Et privat rekrutteringsselskap vil bygge opp en database over alle studenter.  UiO har nektet å utlevere slike opplysninger. Når UiO gjør dette blir jeg stolt over å tilhøre dette universitetet.

Jeg har ikke gått inn i detaljene i de konkrete sakene, men kommenterer på et mer generelt plan.

Rekruttering AS påberoper seg offentlighetsloven. Hovedregelen etter offl § 3 er at man har krav på innsyn. Det er ingen tvil om at et offentlig universitet omfattes av loven etter § 2. Man har etter § 9 rett til å få opplysninger sammenstilt fra databaser. Det kan gjøres unntak fra offentlighetsloven og enkelte bestemmelser i denne. I offentlighetsforskriften § 4 er det gjort unntak fra gratisprinsippet (eller selvkost) for bl.a. geodata og eiendomsinformasjon. Det er dette som gjør at vi fortsatt ikke får offentlige kartdata og eiendomsinformasjon gratis, og som sikrer at dette fortsatt er en melkeku for staten. Et slikt unntak burde etter min mening ikke vært gjort. Men jeg bestrider ikke lovligheten av dette, så det er et informasjonspolitisk og ikke et juridisk standpunkt. Det er hjemmel i § 26 for å unnta eksamensbesvarelser, men ikke for eksamensresultater.

Man har etter § 13 ikke innsyn i taushetsbelagte opplysninger. I følge media er det dette UiO har påberopt seg.

Forvaltningsloven § 13 har nærmere bestemmelser om taushetsplikt. Man har blant annet taushetsplikt om personlige forhold. Om personlige forhold heter det i bestemmelsens annet ledd:

“Som personlige forhold regnes ikke fødested, fødselsdato og personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted, med mindre slike opplysninger røper et klientforhold eller andre forhold som må anses som personlige. “

Det er ikke oppgitt mer presist hvilke opplysninger som dette rekrutteringsselskapet ville ha, så jeg har ikke grunnlag for å vurdere om de krevde taushetsbelagte opplysninger.

UiO har også påberopt seg at det er interne opplysninger, som er unntatt etter §§ 14 og 15. Hvem som har studert, hva de har studert, hvilke eksamener de har tatt og resultater kan ikke være interne opplysninger. Det er vanskelig å se at UiO kan nå fram på dette grunnlaget.

Uten å gå så veldig dypt inn i dette, så er min vurdering at utleveringskravet etter offentlighetsloven er diskutabelt. Det kan godt hende at rekrutteringsselskapet etter denne loven kan kreve opplysningene. Det er også grunn til å minne om at hvis man først har krav på å få opplysningene etter offentlighetsloven, så setter ikke den noen begrensninger når det gjelder bruk. Den som utleverer opplysninger kan heller ikke sette vilkår og bare utlevere opplysninger til bruk for bestemte formål. Det skal ikke være slik at den offentlige etat som sitter med opplysningene skal kunne vurdere formålet, og dermed bare utlevere opplysninger til bruk for formål de selv de selv vil godkjenne. Noe av formålet med slike innsynsregler er at man skal kunne utøve kontroll med forvaltningens virksomhet, og de skal ikke kunne nekte utlevering for å hindre kritikk mot seg selv.

Men dette dreier seg om personopplysninger, så vi må også se på personopplysningsloven. I § 6 heter det at personopplysningsloven ikke begrenser innsyn etter offentlighetsloven eller andre lover. Det er i alle fall ikke åpenbart at personopplysningsloven er til hinder for at opplysningene utleveres.

Men personopplysningsloven setter krav til behandling av personopplysninger. Av § 8 følger at personopplysninger bare kan behandles med samtykke fra den registrerte eller med hjemmel i lov, eller hvis behandlingen kan begrunnes i nærmere angitte formål. De to punktene som gir størst rom for skjønn og som man kunne tenke seg påberopt i denne saken er c om å utføre en oppgave av allmenn interesse, og i enda større grad f, som lyder:

at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.

Man bør raskt kunne avvise at det å drive et kommersielt rekrutteringsselskap er en virksomhet av allmenn interesse. Skjønnstemaet i punkt f er vanskeligere. Jeg vil her ikke gå lenger enn til å si at rekrutteringsselskapet i alle fall skal argumentere godt for at deres virksomhet varetar en berettiget interesse som overstiger de registrertes interesse i personvern.

Vi må videre se på § 11 om grunnkrav til behandling av personopplysninger. Det viktigste i denne sammenhengen er punkt c, som sier at personopplysninger

ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, uten at den registrerte samtykker.

Rekrutteringsselskapet vil bruke opplysningene til et helt annet formål enn det de ble samlet inn for ved de respektive universitetene. Igjen får jeg ta forbehold om at jeg ikke har gått inn i detaljene i saken. Men det er vanskelig å se at bruk av personopplysningene i et kommersielt rekrutteringsselskap vil være forenlig med universitetenes formål med å samle inn og registrere opplysningene. Rekrutteringsselskapet vil derfor måtte innhente samtykke fra de registrerte for å kunne gjøre bruk av opplysningene.

Selskapets har påklaget avgjørelsen og daglig leder Kjell  F. Klynderud hevder i følge Aftenposten at han ikke ser noen grunn til å innhente samtykke når det ikke er sensitive opplysninger. Denne saken dreier seg ikke om sensitive opplysninger, slik dette er definert i § 2 nr 8. Men samtykkekravet er ikke begrenset til sensitive opplysninger, så det slipper han ikke unna.

Min konklusjon er at det kan diskuteres om rektrutteringsselskapet kan kreve å få opplysningene utlevert, men at rekrutteringsselskapet uansett ikke vil kunne bruke disse opplysningene uten samtykke fra de registrerte.

Saken avdekker en betydelig svakhet i forholdet mellom offentlighetsloven og personopplysningsloven. Prinsippet om tilgang til offentlige opplysninger er viktig, også opplysninger i offentlige databaser. Geografiske data er et eksempel på data man burde kunne få, og som alle fritt bør kunne bruke slike data som grunnlag for å utvikle egne applikasjoner — gjerne kommersielle. Men at man også skal kunne få utlevert personregistre etter den samme bestemmelsen, det er mer problematisk.

Det blir for meg meningsløst å ha regler som gjør at en virksomhet skal ha krav på å få utlevert opplysninger som den ikke har lov til å benytte i virksomheten. Så uansett hva det endelig resultatet måtte bli i denne konkrete utleveringssaken, så er det behov for en opprydding.