonale retten må «utgjør[e] et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene som er nevnt i artikkel 23 nr. 1».

Den registrertes rettigheter

Personvernforordningen oppstiller en rekke krav som skal ivareta den registrertes rettigheter.

Personvernforordningen artikkel 12, 13 og 14 pålegger den behandlingsansvarlige å gi informasjon til den registrerte når man behandler deres personopplysninger. Informasjonen skal være kortfattet, åpen, forståelig og lett tilgjengelig. Den registrerte har videre etter artikkel 15 rett til innsyn i egne personopplysninger. Dette innebærer blant annet at registrerte skal kunne motta en bekreftelse og forklaring med informasjon om formålet med behandlingen, opplysningskategorier, eventuelle mottakere, kilder, og ellers de informasjonselementene som framgår av forordningen.

Personvernforordningen artikkel 16 gir den registrerte rett til å få rettet personopplysninger om seg selv. Artikkel 17 gir den registrerte rett til å få slettet personopplysninger om seg selv. Videre følger det av forordningen artikkel 18 nr. 1, en rett til begrensing av behandling. Begrensing av behandling er i artikkel 4 nr. 3 definert som «merking av lagrede personopplysninger med det som mål å begrense behandlingen i fremtiden».

Artikkel 19 inneholder regler om underretningsplikt ved retting, sletting og begrensing etter artikkel 16 til 18. Den behandlingsansvarlige skal selv sørge for å underrette enhver mottaker som har fått utlevert personopplysninger, om at retting, sletting eller begrensing er utført, med mindre dette viser seg å være umulig eller uforholdsmessig vanskelig.

Det følger av artikkel 21 nr. 1 at den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser.

Det framgår av personvernforordningen artikkel 5 nr. 1 bokstav e), jf. nr. 2, at den behandlingsansvarlige er ansvarlig for at personopplysninger som gjør det mulig å identifisere de registrerte ikke lagres lenger enn det som er nødvendig for formålene med behandlingen av opplysningene. Hvor lenge det er nødvendig å lagre personopplysninger, vil variere ut fra hvilket formål som ligger til grunn for informasjonsinnhentingen- og delingen.

Når det gjelder barn, er utgangspunktet etter personvernforordningen at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger. Det følger imidlertid av punkt 38 i fortalen til forordningen at barns personopplysninger fortjener et særlig vern, ettersom barn kan være mindre bevisst på aktuelle risikoer, konsekvenser og garantier samt på de rettigheter de har når det gjelder behandling av personopplysninger. Forordningen inneholder enkelte spredte artikler og fortalepunkter om behandling av barns personopplysninger, men gir ingen samlet enhetlig regulering av temaet. Personvernforordningen artikkel 8, 12, 40 og 57 omhandler blant annet barn. Utgangspunktet etter forordningen er at nasjonale regler om når barn kan samtykke til behandling av personopplysninger, fortsatt skal gjelde. I forordningen artikkel 8 fastsettes det imidlertid en særlig aldersgrense for barns samtykke i forbindelse med informasjonssamfunnstjenester. Det følger videre av artikkel 8 nr. 1 at medlemsstatene ved lov kan fastsette en lavere aldersgrense, forutsatt at den ikke er lavere enn 13 år. Av personopplysningsloven § 5 følger det at aldersgrensen er 13 år for samtykke etter personvernforordningen artikkel 6 nr. 1 bokstav a i forbindelse med formål som nevnt i personvernforordningen artikkel 8 nr. 1.

3.1.2 Taushetsplikt og deling av opplysninger

Innledning

Aktørene som skal behandle personopplysninger på barne-, oppvekst- og familieområdet vil normalt være underlagt taushetsplikt, enten etter lov 10. februar 1967 om behandlingsmåten i forvaltningssaker (forvaltningsloven) eller etter særlovgivningen. Reglene om taushetsplikt vil gjelde ved siden av dette lovforslaget, og vil blant annet begrense og være en skranke for adgangen til å dele taushetsbelagte opplysninger med andre forvaltningsorganer.

Forvaltningsmessig taushetsplikt

Forvaltningsloven gjelder all virksomhet som drives av forvaltningsorganer, når ikke annet er bestemt i eller i medhold av lov, jf. forvaltningsloven § 1. Den generelle forvaltningsmessige taushetsplikten, som i utgangspunktet gjelder for alle som utfører «tjeneste eller arbeid» for et forvaltningsorgan, er regulert i forvaltningsloven §§ 13 flg. Den gjelder også for private dersom de utfører oppgaver eller arbeid for et forvaltningsorgan, jf. forvaltningsloven § 13 første ledd. Forvaltningsloven §§ 13 til 13 g omhandler regler om taushetsplikt og begrensninger i taushetsplikten.

Etter forvaltningsloven § 13 første ledd nr. 1 har enhver som utfører tjeneste eller arbeid for et forvaltningsorgan taushetsplikt om det de i forbindelse med tjenesten får vite om «noens personlige forhold».

Det må vurderes konkret om en opplysning angår et «personlig forhold», og det kan ofte oppstå tvilstilfeller. Det må dreie seg om opplysninger som det med god grunn er vanlig å ønske å holde for seg selv. Dette kan dreie seg om opplysninger som gjelder en persons egenskaper eller utførte handlinger som er egnet til å karakterisere en person. At en opplysning er regnet som en personopplysning etter personopplysningsloven, medfører ikke i seg selv at den også må regnes som en opplysning om et «personlig forhold» etter forvaltningsloven § 13 første ledd.

Forvaltningslovens regler om deling av taushetsbelagte opplysninger

Taushetsplikten etter forvaltningsloven § 13 første ledd er til hinder for at taushetsbelagte opplysninger gjøres kjent for «andre», noe som dermed også regulerer deling av opplysninger innenfor forvaltningen. Opplysningene kan bare deles med personer i samme organ eller med andre forvaltningsorganer når det er gitt adgang til det i lov eller forskrift med hjemmel i lov. Forvaltningsloven §§ 13 a og 13 b inneholder en rekke bestemmelser som kan gi grunnlag for slik informasjonsdeling. Bestemmelsene gir en adgang, men i utgangspunktet ingen plikt, til å videreformidle opplysninger.

Bestemmelsene i forvaltningsloven § 13 b første ledd gir adgang til å dele taushetsbelagte opplysninger i situasjoner der private eller offentlige interesser tilsier det. Flere av hjemlene her skal tilrettelegge for nødvendig deling av informasjon mellom ulike deler av forvaltningen, og samlet gir disse bestemmelsene i dag en forholdsvis vid adgang til deling av taushetsbelagte opplysninger mellom forvaltningsorganer. Det vises til Prop. 166 L (2020–2021) punkt 3.2 for nærmere omtale.

Taushetsplikt etter særlovgivningen

En rekke lover inneholder regler om taushetsplikt som fraviker eller supplerer reglene i forvaltningsloven. Flere av aktørene på barne-, oppvekst- og familieområdet kan være underlagt regler om taushetsplikt i en særlov. For eksempel er helsepersonell i spesialisthelsetjenesten og den kommunale helse- og omsorgssektoren underlagt den profesjonsbaserte taushetsplikten etter lov 2. juli 1999 nr. 64 om helsepersonell m.v. (helsepersonelloven) §§ 21 flg. Det vises til Prop. 166 L (2020–2021) punkt 3.3 for nærmere gjennomgang av regler om deling av opplysninger underlagt forvaltningsmessig taushetsplikt i særlovgivningen.

Oppslag mot Folkeregisteret

Folkeregisteret er et sentralt personregister for Norge. For utlevering av opplysninger fra Folkeregisteret, skiller lov 9. desember 2016 nr. 88 om folkeregistrering (folkeregisterloven) mellom ikke-taushetsbelagte opplysninger i folkeregisterloven § 10-1, og taushetsbelagte opplysninger i § 10-2. Utlevering av taushetsbelagte opplysninger etter § 10-2, for eksempel hvem som er foreldre til et barn, krever særskilt hjemmel i lov.

Offentlige myndigheter som har hjemmel i lov til å innhente opplysninger fra Folkeregisteret, kan gjøre dette uten hinder av taushetsplikt. Det er forutsatt i Prop. 164 L (2015–2016) punkt 18.4.4 at hjemmelen må framgå av den aktuelle særloven.

3.2 Forslaget i høringsnotatet

Behovet for en klar hjemmel

I høringsnotatet foreslo departementet en ny lov om forskriftshjemmel for behandling av personopplysninger for å gjennomføre frivillige tiltak på barne-, oppvekst- og familieområdet. Det ble opplyst om at formålet med lovforslaget er å gi et rettslig grunnlag for å behandle personopplysninger slik at tiltak besluttet av statlige myndigheter på barne-, oppvekst- og familieområdet, som ikke er regulert i sektorlovgivningen, kan gjennomføres. Samtidig skal lovforslaget sikre en forsvarlig behandling av personopplysninger på området.

Departementet viste til at personvernforordningen krever at det foreligger et behandlingsgrunnlag for å behandle personopplysninger. Barne-, oppvekst- og familieområdet er et sektorovergripende felt, og særlovgivning kan komme til kort når det gjelder behandling av personopplysninger ved slike sektorovergripende tiltak. Tiltakene denne loven er ment å favne er ofte forankret i budsjettvedtak fastsatt av Stortinget, jf. Grunnloven § 75.

Departementet viste videre til at samtykke kan være et lite egnet behandlingsgrunnlag for enkelte av tiltakene på dette området, fordi det kan foreligge en skjevhet i styrkeforholdet mellom forvaltningen og de personene tiltakene gjelder, jf. forordningens fortalepunkt 43. Det kan være utfordrende å fastslå om samtykke er avgitt frivillig i forordningens forstand, der samtykke er en forutsetning for å oppnå et gode eller et hjelpetiltak. Det kan også være vanskelig å slå fast om kravene til samtykke er tilfredsstillende innfridd fordi familiene, det vil si barn og foreldre som omfattes av tiltakene, kan være i en sårbar og utsatt livssituasjon, og ikke alltid kan forventes å ivareta egne interesser og behov. I tilfeller hvor det er nødvendig å behandle personopplysninger for å gjennomføre tiltakene, og det er tvil om samtykke er tilstrekkelig, mangler det følgelig i dag et klart og tydelig rettslig grunnlag for behandling av personopplysninger.

Personvernkonsekvenser av forslaget

Departementet viste i høringsnotatet til at lovforslaget kan medføre at det samles inn et stort omfang av opplysninger om barn og andre som omfattes av tiltakene, og at dette vil innebære en begrensning av den enkeltes rett til å bestemme over egne opplysninger og retten til privatliv.

