Året 2013 ble preget av Edward Snowdens avsløringer som sendte sjokkbølger inn i de øverste politiske sirkler. Det er ikke hverdags­kost at personvern er aller høyest på den politiske dagsorden, at personvern skaper diplomatisk krisetilstand mellom USA og Tyskland, og at et samlet politisk Norge er enig i at vår nærmeste allierte gikk alt for langt i sin overvåking av enkeltmennesker (og, for ordens skyld, også politikere).

Hva har så 2014 bragt med seg på personvernfronten? Var Snowden-avsløringene kun er lite blaff i seilet som ga personvernskuta litt ekstra fart for en kort periode? Etter min mening er svaret nei. Oppmerksomheten om personvern er fortsatt stor.

Øke kjennskap til plikter og rettigheter

Flere nå enn tidligere gir uttrykk for at personvern er en viktig verdi. Det ser vi i vårt daglige arbeid. Og det er til stor hjelp ettersom et av våre viktigste mål er å øke kjennskapen til lovfestede rettigheter og plikter både i befolkningen og i virksomheter. Da vi startet arbeidet vårt med personvern i skolen og gjennomførte de første skole­tilsynene, spredte nyheten seg som ild i tørt gress blant ledere i norske skoler.

Dette kan selvsagt skyldes at mange ble usikre og kanskje til og med redde for hva vi ville finne på tilsyn. Etter vår erfaring skyldes dette imidlertid snarere at mange kastet seg rundt fordi de syntes at personvern var viktig, at elevenes opplysninger skulle være godt sikret, og at det faktisk var helt vesentlig å ha en oversikt over hvilke opplysninger en skole har om hver enkelt elev.

Innebygd personvern

De siste årene har vi jobbet hardt for å fremme prinsippene for innebygd personvern. Dette betyr at personvern skal bygges inn i de teknologiske løsningene helt fra starten av, ja faktiske helt fra et IKT-prosjekt er på tegnebrettet for første gang. Erfaringer har vist at dette er svært mye billigere og gir bedre personvern enn å inkludere personvernløsninger på et senere tidspunkt.

Jeg føler at dette arbeidet har båret frukter. Begrepet innebygd personvern er nå i alminnelig bruk blant utviklere. Da Stortinget behandlet Datatilsynets årsmelding for 2013, trakk flere representanter fram nettopp dette viktige prinsipper. Dette er særlig viktig, ettersom det offentlig etter vår oppfatning bør ligge i front når det gjelder å jobbe etter prinsippene for innebygd personvern.

Digitalisering av offentlig sektor

Et annet område hvor jeg synes vi har lykkes godt, er i arbeidet med digitalisering av offentlig sektor. Det pågår nå en lang rekke prosjekter, fra digital postkasse til borgerkort, der det er viktig å ivareta personvernet. Mer samhandling, mer deling av opplysninger og gjenbruk utfordrer automatisk viktige personvernprinsipper slik som formåls­bestemthet og dataminimalisering.

Vi opplever at det er et betydelig ønske om å snakke med Datatilsynet og å ta mot våre råd. I nær sagt alle prosesser er det snakk om innebygd personvern. Datatilsynets ønske for 2015 er at vi blir medlem i det organet som skal bidra til samordning av digitaliserings­prosessene i offentlig sektor – SKATE. Dette ville være det endelig beviset på at personvern blir tatt på alvor i digitaliseringen som skjer i offentlig sektor.

Internasjonalt arbeid

Det er viktig for Datatilsynet å være aktive på den internasjonale arenaen. At Norge ikke er medlem i EU setter selvsagt noen begrensninger på vår innflytelse, men desto viktigere blir det å vise aktivitet i andre fora.

For to år siden satte vi som et strategisk mål å bli en ledende internasjonal personvernmyndighet på spørsmål knyttet til personvern og Big Data. Vi skrev først en norsk rapport om temaet, og påtok oss deretter å skrive en rapport for den såkalte Berlin-gruppen, en internasjonal gruppe som jobber med aktuelle personvernspørsmål. I 2014 kronet vi arbeidet med å fremme, og få vedtatt, en resolusjon på den internasjonale personvernkonferansen, med unison støtte fra øvrige lands person­vern­myndigheter.

Vi er faktisk ganske stolte over å ha fått til dette, og det viser hvor viktig det er å tenke langsiktig, og ikke minst å være villig til å påta seg arbeid også i internasjonal sammenheng.

Personvern i folks hverdag

Datatilsynet har som mål å gjøre personvern mer kjent og forståelig for folk flest, i deres hverdag. Og det er unektelig slik at personvernutfordringer treffer enkelt­mennesker i større grad enn tidligere. Mulig­hetene for å overvåke og kontrollere hva folk gjør er nærmest ubegrenset. De sosiale mediene er en del av livene våre.

Særlig bekymringsfullt er det at vi ser en ytterligere økning i antall henvend­elser som gjelder kontrolltiltak i arbeidslivet. Det kunne jo vært positivt, men dessverre er det stadig færre arbeidsgivere som tar kontakt før de iverksetter kontrolltiltak, og stadig flere arbeidstagere som tar kontakt fordi de føler seg urettmessig overvåket og kontrollert. Det burde jo ha vært motsatt!

Mange utfordringer – også i det nye året

Selv om personvernvernet trues fra mange kanter er jeg godt fornøyd med hva vi i Datatilsynet har fått til i 2014. Jeg har inntrykk av at vi blir oppfattet som en viktig samarbeidspartner for stadig flere aktører. Vi har fått gjennomslag for prinsippene om innebygd personvern og folk ringer og skriver til oss for å få råd og hjelp. Datatilsynets stemme er tydelig i den offentlige debatten om personvern og overvåking. Gjennom tilsynsvirksomheten bidrar vi til å snu hele sektorer og få dem til å ivareta personvernet på en bedre måte enn tidligere. Vårt kommunikasjonsarbeid gjør også folk i bedre stand til å ta vare på sitt eget personvern.

Ressursbruk

I en virksomhet som vår er det viktig å bruke ressursene riktig. Dersom alle saker skal behandles like grundig, alle sektorer vies like stor oppmerksomhet og alle mediehenvendelser tas like seriøst, har vi en umulig oppgave. Derfor jobber vi stadig for å effektivisere saksbehandlingen og tilsynsmetodikken vår.

Vi har også et gjennomtenkt forhold til når vi skal bruke de ulike virkemidlene vi har til disposisjon, og hvordan vi fordeler ressursene på disse. Rundt 35 prosent av personalressursene våre går med til å kontrollere om lover og regler følges og annen saksbehandling, og 27 prosent benyttes til å gi veiledning, samt andre kommunikasjonsaktiviteter. Vi mener selv dette er en riktig fordeling av ressursene, og det som gir best effekt og måloppnåelse.

Ønsker et mer moderne lovverk velkommen

2015 er året da EUs personvernforordning etter all sannsynlighet blir vedtatt. Dagens regelverk er fra 2000, altså fra før både Google, Twitter og Facebook. Og selv om lovverket har tålt tidens tann godt, er det viktig å få på plass et nytt. Dette vil bety en stor omstilling også for Datatilsynet. Vi må gjennomgå vår praksis og vår måte å jobbe på. Dette gleder vi oss virkelig til, og jeg er trygg på at Datatilsynet kan gjøre en enda bedre jobb med et moderne lovverk i ryggen. 

Bjørn Erik Thon
Direktør

Personvern handler enkelt sagt om retten til et privatliv og retten til å bestemme over egne personopplysninger. Personvern er en menneskerettighet som skal sikre hensynet til den enkeltes personlige integritet, men det er også en ideell interesse og er svært viktig for å sikre felles goder i et demokratisk samfunn.

Det vil for eksempel være uheldig dersom enkeltpersoner begrenser sin deltagelse i den åpne meningsutvekslingen og politiske aktiviteten fordi de frykter at opplysninger om personlige forhold vil bli trukket frem og gjort til allmenn oppmerksomhet. Eller dersom de setter begrensninger på seg selv fordi de er redde for at myndighetene registrerer og lagrer opplysninger om deres kommunikasjon med andre, om ferdselsmønster, interesser eller uttrykk for holdninger. Datatilsynet må derfor jobbe aktivt for å oppnå en god ivaretagelse av personvernet i avveiingen mot andre samfunnsinteresser.

Målsettinger

For å realisere hovedmålet har Datatilsynet prioritert følgende hovedaktiviteter. Vi skal:

I 2014 har Datatilsynet valgt å særlig prioritere personvern i helsesektoren, skole- og utdanningssektoren, justissektoren og digitaliseringen av offentlig sektor. I de neste kapitlene beskrives i tillegg aktiviteten på en rekke andre områder, både nasjonalt og internasjonalt.

