Mellom plikt til og forbud mot behandle personopplysninger

Mellom plikt til og forbud mot å behandle personopplysninger ved bekjempelse av kriminalitet Bjarne Kvam dommerfullmektig Bergen tingrett Loen, 28. april 2015

Noen utgangspunkter Hva er «behandling av personopplysninger» ? All bruk av personopplysninger. Hva er «kriminalitetsbekjempelse» ? Politiets kriminalitetsbekjempelse. Her: kriminalitetsbekjempelse i videre forstand, et bredt perspektiv. • Fokus her er både EMK-retten og norsk rett, med vekt på hovedlinjer, og regler som kan bidra til å forhindre straffbare handlinger. • • •

Hva er problemet • Hva er det første de fleste tenker på når vi sier «behandling av personopplysninger» ? • De fleste vil vel tenke på taushetsplikten. • Reglene om taushetsplikten oppleves ofte som «vanskelig tilgjengelig» . • Og da er det enkleste å være restriktiv.

Taushetsplikt: så mange regler ….

Monika-saken

Frykten for å bryte taushetsplikten • Robin Schaefer: «Jeg er redd for at de skal gå etter meg ved å anmelde meg til Spesialenheten for brudd på taushetsplikt og interne instrukser, suspendere meg, og prøve å avskjedige meg. Jeg er så redd for at de skal begynne å lete etter bevis for at jeg har snakket mediene om saken, at jeg har gjemt PCen på hytta. Jeg har gjemt den på et sted jeg selv antakelig ikke ville lett på under en ransaking. Der ligger den trygt. Men så får jeg paniske tanker om at den likevel ikke ligger trygt nok. » (Monika-saken – Min historie – fra drapsetterforsker til varsler, s. 182)

For restriktiv bruk av opplysninger INFOFLYT-rapporten 5. mai 2012 s. 14.

For mye taushet … • Hensynet til å beskytte opplysninger står så sterkt blant helsepersonell at det «i enkeltsaker kan hindre nødvendig informasjonsflyt i forebyggende øyemed, og også når det gjelder å kunne yte forsvarlig helsehjelp» . Stang, Aamodt mfl. : Taushetsplikt, opplysningsrett og opplysningsplikt – regelkunnskap og praksis, NOVA 2013, s. 45. • NOU 2009: 22: «hensynet til behovet for samhandling mellom ulike tjenester i enkeltsaker har blitt tillagt mindre betydning enn hensynet til personvernet for den enkelte tjenestemottaker når man ser de ulike regelverkene under ett» .

Opplegget videre • Utviklingen av EMK-retten - dommer som angår plikt til å avverge krenkelser / kriminalitet. • EMK-rettens krav til behandling av personopplysninger for å avverge krenkelser, når staten har informasjon om risikoen. • Norsk rett – hovedtendenser og utviklingstrekk. • Hva er formålet med regler om behandling av personopplysninger? • Muligheter og fremtidsutsikter.

EMK-rettens utvikling • EMK artikkel 1: «The High Contracting Parties shall secure to everyone within their jurisdiction the rights and freedoms defined in Section I of this Convention» . • Ordet «secure» : statens forpliktelse, innebærer både at staten selv ikke krenker rettighetene og friheten – både aktivt og passivt (vertikal dimensjon) – og: • Horisontal dimensjon: forhindre at borgerne begår krenkelser av hverandre. • Reaktivt: krever adekvate straffebestemmelser og en effektiv straffeforfølgning. • Preaktivt: krever at staten på visse vilkår avverger krenkelser.

Vertikal dimensjon • Staten skal ikke selv, ved sine aktive handlinger, være årsak til krenkelser. • Staten skal heller ikke, ved passivitet, være årsak til at borgerne ikke får utøve eller nyte godt av konvensjonens rettigheter og friheter. • Eksempler: Belgian Linguistic (1968), Marckx (1979), Airey (1979). I disse tilfeller var det passivitet ved mangelfull lovgivning. • Krav om å handle preventivt på basis av tilgjengelig informasjon: L. C. B. (1998).

Horisontal dimensjon • Staten har plikt til å forhindre krenkelser mellom borgerne. • Første sak: X. og Y. v. the Netherlands (1985). Mangelfull lovgivning. • Hovedkategori 1: Krav om effektiv straffeforfølgelse. Omfatter krav om effektiv lovgivning, effektiv straffeforfølgelse og i enkelte tilfeller mekanismer som kan fange opp og rapportere om krenkelser. • Hovedkategori 2: Krav om å forhindre (avverge) krenkelser, dersom det foreligger tilstrekkelig informasjon som tilsier at staten har handleplikt. • Det er hovedkategori 2 i den horisontale dimensjon som her først og fremst er i fokus.

