INFOFLYT er i korte trekk et system for utveksling av informasjon mellom kriminalomsorgen og politiet/påtalemyndigheten på sentralt nivå i saker som er særlig alvorlige og med særlig høy risiko. Det kommer i tillegg til det sentrale databaserte informasjonssystemet Kompis (Kriminalomsorgens produktivitetsfremmende informasjonssystem), der en rekke opplysninger knyttet til innsatte under kriminalomsorgens ansvarsområde blir registrert. Kriminalomsorgen foretar utvidete registreringer for enkelte innsatte innen rammen av INFOFLYT. Formålet er primært å bedre sikkerhetsvurderingene i enkeltsaker. Videre fremskaffer politiet ved Kripos eller Politiets sikkerhetstjeneste informasjon knyttet til de innsatte, enten av eget tiltak eller på anmodning. Det er opprettet et sentralt elektronisk INFOFLYT-register som forvaltes av Kriminalomsorgens sentrale forvaltning (KSF).
INFOFLYT ble etablert i 2005 og er omhandlet i Justis- og politidepartementets rundskriv G-3/2005. KSF har i rundskriv 2/2005 gitt en særskilt saksbehandlingsinstruks innen sitt område.
I brev herfra 5. juni 2009 ble Justis- og politidepartementet bedt om å redegjøre for det rettslige grunnlaget både for KSFs rundskriv og for behandling av personopplysninger i INFOFLYT. Videre ble det stilt mer detaljerte spørsmål om behandlingen av ulike personopplysninger i INFOFLYT sett i forhold til personopplysningsloven 14. april 2000 nr. 31, om retting og sletting, om manuelle registre og om innsynsrett og informasjonsplikt etter loven. Endelig ble det etterspurt en del faktiske opplysninger. Bakgrunnen for spørsmålene var blant annet ombudsmannens kjennskap til systemet gjennom behandlingen av konkrete klagesaker og rapporten 11. oktober 2007 fra FNs «Working Group on Arbitrary Detention». I rapporten etter et besøk til Norge i 2007 ble det uttrykt bekymring knyttet til manglende innsyn i og kontradiksjon i forhold til INFOFLYT-opplysninger. Videre var ombudsmannen kjent med Datatilsynets pålegg til departementet 25. januar 2008 knyttet til informasjonssystemet Kompis.
I svarbrev 21. september 2009 redegjorde departementet for forslaget om å innføre et eget kapittel i straffegjennomføringsloven 18. mai 2001 nr. 21 om behandling av personopplysninger i kriminalomsorgen generelt. Dette ville ifølge departementet ivareta behovet for en klar lovhjemmel for blant annet Kompis-systemet. Det het videre at en «sentral problemstilling er om det foreslåtte hjemmelsgrunnlaget også er tilstrekkelig som hjemmel for INFOFLYT, eller om det vil være hensiktsmessig å etablere en særskilt hjemmel». Departementet opplyste at behovet for en særskilt lovregulering ville bli utredet og at det ville bli opprettet «et utvalg eller en arbeidsgruppe til å vurdere spørsmålet». Utvalget ville også få i oppgave å utrede en rekke av spørsmålene som var tatt opp herfra. Det fremgikk videre at KSFs rundskriv 2/2005 ville bli revidert, blant annet for å rette opp feil hjemmelshenvisning.
Ved avslutning av saken uttalte jeg:
«Jeg er kjent med at departementet har opprettet et eget utvalg for å vurdere ulike problemstillinger rundt INFOFLYT og at utvalgets innstilling skal leveres innen utgangen av 2010. Siktemålet er å finne frem til «et hensiktsmessig regelverk som både ivaretar formålet med informasjonsutvekslingen og rettssikkerheten til domfelte, innsatte og andre registrerte». Utvalget synes å være bredt sammensatt og med et relativt vidt mandat, som departementet på forespørsel har oversendt hit. Utvalget skal kartlegge og vurdere hvordan utvekslingen av informasjon fungerer i dag og foreslå hensiktsmessige regler på området. Forslagene skal blant annet omfatte saksbehandlingen for informasjonsutveksling og for bruk av opplysningene i kriminalomsorgens behandling av fangesaker.
