Elektronisk Forpost Norge
Pb. 2631 Solli
0203 Oslo
Nærings- og
handelsdepartementet
30. september 2004
Postboks 8014
Dep 0030 Oslo
Først vil vi stille et spørsmålstegn ved fraværet av signatur under rapporten Persondata-utveksling i Norge. Det må regnes som normal prosedyre å signere en rapport av så stor offentlig interesse og viktighet som tilfellet er her. Slik den nå ble fremlagt, får ikke leseren vite hvem som faktisk har forfattet rapporten og trukket de der fremkomne konklusjoner. Det nærmeste vi kommer i så måte, er en liste med navn over deltakerne i referansegruppen som åpenbart har fungert som konsulenter for rapportens forfatter(e). Dermed forblir disse anonyme, og det er ikke uten en viss undring vi må konstatere at en rapport som omhandler de utallige skjæringspunkter mellom privatliv, personvern og offentlighet, og som på flere punkter synes å ville nedtone personvernhensyn til fordel for en formodet forvaltningsmessig effektivitet, er skrevet av forfattere som selv har valgt å forbli anonyme. Hva vi dermed står igjen med, er at noen for offentligheten ukjente personer tilknyttet det private firmaet daVinci Consulting A/S har trukket omfattende konklusjoner om hvordan de mener at persondata, som i svært mange tilfeller vil være sterkt sensitive persondata med stor betydning for det enkelte individ, skal administreres, behandles og utveksles i den fremtidige offentlige forvaltning. For de mange samfunnsinteresserte borgere som vektlegger verdier som innsyn, forståelse, deltakelse og medbestemmelse må dette fortone seg som utilfredsstillende.
Dernest noen generelle innledende kommentarer, som vi velger å knytte til utfordringene rundt digitale signaturer, eller hva som i lovverket nå beskrives som "avansert elektronisk signatur."
Det kan neppe herske tvil om at digitale signaturer representerer en naturlig og ønskelig, ja nødvendig, komponent i den digitale infrastrukturen. Elektronisk autentifisering og identifisering er i svært mange sammenhenger noe vårt samfunn i høy grad har behov for. En kan her nevne at digitale signaturer med PKI-sertifikat gir mulighet for sikker personidentifisering og autentifisering overfor myndigheter og offentlige institusjoner, de gir mulighet for optimalisert sikkerhet i former for betalingstransaksjoner, og med et digitalt sertifikat åpnes det for mulighet til på en enkel og effektiv måte å inngå bindende avtaler ad elektronisk vei.
Siden det er allmenn enighet om hensiktsmessigheten og ønskeligheten av å ta i bruk digitale sertifikater skal vi her diskutere premissene for innføringen og bruken av dem. Etter vårt skjønn er det for å kunne tilby den best mulige løsning for borgerne nødvendig å se på noen grunnleggende forutsetninger som bør være på plass før digitale sertifikater introduseres. I denne forbindelse reiser det seg flere spørsmål som krever nøye ettertanke og vurdering.
Hvilke typer sertifikater trenger vi, hvilken informasjon skal de enkelte typene av sertifikater inneholde, hvilke konkrete bruksområder skal de dekke, og ikke minst: Hvilke standarder skal de baseres på?
Vi vil her følge den inndelingen som er gjort av det utvalg som etter forslag fra Arbeids- og administrasjonsdepartementet ble oppnevnt ved kongelig resolusjon den 04.02.2000, og opererer med:
For EFN er det i første rekke de offentlige personsertifikater som er interessante i denne drøftingen, slik de er det for samtlige norske borgere som vil omfattes av ordningen.
For at et personsertifikat skal ha den størst mulige brukervennlighet og fylle sitt formål best mulig for flest mulig individer bør en PKI-basert infrastruktur som skal benyttes i elektronisk kommunikasjon bygges på åpne standarder. Dette innebærer at teknologien bak ikke må forutsette bruk av eksempelvis bestemte maskinvare- eller programvareplattformer, men kunne implementeres med alle kjente datamaskiner og operativsystemer. Merk at det her ikke vil være tilstrekkelig med åpne spesifikasjoner. Det er, for at brukerne skal ha mulighet til å benytte sitt digitale sertifikat på sin valgte plattform, nødvendig med åpne standarder som er uavhengige av bestemte firmaers løsninger, og som derfor utvikles for og deretter benyttes på ulike programvareplattformer. En annen side av dette er at åpne standarder eliminerer faren for at enkeltaktører kan oppnå en monopolliknende situasjon. EFN mener derfor at det er av svært stor viktighet at programvare for autentifisering/identifisering, signering og kryptering følger slike åpne standarder, slik at brukerne unngår å måtte henvises til bruk av bestemte programvareplattformer for å utnytte sine elektroniske sertifikater.