Virkemidler

For å nå den overordnede målsettingen har vi i hovedsak fem ulike virkemidler til disposisjon. Ved å ha kontinuerlig opp­merksomhet på hvordan vi kombinerer virkemidlene våre, kan vi oppnå en betydelig bedre effekt enn om vi benytter hvert virkemiddel alene.

Saksbehandling som virkemiddel

Gjennom saksbehandling tilegner vi oss erfaring og kunnskap om hvordan personvern­hensyn i praksis ivaretas. Spesielt skal vi ha oppmerksomheten rettet mot å identifisere systemfeil i virksomheter og bransjer.

Saksbehandling som virkemiddel har særlig vært brukt på sektorer der vi mottar mange henvendelser og klager.

Tilsynsvirksomhet som virkemiddel

Gjennomføringen av tilsyn gir oss et fakta­basert grunnlag for kommunikasjon til ulike bransjer og relevante aktører. Tilsyns­virke­middelet skal benyttes aktivt for å under­søke og avklare praksis, og til å følge opp konkrete problemstillinger i enkeltsaker. En aktiv tilstedeværelse gir signal om at regel­verket skal etterleves og at etterlevelsen blir kontrollert. Tilsynsvirksomheten inkluderer også bruk av kontrollhjemler i saks­behandlingen, som for eksempel når vi følger opp enkeltklager gjennom krav om redegjørelse.

Ved å gjennomføre tilsyn når nye løsninger tas i bruk, men før en praksis har satt seg, kan tilsynene medvirke til å forme et område videre.

Noen ganger benyttes kontrollene for å få bedre oversikt over et område eller en sektor, og for å skaffe et bedre grunnlag for å ta i bruk de andre virkemidlene. Andre ganger benyttes de for å holde oppe et trykk på en bestemt sektor – gjerne innenfor et bestemt tema.

Kommunikasjon som virkemiddel

For at øvrige virkemidler skal gi best mulig effekt, er kommunikasjonsvirksomheten et sentralt virkemiddel. Datatilsynet prøver derfor i økende grad å integrere kommunikasjons­­­virksomheten med de øvrige virkemidlene vi har til disposisjon. En del av kommunikasjonen og dialogen vår skjer derfor gjennom veiledningstjenesten, veilednings­møter og annen dialog med rammesettere og beslutningstakere.

Datatilsynet skal veilede og informere om personvernlovgivning og forvaltningspraksis. Kommunikasjonsvirksomheten benyttes derfor i stor grad for å spre informasjon om personvernets tilstand, samt til å skape debatt og gi uttrykk for synspunkter vi måtte ha som forvaltnings- og tilsynsorgan, og i rollen som ombud. Kommunikasjon har naturlig nok, vært det dominerende virkemiddelet ved utøvelse av vår ombudsrolle. Dette blir blant annet gjort ved utspill og kommentarer overfor mediene, foredragsvirksomhet og blogg­innlegg.

Kommunikasjon brukes med andre ord som et aktivt virkemiddel både ved utøvelse av Datatilsynets ombudsrolle, men også i rollen som forvaltningsorgan.

Organisatoriske, tekniske og økonomiske virkemidler

Deltagelse i ulike råd og utvalg er et godt virkemiddel for best å kunne påvirke aktører til å etablere god praksis. Det samme gjelder deltagelse i arbeid knyttet til personvern­fremmende teknologi og regelverksutvikling. Disse virkemidlene egner seg særlig på områder der det pågår større reformer og utviklingsarbeid, særlig dersom de er teknologidrevet. Stortingsmeldingen «Personvern – utsikter og utfordringer» fastsetter for eksempel et prinsipielt mål om innebygd personvern i alle sektorer. Det har derfor vært viktig å minne beslutningstagere om dette prinsippet i viktige prosesser.

Personvernombudsordningen er også et utpreget organisatorisk virkemiddel.

Når det gjelder overtredelsesgebyr og tvangsmulkt, er det økonomiske virkemidler som i økende grad tas i bruk fra Datatilsynets side.

Kartlegging, utredning og analyse som virkemiddel

Utredninger og kartlegginger er en viktig kilde til kunnskap. Resultat av dette arbeidet legges til grunn ved bruk av øvrige virkemidler.

Personvernundersøkelsen som ble gjennomført i 2013, og sluttført og publisert i 2014, har for eksempel gitt et godt grunnlag for kunnskap og refleksjon omkring publikums holdninger og forventninger til ulike problemstillinger rundt personvern. I tillegg har undersøkelsen ved flere anledninger blitt benyttet som grunnlag for omtale i mediene. Utredninger og kartlegginger fungerer på samme måte. De gir dybde til ulike tema vi jobber med og kan være med på å skape oppmerksomhet i media, samt benyttes i vår argumentasjon både nasjonalt og internasjonalt.

Ressurs- og virkemiddelbruk

Tabellen under viser hvordan vi i hovedsak vurderer at Datatilsynet har gjort bruk av de 41 årsverkene vi har hatt til disposisjon i 2014.

Om lag 35 prosent av personalressursene har gått med til tilsynsvirksomhet, behandling av konsesjonssøknader, eller til øvrig saks­behandling. Dette utgjør i underkant av 15 årsverk. I kategorien «tilsynsvirksomhet» inngår både såkalte stedlige og brevlige tilsyn, samt saksbehandling hvor det benyttes kontrollhjemler i personvernlovgivningen.

Vi legger stor vekt på kommunikasjon og veiledning, og har derfor benyttet nesten en fjerdedel av personalressursene til dette, det vil si om lag ti årsverk. Her inngår vår juridiske og teknologiske veiledning, omfattende fore­drags­virksomhet, mediekontakt og annen kommunikasjonsvirksomhet.

Til personvernombudsordningen anslår vi ressursbruken til tre prosent, det vil si noe over ett årsverk, mens vi til utredning og analyse bruker noe over to årsverk.

Til vårt internasjonale arbeid bruker vi omlag halvannet årsverk (seks prosent).

I kategorien «fellesfunksjoner» inngår arkiv, personal- og økonomifunksjoner, IKT-drift og andre administrative oppgaver. Også kompetansebygging, strategi- og planarbeid og lederressursene regnes inn her. De 28 prosentene som går til slike interne felles­funksjoner utgjør nærmere tolv årsverk. Ett av disse kan knyttes til håndteringen av innsynsbegjæringer etter offentlighetsloven.

Vi vurderer denne ressursbruken som hensiktsmessig for 2014. Det har gått med en del ressurser til å endre vår organisasjonsmodell. Dette har naturlig nok gått på bekostning av vår saksbehandlings­kapasitet, og det har særlig gitt seg utslag i mindre tilsynsvirksomhet enn normalt. Vi regner med å realisere effektiviserings­gevinster fra den nye organisasjonsmodellen ut over 2015.

Mediekontakt

I løpet av året har Datatilsynet registrert 800 besvarte mediehenvendelser. Vi opplever fremdeles stor interesse fra medienes side, selv om antall registrerte mediehenvendelser er noe lavere enn tidligere år.

Registreringssystemet vårt i denne sammenhengen er ikke etablert med statistikk som formål, men for å sikre en best mulig oversikt og koordinering av vår kontakt med mediene. Vi registrerer derfor bare førstegangshenvendelser. En større andel henvendelser enn tidligere blir også besvart direkte av ledere og fagpersoner uten alltid å bli registrert av kommunikasjonsavdelingen. Det eksakte tallet henvendelser er derfor noe høyere.

Noen saker har fått særlig medieomtale i 2014. Flere av disse er nærmere omtalt under respektive områder i neste kapittel:

• Den internasjonale personverndagen 28. januar og konferansen vi arrangerte i fellesskap med Teknologirådet.
• Datatilsynets personvernundersøkelse 2013/2014.
• Datalagringsdirektivet ble kjent ulovlig av EU-domstolen.
• PST ville lagre stordata fra blant annet sosiale nettsamfunn.
• Aftenpostens avsløring av såkalte IMSI-catchere i Oslo.
• Politiets bruk av kameraovervåking av gater og torg i ulike byer og tettsteder.
• Etteretningsbataljonen fikk overtredelsesgebyr for registreringen av journalister.
• Barn og unges personvern. Overvåking fra foreldrenes side og publisering av bilder av barn.
• Hacking av bilder fra Snapchat (via tjenesten Snapsaved).
• Personvern i skolen – lansering av samlerapporten vår.
• Retten til å bli glemt. Søkemotorer og av­indeksering (EU-domstolen og Google).
• Publisering av skattelister og registrering av hvem som søker.
• Kameraovervåking og tilgang til opptak via nettet på grunn av dårlig sikring.
• Overgangen til kontantløst samfunn.
• Forslag om opprettelse av gjeldsregister.
• Internet Sweep Day 2014 – kartlegging av personvern i ulike mobilapplikasjoner

Vi har lagt en del ressurser i å ta initiativ til redaksjonelle artikler og nyhetsinnslag. Vår erfaring er at dette kan gi større uttelling, til betydelig mindre ressursbruk, enn å kanskje få inn en kronikk eller et debattinnlegg i ulike medier.

