6 Behandling av personopplysninger

6.1 Bakgrunn

Når det skal innvilges økonomisk stønad til en person som etter NAV-kontorets konkrete og individuelle vurdering er uten arbeid på grunn av manglende norsk- eller samiskkunnskaper, skal NAV-kontoret undersøke om personen tilhører kategorien som omfattes av vurderingsplikt eller norskopplæringsplikt. Ettersom norskopplæringsplikten skal knyttes til personer som har hatt rett og plikt til å delta i introduksjonsprogram, må NAV-kontoret ha mulighet for å identifisere denne gruppen.

Nasjonalt introduksjonsregister (NIR) er et register over enkeltpersoners deltakelse i norskopplæring og introduksjonsprogram, og det fremgår der om en person har eller har hatt rettigheter og plikter etter integreringsloven. NIR er opprettet i medhold av integreringsloven § 43. Kommunene bruker NIR for å registrere opplysninger om deltakelse i introduksjonsprogram. Departementet foreslår at ansatte på NAV-kontoret som forvalter sosialtjenesteloven gis tilgang til personopplysningene i NIR og på den måten får informasjon om en person har hatt rett og plikt til å delta i introduksjonsprogram. En slik tilgang innebærer behandling av personopplysninger, som skal gjøres i overensstemmelse med personopplysningsloven.

6.2 Gjeldende rett

Lov om behandling av personopplysninger (personopplysningsloven) ble vedtatt 15. juni 2018 og trådte i kraft 20. juli 2018. Loven gjennomfører EUs personvernforordning (GDPR) i Norge. Forordningen skal verne fysiske personers grunnleggende rettigheter og friheter ved behandlingen av personopplysninger, samtidig som den skal sikre fri flyt av personopplysninger mellom medlemsstatene.

Forordningen artikkel 5 fastsetter grunnprinsippene for behandling av personopplysninger. Personopplysninger kan bare samles inn til spesifikke, uttrykkelig angitte og berettigete formål. Med et uttrykkelig angitt og konkret formål vil det i større grad være mulig å angi hvilke personopplysninger som er adekvate, nødvendige og relevante for å oppfylle formålet. Dette er et uttrykk for prinsippet om dataminimering. Artikkel 5 fastslår også at personopplysningene skal være korrekte og oppdaterte, og at de skal underlegges tilstrekkelig informasjonssikkerhet.

Det følger av artikkel 5 nr. 2 at den behandlingsansvarlige er ansvarlig for og må kunne påvise at disse prinsippene i forordningen overholdes. «Behandlingsansvarlig» er definert i artikkel 4 nr. 7 som en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.

Personopplysninger skal behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte. Det betyr blant annet at det må foreligge et gyldig rettslig behandlingsgrunnlag før behandling av personopplysninger kan skje. Reglene om behandlingsgrunnlag følger av forordningen artikkel 6, som sier at behandlingen bare er lovlig dersom ett av vilkårene i nr. 1 bokstav a til f er oppfylt. Departementet legger til grunn at bokstav e er aktuell i denne proposisjonen. Bokstav e gir adgang til behandling når dette er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt».

Artikkel 6 nr. 3 fastsetter nærmere krav til regulering i nasjonal rett. Det fremgår av bestemmelsen at grunnlaget for «behandlingen» nevnt i nr. 1 bokstav e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer at artikkel 6 nr. 1 bokstav e ikke alene kan utgjøre behandlingsgrunnlaget, men at det i tillegg må kunne vises til et supplerende rettsgrunnlag for behandlingen i nasjonal rett som den behandlingsansvarlige er underlagt.

Etter artikkel 6 nr. 4 kan personopplysninger behandles for et annet formål enn de opprinnelig ble samlet inn for, dersom den andre behandlingen er basert på samtykke eller nasjonal rett. Bruk av opplysninger i NIR for å vurdere om det skal stilles vilkår ved et vedtak om økonomisk sosialstønad, reiser spørsmål ved om opplysningene i registeret dermed vil bli benyttet til andre formål enn de opprinnelig ble samlet inn for. Det følger av forordningens fortalepunkt 50 at det ikke kreves et nytt rettsgrunnlag dersom det nye behandlingsformålet er forenlig med formålet opplysningene opprinnelig ble samlet inn for. Artikkel 6 nr. 4 bokstav a til e angir vurderingsmomenter for vurderingen av om formålene er forenlige.

