Internasjonal regulering av person(opplysnings)vern Lee A. Bygrave, 3.4.2008.

Presentasjon om: "Internasjonal regulering av person(opplysnings)vern Lee A. Bygrave, 3.4.2008."— Utskrift av presentasjonen:

1 Internasjonal regulering av person(opplysnings)vern Lee A. Bygrave, 3.4.2008

2 Disposisjon Person(opplysnings)vern (pv) etter menneskerettstraktater Internasjonale instrumenter som direkte angår pv Norges spillerom i.f.m. utforming av pv- regelverk

3 Menneskerettstraktater Verdenserklæringen om menneskerettigheter av 1948 – artikkel 12 FN-konvensjonen om sivile og politiske rettigheter av 1966 (SP) – artikkel 17 Den europeiske menneskerettskonvensjon av 1950 (EMK) – artikkel 8 EUs charter om grunnleggende rettigheter av 2000, jf. også EUs grunnlov av 2004

4 SP (1) Artikkel 17: «1. Ingen må utsettes for vilkårlige eller ulovlige inngrep i privat- eller familieliv, hjem eller korrespondanse, eller ulovlige inngrep på ære eller omdømme. 2. Enhver har rett til lovens beskyttelse mot slike inngrep eller angrep».

5 SP (2) FNs Menneskerettighetskomite: SP artikkel 17 krever at behandling av personopplysninger (p.o.) innen både offentlig og privat sektor underlegges rettslig regulering i tråd med grunnleggende pv-prinsipper, (jf. General Comment nr. 16 av 23.3.1988)

6 EMK (1) Artikkel 8: «1. Enhver har rett til respekt for sitt privat- og familieliv, sitt hjem og sin korrespondanse. 2. Offentlig myndighet skal ikke gjøre noe inngrep i utøvelsen av denne rett med mindre dette inngrep er i samsvar med loven og i et demokratisk samfunn er en nødvendig forholdsregel for den nasjonale eller offentlige sikkerhet, for landets økonomiske velstand, for å forebygge uorden eller forbrytelser, beskytte helse eller moral eller beskytte andres rett og friheter».

7 EMK (2) Den europeiske menneskerettighetsdomstolen (EMD) har fattet mange avgjørelser vedr. pv etter artikkel 8. Eksempler på viktige avgjørelser: –Klass mot Germany (1978) –Malone mot United Kingdom (1984) –Leander mot Sweden (1987) –Gaskin mot United Kingdom (1989) –Niemitz mot Germany (1992) –Amann mot Switzerland (2000) –Peck mot United Kingdom (2002) –Von Hannover mot Germany (2004)

8 EMK (3) Privatliv definert på bredt vis – omfatter også visse aktiviteter i den offentlige sfære Behandling av p.o. uten samtykke eller kunnskap = inngrep. Hensyn til folks rimelige forventninger om hva som er privat. Innsamling og lagring uten videre bruk = inngrep.

9 EMK (4) Rettferdiggjøring av inngrep dersom: (i) Rettslig grunnlag som tilfredsstiller vanlige prosessuelle rettssikkerhetskrav; (ii) Nødvendighet, dvs. påtrengende sammfunnsmessig behov («pressing social need») og forholdsmessighet («proportionate to legitimate aim pursued»); (iii) Legitimt formål.

10 EMK (5) EMDs praksis har hittil ikke utviklet nye pov- prinsipper i.f.t. andre pv-instrumenter, men må legges til grunn ved tolking av andre pv- instrumenter (eks. EUs direktiv om pov – direktiv 95/46/EF).

11 EUs menneskerettsinstrumenter Anerkjennelse av pov som grunnleggende rettighet i seg selv: –EUs charter om grunnleggende rettigheter (Charter of Fundamental Rights, 2000) artikkel 8 –EUs grunnlov (jf. Treaty establishing a Constitution for Europe, 2004) artikkel I- 51 og II-68

12 Europarådets pov-konvensjon Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (1981) –Harmoniseringsformål (bekymringer over regulering av flyt av p.o. over landegrenser) –Lite detaljerte bestemmelser –I utgpkt. dekker kun automatisert behandling –Utdypende regler vedtatt i form av rekommendasjoner for behandling av p.o. innenfor avgrensede sektorer –Jf. Additional Protocol vedr. tverrnasjonal overføring av p.o., og tilsynsmyndigheter (2001).

