Personvernnemndas avgjørelse av 7. august 2008 (Jon Bing, Gro Hillestad Thune, Leikny Øgrim, Siv Bergit Pedersen, Jostein Halgunset, Hanne I Bjurstrøm, Tom Bolstad)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage fra Opplysningen Online (heretter Opplysningen). Opplysningen får informasjon om hvem som er faktiske brukere av mobiltelefonnummer via en tjeneste på nettstedet www.ung1881.no. Denne informasjonen benytter Opplysningen til å oppdatere sin opplysningstjeneste når bruker av mobiltelefonnummeret er en annen enn den abonnementet står registrert på. Datatilsynet har vedtatt at samtykke må innhentes fra abonnent før slik oppdatering skjer. Opplysningen har påklaget dette.
2 Saksgang
På grunn av klager fra publikum henvendte Datatilsynet seg den 6.2.2007 til Opplysningen og ba om en redegjørelse knyttet til bruken av fødselsnummer ved opprettelse av ny bruker på nettstedet ung1881.no.
Datatilsynet mottok redegjørelse fra Opplysningen 28.2.2007. På bakgrunn av redegjørelsen fattet Datatilsynet i brev av 27.7.2007 vedtak om pålegg. Vedtaket ble påklaget av Opplysningen den 17.8.2007 for så vidt gjaldt ett av de tre punktene i pålegget. De to øvrige påleggene vil Opplysningen rette seg etter.
Personvernnemnda mottok saken fra Datatilsynet 18.12.2007. Klager ble orientert om dette i brev fra nemnda samme dag, med frist til uttalelse innen 10.1.2008. Klagers advokat Håvard Kjærstad, DLA Piper Advokatfirma, sendte i e-post av 18.12.2007 anmodning om fristforlengelse til 24.1.2008. Fristforlengelse ble innvilget. Nemnda mottok brev fra advokat Håvard Kjærstad datert 23.1.2008, med redegjørelse for Opplysningens syn på saken.
3 Faktum
Nettstedet ung1881.no tilbyr gratis sms, blogg, deltakelse i konkurranser og andre aktiviteter. Ved pålogging til nettstedet må bruker registrere seg med brukernavn og passord. Nye brukere må ved første gangs registrering oppgi fødselsnummer og mobiltelefonnummer. Det gis informasjon på nettsiden om at sjekk mot folkeregisteret er nødvendig for å unngå misbruk og at fødselsnummeret ikke blir lagret i nettstedets databaser. Det foretas sjekk av om det oppgitte fødselsnummeret er gyldig. Deretter lagrer virksomheten informasjon om alder og kjønn. Når fødselsnummeret er kontrollert, får brukeren tilsendt passord på mobiltelefonen som deretter skal brukes for å logge seg på nettstedet. Når innlogging er foretatt, må navn og adresseinformasjon legges inn.
Det brukes forskjellig terminologi i sakens papirer for ”abonnent”, ”juridisk eier” eller ”sluttbruker” på den ene siden og ”bruker” eller ”kunde” på den andre siden. Begrepene ”sluttbruker” og ”bruker” er definert i ekomloven § 1-5 nr 12 og 13. ”Abonnent” eller ”juridisk eier” er synonymt med ”sluttbruker” og ”kunde” er synonymt med ”bruker”. I fortsettelsen skal nemnda konsekvent benytte uttrykkene abonnent og bruker.
I de tilfeller bruker av mobiltelefonen er en annen enn den abonnementet er registrert på, oppdaterer Opplysningen sine registre med hvem som faktisk bruker mobiltelefonen. Virksomheten får på denne måten opplysninger om mobiltelefonbrukere, uten at verken bruker eller abonnent får informasjon om at dette skjer ved innloggingen.
Datatilsynet fattet vedtak følgende vedtak i saken:
- Fødselsnummeret skal ikke brukes ved pålogging til webtjenesten for å sende gratis sms, delta i konkurranser, blogge og andre aktiviteter. Forholdet anses i strid med personopplysningsloven § 12.
- Det må innhentes gyldig samtykke av abonnent for å oppdatere opplysningene i opplysningstjenesten på bakgrunn av pålogging på nettsiden, jf personopplysningsloven § 8.