Det har hittil i stor grad vært fokusert på bruksområdene for digitale sertifikater. Etter vår oppfatning er det dessuten påkrevet med en avgrensning med hensyn til når disse skal anvendes, og da især med tanke på offentlige personsertifikater. For at borgerne skal kunne nyte godt av privatliv på den elektroniske arena, slik at personvernet kan ivaretas på samme måte som når vi som individer fritt kan gå tur i skogen eller langs veien, må bruk av elektroniske sertifikater begrenses til funksjoner og tjenester der identifikasjon og autentifisering er nødvendig av sikkerhetsmessige grunner. Tjenester som nødvendiggjør tilgang til og/eller bruk av allerede eksisterende personopplysninger og/eller innsendelse av nye er et eksempel på dette, i likhet med en rekke former for betalingstransaksjoner hvor eksempelvis en dokumentasjon av en innbetaling er ønsket fra betalerens side. Det må derimot advares mot at digitale sertifikater forsøkes gjort obligatoriske i alminnelige former for elektronisk kommunikasjon når disse ikke involverer funksjoner som de forannevnte og personidentifisering derfor er unødvendig for den aktuelle tjenestens formål. Vi trekker frem dette momentet dels på grunn av at bruk av offentlig personidentifikator med obligatorisk identifisering fra enkelte hold har vært foreslått som forutsetning for vanlige former for elektronisk kommunikasjon og aktivitet, dels fordi nye muligheter og funksjoner kan tenkes å over tid bli tatt i bruk for formål som ikke har relevans for det opprinnelig forutsatte og erklærte formål, og da i uheldigste fall formål som medfører uforutsette og gjerne uerkjente skadevirkninger for de som berøres.
Under rapportens kapittel 3.2, "Struktur," finner vi rapportens skisse over hvordan man tenker seg oppbygningen av en nasjonal metamodell for persondata. Metamodeller er definert under 2.2.6, hvor rapporten diskuterer metamodeller og personvern, og trekker en slutning om at:
En slik manglende samlet oversikt er kanskje ikke en personverntrussel i seg, men det er i hvert fall en personvernulempe at det er vanskelig å se den samlede informasjon som forvaltningen har om en person.
Vi finner snarere at hovedsaken er at det oppstår en potensiell risiko for personvernet dersom forvaltningens informasjonsstruktur innebærer en for personvernet uhensiktsmessig kobling mellom ulike typer informasjon som er registrert om individet i vidt forskjellige sammenhenger og for vidt forskjellige formål. Hvis vi ser nærmere på målformuleringen, uttrykkes denne som følger i samme kapittel:
Umiddelbart kan de erklærte målsetningene virke positive nok, og under gitte omstendigheter kan de gjennomføres på en måte som ivaretar personvernhensynene, men ikke uten nøye gjennomtenkning og justeringer hvor man bevisst velger å gi personvern en høy prioritet.
Under punkt 3.2.1, "En nasjonal metamodell for persondata," og spesielt 3.2.2 "Metamodellen og lovverket" blir dette enda tydeligere, når det sies at:
Når en slik metamodell er etablert så kan nye og reviderte lover referere til hva slags informasjon som er underlagt den gjeldende lov, uten å være spesifikk på hvilket register denne informasjonen er lagret i. Dette vil gjøre lovene mer uavhengige av en spesifikk oppdeling av data i registre og gjøre det enklere å endre systemer og virksomheter uten å måtte endre lovene.
