Beslutningsdokument: Bruk av kontaktfelt i FS for UiO
1. Innledning
I styringsdokument for arbeid med samfunnssikkerhet og beredskap i kunnskapssektoren av 31. januar 2011 p?legger Kunnskapsdepartementet alle institusjoner i sektoren ? ha egne beredskapsplaner og interne rutiner ved endret risikobilde. Styringsdokumentet omtaler ikke konkrete tiltak eller eksempler p? interne rutiner, men viser istedenfor til en veileder utarbeidet for alle virksomheter i kunnskapssektoren av Nasjonal sikkerhetsmyndighet (NSM) i 亚博娱乐官网_亚博pt手机客户端登录 med Politidirektoratet og Politiets sikkerhetstjeneste. Veilederen gir konkrete eksempler p? interne rutiner, bl.a. "interne og eksterne kontakt- og varslingslister". P? bakgrunn av dette har flere institusjoner i sektoren ?nsket at det skulle bli etablert et felt for registrering av kontaktperson for studenter i FS .
I FS er det laget et felt hvor kontaktinformasjon til p?r?rende kan registreres. I dette feltet er det opp til studenten selv ? bestemme hvem som skal registreres. Det enkelte l?rested skal ikke sjekke kvaliteten p? informasjonen – v?re seg typen relasjon den indikerer eller om den registrerte kontaktperson faktisk er en ekte person.
Da utvikling av kontaktpersonfeltet i FS ble vedtatt var det under en klar forutsetning om at informasjon registrert her kun skulle overleveres politiet dersom studenten enten ikke var mulig ? komme i kontakt med, fordi han var savnet eller s? syk at han ikke kunne gj?re rede for seg selv, eller var d?d.
Kontaktpersonfeltet i FS kan kun aktiveres for bruk for hele institusjonen og ikke kun for enkelte fakultet eller fag/kurs.
2. Begrunnelse
Personopplysningslovens regler kommer til anvendelse p? de personopplysninger som registreres i kontaktpersonfeltet. For at UiO skal kunne ta i bruk kontaktpersonfeltet i FS m? vi ha stadfestet at det foreligger et rettslig grunnlag – behandlingsgrunnlag– for disse opplysningene.
Etter en n?ye vurdering kan vi ikke se at det foreligger et behandlingsgrunnlag for registrering av kontaktpersoner til samtlige av UiOs studenter i FS, se vedlagt vurdering. Kontaktpersonfeltet i FS kan p? bakgrunn av dette ikke tas i bruk for UiO.
3. Forslag til beslutning:
Det besluttes at UiO ikke tar i bruk feltet i FS for registrering av kontaktperson for studenter.
Vedlegg til beslutningsdokument kontaktfelt FS
1. Bakgrunn
I styringsdokument for arbeid med samfunnssikkerhet og beredskap i kunnskapssektoren av 31. januar 2011 p?legger Kunnskapsdepartementet alle institusjoner i sektoren ? ha egne beredskapsplaner og interne rutiner ved endret risikobilde. Styringsdokumentet omtaler ikke konkrete tiltak eller eksempler p? interne rutiner, men viser istedenfor til en veileder utarbeidet for alle virksomheter i kunnskapssektoren av Nasjonal sikkerhetsmyndighet (NSM) i 亚博娱乐官网_亚博pt手机客户端登录 med Politidirektoratet og Politiets sikkerhetstjeneste. Veilederen gir konkrete eksempler p? interne rutiner, bl.a. "interne og eksterne kontakt- og varslingslister". P? bakgrunn av dette har flere institusjoner i sektoren ?nsket at det skulle bli etablert et felt for registrering av kontaktperson for studenter i FS.
Det er frivillig for studenten ? registrere kontaktinformasjon p? en kontaktperson, og det enkelte l?rested skal ikke sjekke kvaliteten p? informasjonen – v?re seg typen relasjon den indikerer eller om den registrerte kontaktperson faktisk er en ekte person.
Da kontaktpersonfeltet i FS ble utviklet var det under en klar forutsetning om at informasjon registrert her kun skulle overleveres politiet, og kun dersom studenten enten ikke var mulig ? komme i kontakt med, fordi han var savnet eller s? syk at han ikke kunne gj?re rede for seg selv, eller var d?d.
Politiet har klare rutiner for hvordan de finner og varsler p?r?rende [1]. I f?lge dem vil et slikt register, som kontaktpersonoversikten i FS, trolig kun v?re til hjelp i helt s?rlige tilfeller eksempelvis n?r studenten ikke er f?dt og oppvokst i Norge, eller av andre grunner ikke har n?re p?r?rende her i landet.
2. Juridisk vurdering
(i) Forutsetninger for en juridisk vurdering av UiOs bruk av kontaktfelt i FS:
- Den informasjonen som registreres i kontaktpersonfeltet skal kun anvendes n?r studenten er akutt alvorlig syk eller har v?rt utsatt for en ulykke slik at vedkommende ikke kan gj?re rede for seg, studenten er savnet eller er d?d. Informasjonen skal under ingen omstendigheter anvendes av l?restedet selv, men kun gis til politiet som s? vil benytte den ihht. til sine instrukser.