Osman-testen • Osman and others v. the United Kingdom – faktum. • Osman-testen: «…it must be established to its satisfaction that the authorities knew or ought to have known at the time of the existence of a real and immidiate risk to the life of an individual or individuals from the criminal acts of a third party and that they failed to take measures within the scope of its powers which, jufged reasonably, might have been expected to avoid that risk» . • Modifisering: Forpliktelsen til å avverge krenkelse «must be interpreted in a way which does not impose an impossible or disproportionate burden on the authorities» .

Edwards v. the United Kingdom - I • Sakens faktum: Christopher Edwards ble drept natt til 29. november 1994 av medfangen Richard Linford. • Begge hadde store psykiske problemer – schizofreni. • Det offentlige hadde kunnskap om at Linford var «extreme dangerous» , men dette ble ikke formidlet til de fengselsansatte som plasserte ham på Edwards’ celle. • «knew or ought to have known» - subjektiv eller objektiv test?

Edwards v. the United Kingdom - II • EMD: «The Court is satisfied that information was available which identified Richard Linford as suffering from a mental illness with a record of violence which was serious enoght to merit proposals for compulsory detention and that, in combination with his bizarre and violent behaviour on and following arrest, demonstrated that he was a real and serious risk to others, and, in the circumstances of this case, to Christopher Edwards, when placed in his cell» .

Edwards v. the United Kingdom - III • EMD: «The Court concludes that the failure of the agencies involved in this case (medical profession, police, prosecution and court) to pass information about Richard Linford on to prison authorities and the inadequate nature of the screening process on Richard Linford’s arrival in prison discloses a breach of the State’s obligation to protect the life of Christopher Edwards. There has therefore been a breach of Article 2 of the Convention in this regard» . • Testen er altså objektiv – det er et spørsmål om hvilken informasjon det offentlige innehar. Men hva med taushetsplikten? • La oss først se på E. and others v. the United Kingdom.

E. and others v. the United Kingdom • Sakens faktum – seksuelle overgrep mot barn. • «…there was no effective co-operation or exchange of information between the school authorities which were attempting to deal with a persistent truancy problem and the social services who had access to the information about the wider family situation and history. It is also not apperant that E. ’s disclosures at the hospital in December 1976 were passed on to the social services or that, if they were, they led to any response» .

K. U. v. Finland (avsn. 49) • «Although freedom of expression and confidentiality of communications are primary considerations and users of telecommunications and Internet services must have a guarantee that their own privacy and freedom of expression will be respected, such guarantee cannot be absolute and must yield on occoasion to other legitimate imperatives, such as the prevention of disorder or crime or the protection of freedoms and rights of others. Without prejudice to the question whether the conduct of the person who placed the offending advertisement on the Internet can attract the protection of Articles 8 and 10 (…) it is nonetheless the task of the legislator to provide the framework for reconciling the various claims which compete for protection in this context» .

O’Keeffe v. Ireland (2014) • Faktum: Lærer begikk seksuelt overgrep mot skolejente i 1973 EMK art. 3). • Det fantes ikke kunnskap om risiko for det aktuelle overgrepet O’Keeffe ble utsatt for. • Det fantes imidlertid en god del generell kunnskap om at det ble begått overgrep mot barn i irske private katolske skoler. • I denne situasjonen skulle Irland ha iverksatt adekvate prosedyrer for beskyttelse av barna. • Det ble ikke iverksatt gode nok prosedyrer. • Irland ble dømt i saken for å ha krenket EMK art. 3, for ikke å ha iverksatt tilstrekkelige kontrollmekanismer.

Konklusjoner – EMK • Unnlatelse av å behandle personopplysninger som staten har tilgang til, kan innebære konvensjonskrenkelse. • Det stilles krav til informasjonsflyt mellom etater – «staten vet det staten vet» . • Den informasjonen som er tilgjengelig skal brukes adekvat. • EMD stiller strenge krav, særlig for beskyttelse av barn og andre personer som er i en utsatt posisjon – som fanger. • Hvis taushetspliktregler hindrer bruk av ellers tilgjengelig informasjon, kan det utgjøre krenkelse. • O’Keeffe tyder på innskjerpelse av kravet til å handle adekvat på informasjon (se avsn. 168).

Norsk rett - hovedtendenser • Taushetspliktreglene: Stadig flere regler. • Stadig mer komplisert, to-sporet system. • Samtidig en tendens til økt fleksibilitet. Regler mykes opp for å bedre informasjonsflyten. • Reglene praktiseres som oftest av ikkejurister, og det er stor forskjell i hvordan det tverrfaglige og tverretatlige samarbeidet fungerer. • Økt samarbeid fører til større tillit og økt informasjonsutveksling.

Utvikling: Infosvikt tas mer alvorlig aftenposten. no 24. 11. 14

Utvikling: Det må handles på viktig info Nrk. no 26. 11. 2014.