Forordningen artikkel 9 regulerer behandlingen av såkalte særlige kategorier av personopplysninger. Forordningen stiller tilleggsvilkår for behandling av slike opplysninger. I henhold til artikkel 9 nr. 1 er behandling av særlige kategorier av personopplysninger i utgangspunktet forbudt, med mindre én av unntaksbestemmelsene i artikkel 9 nr. 2 kommer til anvendelse.

Det følger av integreringsloven § 41 at offentlige organer kan behandle personopplysninger, herunder personopplysninger nevnt i personvernforordningen artikkel 9 og 10, når det er nødvendig for å utføre oppgaver som nevnt i første ledd bokstav a) til e). Dette omfatter a) tiltak for å gi asylsøkere kjennskap til norsk språk og samfunnsliv, b) tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet, c) gjennomføring av prøver for dokumentasjon av norskkunnskaper og samfunnskunnskap, d) bosetting av innvandrere og e) utbetaling av tilskudd for tiltak som nevnt i bokstav a, b og d. Av integreringsloven § 42 andre ledd følger det at personopplysninger​ nevnt i § 41 første ledd kan utveksles mellom offentlige organer som har behov for opplysningene for å utføre oppgaver nevnt i § 41 første ledd, uten hinder av lovbestemt taushetsplikt.

Integreringsloven § 41 fjerde ledd slår fast at departementet kan gi forskrift om behandlingen av personopplysninger​ etter loven, herunder om krav til behandlingen, bruk av automatiserte avgjørelser, hvilke personopplysninger som kan behandles og reservasjonsadgang for behandling av personopplysninger. Slik forskrift er foreslått gitt i forskrift til integreringsloven. Forskriften har vært på høring høsten 2020, og gjelder blant annet behandling av personopplysninger om personer som omfattes av formålene i integreringsloven § 41 første ledd.

NIR er opprettet i medhold av integreringsloven § 43. Bestemmelsen fastsetter at det skal opprettes nasjonale personregistre for formålene nevnt i § 41 første ledd. Kommunene bruker NIR blant annet for å registrere dato for kommunens tilbud om introduksjonsprogram eller for framsatt krav om introduksjonsprogram, dato for vedtak om tildeling av introduksjonsprogram, tidspunkt for start i introduksjonsprogram og tidspunkt for avslutning av introduksjonsprogram og sluttårsak.

6.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet at ansatte på NAV-kontoret som forvalter sosialtjenesteloven, gjennom NIR skal kunne få informasjon om en person har hatt rett og plikt til å delta i introduksjonsprogram. Departementet viste til introduksjonsloven § 25, hvor det i første ledd blant annet fremgår at offentlige organer kan behandle personopplysninger når det er nødvendig for å utføre oppgaver i forbindelse med tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet, jf. bokstav b. Personopplysningene kan utveksles mellom offentlige organer som har behov for opplysningene for å utføre slike oppgaver, uten hinder av lovbestemt taushetsplikt.

6.4 Høringsinstansenes syn

Datatilsynet mener departementet ikke klart uttrykker hva formålet med behandlingen av personopplysningene er i høringsnotatet, og stiller spørsmål ved om dette er et annet formål enn opplysningene opprinnelig ble samlet inn for. Datatilsynet mener at formålet med å gi kommunen tilgang til NIR i forslaget innebærer noe annet enn oppgavene som utføres for å yte et opplæringstiltak. Videre er det blant annet påpekt at det i notatet ikke er vurdert hvilke konsekvenser det har at flere personer gis tilgang til registeret. Det beskrives heller ikke hvordan tilgangen skal gis.

6.5 Departementets vurderinger og forslag

6.5.1 NIR som kilde for opplysninger om rett og plikt til å delta i introduksjonsprogram

Departementet mener at NAV-kontorene bør få tilgang til opplysninger om stønadsmottakere som har hatt rett og plikt til å delta i introduksjonsprogram, og at NIR er en hensiktsmessig kilde til denne informasjonen. Forslaget medfører at allerede innsamlede personopplysninger i registeret skal brukes på nytt til andre formål enn de opprinnelig ble samlet inn for. Behandling av personopplysninger til andre formål enn de opprinnelig ble samlet inn for, er bare tillatt dersom formålene med behandlingen er forenlige. Vurderingsmomentene for om formålene er forenlige er opplistet i forordningen artikkel 6 nr. 4 bokstav a til e. Dersom konklusjonen er at det nye formålet er uforenlig med det gamle, må den nye behandlingen være basert på samtykke eller nasjonal rett for å være lovlig. Departementet vil først redegjøre for vurderingen av om formålene er forenlige.