- Det skal v?re frivillig for studenten ? oppgi en kontaktperson.
- Kontaktfeltet kan kun aktiveres for hele institusjonen og ikke alene for s?rlige fakultet eller emner/kurs.
(ii) Juridisk problemstilling til avklaring
Behandlingsgrunnlag
Det er en forutsetning for ? kunne etablere et register over kontaktpersoner knyttet til studenter at UiO har en rett til ? behandle disse opplysningene, dvs. at det foreligger et behandlingsgrunnlag.
Behandlinger av personopplysninger reguleres av bestemmelsene i personopplysningsloven. Personopplysninger er alle opplysninger og vurderinger som kan knyttes til en enkeltperson, for eksempel navn, adresse, telefonnummer og epostadresse. Behandling av personopplysninger er enhver bruk av personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksm?ter.
Personopplysningsloven kommer jf. bestemmelsen i § 3, 1 ledd bokstav a) til anvendelse p? personopplysninger som helt eller delvis behandles elektronisk. Heri ligger ingen forutsetning om at opplysningene behandles p? en bestemt m?te, og personopplysningsloven vil med det komme til anvendelse p? en oversikt over kontaktpersoner i FS.
Hovedprinsippet i norsk rett er at behandling av personopplysninger skal v?re basert p? et frivillig, uttrykkelig og informert samtykke. I mange tilfeller m? imidlertid offentlige myndigheter behandle opplysninger om enkeltpersoner enten du vil eller ikke, for eksempel ved ileggelse av skatt og utbetaling av trygd. Dersom det behandles personopplysninger uten at det baseres p? samtykke m? det foreligge et annet rettslig grunnlag. Personopplys?ninger skal heller ikke utleveres til andre uten at det foreligger samtykke eller et annet rettslig grunnlag for utlevering.
Personopplysninger skal bare samles inn for bestemte form?l, og form?lene for den videre behandling av opplysningene kan ikke v?re uforenlige med de form?l opplysningene opprinnelig ble samlet inn for. Innledningsvis angis form?let med innsamling av kontaktpersoninformasjon, nemlig ? kunne gi denne til politiet i s?rlige tilfeller.
Hva er korrekt behandlingsgrunnlag for kontaktinformasjon registrert i FS
Det f?lger av bestemmelsen i personopplysningsloven § 8 at man som en hovedregel kun kan behandle en personopplysning dersom man har mottatt samtykke fra den registrerte selv. Den registrerte i denne sammenheng er den som er oppgitt/registrert som kontaktperson, og ikke studenten.
I en utredning fra Politih?gskolen som var en del av beslutningsgrunnlaget for FS-styrets vedtak om utvikling av kontaktpersonfeltet ble det hevdet, at den som skal avgi samtykke i denne sammenheng kun er studenten. Imidlertid er ordlyden i personopplysningsloven § 8 ?den registrerte?, og vi mener at det i denne sammenheng viser til to adskilte forhold; den registrerte er b?de studenten selv og den denne oppgir som kontaktperson. Denne tolkningen har Datatilsynet bekreftet [2] som riktig. Dersom UiO skal benytte samtykke som behandlingsgrunnlag for registreringen som blir gjort i kontaktpersonfeltet, m? vi innhente samtykke fra den registrerte kontaktperson for ? kunne lagre dennes informasjon. Dette f?lger av bestemmelsen i personopplysningsloven § 20.
For institusjoner med et mindre antall studenter vil det v?re overkommelig ? basere behandlingen p? samtykke etter hovedreglene i personopplysningsloven § 8 ved at det etableres en praksis hvor det sendes ut brev til de personene som blir registrert som kontaktperson hvor man ber dem bekrefte/akseptere registreringen. Dersom man ikke mottar en slik bekreftelse innen en n?rmere angitt frist m? registreringen slettes. For UiO kan vi risikere at det hvert semester m? sendes ut 30.000 brev til registrerte kontaktpersoner hvor vi ber om samtykke. Dette m? s? f?lges opp i registeret ved at de registrerte som ikke har gitt samtykke slettes. I tillegg kan den enkelte student til en hver tid endre sin kontaktperson, og UiO m? ha l?sninger p? plass til ? fange opp ogs? disse endringene. Det synes helt klart at dette vil bli for ressurskrevende [3] for UiO ? gjennomf?re, og at vi med det ikke kan basere oss p? samtykke fra den enkelte registrerte kontaktperson som behandlingsgrunnlag.
Delkonklusjon: For UiO vil det v?re b?de ressurskrevende og kostbart ? innhente samtykke fra alle som registreres i kontaktfeltet i FS, jf. personopplysningsloven § 8, f?rste ledd, tatt i betraktning at disse opplysningene kun skal anvendes i helt s?rlige tilfeller (se forutsetningen for vurderingen.).