- Kundene må informeres om hva som registreres, formålet mv, jf personopplysningsloven §§ 19 og 20.
Opplysningen har kun påklaget vedtakets punkt 2. Når det gjelder punkt 1 og 3 har Opplysningen bestemt seg for å følge Datatilsynets pålegg.
4 Klagers anførsler
Det er et problem for Opplysningen at et meget stort antall personer disponerer mobiltelefoner uten å være juridisk eier (abonnent). Telefonen kan for eksempel eies av foreldrene eller arbeidsgiveren. Det følger av ekomforskriften § 6-3, 2. ledd nr 2 at dersom abonnent og bruker ikke er den samme, skal bare brukerens navn overføres fra tilbyderen av offentlig telefontjeneste til tilbydere av opplysningstjeneste. Dette forutsetter imidlertid at bruker blir registrert i forbindelse med opprettelsen av abonnementet, noe som ofte ikke skjer. Opplysningen vet ikke om den personen som er koblet til et telefonnummer er en abonnent eller en bruker.
Virksomheten på ung1881.no er et utslag av at få abonnenter registrerer bruker. Opplysningen ønsker at den informasjonen som opplysningsdatabasen inneholder skal være korrekt, oppdatert og samtidig gi informasjon om reell bruker. Ved å registrere informasjon om seg selv gir ung1881.no sine brukere tilgang til flere nyttetjenester (for eksempel gratis sms) samtidig som Opplysningen får bedre kvalitet på ungdomssegmentet i sin database. Dersom utelukkende abonnenten selv kunne oppdatere opplysningene, ville dette medføre en vesentlig forringelse av opplysningsdatabasen, da få arbeidsgivere og foreldre vil ta seg bryet med å oppdatere opplysningene om reell bruker.
Opplysningen vil også fremheve at den formen for selvregistreringsløsning som finnes på ung1881.no er i tråd med bransjepraksis. Det finnes en rekke andre aktører som tilbyr tilsvarende eller lignende løsninger.
Forholdet mellom abonnent og bruker reguleres av alminnelige avtalerettslige prinsipper. I den grad avtalen mellom dem er taus, må det legges til grunn at brukeren har anledning til å registrere seg selv som bruker av telefonen hos leverandører av opplysningstjenester. Slik ung1881.no fungerer, vil ikke mindreårige under 15 år kunne registrere seg som bruker uten at foreldre/foresatte signerer på et samtykkedokument.
Der abonnenten er en juridisk person, vil ikke personopplysningsloven komme til anvendelse. Det er således ikke grunnlag for å stille et krav om at den juridiske personen avgir samtykke etter personopplysningsloven § 8 for at informasjonen om bruker i Opplysningens database skal kunne oppdateres.
For fysiske personer vil endringen av oppføringen i Opplysningens database innebære to forskjellige behandlinger av personopplysninger. For det første vil brukerens innleggelse av egen kontaktinformasjon være en form for innsamling som krever behandlingsgrunnlag. For det andre vil fjerningen av kontaktinformasjonen vedrørende abonnent og bruker være en form for sletting som krever behandlingsgrunnlag. Mens Datatilsynet mener at eneste behandlingsgrunnlag her er samtykke, er Opplysningen av den oppfatning at også øvrige behandlingsgrunnlag etter personopplysningsloven § 8 gir hjemmel for behandlingen.
Opplysningen gjør gjeldende at et krav om et samtykke fra abonnenten for å kunne oppdatere informasjon om bruker vil innebære at svært få vil benytte seg av muligheten til å oppdatere informasjonen. Opplysningen mener at den oppdateringen som gjøres på ung1881.no er nødvendig for at Opplysningen skal kunne realisere målsettingen om en mest mulig oppdatert opplysningsdatabase med informasjon om reelle brukere. Opplysningen mener at i foreliggende tilfelle vil innhenting av samtykke være uforholdsmessig vanskelig.
Klager anfører at personopplysningslovens § 8 litra b, d og f gir hjemmel for Opplysningens behandling.