6.5.2 Forenlige formål

Formålet med behandlingen av personopplysningene i dette lovforslaget må etter departementets syn vurderes opp mot de alternative formålene angitt i integreringsloven § 41 første ledd bokstav a til e. Bestemmelsen angir hvilke formål det kan behandles personopplysninger for etter integreringsloven. Bokstav b fastslår at offentlige organer kan behandle personopplysninger, herunder personopplysninger nevnt i personvernforordningen artikkel 9 og 10, når det er nødvendig for å utføre oppgaver i forbindelse med tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet. Etter departementets syn er dette det relevante alternativet å vurdere for dette lovforslaget.

Formålet med å stille vilkår om norskopplæring er i utgangspunktet det samme som for alle tjenestene i sosialtjenesteloven, herunder å fremme overgang til arbeid, sosial inkludering og aktiv deltakelse i samfunnet. Formålet med å stille vilkår om norskopplæring er nærmere bestemt å hjelpe mottakere av økonomisk sosialhjelp som trenger bedre norskkunnskaper for å komme i arbeid, til å bli selvforsørget. Departementet mener at det i utgangspunktet er nærliggende å anse dette som et tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet, jf. integreringsloven § 41 første ledd bokstav b.

Samtidig vil det praktiske og mer umiddelbare formålet med innhentingen av opplysningene være å ta stilling til om det skal stilles vilkår for å motta en økonomisk stønad. Datatilsynet synes i sitt høringssvar å ha lagt til grunn en slik forståelse av formålet med behandlingen. En slik definisjon av formålet kan gjøre det utfordrende å anse behandlingen som et tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet. Dette trekker i retning av at formålene ikke er forenlige. I tillegg kan vurderingsmomentene i forordningen artikkel 6 nr. 4 tale mot å anse formålene som forenlige. Departementet peker her på bokstav d, som angir at det skal tas hensyn til de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte. Departementet forstår dette slik at dersom konsekvensene for den registrerte er små eller uvesentlige, vil videre behandling til nye formål lettere aksepteres som forenlige med innsamlingsformålet. Dersom de negative konsekvensene for den registrerte derimot er store, vil terskelen være lavere for å anse behandlingen for det nye formålet som uforenlig med innsamlingsformålet.

Dersom en stønadsmottaker bryter vilkåret om norskopplæring, følger det av departementets forslag at det kan fattes vedtak om redusert stønad. Selv om forsvarlighetskravet setter grenser for hvor mye stønaden kan reduseres hvis vilkåret brytes, vil en reduksjon i stønaden vanskelig kunne anses som en liten eller uvesentlig konsekvens for stønadsmottakeren. Departementet mener dette må tillegges vekt i forenlighetsvurderingen. Departementet har på denne bakgrunn kommet til at det ikke kan legges til grunn at formålet med innhenting av personopplysningene fra NIR er fullt ut forenlige med formålene som angitt i integreringsloven § 41. Konsekvensen av dette er at den nye behandlingen må være basert på samtykke eller nasjonal rett, jf. forordningen artikkel 6 nr. 4.

6.5.3 Samtykke

Utgangspunktet i sosialtjenesteloven § 43 er at tjenestemottaker selv skal innhente de opplysninger som er nødvendige for den individuelle behovsvurderingen i saken. Bakgrunnen for denne bestemmelsen er tanken om at godt sosialt arbeid forutsetter tillit og samarbeid mellom den enkelte og sosialtjenesten. I høringsnotatet mente departementet likevel at det ikke er tilfredsstillende at NAV-kontoret skal legge til grunn stønadsmottakerens egne opplysninger om vedkommende på et tidspunkt har hatt rett og plikt til å delta i introduksjonsprogram etter integreringsloven § 8. Det ble heller ikke vurdert som aktuelt å basere seg på at stønadsmottakeren selv skal framlegge dokumentasjon som viser om vedkommende på et tidspunkt har hatt slik rett og plikt. Departementet antok at det kunne bli administrativt krevende, både for kommunen og tjenestemottakeren, om tjenestemottakeren skulle ha ansvaret for å innhente opplysningene NAV-kontoret trenger for å avgjøre hvilken plikt det har til enten å vurdere eller stille vilkår om deltakelse i norskopplæring. Høringssvarene har etter departementets syn ikke gitt grunnlag for en endret vurdering av dette.