Departementet foretok en vurdering av om personverninngrepet forslaget medfører kan avdempes gjennom tiltak i loven eller de enkelte forskriftene. Departementet viste primært til at tiltakene det er tale om i mange tilfeller vil utgjøre et gode for barnet og dets familie, og at det vil være opp til den enkelte og dets foresatte om de vil delta på de ulike tiltakene. Videre foreslo departementet ulike tiltak for å sikre hensynet til den enkeltes personvern. I lovutkastet til § 3 ble det foreslått et vilkår om at det kun kan behandles personopplysninger som er nødvendig for å gjennomføre den enkelte ordningen. Departementet presiserte at det må foretas en konkret vurdering av personvernkonsekvensene av det enkelte tiltaket i forbindelse med utarbeidelse av forskrift. Departementet ga i lovutkastet § 3 annet ledd en opplisting av tiltak som kan fastsettes for å avhjelpe personverninngrepet. Departementet viste videre til at det i enkelte tilfeller kan følge av personvernforordningen at det må fastsettes særlige tiltak for å beskytte de registrerte, jf. personvernforordningen artikkel 9 og artikkel 10.

Barns rettigheter

I høringsnotatet redegjorde departementet for barns rettigheter. Forordningen inneholder enkelte spredte artikler om behandling av barns personopplysninger, men departementet kom til at disse ikke er aktuelle for dette lovforslaget. Departementet la til grunn at lovforslaget er godt i samsvar med FNs barnekonvensjon.

Det supplerende rettsgrunnlaget

I høringsnotatet redegjorde departementet for behovet for et supplerende rettsgrunnlag og at aktuelt behandlingsgrunnlag etter personvernforordningen er artikkel 6 nr. 1 bokstav c) og e).

For å oppfylle kravet om supplerende rettsgrunnlag foreslo departementet i høringsforslaget at det supplerende rettsgrunnlaget fastsettes nærmere i form av forskrift for det enkelte tiltaket. Departementet bemerket at dette innebærer at det i forbindelse med forberedelse av forskrift for tiltaket, må gjøres en selvstendig vurdering av hvorvidt kriteriene etter forordningen er oppfylt.

Innhenting av opplysninger

Viderebehandling

I praksis kan behandlingsansvarlige allerede gjennom særlovgivningen være i besittelse av personopplysninger som er nødvendige for å gjennomføre og administrere tiltak på barne-, oppvekst- og familieområdet. Formålet etter særlovgivningen for behandling av personopplysninger, kan imidlertid være et annet enn etter tiltak på barne-, oppvekst- og familieområdet.

Departementet uttalte i høringsnotatet at det antas at det ikke i alle situasjoner vil framstå som like klart hvorvidt formålet opplysningene vurderes viderebehandlet til, er forenlig med det opprinnelige formålet. Departementet foreslo derfor i høringsnotatet og lovutkastet § 3 annet ledd, at det gis hjemmel til i forskrift å regulere viderebehandling av personopplysninger.

I høringsnotatet viste departementet videre til at det for å gjennomføre tiltak på barne-, oppvekst- og familieområdet kan være behov for å innhente ulike typer opplysninger som allerede er registrert av andre organer. Departementet la til grunn at det også i disse tilfellene må foretas en konkret vurdering av om formålet opplysningene er innhentet til, er forenlig med det opprinnelige formålet.

Departementet viste i høringsnotatet videre til at behovet for å viderebehandle og dele informasjon mellom organer kan gjelde både opplysninger som ikke er omfattet av taushetsplikt og taushetsbelagte opplysninger. Dersom opplysningene som ønskes innhentet er underlagt taushetsplikt, presiserte departementet i høringsnotatet at spørsmålet om opplysningene kan gis uten hinder av taushetsplikten, må avgjøres etter de taushetspliktbestemmelsene som gjelder.

Oppslag mot Folkeregisteret

For gjennomføring av enkelte tiltak på barne-, oppvekst- og familieområdet, vil det være nødvendig med oppslag i Folkeregisteret, for eksempel for å få bekreftet taushetsbelagte opplysninger om den enkelte familie, barn eller forelder. Videre vil det i forbindelse med bruk av digitale løsninger tilknyttet tiltak og prosjekter på området, kunne være behov for å gjøre oppslag i taushetsbelagte opplysninger fra Folkeregisteret, blant annet for å ta stilling til hvem som har foreldreansvar.

For utlevering av opplysninger fra Folkeregisteret, skiller folkeregisterloven mellom ikke-taushetsbelagte opplysninger i folkeregisterloven § 10-1, og taushetsbelagte opplysninger i folkeregisterloven § 10-2. Utlevering av taushetsbelagte opplysninger etter folkeregisterloven § 10-2, for eksempel om hvem som er foreldre til et barn, krever særskilt hjemmel i lov.

Offentlige myndigheter som har hjemmel i lov til å innhente opplysninger fra Folkeregisteret, kan gjøre dette uten hinder av taushetsplikt. Som vist til i høringsnotatet, vil imidlertid tiltak på barne-, oppvekst- og familieområdet ofte ikke være omfattet av særlovgivningen. Departementet foreslo derfor i lovutkastet § 4 første ledd at det gis hjemmel til at behandlingsansvarlig uten hinder av taushetsplikten kan innhente opplysninger fra Folkeregisteret som er nødvendig for å gjennomføre tiltak besluttet av offentlige myndigheter på barne-, oppvekst- og familieområdet.

For å sikre muligheten for å hente ut personopplysninger for å lage statistikk ved behov, foreslo departementet i høringsnotatets lovutkast § 4 annet ledd at offentlige organer skal ha tilgang til registeret til utredning og produksjon av statistikk. Departementet foreslo videre i lovutkastet § 4 tredje ledd en hjemmel til å gi forskrift om hvilke opplysninger som kan innhentes.

Behandlingsansvar

Departementet viste i høringsnotatet til at hvem som er behandlingsansvarlig for en konkret behandling av personopplysninger, er regulert i forordningen artikkel 4 første ledd nr. 1. Departementet la derfor til grunn at det ikke var behov for å regulere dette nærmere i loven, men foreslo at det i lovutkastet § 3 annet ledd inntas at det i forskrift kan reguleres hvem som er behandlingsansvarlige, vurdert konkret i forhold til det enkelte tiltaket.

3.3 Høringsinstansenes syn

Høringsinstansene som har uttalt seg om forslaget om å innføre en ny lov om forskriftshjemmel for å behandle personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet, uttaler at de støtter forslaget. Dette gjelder Aurskog-Høland kommune, Barne-, ungdoms- og familiedirektoratet (Bufdir), BarnsBeste, Bergen kommune Byrådsavdelingen for arbeid, sosial og bolig (Bergen kommune), Datatilsynet, Kommunesektorens organisasjon (KS), Narvik kommune, Oslo kommune Byrådsavdelingen for oppvekst og kunnskap (Oslo kommune) og Øygarden kommune.

Datatilsynet viser til at det er gjort et grundig arbeid med høringsnotatet, og uttaler blant annet:

Vi støtter departementets vurdering av at det er nødvendig å sikre et tydelig rettslig grunnlag for frivillige tiltak på barne- oppvekst- og familieområdet. […]

I likhet med departementet, mener Datatilsynet at både særlovgivningen og personopplysningsloven er lite egnet til å hjemle en adgang til å behandle personopplysninger på barne-, oppvekst- og familieområdet. Når det gjelder personopplysningsloven, er den i sin utforming svært generell, og det vil være unaturlig å særregulere ett samfunnsområde i loven. Vi stiller oss derfor bak forslaget om innføring av en egen lov som gir forskriftshjemmel for det enkelte tiltak.

Bufdir uttaler:

Innledningsvis ønsker Bufdir å fremheve at det på flere områder innenfor barne-, familie- og oppvekstområdet er behov for hjemmel i lov eller forskrift for å sikre tydelige behandlingsgrunnlag. Som departementet påpeker er samtykke og budsjettvedtak lite egnede behandlingsgrunnlag i forbindelse med tiltak som utføres på vårt område.

Bufdir uttaler videre at forslaget om ny lov om forskriftshjemmel, vil skape større forutsigbarhet for de registrerte enn hva som er tilfellet i dag.

KS uttaler at de støtter at det rettslige grunnlaget tydeliggjøres, og mener dette vil styrke rettssikkerheten for brukerne og fjerne eventuell usikkerhet om behandlingsgrunnlaget for de som står ansvarlig for tiltakene og for de som jobber i dem. Oslo kommune mener at forslaget vil styrke personvernet, også barns, og forhåpentligvis forenkle og effektivisere realiseringen av de ulike tiltakene som krever behandling av personopplysninger.

I høringsnotatet ba departementet om høringsinstansenes innspill til om eksisterende lovgivning eventuelt kunne være egnet som hjemmelsgrunnlag for å gi regler om behandling av personopplysninger på barne-, oppvekst- og familieområdet. Blant høringsinstansene er det kun Bergen kommune som har gitt innspill til dette. Kommunen mener at en lovfestet forskriftshjemmel må inngå som en del av lov om behandling av personopplysninger slik at den ses i direkte sammenheng med andre forhold loven regulerer.

Enkelte av høringsinstansene har innspill til utformingen av loven. KS antar at begrepet «frivillig» skal være med i § 1. Bufdir og Datatilsynet uttaler at det å vurdere behovet for lagring er en viktig personverngaranti og at vurdering av lagringstid bør framgå uttrykkelig i lovutkastet § 3 annet ledd.

Justis- og beredskapsdepartementet mener at det bør framgå også at det enkelte tiltaket skal reguleres nærmere i forskrift. Det må blant annet sikres at kravene til nasjonal rett i artikkel 6 nr. 3 blir oppfylt.

Det har kommet enkelte høringsinnspill om at det er behov for å presisere hva slags tiltak loven vil gjelde for, og hvilke bestemmelser i personvernforordningen som er aktuelle. Justis- og beredskapsdepartementet uttaler at det bør presiseres hvilke av unntakene i personvernforordningen artikkel 9 nr. 2 som kan tenkes å åpne for behandling av særlige kategorier personopplysninger og når det kan være behov og eventuelt grunnlag for å behandle opplysninger om straffedommer og lovovertredelser som nevnt i personvernforordningen artikkel 10. Videre at det bør gis noen føringer og eksempler på hvilke tiltak det kan være aktuelt å fastsette for å beskytte den registrerte.

Bufdir mener det bør presiseres når det er aktuelt å behandle personopplysninger om straffedommer og lovovertredelser slik at dette begrenses til tilfeller der det er strengt nødvendig.

