Behandling av personopplysninger
Kommunen og statsforvalteren kan behandle personopplysninger, også personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utføre oppgaver etter loven her. Innsamlede opplysninger kan, når det er nødvendig, benyttes i forbindelse med utarbeidelse av statistikk og analyser, men kun dersom formålet ikke kan oppnås ved bruk av anonymiserte opplysninger.
Departementet kan gi forskrift om behandlingen av personopplysninger, blant annet om formålet med behandlingen, behandlingsansvar, hvem det kan behandles personopplysninger om, hvilke personopplysninger som kan behandles, adgangen til viderebehandling, utlevering og tiltak for å sikre lovlig og rettferdig behandling.
(Forskriftens § 8)
Dette betyr bestemmelsen for kommunen
Bestemmelsen gir kommunen rettslig grunnlag for å behandle personopplysninger når det er nødvendig for å utføre oppgaver etter boligsosialloven. Dette omfatter også særlige kategorier personopplysninger, som opplysninger om helse, rus og andre forhold, når opplysningene er nødvendige for å vurdere eller gi boligsosial bistand.
Kommunen kan bare behandle personopplysninger som er relevante og nødvendige i den konkrete saken. Nødvendighetskravet innebærer at kommunen ikke kan innhente eller lagre opplysninger «for sikkerhets skyld» eller fordi de kan bli nyttige senere.
Behandling av personopplysninger skal skje i samsvar med personvernforordningen (GDPR), personopplysningsloven og reglene om taushetsplikt. Kommunen må sørge for at personopplysninger behandles på en måte som ivaretar den enkeltes personvern og informasjonssikkerhet.
Når flere tjenester samarbeider om en sak, må kommunen vurdere hvilke opplysninger det er nødvendig å dele, hvem som har behov for tilgang, og hvilket rettslig grunnlag delingen bygger på.
Spørsmål kommunen kan stille seg i arbeidet med loven:
- Hvordan vurderer kommunen hvilke personopplysninger som er nødvendige i den enkelte saken?
- Hvordan sikrer kommunen at det ikke innhentes eller lagres flere opplysninger enn nødvendig?
- Hvordan er ansvar, tilgangsstyring og informasjonssikkerhet organisert?
- Hvordan vurderes deling av personopplysninger når flere tjenester samarbeider om en sak?
- Hvordan sikrer kommunen at medarbeidere har tilstrekkelig kunnskap om personvern, taushetsplikt og behandling av personopplysninger etter boligsosialloven?
Ofte stilte spørsmål
Kommunens behandling av personopplysninger har grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e. Etter bokstav e er behandling av personopplysninger lovlig når behandlingen er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Etter artikkel 6 nr. 3 krever behandling av personopplysninger med grunnlag i artikkel 6 nr. 1 bokstav e et supplerende rettsgrunnlag i EU-retten eller nasjonal rett. Bestemmelsen her, sammen med oppgavene kommunen får etter lovforslaget, representerer et slikt supplerende rettsgrunnlag.
«Personopplysninger» er ifølge personvernforordningen artikkel 4 nr. 1 enhver opplysning om en identifisert eller identifiserbar fysisk person. Med «behandling» menes enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten den er automatisert eller ikke, jf. forordningens artikkel 4 nr. 2. Typiske eksempler på behandling er innsamling, registrering, lagring, tilpasning, endring, gjenfinning, bruk, utlevering, sammenstilling eller samkjøring og slet ting. Se nærmere omtale i punkt 15.1.
Hvilke opplysninger er nødvendige?
Første ledd gir kommunen og statsforvalteren hjemmel til å behandle personsopplysinger som er nødvendige for å utføre oppgaver etter loven. Hjemmelen omfatter særlige kategorier personopplysninger etter personvernforordningen artikkel 9 og personopplysninger om straffedommer og lovovertredelser etter artikkel 10. Opplysninger kommunen og statsforvalteren trenger for å vurdere om personen er vanskeligstilt på bolig markedet etter § 6, jf. § 4, og innretningen på bistanden, vil være nødvendige i bestemmelsens forstand. Det samme vil opplysninger kommunen trenger for å ha oversikt over boligbehovet og for å oppfylle sine oppgaver knyttet til planlegging etter § 5. Eksempler på opplysninger som kan være nødvendige for kommunen å behandle er videre opplysninger om inntekt, formue, gjeld, offentlige ytelser, oppholdsrett, bosted, ektefelle, barn, forsørgeransvar, helse- og omsorgsmessige forhold, arbeidsforhold, utdanning og eventuell verge. Bistanden kommunen er ansvarlig for å gi, krever primært behandling av personopplysninger om den som mottar hjelpen, men i noen tilfeller også om dennes husstandsmedlemmer.
Hva kan opplysninger brukes til?
Annet ledd presiserer at innsamlede opplysninger kan brukes til utarbeidelse av statistikk og analyser. Kommunens og statsforvalternes bruk av personopplysninger til statistikk og til analyse anses som et forenlig formål hos den behandlings ansvarlige, jf. personvernforordningen artikkel 5 nr. 1 bokstav b. For å sikre at personvernforordningens krav om nødvendige garantier oppfylles, kan opplysninger kun benyttes dersom formålet ikke kan oppnås ved bruk av anonymiserte opp lysninger. Ved behandlingen må kommunen inn føre tekniske og organisatoriske tiltak for å sikre at prinsippet om dataminimering overholdes. Kommunen må som hovedregel aggregere data og jobbe med analyser der data presenteres på gruppenivå.
Mens loven fastsetter de ytre rammene for hjemmelen, hjemler tredje ledd forskriftsregulering om den nærmere behandlingen. Bestemmelsen gir eksempler på hva en slik forskrift kan regulere.
Se nærmere omtale i de generelle merknadene punkt 15.4