Interesseavveiningen
Skal du bygge på berettiget interesse, må du kunne vise at du har tenkt gjennom det. At du har veid din egen interesse mot interessene til folka det gjelder.
De fleste gjør den øvelsen i et internt dokument ingen får se. Her er vår.
Vi legger den ut fordi du er nødt til å vite hva vi faktisk har tenkt for å kunne være uenig med oss. Og fordi et resonnement som ikke tåler dagslys, stort sett er et dårlig resonnement.
Sånn regner vi
Vi følger den vanlige tretrinnstesten for artikkel 6 nr. 1 bokstav f, slik Datatilsynet og Personvernrådet beskriver den.
- Er interessen vår berettiget?
- Er behandlingen nødvendig for å nå den?
- Veier interessen tyngre enn interessene, rettighetene og frihetene til folka det gjelder?
Faller ett trinn, faller hele behandlingen. Alle tre må holde.
Det vi vurderer
Vi samler inn, lagrer, setter sammen og publiserer registeropplysninger om folks tilknytning til norsk næringsvirksomhet. Navn, fødselsår, roller og verv, aksjeposter, registrert adresse for enkeltpersonforetak, navn i kunngjøringer, mottatt offentlig støtte, offentlige kontrakter vunnet, tillatelser fra Finanstilsynet og hvem som er transportleder i en virksomhet med transportløyve.
Det er stort. Drøyt 1,18 millioner enheter, og personopplysninger om flere hundre tusen mennesker. Vi skal ikke påstå at dette er en liten behandling. Skalaen er i seg selv et argument mot oss, og den har vi tatt med i trinn 3.
Alle kategoriene står i detalj i personvernerklæringen.
Trinn 1: Er interessen god nok?
Interessen vår er åpenhet om hvem som eier og styrer norsk næringsliv, og om hvor de offentlige kronene går.
Den er ekte for flere enn oss.
- Journalister som skal finne ut hvem som står bak et selskap.
- Forskere som ser på eierskap og kapitalflyt.
- Leverandører, långivere og samarbeidspartnere som skal sjekke en motpart før de binder seg.
- Jobbsøkere og ansatte som vil vite hvem som faktisk eier arbeidsplassen.
- Myndigheter og sivilsamfunn som skal se om støtteordningene treffer.
- Alle som vil vite hvem de handler med.
Og dette er ikke bare vår egen påstand. Lovgiver har tatt stilling. Enhetsregisteret og Foretaksregisteret er offentlige nettopp for at hvem som helst skal kunne se hvem som står bak en virksomhet, og Skatteetaten gir ut aksjonærregisteret av samme grunn. Transportørregisteret er offentlig fordi EU-reglene for transportyrket krever det. Navnet på transportlederen skal være tilgjengelig for alle (forordning 1071/2009 artikkel 16). Formålet vårt er det samme som registrene selv har.
Trinn 1 holder.
Trinn 2: Må det være sånn?
Nødvendig betyr ikke «praktisk». Det betyr at vi ikke kan nå det samme på en mindre inngripende måte. Vi har gått gjennom alternativene, og noen av dem har vi faktisk tatt inn.