Enkelte av høringsinstansene har innspill til utarbeidelsen av forskrifter etter loven. KS presiserer at det er viktig at brukerne forstår hvilke personopplysninger som behandles og hvorfor, før de samtykker til det aktuelle frivillige tiltaket, og at forskriftsutformingen bør ivareta dette hensynet. KS framhever også viktigheten av at de enkelte forskriftsforslagene sendes på høring og viser til at det svært ofte er kommunene som vil ha behandlingsansvaret i tiltakene og som best kjenner innholdet i dem. Datatilsynet anser det at forskriftene vil bli sendt på høring som en viktig mekanisme for å sikre god ivaretakelse av personvernet i forbindelse med det konkrete tiltaket.

Oslo kommune uttaler at det er viktig å skille mellom samtykke til behandling av personopplysninger, og samtykke til tiltak på barne-, oppvekst- og familieområdet. Det pekes også på at barn har krav på et særlig vern og at konkrete forskriftsbestemmelser vil være en styrking av barns personvern.

Bufdir viser til at sletting er et viktig prinsipp etter personvernretten, og mener at vurderinger knyttet til sletting og lagring bør framgå tydelig av forskriften.

Bergen kommune ber om at det særlig ses hen til FNs barnekonvensjon. I denne sammenheng særlig til de artikler som omhandler barns rett til å bli hørt og barns rett til privatliv. Kommunen mener at framtidige forskrifter må komme i en språkdrakt som er lett forståelig for personer i og utenfor offentlig forvaltning slik at de blir lett anvendelige, også for barn der det er nødvendig.

Når det gjelder behandlingsansvar, hvor angivelse av hvem som er behandlingsansvarlig er foreslått som et tiltak som kan forskriftsfestes, uttaler Datatilsynet at deres erfaring er at det ofte er nyttig og fornuftig å fastsette dette i det rettslige grunnlaget. Oslo kommune mener det samme.

Det har kommet flere høringsinnspill knyttet til forslaget om viderebehandling. Justis- og beredskapsdepartementet mener at det kan tydeliggjøres om og eventuelt når gjennomføringen av tiltak kan rettferdiggjøre viderebehandling av personopplysninger til andre formål enn de er innsamlet for, jf. personvernforordningen artikkel 6 nr. 4. Videre framholdes det at reglene i gjeldende rett om utlevering av taushetsbelagte personopplysninger også kan beskrives nærmere, slik at det kan vurderes om disse er tilstrekkelige til å dekke behovene i forbindelse med de ulike tiltakene.

Datatilsynet påpeker at det i forbindelse med viderebehandling av personopplysninger er særlig viktig å sette rammer og iverksette tiltak for å ivareta personvernet. Datatilsynet uttaler at det må være forutsigbart hvor opplysningene behandles til enhver tid og at eventuell adgang til viderebehandling må ledsages av god og konkret informasjon til de registrerte.

Skattedirektoratet har flere kommentarer til lovutkastet § 4 som omhandler tilgang til taushetsbelagte opplysninger fra Folkeregisteret, og oppsummerer slik:

Slik som poengtert foran, foreligger det noen uklarheter som vi mener bør klargjøres. Dette gjelder hvilke offentlige organer som skal ha tilgang til taushetsbelagte opplysninger, rekkevidden av § 4, samt formålet med § 4 annet ledd. I tillegg er det viktig å merke seg at dersom det gis forskrift som regulerer tilgang for en konsument som ikke har tilgang til alle taushetsbelagte opplysninger, vil dette ha en merkostnad.

Skattedirektoratet opplyser at folkeregisterloven § 10-1 og § 10-2 allerede dekker adgangen til å hente ut personopplysninger for å lage statistikk, og at forslaget i annet ledd om å åpne for tilgang til Folkeregisteret for «utredning og produksjon av statistikk», derfor synes unødvendig.

Finansdepartementet støtter innspillene fra Skattedirektoratet, og påpeker at det vil påløpe ikke ubetydelige kostnader dersom det er aktuelt ved forskrift å gi tilgang til taushetsbelagte opplysninger til aktører som ikke allerede har tilgang til alle taushetsbelagte opplysninger. Hvis det er aktuelt å gi tilgang til andre enn disse, forutsetter Finansdepartementet at dette omtales i høring av eventuell forskrift, og at departementet konsulteres om økonomiske og administrative konsekvenser av dette.

Skattedirektoratet uttaler til lovforslaget som åpner for at departementet kan gi forskrift om hvilke opplysninger som kan innhentes, at utgangspunktet ved deling av folkeregisteropplysninger er at den enkelte konsument skal gis faktisk tilgang til de opplysninger man rettslig har adgang til å få utlevert.

Justis- og beredskapsdepartementet uttaler at det bør klargjøres hvilket register det siktes til når det framgår av utkastet til § 4 at offentlige organer skal ha tilgang til registeret til utredning og produksjon av statistikk.

Oslo kommune savner en begrunnelse for hvorfor departementet gir hjemmel til at offentlige organer skal ha tilgang til registeret til utredning og produksjon av statistikk.

Narvik kommune anbefaler departementet å utarbeide forskrift om tilgang til taushetsbelagte opplysninger fra Folkeregisteret, og at någjeldende begrensning, gradert kode 6 (strengt fortrolig) etter Beskyttelsesinstruksen, videreføres, men at det inntas en unntakshjemmel som konkretiserer hvilke offentlige instanser som gis tilgang, i hvilke situasjoner denne tilgangen gjelder og varigheten av en slik tilgang.

Time kommune stiller spørsmål ved om det er gjort en risikovurdering knyttet til flere tilganger til Folkeregisteret sett opp mot vernet om barn og unge som bor på hemmelig adresse.

3.4 Departementets vurdering

3.4.1 Behovet for en klar hjemmel

Departementet opprettholder forslaget i høringsnotatet om en ny lov som gir adgang til å gi forskrifter som åpner for å behandle personopplysninger som er nødvendige for å gjennomføre enkelte tiltak på barne-, oppvekst- og familieområdet.

Departementet mener forslaget vil sikre at behandling av personopplysninger på området har et klart og tydelig hjemmelsgrunnlag. Høringen gir støtte for dette. Flere høringsinstanser, blant annet Bergen kommune, gir uttrykk for at lovforslaget vil imøtekomme en utfordring de møter i sitt virke som følge av mangel på klart og tydelig rettslig grunnlag for behandling av personopplysninger. KS peker på at forslaget vil styrke rettssikkerheten for brukerne, og fjerne eventuell usikkerhet om behandlingsgrunnlaget for de som står ansvarlig for tiltakene og de som jobber med dem.

Departementet har ikke funnet noe sted i eksisterende lovgivning som er egnet som hjemmelsgrunnlag for å gi regler om behandling av personopplysninger på barne-, oppvekst- og familieområdet. Departementet har merket seg innspillet fra Bergen kommune om at forskriftshjemmelen bør inntas i personopplysningsloven. Departementet mener, i likhet med Datatilsynet, at personopplysningsloven er en generell lov som ikke er egnet til å særregulere ett særskilt samfunnsområde. Personopplysningsloven vil imidlertid gjelde for tiltakene det her er tale om, herunder denne lovens og forordningens regler om den registrerte rettigheter.

Justis- og beredskapsdepartementet har gitt innspill om at det bør beskrives nærmere hvilke typer tiltak forskriftshjemmelen skal dekke. Barne- og familiedepartementet viser til at det er uensartede tiltak som vil kunne omfattes av forskriftshjemmelen, blant annet ulike tilskuddordninger som skal gi barn og unge mulighet til å delta og utvikle seg i samfunnet, og ved tilskudd til utsatte barn og ungdom legges det for eksempel til rette for økt deltakelse og bedre levekår. Det er imidlertid et sentralt premiss at tiltakene det er tale om ikke er regulert i lov. Et aktuelt tiltak per i dag er programmet Familie for første gang. Aktuelle tiltak framover kan være tilbud om fritidsaktiviteter, foreldreveiledning eller andre støttetilbud for barn, unge og deres foreldre. Departementet viser til punkt 2.1 hvor typiske kjennetegn ved tiltakene er nærmere omtalt.

Departementet presiserer at den foreslåtte loven ikke kommer til anvendelse i de tilfeller hvor sektorlovgivningen gir et tilstrekkelig hjemmelsgrunnlag for å behandle personopplysninger. Det vil derfor ikke være aktuelt å fastsette en forskrift for et tiltak som for eksempel faller inn under barnevernsloven, slik Oslo kommune bemerker i sin høringsuttalelse.

KS har foreslått at det bør framgå av formålsparagrafen at loven gjelder frivillige tiltak på barne-, oppvekst- og familieområdet. Departementet er enig i dette, og har lagt til dette i lovutkastet § 1. For å tydeliggjøre at det er tiltak besluttet av statlige myndigheter loven gir hjemmel til å fastsette forskrifter for, har departementet erstattet begrepet «offentlige myndigheter» med «statlige myndigheter». Departementet har også erstattet begrepet «fastsatt» med «besluttet» for å tydeliggjøre at det er selve beslutningen som ligger til grunn for tiltaket som er det sentrale. Se lovutkastet §§ 1, 3 og 4.

Departementet foreslår etter dette å gå videre med forslaget som ble sendt på høring, men med enkelte presiseringer som vil bli utdypet nedenfor.

3.4.2 Personvernkonsekvenser

Departementet mener at personvernkonsekvensene av lovforslaget er nøye vurdert, og at lovforslaget inneholder tilstrekkelige tiltak for å avdempe de personvernkonsekvensene som lovforslaget vil medføre.

I høringen er det flere av instansene, blant annet Oslo kommune, som uttrykker at det vil medføre en styrking av personvernet at det må fastsettes en forskrift for det enkelte tiltaket.

Departementet viser videre til at tiltakene som omfattes av lovforslaget i mange tilfeller utgjør et gode for barnet og dets familie, som for eksempel tilskuddsordninger, eller vil være ment som et hjelpetiltak, slik som programmet Familie for første gang. Det er opp til den enkelte og dets foresatte hvorvidt de vil delta på de ulike tiltakene. Departementet er enig med KS i at det er viktig at brukerne forstår hvilke personopplysninger som skal behandles og hvorfor. Dette må ivaretas i forbindelse med utarbeidelsen av den enkelte forskrift.

