5 Endringer i Aa-registerforskriften
Overskriftene til §§ 9 og 10 til gjelder tilgang til registeret, mens det etter første ledd er snakk om tilgang til "opplysninger". Paragraf 11 ser ut til å gjelde "registeret" som sådant. I § 10 bokstav d er retten til tilgang til registeret begrenset til "nødvendige opplysninger". I høringsnotates kapittel 8 om personvernkonsekvenser er det forutsatt at det er "adekvate, nødvendige og relevante personopplysninger" som kan behandles. På den annen side ser det ut til at personopplysninger vil bli utlevert, men at § 16 kan innebære krav til anonymisering ved offentliggjøring med registeropplysninger som kilde.
I alle fall tilsynelatende er det et skille mellom tilgang til registeret om sådant og de opplysningene registeret inneholder.
Aa-registeret inneholder opplysninger om arbeidsgivere og deres ansatte. Også opplysninger som ikke er personopplysninger og ikke allerede offentlige tilgjengelige kan være forretningssensitive for bedriftene. Dette tilsier at tilgangen til opplysninger begrenses til det som er nødvendig for formålet, i tillegg til den taushetsplikten som allerede gjelder. I de tilfellene der det ikke er behov for tilgang til hele registeret under ett, mener vi at tilgang uttrykkelig bør være begrenset til opplysninger som er nødvendige for det formålet avgjørelsesmyndigheten fastsetter.
Vi mener derfor at § 11 bør stille presise krav til søknader, slik at avgjørelsesmyndigheten kan bestemme hvilke opplysninger som skal utleveres og hvilke betingelser som skal gjelde.
Det følger av dette at tilgang bør gis til "opplysninger".
Søknader bør også angi hvordan opplysninger er tenkt slettet, se § 16.
På side 23 står det at de som trenger opplysninger fra registeret selv "bør … være ansvarlige for å sikre nødvendig hjemmel for å innhente opplysningene fra registeret". På side 20 står det at avgjørelsesmyndigheten skal kunne avslå søknad dersom behandlingsgrunnlag eller oppgitt formål ikke er i samsvar med vilkårene i lov og forskrift. Vi mener det bør være klart at avgjørelsesmyndigheten har ansvaret for at den som søker har rett til å motta og bruke opplysninger.
Den foreslåtte formålsbestemmelsen – "andre offentlige myndigheter virksomheter som har behov for opplysninger i sin oppgaveløsning" – kan leses slik at det kun er det offentlige som skal ha tilgang. Etter forslaget til § 10 skal private kunne få tilgang til registeret. Formålsbestemmelsen bør derfor utvides noe. Dette har sammenheng også med eventuelle senere utvidelser av hvem som kan ha tilgang.
En stor del av opplysningene i Aa-registeret er innrapportert av private arbeidsgivere. De samme opplysningene kunne også andre enn offentlige myndigheter bruke, slik at arbeidsgiverne kunne slippe å sende opplysningene mer enn én gang. Vi oppfordrer departementet til å vurdere å utvide kretsen av dem som kan få tilgang til opplysninger i Aa-registeret. Vi er innforstått med at det er et større arbeid.
Tilgangen for private etter § 10, og innholdet i søknad om tilgang, reiser spørsmål om hvilken rett de har til å få tilgang og om myndighetenes plikt til å gi tilgang. Videre er det spørsmål om privates behandlingsgrunnlag etter GDPR for å bruke opplysningene og myndighetenes behandlingsgrunnlag for å utlevere opplysningene.
Etter reglene som er foreslått, ser det ikke ut til at private har noen umiddelbar rett til å få opplysninger. De må søke. Betingelsene for å få tilgang er ikke bestemt i forskriften.
Søknaden skal blant annet inneholde "hjemmel for innhenting av opplysningene". Det ser ut til at en lov eller forskrift må pålegge eller gi søker en rett til å hente inn opplysninger (jf. side 19) som finnes i Aa-registeret eller andre steder. Det er uklart etter ordlyden om plikten eller retten må gjelde overfor Aa-registeret eller om det er en generell plikt til å skaffe seg opplysninger for et eller annet formål. Gjelder plikten overfor Aa-registeret, ville det være logisk at man har en ubetinget rett til tilgang, forutsatt at man oppfyller de vilkårene som blir satt.
