NOU 2022: 11 – Ditt personvern – vårt felles ansvar¶

Beskrivelse, ikke analyse

Kortet beskriver dokumentet. Tolkning og analyse er Rebekkas arbeid i neste fase.

Lesestatus

Kapittel 1–3 og 6 er lest grundig. Kapittel 4–5 og 7–14 er bare beskrevet ut fra sammendraget i kapittel 1. Påstander om disse kapitlene viser derfor til s. 12–17.

Dokumenttype og sjanger¶

En norsk offentlig utredning (NOU) fra en kommisjon oppnevnt ved kongelig resolusjon 23. juni 2020, avgitt til Kommunal- og distriktsdepartementet 26. september 2022 (tittelblad; s. 18) [U].
Undertittelen er «Tid for en personvernpolitikk» (tittelblad) [U].
En NOU er et utredningsdokument som vanligvis sendes på høring før regjeringen eventuelt følger opp [T – generell kunnskap om sjangeren, ikke fra dokumentet].

Avsender, oppdrag og tilblivelse¶

Personvernkommisjonen skulle «vurdere personvernets stilling i Norge» (oversendelsesbrev; s. 18) [U].
Mandatet viser til Granavolden-plattformen og til Stortingets anmodningsvedtak 588 (2017–2018) om barns personvern (s. 18) [U].
Mandatet ber kommisjonen blant annet kartlegge offentlig sektors behandling av personopplysninger til andre formål enn innsamlingsformålet, personvern i justissektoren, forbrukernes muligheter og barn og unges personvern (s. 21) [U].
Mandatet beskriver også gevinstene ved bruk av personopplysninger: offentlige og private virksomheter kan bli mer effektive og yte bedre tjenester (s. 18–19) [U].
Leder: John Arne Moen; nestleder: Ingvild Næss; i alt 14 medlemmer fra næringsliv, forvaltning og akademia; sekretariatet lå i KDD (s. 22–23) [U].
Kommisjonen avsluttet arbeidet 18. juli 2022, og utredningen er ikke oppdatert med endringer etter denne datoen (s. 23) [U].
Kommisjonen hadde 18 plenumsmøter, tre innspillsseminarer og bestilte seks eksterne utredninger (s. 23–25) [U].
Kommisjonen står samlet bak alt unntatt én anbefaling om å utrede et generelt forbud mot atferdsbasert reklame, der den delte seg i flertall og mindretall (s. 12, 16) [U].

Struktur¶

Kap. 1 Innledning og sammendrag (s. 9–17)
Kap. 2 Mandat, sammensetning og arbeid (s. 18–25)
Del I: Kap. 3 Hva er personvern og hvorfor er det viktig? (s. 29–33); Kap. 4 Rettslig regulering (s. 34–44); Kap. 5 Det teknologiske landskapet (s. 45–55)
Del II: Kap. 6 Personvern i den digitale forvaltningen (s. 59–85); Kap. 7 Justissektoren (s. 86–117); Kap. 8 Skolen og barnehagen (s. 118–146); Kap. 9 Forbrukernes personvern (s. 147–182)
Del III: Kap. 10 Regelkompleksitet og nasjonalt handlingsrom (s. 185–193); Kap. 11 Teknologi i personvernets tjeneste (s. 194–201); Kap. 12 Åpenhet (s. 202–208); Kap. 13 Veiledning, tilsyn og klage (s. 209–226); Kap. 14 Økonomiske og administrative konsekvenser (s. 227–230)
Referanser (s. 231 ff.)

Hvordan personvern og private data defineres og rammes inn¶

Personvern defineres med utgangspunkt i det enkelte menneskets ukrenkelighet, integritet og privatlivets fred; det er nært knyttet til privatliv, selvbestemmelse og selvutfoldelse (s. 29) [U].
Kommisjonen legger Schartums forståelse til grunn: personvern som vern av private sfærer (psykisk, kroppslig, geografisk, kommunikasjon og en «opplysningssfære») (s. 29) [U].
Kommisjonen skiller mellom personvern og personopplysningsvern, men bruker «personvern» om begge (s. 30) [U].
Kontekstuelt personvern: interessen i å bestemme over opplysninger om seg selv består selv etter at de er delt (s. 30) [U].
Personvern beskrives både som en individuell rettighet og et kollektivt samfunnsgode (s. 9–10, 31) [U].
Kommisjonen sammenligner det med miljø- og klimadebatten og «allmenningens tragedie»: mange små individuelle valg kan gi store samfunnsskader (s. 32) [U].
Personvern er en forutsetning for ytringsfrihet, demokrati og rettssikkerhet (s. 9, 31) [U].
Kommisjonen innfører begrepet viderebehandling om bruk av personopplysninger til et annet formål enn innsamlingsformålet (s. 22, 59) [U].
Offentlig forvaltning behandler personopplysninger om alle innbyggerne «fra de er født inntil de dør», ofte med fødselsnummer som identifikator (s. 59) [U].
Retten til personvern setter skranker for myndighetenes kontroll og overvåking; kommisjonen nevner uttrykkene «kontrollsamfunnet» og «overvåkningssamfunnet» (s. 30) [U].
Omfattende overvåking kan gi en panoptikon-effekt og nedkjølingseffekter, med Benthams panoptikon og Snowden-avsløringene som eksempler (s. 32–33) [U]. Ordet «nedkjølingseffekt» går igjen i flere kapitler (blant annet s. 14, 81, 101, 119, 203) [U].
Personvern beskrives som «et felles ansvar» (s. 11) [U].
Tillit til offentlige myndigheter beskrives som en forutsetning for et velfungerende demokrati; kommisjonen viser til at OECD i 2021 målte norske borgeres tillit til myndighetene til 77 % (s. 61) [U]. Viderebehandling i strid med innbyggernes forventninger kan oppleves som et tillitsbrudd (s. 62) [U].
En nasjonal personvernpolitikk må innebære grundige risikovurderinger, også ved utforming av regelverk og tjenester (s. 11) [U], og forutsetter åpenhet om behandling av personopplysninger (s. 12) [U].

