Personvernnemndas avgjørelse av 30. mai 2006 (Jon Bing, Gro Hillestad Thune, Siv Bergit Pedersen, Hanne I Bjurstrøm, Jostein Halgunset, Tom Bolstad, Leikny Øgrim)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 29.8.2005 om avslag på søknad om utvidelse av konsesjon til Norsk pasientregister. Helse- og omsorgsdepartementet har søkt om utvidelse av konsesjonen slik at Norsk pasientregister også omfatter skade- og ulykkesdata.
2 Saksgang
Norsk pasientregister (NPR), som er underlagt Helse- og omsorgsdepartementet, har hatt konsesjon fra Datatilsynet siden 1998. Registeret ble gjennomgått ved søknad fra Helse- og omsorgsdepartementet 15.7.2004. Under gjennomgangen fremgikk det at behandlingen av helseopplysninger var gått ut over det konsesjonen ga adgang til. Helse- og omsorgsdepartementet fikk likevel ny konsesjon 10.9.2004.
I brev av 23.11.2004 orienterer departementet om at det vil bli foretatt endringer i innrapporteringsformatet, og ber samtidig om at Datatilsynet vurderer hvorvidt endringene ville gjøre det nødvendig å utarbeide ny konsesjonssøknad. Datatilsynet svarte i brev av 5.1.2005 at tilsynet ikke har innvendinger mot endringer i kodeverket, så lenge endringen ikke medfører innhenting av personopplysninger med økt detaljnivå. Dersom endringen medfører innhenting av personopplysninger med økt detaljnivå, fant Datatilsynet det naturlig å avvente behandling til arbeidet med forskriftsregulering av Norsk pasientregister er avsluttet.
I brev av 31.5.2005 søker Helse- og omsorgsdepartementet om en ny utvidelse av konsesjonen til NPR. Datatilsynet utvidet konsesjonen i samsvar med søknaden, i brev av 27.6.2005. Den 8.7.2005 søker Helse- og omsorgsdepartementet om ytterligere ny utvidelse av konsesjonen. Tilsynet fattet i brev av 29.8.2005 vedtak om å avslå denne søknaden. Departementet klaget på avslaget i brev av 23.9.2005.
Personvernnemnda mottok saken fra Datatilsynet den 25.11.2005. Klager ble orientert om dette i brev fra nemnda den 29.11.2005. I e-post den 14.12.2005 ble klager gitt utsatt frist for kommentarer. Nemnda mottok kommentarer fra Helse- og omsorgsdepartementet innen fastsatt frist, i brev av 6.1.2006.
3 Faktum
I NPR lagres informasjon om alle sykehusinnleggelser og polikliniske konsultasjoner ved norske offentlige og private sykehus. Dataene innhentes på vegne av Helse- og omsorgsdepartementet. Hvert år registreres omtrent en million innleggelser og tre millioner polikliniske besøk. Registeret gir blant annet tilgang til informasjon om alle sykdomstilfeller som har krevd behandling ved en somatisk eller psykiatrisk institusjon i Norge.
Registeret har økt i omfang fra konsesjon første gang ble gitt i 1998. NPR har blant annet fått utvidet konsesjonen til også å gjelde opptreningsinstitusjoner og henvisningsdata for tverrfaglig spesialisert behandling for rusmiddelmisbruk. Denne saken gjelder avslag på søknad om utvidet konsesjon til også å behandle opplysninger om personskader (skade- og ulykkesdata).
Nærmere bestemt søker departementet om at NPR skal utvide registreringen. Det er lagt til grunn at et felles minimum datasett (FMDS) skal registreres obligatorisk for alle typer skader ved alle landets akuttmottak ved somatiske sykehus, legevakter knyttet til sykehus og kommunale legevakter i større byer (Bergen og Oslo). Opplysningene skal innrapporteres som en del av NPR og inngå permanent i registeret. Det er også utarbeidet tre skadespesifikke minimum datasett (SMDS) for produktrelatert skade, veitrafikkskade og arbeidsskade. Disse kan initieres prosjektbasert etter nærmere avtale og det vil måtte søkes konsesjon for SMDS i hvert enkelt tilfelle. Søknaden om utvidet konsesjon gjelder altså bare FMDS og ikke SMDS.