Et annet spørsmål er om det likevel kan og bør legges opp til at den enkelte stønadsmottaker samtykker til at NAV-kontoret innhenter nødvendige opplysninger fra NIR. Økonomisk stønad til livsopphold etter sosialtjenesteloven er som nevnt et sikkerhetsnett i velferdsordningene. Rettigheten til stønad er uavhengig av årsaken til behovet og er ikke knyttet til bestemte livssituasjoner eller opparbeiding av rettigheter. Alle som ikke kan sørge for eget livsopphold gjennom arbeid eller ved å gjøre gjeldende økonomiske rettigheter, har krav på tjenesten. Stønadens karakter av å være det siste sikkerhetsnett i velferdsordningene, stiller krav om høy grad av tillit mellom det offentlige og tjenestemottakeren. For å sikre denne tilliten, kan det argumenteres for at behandlingen av personopplysningene bør baseres på samtykke fra den enkelte tjenestemottaker. Departementet vurderer likevel samtykke som et lite egnet rettslig behandlingsgrunnlag for innhenting av personopplysninger som er nødvendige for dette lovforslaget. Et samtykke er etter forordningen ikke gyldig dersom det foreligger press for å samtykke, eller dersom det oppstår negative konsekvenser dersom man ikke samtykker. Et slikt press kan oppstå med en ordning hvor tjenestemottaker risikerer en reduksjon i stønaden dersom vedkommende ikke samtykker til innhenting av de nødvendige opplysningene.

Departementet viser også til personvernforordningens fortalepunkt 43, hvor det blant annet heter:

For å sikre at et samtykke gis frivillig bør det ikke utgjøre et gyldig rettslig grunnlag for behandling av personopplysninger i et bestemt tilfelle dersom det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige.

Saker som det etter forslaget er aktuelt å stille vilkår i, vil ofte gjelde enkeltpersoner som befinner seg i en sårbar situasjon. Tjenestemottaker vil stå i et avhengighetsforhold til det offentlige og skjevheten i styrkeforholdet mellom det offentlige og personen det skal innhentes personopplysninger om, kan være stor. Dette taler mot å basere behandlingen av personopplysningene på samtykke fra stønadsmottaker. Departementet legger derfor til grunn at adgangen til å behandle personopplysningene bør forankres i nasjonal rett.

6.5.4 Forankring i nasjonal rett

Hovedregelen om innhenting av opplysninger etter sosialtjenesteloven er som nevnt at opplysninger så langt som mulig skal innhentes i samarbeid med tjenestemottaker eller slik at vedkommende har kjennskap til innhentingen, jf. sosialtjenesteloven § 43. I Prop. 135 L (2019–2020) Endringer i arbeids- og velferdsforvaltningsloven, sosialtjenesteloven, lov om Statens pensjonskasse og enkelte andre lover (behandling av personopplysninger), er det foreslått en ny lovhjemmel i sosialtjenesteloven § 43 a. Den foreslåtte bestemmelsen sier at kommunen, fylkesmannen, Statens helsetilsyn og Arbeids- og velferdsdirektoratet kan behandle innhentede personopplysninger, når dette er nødvendig for å behandle saker som gjelder alle de tjenestene kommunen administrerer med hjemmel i loven. Behandlingen vil begrenses gjennom kravet om at behandlingen må være nødvendig. Videre er det foreslått at departementet kan gi nærmere regler i forskrift om behandlingen, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, registerføring og tilgang til registre.

Forslaget til ny sosialtjenestelov § 43 a i Prop. 135 L (2019–2020) vil klargjøre de generelle rammene for behandling av personopplysninger etter sosialtjenesteloven. Departementet mener likevel at det bør gis et klart og utvetydig rettslig grunnlag i loven for behandlingen av opplysningene i NIR som er nødvendige for å vurdere om det skal stilles krav om norskopplæring, jf. forordningen art. 6 nr. 3. Formålet med en slik bestemmelse vil være å tydeliggjøre kommunenes adgang til å behandle personopplysninger i NIR, og på den måten sikre ivaretakelse av personvernet for den enkelte stønadsmottaker.