Problemer dokumentet beskriver¶

Digitaliseringen skjer på bekostning av personvernet (s. 9) [U].
Personvern behandles ofte som et ekspertfelt, og folk forbinder det med samtykkeforespørsler og pekefingre (s. 9) [U].
Ingen offentlig virksomhet har overordnet ansvar for å vurdere den samlede bruken av personopplysninger i forvaltningen; vurderinger gjøres i siloer (s. 11, 71–72) [U].
Digitaliseringsstrategien sier at personvern skal være innebygd, men sier lite om hvordan; personvernhensyn har fått for liten plass (s. 61) [U].
«Kun én gang»-prinsippet og sammenhengende tjenester skaper en forventning om viderebehandling (s. 60) [U].
Forholdet mellom den registrerte og myndighetene er preget av en asymmetrisk maktbalanse, fordi offentlig behandling bygger på lov og ikke samtykke (s. 61) [U].
For mange tiltak forskriftsfestes i stedet for å hjemles i lov, slik at Stortinget mister oversikt (s. 72) [U].
Personvernkonsekvenser vurderes for dårlig i lovarbeid; forvaltningsloven § 13g brukes som eksempel (s. 73–75) [U].
Profilering og maskinlæring, med eksempler fra NAV, Skatteetaten, Danmark og barnetrygdskandalen i Nederland (s. 64–68) [U].
Offentlige virksomheters bruk av store teknologiselskaper, for eksempel Facebook (s. 81–82) [U].
Fra sammendraget: overvåkningstrykk i justissektoren, kommersiell utnyttelse av elevers opplysninger og forbrukernes svært begrensede muligheter (s. 14–16) [U].

Løsninger og tiltak som foreslås¶

En nasjonal personvernpolitikk som omfatter offentlig og privat sektor, med ti overordnede hensyn (s. 11–12) [U].
En årlig personvernpolitisk redegjørelse for Stortinget (s. 11, 73) [U].
Et rådgivende og frittstående organ for prinsipielle og etiske spørsmål om bruk av personopplysninger i forvaltningen, etter modell av det danske Dataetisk råd (s. 73) [U].
Tiltak med stor innvirkning på personvernet skal hjemles i lov, ikke forskrift (s. 84) [U].
Vurderinger av personvernkonsekvenser i lovarbeid skal offentliggjøres, og det skal lages en ny veileder (s. 84) [U].
Profilering for å avdekke ulovligheter skal alltid ses som inngripende og krever solid lovhjemmel; føre-var-prinsippet skal brukes (s. 81, 85) [U].
Utrede en samtykkebasert gjennomføring av «kun én gang»-prinsippet (s. 85) [U].
Ansvarsfordelingen bør i større grad lov- eller forskriftsfestes der deling av personopplysninger er del av et større samarbeid mellom forvaltningsorganer (s. 14, 85) [U].
Fra sammendraget: åpenhet er en grunnforutsetning for demokratisk deltakelse, personvern og rettssikkerhet, og resultater av automatiserte prosesser med direkte betydning for innbyggerne må kunne forklares (s. 17) [U].
Fra sammendraget: forbud mot biometrisk fjernidentifikasjon i det offentlige rom, forbud mot atferdsbasert markedsføring mot barn, et utvalg om politiets metodebruk, et nasjonalt kompetanse- og testmiljø for skolen, en rettighetsplattform for innbyggerne, at Oljefondet bruker investormakten sin, og mer ressurser til Datatilsynet (s. 13–17) [U].