Når det gjelder personopplysningslovens § 8 litra b om rettslig forpliktelse, er Opplysningen Telenors offisielle leverandør av opplysningstjenester i Norge. Telenors plikt til å levere nummeropplysningstjenester er nedfelt i en avtale med Samferdselsdepartementet. Opplysningen skal etter avtalen levere nummeropplysningstjenester til alle brukere i Norge og Opplysningen har følgelig en selvstendig plikt til å oppfylle de krav som Telenor etter ekomloven § 5-1, 1. ledd nr 3, jf ekomforskriften § 5-3, ellers ville vært pålagt. Det følger av avtalen at nummeropplysningstjenesten skal holdes oppdatert og være i overensstemmelse med personvernlovgivningen. Personopplysningsloven § 11, 1. ledd litra e pålegger den behandlingsansvarlige å rette eller slette uriktige, ufullstendige eller overflødige personopplysninger, jf § 28. Dette er en plikt som vanskelig kan oppfylles uten at opplysningene om abonnent og bruker slettes etter at den nye brukeren har lagt inn opplysningene om seg selv.
Når det gjelder personopplysningslovens § 8 litra d om allmenn interesse, gjør Opplysningen gjeldende at det er åpenbart i samfunnets interesse at informasjonen som avgis som ledd i opplysningsvirksomhet medfører riktighet, jf også ekomforskriften § 6-3, 6. ledd. Også hensynet til abonnentene og brukerne tilsier at opplysningstjenestene inneholder informasjon om reelle brukere. Ekomlovens forarbeider legger til grunn at opplysningstjenester er en oppgave av allmenn interesse og at kvaliteten på tjenestene er av avgjørende betydning. Samfunnets interesse i å få informasjon om den reelle brukeren tydeliggjøres ved forslaget om å oppstille en rettslig plikt for tilbyderne om å registrere brukerne der bruker er en annen person enn abonnenten.
Når det gjelder personopplysningslovens § 8 litra f om interesseavveining, anfører Opplysningen at de ikke har opplevd noen tilfeller der abonnenten har reagert negativt på adgangen til å oppdatere informasjonen på ung1881.no. Det faktum at abonnenten gir brukeren lov til å disponere mobiltelefonen er de facto en avgivelse av kontroll. Det er ikke grunn til å tro at oppdateringen skjer i strid med abonnentens ønske. En oppdatert database er videre et konkurransefortrinn for Opplysningen. Opplysningen har en meget høy anerkjennelse i markedet for å levere oppdatert og presis informasjon og ønsker naturlig nok å opprettholde kvalitetsstempelet.
Opplysningen mener at når lovgiver ikke har funnet det nødvendig med samtykke fra bruker i forbindelse med abonnentens tegning av abonnementet, er det lite naturlig at bruker skal være avhengig av abonnentens samtykke ved oppdateringen på ung1881.no.
Det faktum at andre aktører benytter seg av lignende løsninger, viser at det kan sies å eksistere en praksis som har blitt utviklet nettopp fordi hensynet til de registrertes personvern ikke overstiger den behandlingsansvarliges berettigede interesser.
Til slutt anføres det at Opplysningen, for å minske eventuelle personvernulemper, vil kunne iverksette en løsning som innebærer en form for passivt samtykke. Opplysningen ser da for seg følgende løsning: Brukeren skriver inn sitt mobiltelefonnummer og fødselsdato på ung1881.no. Brukeren mottar deretter en verifiseringskode for å bekrefte at brukeren er innehaver av denne mobiltelefonen. Etter å ha skrevet inn koden, får brukeren tilgang til et registreringsskjema som må fylles ut for å få tilgang til tjenestene på nettstedet. Skjemaet ber brukeren fylle inn obligatoriske felt. På bakgrunn av inntastet fødselsdato regner systemet ut alder. Dersom brukeren er under 15 år, vil feltet i databasen bli flagget slik at en videre behandling av disse dataene ikke vil skje uten at det foreligger et samtykke fra foreldre/foresatt. De øvrige stegene i registreringsprosessen baserer seg på at brukeren skal velge et brukernavn og passord og at brukeren aksepterer brukeravtalen.