Departementet foreslår en hjemmel som gir kommunen adgang til å innhente opplysninger fra NIR i sosialtjenesteloven §§ 20 og 20 a. Hjemmelen for å behandle personopplysninger vil da fremgå av de samme paragrafene som fastsetter kommunens plikt til å stille vilkår om norskopplæring. Departementet anser dette som en oversiktlig og tilgjengelig måte å regulere adgangen til å behandle de aktuelle opplysningene. NAV-kontorenes fremgangsmåte for å innhente opplysningene fra NIR kan skje på ulike måter. Opplysningene kan innhentes ved å rette en anmodning til IMDi, som deretter henter ut opplysningene fra selve registeret. Departementet mener derimot at hensynet til en effektiv saksbehandling tilsier at opplysningene gis ved at ansatte ved NAV-kontorene gis direkte lesetilgang til registeret. I dag varierer det hvordan den enkelte kommune er organisert med hensyn til å registrere og lese opplysninger i NIR. Lovforslaget kan medføre at det i noen kommuner vil bli gitt ny lesetilgang til saksbehandlere i NAV-kontoret som i dag ikke har tilgang til registeret, mens dette ikke vil være tilfellet i andre kommuner hvor saksbehandlere i NAV-kontoret allerede har slik lesetilgang.

Personvernforordningens krav om tilstrekkelig spesifikt rettslig grunnlag, jf. artikkel 6 nr. 3 og 4, kan etter omstendighetene medføre at det må være uttrykkelig regulert at innhenting av personopplysninger kan skje ved direkte registertilgang. Dette beror på en vurdering av blant annet hvor inngripende behandlingen er, og i hvilken grad det er spesifisert i reglene for øvrig hva slags opplysninger som kan innhentes, hva de kan benyttes til mv. Etter departementets vurdering er det i dette tilfellet ikke nødvendig å regulere uttrykkelig i loven at innhenting kan skje ved direkte tilgang. Departementet understreker samtidig at det uansett må gjennomføres tekniske og organisatoriske tiltak i samsvar med reglene om internkontroll og personopplysningssikkerhet i forordningen artikkel 24 og 32.

Behandlingen av personopplysninger om rett og plikt til deltakelse i introduksjonsprogram eller direkte lesetilgang til NIR, vil ikke innebære behandling av særlige kategorier av personopplysninger, jf. personvernforordningen artikkel 9 nr. 1.

6.5.5 Vurdering av personvernkonsekvenser

Behandling av personopplysninger, som ikke er basert på samtykke, innebærer generelt et inngrep i personvernet til borgerne, i den forstand at de selv ikke kan bestemme over behandlingen av egne personopplysninger. Dette lovforslaget vil dessuten kunne ha som konsekvens at et større antall personer enn i dag gis tilgang til registeret. Opplysninger om rett og plikt til deltakelse i introduksjonsprogram er imidlertid helt nødvendig å innhente for at NAV-kontorene skal kunne behandle krav om økonomisk stønad i tråd med lovforslaget. Departementet ser heller ingen annen praktisk måte for NAV-kontorene å innhente de aktuelle opplysningene. Departementet legger til grunn at opplysningene i registeret er korrekte og oppdaterte, og at behandlingen vil skje på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene.

Videre innebærer ordlyden i forslaget ingen omfattende utvidelse i de rettslige mulighetene for å bruke personopplysninger til nye formål. Det vises til at forslaget ikke gir en generell hjemmel til å behandle enhver personopplysning i NIR. Behandlingen er begrenset til å gjelde opplysninger om rett og plikt til deltakelse i introduksjonsprogram, som skal brukes for et konkret og avgrenset formål. Departementet peker også på at saksbehandlerne ved NAV-kontorene har taushetsplikt, noe som er viktig for stønadsmottakernes rettssikkerhet og personvern. Departementet anser på denne bakgrunn at den registrertes personvernrettigheter etter forordningen er tilstrekkelig ivaretatt gjennom lovforslaget her.

Departementet viser til lovforslaget, sosialtjenesteloven §§ 20 femte ledd og 20 a femte ledd.