Hvilke initiativ vil statsråden ta for å avklare og tydeliggjøre handelsnæringens juridiske handlingsrom for intern deling av informasjon om gjengangere, slik at butikker og ansatte kan forebygge og beskytte seg mot gjentatt vinningskriminalitet?

Hvilke initiativ vil statsråden ta for å avklare og tydeliggjøre handelsnæringens juridiske handlingsrom for intern deling av informasjon om gjengangere, slik at butikker og ansatte kan forebygge og beskytte seg mot gjentatt vinningskriminalitet?

Spørsmålet gjelder hvilke juridiske begrensninger som gjelder for deling av informasjon og bilder av personer som begår butikktyverier mellom butikker i samme virksomhet eller konsern, samt på tvers av organisasjoner. Problemstillingen er særlig aktuell når de samme personene gjentatte ganger begår tyverier ved flere utsalgssteder, samtidig som anmeldte forhold ofte blir henlagt eller ikke prioriteres av politiet.
Utgangspunktet etter personvernforordningen (GDPR) er at bilder fra kameraovervåking er personopplysninger. Enhver deling eller viderebehandling av slike opplysninger krever et gyldig behandlingsgrunnlag etter GDPR artikkel 6. For handelsvirksomheter vil det mest aktuelle grunnlaget, slik jeg forstår det, normalt være «berettiget interesse» etter artikkel 6 nr. 1 bokstav f, hvor virksomheten må kunne dokumentere at behandlingen er nødvendig for å forebygge kriminalitet og beskytte ansatte, kunder og verdier.
Samtidig reiser deling av bilder av identifiserbare personer som mistenkes for eller har begått tyveri spørsmål etter GDPR artikkel 10, som omhandler behandling av personopplysninger knyttet til lovovertredelser. Bestemmelsen innebærer, slik jeg forstår det, at slike opplysninger er underlagt strengere regler enn ordinære personopplysninger, og at private virksomheter må ha særskilt grunnlag og nødvendige garantier dersom opplysningene skal behandles systematisk.
Artikkelen setter også begrensninger på etablering av registre over personer som har begått lovovertredelser. Datatilsynet har videre lagt til grunn at opptak fra kameraovervåking som hovedregel kan utleveres til politiet i forbindelse med etterforskning av straffbare handlinger. Annen utlevering eller deling krever et selvstendig behandlingsgrunnlag og må kunne begrunnes ut fra nødvendighet og forholdsmessighet. I praksis melder flere i handelsstanden om betydelig usikkerhet rundt hvor langt regelverket tillater intern deling av informasjon om gjengangere som står bak gjentatte tyverier. Dette gjelder særlig når formålet er å forebygge nye lovbrudd og ivareta tryggheten for ansatte og kunder.
Det etterlyses derfor en tydeligere avklaring av hvilket handlingsrom dagens regelverk gir for intern informasjonsdeling mellom butikker som opplever gjentatt vinningskriminalitet.

Butikktyveri og annen vinningskriminalitet begått mot handelsnæringen er et problem jeg tar på alvor. I begrunnelsen for spørsmålet bes det om en avklaring av hvilket handlingsrom dagens regelverk gir for intern deling av informasjon mellom butikker
som opplever gjentatt vinningskriminalitet. Det pekes særlig på de juridiske rammene som følger av personvernforordningen (GDPR). Innledningsvis vil jeg understreke at det er Datatilsynet som fører tilsyn med og håndhever anvendelsen av personvernforordningen i Norge, og som gir veiledning om forståelsen av regelverket. Det jeg likevel kan si generelt, er at personvernforordningen ikke inneholder bestemmelser som eksplisitt forbyr virksomheter fra å dele personopplysninger internt eller mellom seg for å forebygge og beskytte seg mot gjentatt vinningskriminalitet. Forordningen inneholder på den annen side heller ingen bestemmelser som eksplisitt tillater slik deling. Behandlingen av personopplysningene, herunder delingen, må derfor vurderes opp mot de generelle bestemmelsene i forordningen. Personvernforordningens grunnvilkår for at behandling av personopplysninger kan skje, er at det kan påvises et tilstrekkelig rettslig grunnlag for behandlingen. I spørsmålet vises det særlig til det rettslige grunnlaget i personvernforordningen artikkel 6 nr. 1 bokstav f. Dette grunnlaget innebærer en avveining av interessene til virksomheten mot retten til personvern for den involverte. I lys av praksis antar jeg at det i interesseavveiningen vil kunne ha betydning om virksomhetens interesser kan ivaretas ved anmeldelse til politiet. Jeg nevner for ordens skyld at forskrift om kameraovervåking i virksomhet har egne regler om utlevering av opptak som begrenser delingsadgangen av kameraopptak. Etter
det jeg kjenner til har Datatilsynet lagt til grunn at begrensningen i utleveringsadgangen ikke gjelder for andre enn arbeidstakere, se Personvernnemndas sak PVN-2021-9 og Datatilsynets uttalelser i vedtaket om ileggelse av overtredelsesgebyr i samme sak, som er tilgjengelig på Datatilsynets nettsider. I spørsmålet vises det også til personvernforordningen artikkel 10. Hvis de aktuelle personopplysningene omfattes av artikkel 10 om straffedommer og lovovertredelser, oppstiller personvernforordningen ytterligere skranker for behandlingen av opplysningene. I forarbeidene til personopplysningsloven viste departementet til at artikkel 10 gir opphav til flere grensedragningsspørsmål som må avklares gjennom praksis, se Prop. 56 LS (2017–2018) punkt 8.5. Jeg oppfatter at det fremdeles gjør seg gjeldende uavklarte spørsmål om forståelsen av artikkel 10 og har merket meg at den svenske datatilsynsmyndigheten IMY i september 2026 anmodet Personvernrådet (EDPB) om en uttalelse om tolkningen av artikkel 10. Jeg håper en slik uttalelse kan være klargjørende. Når det spesielt gjelder spørsmålet om hvorvidt opplysninger som fanges opp gjennom kameraovervåkning omfattes av artikkel 10, uttalte departementet følgende i Prop. 56 LS (2017–2018) punkt 18.3:
«Det er imidlertid etter departementets syn ikke holdepunkter for at bestemmelsen omfatter kameraovervåking som kun fanger opp faktiske handlinger som kan innebære lovovertredelser, uten at det behandles opplysninger om mistanke, siktelse, dom eller en annen form for konstatering av at det er skjedd en lovovertredelse. Departementet legger derfor til grunn at artikkel 10 ikke gjør det nødvendig med nasjonale lovbestemmelser som tillater kameraovervåking som avdekker eller som har til formål å avdekke straffbare handlinger.»
I Personvernnemndas sak PVN-2019-09 ble tilsvarende forståelse lagt til grunn. Det må likevel vurderes om en etterfølgende deling eller annen behandling av et slikt opptak, innebærer en behandling som faller inn under personvernforordningen artikkel 10.