| Alternativ | Hva vi landet på |
|---|---|
| Anonymisere folk | Nei. Spørsmålet tjenesten svarer på, er nettopp «hvem». Uten navn er det ikke et mildere svar. Det er ikke noe svar. |
| Bare vise selskaper, aldri personer | Nei, men halvveis ja. Å slå opp en person på tvers av selskaper er det journalistikk og forskning trenger mest, og loven sier uttrykkelig at det er lov når det gjelder næringstilknytning. |
| Lagre fødselsdato i stedet for fødselsår | Nei. Vi tar bare året, sånn kilden gir det. Det blir mindre presist, og vi lever heller med at folk kan forveksles enn å lagre mer om dem. |
| Bare siste registerår for aksjeposter | Nei. Eierskiftene er selve poenget. Hvem kom inn rett før konkursen, hvem gikk ut rett før oppkjøpet. Samtidig er tjue år med historikk tyngre enn ett, og det har vi tatt med i trinn 3. |
| Føre historikk over verv enkeltpersoner har hatt | Nei. Registeret viser hvilke verv du har nå, og det er det vi viser. En liste over alle styrer du har sittet i, med datoer, er en yrkeshistorie, og den tåler ikke den samme avveiningen: nytten er langt mindre, og inngrepet langt større. Vi følger bare regnskapsfører, revisor og forretningsfører over tid, og bare når et selskap har rollen. Databasen tillater ikke noe annet: raden krever et organisasjonsnummer. |
| Lese personene i kunngjøringene ut som egne felt | Nei. Vi leser kunngjøringene inn i felt du kan søke i, for det er sånn du finner ut hvilke selskaper som flyttet, endret kapital eller gikk inn i et annet. Styremedlemmene, daglig leder, deltakerne og bostyreren står navngitt i teksten, og der blir de. Gjør vi dem til felt, har vi bygget den yrkeshistorien vi nettopp sa nei til, bare med kunngjøringer som kilde. |
| Legge til kontaktopplysninger om folk | Nei. Det ville gjort tjenesten litt mer nyttig for noen få, og klart mer ubehagelig for alle. Vi henter det ikke, selv om kilden skulle tilby det. |
| Ta med enkeltpersonene i Finanstilsynets register | Nei. Registeret har tusenvis av revisorer, regnskapsførere og meglere oppført med navn. Tjenesten svarer på hvem som står bak selskaper, ikke hvem som har hvilken autorisasjon, så vi henter bare selskapene. Har du enkeltpersonforetak, står tillatelsen på foretaket. Personen bak lagrer vi ikke som egen opplysning. |
| Ta med kontaktpersonene i anbudskunngjøringene | Nei. En kunngjøring på Doffin navngir en kontaktperson hos oppdragsgiveren, og ofte hos leverandøren, med telefon og e-post. Det er folk som gjør jobben sin, ikke de som eier eller styrer selskapet. Vi leser bare hvem som kjøpte, hvem som vant og hva det kostet, og kontaktpersonen blir liggende hos Doffin. |
| Utelate transportlederen | Nei. Transportlederen er den loven holder ansvarlig for at transporten drives lovlig, og det er nettopp det kunder og oppdragsgivere slår opp. Men registeret gir ikke fødselsår, så vi kobler ikke navnet mot personsidene. Vi gjetter ikke på hvem det er. |
| Koble mot andre kilder om privatlivet | Nei. Eiendom, skattelister, sosiale medier, verv utenfor næringslivet. Ingenting av det hører hjemme i areg, og loven trekker grensen ved næringstilknytning. |
| Kreve innlogging for personsøk | Vurdert på ordentlig. Det hadde skapt en terskel, men også et register over hvem som søker på hvem. Det er en ny og større personvernbelastning. Vi valgte heller ingen kontoer og ingen logg over hvem som slår opp hva. |
Trinn 2 holder for behandlingen sånn den er avgrenset her. Ikke for en videre behandling.
Trinn 3: Hva veier tyngst?
Hva slags opplysninger det er
Ja. Alt handler om rollen din i næringslivet, og alt er offentlig hos kilden fra før.
Hva folk med rimelighet kan forvente
Tar du et styreverv eller registrerer et foretak, vet du, eller bør du vite, at det blir offentlig. Tre grupper har svakere grunn til å forvente det.
- Aksjonærer. Aksjer arves og gis i gave. Du kan stå i aksjonærregisteret uten å ha valgt noe som helst.
- Mindreårige, som ikke har valgt noe i det hele tatt.
- Folk med enkeltpersonforetak, der forretningsadressen ofte er hjemmet og telefonnummeret ofte er det private.
Hva det kan koste deg
Vi har tenkt konkret på dette.
- Uønsket oppmerksomhet og henvendelser. Også selgere og svindlere som går etter dem som ser velstående ut på papiret.
- Kartlegging av formue gjennom aksjeposter. Også for folk som aldri har gjort noe offentlig ut av det selv.
- Reell fare for folk som er utsatt for vold eller trusler, der en samlet oversikt kan brukes til å spore dem opp.
- Forveksling. Navn og fødselsår er ikke unikt. To mennesker kan smelte sammen til én, og den ene får den andres historikk.
