Uttalelse om forslaget til regler om arbeidsgivers adgang til ansattes e-post mv
Fra professor dr. juris Dag Wiese Schartum, Oslo

Innledning
Invitasjonen til Universitetet i Oslo om å avgi høringsuttalelse i denne saken har ikke kommet til min enhet (Avdeling for forvaltningsinformatikk).  Jeg mener imidlertid det er enkelte forhold ved forslaget som ikke bør stå ukommentert, og vil derfor gi uttrykk for enkelte personlige synspunkter som jeg mener er viktig ved sluttbehandlingen av denne saken, og som jeg ikke er sikker på at de inviterte høringsinstansene vil ta opp.  Forholdene jeg her vil problematisere dekker ikke alle mine kritiske synspunkter på forslaget, men er strengt begrenset til i) viktige lovtekniske og "reguleringsstrategiske" forhold og ii) et forslag til å gjøre forskriften helt eller delvis fravikelig.

Særlig om forholdet mellom "arbeidsgiver" og "behandlingsansvarlig"
Forslaget introduserer rollene "arbeidsgiver" og "arbeidstaker" i personopplysningsforskriften.  Disse aktørene/rollene finnes ikke i gjeldende personopplysningslov eller forskrift.  Utkastet synes å forutsette at "arbeidsgiver" er det samme som "behandlingsansvarlig", og "arbeidstaker" det samme som "registrert".  Jeg vil spørre om en slik forutsetning er holdbar.

Arbeidstaker og arbeidsgiver er definert i arbeidsmiljøloven § 1-8.  Siden det er foreslått å ta inn en bestemmelse i aml § 9-3 med henvisning til forskriftsreguleringen i personopplysningsforskriften, er det nødvendig at begrepene i personopplysningsforskriften er i overensstemmelse med disse definisjonene.

Etter definisjonen er arbeidsgiver "enhver som har ansatt arbeidstaker for å utføre arbeid i sin tjeneste", og arbeidstaker "enhver som utfører arbeid i annens tjeneste".  Til sammenligning er "behandlingsansvarlig" etter personopplysningsloven "den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes" (pol § 2 nr 4) og "registrert" er "den som en personopplysning kan knyttes til" (pol § 2 nr 6).  Etter min mening er det åpenbare problemer knyttet til bruken av begrepet "arbeidsgiver" i forskriftsutkastet i stedet for "behandlingsansvarlig".  Det andre begrepsparet er mindre problematisk, og jeg vil derfor – helt kortfattet – kun gå nærmere inn på spørsmål knyttet til begrepet behandlingsansvarlig.

Tvilen gjelder særlig i forhold til vertikal og horisontal avgrensing av behandlingsansvar (jf for eksempel spørsmål om delt behandlingsansvar og hierarkisk plassering av behandlingsansvaret).  Jeg antar det også vil være problemer i tilfelle av innleie av arbeidstakere (jf aml §§ 14-12 og 14-13), dvs der arbeidsgiver har satt arbeidstakeren inn under en annen arbeidsgivers ledelse, og slik at denne andre blir behandlingsansvarlig for opplysninger om innleide personer.  Forskriften kan etter min mening ikke vedtas uten at forholdet mellom disse begrepene er nærmere avklart.

Førsteamanuensis Lee A Bygrave og undertegnede utførte i 2006 en utredning for Justisdepartementet og (daværende) Moderniseringsdepartementet.  I mandatet ble vi bl.a. bedt om å utrede begrepet behandlingsansvarlig.  Årsaken var at begrepet er vanskelig å avgrense.  Spørsmålet om avgrensing av behandlingsansvaret kommer opp i tilknytning til Justisdepartementets samlede gjennomgang av personopplysningsloven.  Ved å introdusere "arbeidsgiver" som en ny aktør (i tilfellet denne ikke alltid er behandlingsansvarlig) eller som en ny rolle som behandlingsansvarlig kan ha (i tilfelle det er identitet mellom de to begrepene), introduserer man samtidig en ny og kompliserende faktor i denne begrepsavklaringen.

I forhold til elever/studenter og skole (institusjon v/rektor e.l.), oppstår lignende spørsmål som i forhold til arbeidsgiver – arbeidstaker.  På skoler er det sjelden skolen som er behandlingsansvarlig (men vedkommende kommune).  Det er derfor ikke uten videre mulig å sette likhetstegn mellom "behandlingsansvarlig" og "læresteder" slik det tilsynelatende er gjort i forskriftsutkastets § 9-3 tredje ledd.  Dessuten er heller ikke de spesielle spørsmålene drøftet som oppstår i tilknytning til det faktum at elever ofte er mindreårige, helt ned til seks år.  Uten nærmere diskusjoner og avklaringer i eller i tilknytning til forskriften, gir anvendelse av bestemmelsene "så langt de passer" en alt for usikker rettsanvendelse.

Jeg mener det er svært uheldig å vedta forskriftsutkastet uten å ha diskutert forholdet mellom de omtalte begrepene og løst de fortolkningsspørsmål som oppstår, særlig i tilknytning til "arbeidsgiver" og "elever og studenter".  Forskriftsutkastet inneholder dessverre eksempel på regler som skaper betydelig uklarhet og usikkerhet.  Dette vil skape unødvendige problemer for rettsanvendelsen, og vil trolig gi ytterligere grunn til å rydde opp i bestemmelsene om personopplysningsvern (jf prosessen med etterkontroll).