Etter at brukeravtalen er akseptert, og det er blitt opprettet en bruker i systemet, vil det sendes ut et brev til juridisk ansvarlig for abonnementet der det opplyses om hvilke endringer som er gjort i oppføringen hos ung1881.no. Brevet vil kun bli sendt ut dersom informasjonen knyttet til oppføringen er blitt endret. Brevet vil inneholde en kode som vil gi brukeren tilgang til å endre/slette den nye informasjonen tilknyttet oppføringen i Opplysningens databaser. Opplysningen ser for seg at dette kan gjøres via et mobilt grensesnitt. På den måten vil abonnenten få tilstrekkelig informasjon og mulighet til å tilbakestille opplysningene, samtidig som Opplysningen vil få bedre kvalitet på sin opplysningsdatabase. Brukeren vil også bli orientert om denne løsningen gjennom registreringsprosessen.
Etter at brukeren har registrert seg på ung1881.no, samles dataene i en database for videre behandling inn mot Norgesdatabasen, som er hoveddatabasen i Opplysningen AS. Før de registrerte dataene registreres i denne databasen, gjennomgår de en vasking for å sjekke om de er av god nok kvalitet.
Opplysningen mener at denne løsningen bøter på de eventuelle personvernulemper brukerens oppdatering på ung1881.no måtte medføre.
5 Datatilsynets vurdering
Datatilsynet viser til at Opplysningen oppdaterer sine opplysninger fra teleleverandørene slik at bruker i en del tilfeller blir en annen enn den mobiltelefonabonnementet er registrert på. Mindreårige har ofte mobiltelefoner registrert i foreldrenes navn. En oppdatering av nummer og bruker kan få uheldige konsekvenser for både bruker og abonnent, samt frata dem den nødvendige kontrollen med opplysningene. Det kan også være i strid med deres ønske.
Behandling av personopplysninger krever et behandlingsgrunnlag i personopplysningsloven § 8. Datatilsynet mener at registreringen hos Opplysningen av hvem som faktisk bruker mobiltelefonen, må hjemles i et uttrykkelig samtykke. Datatilsynet viser til uttalelser fra Personvernnemnda i STAMI-saken PVN-2004-1.
Post- og Teletilsynet har foreslått å innføre en plikt til å registrere hvem som er bruker av mobiltelefonen, jf høringsforslag av 21.5.2007. Datatilsynet har uttalt seg svært kritisk i denne sammenheng.
Det kan være mange grunner til at abonnenten ikke ønsker at det registreres opplysninger om hvem som er bruker. Det kan tenkes at foreldrene ikke ønsker at barnets personalia skal registreres, slik at foreldrene har adekvat kontroll med barnets bruk av mobiltelefonen. At Opplysningen oppdaterer sine opplysningsdatabaser på bakgrunn av personalia som fremkommer ved pålogging til ung1881.no for å chatte, sende sms, blogge etc, vil være å sette abonnentens kontroll til side.
Datatilsynet har i samarbeid med SAFT (Safety, Awareness, Facts and Tools) og Medietilsynet utarbeidet retningslinjer for trygg bruk av Internett og mobiltelefon. Anonymitet og retten til å beskytte seg selv mot at alle kan se hvem du er utgjør en viktig del.
Dersom mindreårige under 15 år ønsker å registrere seg som bruker på ung1881.no, kreves det at foreldre eller foresatte signerer et samtykkedokument. I denne forbindelse er det enkelt og naturlig å samtidig innhente samtykke for å registrere bruker av mobiltelefonen i Opplysningens database. Når det gjelder personer over 15 år, mener Datatilsynet at familiens avgjørelse om hvem telefonen skal stå registrert på må respekteres. Det kan være gode grunner til å velge å registrere mobiltelefonen til barna i foreldrenes navn. Denne avgjørelsen bør ikke kunne overprøves av en tilfeldig virksomhet uten samtykke fra abonnenten.