Aktører som nevnes¶

Aktør	Rolle i dokumentet	Side
Kommunal- og distriktsdepartementet	Mottaker av utredningen; sekretariat; ansvar for digitaliseringspolitikken	tittelblad, 23, 60
Regjeringen	Skal utforme en nasjonal personvernpolitikk	11, 73
Stortinget	Bør få større innflytelse og en årlig redegjørelse	11, 72
Datatilsynet	Tilsyn og veileder; bør styrkes	12, 17
Digitaliseringsdirektoratet	Ressurssenter for deling av data; vurderte Facebook annerledes enn Datatilsynet	61, 82
NAV, Skatteetaten, Lånekassen, Husbanken, UDI	Eksempler på automatisering, profilering og deling	63, 66–67, 77
Politiet / justissektoren	Behandling av personopplysninger i kriminalitetsbekjempelse	14, 86 ff.
Kommuner, skoler og barnehager	Mangler kompetanse og ressurser	15
Store teknologiselskaper	Dominerende aktører; brukes av offentlige virksomheter	15–16, 81–82
Barn og unge	Sårbar gruppe; intervjuet for utredningen	11, 22
EU	Setter rammer; norske myndigheter bør påvirke	11–12, 60

Dokumentkjede¶

Bygger på NOU 2009: 1 Individ og integritet fra den forrige personvernkommisjonen (s. 29) [U].
Granavolden-plattformen og anmodningsvedtak 588 (2017–2018) (s. 18) [U].
Grunnloven § 102 (tatt inn i 2014) og § 113, EMK artikkel 8, personvernforordningen (GDPR) og personopplysningsloven (s. 18, 29, 68) [U].
Digitaliseringsstrategien for offentlig sektor 2019–2025, Nasjonal strategi for kunstig intelligens, Meld. St. 22 (2020–2021) Data som ressurs og Digitaliseringsrundskrivet (s. 60) [U].
Meld. St. 25 (2018–2019) Framtidas forbrukar, Datatilsynets Det store datakappløpet (2015) og Forbrukerrådets Out of control (2020) (s. 19–20) [U].
Prop. 166 L (2020–2021) om forvaltningsloven § 13g og Utredningsinstruksen (s. 73–75) [U].
OECD (2022) Drivers of Trust in Public Institutions in Norway (s. 61, note 14) [U].
Mona Naomi Lintvedts utredning om lovhjemmel for kontrollopplysninger og profilering (digitalt vedlegg) (s. 25, 80–81) [U].
Arbeidet ble avgrenset mot Ytringsfrihetskommisjonen, Ekspertgruppen for digital læringsanalyse og Medieskadelighetsutvalget (s. 21) [U].

Nøkkelsitater¶

“Samtidig ser Personvernkommisjonen en gjennomgående tendens til at digitaliseringen skjer på bekostning av personvernet.” (s. 9)

“Personvern er med andre ord en forutsetning for et åpent samfunn og et velfungerende demokrati.” (s. 9)

“Dermed er personvern også en kollektiv og solidarisk verdi.” (s. 10)

“Et sterkt personvern er derfor både et individuelt gode og et kollektivt samfunnsgode.” (s. 31)

“Etter Personvernkommisjonens vurdering har personvernhensyn fått for liten plass i digitaliseringen av offentlig sektor.” (s. 61)

“Forholdet mellom den registrerte og myndighetene, bærer preg av en asymmetrisk maktbalanse.” (s. 61)

“I personvernperspektiv kan vi si at personopplysninger blir brukt som «råstoff» for å produsere nye personopplysninger.” (s. 63)

“At det er lov å dele og viderebehandle personopplysninger betyr ikke nødvendigvis at det skal eller bør gjøres.” (s. 72)

Observasjoner som kan være verdt å undersøke¶

Mandatet beskriver personopplysninger både som noe som skal vernes og som et «unikt potensial for analyse og tjenesteutvikling» (s. 18). Hvordan holdes disse to sammen i resten av dokumentet? [T]
Personvern rammes inn som et samfunnsgode og sammenlignes med klima og allmenningen (s. 32). Hvilke konsekvenser får den rammen for hvem som får ansvar? [T]
Kommisjonen ber om en personvernpolitikk som skal «balansere» digitaliseringspolitikken (s. 73). Hvordan beskrives forholdet mellom de to politikkfeltene? [T]
Tillit dukker opp mange steder (s. 9, 61–62, 72). Hvilken rolle spiller tillit i begrunnelsene? [T]
Hvem gis ansvaret for personvernet: den enkelte, staten, Datatilsynet, kommunene eller selskapene? [T]
Er OECD-rapporten i note 14 (s. 61) den samme som oecd2022trust i kildelisten? Det må sjekkes når PDF-en finnes [T].

Åpne spørsmål til Rebekka¶

Hvilke kapitler i NOU-en er viktigst for problemstillingen din? Skal kapittel 7 (justis) og 9 (forbrukere) leses grundig?
Vil du følge dokumentkjeden videre, for eksempel til høringsuttalelsene eller regjeringens oppfølging?
Bruker du NOU 2009: 1 som sammenligningsgrunnlag?
Hvordan skal ordene «personvern» og «privacy» oversettes i oppgaven, gitt skillet NOU-en gjør mellom personvern og personopplysningsvern (s. 30)?