Hjemmelsgrunnlaget for registeret er i dag helseregisterloven § 5, jf personopplysningsloven § 9.
Det er enighet om at NPR er et sentralt helseregister som med hensyn til størrelse og innhold er av en slik karakter at det skal hjemles i helseregisterloven § 8. Denne bestemmelsen krever at registeret etableres med hjemmel i forskrift fastsatt av Kongen i statsråd.
Helse- og omsorgsdepartementet sendte 20.9.2005 på høring et forslag om å etablere NPR som et personidentifiserbart register med hjemmel i helseregisterloven § 8, 3. ledd. Dette innebærer at endringen i registerform må vedtas av Stortinget. Det er foreløpig ikke avklart når et slikt hjemmelsgrunnlag kan være på plass. Frem til det er tatt en endelig beslutning om registerform, vil NPR være et avidentifisert register med hjemmel i konsesjon.
4 Anførslene
4.1 Kompetanse til å gi utvidet konsesjon?
Departementet ønsker å utvide konsesjonen til også å gjelde opplysninger om personskader (skade- og ulykkesdata). Datatilsynet mener at helseregisterloven § 5, jf personopplysningsloven § 9 ikke gir kompetanse til å gi konsesjon for en slik utvidelse. Departementet er ikke enig i denne vurderingen. Det anfører at de nye opplysningene som ønskes inn i registeret i hovedsak er av administrativ eller beskrivende karakter og i lite omfang.
Videre anfører departementet at de nye opplysningene ikke er av en slik karakter at de medfører en vesentlig endring av registeret. Departementet viser til at dagens innrapportering til NPR allerede er tilrettelagt for skade- og ulykkesdata. Departementet har foretatt en vurdering av følsomheten til ulykkes- og skadeopplysninger, med den konklusjon at disse opplysningene langt på vei avledes fra den rapportering som skjer på nåværende tidspunkt, og som det allerede er gitt konsesjon for. Departementet mener derfor at det ikke vil bli registrert nye sensitive opplysninger ved en utvidelse av konsesjonen. På bakgrunn av dette anfører departementet at Datatilsynet har kompetanse til å gi midlertidig konsesjon.
Både Datatilsynet og departementet mener at NPR er av en slik karakter at registeret skal hjemles i helseregisterloven § 8. Departementet arbeider med å etablere et permanent hjemmelsgrunnlag i denne bestemmelsen, jf ovenfor. Dette er en prosess som tar tid, og som medfører at registeret fremdeles vil være regulert av konsesjon i en periode framover. Departementet mener at det må være mulig å endre konsesjonen i påvente av et nytt hjemmelsgrunnlag for NPR.
4.2 Ulempevurdering etter personopplysningsloven § 9, 1. ledd litra h
Datatilsynet anfører subsidiært at utvidelsen ikke kan hjemles i personopplysningsloven § 9, 1. ledd litra h om at samfunnets interesse i at behandlingen finner sted må klart overstige ulempene den kan medføre for den enkelte. Departementet anfører at de ulempene behandlingen av opplysningene kan medføre for den enkelte, vil avhenge av blant annet opplysningenes karakter og omfang. Som nevnt ovenfor er departementet av den oppfatning at de nye opplysningene ikke medfører noen vesentlig endring eller økt trussel mot personvernet idet de sensitive attributtene det er søkt tilleggskonsesjon for gir langt på vei samme informasjon som det som allerede registreres i NPR i dag.
Departementet viser til at skade og ulykker fører til et betydelig antall skadde og drepte hvert år. Dette medfører igjen store samfunnsmessige kostnader i form av økt forbruk av helsetjenester, økt sykefravær og produksjonstap. Departementet anfører at en nasjonal skade- og ulykkesregistrering vil gi ny kunnskap om forekomst av skader og ulykker. Kunnskap om dette er nødvendig for å iverksette konkrete tiltak overfor definerte problemstillinger eller målgrupper for å forebygge og redusere antall skader og ulykker. På bakgrunn av dette mener departementet at registeret kan bidra til at omfanget av skader og ulykker blir redusert. Det anføres at ved å samle registreringen i NPR, kan man i større grad se på konsekvensene av ulykker ved at man får opplysninger om ventetid, type behandling, eventuelt liggetid på sykehus og gjeninnleggelser (ved samme sykehus innenfor et kalenderår). Dette vil også åpne for muligheten til å sammenligne pasienter som har vært utsatt for skader og ulykker, med andre pasientgrupper.