Det er ikke formålstjenlig at jeg i denne situasjonen på generelt grunnlag vurderer ulike sider ved dagens praksis med registrering og informasjonsutveksling og kriminalomsorgens videre bruk av informasjonen som gis gjennom INFOFLYT. Jeg ber imidlertid om å bli orientert om utvalgets innstilling og det videre arbeidet på dette området.
Når det gjelder departementets og KSFs håndtering av de personvernmessige sidene ved INFOFLYT, har jeg derimot funnet grunn til å komme med enkelte merknader.
Jeg har merket meg at Datatilsynet i brev 16. februar 2004 til departementet og KSF orienterte om at Kompis-systemet ikke trengte konsesjon etter personopplysningsloven. I brev til tilsynet 24. juni 2005 ønsket KSF en avklaring av om registrering av ytterligere opplysninger i Kompis «generelt er i tråd med personopplysningslovens bestemmelser». I svaret hit har Justis- og politidepartementet opplyst at bakgrunnen for henvendelsen blant annet var ønsket om en vurdering av INFOFLYT. Etter det jeg forstår, var INFOFLYT da allerede etablert, jf. KSFs saksbehandlingsinstruks (rundskriv 2/2005) som er datert 13. mai 2005 og trådte i kraft «straks». Forespørselen fra KSF ble fulgt opp i et møte med Datatilsynet og i tilsynets brev til departementet 9. november 2005. Tilsynet uttalte der at straffegjennomføringsloven «trolig» ikke vil kunne anses som behandlingsgrunnlag for alle de ønskede utvidelser av registreringsadgangen i Kompis. Behandlingsgrunnlaget måtte avklares før spørsmålet om konsesjonsplikt kunne vurderes fra tilsynets side. Departementet ble bedt om å avklare ulike forhold knyttet til personvernet «før tilsynet kan vurdere lovligheten av de ønskede registreringer». Dette gjaldt blant annet slettingsregler og spørsmål om informasjonsplikt til de registrerte.
Etter det jeg er kjent med, besvarte KSF brevet først 26. februar 2009. KSF viste til prosjektet om personvern i kriminalomsorgen i etterkant av Datatilsynets pålegg 25. januar 2008. Prosjektet «tar opp i seg de spørsmål som tilsynet ønsket tilbakemelding på», heter det. I brevet beklaget KSF den lange tiden som hadde gått. På samme måte har Justis- og politidepartementet i svarbrevet hit beklaget at Datatilsynets brev «ikke umiddelbart ble fulgt opp av KSF».
Jeg forstår det slik at INFOFLYT ble etablert i 2005 og har vært i bruk siden. Per september 2009 hadde det ifølge departementet blitt behandlet opplysninger om ca. 150 personer i systemet. Tallet i dag antas å være høyere. Videre forstår jeg det slik at det i dette informasjonssystemet er behandlet opplysninger av den karakter som er omtalt i brevet fra KSF til Datatilsynet i juni 2005, altså til dels omfattende opplysninger om innsatte og andre som går ut over ordinære Kompis-registreringer. Jeg har imidlertid ikke detaljert kjennskap til hvilke type opplysninger som er registrert og utvekslet.
Det er oppsiktsvekkende at personopplysninger har blitt behandlet i INFOFLYT med en uendret saksbehandlingsinstruks etter at kriminalomsorgen ble kjent med at Datatilsynet vurderte lovligheten av registreringene som tvilsom og ba om en rekke avklaringer. Det tok over tre år før brevet overhodet ble besvart og over fire år før utvalget som skal vurdere INFOFLYT ble nedsatt. Jeg nevner også at departementet (og KSF) allerede i januar 2008 ble gjort kjent med Datatilsynets konklusjon om at behandling av personopplysninger i Kompis manglet et rettslig grunnlag og at det likevel var konsesjonsplikt etter personopplysningsloven § 33. Likevel synes det ikke å ha blitt gjort endringer i forhold til INFOFLYT, som jo er mer inngripende for de registrerte.