Når det gjelder barns rettigheter, har departementet merket seg at Bergen kommune mener det ved utformingen av loven må ses særlig hen til FNs barnekonvensjon. Departementet legger til grunn at lovforslaget er godt i samsvar med FNs barnekonvensjon, herunder artikkel 3 om barnets beste. Det vises til at tiltak på barne-, oppvekst- og familieområdet er ment å være et gode for barn. Etter departementets vurdering vil lovforslaget innebære en styrking av barns personvern ved at behandling av personopplysninger for det enkelte tiltaket skal reguleres i forskrift. Dette innebærer at det ved utformingen av den enkelte forskrift, konkret må vurderes hvilke personvernkonsekvenser tiltaket medfører for den enkelte, herunder barn. Departementet er enig med Oslo kommune som uttaler at et lov- og forskriftsgrunnlag for behandling av personopplysninger i disse sakstypene er mer hensiktsmessig enn å basere seg på samtykke.

I lovutkastet § 3 er det gitt eksempler på tiltak som kan fastsettes for å sikre hensynet til den enkeltes personvern. Bufdir og Datatilsynet uttaler at det å vurdere behovet for lagring er en viktig personverngaranti og at vurdering av lagringstid bør framgå uttrykkelig av lovteksten. Departementet er enig i at dette bør gjenspeiles i lovens ordlyd, og føyer derfor til lagring, lagringstid og sletting i opplistingen i lovutkastet § 3 annet ledd.

Videre vil det i enkelte tilfeller følge av personvernforordningen at det må fastsettes særlige tiltak for å beskytte de registrerte. Dette gjelder ved behandling av særlige kategorier av personopplysninger etter forordningen artikkel 9, og personopplysninger om straffedommer og lovovertredelser etter forordningen artikkel 10.

Justis- og beredskapsdepartementet har spilt inn at det bør gis noen føringer og eksempler på hvilke tiltak det kan være aktuelt å fastsette. Barne- og familiedepartementet viser til at flere tiltak kan være aktuelle for å beskytte de registrertes rettigheter i forbindelse med behandling av personopplysninger om straffedommer og lovovertredelser, samt særlige kategorier av personopplysninger. Det kan tenkes tekniske tiltak, for eksempel lagring, avidentifisering, kryptering og tilgangskontroll. Det kan være organisatoriske tiltak som for eksempel rutiner som har til hensikt å sikre overholdelse av personvernprinsippene, lagringsbegrensning (særlig sletterutiner) og integritet og konfidensialitet. Eller det kan være fysiske tiltak som adgangskontroll, låsbare rom, skap, arkiv eller PCer. Videre kan taushetsplikt for de som skal ha tilgang til opplysningene være et viktig tiltak for å sikre de registrertes rettigheter.

Dersom en forskrift skal åpne for viderebehandling av opplysninger til formål som ikke er forenelige med innsamlingsformålet, må forskriften, som minimum, oppfylle kravene i personvernforordningen artikkel 6 nr. 4.

3.4.3 Det supplerende rettsgrunnlag

Departementets lovforslag vil oppfylle kravet til et supplerende rettsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav c) og e), jf. artikkel 6 nr. 3, som vurderes som aktuelle behandlingsgrunnlag i denne sammenheng. Forslaget vil også oppfylle krav etter personvernforordningen artikkel 9 og 10 om supplerende rettsgrunnlag. Det er loven og den enkelte forskrift som vil utgjøre det supplerende rettsgrunnlaget.

Det supplerende rettsgrunnlaget fastsettes nærmere i forskrift for det enkelte tiltaket hvor også formålet med behandlingen må framgå, jf. artikkel 6 nr. 3. Det betyr at det i forbindelse med forberedelse av forskrift for tiltaket må gjøres en selvstendig vurdering av det aktuelle supplerende rettsgrunnlaget og av hvorvidt kriteriene etter forordningen er oppfylt.

Det følger av lovutkastet § 3 første ledd at det kun er adgang til å utarbeide forskrifter når det er «nødvendig» å behandle personopplysninger for å gjennomføre det konkrete tiltaket på barne-, oppvekst- og familieområdet. Det skal ikke behandles flere opplysninger enn det som trengs for å gjennomføre tiltaket. Datatilsynet ser positivt på forslaget om å tydeliggjøre i lovteksten grunnvilkåret om at personopplysningene må være nødvendige for gjennomføring av tiltaket.

Justis- og beredskapsdepartementet uttaler at det bør presiseres hvilke av unntakene i personvernforordningen artikkel 9 nr. 2 som er aktuelle. Barne- og familiedepartementet legger til grunn at det i denne sammenhengen vil være artikkel 9 nr. 2 bokstav g) og h) som kan være aktuelle, men at dette må vurderes konkret i forbindelse med det enkelte tiltaket. Til illustrasjon vises det til programmet Familie for første gang, hvor begge alternativene vil kunne være aktuelle. Programmet vil kunne omfatte behandling av personopplysninger som ledd i utførelse av en oppgave i allmennhetens interesse, jf. bokstav g). Departementet mener imidlertid at bokstav h) her vil være best egnet fordi behandlingsgrunnlaget spesielt nevner «helse- og sosialtjenester». Etter både bokstav g) og h) er det et krav om hjemmel i nasjonal rett som gir tilstrekkelige garantier, og at behandlingen er nødvendig. Departementet vil imidlertid legge til at det generelt er vanskelig å angi utfyllende hva som ligger i de ulike alternativene i 9 nr. 2, og at det må bero på en konkret vurdering i det enkelte tilfellet.

Justis- og beredskapsdepartementet og Bufdir ber i sine høringsuttalelser om at det tydeliggjøres når det kan være aktuelt å behandle opplysninger om straffedommer og lovovertredelser. Departementet har identifisert et behov for å behandle opplysninger om straffedommer og lovovertredelser i forbindelse med gjennomføring av programmet Familie for første gang. Det kan også være aktuelt å behandle slike opplysninger ved andre framtidige tiltak der opplysningene trengs for å kunne gi et godt og fullverdig tilbud til de registrerte. Departementet understreker at slike opplysninger kun skal behandles når det er nødvendige for å gjennomføre nærmere bestemte tiltak, jf. lovutkastet § 3 først ledd. Videre følger det av personvernforordningen artikkel 10 at det må fastsettes nødvendige garantier for de registrertes rettigheter og friheter. Hvilke tiltak som er aktuelle må vurderes konkret i forbindelse med utarbeidelsen av den enkelte forskriften. Departementet viser til punkt 3.4.2 hvor det er redegjort for hvilke tiltak som kan være aktuelle.

Når det gjelder selve utformingen av det supplerende rettsgrunnlaget, har departementet i lovutkastet § 3 annet ledd kommet med eksempler på tiltak som kan fastsettes i den enkelte forskriften. Fordi tiltakene det er tale om er ulike, mener departementet at det ikke er hensiktsmessig å regulere uttømmende hva hver forskrift skal regulere, men at det må foretas en konkret vurdering i forbindelse med den enkelte forskrift av hvilke tiltak som er aktuelle og nødvendige for gjennomføring av tiltaket. Datatilsynet framhever det samme i sin høringsuttalelse.

Departementet presiserer at hver enkelt forskrift må oppfylle de kravene personvernforordningen oppstiller, herunder kravene i artikkel 6 nr. 3 om at formålet med behandlingen skal være fastsatt i det rettslige grunnlaget eller være nødvendig for å oppfylle en rettslig forpliktelse, utføre en oppgave i allmenhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, slik Justis- og beredskapsdepartementet er inne på i sin høringsuttalelse.

Departementet påpeker at forskriftene skal sendes på høring på vanlig måte. Departementet mener, i likhet med Datatilsynet, at dette er viktig for å sikre god ivaretakelse av personvernet og, som KS framhever, at det gir kommunene og andre relevante aktører anledning til å komme med innspill. Eventuelle nye forpliktelser for kommunene eller andre, og eventuelle administrative og økonomiske konsekvenser av dette, vil måtte vurderes i forbindelse med utarbeidelsen av den enkelte forskrift.

3.4.4 Innhenting av opplysninger

Viderebehandling

Departementet opprettholder forslaget om at det gis hjemmel til i forskrift å regulere viderebehandling av personopplysninger. Det vises til lovutkastet § 3 annet ledd. Formålet med forslaget er å sikre at den behandlingsansvarlige kan bruke opplysninger den allerede besitter dersom disse er nødvendige for å gjennomføre og administrere tiltak på barne-, oppvekst- og familieområdet. Dette vil omfatte tilfeller der det ikke framstår som klart om formålet opplysningene vurderes viderebehandlet til er forenlig med det opprinnelige formålet. Etter departementets vurdering vil lovforslaget oppfylle kravet til et særskilt rettsgrunnlag etter personvernforordningen artikkel 6 nr. 4, og sikre at viderebehandling av personopplysninger til et annet formål enn det de opprinnelig ble samlet inn for, blir lovlig. Ingen av høringsinstansene har hatt motforestillinger til forslaget.

Justis- og beredskapsdepartementet har i sin høringsuttalelse uttalt at det kan tydeliggjøres om og eventuelt når gjennomføringen av tiltak kan rettferdiggjøre viderebehandling av personopplysninger til andre formål enn de er innsamlet for, jf. personvernforordningen artikkel 6 nr. 4. For å illustrere om og når det på barne-, oppvekst- og familieområdet kan være behov for å viderebehandle personopplysninger, viser departementet til erfaringer fra prøveprosjektet med fritidskortet, som også er omtalt under punkt 2.1. For å forvalte denne ordningen var det behov for å innhente opplysninger om barnets fulle navn og adresse, barnets fødsels- og personnummer, barnets foresatte eller verger og informasjon om betalinger til aktivitetstilbydere. Personopplysningene kommunene skulle behandle var om «sine» borgere, og allerede innhentet til andre formål, blant annet opplærings- og helseformål. Opplysningene kunne imidlertid ikke viderebehandles, fordi formålet ikke var forenlig med innsamlingsformålet, og særskilt rettsgrunnlag manglet. På bakgrunn av disse erfaringene ble departementet oppmerksom på at spørsmålet om viderebehandling av personopplysninger til andre formål enn de er innsamlet for, også kan være relevant for andre nåværende og framtidige tiltak som skal gjennomføres på barne-, oppvekst- og familieområdet.

Departementet viser videre til at viderebehandling også kan omfatte tilfellet å innhente opplysninger som allerede er registrert av andre organer. Også i disse tilfellene må det foretas en konkret vurdering av om formålet opplysningene er innhentet til, er forenlig med det opprinnelige formålet, og hvorvidt det vil være nødvendig med nærmere regulering i forskrift.