Datatilsynet er av den oppfatning at de nye opplysningene vil forenkle identifiseringen av enkeltpersoner. Departementet mener imidlertid at muligheten for å identifisere enkeltindivider fra et avidentifisert register gjennom såkalt bakveisidentifikasjon er en del av ulempevurderingen etter personopplysningsloven § 9, 1. ledd litra h. Departementet anfører i denne sammenheng at det er liten sannsynlighet for at kartkoordinater skal kunne forenkle en identifisering av enkeltpersoner. Kartkoordinater gir liten mening for folk flest. For å kunne utnytte kartkoordinat til identifisering, forutsettes det at man har opplysninger om lokaliseringen av ulykken fra en annen kilde. Departementet nevner media som eksempel på en slik kilde. Det anføres at man gjennom media også vil motta opplysninger om skadestedskommune, dato og ulykkestype. Dette skjer uten at kartkoordinater blir benyttet. I tillegg kan også informasjon om den forulykkedes kjønn, alder og behandlingsinstitusjon fremkomme av media. Departementet mener dermed at sannsynligheten er liten for at kartkoordinater skal kunne forenkle en identifisering av enkeltpersoner, tatt i betraktning de andre mulighetene som eksisterer for bakveisidentifikasjon uten å benytte seg av kartkoordinat.
Det er først og fremst i forbindelse med veitrafikkskader at departementet ønsker å registrere kartkoordinater i et nasjonalt skaderegister som inngår som en permanent del av NPR (FMDS-datasettet). Dersom det er av betydning for vedtaket om utvidet konsesjon, opplyser departementet om at det er mulighet for at kartkoordinater først utløses dersom skadetilfellet er registrert som en veitrafikkskade på linje med attributtet "fremkomstmiddel".
På grunn av at opplysningene i dagens avidentifiserte NPR gir mulighet for å identifisere enkeltpersoner, har NPR adgangskontroll og rutiner for sikker oppbevaring av alle data i registeret. Alle data lagres på en egen tjener, som bare autoriserte medarbeidere i NPR har adgang til. I tillegg er hvert enkelt datasett isolert slik at kun databehandlere som arbeider innen det aktuelle området, har tilgang til det. Den enkelte medarbeider har ikke åpen tilgang til Internettet, og det er en infrastruktur som ivaretar dette blant annet i form av sikkerhet rundt SINTEFs datamaskiner og sikkerhetsbarrierer rundt NPR.
4.3 Lovforslag
Departementet er ikke enig med Datatilsynet når det hevder at det er uheldig å endre for mange av premissene for et lovforslag som er ute på offisiell høring. Helse- og omsorgsdepartementet informerer i høringsrapporten om etablering av et personidentifiserbart register om at det er søkt om utvidelse av dagens konsesjon til å gjelde skade- og ulykkesstatistikk. I høringsrapporten vises det også til at Datatilsynet har avslått søknaden og at departementet påklager vedtaket. Videre er skade- og ulykkesstatistikk tatt med i forslaget til forskrift for Norsk pasientregister. Departementet kan dermed ikke se at premissene for lovforslaget blir endret ved at dagens konsesjon blir utvidet, da dette er gjort kjent i høringen.
5 Datatilsynets vurdering
5.1 Kompetanse til å gi utvidet konsesjon?
Datatilsynet anfører prinsipalt at tilsynet ikke har kompetanse til å gi konsesjon for en utvidelse av registeret etter helseregisterloven § 5, jf personopplysningsloven § 9. Det følger av helseregisterloven § 5, 2. ledd at konsesjonsplikt etter personopplysningsloven § 33 ikke gjelder når behandlingen av helseopplysninger skjer med hjemmel i forskrift etter helseregisterloven §§ 6 til 8. I merknadene til § 8 uttrykker helsedepartementet:
"Første ledd forbyr etablering av sentrale helseregistre, med mindre det følger av denne eller annen lov."