Datatilsynet har vurdert hvorvidt behandlingen er nødvendig for å utføre en oppgave av allmenn interesse, jf personopplysningsloven § 8 litra d. Lovgiver har allerede tatt stilling til hvilken informasjon som skal overføres fra teleoperatørene til opplysningstjenestene, jf ekomloven § 7-4, jf ekomforskriften § 6-2. Videre har abonnenten tatt et valg i forhold til hvem abonnementet skal stå registrert på. Abonnenten blir informert om formålet med opplysningstjenestene og om mulig bruk av opplysningene som følge av søkemuligheter i elektroniske opplysningssystemer. Abonnenten har en rett til å reservere seg mot utlevering til slike tjenester. Datatilsynet kan ikke se at Opplysningen har rett til å overprøve en families avgjørelse uten samtykke fra abonnenten for å utføre en oppgave av allmenn interesse.
Oppdateringen vil dessuten være i strid med informasjonen som er gitt abonnenten av teleleverandørene, som følger av personopplysningsloven § 20 og konsesjon gitt teleoperatørene.
Datatilsynet har videre vurdert hvorvidt behandlingen er nødvendig for at den behandlingsansvarlige, eller tredjepersoner som opplysningene utleveres til, kan ivareta en berettiget interesse, og hensynet til den registrerte ikke overstiger denne interessen, jf personopplysningsloven § 8 litra f. Datatilsynet ser at Opplysningens alternative løsning der abonnenten får informasjon om at opplysningene er endret og gis anledning til å tilbakestille databasen, vil avhjelpe noen av personvernulempene ved endringen av databasen. Selv om abonnenten får muligheten til å tilbakestille databasen, kan ikke Datatilsynet se at Opplysningen har en berettiget interesse i å på forhånd oppdatere databasen og overprøve vurderingen abonnenten har tatt. Hensynet til abonnentens kontroll med opplysningene er mer tungtveiende enn klagers interesser i denne saken.
6 Personvernnemndas merknader
6.1 Innledning
Saken gjelder en nettside for barn og unge som Opplysningen har opprettet for å kunne oppdatere sin nummeropplysningstjeneste med informasjon om reell bruker av mobiltelefonnumre for så vidt gjelder ungdomssegmentet. Basert på den informasjon Opplysningen får fra bruker på ung1881.no, legger Opplysningen inn informasjon (mobiltelefonnummer) om bruker og sletter informasjon (mobiltelefonnummer) om abonnent. Dette er en behandling, jf personopplysningsloven § 2 nr 2, av en personopplysning, jf § 2 nr 1. Det er på det rene at å endre, legge til og slette opplysninger er behandling av personopplysninger. Opplysningstjenester er regulert i ekomloven og ekomforskriften.
6.2 Ekomloven med forskrifter
En abonnent kan ha flere mobiltelefonnumre og Opplysningen ønsker altså å endre opplysninger om ett eller flere av disse numrene for å reflektere den faktiske bruken av nummeret eller numrene. Dette ønsker Opplysningen å gjøre uten å måtte be om samtykke fra abonnenten.
Opplysningen har relasjon til både abonnent og bruker. I dette tilfellet ønsker Opplysningen (1) å slette opplysning om abonnent, og (2) å innføre opplysning om bruker knyttet til abonnentens mobiltelefonnummer. Dette vil være behandling av personopplysning både om abonnent og bruker, et forhold som reguleres av personopplysningsloven § 8 under den forutsetning at bruker og abonnent er fysiske personer.
Abonnenten vil ha et kontraktsforhold med telekomoperatøren. Etter denne avtalen stilles et spesifisert telefonnummer til abonnentens disposisjon. Når opplysning om bruker knyttes til det samme nummer, vil dette samtidig bli en opplysning om abonnenten – relasjonen mellom de to fysiske personene er også en personopplysning. Opplysningens adgang til å behandle disse personopplysningene vil styres av personopplysningsloven, og man må se om det foreligger et behandlingsgrunnlag etter personopplysningsloven § 8.