Datatilsynet påpeker at det i forbindelse med viderebehandling av personopplysninger er særlig viktig å sette rammer og iverksette tiltak for å ivareta personvernet. Departementet er som Datatilsynet oppmerksom på at de registrerte vil kunne oppleve å miste kontrollen over egne personopplysninger ved deling av opplysninger med andre organer og virksomheter. Personvernforordningen oppstiller krav som skal ivareta den registrertes rettigheter, som må oppfylles også i denne sammenheng. Departementet legger derfor til grunn at en adgang i forskrift til viderebehandling av personopplysninger må ledsages av god og konkret informasjon til de registrerte, slik at det er forutsigbart for de registrerte hvor opplysningene behandles til enhver tid.

Behovet for å viderebehandle og dele informasjon mellom organer kan gjelde både taushetsbelagte og ikke-taushetsbelagte opplysninger. På barne-, oppvekst- og familieområdet er det i all hovedsak størst behov for deling av ikke-taushetsbelagte opplysninger, men det kan også være behov for viderebehandling og deling av opplysninger som er underlagt generell eller spesiell taushetsplikt. Taushetspliktreglene vil utgjøre en selvstendig skranke for innhenting og utlevering av taushetsbelagte opplysninger, som ikke kan reguleres nærmere etter forskriftshjemmelen som foreslås. Det betyr at dersom opplysningene som ønskes innhentet er underlagt lovbestemt taushetsplikt, må spørsmålet om innhenting og utlevering av opplysningene avgjøres etter de taushetspliktbestemmelsene som gjelder etter sektorlovgivningen eller forvaltningsloven.

Oppslag mot folkeregisteret

Departementet opprettholder forslaget i høringsnotatet om at det i loven inntas en hjemmel som gir behandlingsansvarlig adgang til uten hinder av taushetsplikten å innhente opplysninger fra Folkeregisteret som er nødvendig for å gjennomføre tiltak besluttet av statlige myndigheter på barne-, oppvekst- og familieområdet. Det vises til lovutkastet § 4. Departementet vurderer at dette gir tilstrekkelig rettslig grunnlag etter personvernforordningen artikkel 6 nr. 3. Av høringsinstansene er det KS og Oslo kommune som har uttalt seg om dette, og begge støtter forslaget.

Skattedirektoratet påpeker at offentlige myndigheter, herunder kommuner og fylkeskommuner, samt statsforvalterne, allerede har tilgang til den rettighetspakken som inneholder alle taushetsbelagte opplysninger registrert i Folkeregisteret. Dersom det er aktuelt å gi tilgang til taushetsbelagte opplysninger til aktører som ikke allerede har tilgang til alle taushetsbelagte opplysninger, påpeker direktoratet at det vil påløpe ikke ubetydelige kostnader. Finansdepartementet forutsetter i så tilfelle at Finansdepartementet konsulteres om økonomiske og administrative konsekvenser av dette. Departementet vil i tråd med Finansdepartementets merknad følge opp dette dersom det blir aktuelt å gi tilgang til taushetsbelagte opplysninger til aktører som ikke allerede har tilgang til alle taushetsbelagte opplysninger.

I høringsnotatet foreslo departementet en bestemmelse i lovutkastet § 4 annet ledd med følgende ordlyd: «Offentlige organer skal ha tilgang til registeret til utredning og produksjon av statistikk.». Bakgrunnen for forslaget var å sikre muligheten for å hente ut personopplysninger for utredning og produksjon av statistikk ved behov. Skattedirektoratet opplyser imidlertid at folkeregisterloven § 10-1 og § 10-2 allerede dekker adgangen til å hente ut personopplysninger for dette formålet. Departementet slutter seg på denne bakgrunn til direktoratets vurdering om at bestemmelsen er unødvendig, og følger ikke opp forslaget.

Narvik kommune og Time kommune har i høringen kommet med innspill til utformingen av selve innholdet i forskriftene. Innspill fra høringen som er knyttet til utforming av forskrift vil departementet komme tilbake til i forbindelse med utarbeidelsen av den enkelte forskrift, som vil bli sendt på høring på vanlig måte.

3.4.5 Behandlingsansvar

Departementet opprettholder forslaget i høringsnotatet om at det i forskrift kan reguleres nærmere hvem som er behandlingsansvarlig, vurdert konkret i forhold til det enkelte tiltaket. Det vises til lovutkastet § 3 annet ledd. Av høringsinstansene er det Oslo kommune, Øygarden kommune og Datatilsynet som har uttalt seg om dette, og alle støtter forslaget. Datatilsynet viser til at deres erfaring er at det ofte er nyttig og fornuftig å fastsette hvem som er behandlingsansvarlig i det rettslige grunnlaget, fordi det tidvis kan være uklart hvem som har behandlingsansvaret, eller det kan oppstå behov for å plassere behandlingsansvaret et annet sted enn der det naturlig hører hjemme etter definisjonen av behandlingsansvarlig i personvernforordningen artikkel 4 nr. 7.

3.4.6 Geografisk virkeområde

Departementet opprettholder forslaget i høringsnotatet om at Kongen kan gi forskrift om lovens anvendelse på Svalbard, og at det kan fastsettes særlige regler under hensyn til de stedlige forholdene. I utgangspunktet tilbys det ikke tjenester eller ytelser på Svalbard med sosial profil, se blant annet Meld. St. 32 (2014–2015), kapittel 6.3.4. Dette innebærer at loven ikke vil gjelde for Svalbard med mindre Kongen bestemmer noe annet, samtidig som det gis hjemmel for fastsettelse av særlige regler begrunnet i svalbardmessige forhold. Det vises til lovutkastet § 2.

4 Endring i adopsjonsloven

4.1 Gjeldende rett

Offentlige myndigheter som har hjemmel i lov til å innhente opplysninger fra Folkeregisteret, kan gjøre dette uten hinder av taushetsplikt, jf. folkeregisterloven § 10-2. Det er forutsatt i Prop. 164 L (2015–2016) punkt 18.4.4 til ny folkeregisterlov at hjemmelen må framgå av den aktuelle særloven. Ifølge forarbeidene til ny folkeregisterlov er det den etaten eller virksomheten som trenger taushetsbelagt informasjon fra Folkeregisteret, som selv er nærmest til å begrunne behovet for det, og bør være ansvarlig for å sikre nødvendig lovhjemmel. En slik hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret fremgår ikke i dag av adopsjonsloven, som er den aktuelle særloven på området.

4.2 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet at adopsjonsloven endres ved at det i loven inntas en bestemmelse som gir hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når dette er nødvendig for å behandle adopsjonssaker.

4.3 Høringsinstansenes syn

Bufdir støtter forslaget om å innta en ny bestemmelse i adopsjonsloven som gir offentlige myndigheter hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når det er nødvendig for å utføre oppgaver etter adopsjonsloven. Ingen andre høringsinstanser har kommentert forslaget.

4.4 Departementets vurdering

Departementet opprettholder forslaget om å innta en bestemmelse i adopsjonsloven som gir hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når dette er nødvendig for å behandle adopsjonssaker.

Departementet viser til at Bufdir, Barne-, ungdoms- og familieetaten (Bufetat) og statsforvalterne kan ha oppgaver etter adopsjonsloven som gjør det nødvendig å innhente taushetsbelagte opplysninger fra Folkeregisteret. Dette gjelder både ved nasjonale og internasjonale adopsjonssaker. Det vises til lovforslaget om endring av adopsjonsloven § 35.

5 Endring i lov om Haagkonvensjonen 1996

5.1 Gjeldende rett

Offentlige myndigheter som har hjemmel i lov til å innhente opplysninger fra Folkeregisteret, kan gjøre dette uten hinder av taushetsplikt. Det er forutsatt i Prop. 164 L (2015–2016) punkt 18.4.4 til ny folkeregisterlov at hjemmelen må framgå av den aktuelle særloven. Det framgår ikke av lov om Haagkonvensjonen 1996 at Bufdir som sentralmyndighet for loven kan innhente taushetsbelagte opplysninger fra Folkeregisteret.

5.2 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet en ny bestemmelse som vil gi sentralmyndigheten for Haagkonvensjonen 1996 hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når det er nødvendige for utførelsen av oppgaver etter loven, jf. forslag til nytt annet ledd i § 2 i lov om Haagkonvensjonen 1996.

5.3 Høringsinstansenes syn

Bufdir viser i sin høringsuttalelse til at de støtter forslaget i høringsnotatet om å innta en ny bestemmelse i lov om Haagkonvensjonen 1996 som gir sentralmyndigheten hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når det er nødvendig for å behandle saker etter loven, jf. lovutkast § 2 nytt annet ledd.

Videre gir Bufdir også utrykk for at forslaget i høringsnotatet er tilstrekkelig klart til å kunne utgjøre et supplerende rettsgrunnlag etter GDPR art. 6 nr. 1 bokstav e, jf. nr. 3.

Bufdir etterspør imidlertid eksempler på når det er nødvendig at sentralmyndigheten innhenter opplysninger fra Folkeregisteret for å utføre sine lovpålagte oppgaver.

5.4 Departementets vurdering

Departementet legger til grunn at det i forbindelse med saker etter lov om Haagkonvensjonen 1996, er behov for at sentralmyndigheten kan innhente taushetsbelagte opplysninger fra Folkeregisteret. Departementet fastholder derfor forslaget i høringsnotatet om å ta inn en slik hjemmel i lov om Haagkonvensjonen 1996.

Departementet viser til at sentralmyndigheten har som oppgave å motta og formidle henvendelser etter Haagkonvensjonen 1996, samarbeide med sentralmyndighetene i de øvrige konvensjonsstatene for å oppfylle konvensjonens formål og utføre de oppgavene som konvensjonen ellers pålegger den, jf. lov om Haagkonvensjonen 1996 § 2 første ledd.

For å håndtere og formidle anmodninger etter konvensjonen, er det avgjørende at sentralmyndigheten har tilgang til opplysninger fra Folkeregisteret. Det gjelder opplysninger om bosted, som er nødvendig for at sentralmyndigheten kan formidle anmodninger fra utenlandske myndigheter til rett myndighet i Norge. Når anmodningen gjelder en barnevernssak, vil dette være avgjørende blant annet for hvilken barneverntjeneste som vil være rett mottaker av anmodningen.

Videre har sentralmyndigheten behov for tilgang til opplysninger om familierelasjoner, herunder hvem som er foreldre til et barn, hvem som har foreldreansvar for barnet og om barnet har søsken som også kan trenge beskyttelse. Sentralmyndigheten skal også, etter anmodning fra en kompetent myndighet i en annen konvensjonsstat, bistå med å finne ut hvor et barn befinner seg, når det ser ut til at barnet kan oppholde seg på norsk territorium og ha behov for beskyttelse her, jf. Haagkonvensjonen 1996 art. 31 bokstav c.