EFN er av den oppfatning at rapporten her fullstendig ser bort fra mulige og dertil kanskje sannsynlige negative konsekvenser for borgerne, og det er grunn til å slå fast at det i en slik modell som her skissert vil bli helt umulig for det enkelte individ å ha noen form for kontroll og bestemmelsesrett over hvilke data om ham eller henne som skal sendes og lagres hvor og på hvilke premisser. Nye og reviderte lover og forskrifter vil kunne gjøre denne situasjonen mer alvorlig, og når gjenbruk av persondata og bedret tilgjengelighet formuleres som klare målsetninger mener EFN at dette blir altfor lite spesifikt og åpner for en altfor stor svekkelse av personvernet. Dette er desto mer åpenbart når man så utvetydig forutser at forvaltningsmessige hensyn i fremtiden kan komme til å utvide bruken og gjenbruken av de eksisterende persondata. Vi savner her en helt sentral konsekvensanalyse av hvilke personvernmessige ulemper bruken av den skisserte modell vil ha. Når denne er fraværende, er det etter vårt skjønn alvorlig for personvernet.
Under 3.2.6 sier rapporten følgende:
Den forbedrede struktur i lagrede persondata som en metamodell for persondata ventes å gi, kan gjøre det enklere å koble sammen persondata fra flere kilder. Dette vil noen se på som en personvernulempe. Men slike argument må balanseres opp imot den forbedrede oversikt og innsikt som en slik forbedret struktur vil gi. En ryddigere struktur og tydeligere kobling mellom lov og persondataregistre, og persondataregistre seg imellom, vil gi større personvernfordel enn ulempe. Den viktigste effekten er muligheten for å øke publikums forståelse av og innsikt i den informasjon som det offentlige forvalter om hvert individ.
Vår kommentar til dette må bli at enhver mulig ulempe alltid må balanseres mot mulige fordeler, så også i dette tilfellet. Dette er et utsagn som enhver vil kunne være enig i slik det står, og det blir derfor intetsigende på grensen til å være tilslørende. En enkel konstatering av nødvendigheten av å veie for og i mot sier intet om hvilke premisser som ligger til grunn for den aktuelle avveiningen og hvorfor man her synes å legge opp til en modell for persondataadministrasjon som i sterk grad muliggjør og til dels forutsetter en utstrakt duplisering og krysskobling av data fra et ukjent antall etater og kilder.
EFN finner her at det åpenbart legges opp til en persondatastruktur som åpner for en betydelig svekkelse av personvernet, og at grunntonen i rapporten gir et beklagelig inntrykk av at personvernhensyn nedtones og skyves til side til fordel for et ønske om effektivisering. Dette vil måtte være en slett forvaltningspraksis og innebære et vedvarende press mot personvernet og mot den enkeltes integritet. Vi mener at det må være hevet over enhver tvil at den planlagte modellen hvor det gjøres enkelt å koble persondata fra flere kilder medfører ikke bare "ulemper", men at hele planleggingen vitner om at personvernet bevisst tilsidesettes for å oppnå effektiviseringsgevinster. Hvorvidt disse effektiviseringsgevinstene i alle tilfelle er reelle eller ei, er ikke noe hovedpoeng i vår sammenheng. Hva som derimot er hovedpoenget, er at en forvaltning som faller for fristelsen til å ofre personvernet på effektiviseringens alter, svikter det overordnede ansvar for sine borgere. Personvernet og den enkelte borgers integritet er for viktig til at det i en ansvarlig forvaltning som skal tjene innbyggerne bør kunne nedprioriteres under henvisning til effektivitetskrav.
Vi ønsker derfor klare retningslinjer og regler som utvetydig slår fast at enhver bruk av persondata i offentlig forvaltning må være konsekvent formålsrelatert. EFNs standpunkt er at dette må legges til grunn for selve informasjonsinfrastrukturen og for all behandling av persondata i offentlig forvaltning.
Under punkt 3.2.5 om "Metamodellen og kilde- og formålssporing" sier rapporten følgende:
Metadata blir viktig i det nye målbildet hvor data ikke reguleres av hvilket register det ligger i eller kommer fra, men hvor data reguleres ut fra sitt innhold. Det blir da viktig å kunne spore kilden til dataene for å kunne vurdere dennes kvalitet i forhold til formålet.