Eksempler på innsalg av saker i 2014 er:

• Pressemøte i januar om tall og utviklings­trekk fra 2013, samt våre planer for 2014.
• Den internasjonale personverndagen.
• Lansering av samlerapporten om personvern i skolen.
• Barn og unges personvern. Deltakelse i TV2s «God morgen Norge» og Dagbladets «Magasinet +».

Vi er også opptatt av å prioritere å stille til debatter og studiosamtaler om temaer som berører personvernet. Vi har derfor deltatt i mange slike sammenhenger også i 2014, og da særlig i NRK Dagsrevyen, Dagsnytt 18 og Her&Nå, men også i TV2 og P4. Debattene har blant annet handlet om følgende temaer:

• PSTs ønske om å benytte stordataanalyse av sosiale medier.
• Schibsteds registrering av brukerdata
• det kontantløse samfunn
• foresattes overvåking av barn på sosiale medier
• skattelister
• forslag om opprettelse av gjeldsregister
• forsikringsselskapers overvåking av kunder ved mistanke om forsikringssvindel

Foredragsvirksomheten

Datatilsynet ønsker å være synlig og tilstede på arenaer der vi møter representanter fra virksomheter, interesseorganisasjoner og andre aktører. Å stille med foredragsholdere, innledere, holde innlegg eller delta i paneldebatter på ulike arrangementer, er en viktig del av dette arbeidet. 

I 2014 har vi holdt 170 foredrag på eksterne arrangementer, mot 149 året før.

Vi får en rekke forespørsler om å holde foredrag gjennom hele året. Disse forespørslene vurderer vi ut fra satsingsområdene i virksomhetsplanen vår, antall deltakere, tema og kapasitet på aktuelt tidspunkt. Vi har et mål om å holde mellom 120 og 150 eksterne foredrag i løpet av året.

Foruten generelle foredrag om personvern, overvåking og Datatilsynets oppgaver, har vi holdt flest foredrag om:

• lagring i nettskyen – utfordringer for personvernet og hvordan bruke dette riktig, både i offentlig og privat sektor
• internkontroll, informasjonssikkerhet og digitalisering av offentlig sektor
• helse, særlig om velferdsteknologi og tilgangsstyring
• Big Data og hvordan dette utfordrer personvernet

Språk og forenkling

I 2012 ble det satt i gang ekstra klarspråk-tiltak i Datatilsynet, med bistand fra Direktoratet for forvaltning og IKT (DIFI). I 2013 ble det så utarbeidet en egen språkprofil som ansatte i Datatilsynet skal benytte.

Arbeidet med klarspråk har fortsatt også i 2014. Med utgangspunkt språkprofilen vår, har vi gått gjennom alle malene for brev knyttet til tilsynsvirksomheten vår, med unntak av selve kontrollrapportene. Vi har jobbet med både språk og brevenes struktur. Malene har inntil nå hatt en lite gunstig og uoversiktlig struktur med en rekke lange og tunge formuleringer. Dette har ført til at mange medarbeidere skriver dem om, noe som igjen har ført til at det har oppstått ulike måter å kommunisere det samme på. De nye malene skal gjøre det enklere for mottageren å få tak i hva som er hovedbudskapet fra oss, i tillegg til at språket generelt vil kunne gjøre innholdet tydeligere. Dette vil også gjøre det enklere for våre ansatte å skrive strukturerte og gode brev.

Når det gjelder bruk av nynorsk i tekst­produksjonen vår på nett, mener vi å oppfylle mållovens krav på 25 prosent. To av tre stillingsannonser har også vært på nynorsk i 2014. Vi arbeider kontinuerlig med å bli bedre, da vi ikke anser oss for å være helt i mål enda.

Denne tjenesten er et viktig lavterskeltilbud for publikum som har spørsmål knyttet til behandling av personopplysninger, og et viktig mål med tjenesten er å gjøre borgere og virksomheter i stand til å ivareta eget ansvar for personvern. Svarene vi gir på telefon og e‑post er som hovedregel av veiledende karakter. Det er viktig å presisere at denne veiledningstjenesten ikke fatter vedtak i saker på telefon eller som svar på en enkelt e-post.

I løpet av 2014 har veiledningstjenesten besvart 9 033 henvendelser. Dette består av 3 264 henvendelser på e-post og 5 769 via telefon. Sammenlignet med året før har det vært en markant oppgang i samlet antall henvendelser på 19 prosent.

Oversikt over antall henvendelser fordelt på ulike kategorier de siste årene:

Kategorien «Annet» inneholder hele 21 prosent av alle henvendelsene. Men, omtrent halvparten av spørsmålene i denne kategorien falt utenfor hva personopplysningsloven regulerer. Dette er for eksempel spørsmål som fanges opp av unntakene for kunstnerisk, litterær og journalistisk virksomhet, spørsmål knyttet til offentlighetsloven eller spørsmål om brudd på taushetsplikt (som ofte faller innunder forvaltningsloven eller annen spesiallovgivning). 

I 2014 har vi sett nærmere på noen sakstyper og vurdert om vår praksis bør endres utfra endringer i regelverk og samfunnsforhold. Vi har blant annet sett at noen standard­konsesjoner som vi tidligere har utstedt, nå kan erstattes av lovhjemmel som rettslig grunnlag. Mer tidsriktig fortolkning og endringer i regelverk vurderes som tilstrekkelig grunnlag, for eksempel for kommunenes håndtering av person­opplysninger. Resultatet er at vi får noen gevinster tidsmessig, og denne tiden kan benyttes til annet og mer målrettet arbeid.

Vi har også sett på om det er regler som bør endres for å skape en mer effektiv forvaltning. At Datatilsynet skal være obligatorisk høringsinstans i saker om endring i pasientjournaler, mener vi er unødvendig. Dette har vi spilt inn til Helse- og omsorgsdepartementet. Vi kan heller være en mulig høringsinstans i enkeltsaker dersom helsemyndighetene har behov for våre vurderinger.

Antall nye saker og saksdokumenter

I løpet av 2014 ble det registrert 1 468 nye saker hos Datatilsynet. Dette innebærer en økning på 4,5 prosent fra året før.

Vi ser imidlertid at antallet registrerte enkelt­dokumenter har hatt en relativ økning som er betydelig større enn dette. Antallet registrerte dokumenter inn til oss var 3 466 i 2014, mot 2 814 året før. Dette utgjør en økning på over 23 prosent. Vi tillegger denne økningen at kompleksiteten i sakene øker. Dette er tydeligst i de kontrollsakene vi selv har initiert, og kanskje særlig i de sakene som ender opp som klagesaker til Personvern­nemnda.

Vedtak, klageomfang og prioritering

Antallet vedtak som er fattet har også økt, og i 2014 har vi fattet 525 vedtak. Det vil i realiteten si at vi har tatt konkret stilling til flere enkeltspørsmål enn i 2013. Vi har i 2014 hatt som mål å ha tydelige saksavgjørelser, samt tydelige skiller mellom forvaltningssaker hvor vi fatter vedtak og de sakene hvor vi svarer veiledende til de som henvender seg.

Klageomfanget er lite og vi opplever stort sett at vedtakene våre blir akseptert. Vi har de siste årene hatt noen klagesaker på at vi ikke tar opp enkeltsaker til behandling. Gjennom slike klager har vi blitt utfordret på prioriteringene våre flere ganger, men vi opplever at det har vært en større andel i 2014 enn tidligere med dette som tema. Vi prøver gjennom disse klagesakene å kartlegge hvilke prioriteringer vi kan foreta uten at det kan angripes ved klage. Klagebehandling er ressurskrevende og vi ønsker derfor en høy forutsigbarhet på hvilke beslutninger vi kan gjøre med endelig virkning.

Antall vedtak og klager telles manuelt fra saksbehandlingssystemet. Det er en svakhet med telleformen at den baserer seg på teksten i brev og i dokumenter, og ikke utelukkende på arkivkoder eller annet enhetlig registreringssystem. 

Saker oversendt til Personvernnemnda
I 2014 sendte Datatilsynet 26 saker til klagebehandling i Personvernnemnda. Antallet saker som gikk til nemnda var høyere i 2013, men de to siste årene er markert høyere enn de to foregående.

