Utvidet spørsmål
Har Utdanningsdirektoratet rett til å registrere personopplysninger om elever i sentrale databaser, og hva kan de eventuelt registrere?Svar
Utdanningsdirektoratet kan ha rett til å samle inn elevopplysninger i databaser eller registre, men det gjelder strenge krav til fremgangsmåte, og ofte vil klar lovhjemmel eller samtykke være nødvendig.
Utdanningsdirektoratet (og alle andre) må ha et "rettslig grunnlag" for å behandle personopplysninger, se personopplysningsloven § 8. Dreier det seg også om sensitive personopplysninger, må de i tillegg ha rettslig grunnlag i samsvar med § 9. Registrering av personopplysninger kommer inn under slik "behandling" som en trenger rettslig grunnlag for å gjøre.
Kravet til rettslig grunnlag innebærer at Utdanningsdirektoratet må
- ha samtykke fra elevene det gjelder (eller deres foresatte), eller
- ha lovhjemmel, eller de må
- kunne vise til en av de "nødvendige grunner" loven lister opp i § 8 (eventuelt i § 9).
For å ha lovhjemmel, må det i loven/forskriften direkte sies at registre (eller databaser) kan eller skal opprettes. Slike "registerlover" kan være egen lov som kun gjelder opprettelse og drift av registeret (jf f.eks. folkeregisterloven). Det kan også være enkeltbestemmelser i en lov som primært gjelder andre spørsmål. For eksempel kan en tenke seg bestemmelser i opplæringslova om opprettelse mv av visse elevregistre. Vi er imidlertid ikke kjent med at det finnes slike bestemmelser som gir lovhjemmel til opprettelse av sentrale elevregistre. Oppgaveplikter mv som i opplæringslova § 14-1 siste ledd, gir neppe hjemmel til å etablere sentralt register.
Dersom lovhjemmel mangler, krever loven at det skal innhentes samtykke fra personene opplysningene gjelder. Se nærmere kommentarer om krav til samtykke og hvem som kan samtykke.
Dersom innhenting av samtykke er vurdert men ikke funnet brukbart, kan Utdanningsdirektoratet påberope seg slike nødvendige grunner som er angitt i § 8. Blant de mest aktuelle alternativene er "nødvendig for å utøve offentlig myndighet" og "nødvendig for å utføre en oppgave av allmenn interesse". Det er dessuten en adgang til å behandle personopplysninger på grunnlag av en bred interesseavveining i samsvar med § 8 bokstav f.
Ikke enhver vanskelighet med å innhente samtykke er tilstrekkelig til at nødvendig grunn kan brukes som rettslig grunnlag i stedet for samtykke. At innhenting av samtykke vil være kostbart, ta tid, innebære praktisk strev mv er ikke uten videre nok. Ofte må det i tillegg være andre momenter som gjør det problematisk å basere seg på samtykke. Desto større inngrep i personvernet innsamlingen av opplysninger uten samtykke er, desto sterkere må begrunnelsene være.
Hvilke opplysninger innsamlingen kan omfatte, avhenger av det rettslige grunnlaget:
- Er grunnlaget lovhjemmel, kan en samle inn de opplysninger som er angitt i loven.
- Er grunnlaget samtykke, gir det anledning til å samle inn de opplysninger som eksplisitt er akseptert av den enkelte.
- Er grunnlaget "nødvendig grunn", er det kun de opplysninger som er nødvendige (for myndighetsutøvelse mv) som kan samles inn. Merk at "nødvendig" er et ganske strengt krav, og innebærer klart mer enn "kjekt å ha".
Registrering av personopplysninger uten samtykke, vil være et inngrep i den enkeltes rett til å bestemme over sine private forhold. I en rettsstat skal inngrep ha hjemmel i lov, jf legalitetsprinsippet. Jo flere personopplysninger som samles inn og jo mer sensitive opplysningene er, desto mer taler derfor for at spørsmålet reguleres i lov, og at "nødvendig grunn" unngås som rettslig grunnlag.