Konvensjonen kommer til anvendelse i saker som gjelder beskyttelse av barn på tvers av landegrenser, og tidsaspektet er i disse sakene sentralt. Departementet legger derfor til grunn at det er nødvendig at sentralmyndigheten selv kan hente ut opplysninger fra Folkeregisteret for å kunne håndtere sakene effektivt.

Departementet foreslår på denne bakgrunn at det i lov om Haagkonvensjonen 1996 inntas en bestemmelse som gir sentralmyndigheten hjemmel til å innhente taushetsbelagte opplysninger fra Folkeregisteret når dette er nødvendig for å behandle saker etter loven, se § 2 nytt annet ledd i lovutkastet til lov om Haagkonvensjonen 1996.

6 Endring i barnevernsloven

6.1 Gjeldende rett

Det følger av § 6-4 b i dagens barnevernlov at offentlige myndigheter uten hinder av taushetsplikt kan innhente opplysninger fra Folkeregisteret når det er nødvendig for å utføre oppgaver etter barnevernloven. Bestemmelsen er videreført i § 13-4 sjette ledd i ny barnevernslov som etter planen skal tre i kraft 1. januar 2023. Adgangen til å innhente opplysninger fra Folkeregisteret i forbindelse med samarbeid og kommunikasjon med stater som ikke er omfattet av Haagkonvensjonen, er ikke nærmere regulert.

6.2 Forslaget i høringsnotatet

Av hensyn til behandlingen av internasjonale barnevernssaker som ikke er omfattet av Haagkonvensjonen, foreslo departementet å tydeliggjøre i barnevernloven og i ny barnevernslov at Bufdir og andre barnevernsmyndigheter uten hinder av taushetsplikt kan innhente opplysninger fra Folkeregisteret også i slike saker, jf. barnevernloven § 6-4 b og barnevernsloven § 13-4 sjette ledd.

6.3 Høringsinstansenes syn

Bufdir gir i sin høringsuttalelse uttrykk for at de er enige med departementet i at adgangen til å innhente opplysninger i saker som berører stater som ikke er tilknyttet Haagkonvensjonen av 1996 bør lovreguleres.

Bufdir ga samtidig uttrykk for at også hjemmelen til å innhente opplysninger fra Folkeregisteret i saker utenfor konvensjonssamarbeidet burde plasseres i lov om Haagkonvensjonen 1996. Bufdir kom også med enkelte forslag til endringer i den foreslåtte bestemmelsen. Direktoratet ga uttrykk for at kompetansen til å innhente opplysninger i slike saker burde legges til Sentralmyndigheten for Haagkonvensjonen i stedet for til «offentlige myndigheter» som foreslått i høringsnotatet. Direktoratet foreslo også noen endringer i bestemmelsens ordlyd.

Justis- og beredskapsdepartementet gir i sin høringsuttalelse uttrykk for at det bør sikres at forslaget om endring av barnevernloven § 6-4 b om innhenting av opplysninger fra Folkeregisteret i tilknytning til myndighetenes oppfølging av barnevernssaker er tilstrekkelig dekkende, dersom dette skal fungere som et supplerende rettsgrunnlag etter artikkel 6 nr. 3.

6.4 Departementets vurdering

Departementet foreslår at sentralmyndigheten for Haagkonvensjonen 1996 skal gis hjemmel til også å innhente opplysninger fra Folkeregisteret i internasjonale barnevernssaker som ikke reguleres av Haagkonvensjonen. Departementet vurderer at en slik bestemmelse gir tilstrekkelig rettslig grunnlag etter personvernforordningen artikkel 6 nr. 3. Det kan bli gitt nærmere presiseringer av sentralmyndighetens arbeid med saker som ikke reguleres av Haagkonvensjonen i tildelingsbrev.

Det følger av artikkel 36 i konvensjonen at norske myndigheter ved alvorlig fare for et barn har plikt til å varsle stater som ikke er tilsluttet konvensjonen ved å sende en bekymringsmelding til staten barnet oppholder seg i. Videre har Bufdir fått i oppgave å motta og formidle henvendelser på vegne av norske og utenlandske myndigheter også i saker utenfor konvensjonen. Bufdirs oppgave med å håndtere informasjonsutveksling i slike saker er ikke lovregulert, men følger av tildelingsbrev (Tildelingsbrev 2016 tillegg nr. 1 punkt 3.5). Oppgaven er også omtalt i Prop. 133 L (2020–2021) side 177, der det framgår at Bufdir har «ansvaret for å veilede norsk barneverntjeneste og motta og videresending av eventuelle bekymringsmeldinger til utenlandsk barnevernvern også i ikke-konvensjonssaker».

Haagkonvensjonen 1996 er likevel i utgangspunktet kun ment å gjennomføre Haagkonvensjonen i norsk rett med enkelte øvrige bestemmelser som er nødvendige for å oppfylle Norges forpliktelser etter konvensjonen, eller som sikrer en best mulig tilpasning til konvensjonen i norsk rett, jf. Prop. 102 LS (2014–2015) punkt 7.1, side 46.

Departementet viderefører derfor forslaget i høringsnotatet om at adgangen til å innhente opplysninger fra Folkeregisteret i saker som ikke er regulert av Haagkonvensjonen 1996 reguleres i barnevernsloven jf. § 13-4 sjette ledd i ny barnevernslov.

Departementet foreslår at det presiseres i bestemmelsen at sentralmyndigheten kan innhente opplysninger fra Folkeregisteret når det er nødvendig å innhente opplysninger for å motta og formidle henvendelser til og fra utenlandske myndigheter i barnevernssaker som ikke reguleres av Haagkonvensjonen av 1996.

7 Endring i barnelova § 44 om reisekostnader ved samvær

7.1 Gjeldende rett

Det økonomiske forholdet mellom foreldrene er et privatrettslig forhold. Det betyr at foreldrene har full avtalefrihet og kan avtale den fordelingen av reisekostnader ved samvær som de mener er best egnet i deres situasjon.

Det følger av barnelova § 44 første ledd at dersom foreldrene ikke avtaler noe annet, skal reisekostnadene ved samvær fordeles forholdsmessig mellom foreldrene etter størrelsen på inntektene deres. Dette betyr at den som har best økonomi skal dekke den største andelen av reiseutgiftene som er nødvendig for å gjennomføre samværet. Det felles økonomiske ansvaret for reiseutgiftene til samvær understreker at det er begge foreldres ansvar å bidra til at barnet har god kontakt med den av foreldrene barnet ikke bor sammen med.

Der særlige grunner gjør det rimelig, kan statsforvalteren eller retten fastsette en annen fordeling av reisekostnadene, jf. barnelova § 44 annet ledd. For at statsforvalteren skal behandle saken, må foreldrene være enige om at saken skal løses på denne måten. Hvis barnet er over 15 år, kan statsforvalteren likevel behandle saken dersom en av foreldrene ønsker det. Departementet er klageinstans for vedtak truffet av statsforvalteren.

Statsforvalterens eller departementets vedtak er tvangsgrunnlag for utlegg. Når begge foreldrene ber om det, kan statsforvalteren fastsette at en skriftlig avtale om deling av reisekostnader skal kunne tvangsfullbyrdes ved utlegg etter lov 26. juni 1992 nr. 86 om tvangsfullbyrdelse (tvangsfullbyrdelsesloven) kapittel 7.

7.2 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet en endring i barnelova § 44 slik at forvaltningen av reglene om reisekostnader ved samvær flyttes fra statsforvalteren til Arbeids- og velferdsetaten (NAV). Departementet viste til at forslaget vil innebære at saker om reisekostnader ved samvær og barnebidrag samles hos én og samme instans, og at saker mellom de samme partene kan vurderes og sees i sammenheng.

Som følge av forslaget ble det også foreslått endring i a-opplysningsloven, slik at NAV har tilgang til registeret også i forbindelse med forvaltningen av reglene om reisekostnader ved samvær.

7.3 Høringsinstansenes syn

Av høringsinstansene er det Arbeids- og velferdsdirektoratet (AVdir), Bufdir og KS som har uttalt seg om dette forslaget. Alle støtter forslaget om at forvaltningen av reglene om reisekostnader ved samvær flyttes fra statsforvalteren til NAV. AVdir har enkelte innspill til forslaget.

AVdir viser til at etter barnelova § 44 første ledd første punktum skal reisekostnader ved samvær deles mellom foreldrene etter størrelsen på inntektene deres, så lenge foreldrene ikke blir enige om noe annet. Etter AVdirs oppfatning er det ikke tilstrekkelig regulert, hverken i lov eller forskrift, hvordan inntekten skal fastsettes eller hvordan bidragsevnen skal beregnes, og viser til at det kun er gitt retningslinjer gjennom forarbeider. AVdir peker på at for offentlig fastsettelse av barnebidrag er slik forskrift gitt med hjemmel i barnelova § 71 tredje ledd, og mener det bør vedtas en tilsvarende forskriftshjemmel også for reisekostnader.

AVdir viser videre til at bidragsområdet står i en særstilling i NAV når det gjelder behandling av personopplysninger, blant annet fordi det er flere parter knyttet til samme sak, og uttaler:

Dette vil også være tilfellet for saker som gjelder fordeling av reisekostnader. For å sikre et tilsvarende klart behandlingsgrunnlag også ved fastsettelse av reisekostnader, mener vi det bør tydeliggjøres i teksten til barneloven § 44 at sak om fastsettelse av reisekostnader kan måtte ses i sammenheng med sak om fastsettelse av barnebidrag. Dette for å gjøre det klart for partene at opplysninger som sendes inn i en eventuell bidragssak også kan benyttes ved krav om fordeling av reisekostnader, og vice versa. En slik tydeliggjøring kan videre virke konfliktdempende mellom partene.

7.4 Departementets vurdering

Departementet opprettholder forslaget om at forvaltningen av reglene om reisekostnader ved samvær flyttes fra statsforvalteren til NAV. Det vises til forslaget om endring av barnelova § 44.

AVdir uttaler i høringen at det bør vedtas en forskriftshjemmel for reisekostnader om fastsettelse av inntekt og bidragsevne, og at det bør tydeliggjøres i teksten til barnelova § 44 at sak om fastsettelse av reisekostnader kan ses i sammenheng med sak om fastsettelse av barnebidrag.

Departementet viser til at lovforslaget her er knyttet til spørsmålet om å flytte ansvaret for forvaltningen av reisekostnader for samvær fra statsforvalteren til NAV. Hvorvidt det utover dette er behov for å foreta andre materielle endringer i bestemmelsen i barnelova § 44, vil departementet utrede nærmere i forbindelse med det pågående arbeidet med oppfølgning av Barnelovutvalgets NOU 2020: 14 Ny barnelov.