Ved årsskiftet var ti av sakene behandlet, mens de resterende 16 fortsatt er til behandling. Klager ble gitt medhold i to av sakene, det ble gitt delvis medhold i én sak, mens i seks saker førte ikke klagen frem. I ett tilfelle var saken opprinnelig avsluttet i Datatilsynet med veiledning til vedkommende som henvendte seg, noe det ble klaget på. Personvernnemnda sendte saken tilbake til Datatilsynet igjen med beslutning om også formelt å ta stilling til spørsmålet som var bragt inn. Uenigheten gikk på om vi kunne nedprioritere saken med veiledning, eller om vi måtte fatte formelt vedtak. Formelle saker er mer ressurskrevende enn å avslutte en sak med veiledning til de som henvender seg til oss.

Som tidligere år mener vi at omgjøringsandelen er lav. De sakene som bringes inn for Personvernnemnda er som regel av betydning utover den enkelte saken.

Klagebehandlingen er også et bidrag i utviklingen av Datatilsynets forvaltnings­praksis. Justeringer av praksis vil måtte skje over tid, og klagesaksbehandling er et partsdrevet system hvor pliktsubjekter og rettighetshavere kan påvirke utviklingen. Resultatet er at dette blir bidrag i en praksis som er en riktig balanse mellom rettigheter og plikter.

I 2014 mottok vi totalt 235 søknader om konsesjon, og ga til sammen 179 konsesjoner. Blant annet har 22 treningssentre fått konsesjon til å behandle personopplysninger i tilfeller der det er mistanke om bruk av dopingmidler. Konsesjonsdokumentene er tidligere utarbeidet i dialog med Antidoping Norge.

Bruk av administrative sanksjoner

Vi benytter oss av administrative sanksjoner kun i et fåtall saker. Som etterfølgende sanksjon kan vi utstede overtredelsesgebyr, mens for å sikre gjennomføring av vedtak, kan vi pålegge tvangsmulkt (for eksempel per dag) frem til at et pålegg er etterkommet. Sanksjoner av denne typen er, og skal være, forbeholdt de mer alvorlige overtredelsene som i høy grad utfordrer de rettighetene loven gir den registrerte. Datatilsynet har ikke benyttet tvangsmulkt i løpet av året. Flere av sakene der det er gitt overtredelsesgebyr, er nærmere omtalt under de respektive områdene i kapittelet «Årets viktigste aktiviteter».

Vi har ikke hatt nok saker på alle områder til at vi kan si at det har utviklet seg en generell praksis for når vi nytter overtredelsesgebyr. For noen sakstyper er vi likevel i ferd med å etablere en praksis for bruk av sanksjoner. Vårt mål er at det skal være forutsigbart når man vil få en sanksjon som et ledd i arbeidet med å sikre etterlevelse av personopplysnings­regelverket.

Innen arbeidsliv hatt vi en rekke saker om brudd på personopplysningsforskriftens regler om innsyn i ansattes e-post, samt i utstyr stilt til disposisjon for arbeidstakeren. Her har typisk en som er oppsagt, eller som har sluttet, ikke noen maktmidler overfor sin tidligere arbeidsgiver. Alvorlige brudd på disse reglene har vi valgt å forfølge blant annet med bruk av overtredelsesgebyr.

Mange saker løses imidlertid med veiledning til partene, og uten at vi trenger å bruke overtredelsesgebyr som virkemiddel. Vår praksis er ment å være et strengt signal på at arbeidstakernes rett til å ha kontroll over e‑post i eget navn har stor verdi, og at arbeidsgivere må respektere disse rettighetene.

Vi har også benyttet overtredelsesgebyr i saker om publisering bilder og film på internett fra ellers lovlig kameraovervåking. I 2014 ble vi gjort oppmerksom på flere tilfeller enn tidligere år. Slike brudd på reglene kan den registrerte ikke beskytte seg mot og vanskelig ta til motmæle mot, i tillegg til at det er politiet sin oppgave å forfølge. Dette er noen tungtveiende argumenter for en streng reaksjon når slik publisering oppdages. Vi har valgt å reagere strengt for å sende et tydelig signal om at slike handlinger er alvorlige brudd på personopplysningsloven.

Restanser

Datatilsynet har som mål at saker og henvendelser skal være besvart og håndtert innen ti uker. De langt fleste sakene og henvendelsene blir besvart med en gang eller i løpet av fire uker. Restansebegrepet vårt er knyttet opp til overnevnte målsetting om at vi ikke skal ha saker som er eldre enn ti uker. For å nå dette målet teller vi antall dokumenter som står som ubesvart eller ubehandlet etter ti uker, regnet fra de er registrert inn. For å følge med utviklingen over tid ser vi på antall dokumenter som er en restanse, holdt opp mot hvor mye vi registrerer inn hos oss.

For å sikre en god prioritering av restanse­arbeidet følger vi også med på dokumenter som blir eldre enn henholdsvis seks og tolv måneder. Vi er godt fornøyd med utviklingen de senere årene og hadde ved årsskiftet ingen saker i den eldste kategorien. 

Når vi ser på hvilke typer saker restansene består av, er konsesjonssaker overrepresentert. Hele 26 av totalen på 62 saker eldre enn ti uker, var konsesjonssaker. Det er ikke veldig overraskende da dette i mange tilfeller er kompliserte saker som det tar tid å sette seg inn i. I mange tilfeller kan en konsesjonssak være vel så krevende å håndtere som en kontrollsak. Disse to sakstypene kan sammenliknes, da konsesjons­behandling er en forhåndskontroll av om lovens vilkår er oppfylt for de som søker om å få tillatelse til å behandle personopplysninger.

Det er et ganske beskjedent antall saker (totalt ti stykker) som blir liggende lenger enn seks måneder, noe vi er godt fornøyd med. Ingen saker var eldre enn tolv måneder. For noen av kontrollsakene i kategorien eldre enn seks måneder, har vi ventet på en avklaring av konkrete spørsmål i Personvernnemnda. Flere saker inneholdt tilsvarende spørsmål nemnda hadde til behandling allerede. En avklaring av sentrale spørsmål ville påvirke vår håndtering av sakene og vi mente at det var mest effektivt å få en avklaring fra nemnda før vi ferdigstilte alle sakene. 

Prioritering av restanser
Restansesituasjonen er bedre ved utgangen av 2014 enn sammenliknet med tidligere år, selv om det har kommet et større antall dokumenter inn totalt enn de årene vi sammenlikner med. Vi er fornøyde med at antall saker som er blitt gamle er redusert, siden vi jobber kontinuerlig med å sikre at saker ikke blir liggende å vente. Noen saker erfarer vi at tar lang tid, men ren ventetid på saksbehandlerkapasitet jobber vi med å få bort.

Restansearbeid har også en side til prioritering av saker internt. Vi har i flere år jobbet med å ha et bevisst forhold til hvilke saker vi åpner for full forvaltningsbehandling av. Dette skal særlig være saker innenfor de satsings­områdene vi har, eller i tilknytning til spesielle områder eller sektorer hvor vi etter en risikoanalyse ser at det er viktig å ta tak i enkeltsaker. Det er da ofte henvendelser som kan tyde på systemsvikt eller systemfeil som når opp i prioriteringen.

Datatilsynet som høringsinstans

I 2014 har vi gitt merknader til høringer vi har mottatt i noe mindre grad enn tidligere. Det er Justis- og beredskapsdepartementet som er den største avsenderen av høringsbrev dette året. Det skiller seg fra tidligere år hvor det har vært størst aktivitet på helseområdet, med Helse- og omsorgsdepartementet som den mest aktive aktøren. Viktige høringer er omtalt under de respektive områdene i kapittelet «Årets viktigste aktiviteter».

Oversikt over antall høringer vi har behandlet de siste årene:

Avviksmeldinger

Det er en rapporteringsplikt til Datatilsynet for hendelser som har medført uautorisert utlevering av personopplysninger der konfidensialitet er nødvendig (person­opplysningsforskriften § 2-6).

Rapporterte avvik anses som en relevant aktivitetsindikator, samt en indikator på hvor godt virksomhetene fanger opp avvik og kjenner til rapporteringsplikten for disse. 

Generelt observerer vi en jevn økning i meldte avvik. Det fremstår for oss som om kjennskapen til meldeplikten er vesentlig bedre enn tidligere, men at det fremdeles er store mørketall. Vi har ikke holdepunkter for å si at det faktiske antallet hendelser er voksende.

Offentlighetsloven og innsynskrav

Datatilsynets postjournal er tilgjengelig via Offentlig Elektronisk Postjournal (OEP), en samordning av offentlige postjournaler på internett.

