Forslag til endringer i covid-19-forskriften - etablering av et digitalt innreiseregistreringssystem og pålegg om selvregistrering
Sendt: 16.12.2020
Adressat: Justis- og beredskapsdepartemenet
1 INNLEDING
Vi viser til departementets høringsbrev av 15.12.2020 vedrørende ovennevnte høring.
Det er en prioritert oppgave for Advokatforeningen å drive rettspolitisk arbeid gjennom høringsuttalelser. Advokatforeningen har derfor en rekke lovutvalg inndelt etter fagområder. I våre lovutvalg sitter advokater med særskilte kunnskaper innenfor det aktuelle fagfelt og hvert lovutvalg består av advokater med ulik erfaringsbakgrunn og kompetanse innenfor fagområdet. Arbeidet i lovutvalgene er frivillig og ulønnet.
Advokatforeningen ser det som sin oppgave å være en uavhengig høringsinstans med fokus på rettssikkerhet og på kvaliteten av den foreslåtte lovgivningen.
I saker som angår advokaters rammevilkår vil imidlertid regelendringen også bli vurdert opp mot advokatbransjens interesser. Det vil i disse tilfellene bli opplyst at vi uttaler oss som en berørt bransjeorganisasjon og ikke som et uavhengig ekspertorgan. Årsaken til at vi sondrer mellom disse rollene er at vi ønsker å opprettholde og videreutvikle den troverdighet Advokatforeningen har som et uavhengig og upolitisk ekspertorgan i lovgivningsprosessen.
I den foreliggende sak uttaler Advokatforeningen seg som ekspertorgan. Saken er forelagt lovutvalget for forvaltningsrett, lovutvalget for IKT og personvern og menneskerettighetsutvalget.
2 ADVOKATFORENINGENS KOMMENTARER
2.1 For kort høringsfrist
Advokatforeningen har forståelse for at regelendringer på smittevernområdet må foregå i takt med utvikling av smittesituasjonen. Advokatforeningen mener imidlertid at det nå er uakseptabelt at det gis så korte høringsfrister som i dette tilfellet – bare 24 timer.
Som påpekt i både høringssvar av 27. november og 11. desember, er ikke pandemien lenger en ny situasjon. Høringsinstansene må kunne forvente å få mer enn noen få timers frist til å kommentere regler av stor betydning for innreisende til landet. Forslaget reiser viktige spørsmål, både av teknisk og prinsipiell art.
Høringsinstituttet har som formål å bidra til en grundig utredning i forkant av regelendringer. Reglene får legitimitet i samfunnet ved at de som berøres av endringene gis anledning til å uttale seg. Så korte høringsfrister som det foreliggende, avskjærer høringsinstansenes mulighet til å vurdere alle sider av de problemstillinger som aktualiseres ved forslagene. Det er sannsynlig et en lenger høringsfrist ville gitt et vesentlig bedre beslutningsgrunnlag.
2.2 Merknader til reglenes innhold
Advokatforeningen har forståelse for at bruk av innreiseregister fremstår som et nødvendig og hensiktsmessig middel for å begrense importsmitte, og foreningen mener det er mulig å gjennomføre et slikt tiltak på en måte som ivaretar grunnleggende personvernhensyn og som er i overensstemmelse med personvernlovgivingen. Advokatforeningen mener imidlertid at dette forslaget må justeres på flere ulike måter, for at slike hensyn skal være tilstrekkelig ivaretatt.
Notatet er svært kort i omtalen av inngrep i retten til privatliv etter EMK, og viser bare til personopplysningsproposisjonen, Prop. 56 LS (2017-2018) punkt 6.4 side 34 flg. for en nærmere omtale av kravene etter Grunnloven § 102 og EMK artikkel 8. Kort sagt innebærer det at inngrep i retten kan gjøres om tiltaket har tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, dvs nødvendig og proporsjonalt.
Det er særlig følgende elementer i forslaget som er problematiske slik Advokatforeningen ser det:
1) Hvilke opplysninger som kan registreres
Notatet er uklart med hensyn til hvilke opplysninger hjemmelen dekker, altså hva som skal registreres og fra hvem. I notatets punkt 4.5 skriver departementet "Hvilke opplysninger det helt konkret er behov for ut fra formålet med registreringen, vil kunne endre seg over tid. Kategoriene av opplysninger som er listet opp i forslaget til første ledd er derfor overordnet angitt, for å gi et visst rom for fleksibilitet." Dette kan være i strid med klarhetskravet til hjemmel. At alle innreisende for eksempel skal opplyse om arbeidsgiver, og at dette ikke bare gjelder innreisende arbeidstakere, er et eksempel på at det innhentes opplysninger som ikke er nødvendige for smitteforebygging. Det bør også gjøres en mer grundig vurdering av om behovet for opplysninger er bredere enn nødvendig for formålet, jf. GDPR art. 5.
Advokatforeningen vil også påpeke at innsamlingen av opplysninger skal brukes til flere formål, noe som var en utfordring med den første versjonen av appen Smittestopp, jf. Datatilsynets vurdering.