Særlig om henvisninger fra særlovgivning til reglene i personopplysningsloven
og -forskriften
Bestemmelsene i kapittel 9 i personopplysningsforskriften er ment også å gjelde elever og studenter samt frivillige og tillitsvalgte i foreninger og organisasjoner "så langt de passer" (§ 9-1, 3. ledd).  Elevers og studenterts forhold er regulert i henhold til opplæringslova og lov om universiteter og høgskoler.  Jeg mener det er svært uheldig at så viktige bestemmelser som det her er tale om er bortgjemt og ikke direkte knyttet til denne særlovgivningen.  Det bør vedtas lovbestemmelser i nevnte særlover på samme måte som det er foreslått for aml § 9-3.

Aml § 9-3 gir henvisning til "personopplysningsloven eller forskrifter gitt i medhold av denne."  Etter min mening er dette alt for vag henvisning til et stort og vanskelig regelverk.  Arbeidsmiljøloven bør vise direkte til personopplysningsforskriftens kapittel 9, og i § 9-1 bør det tas inn bestemmelser som viser til loven, slik at lovens betydning for forståelsen av forskriften fremgår (f.eks. ved hjelp av en "regibestemmelse").

Spørsmål om regelstruktur og om å gjøre forskriften helt eller delvis fravikelig
Jeg savner en bredere prinsipiell drøftelse vedrørende plasseringen av regler om personvern for spesielle persongrupper.  Etter hvert vil det trolig være (og er) et ikke ubetydelig behov for flere og mer konkrete regler vedrørende ivaretagelse av personvern. Jeg er imidlertid sterkt tvilende til om det er ønskelig å legge alle slike bestemmelser inn under personopplysningsloven med forskrift.  Jeg viser i denne sammenheng til diskusjonen i Bygraves og min rapport vedrørende etterkontroll av personopplysningsloven, s 156 flg. (avsnitt 12.3).

Med den generelle og vide regulering av spørsmålet om innsyn i ansattes epost mv som departementet foreslår mener jeg det er stor risiko for at vedtakelse av forskriften vil gi negative utilsiktede virkninger.  Arbeidsliv, undervisningssektoren og foreningslivet er så mangeartet at departementet umulig kan ha oversikt over hvilke konkrete virkninger reglene vil gi.  Jeg antar for eksempel at det kan være uakseptabelt å følge bestemmelsene i forskriften innen sikkerhetskritisk virksomhet.  Dersom det er mulighet for at det ligger informasjon i en helseansatts epost som er relevant for akutt medisinsk behandling av en pasient, antar jeg for eksempel at denne må kunne åpnes uten hindring.  Det er grunn til å tro at tilsvarende situasjoner vil kunne oppstå innen politi og redningstjenesten, energiforsyning, fly- og togsikringstjeneste mv.  Innen disse og flere andre sektorer vil det med andre ord kunne være uforsvarlig å ikke ha mulighet for "blålys-funksjon", der deler av forskriften (slik den nå står) blir satt til side.

Departementet kan vanskelig gjøre en generell og forsvarlig vurdering av de særlige behov som eksisterer for avvikende ordninger.  Det er derfor grunn til å vurdere om ikke forskriften skal gjøres fravikelig under forutsetning av at bestemte vilkår er oppfylt.  Det finnes selvsagt flere muligheter for å realisere en slik tilnærming.  En mulighet er å angi hvilke konkrete bestemmelser som kan fravikes ved avtale, og i siste instans er det mulig å gjøre hele forskriften fravikelig.  Avtalte regler vil både kunne supplere og erstatte reglene i forskriften.  Der det for eksempel er arbeidsinnleie av noe omfang, vil partene på vedkommende arbeidssted kunne ta stilling til om forskriften også skal gjelde for behandlingsansvarliges behandling av opplysninger om innleid personale.

Vilkåret for å gjøre forskriften helt eller delvis fravikelig må være at fraviket skjer ved avtale, og ikke ved instruks fra arbeidsgiver.  Et viktig poeng er altså at det ikke bare bør "drøftes" som i § 9-8, men forhandles.  Det betyr at det skal oppnås enighet mellom partene i form av en avtale.  Kravet til enighet vil etter min mening på tilstrekkelig måte sikre at ansattes og studenters mv interesser blir tilstrekkelig ivaretatt.  Den fremforhandlede ordningen må ha en begrenset varighet, for eksempel slik at den gjelder for fire år ad gangen.  Dersom en ikke oppnår ny enighet etter utløpet av en avtaleperiode, vil forskriften (som den nå står) gjelde fullt ut.

En ordning der forskriften helt eller delvis gjøres fravikelig, vil kun innebære at det blir innledet forhandlinger i de tilfelle der både arbeidsgiver og arbeidstaker mener at departementets forskrift ikke gir akseptable resultater.  Dersom de som skal vernes (arbeidstakere) ønsker et annet vern enn det departementets forskrift gir, er det etter min mening uansett grunn til å søke alternative løsninger.

Innen arbeidslivet har vi en sterk tradisjon med et tosporet system, der tariffavtaler mv utfyller lovreguleringen på mange og viktige måter.  En ordning med fravikelige forskriftsbestemmelser vil passe godt inn i en slik tradisjon.

Den skisserte løsningen vil ikke minst være gunstig fordi det flytter ansvaret for personvern ned til organisasjonene i arbeidsliv og skole mv, og innebærer en aktivisering av arbeidsplass- og skoledemokratiet i en sak av stor betydning for ansatte og elever.  Slik sett kan det føre til en vitalisering av debatten og bevisstheten om personvern.