Før Personvernnemnda går nærmere inn i drøftelsen av behandlingsgrunnlag, vil nemnda drøfte forholdet til lov om elektronisk kommunikasjon 2003-07-04 nr 83 (ekomloven) med forskrift av 2004-02-16 nr 401 (ekomforskriften). Ekomloven og ekomforskriften regulerer forholdet mellom telekomoperatør og tilbyder av nummeropplysningstjenester. Det vil si at informasjonsflyten mellom disse aktørene (i hovedsak plikter hos telekomoperatører og rettigheter hos nummeropplysningstjenesteleverandører), er regulert der. Forholdet mellom abonnent og telekomoperatør er i utgangspunktet et kontraktsforhold. Etter hovedregelen i ekomforskriften § 6-2, 3.ledd heter det f eks (”sluttbruker” brukes i forskriftsteksten i den betydning ”abonnent” er brukt i drøftelsen ovenfor):
Sluttbruker skal vederlagsfritt kunne kontrollere, rette og trekke tilbake registrerte opplysninger. Sluttbrukere kan reservere seg helt eller delvis mot at informasjon om egne nummer, navn eller adresse utleveres til allmennheten. Tilbyder av offentlig telefontjeneste skal opplyse sluttbruker om at reservasjon mot oppføring i opplysningssystem kan gjøres vederlagsfritt.
Slik Personvernnemnda forstår denne bestemmelsen, søker den å gi abonnenten full kontroll over de registrerte opplysningene. Etter ekomforskriften § 6-3 forpliktes en ekomoperatør å gjøre visse opplysninger om abonnenten tilgjengelig til ”tilbydere av opplysningstjeneste”. Bestemmelsen inneholder en detaljert angivelse av hvilke opplysninger som slik skal overføres til leverandøren av opplysningstjenesten. Det fremgår av sammenhengen mellom de to bestemmelsene at om abonnenten ikke ønsker at opplysninger om egne nummer mv skal utleveres til allmennheten, så skal de heller ikke overføres til leverandrøren av opplysningstjenesten, jfr forskriften § 6-3, 3.ledd.
I dette tilfellet søker tilbyder av informasjonstjenesten å innhente opplysninger på annen måte enn den som er regulert i telekomforskriften.
Det må i og for seg være tillatt å henvende seg til brukere av mobiltelefoner med tilbud som forutsetter at disse frivillig gir fra seg opplysninger, typisk ved kjøp av tjenester. Men de opplysningene som innhentes på denne måte, kan ikke brukes til å erstatte eller supplere de opplysningene som er overført etter ekomforskriften § 6-3. Ekomforskriften søker å gi abonnenten kontroll med hvilke opplysninger som gjøres tilgjengelig for allmennheten, og det bryter mot denne ordningen at man åpner en ”bakvei” for uavhengig av abonnenten å endre eller supplere opplysningene. Hvis operatøren av informasjonstjenesten får indikasjoner på at abonnent er en annen enn bruker, antar Personvernnemnda at operatøren kan sende en forespørsel til abonnenten om hvorvidt opplysninger ønskes endret. Men bare hvis abonnenten positivt gir tillatelse til dette, kan operatøren av informasjonstjenesten gjøre slike endringer.
Dette er slik Personvernnemnda forstår ekomloven med forskrifter. Denne forståelsen vil være uavhengig av hvorvidt abonnent eller bruker er en fysisk person (og opplysningene derfor representerer personopplysninger etter personopplysningsloven) eller en juridisk person (og faller utenfor personopplysningsloven). Ekomloven og ekomforskriften skiller ikke mellom fysisk person og juridisk person.
6.3 Behandlingsgrunnlag etter personopplysningsloven
Personopplysningsloven regulerer personvernet til enkeltindividet. Ekomloven og ekomforskriften henviser til personopplysningsloven for så vidt gjelder individets rettigheter.
Hovedregelen etter personopplysningsloven § 8 er at behandling av personopplysninger skal bygge på samtykke fra den registerte. I dette tilfellet er både abonnent og bruker å regne som ”registrert” i personopplysningslovens forstand.
I vurderingen av hvorvidt det foreligger et behandlingsgrunnlag etter personopplysningsloven § 8, er det nærliggende å legge vekt på reguleringen etter ekomloven og ekomforskriften. Det følger av ekomforskriften at abonnenten må gi tillatelse til at bruker kan registreres på opplysningstjenesten. Etter Personvernnemndas syn styrker dette argumentet for at hovedregelen om samtykke etter personopplysningsloven § 8 må legges til grunn i dette tilfellet.