Vi mener derfor det med fordel kan gå tydeligere frem i forskriften hva kravet om hjemmel omfatter.
Strengt tatt går det ikke frem av forskriftsutkastet hvilke betingelser som gjelder for å få tilgang. Muligens hører det krav som måtte gjelde om "hjemmel" hjemme i § 10.
Videre er det viktig for private at registeransvarlig myndighet har behandlingsgrunnlag etter GDPR for å gi tilgang. Vi forstår dette slik at departementet legger til grunn at folketrygdloven § 25-1 med forskrift vil gjøre at kravene i GDPR artikkel 4 er oppfylt når det gjelder tilgangen for private. Vi regner med at man her sikter til at registeransvarlig myndighet etter loven og forskrifter kan gi tilgang etter søknad.
Vi støtter at forslaget om at leverandører av tjenestepensjon mv. skal ha tilgang til Aa-registeret. Når det gjelder Fellesordningen for AFP, viser vi til deres høringssvar.
7 Endringer i folketrygdloven § 25-3 og forskrift om gebyr og tvangsmulkt ved brudd på opplysningsplikten til arbeidstakerregisteret mv.
7.2 Departementets vurdering og forslag
Det er svært viktig at arbeidsgiver for informasjon om konsekvensene av at rapporteringspliktene ikke etterleves.
Det skal utarbeides retningslinjer for ansvarsforhold ved sanksjonering av manglende rapportering. Vi forutsetter at retningslinjene blir utarbeidet før Arbeids- og velferdsetaten ev. starter med å sanksjonere og at retningslinjene blir offentlig tilgjengelige.
9 Økonomiske og administrative konsekvenser
9.1 Konsekvensene for arbeidsgivere
En av konsekvensene er at lønns- og personalsystemer må tilpasses hvis forskrift fastsettes slik det er foreslått. Dette er i hovedsak ikke en oppgave for arbeidsgiverne, men for deres systemleverandører.
Departementet foreslår ikrafttredelse 1. januar 2021 fordi Aa-registeret selv trenger tid og tekniske endringer for å få de meldepliktige elementene inn i registeret. Tilsvarene vil gjelde også for arbeidsgivernes systemleverandører, slik at arbeidsgiverne blir i stand til å etterleve de nye forpliktelsene fra ikrafttredelsen. Vi forutsetter at det er eller blir avklart med disse leverandørene at dette er mulig i praksis.
I alle fall tilsynelatende er det et skille mellom tilgang til registeret om sådant og de opplysningene registeret inneholder.
Aa-registeret inneholder opplysninger om arbeidsgivere og deres ansatte. Også opplysninger som ikke er personopplysninger og ikke allerede offentlige tilgjengelige kan være forretningssensitive for bedriftene. Dette tilsier at tilgangen til opplysninger begrenses til det som er nødvendig for formålet, i tillegg til den taushetsplikten som allerede gjelder. I de tilfellene der det ikke er behov for tilgang til hele registeret under ett, mener vi at tilgang uttrykkelig bør være begrenset til opplysninger som er nødvendige for det formålet avgjørelsesmyndigheten fastsetter.
Vi mener derfor at § 11 bør stille presise krav til søknader, slik at avgjørelsesmyndigheten kan bestemme hvilke opplysninger som skal utleveres og hvilke betingelser som skal gjelde.
Det følger av dette at tilgang bør gis til "opplysninger".
Søknader bør også angi hvordan opplysninger er tenkt slettet, se § 16.
På side 23 står det at de som trenger opplysninger fra registeret selv "bør … være ansvarlige for å sikre nødvendig hjemmel for å innhente opplysningene fra registeret". På side 20 står det at avgjørelsesmyndigheten skal kunne avslå søknad dersom behandlingsgrunnlag eller oppgitt formål ikke er i samsvar med vilkårene i lov og forskrift. Vi mener det bør være klart at avgjørelsesmyndigheten har ansvaret for at den som søker har rett til å motta og bruke opplysninger.