Datatilsynet mener at det vil være unaturlig å forstå helseregisterloven § 8 slik at bestemmelsen åpner for å etablere sentrale helseregistre på andre måter enn hva bestemmelsen selv uttrykkelig fastsetter. Tilsynet er av den oppfatning at det her må vektlegges at Stortinget ønsket etableringen av at slike helseregistre skulle være gjenstand for en demokratisk prosess. Det vises også til Personvernnemndas avgjørelse PVN-2005-07. Datatilsynet anser NPR ved en eventuell utvidelse for å være et sentralt helseregister, og vurderer det slik at tilsynet dermed mangler kompetanse til å gi konsesjon.
Helseregisterloven definerer ikke uttrykkelig hvilke registre som skal anses som sentrale helseregistre. Helseregisterloven § 8 gir imidlertid noe veiledning gjennom ordlyd, herunder eksempler. Datatilsynet viser i denne sammenheng til helsedepartementets merknader til § 8:
"Sentrale helseregistre refererer til helseregistre den sentrale helseforvaltningen etablerer for å ivareta landsomfattende oppgaver/landsfunksjoner".
Tilsynet anfører at NPR er etablert for at den sentrale helseforvaltning skal ivareta landsomfattende oppgavefunksjoner. Videre heter det i departementets merknader:
"Sentrale helseregistre med få og ikke spesielt sensitive helseopplysninger vil også kunne opprettes etter konsesjon fra Datatilsynet og samtykke fra den registrerte".
Tilsynet viser i denne sammenheng også til Ot. prp. nr 5 s. 188 flg. Datatilsynet anfører at NPR inneholder svært mange sensitive helseopplysninger, og at de nye opplysningene som skal behandles er sensitive, og av et stort omfang. Det vises også her til PVN-2005-07.
Datatilsynet har vurdert hvorvidt det kan tillegges betydning at utvidelsen bare midlertidig behøver hjemmel i helseregisterloven § 5. Dette er et av momentene som er blitt tillagt betydning i vurderingen knyttet til tidligere gitt konsesjon. Tilsynet mener imidlertid det er uheldig at departementet gjentatte ganger søker om utvidelse av konsesjonen parallelt med at registeret er gjenstand for en demokratisk prosess som skal føre frem til forskrift gitt av Kongen i statsråd. Eventuelle endringer i konsesjonen vil virke styrende for dette arbeidet. Datatilsynet mener at det er uheldig at tilsynet, i en slik periode, fatter vedtak som rent praktisk vil virke styrende, og som vil begrense de folkevalgte organers skjønn. At utvidelsen bare midlertidig behøver hjemmel i helseregisterloven § 5 bør ifølge tilsynet således tillegges begrenset betydning.
Datatilsynet mener at det ved en grensedragning av tilsynets konsesjonskompetanse, må kunne tillegges betydning at også lovgiver var av den oppfatning at sentrale helseregistre burde være gjenstand for en demokratisk prosess. I denne sammenheng vises det til komiteens merknader til opprettelse av nye helseregistre:
"Komiteen mener generelt at det skal stilles strengere krav til å godta opprettelsen av et helseregister for forvaltningen enn for helsetjenesten. Fordi forvaltningens behov for informasjon ut fra ønsket om bedre forebyggingsstrategier egentlig ikke har noen grenser, kan i prinsippet hele befolkningens livsførsel registreres. Etter komiteens oppfatning bør en derfor være tilbakeholdne med å opprette slike registre. Disse bør være avidentifiserte eller pseudonymiserte slik at ingen risikerer at opplysningene om ens livsførsel kommer på avveie".
Videre uttales:
"I den grad det er nødvendig ut fra hensynet til pasienten å benytte helseregistre med personidentifiserbare opplysninger, bør dette etter komiteens syn gjøres etter vedtak av Storting eller etter samtykke fra den registrerte. Ved å kreve stortingsbehandling før slike registre etableres sikres en demokratisk prosess som kan bidra til at nødvendig avveininger mellom hensynet til behovet for registre og hensynet til personvern foretas før vedtaket treffes".
Datatilsynet anfører at det er uheldig hvis tilsynet går utenfor sin kompetanse på et område hvor Stortingets sosialkomité så klart har signalisert at bruk av slike sentrale registre i forvaltningen bør underlegges en demokratisk debatt. Datatilsynet legger etter dette til grunn at NPR må anses som et sentralt helseregister, jf helseregisterloven § 8.
Datatilsynet finner på bakgrunn av det ovennevnte at en videre utvidelse av konsesjonen for NPR vil innebære at Datatilsynet går utenfor sin kompetanse etter helseregisterloven § 5.