Det konkluderes derfor med at samtykke ikke vil v?re anvendelig som behandlingsgrunnlag.
UiO m? etter dette vurdere om behandlingsgrunnlaget kan baseres p? hjemmel i lov. Den relevante bestemmelsen ? vurdere er unntaket i personopplysningsloven §8, f?rste ledd, bokstav f: ”at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen” kan anvendes.
Temaet i en slik vurdering vil i dette tilfelle v?re: 1) ? identifisere den berettigede interessen som her vil v?re at studentens n?rmeste raskere skal kunne kontaktes 2) ? vurdere om vi ved bruk av et slikt register vil oppn? dette bedre enn ved bruk av allerede tilgjengelig informasjon. Dersom svaret p? vurdering 2) er positivt m? man til slutt 3) vurdere om hensynet til den registrerte – den oppgitte kontaktpersonen i det konkrete tilfelle – ikke overstiger den berettigede interessen iht. 1).
I denne vurderingen har vi blant annet lagt vekt p? f?lgende momenter:
P? den ene siden:
- Risikoen for at en ulykke eller hendelse skjer som f?rer til at man m? overf?re opplysninger til politiet vil v?re st?rre for en student ved de enheter som for eksempel er ute i feltarbeid, har laboratoriearbeid hvor det h?ndteres farlig materiale og lignende eller som h?ndterer utagerende pasienter som en del av studiet, enn de enheter som kun har ordin?r undervisning. Dette vil v?re gyldige argument for f? studenter p? f? emner.
- For noen enheter og s?rskilte emner vil det enten hele tiden eller i noen semester foreligge en berettiget interesse for et slikt kontaktfelt. Imidlertid vil dette kun gjelde noen f? enheter og emner, og ikke generelt for alle studentene ved UiO.
P? den andre siden:
- Det foreligger en s? liten sannsynlighet for at det vil tilst?te den generelle student ved UiO, p? UiO, noe som f?rer til at de ikke kan gj?re rede for seg.
- Kontaktregisteret vil v?re underlagt andre lover enn personopplysningsloven, slik som for eksempel offentleglova med de utfordringer det medf?rer [4].
- Politiet har allerede klare rutiner, inkludert n?dvendige tilganger til folkeregisteret m.m, for hvordan de finner og varsler p?r?rende n?r noe har tilst?tt en person. Informasjonen registrert i kontaktpersonfeltet vil derfor kun i begrenset grad v?re til hjelp for ? identifisere en persons n?rmeste.
For noen enheter kan man konkludere med at det foreligger en berettiget interesse [5] iht. 1), og i noen tilfeller vil det v?re sannsynlig at et slikt register vil f?re til at studentens n?rmeste blir kontaktet raskere iht. 2).
Imidlertid vil kontaktpersonfeltet i FS kun la seg aktivere for hele UiO. Etter en n?ye vurdering av for og imot argumentene over kan vi ikke se at det foreligger berettiget interesse for ? ta i bruk et slikt felt for alle studentene ved UiO. Det betyr at vilk?ret i personopplysningsloven § 8 f) ikke er oppfylt.
Delkonklusjon: Vi kan ikke se at vilk?ret i personopplysningsloven § 8, f?rste ledd, bokstav f, er oppfylt, og med det kan vi ikke si at vi har behandlingsgrunnlag i lov.
3. Konklusjon:
Det foreligger ikke et rettslig grunnlag for UiO til ? ta i bruk kontaktfeltet i FS, verken ved samtykke eller hjemmel i lov.
Noter
[1] I f?lge Runa Bun?s, politiinspekt?r ved Politiet i Oslo, vil prosessen ved en hendelse der det er behov for ? finne en persons n?rmeste v?re noenlunde som f?lger: Politiet starter med ? f? bekreftet den skadede/avd?des identitet. F?rst n?r dette arbeidet er avsluttet vil man begynne prosessen med ? informere vedkommende n?rmeste. Normalt starter politiet med s?k i folkeregisteret dersom det ikke er ?penbart at de b?r starte et annet sted.
[2] I e-post fra Datatilsynet av 29.7.2013 ved juridisk r?dgiver Ylva Marrable.
[3] Ved f?rste utsendelse til alle registrerte kontaktpersoner vil det kun i porto p?l?pe en kostnad p? kr. 315000 basert p? en portokostnad p? kr. 10,50 per 1.1.2015. I tillegg vil det m?tte sendes ut tilsvarende brev hvert semester til nye registrerte.
[4] Registrering av kontaktinformasjon til studentene er kun ment for ? kunne gi til politiet i s?rlige tilfeller, og er ikke registrert for at enhver som kan be om innsyn skal f? en oversikt over p?r?rende/kontaktpersoner til studentene ved UiO. Konsekvensen av opprettelse av et slikt register er likevel at vi vil m?tte gi ut denne informasjonen ved begj?ring.
[5] Her foreligger det mest sannsynlig b?de praksis og l?sninger som per i dag er i bruk, og vi m? kunne forholde oss til at f.eks. excelark kan brukes til et slikt register.