Personvernnemndas flertall (Jon Bing, Gro Hillestad Thune, Tom Bolstad, Leikny Øgrim, Siv Bergit Pedersen og Hanne I Bjurstrøm) er kommet til at Opplysningen må be om samtykke fra abonnent før informasjonen fra ung1881.no kan brukes til å oppdatere nummeropplysningstjenesten, jf hovedregelen i personopplysningsloven § 8. Nemnda er enig med Datatilsynet i at hensynet til abonnentens kontroll med opplysningene er mer tungtveiende enn klagers interesser. I denne saken ser nemnda derfor ingen grunn til å avvike fra hovedregelen om samtykke. Personvernnemnda har uttalt i PVN-2004-1 (STAMI) følgende om forholdet mellom samtykke (hovedprinsippet) og en nødvendighetsbegrunnelse (§ 8 a-f) som behandlingsgrunnlag:
For at man skal kunne gjøre et avvik fra hovedprinsippet, må det derfor foreligge en begrunnelse. Denne begrunnelsen kan, som nevnt ovenfor, ikke bare være en ren hensiktsmessighetsbetraktning, f eks å unngå kostnader, spare tid eller lignende – selv om slike begrunnelser selvsagt også må vurderes konkret i forhold til den enkelte sak
Nemndas flertall mener at personopplysningsloven § 8 litra b, d eller f ikke kan brukes i denne saken. Samtykke er hovedregelen og bygger på en tanke om at man skal ha kontroll over sine egne opplysninger. Etter nemndas syn har Opplysningen en rent kommersiell interesse i å kunne tilby ”den beste” opplysningstjenesten og denne interessen går etter nemndas mening ikke foran personverninteressen til abonnent og bruker. Det forhold at Opplysningen plikter å ha en aktuell opplysningsdatabase, medfører ikke at Opplysningen kan oppdatere databasen i strid med abonnentens ønsker og utover hva telekomoperatøren selv kan gjøre med grunnlag i kontrakten med abonnenten og reglene i ekomforskriften. Abonnenten må derfor samtykke til at numrene blir registrert på bruker og til at numrene eventuelt blir slettet som tilhørende abonnenten.
Flertallet er av den oppfatning at også brukeren må samtykke til at den informasjon han eller hun legger igjen på ung1881.no skal brukes til å oppdatere nummeropplysningstjenesten. Brukeren må gjøres oppmerksom på konsekvensene av at han eller hun legger igjen opplysninger om seg selv på nettsiden, og hva opplysningene skal brukes til, jf personopplysningsloven §§ 19 og 20.
Opplysningen har gjort et poeng av at personopplysningsloven ikke gjelder dersom abonnenten er en juridisk person. Til dette skal nemnda bemerke at det er korrekt at personopplysningsloven ikke gjelder for juridiske personer, men samtykke kreves sannsynligvis likevel, av kontraktsrettslige grunner. For eksempel vil en arbeidsgiver (abonnent) mest sannsynlig måtte bes om aksept før opplysningene som er registrert på arbeidsgiver endres til den ansatte (bruker). Dessuten skiller som nevnt ikke ekomloven og ekomforskriften mellom fysiske og juridiske personer.
Når en person har registrert seg som bruker av et mobiltelefonnummer på ung1881.no, må abonnenten (juridisk eier av mobiltelefonnummeret) kontaktes. Hvis abonnenten samtykker til at opplysningen endres, kan opplysningen om bruker registreres i opplysningstjenesten. Hvis abonnenten ikke samtykker eller ikke besvarer henvendelsen, så kan opplysningene ikke endres.