Etter mitt syn skulle de personvernmessige sidene ved INFOFLYT ha vært avklart før systemet ble tatt i bruk og ikke først i ettertid, slik det ble gjort her. I forespørselen til Datatilsynet i 2005 gjorde KSF det klart at det «har hersket en viss usikkerhet rundt hjemmelsgrunnlaget for registrering og bearbeiding» av nærmere presiserte opplysninger, og at opplysningene «hittil ikke [har] blitt registrert». Likevel ble altså informasjonssystemet tatt i bruk. Etter Datatilsynets kritiske tilnærming i svarbrevet burde kriminalomsorgen uansett ha foretatt en rask avklaring av de punktene tilsynet fremhevet i sitt brev og om nødvendig ha utsatt gjennomføringen av systemet til lovligheten var brakt på det rene. Kriminalomsorgen har altså hatt kjennskap til personvernmessige utfordringer knyttet til informasjonssystemet, men likevel ikke tatt utfordringene tilstrekkelig på alvor. Dette er meget uheldig og bekymringsfullt.
Kriminalomsorgen har imidlertid i ettertid tatt tak i problemstillinger rundt personvern gjennom et eget prosjekt i dialog med Datatilsynet. Et ledd i dette arbeidet er det fremlagte forslaget til nytt kapittel 1a i straffegjennomføringsloven om behandling av personopplysninger i kriminalomsorgen, se Prop. 151 L (2009–2010) og Innst. 58 L (2010–2010). Lovforslaget ble vedtatt av Stortinget 16. og 23. november 2010. Oppnevning av INFOFLYT-utvalget kan sees som en forlengelse av dette arbeidet.
For øvrig tar jeg til etterretning departementets opplysning, på spørsmål herfra, om at saksbehandlingsinstruksen fra KSF (rundskriv 2/2005) ved en inkurie var påført feil hjemmelsgrunnlag og at dette vil bli rettet opp. Jeg har også merket meg at departementet tok sikte på å ferdigstille en revidert saksbehandlingsinstruks i løpet av høsten 2009, blant annet som svar på mine synspunkter og kritiske spørsmål. Dette ser imidlertid fortsatt ikke ut til å ha blitt gjennomført, og det er det opprinnelige rundskrivet fra 2005 som er tilgjengelig på kriminalomsorgens nettsider. Også dette er uheldig. Jeg ber om å bli orientert om den reviderte instruksen når den er ferdigstilt.
Departementet har videre opplyst at underliggende etater skal følge opp anbefalingene fra FNs arbeidsgruppe for vilkårlig frihetsberøvelse på sine respektive områder. Anbefalingen knyttet til INFOFLYT følges opp av kriminalomsorgen «i forbindelse med gjennomgåelsen av retningslinjene for INFOFLYT». Dette gir ikke grunn til merknader fra min side.
Mitt perspektiv i denne saken har primært vært spørsmålet om hjemmelsgrunnlag for behandling av INFOFLYT-opplysninger og kriminalomsorgens behandling og bruk av opplysningene i enkeltsaker. Politiets og påtalemyndighetens arbeid med å fremskaffe informasjon til INFOFLYT har ikke vært et tema i denne omgang, og jeg har lite kjennskap til saksbehandlingsrutiner og instruksverk på dette området. Jeg er imidlertid kjent med gjeldende instruks for Politiets sikkerhetstjeneste 19. august 2005 nr. 920, som har et eget kapittel om behandling av opplysninger. Der omtales krav til formålsbestemthet og nødvendighet og opplysningenes kvalitet, herunder oppstilles det et skille mellom verifiserte og ikke-verifiserte opplysninger. Tilsvarende bestemmelser er inntatt i den nye politiregisterloven 28. mai 2010 nr. 16, se blant annet § 4 om formålsbestemthet, § 5 om nødvendighetskravet og § 6 om opplysningenes kvalitet. Mandatet til INFOFLYT-utvalget omfatter ikke utlevering av opplysninger fra politiet til kriminalomsorgen, idet dette vil bli regulert av den nye politiregisterloven når den trer i kraft og i en kommende forskrift til loven. Jeg er tilfreds med at denne siden av INFOFLYT-samarbeidet nå blir underlagt en generell regulering som blant annet skal ivareta hensynet til kvalitet på opplysningene som registreres og utveksles. At politiets opplysninger har tilstrekkelig kvalitet og at kvaliteten synliggjøres synes å være nødvendig for at kriminalomsorgens senere bruk av opplysningene skal være forsvarlig i saker om blant annet permisjon, overføring og prøveløslatelse.
På bakgrunn av det pågående arbeidet på dette området gir ikke saken grunn til ytterligere merknader eller initiativ fra min side på det nåværende tidspunkt.»