2) Hvem som skal ha adgang til registeret
Departementet legger opp til en vid adgang til innsyn i registeret. På notatets side 11 sies det «Det anses ikke nødvendig å regulere hvilke organer som kan gis direkte tilgang, slik at dette vil være avhengig av det konkrete behovet." Advokatforeningen er ikke enig i dette, og mener tvert imot at innsynsrettighetene må være regulert for at forskriften i tilstrekkelig grad skal ivareta grunnleggende personvernhensyn.
En vid adgang til å hente ut opplysninger fra databasen, kan også innebære at slettingen av personopplysningene blir illusorisk. Innen opplysningene slettes fra databasen, kan det allerede være hentet ut rapporter fra databasen som ligger lagret hos mange ulike aktører som mente å ha grunnlag for å hente ut opplysninger.
Hjemmel for utlevering er etter Advokatforeningens syn for bredt formulert og tvilsom etter GDPR. Det er nødvendig å vurdere behov for tilgang og utlevering mer konkret. Det må foreligge et behandlingsgrunnlag for all utlevering. Tilgang og søk i registeret må skje for et klart definert formål.
Advokatforeningen mener og også at alle uttrekk fra registeret må loggføres, dvs. at det i ettertid vil være kjent hvem som har hentet ut opplysninger, når dette skjedde, og hvilket formål som lå til grunn for uttrekket. Sistnevnte innebærer at alle som gjør uttrekk fra databasen, må angi formålet idet uttrekke gjøres. Denne loggen må bevares i lenger tid enn personopplysningene (foreslått til 20 dager), og loggen må derfor være underlagt særskilte begrensninger, fordi selve loggen også vil inneholde personopplysninger. Advokatforeningen mener dette er av så avgjørende betydning, at loggføringen må avklares og fastsettes i selve forskriften. Vi mener også at de registrerte bør varsles dersom deres personopplysninger er hentet ut av registeret, og at de da bør få innsyn i grunnlaget for uttrekket. Formålet med dette er selvfølgelig å avhjelpe risiko knyttet til snoking og annen misbruk.
Risikoen for at opplysninger kommer på avveie eller misbruk av informasjon til andre formål, er i liten grad vurdert i forslaget, og er en betydelig svakhet.
3) Varigheten av registreringsordningen:
En litt langsiktig utfordring, som Advokatforeningen ikke kan se at notatet beskriver, er selve varigheten av innreiseregistreringsordningen: Innføringen av et slikt innreiseregister vil lett kunne "gjøres om" til et alminnelig innreiseregister når grunnlaget for å ha ordningen – nemlig smitteforebygging – bortfaller. Advokatforeningen forutsetter at innreiseregistreringsordningen bortfaller så snart ordningen med karanteneplikt etter koronaloven bortfaller.
4) Formålsangivelsen
Forslaget angir tre alternative (men relaterte) formål: (1) å sikre etterlevelse av karanteneplikten, (2) å styrke smittevernarbeidet og (3) bidra til bedre smitteoppsporing. Advokatforeningen mener alternativ to er for vagt formulert, idet dette alternativet åpner for en bred adgang til å bruke opplysningene. I denne sammenheng viser vi til at Datatilsynet varslet forbud mot Smittestopp-appen nettopp fordi den åpnet for bruk til flere formål enn bare smittesporing, noe som ikke ble ansett å være i tråd med personopplysningsloven. For at denne forskriften skal være i tråd med loven, bør formålet være klart og tydelig angitt, noe som ikke er tilfellet når forskriften åpner for enhver bruk som kan anses å styrke smittevernarbeidet.
5) Ivaretakelse av den registrertes rettigheter
Forslaget inneholder ingen forslag eller vurderinger av hvordan den registrertes rettigheter skal ivaretas. Dette er viktig å vurdere når tiltaket legger opp til en detaljregistrering om enkeltpersoner som mange aktører, offentlige og private, vil kunne få tilgang til.
6) Håndtering av rapporter hentet ut av registeret.
Det er åpenbart at sletting av opplysninger fra innreiseregisteret har begrenset verdi dersom mange ulike aktører sitter på rapporter som er hentet ut av databasen og som ikke blir slettet. Siden det nødvendigvis vil være et relativt stort antall aktører som har tilgang til registeret, er det hensiktsmessig å fastsette regler om hvordan disse aktørene skal håndtere rapporter som er hentet ut av registeret. Ovenfor har vi nevnt at formålet med uttrekk fra registeret bør angis idet uttrekket gjøres, og at dette skal logges for ettertiden. I forlengelsen av dette mener vi forskriften bør angi at uttrekte opplysninger kun skal bruke til det formålet de er hentet ut for, og at opplysningene slettes når dette formålet er oppnådd, og senest innen et nærmere fastsatt antall dager. Unntak fra plikt til å slette slike uttrekte personopplysninger må gjelde for opplysninger som skal brukes i en rettslig behandling av brudd mot karanteneplikten.
Vennlig hilsen
Jon Wessel-Aas Merete Smith
leder generalsekretær