I 2014 håndterte Datatilsynet innsynskrav om til sammen 2 219 dokumenter via OEP. Vi ser slik en liten nedgang sammenliknet med året før. I tillegg til de begjæringene som kommer via OEP, kommer det imidlertid en god del henvendelser om innsyn direkte til arkivet. Tar vi med dette i tallmaterialet er det totale nivået noe i overkant av hva det var i 2013.

Antall innsynskrav var ventet å øke etter endringene i offentlighetsloven. Nå ser det imidlertid ut til at dette er i ferd med å stabilisere seg.

Vi har i noe større grad avslått innsynskrav sammenliknet med 2013. Økningen er ikke utslag av noen endring av praksis fra vår side, og vi tilskriver økningen at de etterspurte opplysningene i større grad er unntatt offentlighet enn tidligere.  

I 2014 har vi bare hatt fire klagesaker som er sendt til Kommunal- og moderniseringsdepartementet som er klageinstans, og én som vi omgjorde selv etter klagen. Vi har ikke talt det som klage når vi har blitt bedt om en utvidet forklaring på hvorfor vi har nektet innsyn. Med såpass få klager mener vi at vi har et rutinesett og en praksis som stemmer godt med lovens intensjon og publikums forventning.

Vi har etablert gode rutiner som fungerer i det daglige for håndteringen av innsynskrav. Vi ser imidlertid at vi bruker forholdsvis store ressurser på dette arbeidet.

Gjennomføring av tilsyn/kontroll er en viktig aktivitet for å nå Datatilsynets mål. Vi skal gjennomføre tilsyn i prioriterte sektorer basert på risikoanalyse, systematisere og kommunisere funnene, samt følge opp etterlevelsen av pålegg.

Vi bruker planlagte tilsyn strategisk for å avklare praksis og for å skape oppmerksomhet om kravene i regelverket. Formålet med de fleste tilsynene går utover det å bare kontrollere regelverksetterlevelse hos den ene virksomheten. Vi arbeider for at tilsynsaktiviteten vår skal bidra til bedre regelverksetterlevelse hos et større antall virksomheter. Her er bruk av kontroller i kombinasjon med andre virkemidler, spesielt kommunikasjon, sentralt.

Tilsyn gjennomføres i hovedsak innen våre prioriterte områder. De er nærmere beskrevet under kapittelet «Årets viktigste aktiviteter».

Hvilke virksomheter vi faktisk velger å kontrollere, faller normalt i to kategorier; virksomheter hvor det antas å være en særskilt risiko, og representative virksomheter for å avdekke status i en sektor eller et tematisk område. I 2014 gjennomførte vi totalt 68 tilsyn. I tillegg kommer bruk av kontrollhjemlene våre i annen saksbehandling enn tilsyns­virksomheten, til sammen 246 saker.

I løpet av 2014 gjennomførte vi generelle kontroller hos en rekke virksomheter innen skole- og utdanningssektoren for å skaffe oss et godt grunnlag for påfølgende bruk av andre virkemidler. Videre gjennomførte vi noen mer spissede tematiske tilsyn innen helse og velferd (slik som tilsyn hos tiltaksarrangører for NAV), samt justissektoren. Det ble også gjennomført tilsyn med internkontroll og informasjonssikkerhet i offentlig sektor for å påvirke sektoren til en bedre etterlevelse.

Generelle kommentarer

Det vi her regner som tilsyn, er våre kontroller med om regelverket er fulgt, og der det normalt blir utarbeidet en rapport i etterkant. Et tilsyn eller en kontroll blir vanligvis gjennomført ved at to eller tre medarbeidere fra Datatilsynet besøker en virksomhet.

I noen tilfeller gjennomføres planlagte kontroller som en skriftlig prosess, uten at vi er på fysisk besøk hos virksomheten. Dette er i tilfeller hvor det vi ønsker å undersøke er egnet å få avklart uten stedlig oppmøte. I 2014 ble 55 av tilsynene gjennomført hos virksomhetene (stedlig tilsyn), mens 13 ble gjennomført via brev (brevlig tilsyn).

De brevlige tilsynene skiller seg fra bruk av de samme kontrollhjemlene i øvrig saksbehandling ved at de er en planlagt undersøkelse av konkrete forhold i virksomhetene. I 2014 ble brevlige tilsyn vurdert som hensiktsmessig for den oppfølgingen vi gjorde overfor banker og noen av skolene.

Oversikt over kontrollene Datatilsynet gjennomførte i 2014, fordelt på stedlige og brevlige tilsyn:

Vi har brukt kontrollhjemler i 246 øvrige saker. Dette tallet er hentet ut fra arkivsystemet ved hjelp av søk på sakstype og dokumentenes tittel. På grunn av måten disse dataen er hentet ut på kan vi ikke legge til grunn at tallet er fullstendig presist, men vi anser det som et representativt mål. Selv om det er gjentatt bruk av kontrollhjemler i en enkelt sak, er saken bare talt én gang.

Avvik fra planer

Vi planla å gjennomføre 77 tilsyn i 2014. Årsresultatet er noe under dette. Det er flere grunner til dette:

• Omorganiseringen (se «Organisasjon og budsjett») kostet oss noe kapasitet på kort sikt, selv om målet er bedre og mer effektiv oppgaveløsning.
• Vi kuttet ut to kontroller med granskningsvirksomheter. Dette fordi gjennomføringen av de to første kontrollene krevde mye ressurser (overtredelsesgebyrsaker og klagesaker), og at vi anser at målet med kontrollene på kort sikt blir nådd ved å gjennomføre to og ikke fire tilsyn.
• Vi kuttet tilsyn etter politiregisterloven, da bruk av andre virkemidler ble vurdert som mer egnet.
• Prosjekttilsyn om internkontroll og informasjonssikkerhet i reiselivsbransjen ble utsatt. Disse ble varslet i 2014 og gjennomføres i januar og februar 2015.
• Tre planlagte kontroller med kommuner ble ikke varslet på grunn av en flom på Vestlandet som to av de aktuelle tilsynsobjektene var berørt av. Tilsyn ble i stedet varslet på slutten av året og gjennomføres i februar 2015.
• Etterkontroll med Narvik kommune om bruk av skytjenester ble utsatt og kontrollbrev ble sendt ut sent i 2014, med svarfrist i 2015.

Funn fra tilsynene – avdekkede avvik

Funn som blir gjort under tilsyn kategoriseres som avvik. Det vi si at vi har vurdert praksisen hos den kontrollerte virksomheten til å være et avvik fra krav i regelverket.

Hvilke avvik som avdekkes vil naturligvis avhenge av hva som er tema for den aktuelle kontrollen. For eksempel er kontrollene med finanssektoren brevkontroller på et spesifikt tema, og vi undersøker da ikke internkontroll generelt eller bruk av avtaler.

Saker med særlig interesse er omtalt under de respektive fagområdene under «Årets viktigste aktiviteter». Det er likevel grunn til å fremheve at vi ser systematiske avvik i offentlig sektor og utdanningssektoren knyttet til internkontroll, informasjonssikkerhet og etablering av databehandleravtaler. For tilsyn gjennomført i 2014 er det varslet overtredelsesgebyr overfor fem av atten offentlige virksomheter.

Ett av tilsynene som ble gjennomført i 2014 er ikke kommet tilstrekkelig langt i saks­behandlingen til at avvikene lar seg klassifisere. Derfor avviker antallet tilsyn i tabellen under fra det totale antallet tilsyn gjennomført i 2014.

Oversikt over hvilke typer avvik vi har avdekket under kontrollene i 2014:

Internkontroll her er både knyttet til informasjonssikkerhet (pol § 13 og tilsvarende) og ivaretakelse av lovens øvrige krav (pol § 14 og tilsv.). "Fravær av internkontroll" benyttes dersom virksomheten har store mangler i det systematiske arbeidet. For øvrig benyttes "Utilstrekkelige enkeltrutiner"

Herunder manglende risikovurderinger

Herunder brudd på konsesjonsplikten

Databehandleravtaler (pol § 15 og tilsv.), avtale med sikkerhetsparter (pof § 2-15 og tilsv.), samt andre forhold som skal reguleres i avtale

"-" brukes der hvor kategorien ikke ble kontrollert

Kommunikasjon av funn fra kontrollene

Funn fra våre tilsyn blir først samlet og systematisert i kontrollrapporter. Foreløpige rapporter blir så sendt til tilsynsobjektet, tilbakemeldinger blir vurdert og det utformes til slutt en endelig rapport.Alle endelige rapporter publiseres på Datatilsynets nettsted slik at andre aktører i tilsvarende bransje kan lese om funn og hva vi er opptatt av. Videre stadfester rapportene vår forvaltningspraksis innen de aktuelle feltene.