Vår oppfatning er at dette er et helt feil fokus, og at det uttrykte resonnementet dermed er uholdbart. Hvis dataene, i dette tilfellet personrelaterte data, skal benyttes i henhold til sitt formål blir det nettopp avgjørende å relatere dataene til det spesifikke og formålsrelaterte registeret de ligger i. Hvorfor? Vi ser to hovedbegrunnelser som vi her vil peke på:
1. Fordi den faste relasjonen mellom data som er innhentet og samlet med ett bestemt formål for øye og det relevante registeret som de ligger i, er den best mulige garanti for forsvarlig saksbehandling. En utstrakt mulighet for krysskobling mellom data og som erfaringsmessig blir benyttet når muligheten først ligger der, og som tilveiebringer en stor mengde overskuddsinformasjon uten direkte relevans for det aktuelle formålet, vil meget lett kunne påvirke saksbehandlingen i ugunstig retning for det enkelte individ. Gjennom den offentlige forvaltning vil hver eneste innbygger uten unntak komme i befatning med et meget stort antall sektorer og etater i forbindelse med søknader, ytelser og andre administrative funksjoner som involverer valgsituasjoner som berører enkeltindividet, og hvor kvaliteten på avgjørelsene er av meget stor betydning for den enkelte. Dersom mest mulig objektivitet og rettferdighet skal oppnås, er det følgelig av den største viktighet at man tilstreber en streng formålsrelatering mellom informasjon og informasjonskilde/register. Selv om vi i vår moderne og opplyste tid liker å forestille oss at våre beslutninger treffes etter "objektive" kriterier, vet vi eller bør vite at det ikke er slik. Personlige og subjektive faktorer utgjør en viktig komponent i alle avgjørelser som tas av mennesker, og slik vil det alltid være. Det er heller ikke nødvendigvis noe mål å redusere denne faktoren i seg selv, fordi selve begrepet "skjønn" nettopp baserer seg på de personlige tolkningene av et saksforhold. Men, for at denne tolkningen skal være mest mulig objektiv og rettferdig er det viktig at beslutningsgrunnlaget i hvert tilfelle består av en mest mulig objektiv, i betydningen strengt saksrelatert, informasjon. En stor mengde overskuddsinformasjon som fordi det dreier seg om overskuddsinformasjon definisjonsmessig ikke kan være saksrelatert, vil kunne påvirke beslutningene i en annen retning enn dersom de aktuelle saksbehandleres beslutningsgrunnlag utelukkende hadde vært data som hadde direkte forvaltningsmessig betydning for de saksforhold som avgjørelsen bygger på. Derfor er en avgrensning her, slik at de data som innhentes i en saksbehandling begrenses til de strengt saksvedkommende sådanne, den beste og i realiteten eneste gangbare metode for å sikre kvaliteten på dataene og dermed kvaliteten av de beslutningene de har som formål å muliggjøre.
2. Den andre begrunnelsen for hvorfor en utstrakt krysskobling av persondata er betenkelig, er naturligvis at en utstrakt tilgjengelighet av overskuddsinformasjon nødvendigvis innebærer at den totale mengden av unødvendige opplysninger om hvert individ som forvaltes i de enkelte sektorer øker, og da vil også risikoen for skadeeffekter, derunder misbruk og data som kommer på avveie, øke. Dette er et forhold som bør kunne konstateres som ubestridelig, og som ikke kan endres via rutiner og sporing av hvem som har aksessert data for å forhindre at noen som der og da ikke har rett til informasjon allikevel henter den. Det gjenstår nemlig at mengden av lagrede data om enkeltindividet er øket, og at resultatet vil måtte bli at det offentlige forvalter og har tilgang til et informasjonstilfang om den enkelte som i mange tilfeller må bli langt mer enn hva som er påkrevet for en adekvat saksbehandling i hver enkelt beslutningsprosess. Å hevde at den i rapporten skisserte modell "vil gi større personvernfordel enn ulempe" slik rapportens forfattere gjør uten å på noe tidspunkt være i nærheten av å sannsynliggjøre at det forholder seg slik gir mer inntrykk av å være en slags besvergelse for å bevege offentligheten til aksept av en persondataadministrasjonsstruktur man på forhånd har bestemt seg for, enn en begrunnet og saklig opplysning.