Nrk. no 16. januar 2015.

Nrk. no 30. januar 2015.

Christoffer-saken

• «Det viste seg at blant annet skolen hadde vært bekymret, lærere hadde meldt sin bekymring til rektor som ikke meldte videre til barneverntjenesten. Her var det ikke nødvendigvis reglene om taushetsplikt som utgjorde det reelle hinderet – men skolens rutiner for at meldinger til barneverntjenesten skal gå fra rektor. I denne saken tok ikke rektor på skolen til Christoffer SFO-leders og kontaktlærers bekymring alvorlig nok. Heller ikke sykehuset meldte sin bekymring til barneverntjenesten da Christoffer kom inn med skader» . Stang, Aamodt mfl. : Taushetsplikt, opplysningsrett og opplysningsplikt, s. 46 -47.

Christoffer-saken - EMK og norsk rett • Den manglende handling på informasjonen som er beskrevet i Christoffer-saken vil sannsynligvis utgjøre brudd på EMK-retten. • Høyesteretts avgjørelse 28. juni 2013 (moren dømt) innskjerper medvirkeransvaret i norsk strafferett. • Denne høyesterettsavgjørelsen er et uttrykk for en generell utvikling i norsk rett der kravet til å handle adekvat på informasjon er innskjerpet. • Det har altså vært en innskjerping både i EMK-retten og i norsk rett.

Hva er formålet med reglene? • Refleksjon: De største tragediene skjer normalt ikke ved «litt for mye» bruk av personopplysninger – men når opplysninger IKKE blir brukt, og det ikke handles adekvat på informasjonen. • Dette gjør det naturlig å fokusere på hva som er formålet med regler om bruk av personopplysninger. • Formålet er det grunnleggende reelle hensyn, som avgjør hvordan reglene skal tolkes. Viktig spørsmål. • Er formålet beskyttelse av opplysningene? • Mange vil svare et entydig ja her.

Hva er formålet med reglene? • Reglene skal naturlig nok beskytte opplysningene. • Men opplysninger har ikke et selvstendig behov for beskyttelse. Uheldig bare å fokusere på opplysningene. • Årsakene til at opplysningene skal beskyttes, er at opplysningene skal brukes på en måte som sørger for varetakelse av individet, varetakelse av virksomheten, varetakelse av tillitsforholdet mellom individet og virksomheten, og varetakelse av samfunnet.

Hva er formålet med reglene? • Reglene om hvordan personopplysninger skal behandles skal dermed i prinsippet sørge for både beskyttelse og bruk av opplysningene. • Ubalanse: Mangel på informasjon kan ha større konsekvenser enn for mye infoflyt, men det er i praksis (inntil nå) kun for mye informasjonsflyt som sanksjoneres. • Forsiktighetskultur i PST, «post-Lund-syndrom» . • Global shield: tolloven § 12 -1 (2) f: «…rimelig grunn til mistanke om straffbar handling …»

Hvordan regulere informasjonsflyt? • Det stilles i dag større krav til samhandling mellom etater. Kriminalitetsbekjempelse er her sentralt. • Regelutviklingen: motstridende tendenser? • Stengning av passregister mv. for politiet. • Samtidig endres regler for å bedre informasjonsflyten mellom offentlige virksomheter. • Ligningsloven § 3 -13 (fra 1980) har vært endret 26 ganger. • Hovedtendensen er økt informasjonsflyt.

Hvordan regulere informasjonsflyt?

Muligheter • Samarbeidet med andre etater – Oslo politidistrikt: • «… barnevernkonsulentene, som kommunen lønner, (…) arbeider på politistasjonene. De arbeider i team med forebyggendetjenesten, og er helt uunnværlige der. At disse ikke skal ha tilgang til de systemer som er arbeidsverktøyet, synes som et meget stort tilbakeskritt på mange måter. Tilsvarende er det tolltjenestepersoner som til daglig arbeider ved etterretningsavsnittet i et eget samarbeidsprosjekt Politi Toll Oslo, og som er svært fruktbart. Vi har samarbeidsprosjekter med for eksempel Skatteetaten, som har sine ansatte på en daglig basis i politiet, traineeprosjekter osv. For at det skal være noen vits i en slik ordning, synes det åpenbart at registertilgang må kunne gis…» . • 230. 000 søk pr. år. «Kriminalitetsrelatert kontrollvirksomhet»

Fremtidsutsikter • EUs nye lovgivning for bruk av personopplysninger innebærer at hele straffesakskjeden skal reguleres av samme regelverk. • Dette fremgår av tittelen på det foreslåtte direktiv, jf. COM (2012) 10 final: «Forslag til Europa-parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, etterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger» . • Mer ensartet regelverk for politi og andre i straffesakskjeden – som kriminalomsorgen – bedre samhandling?

Takk for oppmerksomheten