Personvernnemndas mindretall (Jostein Halgunset) er av en annen oppfatning. Mindretallet mener at både telekomoperatør og opplysningstjeneste behandler personopplysninger, men til ulike formål. Telekomoperatøren fører fortegnelse over abonnenter som nødvendig ledd i sin forretningsdrift, mens opplysningstjenesten har til formål å opplyse tredjepart om hvilket telefonnummer man bør ringe om man ønsker telefonisk kontakt med en gitt person. Opplysningstjenesten er derfor kun interessert i reelle brukere, mens det for denne er uinteressant hvem som betaler for abonnementet. Hovedprinsippet i personopplysningsloven er at den enkelte skal ha kontroll over opplysninger om seg selv. Derfor er samtykke hovedgrunnlag for behandling av personopplysninger, jf personopplysningsloven § 8. Nummeropplysningstjenesten kan med dagens lovgiving vanskelig begrunnes i annet enn samtykke. Men i personopplysningsloven er samtykke alltid samtykke fra den registrerte selv, jf definisjonen av begrepet i § 2, pkt 7. Når opplysningstjenesten registrerer bruker, kan samtykke derfor formelt sett ikke bety annet enn samtykke fra bruker. Et krav om at abonnent skal ”samtykke” til behandling av opplysninger om bruker, innebærer at en person skal gi tillatelse til behandling av opplysninger om en annen person. Et slikt krav kan følgelig ikke begrunnes i personopplysningsloven, og samtykkebegrepet brukes her i strid med lovens definisjon. Kravet er dessuten i strid med lovens hovedprinsipp om at enhver skal ha kontroll med opplysninger om seg selv. Et krav om samtykke fra abonnent, under henvisning til personopplysningsloven, kan således kun begrunnes ut fra argumentet om at opplysning om bruker samtidig er opplysning om abonnent. Personvernnemndas flertall påstår at en slik situasjon foreligger i det aktuelle tilfellet ved at de to navnene begge knyttes til samme telefonnummer. Det er imidlertid typisk for svært mange personregister at det for to ulike personer er registrert samme verdi for en eller flere variable. Formelt sett kan man da naturligvis hevde at selve registreringen av person nummer to innebærer en opplysning om den som allerede er registrert, i den forstand at vedkommende har ”noe til felles” med den som sist ble registrert. At dette skulle utløse en betingelse om samtykke fra den først registrerte, virker beste fall søkt og i alle fall umulig å gjennomføre som generell regel. Personopplysningsloven inneholder ingen bestemmelser som antyder at denne typen implikasjon skulle ha vært lovgivers intensjon. Forholdet er heller ikke nevnt i Kommentarutgaven til Personopplysningsloven av Wiik Johansen, Kaspersen og Bergseng Skullerud (Universitetsforlaget, 2001). Mens kravet om tillatelse fra abonnent ikke kan begrunnes i personopplysningsloven, gir ekomloven med forskifter abonnenten (=sluttbruker) full kontroll med de opplysninger om vedkommendes telefonnummer som skal utleveres til allmennheten. Ut fra dette regelverket kan opplysningstjenesten følgelig ikke føre opp en bruker i sine registre uten tillatelse fra abonnenten. Bestemmelsen har formodentlig sin bakgrunn i den alminnelige retten til fritt å bestemme over en vare man har kjøpt og betalt, i dette tilfellet et telefonabonnement. Umiddelbart fortoner den seg som sådan helt urelatert, både logisk og saklig, til den beskyttelsen av personopplysninger som er personopplysningslovens anliggende. Ut fra ovenstående kan nummeropplysningstjenesten oppføre reell bruker i sine register dersom vedkommende har samtykket etter personopplysningsloven § 8, eventuelt på samtykke fra foresatt, verge eller lignende i tilfelle manglende eller begrenset samtykkekompetanse, og dersom abonnent har gitt sin tillatelse etter ekomloven med forskrifter. Den databehandlingsansvarlige har etter personopplysningsloven §§ 11, 28 et selvstendig ansvar for å påse at feilaktige opplysninger blir rettet og at opplysninger som ikke er formålstjenlige, blir slettet. Slik retting og sletting er ikke avhengig av samtykke fra den registrerte, men baserer seg utelukkende på den databehandlingsansvarliges vurdering av opplysningenes faktiske verdi, det vil si om de er korrekte og nødvendige for formålet med virksomheten. Nummeropplysningstjenesten er derfor pålagt å slette opplysninger om abonnent som ikke er reell bruker, hvilket naturligvis ikke affiserer telekomoperatørens registre, som har et annet formål. I praktiske situasjoner kan det formodentlig være gjenstand for faglig og praktisk vurdering hvorvidt det er formålstjenlig eller ikke å opprettholde en gitt registrering. Dette rokker likevel ikke ved prinsippet om at denne vurderingen er et ansvar som loven pålegger den databehandlingsansvarlige.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 7. august 2008
Jon Bing
Leder