Forslag til forskrift om behandling av personopplysninger i programmet Sammen på vei
1 Innledning
Advokatforeningens tillitsvalgte advokater utfører et omfattende frivillig og ulønnet arbeid for å ivareta rettsstaten, rettssikkerheten og menneskerettighetene. En del av dette arbeidet består i å utarbeide høringsuttalelser.
Advokatforeningens høringsarbeid er organisert i 27 lovutvalg og 13 faste utvalg, oppdelt etter særskilte rettsområder og rettslige interesseområder. Om lag hundre høringsuttalelser utarbeides av Advokatforeningens tillitsvalgte advokater hvert år.
Alle våre høringsuttalelser er forfattet av advokater med ekspertise innenfor det rettsområdet som lovforslaget gjelder. En ekspertise som ikke er hentet kun fra juridisk teori, men fra advokatenes praktiske erfaring med å bistå sine klienter – i den norske rettsstatens hverdag. Denne høringsuttalelsen er skrevet ut fra Advokatforeningens ønske om å bidra til gode lovgivningsprosesser, og gode lover.
2 Sakens bakgrunn
Vi viser til Barne- og familiedepartementets høringsnotat «Forslag til forskrift om behandling av personopplysninger i forbindelse med programmet Sammen på vei», med høringsfrist 8. desember 2023. Høringen gjelder fastsettelsen av en forskrift for å sikre en forsvarlig og lovlig behandling av personopplysninger i programmet.
Denne høringsuttalelsen er i hovedsak utarbeidet av Advokatforeningens lovutvalg for IKT og personvern. Lovutvalget består av Malin Tønseth (leder), Christopher Sparre-Enger Clausen, Eirin H. Haukvik, Lars Arnesen, Gry Hvidsten og Kari Gimmingsrud, som alle har lang erfaring og god kompetanse innenfor det aktuelle rettsområdet.
3 Advokatforeningens merknader
Advokatforeningen støtter forslaget om å gi en forskrift som gir et klart hjemmelsgrunnlag for behandlingen av personopplysninger, herunder også for forskningsformål (effektstudien). Advokatforeningen stiller imidlertid spørsmål ved om det er riktig at Regionsenter for barn og unges psykiske helse, Helseregion Øst og Sør (RBUP) og kommunene er (kun) databehandlere for Bufdir, jf. GDPR art. 28. Det fremgår i høringsnotat på side 5 at hvert utprøvingsområde har en vertskommune hvor NFP-teamet er ansatt og journal er lagret. Det er altså kommunene som tilbyr tjenesten og er ansvarlig for journalføringen. For eksempel vil en helsesykepleier i teamet være ansatt i kommunen og utføre arbeid som helsepersonell. Høringsnotat gir ikke et tilstrekkelig grunnlag for å vurdere om RBUP og/eller kommunene er databehandlere, eller om disse er selvstendig behandlingsansvarlige for enkelte av behandlingsaktivitetene, eventuelt i fellesskap med Bufdir. Advokatforeningen anbefaler derfor departementet å vurdere rollene til de involverte instansene på nytt.
I tillegg vil Advokatforeningen peke på at høringsnotatet i liten grad vurderer barnets selvstendige rettigheter. Det følger av forskriften at personopplysningene skal lagres i lang tid, 30 år. Etter Advokatforeningens syn bør forskriften i større grad sikre barnets rettigheter for eksempel ved at informasjon gis til barnet ved en viss alder. Informasjon ved fylte 16 år kan være aktuelt.
Avslutningsvis vil Advokatforeningen understreke at Bufdirs ansvar ved overlevering av personopplysninger til forskning (effektstudien) er mer enn bare å sikre at overleveringen av opplysningene er forsvarlig, jf. Forskriftsutkastet § 2 fjerde ledd andre punktum. Etter GDPR vil den behandlingsansvarlige ha flere plikter, se blant annet artikkel 24 og 32. For eksempel kan en vurdering etter art. 24 innebære behov for ulike tiltak, slik som pseudonymisering, avtale om sikkerhetstiltak med forskeren/forskningsinstitusjonen osv. Dette bør reflekteres i forskriften.
Vennlig hilsen
Jon Wessel-Aas Merete Smith
leder generalsekretær