8 Ikraftsetting

Departementet foreslår at loven gjelder fra den tid Kongen bestemmer, og at de enkelte bestemmelsene kan tre i kraft til ulik tid.

9 Økonomiske og administrative konsekvenser

Innføring av en ny lov om forskriftshjemmel for behandling av personopplysninger for tiltak på barne-, oppvekst- og familieområdet, vil ikke i seg selv ha økonomiske eller administrative konsekvenser. Finansdepartementet, Oslo kommune og Skattedirektoratet har hatt innspill i høringen til dette, som da relaterer seg til forskriftsarbeidet. Departementet viser til at spørsmålet om økonomiske eller administrative konsekvenser må vurderes og beregnes i forbindelse med utarbeidelse av hver enkelt forskrift, som utredes og høres på vanlig måte.

De foreslåtte endringene i adopsjonsloven, barnevernsloven og lov om Haagkonvensjonen 1996 vil ikke ha noen økonomiske og administrative konsekvenser.

Når det gjelder forslaget om å endre barnelova § 44 slik at forvaltningen av reglene om reisekostnader ved samvær flyttes fra statsforvalteren til NAV, viser departementet til at statsforvalteren behandler gjennomsnittlig mellom 6 til 10 saker årlig om reisekostnader ved samvær. Selv om antallet saker er lavt, vil overføringen av forvaltningen av reisekostnader ved samvær fra statsforvalteren til NAV, innebære estimerte utviklingskostnader for NAV på mellom 3-5 millioner kroner. Kostnadene er knyttet til IT-utvikling for å sørge for en forsvarlig saksbehandling der krav til arkivering og personvern skal ivaretas. Departementet legger til grunn at kostnadene kan dekkes innenfor gjeldende budsjettrammer.

10 Merknader til de enkelte bestemmelsene

10.1 Forslag til ny lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet

Til § 1

Bestemmelsen angir at lovens formål er å sikre en forsvarlig behandling av personopplysninger på barne-, oppvekst- og familieområdet når det er nødvendig å behandle personopplysninger for å utføre tiltak besluttet av statlige myndigheter.

Loven gir et rettslig grunnlag for å behandle personopplysninger for å gjennomføre frivillige tiltak på barne-, oppvekst- og familieområdet. Området kjennetegnes ved at det er et sektorovergripende felt, og tiltakene som omfattes av loven vil ikke være regulert i sektorlovgivningen. Det innebærer at det ofte ikke foreligger et rettslig grunnlag for behandling av personopplysninger som er nødvendig for gjennomføring av tiltaket. I disse tilfellene vil loven komme til anvendelse, og gi adgang til å fastsette forskrift som åpner for behandling av personopplysninger for nærmere bestemte tiltak. Loven vil derimot ikke komme til anvendelse der sektorlovgivningen gir tilstrekkelig rettslig grunnlag for å behandle personopplysninger.

For å oppfylle formålet med loven må det foretas konkrete vurderinger av personvernkonsekvensene av det enkelte tiltaket. Personopplysningsloven vil gjelde for den behandlingen av personopplysninger som denne loven åpner for, herunder personvernforordningens regler om de registrertes rettigheter. Det vises til de generelle merknadene i punkt 3.4.

Til § 2

Bestemmelsen angir lovens geografiske virkeområde. Det er et utgangspunkt at det ikke skal tilbys tjenester eller ytelser på Svalbard med sosial profil, se blant annet Meld. St. 32 (2014–2015) punkt 6.3.4. Dette innebærer at loven ikke vil gjelde for Svalbard med mindre Kongen bestemmer noe annet, samtidig som det gis hjemmel for fastsettelse av særlige regler begrunnet i svalbardmessige forhold.

Til § 3

Det følger av bestemmelsen at det supplerende rettsgrunnlaget for behandling av personopplysninger fastsettes nærmere i forskrift for det enkelte tiltaket, hvor forutsetningsvis også formålet med behandlingen må fastsettes. Dette skal blant annet sikre at kravene i personvernforordningen artikkel 6 nr. 3 blir oppfylt. Forskriften vil sammen med loven utgjøre det supplerende rettsgrunnlaget som kreves for å behandle personopplysninger etter personvernforordningen artikkel 6 nr. 1 bokstav c) og e), jf. artikkel 6 nr. 3.

Første ledd første punktum gir departementet myndighet til å gi forskrifter som åpner for å behandle personopplysninger når det er nødvendig for å gjennomføre nærmere bestemte tiltak på barne-, oppvekst- og familieområdet. Bestemmelsen angir rammene for når departementet kan gi slike forskrifter. Tiltakene må være besluttet av statlige myndigheter. Det vises til at tiltakene i denne sammenheng, typisk tilskuddsordninger, ofte har sitt grunnlag i budsjettvedtak fastsatt av Stortinget, jf. Grunnloven § 75.

Etter bestemmelsen er det offentlige organer og private rettssubjekter som utfører oppgaver for stat, fylkeskommune eller kommune, som i forskrift kan gis adgang til å behandle personopplysninger som er nødvendige for å gjennomføre det statlige tiltaket. Tiltakene forvaltes og administreres normalt av direktorater, kommuner eller regioner som Bufetat region, men tidvis også av private organisasjoner.

Det er et vilkår at det kun skal behandles personopplysninger som er nødvendige for å gjennomføre det enkelte tiltaket. Dette innebærer at det ikke skal innhentes eller på annen måte behandles flere opplysninger enn det som er nødvendig for å gjennomføre det enkelte tiltaket, samtidig som opplysningene må være relevante og ha saklig sammenheng med gjennomføringen av tiltaket. For noen av tiltakene kan det imidlertid være vanskelig å vurdere om en opplysning er nødvendig før den i det hele tatt er blitt vurdert nærmere. Nødvendighetsvilkåret skal derfor ikke forstås slik at det er et krav til at opplysningen faktisk får betydning for gjennomføringen av tiltaket. Samtidig må det foretas en mer overordnet vurdering av opplysningens art med henblikk på om opplysningen vil være relevant, før den behandles.

Første ledd annet punktum angir at det i forskrift også kan åpnes for å behandle personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Det vises til de generelle merknadene i punkt 3.4.3.

Annet ledd lister opp hva det i forskrift kan gis regler om. Opplistingen er ikke uttømmende. Det må ved forberedelsen av den enkelte forskrift foretas konkrete vurderinger av personvernkonsekvensene av det enkelte tiltaket, og hvilke regler om behandlingen av personopplysningene det er behov for at det gis i forskrift. Det er en forutsetning at formålet med behandlingen framgår. Reglene som fastsettes i forskrift for å ivareta den enkeltes personvern vil sammen med reglene i personvernforordningen sette rammene for adgangen til å behandle personopplysninger.

Etter annet ledd kan det i forskrift gis regler om behandlingsansvaret. Dette vil være aktuelt der det er uklart hvem som har behandlingsansvaret, eller der det oppstår behov for å plassere behandlingsansvaret et annet sted enn der det naturlig hører hjemme etter definisjonen av behandlingsansvarlig i personvernforordningen artikkel 4 nr. 7.

Videre angir annet ledd at det kan gis regler om tiltak som skal verne den opplysningen gjelder, og krav til behandlingen. Det kan blant annet reguleres hvordan de registrerte skal få informasjon om behandlingen og hvordan den enkeltes personvern skal ivaretas, i tillegg til å fastsette regler om for eksempel tilgangskontroll og kryptering.

Etter annet ledd kan det i forskrift også gis regler om viderebehandling av personopplysninger. Formålet med dette er å sikre at den behandlingsansvarlige kan bruke opplysninger den allerede besitter dersom disse er nødvendige for å gjennomføre og administrere tiltak på barne-, oppvekst- og familieområdet. Dette vil omfatte tilfeller der det ikke framstår som klart om formålet opplysningene vurderes viderebehandlet til, er forenlig med det opprinnelige formålet. I slike tilfeller vil kravet til hjemmel i forskrift oppfylle kravet etter personvernforordningen artikkel 6 nr. 4 til et særskilt rettsgrunnlag, og sikre at viderebehandling av personopplysninger til et annet formål enn det de opprinnelig ble samlet inn for, er lovlig.

Annet ledd angir videre at det kan gis regler om sletting og lagring, herunder lagringstid. Prinsippet om lagringsbegrensning innebærer at personopplysningene ikke skal lagres lenger enn det som er nødvendig for formålet de ble innsamlet for.

Det kan etter annet ledd videre være aktuelt å fastsette regler om utlevering og registerføring, samt om tilgangen til registre. Det vil ved utarbeidelse av forskrift ikke være adgang til å innsnevre de rettighetene som følger av personvernforordningen.

Den endelige utformingen av den enkelte forskrift må oppfylle kravene som oppstilles i personvernforordningen.

Til § 4

Bestemmelsen regulerer behandlingsansvarliges tilgang til taushetsbelagte opplysninger i Folkeregisteret.

Folkeregisteret er et sentralt personregister for Norge. For utlevering av opplysninger fra Folkeregisteret skiller folkeregisterloven mellom ikke-taushetsbelagte opplysninger i folkeregisterloven § 10-1, og taushetsbelagte opplysninger i folkeregisterloven § 10-2. Utlevering av taushetsbelagte opplysninger etter folkeregisterloven § 10-2, for eksempel om hvem som er foreldre til et barn, krever særskilt hjemmel i lov.

For gjennomføring av enkelte tiltak på barne-, oppvekst- og familieområdet, vil det være nødvendig å innhente opplysninger fra Folkeregisteret, for eksempel for å få bekreftet taushetsbelagte opplysninger om den enkelte familie, barn eller forelder. Videre vil det i forbindelse med bruk av digitale løsninger tilknyttet tiltak og prosjekter på området kunne være behov for å innhente taushetsbelagte opplysninger fra Folkeregisteret, blant annet for å ta stilling til hvem som har foreldreansvar.

Første ledd gir offentlige myndigheter hjemmel til uten hinder av taushetsplikten å innhente opplysninger fra Folkeregisteret som er nødvendige for å gjennomføre tiltak besluttet av statlige myndigheter på barne-, oppvekst- og familieområdet. Hvilke offentlige organer som skal ha slik tilgang må enten avklares etter særlovgivningen eller i den enkelte forskrift gitt etter § 3.