5.2 Ulempevurdering etter personopplysningsloven § 9, 1. ledd litra h
Subsidiært mener Datatilsynet at utvidelsen heller ikke kan hjemles i personopplysningsloven § 9. Datatilsynet viser til personopplysningsloven § 11, 1. ledd litra a hvor det fremgår at den behandlingsansvarlige skal sikre seg at behandlingen av personopplysninger er tillatt etter personopplysningsloven §§ 8 og 9.
Ifølge tilsynet er det mest aktuelle vilkår personopplysningsloven § 9, 1. ledd litra h. Samfunnets interesse i at behandlingen finner sted må klart overstige ulempene den kan medføre for den enkelte.
Datatilsynet er av den oppfatning at helseforvaltningen, og dermed også samfunnet, har en interesse i behandlingen av de ekstra opplysninger departementet i dette tilfellet søker om. Tilsynet mener imidlertid at helseforvaltningen alltid vil ha behov for flere opplysninger for å oppnå et bedre vurderingsgrunnlag for styring. Det vises i denne sammenheng også til sosialkomiteens merknader i forarbeidene om opprettelsen av nye helseregistre:
" forvaltningens behov for informasjon ut fra ønsket om bedre forebyggingsstrategier egentlig ikke har noen grenser".
Uavhengig av hvorvidt den enkelte endringen er betydelig, eller gjør et vesentlig inngrep i personvernet, mener Datatilsynet at registeret totalt sett vil få så store dimensjoner at slike utvidelser ikke kan godtas. Tilsynet mener at et sted må grensen settes.
Videre mener tilsynet at det her også må tas hensyn til at behandlingen er i ferd med å bli lovfestet. Det vil således ikke være så lang periode behandlingen kan foretas, før lovgiver må ta stilling til om behandlingen bør fortsette. Ifølge Datatilsynet er det også uheldig ut fra et demokratisk perspektiv å endre for mange av premissene for et lovforslag som er ute på offisiell høring. En fortsatt økning i antall opplysninger vil være betenkelig for den enkelte. Registeret omfatter en vesentlig del av den norske befolkning. Selv om det ikke registreres så mange nye sensitive opplysninger vil de nye opplysningene, eksempelvis kartkoordinater for ulykkesstedet, forenkle identifiseringen av enkeltpersoner. Dette er uheldig dersom opplysningene skulle komme på avveie.
Datatilsynet har godtatt utvidelser som skyldes organisatoriske endringer i spesialisthelsetjenesten. Tilsynet mener at de endringene som det nå søkes om ikke er et direkte resultat av organisatoriske endringer i spesialisthelsetjenesten.
6 Personvernnemndas merknader
Norsk pasientregister (NPR) er i dag et avidentifisert register med helseopplysninger og har hjemmel i konsesjon, jf helseregisterloven § 5 og personopplysningsloven §§ 9 og 33. Det er imidlertid enighet mellom departementet og Datatilsynet om at NPR er et sentralt helseregister som av hensyn til størrelse og innhold er av en slik karakter at det skal hjemles i helseregisterloven § 8. Denne bestemmelsen krever at registeret etableres med hjemmel i forskrift fastsatt av Kongen i statsråd.
Av helseregisterloven § 8, 1. ledd følger:
"Det kan ikke etableres andre sentrale helseregistre med helseopplysninger enn det som følger av denne eller annen lov"
Det følger videre av helseregisterloven § 5, 2. ledd at konsesjonsplikt etter personopplysningsloven § 33 ikke gjelder for behandling av helseopplysninger som skjer med hjemmel i forskrift etter helseregisterloven §§ 6 - 8.
Det uttales i forarbeidene til helseregisterloven § 8, Ot.prp. nr 5 (1999/2000) pkt 15, at:
"Myndigheten til å etablere sentrale helseregistre er lagt til Kongen i Statsråd. Dette innebærer at myndigheten ikke kan delegeres til departementet. Bestemmelsene skal videre gis ved forskrift. Dette betyr at saksbehandlingsreglene i forvaltningsloven, som bl.a setter krav til utredning av saken, krever forhåndsvarsling og gir berørte parter rett til å uttale seg om saken, kommer til anvendelse.