13 OECDs retningslinjer om pov Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data (1980) –Innhold og formål svært lik Europarådets konvensjon av 1981, dog forretnings-/handelsinteresser litt mer fremtredende –Innflytelsesrike – særlig utenfor Europa, jf. APECs nåværende arbeid med utforming av pov-retningslinjer –Merk også OECDs retningslinjer for kryptopolitikk (1997), informasjonssikkerhet (1992, 2002) og forbrukervern i.f.m. e-handel (1999)

14 FNs retningslinjer om pov Guidelines concerning computerized data files (1990) –Av forholdsvis liten praktisk betydning –Inneholder bl.a. prinsipper for å regulere internasjonale NGOs behandling av p.o.

15 EUs pov-direktiv (1) Direktiv 95/46/EF –Svært innflytelsesrik og detaljert –Folkerettslig bindende for Norge –Harmoniseringsformål er fremtredende –Realisering av det indre marked = viktig begrunnelse, MEN –Økende anerkjennelse av direktivets forankring i menneskerettighetsdoktriner

16 EUs pov-direktiv (2) EF-domstolen: Direktivet har et idealistisk formål (i tillegg til det markedsmessige), og tolking av direktivet langt på vei beror på EMDs rettspraksis, jf. forente saker 465/00, 138/01 og 139/01, Österreichischer Rundfunk m.fl. (dom avsagt 20. mai 2003).

17 EUs pov-direktiv (3) EF-domstolens avgjørelse i sak 101/01, Bodil Lindqvist (dom avsagt 6. november 2003): –Offentliggjøring av p.o. på privat hjemmeside –Innskrenkende tolkning av artikkel 3(2) (unntak for behandling «som ledd i rent personlige eller familiemessige aktiviteter») –Innskrenkende tolkning av artikkel 25 (overføring av p.o. til tredjeland)

18 EUs pov-direktiv (4) Påvirkningskraft utenfor EU pga. artikkel 25 krav om at tredje land skal ha tilstrekkelig pov dersom de skal kunne motta p.o. fra EU-land. –Komplisert og omstendelig regime for tilstrekkelighetsvurderinger –Safe Harbor ordningen med USA (2000) Nå omfatter ca. 1.000 selskaper –Avtale(r) om overføring av PNR opplysninger til US myndigheter (2004; 2006; 2007)

19 EUs direktiv om kommunikasjonsvern Direktiv 2002/58 av 12. juli 2002 om behandling av p.o. og beskyttelse av privatlivets fred i den elektroniske kommunikasjonssektor –Erstatter direktiv 97/66/EF –Inneholder bestemmelser om bl.a. sikring av data og kommunikasjon, bruk av cookies og spyware, lagring og viderebruk av trafikk- og debiteringsdata, utstedelse av spesifiserte regninger, fremvisning av anropende nummer hos oppringt sluttbruker, automatiske viderekoblinger, innholdet i abonnentfortegnelser, uønsket markedsføring

20 Andre EU tiltak mv. (1) EUs datalagringsdirektiv 2006/24/EF av 15. mars 2006 –Lagringsplikt mellom 6 måneder og 2 år –I utgpkt. omfatter data som er nødvendig for å identifisere avsenderen, mottakeren samt tid og sted for kommunikasjonen, men ikke kommunikasjonsinnhold –Tilstrekkelig rettslig grunnlag? (Irland mener nei) –I samsvar med EMK? –Utsatt implementering pga. vaghet Arbeid med Rammebeslutning om pov i politisektor

21 Andre EU tiltak mv. (2) EUs første ombud for personopplysningsvern (European Data Protection Supervisor) utnevnt 22.12.2003 (Peter Hustinx) –Jf. forordning (EF) Nr. 45/2001 kap. V (jf. art. 47) –Myndighetsutøvelse avgrenset til EF-institusjoner Artikkel 29 arbeidsgruppen –Rådgivende myndighet, men arbeidsom og innflytelsesrik

22 Utviklingstrekk til bekymring EØS-medlemsstaters mangelfulle implementering og etterlevelse av EUs direktiver om pov; harmoniseringsmål ikke realisert; nasjonale datatilsynsmyndigheter får ikke nok ressurser –Jf. Europakommisjonens First report on the implementation of the Data Protection Directive (COM (2003) 265 final, 15.5.2003) Dårlig etterlevelse av Safe Harbor ordningen med USA APEC som motvekt til EUs pov-politikk

23 Og lille Norge da? Enkeltnasjoners frihet til å velge særnasjonale løsninger på området er redusert, men... De får fremdeles betydelig spillerom, bl.a. ifm. » samtykkets innhold og rolle/status » identifiseringsmekanismer (eks. når er biometriske løsninger tillatt?) » integrering av pv-krav i system-utvikling (PETs / Systemdatenschutz) » bruk og status av adferdskodekser » p(o)v for bedrifter og andre juridiske personer.