Utover dette brukes funnene i dialog med bransjeforeninger, sektormyndigheter og andre sentrale aktører som tar utfordringene videre. Funn fra tilsyn presenteres også på relevante foredrag.

Noen gjennomførte og planlagte aktiviteter for å følge opp tilsynene i 2014: 

• Etter tilsynene med skoler og barnehager, oppsummerte vi arbeidet i en samlerapport. Denne ble lansert i juli 2014 på en pressekonferanse sammen med Kommunal- og moderniseringsdepartementet (KMD) og Kunnskapsdepartementet (KD). Videre dialog med sektoren er påbegynt med mål om påvirke sektoren til å etablere nødvendig veiledning, for eksempel en bransjenorm. Dette omtales nærmere i kapittelet om «Barn, unge og utdanning». 
• Etter tilsynene med private etterforsknings- og granskningsvirksomheter, har vi møtt bransjeorganisasjoner i arbeidet med å etablere felles retningslinjer (bransjenorm) for sektoren. Vi har i den forbindelse deltatt i Finansnæringens fellesorganisasjon (FNO) sitt arbeid med en bransjenorm for forsikringsbransjen. 
• Vi har over tid konstatert at kommunene har utfordringer med å etterleve systempliktene i regelverket. Vi intensiverer nå dialogen med Kommunesektorens organisasjon (KS) om dette temaet. Vi legger til grunn at bruken av overtredelsesgebyr etter tilsynene i 2014 vil bidra til at budskapet mottas bedre i sektoren.
• Vi har også startet opp et prosjekt hvor vi først vil gjennomføre et fåtall tilsyn i en bransje hvor vi ikke har vurdert risikoen som høy (reisebyrå), for deretter ta initiativ til dialog med aktuelle bransjeforeninger for å sørge for at det utarbeides veiledningsmateriell for bransjen. Bred etterlevelse av regelverket får vi først når sektorer selv arbeider for etterlevelse. Prosjektet har som mål å initiere slike prosesser med en begrenset ressursbruk fra Datatilsynets side.

Etterkontroller

I 2014 gjennomførte Datatilsynet etterkontroll med en skole. Tre øvrige etterkontroller som var planlagt ble utsatt som beskrevet over (to kommuner og skytjenester). Disse ble varslet på slutten av 2014, og gjennomføres i 2015.

I tillegg ble det gjennomført tre tilsyn med kommuner som hadde negative svar om etterlevelse av internkontrollplikten i kommuneundersøkelsen vår i 2010/2011. For to av disse resulterte tilsynene med at det ble varslet om overtredelsesgebyr på grunn av store mangler ved kommunenes internkontroll.

Datatilsynet fikk 38 264 000 kroner til disposisjon i 2014. Dette var en økning på 1,4 prosent i forhold til 2013. Når overføringene fra 2013 og tilleggs­bevilgninger var lagt til, hadde vi totalt 40 526 000 kroner til disposisjon i 2014.

Oversikt over bevilgninger de siste årene:   

Fordelt på lønn og drift, utgjorde lønns­utgiftene 27 785 000 kroner (69 prosent). Driftsutgiftene utgjorde 12 741 000 kroner (31 prosent). 

Organisasjon

Datatilsynet ledes av direktør Bjørn Erik Thon. Ledergruppen består av fire menn og en kvinne.

I 2014 har Datatilsynet hatt 41 faste stillinger. Av disse var 54 prosent kvinner og 46 prosent menn. I løpet av året har to medarbeidere sluttet, mot tre året før.

Den 1. september 2014 gikk vi bort fra en profesjonsbasert organisasjonsmodell og over til en organisering som i mye større grad baserer seg på tverrfaglighet i oppgave­løsningen. Slik vil flere beslutninger kunne bli tatt uten at de blir hevet opp til avdelings­direktørnivå eller direktørnivå.

Ved å gå bort fra en profesjonsbasert tilnærming har medarbeiderne fått en bedre oversikt over hva som rører seg innen de sektorene de respektive gruppene er ansvarlig for, og har fått en mer helhetlig tilnærming til sin oppgaveløsning.

Det har også vært et mål at ledelsen skal gis større rom til å drive strategisk ledelse, og til å ta ansvar for ulike overordnede og horisontale funksjoner i virksomheten. Dette gjelder for eksempel juridisk utviklingsarbeid, inter­nasjonal deltakelse og informasjonssikkerhet.

Inkluderende arbeidsliv (IA)

Datatilsynet er omfattet av avtalen om inkluderende arbeidsliv, og har spesiell oppmerksomhet på forebygging og oppfølging av sykefravær. Vi har en sykefraværsprosent som er 2,84 prosent lavere enn sykefraværet på nasjonalt nivå (som er oppgitt å være 5,5 prosent). Sykefraværet i 2014 var totalt 2,66 prosent mot 3,1 prosent i 2013. Det er altså en nedgang i sykefraværet fra året før.

Datatilsynet har i samarbeid med bedrifts­helse­tjenesten gjennomført arbeidshelse­kontroller og ergonomisk veiledning for å forebygge sykefraværet. Det tilbys dessuten trening i treningssenter. Det ble også kjøpt inn hjertestarter og arrangert et kurs i bruk av denne i 2014.

Som arbeidsgiver har Datatilsynet plikt til å innkalle minst én kvalifisert funksjons­hemmet/yrkeshemmet søker til ansettelses­intervju. I løpet av 2014 har ikke Datatilsynet hatt søkere som har oppgitt nedsatt funksjonsevne til noen stillinger.

Vi har heller ikke hatt personer tilsatt på IA-plass eller traineeordning i 2014.

Innen helse- og velferdssektoren bruker vi forholdsvis mye tid på foredrag for, og kontakt med, sentrale aktører for å oppnå godt personvern. Vi har i 2014 gjennomført en rekke møter med blant annet leverandører av tekniske løsninger og journalsystemer, helseforetak, helseregistermiljøer og helse­myndighetene. Slike møter anses som nyttige både for vår egen kunnskapsbygging og fordi vi på enkle måter får formidlet viktige personvernhensyn.

I forbindelse med behandlingen av konsesjons­­saker har vi i mange tilfeller gjennomført møter med behandlings­ansvarlige og med personvernombudene dersom virksomheten har det. Disse møtene er nyttige for å kunne belyse saken på en god måte. Det letter også den skriftlige delen av saksbehandlingen i ettertid.

I løpet av året har vi gjennomført flere tilsyn på dette området. Vi hadde blant annet behov for å følge opp tidligere tilsyn med tilgangs­styring, skaffe oss mer kunnskap om den faktiske situasjonen innen velferds­teknologi og for å avklare ansvarsforhold rundt NAVs bruk av tiltaksarrangør.

Vi har også en omfattende involvering i arbeidet med og rundt Norm for informasjons­sikkerhet i helse-, omsorgs- og sosialsektoren. I 2014 har vi blant annet bidratt med juridisk og sikkerhetsfaglig kompetanse i arbeidet med å utarbeide en veileder for ivaretakelse av informasjonssikkerhet ved bruk av velferds­teknologi i kommunene. Veilederen skal ferdigstilles tidlig i 2015.

Tilsyn med tilgangsstyring

Tilgangen til helseopplysninger om enkelt­personer skal være styrt av tekniske tiltak. Pasientopplysninger skal bare være tilgjengelige for det helsepersonellet som behøver opplysningene for å gi enkeltpersoner helsehjelp, og opplysningene skal bare være tilgjengelige når personellet trenger tilgang.

Datatilsynet gjennomførte i 2014 tilsyn med tre sykehus og hvordan de styrer tilgangen til pasientopplysninger i elektroniske pasient­journaler. Vi kontrollerte dette også i 2005, 2009 og 2013, men anså at det var nødvendig å gjøre en oppfølging for å se hvordan situasjonen var nå. Vi vurderte det også som særlig viktig i forkant av ny pasientjournallov, som i større grad enn tidligere åpner for tilgang til opplysninger på tvers av virksomheter.

Vårt inntrykk er at sektoren er blitt bedre på dette. Likevel finner vi fortsatt alvorlige brudd på bestemmelsene om tilgangsstyring. Funnene våre viser at sykehusene er for dårlige på å gjennomføre vurderinger av hvilke opplysninger som skal være tilgjengelige for hvem. De faktiske tilgangene til helse­opplysninger er for vide, og tilgangene fjernes ikke når de ikke lenger er relevante for å gi helsehjelp. Virksomhetene fører heller ikke tilstrekkelig kontroll med hvordan helsepersonellets tilganger benyttes.