I løpet av rapportens 64 sider forekommer ikke et eneste tilløp til seriøs drøftelse av hvordan den foreslåtte informasjonsbehandlingsstrukturen går på bekostning av personvernet, langt mindre noen erkjennelse av ulemper og misbrukspotensialer som følger av en svekkelse av personvernet. I stedet gis hensynet til effektivisering forrang, og det skinner tydelig gjennom at oppfatningen hos rapportens forfattere er at et godt personvern er et hinder for effektiviteten og derfor må vike. Dette uttrykkes gjennom gjentatte summariske henvisninger til at fordelene oppveier ulempene, og det henvises til effektivitet som om begrepet "effektivitet" er et trylleformular som fjerner alle andre betenkeligheter. EFN mener at denne overfladiske tilnærmingen til et for hele befolkningen så viktig spørsmål er direkte uansvarlig tatt i betraktning hvilken betydning vernet om den enkeltes integritet har og i økende grad vil ha i vår elektroniske hverdag.
Under punkt 3.3.2, "Strukturering av ofte overførte persondata, standardmeldinger" beskrives en foreslått modell for såkalte standardmeldinger for "ofte etterspurte persondata". Om hvorfor disse ønskes innført, sies følgende:
Hensikten med slike standardmeldinger er at de aktører som har et behov for å utveksle persondata skal, så sant det er mulig, benytte standardmeldingene fremfor å skreddersy egne meldinger for spesifikke behov.
Spørsmålet som her oppstår blir med hvilken begrunnelse man egentlig tilstreber å unngå å tilpasse saksrelevant informasjon til den foreliggende sak, noe som må betraktes som den beste fremgangsmåte for å oppnå en forsvarlig saksbehandling. Hver enkelt sak skaper i realiteten spesifikke behov som følgelig bør oppfylles med informasjon som er tilpasset disse. Det er vanskelig å få øye på noen slik begrunnelse i rapporten, og enda vanskeligere å få øye på noen dekning for den.
Videre under samme punkt skrives det om "Standardiserte meldinger og personvern":
Det kan sees på som en personverntrussel eller ulempe at det benyttes standardmeldinger til utveksling av persondata, fremfor at det i hvert tilfelle avgjøres hvilke persondata som skal utleveres. En standardmelding vil i noen tilfeller kunne medføre utlevering av overskuddsinformasjon, eller underskudd på informasjon, i forhold til en individuell vurdering knyttet til en enkelt utlevering/sak etter minste privilegiums prinsipp. I samband med utvikling av standardmeldinger vil man i meldingsutviklingsprosessen kunne gjøre grundigere vurderinger av hvilken informasjon som skal utleveres for gitte saksbehandlingstilfelle, enn det som kan gjøres for hvert enkelt tilfelle. Men det vurderes at likebehandlingen og sporbarheten som oppnåes ved å bruke standardiserte meldinger er en bedring av personvernet og vil oppveie personvernulempen.
EFN vurderer det som alvorlig dersom det i offentlig forvaltning skal legges opp til bruk av standardmeldinger til erstatning for skreddersydde informasjonsenheter tilpasset den enkelte sak. God saksbehandling tilsier etter vår bestemte oppfatning at det i forhold til hver enkelt sak tas en beslutning om hvilken informasjon som er nødvendig i saksbehandlingen, og at man deretter innhenter den spesifikke informasjonen og kun denne. Fravikelse av dette prinsippet vil måtte medføre en svekkelse av personvernet og dertil en øket risiko for inadekvat og i verste fall vilkårlig saksbehandling når distribusjon av overskuddsinformasjon i svært mange saker ikke er til å unngå. Når det er dette som er det faktiske forhold, hjelper det ikke å si at man likevel vurderer det slik at ulempen er oppveid.
Å fremstille den skisserte prosedyren som en "bedring av personvernet" er en helt feilaktig beskrivelse, og hvor galt resonnementet er, understrekes ytterligere i følgende setning:
Et annet viktig moment som taler for bruk av standardmeldinger er at de sikrer et enhetlig informasjonsgrunnlag for en gitt sakstype slik at alle sakene av den typen blir likebehandlet med hensyn til informasjonsgrunnlaget.