- At ting blir stående lenge. En konkurs fra 2009 kan fortsatt slås opp på organisasjonsnummeret, selv om den ikke lenger dukker opp i søk.
Forholdet mellom oss og deg
Du er ikke kunde hos oss. Du har ikke samtykket til noe. Du kan ikke melde deg ut av registrene. Det er en skjevhet, og den taler mot oss. Motvekten må være at det er lett å bli hørt hos oss, og at innsigelsesretten er ekte.
Hva vi gjør med det
En avveining uten tiltak er bare en påstand. Vi deler dem i to. Det som ligger i selve tjenesten, og det vi lover å gjøre når noen tar kontakt. Begge deler forplikter, men du skal få vite hva som er hva.
Bygget inn i tjenesten
- Bare næringstilknytning. En personside viser roller, verv og aksjeposter. Ikke noe annet, og aldri koblet mot privatlivet.
- Ingen fødselsnumre, ingen privat kontaktinformasjon, ingenting sensitivt.
- Ingen kontoer og ingen logg over hvem som søker på hvem. Vi lagrer ikke IP-adressen til besøkende. Vi teller hvor ofte en selskapsside åpnes, men bare som ett tall per selskap per dag. Personsider teller vi ikke.
- Ingen annonser, ingen sporing, ingen tredjepartsskript, ingen salg av data.
- Alt lagret i Norge, på én maskin, uten skytjeneste og uten tur ut av EØS.
- Driftslogger slettes etter 30 dager.
- Åpen kildehenvisning. Hver opplysning viser hvor den kommer fra, så du kan rette den ved roten.
- Slettede selskaper er ute av søket. Et selskap som er slettet, er ikke med i søket vårt og er merket noindex for søkemotorer. Siden svarer bare den som går rett på organisasjonsnummeret.
Sånn tar vi imot henvendelser
- Rask skjerming hvis du er utsatt for trusler. Normalt innen 24 timer, og du slipper å dokumentere noe først.
- Skjerming av mindreårige når forelder eller verge ber om det, uten at vi spør hvorfor.
- Skjerming gjelder alle flatene. Nettsider, API, søk og datasett. Vi passer også på at de daglige oppdateringene fra registrene ikke drar deg inn igjen.
- Ingen terskel. Ingen skjema, ingen legitimasjon for å komme i gang, ingen gebyr.
- Denne avveiningen ligger åpent ute og gjennomgås hvert år.
Konklusjon
Alle tre trinnene holder, for behandlingen sånn den er avgrenset her. Offentlige registeropplysninger om næringstilknytning, publisert uten annonser, uten profilering og uten kobling mot privatlivet, og med en reell vei ut for dem som trenger den.
areg er åpent, også sidene om enkeltpersoner. Vi legger ikke en terskel mellom deg og opplysningene, og da må motvekten ligge et annet sted. Den ligger i hva vi holder oss unna, og i hvor lett det er å be oss om å skjerme deg.
Konklusjonen gjelder denne behandlingen. Den er ikke et frikort for det neste vi måtte finne på.
Hva som ville snudd svaret
Vi skriver det ned nå, mens det ikke koster oss noe. Da blir det vanskeligere å gli unna senere.
- Hvis vi la til privat kontaktinformasjon om folk.
- Hvis vi koblet registerdata mot privatlivet, som eiendom, skattelister eller sosiale medier.
- Hvis vi begynte å score, rangere eller kredittvurdere mennesker.
- Hvis vi tok betalt for personoppslag, eller solgte personopplysninger videre.
- Hvis vi gjorde det vanskeligere å be om skjerming, eller begynte å ta oss betalt for det.
- Hvis vi begynte å logge hvem som søker på hvem.
- Hvis vi begynte å telle sidevisninger på personsider, eller å knytte en sidevisning til en besøkende.
- Hvis vi tok inn opplysninger om straffedommer eller lovbrudd.
Når vi regner på nytt
- Hvert år. Neste gang august 2027.
- Hver gang vi tar inn en ny datakilde med personopplysninger.
- Hver gang vi bruker opplysningene til noe nytt.
- Når en innsigelse eller klage viser oss noe vi ikke hadde tenkt på. Da hører det hjemme her, ikke bare i svaret til den ene.