Manglende tilgangsstyring internt i helse­virksomhetene er alvorlig nok. Trusselen mot personvernet blir enda større når tilgangene ikke begrenses av virksomhets­grenser. Ny pasientjournallov og forskrift om tilgang til helseopplysninger mellom virksomheter, åpner for tilgang til svært mange flere pasient­opplysninger enn i dag. Dette stiller ytterligere krav til tilgangsstyring. Datatilsynet stiller seg spørrende til om sektoren er klar for å ivareta de kravene som er nødvendige for å åpne for slike tilganger.

Tilsyn med bruk av velferdsteknologi

Vi gjennomførte fem tilsyn med bruk av velferdsteknologi i desember 2014. To av tilsynene ble gjennomført med leverandører og tre med kommunale tjenester.

Erfaringen fra tilsynene er at velferdsteknologi kun i liten grad er tatt i bruk i ordinær helse- og omsorgstjeneste i kommunene. Imidlertid har det vært testet ut i prosjekter som også fullt ut reguleres av personvernregelverket. Funnene fra tilsynene tilsier at kravene til avtale ved behandling av opplysninger på vegne av databehandlingsansvarlige i liten grad er oppfylt. I tillegg mener Datatilsynet at det trolig er for vide tilganger til opplysninger hos databehandlere/leverandører.

Erfaringene vi har gjort gjennom kontrollene har gitt oss en oversikt over utstrekningen av velferdsteknologi, i tillegg til at vi har identifisert enkelte problemstillinger og avvik fra personvernregelverket som vi kan arbeide videre med i 2015. Tidlig påvirkning, også ved bruk av tilsyn, vil bidra til at utbredelsen av velferdsteknologi skjer i samsvar med regelverket.

Tilsyn med NAVs bruk av tiltaksarrangører

Datatilsynet valgte å gjennomførte fire kontroller med NAVs bruk av tiltaks­arrangører, etter at vi har forsøkt å klargjøre ansvarsforholdene rundt denne ordningen over en lang periode. Det har tidligere vært avholdt møter og det har vært skriftlig korrespondanse, uten at forholdene etter vår oppfatning har blitt klarere. En av kontrollene ble gjort med Arbeids- og velferdsdirektoratet og tre kontroller ble gjort med arbeids­markeds­­bedrifter.

Etter disse tilsynene konkluderte vi med at NAV er å anse som behandlingsansvarlig for mange av de tiltakene som leveres gjennom tiltaksarrangører, og at det anses som avvik at det ikke foreligger tilfredsstillende data­behandlingsavtaler mellom partene.

Høring – tilgang til helseopplysninger på tvers av virksomhetsgrenser

De nye lovene om helseregistre og pasientjournaler ble vedtatt av Stortinget sommeren 2014, og trådte i kraft 1. januar 2015. Den nye pasientjournalloven inneholder hjemmel for å tillate tilgang til helse­opplysninger på tvers av virksomhets­grenser. Denne åpningen forutsetter imidlertid at slik tilgang reguleres i forskrift. Høsten 2014 sendte Helse- og omsorgsdepartementet derfor forslag til forskrift som skal regulere tilgang til helseopplysninger på tvers av virksomhetsgrenser, på høring.

Datatilsynet hadde vesentlige innvendinger til hvordan departementet hadde valgt å utforme forskriften. Først og fremst mente vi at det manglet en erkjennelse av at det å åpne for tilgang til pasientjournaler på tvers av virksomheter, er å godta at tilgjengelighet skal gå på bekostning av konfidensialitet. En slik erkjennelse er avgjørende for å kunne gjøre reelle risikovurderinger og beslutte riktige sikkerhetstiltak.

Dernest mente vi at forslaget til forskrift var for generell og åpen for skjønnsmessige vurderinger. Departementet burde enten gitt en større grad av detaljregulering i forskrift, eller sørget for en godkjenningsordning for de virksomhetene som skal åpne for tilgang på tvers.

Datatilsynet understreket behovet for å korrigere svakhetene ved dagens journal­systemer før det åpnes for tilgang til pasient­journaler mellom virksomheter. Et eksempel vi har trukket frem som sentralt, er at virksomheter som skal åpne for tilgang på tvers, må ha en elektronisk pasientjournal som lar seg sortere (krav til strukturering).

Datatilsynet støttet forslaget om en egen bestemmelse som gir en plikt til å følge opp avvik fra bestemmelsene om tilgang, samt plikt til å informere pasienten om slike avvik. Dette ble ivaretatt når forskriften ble vedtatt.

Også på flere andre områder var vi positive til den endelige forskriften, blant annet hvordan loggkravet ivaretas og at forskriften på en ryddig måte legger plikter på begge parter i kommunikasjonen. Videre er vi positive til at forskriften skal revideres etter ett år.

Saksbehandling og sentrale nemndsavgjørelser

Datatilsynet har også i 2014 hatt mange saker til behandling innen dette feltet. Noen av sakene opprettes etter at enkeltpersoner kontakter oss, og at vi så velger å ta sakene inn til ordinær saksbehandling. Målet med saksbehandlingen er i disse tilfellene å avdekke om det foreligger systemsvikt som bakgrunn for enkelthenvendelsene. Et annet mål er å skaffe kunnskap om området, og å avdekke om det kan være behov for å gjennomføre kontroller.

Den største delen av sakene gjelder likevel søknader om konsesjon til gjennomføring av forsknings- og kvalitetssikringsprosjekter, og behandling av opplysninger i helseregistre. Vi har sett at det er et økende ønske om å opprette kvalitetsregistre knyttet til spesialisthelsetjenesten.

I mangel av sentrale eller lokale registre for kommunalhelsetjenesten, har vi gjennom saksbehandlingen sett at det er ønske om å bruke eksisterende registre som er opprettet for andre formål, for å hente ut informasjon til forsknings- og kvalitetssikringsformål. For eksempel har Datatilsynet behandlet flere konsesjonssaker hvor det skal benyttes data fra HELFOs register KUHR (Kontroll og utbetaling av helserefusjon), som er opprettet for å forvalte behandlingsrefusjon og er hjemlet i folketrygdloven.

En annen tendens vi har sett er at forsknings­miljøene ønsker å samle store datasett i et «hovedprosjekt» eller i en form for forsknings­register, og så benytte dataene i flere underprosjekter. Vi har hatt flere veilednings­møter i forbindelse med søknader om konsesjon og opprettelse av registre i 2014, og vi forventer søknader om konsesjon for flere av disse prosjektene og registrene i 2015. Vi ser også at eksisterende registre utvides og at opprinnelig avgitte samtykker strekkes langt og tolkes utvidende.

Personvernnemnda har i 2014 kommet med flere avgjørelser som har betydning for Datatilsynets saksbehandling av konsesjons­søknader knyttet til rekkevidden av avgitte samtykker, plikten til å gi informasjon og Datatilsynets konsesjonskompetanse:

NOKBIL (PVN-2013-28) og NORHIV (PVN-2014-02)
I årsmeldingen for 2013 omtalte vi to prinsipielle avgjørelser om avslag på søknad om konsesjon for nasjonale kvalitetsregistre. De prinsipielle temaene i de to sakene belyser grensedragningen mellom hvilke samtykkebaserte registre som kan opprettes i medhold av konsesjon fra Datatilsynet, og hvilke av disse registrene som krever forskriftsregulering. Den ene søknaden gjaldt opprettelse av et nasjonalt register, NOKBIL, over pasienter som benytter biologiske legemidler. Dette er basert på fellesregistermodellen, og består av flere underordnede registre som rapporterer til et overordnet register. Det andre nasjonale registeret, NORHIV, innebar registrering av HIV-pasienter.

Datatilsynet la til grunn at begge registrene, hver på sin måte, var av en slik karakter at konsesjon ikke var et tilfredsstillende rettslig grunnlag etter helseregisterloven. Vi viste til intensjonene med å regulere helseregistre i særlov, som var å styrke det rettslige grunnlaget for å etablere registre. Det ble også vist til lovforarbeidenes føringer for å vurdere skillet mellom de ulike hjemmelsgrunnlagene for ulike typer helseregistre. Datatilsynet la derfor til grunn at begge registrene eventuelt måtte opprettes i medhold av forskrift etter helseregisterloven § 8.

Personvernnemnda vurderte klagen og kom til samme konklusjon som Datatilsynet. Nemnda uttaler i tillegg at kravene til forskrifts­regulering i helseregisterloven § 8, ikke kan omgås ved å benytte § 5 og konsesjon som grunnlag for slike registre.