Den foreslåtte formålsbestemmelsen – "andre offentlige myndigheter virksomheter som har behov for opplysninger i sin oppgaveløsning" – kan leses slik at det kun er det offentlige som skal ha tilgang. Etter forslaget til § 10 skal private kunne få tilgang til registeret. Formålsbestemmelsen bør derfor utvides noe. Dette har sammenheng også med eventuelle senere utvidelser av hvem som kan ha tilgang.
En stor del av opplysningene i Aa-registeret er innrapportert av private arbeidsgivere. De samme opplysningene kunne også andre enn offentlige myndigheter bruke, slik at arbeidsgiverne kunne slippe å sende opplysningene mer enn én gang. Vi oppfordrer departementet til å vurdere å utvide kretsen av dem som kan få tilgang til opplysninger i Aa-registeret. Vi er innforstått med at det er et større arbeid.
Tilgangen for private etter § 10, og innholdet i søknad om tilgang, reiser spørsmål om hvilken rett de har til å få tilgang og om myndighetenes plikt til å gi tilgang. Videre er det spørsmål om privates behandlingsgrunnlag etter GDPR for å bruke opplysningene og myndighetenes behandlingsgrunnlag for å utlevere opplysningene.
Etter reglene som er foreslått, ser det ikke ut til at private har noen umiddelbar rett til å få opplysninger. De må søke. Betingelsene for å få tilgang er ikke bestemt i forskriften.
Søknaden skal blant annet inneholde "hjemmel for innhenting av opplysningene". Det ser ut til at en lov eller forskrift må pålegge eller gi søker en rett til å hente inn opplysninger (jf. side 19) som finnes i Aa-registeret eller andre steder. Det er uklart etter ordlyden om plikten eller retten må gjelde overfor Aa-registeret eller om det er en generell plikt til å skaffe seg opplysninger for et eller annet formål. Gjelder plikten overfor Aa-registeret, ville det være logisk at man har en ubetinget rett til tilgang, forutsatt at man oppfyller de vilkårene som blir satt.
Vi mener derfor det med fordel kan gå tydeligere frem i forskriften hva kravet om hjemmel omfatter.
Strengt tatt går det ikke frem av forskriftsutkastet hvilke betingelser som gjelder for å få tilgang. Muligens hører det krav som måtte gjelde om "hjemmel" hjemme i § 10.
Videre er det viktig for private at registeransvarlig myndighet har behandlingsgrunnlag etter GDPR for å gi tilgang. Vi forstår dette slik at departementet legger til grunn at folketrygdloven § 25-1 med forskrift vil gjøre at kravene i GDPR artikkel 4 er oppfylt når det gjelder tilgangen for private. Vi regner med at man her sikter til at registeransvarlig myndighet etter loven og forskrifter kan gi tilgang etter søknad.
Vi støtter at forslaget om at leverandører av tjenestepensjon mv. skal ha tilgang til Aa-registeret. Når det gjelder Fellesordningen for AFP, viser vi til deres høringssvar.
7 Endringer i folketrygdloven § 25-3 og forskrift om gebyr og tvangsmulkt ved brudd på opplysningsplikten til arbeidstakerregisteret mv.
7.2 Departementets vurdering og forslag
Det er svært viktig at arbeidsgiver for informasjon om konsekvensene av at rapporteringspliktene ikke etterleves.
Det skal utarbeides retningslinjer for ansvarsforhold ved sanksjonering av manglende rapportering. Vi forutsetter at retningslinjene blir utarbeidet før Arbeids- og velferdsetaten ev. starter med å sanksjonere og at retningslinjene blir offentlig tilgjengelige.
9 Økonomiske og administrative konsekvenser
9.1 Konsekvensene for arbeidsgivere
En av konsekvensene er at lønns- og personalsystemer må tilpasses hvis forskrift fastsettes slik det er foreslått. Dette er i hovedsak ikke en oppgave for arbeidsgiverne, men for deres systemleverandører.
Departementet foreslår ikrafttredelse 1. januar 2021 fordi Aa-registeret selv trenger tid og tekniske endringer for å få de meldepliktige elementene inn i registeret. Tilsvarene vil gjelde også for arbeidsgivernes systemleverandører, slik at arbeidsgiverne blir i stand til å etterleve de nye forpliktelsene fra ikrafttredelsen. Vi forutsetter at det er eller blir avklart med disse leverandørene at dette er mulig i praksis.