Datatilsynet har meddelat Statistisk sentralbyrå (SSB) ett beslut som innebär ett förbud mot deras planerade insamling av uppgifter om den norska befolkningens dagligvaruinköp. Bakgrunden till beslutet är Datatilsynets granskningar och bedömningar i ärendet som resulterat i en underrättelse om förbud. Enligt Datatilsynets finns det inte tillräcklig rättslig grund för sådan behandling av personuppgifter.
SSB har tidigare beslutat att livsmedelsaktörerna NorgesGruppen ASA, Coop Norge SA, Rema 1000 AS och Bunnpris ska tillhandahålla en viss typ av uppgifter om sina kunder, innehållandes bland annat transaktionsuppgifter. Syftet med SSB:s beslut är bland annat att sammanställa konsumtionsstatistik, som ska ge en detaljerad bild av norska hushålls årliga konsumtion av varor och tjänster.
Uppgifterna som ska tillhandahållas av de olika livsmedelsaktörerna är i praktiken det kvitto som visar vilka varor varje kund har köpt, och i vilken omfattning. Genom att koppla uppgifterna till en betalningstransaktion kan Statistiska centralbyrån länka samman inköp av varor till individer och hushåll via uppgifter från Skatteverket och det nationella befolkningsregistret. Uppgifterna ska sedan kunna kopplas till socioekonomiska data som hushållstyp, inkomst och utbildningsnivå.
Datatilsynet erkänner samhällsnyttan med konsumtions- och koststatistik, men SSB planerar enligt Datatilsynet en helt ny form av datainsamling från privata aktörer, genom flödet av mycket detaljerad information. Insamling av transaktionsuppgifter är bemyndigad i det beslut om informationsskyldighet för dagligvarukedjorna som SSB har fattat i enlighet med nationell rätt. Datatilsynet anser att sådana beslut som rättslig grund är inte tillräckligt tydlig och förutsägbar för denna planerade behandling av personuppgifter.
Enligt Datatilsynet har myndigheten fullt förtroende för att SSB skulle behandla uppgifterna på ett bra sätt internt, bland annat genom aggregering och informationssäkerhetsåtgärder. Även om syftet är att ta fram anonym statistik kommer intrånget i individens integritet att ha skett redan när personuppgifterna samlades in SSB.
SSB har tre veckor på sig att svara på Datatilsynets underrättelse. Datatilsynet kommer därefter att ta beslut om hur ärendet ska avgöras i ett slutligt beslut.