Vi beklager å måtte konstatere at dette er å sette situasjonen ganske ettertrykkelig på hodet. Likebehandling av saker forutsetter som et ufravikelig krav at informasjonsgrunnlaget er individuelt tilpasset hver enkelt konkrete sak. Vi er nødt til å erkjenne at så å si alle saker er forskjellige og derfor krever individuell saksbehandling med dertil hørende spesifisert saksrelevant informasjon. Var det ikke slik ville saksbehandling være overflødig, og sakene kunne avgjøres automatisk. Satt på spissen kan en si at det nesten er en slik form for saksbehandling man her skisserer. Ved å hevde at standardmeldinger gir likebehandling når saken er at det motsatte altfor lett kan bli tilfellet, gjør rapporten seg skyldig i en feilfremstilling og en tilsløring av de faktiske forhold. Hvorfor dette gjøres vites ikke, men det er etter vårt skjønn utvilsomt at den foreslåtte modellen med standardmeldinger hverken vil tjene hensynene til personvernet eller være optimale for en forsvarlig saksbehandling.
Et annet sted under samme punkt sies det også at: "Standardiserte meldinger vil også gi mulighet for forenkling av prising og avtalestrukturer". Dét kan bare kommenteres med at hensynet til "forenkling av prising" vel ikke bør være avgjørende i offentlig saksbehandling.
EFNs standpunkt til disse spørsmålene er at den "markedstilpassede" vektleggingen av en mer eller mindre reell "effektivitet" på bekostning av personvernet vil innebære en utvilsom og skadelig svekkelse av personvernet, og at Nærings- og handelsdepartementet bør ta seg disse momentene ad notam og handle deretter. Vi trenger en effektiv og godt funksjonerende offentlig forvaltning, men samtidig har vi ikke råd til å kaste sentrale personvernhensyn på bålet. Her hjelper det ikke å påberope seg effektivitetshensyn; for offentlig forvaltning bør det være borgernes ve og vel som i alle tilfeller gis høyeste prioritet. I dette bildet bør viktigheten av personvernet stå sentralt fordi personvernets utfordringer er mange og store i en tid hvor mengden og omfanget av informasjon om den enkelte er større enn noengang. Det er i denne situasjonen at ansvarlige myndigheter må oppfordres til å implementere den nasjonale informasjonsinfrastruktur på en slik måte at personvernhensynene kan ivaretas. EFN vurderer at en rekke elementer i rapporten Persondata-utveksling i Norge fører med seg altfor store skadeeffekter for borgernes personvern til at de fremsatte forslag kan stå og gjennomføres i uendret form.
Vi er positive til en enhetlig digital infrastruktur, derunder et nasjonalt PKI-basert system for autentifisering og identifisering etter de kriterier vi satte opp i innledningen av vår høringsuttalelse.
Derimot vil vi på det sterkeste tilråde at innholdet i de i dette høringssvaret uttrykte innvendinger mot enkelte sider av de foreliggende planer for en fremtidig behandling av persondata i den offentlige forvaltning tillegges vekt. Konkret vil EFN anbefale at man unngår bruk av standardmeldinger i forvaltningen selv om slike kan oppfattes som å være en "effektiv" måte å behandle saker på. Videre oppfordrer EFN til at man tenker seg om både godt og grundig før det etableres en modell for persondatabehandling som bygger på en mer utstrakt kobling mellom ulike typer persondata enn hva som etter en realistisk behovsanalyse er forvaltningsmessig nødvendig. I en høyteknologisk virkelighet blir det ikke minst for den enkeltes personvern og integritet vesentlig å skille mellom hva som er teknisk mulig og hva som er ønskelig, når hensyn også skal tas til borgernes langsiktige interesser og integritet. I mange tilfeller kan hva som i øyeblikket ser ut som teknisk heldig og effektivt, over tid medføre stor og ikke minst uforutsett skade dersom vi ikke i tide passer på og trekker grensene.
For Elektronisk Forpost Norge,
Per Inge Østmoen
Dette dokumentets adresse:
http://efn.no/personvern/persondata-utveksling.html
Forfatterens adresse:
pioe@efn.no
Elektronisk Forpost Norge er en rettighetsorganisasjon som jobber
med medborgerskap og juridiske rettigheter i IT-samfunnet.
www.efn.no.
Sist oppdatert av Thomas Gramstad 1. oktober 2004.