Departementet legger til grunn at store landsomfattende sentrale helseregistre bør reguleres i forskrift. Karakteristiske trekk ved slike helseregistre er at de behandler sensitive opplysninger om mange personer, og har hele landet som virkefelt. Videre forutsetter formålet med slike helseregistre at opplysningene skal lagres over lang tid."
Det heter videre at ikke alle registre krever forskrift:
"Ikke alle helseregistre den sentrale helseforvaltning oppretter, vil kreve forskrift. Helseregistre med få og ikke spesielt sensitive helseopplysninger vil også kunne opprettes etter konsesjon fra Datatilsynet. Det samme gjelder helseregistre som ikke tar sikte på å eksistere i lang tid. En forutsetning for at helseopplysninger skal kunne innsamles til slike tidsbegrensede helseregistre er at den registrerte samtykker, med mindre det er gjort eller gjøres unntak for taushetsplikten i medhold av lov om helsepersonell § 29."
Videre følger det av Innst.O. nr 62 (2000-2001) pkt 1.8:
"Det uttales at den nærmere grensetrekning av hvilke sentrale helseregistre som bør opprettes etter beslutning av Kongen i Statsråd, versus hvilke helseregistre Datatilsynet bør gi konsesjon til, må vurderes ut fra helseforvaltningens og helsetjenestens behov, og ses i forhold til personregisterloven og lov om behandling av personopplysninger. Departementet legger til grunn at sykdomsregistre og kvalitetsregistre som omfatter flere diagnosetyper over hele befolkningen, bør reguleres i forskrift av Kongen i Statsråd, og det samme gjelder sykdomsregistre, kvalitetsregistre eller helsetjenesteregistre som inneholder svært følsomme opplysninger som gir stor usikkerhet om virkningen av registreringen. Mindre omfattende helseregistre som avdekker en ikke spesielt sensitiv sykdomsgruppe, bør ifølge proposisjonen kunne opprettes etter konsesjon fra Datatilsynet."
I følge klager har Datatilsynet kompetanse til å utvide konsesjonen midlertidig fordi de nye opplysningene ikke er av en slik karakter at de medfører en vesentlig endring av registeret. Ved vurderingen av om et helseregister krever forskrift, legger forarbeidene vekt på at registeret har "få og ikke spesielt sensitive helseopplysninger" eller "ikke spesielt sensitiv sykdomsgruppe".
Etter Personvernnemndas syn er NPR et sentralt helseregister som faller utenfor den karakteristikk som forarbeidene gir av registre som ikke krever forskriftshjemmel etter loven. Nemnda legger vekt på at registeret omfatter alle sykehusinnleggelser og polikliniske konsultasjoner ved offentlige og private sykehus, herunder alle sykdomstilfeller som har krevd behandling ved somatisk eller psykiatrisk institusjon. Registeret omfatter hele landet og derfor en stor andel av befolkningen. Det inneholder en rekke sensitive opplysninger etter personopplysningsloven § 2 nr 8 litra c, herunder opplysninger om barn og unge i psykiatrien. Videre er NPR et permanent register med et vedvarende formål uten avgrensning i tid.
Etter Personvernnemndas syn kan ikke den foreslåtte utvidelsen av NPR gis midlertidig konsesjon. Personvernnemnda viser i denne forbindelse også til PVN-2005-07 (sak vedrørende forskningsfilen "Sosiale og etniske forskjeller i perinatal helse").
På bakgrunn av hovedregelen i helseregisterloven § 8, 1. ledd og uttalelsene i forarbeidene må det
derfor fremmes forslag om et forskriftsvedtak.
Personvernnemnda viser til Ot.prp nr 49 (2005-2006) som ble lagt frem for Stortinget 31.3.2006. Der foreslås et nytt pkt 8 i helseregisterloven § 8, 3. ledd: "Norsk pasientregister". Det forventes at proposisjonen vil bli behandlet høsten 2006. Dersom Stortinget vedtar den foreslåtte lovendringen betyr dette at NPR blir et personidentifiserbart register med hjemmel i helseregisterloven § 8, 3. ledd nr 8. Det forventes ikrafttredelse av forskrift om Norsk pasientregister i desember 2006.
7 Vedtak
Klagen tas ikke til følge. Datatilsynets vedtak opprettholdes.
Oslo, 30. mai 2006
Jon Bing
Leder