Annet ledd gir hjemmel til å fastsette nærmere i forskrift hvilke opplysninger som kan innhentes. Utgangspunktet ved deling av opplysninger i Folkeregisteret er at den enkelte bruker (offentlige myndigheter, virksomheter mv.) skal gis tilgang til de opplysninger man rettslig sett har adgang til å få utlevert gjennom en rettighetspakke som inneholder alle taushetsbelagte opplysninger registrert i Folkeregisteret. Årsaken til dette er at brukerne, på annet grunnlag, allerede har adgang til å innhente taushetsbelagte opplysninger fra Folkeregisteret for å kunne utøve oppgaver på andre områder. Den praktiske konsekvens og anvendelse av forskriftshjemmelen vil dermed være å begrense innhentingen for brukere som allerede har tilgang til alle taushetsbelagte opplysninger.

Til § 5

Etter bestemmelsen gjelder loven fra den tid Kongen bestemmer. Kongen kan sette i kraft de enkelte bestemmelsene til forskjellig tid, ettersom det kan være behov for administrativ tilrettelegging før de ulike delene av loven trer i kraft.

10.2 Endringer i annen lovgivning

Til adopsjonsloven § 35

Nytt tredje ledd gir hjemmel for at offentlige myndigheter, uten hinder av taushetsplikten, kan innhente taushetsbelagte opplysninger fra Folkeregisteret når dette er nødvendig for å utføre oppgaver etter adopsjonsloven. Dette gjelder både ved nasjonale og internasjonale adopsjonssaker.

For å tydeliggjøre at bestemmelsen også regulerer innhenting av opplysninger fra Folkeregisteret, er formuleringen mv. inntatt i overskriften til paragrafen.

Til barnelova § 44

Bestemmelsen endres slik at kompetansen til å forvalte reglene om reisekostnader ved samvær, overføres fra statsforvalteren til NAV. Overføringen av forvalteransvaret innebærer at partene får færre instanser å forholde seg til, samtidig som saker om reisekostnader ved samvær og saker om barnebidrag mellom de samme partene, blir vurdert og sett i sammenheng. Det er et mål at dette vil bidra til at sakene blir behandlet på en god, forutsigbar og effektiv måte, noe som igjen kan bidra til å dempe konfliktnivået mellom foreldrene, til barnets beste.

Nytt tredje punktum i første ledd bestemmer at reglene i barnelova § 70 syvende ledd gjelder så langt de passer. Det betyr at NAV i tilfeller der partene ikke framlegger etterspurte opplysninger som er nødvendige for å behandle saken om fordeling av reisekostnader, gis adgang til å innhente de nødvendige opplysningene på tilsvarende måte som i saker om fastsettelse og endring av barnebidrag. Det er et mål at dette vil bidra til mer korrekte vedtak, en mer effektiv saksbehandling og også forebygge eventuell konflikt som følge av ukorrekte vedtak om fordeling av reisekostnader ved samvær.

Annet og tredje ledd endres slik at det framgår av bestemmelsen at det er NAV som har kompetanse til å behandle saker om reisekostnader ved samvær.

Til a-opplysningsloven § 8

Formålet med a-opplysningsloven er å legge til rette for at arbeidsgivere mv. effektivt kan oppfylle sine plikter til å gi opplysninger om enkeltpersoners (inntektsmottakeres) inntekts- og arbeidsforhold og skattetrekkopplysninger, og å gi offentlige etater tilgang til opplysninger som er innrapportert fra arbeidsgiver.

Som følge av at forvaltningen av regelverket om reisekostnader ved samvær flyttes fra statsforvalteren til NAV, endres § 8 første ledd første punktum slik at NAV har tilgang til registeret også i forbindelse med forvaltningen av reglene om reisekostnader ved samvær.

Til lov om Haagkonvensjonen 1996 § 2

Nytt annet ledd gjør det klart at sentralmyndigheten i saker etter Haagkonvensjonen 1996 kan innhente taushetsbelagte opplysninger fra Folkeregisteret når dette er nødvendig for å utføre oppgaver etter loven. Sentralmyndigheten kan for eksempel ha behov for å få opplysninger om en persons bosted fra Folkeregisteret i en sak hvor anmodning fra en utenlandsk myndighet skal formidles til rett barnevernstjeneste i Norge.

Til barnevernsloven § 13-4

Nytt annet punktum i sjette ledd vil gi Bufdir, som er sentralmyndighet for Haagkonvensjonen 1996, myndighet til å innhente opplysninger fra Folkeregisteret også i internasjonale barnevernssaker som ikke reguleres av Haagkonvensjonen. Bufdirs oppgaver som sentralmyndighet er fastsatt av departementet. Også i saker som involverer stater som ikke reguleres av konvensjonen vil Bufdir ha behov for å kunne innhente opplysninger fra Folkeregisteret.

Tilråding

Barne- og familiedepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet mv.

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet mv. i samsvar med et vedlagt forslag.

Forslag
til lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst- og familieområdet mv.

§ 1 Formål

Formålet med denne loven er å sikre en forsvarlig behandling av personopplysninger når det er nødvendig å behandle slike opplysninger for å gjennomføre frivillige tiltak på barne-, oppvekst- og familieområdet besluttet av statlige myndigheter.

§ 2 Geografisk virkeområde

Kongen kan gi forskrift om lovens anvendelse på Svalbard, og kan fastsette særlige regler under hensyn til de stedlige forhold.

§ 3 Forskrifter

Departementet kan gi forskrift om at offentlige organer og private rettssubjekter som utfører oppgaver på vegne av stat, fylkeskommune eller kommune kan behandle personopplysninger når slik behandling er nødvendig for å gjennomføre tiltak på barne-, oppvekst- og familieområdet besluttet av statlige myndigheter. Dette gjelder også behandling av opplysninger som nevnt i personvernforordningen artikkel 9 og 10.

Det kan i forskrift gis regler om behandlingen av opplysningene, blant annet om formålet med behandlingen, behandlingsansvar, hvilke opplysninger som kan behandles, hvem det kan behandles personopplysninger om, tiltak som skal verne den opplysningene gjelder, krav til behandlingen, adgangen til viderebehandling, utlevering, lagring, lagringstid, sletting og registerføring og tilgangen til registre.

§ 4 Tilgang til taushetsbelagte opplysninger fra Folkeregisteret

Offentlige organer kan, uten hinder av taushetsplikt, innhente opplysninger fra Folkeregisteret som er nødvendige for å gjennomføre tiltak besluttet av statlige myndigheter på barne-, oppvekst- og familieområdet.

Departementet kan gi forskrift om hvilke opplysninger som kan innhentes.

§ 5 Ikrafttredelse

Loven gjelder fra den tiden Kongen bestemmer. Kongen kan sette i kraft de enkelte bestemmelsene til forskjellig tid.

§ 6 Endringer i andre lover

Fra den tid loven trer i kraft gjøres følgende endringer i andre lover:

1. I lov 16. juni 2017 nr. 48 om adopsjon (adopsjonsloven) gjøres følgende endring:

§ 35 skal lyde:

§ 35. Forholdet til forvaltningsloven mv.

Forvaltningsloven gjelder ved behandlingen av adopsjonssaker dersom ikke noe annet følger av denne loven.

Enhver som utfører tjeneste eller arbeid for barne-, ungdoms- og familieetaten eller en adopsjonsorganisasjon med tillatelse etter §§ 31 og 32, har taushetsplikt etter forvaltningsloven §§ 13 til 13 e og 13 g. Taushetsplikten omfatter også opplysninger om fødested, fødselsdato, personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted.

Offentlige myndigheter kan, uten hinder av taushetsplikt, innhente opplysninger fra Folkeregisteret når det er nødvendig for å utføre oppgaver etter denne loven.

2. I lov 8. april 1981 nr. 7 om barn og foreldre (barnelova) gjøres følgende endring:

§ 44 skal lyde:

Reisekostnadene ved samvær skal delast mellom foreldra etter storleiken på inntektene deira der foreldra ikkje blir samde om noko anna. Kostnadene som skal delast, er kostnader til barnet si reise, foreldra sine nødvendige kostnader til reise i samband med å hente eller bringe barnet til samværet og samværsforelderen sine kostnader til eiga reise når samværet skjer der barnet bur. Reglane i § 70 sjuande ledd gjeld så langt dei høver.

Dersom særlege grunnar gjer det rimeleg, kan retten fastsetje ei anna fordeling av reisekostnadene. Er foreldra samde om det, kan sak om reisekostnadene i staden gå til Arbeids- og velferdsetaten. Har barnet fylt 15 år, kan sak om reisekostnader gå til Arbeids- og velferdsetaten jamvel om berre ein av foreldra ber om det. Reglane i § 63 gjeld tilsvarande. Arbeids- og velferdsetaten sitt vedtak er tvangsgrunnlag for utlegg.

Når begge foreldra ber om det, kan Arbeids- og velferdsetaten fastsetje at ei skriftleg avtale om deling av reisekostnader skal kunne tvangsfullførast ved utlegg etter tvangsfullbyrdelsesloven kapittel 7.

3. I lov 22. juni 2013 nr. 43 om arbeidsgivers innrapportering av ansettelses- og inntektsforhold m.m. (a-opplysningsloven) gjøres følgende endring:

§ 8 første ledd første punktum skal lyde:

Arbeids- og velferdsetaten skal ha tilgang til opplysningene i registeret i forbindelse med forvaltning og beregning av ytelser etter folketrygdloven og andre lover som etaten administrerer, forvaltning av arbeidstakerregisteret og fastsetting av underholdsbidrag og deling av reisekostnader ved samvær etter barnelova, oppfostringsbidrag etter barnevernloven og bidrag etter ekteskapsloven.

4. I lov 4. september 2015 nr. 85 om gjennomføring av konvensjon 19. oktober 1996 om jurisdiksjon, lovvalg, anerkjennelse, fullbyrdelse og samarbeid vedrørende foreldremyndighet og tiltak for beskyttelse av barn (lov om Haagkonvensjonen 1996) gjøres følgende endring:

§ 2 annet ledd skal lyde:

Sentralmyndigheten kan, uten hinder av taushetsplikt, innhente fra Folkeregisteret de opplysninger som er nødvendige for utførelsen av oppgaver etter denne loven.

Nåværende annet ledd blir nytt tredje ledd.

5. I lov 18. juni 2021 nr. 97 om barnevern (barnevernsloven) gjøres følgende endring:

§ 13-4 sjette ledd skal lyde:

Myndigheter med ansvar etter denne loven kan uten hinder av taushetsplikt innhente opplysninger fra Folkeregisteret når det er nødvendig for å utføre oppgaver etter denne loven. Sentralmyndigheten for Haagkonvensjonen 1996 kan, uten hinder av taushetsplikt, innhente opplysninger fra Folkeregisteret når det er nødvendig å innhente opplysninger for å motta og formidle henvendelser til og fra utenlandske myndigheter i barnevernssaker som ikke reguleres av Haagkonvensjonen av 1996.