Individuell informasjonsplikt etter helseforskningsloven (PVN-2013-23)
Saken gjaldt Universitetssykehuset Nord-Norge HFs plikt etter helseforskningsloven § 28 til å på forhånd informere alle pasienter om at humant biologisk materiale som er innsamlet som ledd i diagnostisering og behandling, i visse tilfeller kan benyttes til forskning uten innhenting av pasientens samtykke. Det var på det rene at helse­foretaket ikke hadde oppfylt informasjons­plikten sin i perioden 2009-2013.

Spørsmålet som var til behandling i denne saken var om helseforetaket kunne reparere dette ved å gi generell informasjon i form av pressedekning eller lignende, eller om hver enkelt pasient måtte få individuell informasjon. Nemnda var enig med Datatilsynet i at reparasjon av den ikke-oppfylte plikten til informasjon måtte gis individuelt i form av brev til de berørte pasientene.

Krav om samtykke for registrering i Nasjonalt tvillingregister (PVN-2013-17)
Nasjonalt folkehelseinstitutt (FHI) ønsket å samle datasett fra flere ulike forsknings­prosjekter som gjaldt tvillinger, i et nasjonalt tvillingregister. Spørsmålet Personvern­nemnda skulle ta stilling til var om FHI måtte innhente nye samtykker fra de registrerte for å overføre helse- og personopplysninger til det nasjonale registeret.  

Konklusjonen nemnda kom til var at det måtte innhentes nye samtykker fra deltakerne. Det ble lagt vekt på at det er en vesentlig forskjell på å samtykke til tidsbegrensede og formåls­bestemte forskningsprosjekter, og til registrering i et permanent, nasjonalt forskningsregister. Videre kom nemnda til at informasjonen som forskningsdeltakerne får, vil være førende for hvilken adgang det er til å tilføre et register nye opplysninger.

Reseptregisteret – hva betyr pseudonymt? (PVN-2013-15)
Oslo universitetssykehus (OUS) ønsket å gjennomføre et forskningsprosjekt som innebar kobling mellom pasientjournaler og Reseptregisteret. Pasientene som deltok i prosjektet hadde samtykket til gjennomgang av pasientjournalen, men OUS ønsket en mer strukturert innhenting av oppfølgningsdata ved kobling med flere helseregistre, deriblant Reseptregisteret.

Reseptregisterforskriften fastslår imidlertid at det er et forbud mot å ha samtidig tilgang til identitetsopplysninger og reseptopplysninger. Forbudet gjør det ulovlig å omgjøre et pseudonymt register til å bli et person­identifiserbart register. Dette betyr at Datatilsynet ikke kan gi konsesjon til en slik kobling, med mindre koblingen er pseudonymisert, eller at den registrerte samtykker.

Personvernnemnda sluttet seg til Datatilsynets vedtak. 

Farmers biobank – bredt samtykke (PVN-2013-14)
Spørsmålet i denne saken var knyttet til rekkevidden av samtykker gitt for 20 til 25 år tilbake i tid. Samtykkene ble gitt av bønder som hadde takket ja til å delta i et forsknings­program i regi av Statens arbeidsmiljøinstitutt (STAMI). Deltakerne fikk informasjon om at formålet var å «kartlegge allergi, luftvegs- og lungesjukdom i landbruket». Kreftregisteret ønsket så å inkludere helseopplysningene i et tematisk forskningsregister, og benytte dem til å studere eksponeringer som har betydning for helseforhold, sykdom og død blant bønder. Datatilsynet mente derimot at samtykket ikke dekket en slik bruk.

Personvernnemnda kom til at det opprinnelige samtykket også omfattet slik forskning som det nå ble søkt om. Klagen ble tatt til følge og Datatilsynet fikk ikke medhold i sitt syn.

Nyrebiopsiregisteret (PVN-2013-07)
Sakens opprinnelse var en klage på Datatilsynets avslag på endring av konsesjon. Datatilsynet mente at i de tilfellene hvor de registrerte i nyrebiopsiregisteret var mindreårige, og foresatte eller verge hadde samtykket på deres vegne, måtte databehandlingsansvarlig innhente nye samtykker fra ungdommene når de fylte 16 år.

Personvernnemnda kom imidlertid til at vergens samtykke fortsatt er gyldig, men at råderetten for tilbaketrekking går over til barnet ved fylte 16 år. Klagen ble tatt til følge.

Øvrige aktiviteter

Kontaktmøter
Innen helsesektoren er det flere store prosesser i gang, og vi har i 2014 hatt bred kontakt med Helsedirektoratet tilknyttet blant annet Nasjonal kjernejournal «En innbygger – en journal», Min Helsejournal og e-Resept.

Datatilsynet har også hatt kontaktmøter med andre sentrale aktører innen helse- og velferdssektoren, både i tilknytning til saks­behandling av konsesjoner og generelle kontaktmøter. I 2014 har vi blant annet hatt møter med Norsk Pasientregister, Helsenett, HUNT (Helseundersøkelsen i Nord-Trøndelag), Norsk senter for telemedisin (NST), Universitetet i Tromsø (i forbindelse med Tromsøundersøkelsen), Senter for klinisk dokumentasjon og evaluering (SKDE) og Kommunesektorens organisasjon (KS).

I desember 2014 deltok vi i et møte mellom sentrale aktører innen helseregistermiljøene for å diskutere betydningen av den nye helseregisterloven som trer i kraft 1. januar 2015.

Referansegruppe
Datatilsynet har deltatt i en referansegruppe i to utredninger gjort av KS.

Den første utredningen gjaldt kommunenes praksis ved behandling av individuell opplæringsplan (IOP). Den andre utredningen, som fortsatt er under utarbeidelse, tar for seg kommunenes praksis for håndtering og arkivering av dokumentasjon innenfor pleie- og omsorgstjenestene. I denne utredningen ses det særlig på når dokumentasjon skal registreres i saksbehandlingssystem, og når det skal dokumenteres i elektronisk pasientjournal.

I begge utredningene blir arkivrettslige og personvernrettslige problemstillinger vurdert. Utredningene har tatt sikte på å se på gjeldende rett, beskrive praksis ute i kommunene, påpeke avvik fra regelverket, samt komme med anbefalinger til hvordan kommunene kan innrette seg for å ha en praksis i tråd med gjeldende regelverk.

Datatilsynet opplever å ha reell innflytelse på innholdet i denne type arbeid. I den grad vi setter av nok ressurser til å kunne gi konkrete råd og anbefalinger, så er deltakelse i eksterne arbeidsgrupper en type arbeid som vi får god uttelling for.

Fremtidige utfordringer

Med ny lovgivning har det blitt større adgang til å kunne gi tilgang til pasientopplysninger på tvers av virksomhetsgrensene. Forskriften som regulerer slik tilgang, inneholder få krav til fagsystemene, noe som er en forutsetning for å sikre at tilgangene som gis ikke medfører en utilsiktet og ulovlig tilgang til person­opplysninger. Datatilsynets kontroller over tid viser at pasientjournaler mangler den nødvendige strukturen som skal til for å kunne sikre at det ikke gis tilgang til mer enn det som er nødvendig. Riksrevisjonen har også gjort tilsvarende funn, publisert i en rapport fra november 2014. Vi er derfor bekymret for at den adgangen pasientjournalloven gir, kan føre til unødvendig og utilsiktet spredning av pasientopplysninger.

Opplysningene befinner seg nå i saks­behandlingssystemer, skoleadministrative systemer, lærings­plattformer, innloggings­tjenester på internett, i digitale lærings­ressurser og så videre. Det er mange aktører på banen, og kunnskapen om personvern blant barnehageeiere, skoleeiere, lærere og leverandører av digitale tjenester er varierende.

Dette bildet skaper utfordringer for person­vernet fordi systemene som tas i bruk fordrer både at bestillerne (fylkeskommune, kommune, barnehage, skole) evner å sette de begrensningene som personopplysningsloven krever, og at leverandørene evner å tilby løsninger som oppfyller kravene i regelverket.

Alle registreringene om et barn gjennom et helt utdannelsesløp utgjør tilsammen et sett med opplysninger som gir et omfattende og detaljert bilde av barnets utvikling, samt faglige og sosiale atferd. Det at flere opplysninger om barna lagres digitalt, betyr også at spredningspotensialet blir større. Uten tekniske sperrer og gode rutiner, er det lettere at opplysningene brukes til andre formål enn det de var ment til, og opplysningene kan med få tastetrykk spres til mange. Barn og unge er slik sett en ekstra sårbar gruppe, da de ikke kan samtykke til all registreringen selv.

Datatilsynets overordnede mål for dette området er at alle barn skal ha beskyttelse i tråd med gjeldende personopplysnings­regelverk. Vi jobber derfor kontinuerlig med å bidra til at barn og unge læres opp til å bli bevisste om sitt eget personvern. Det er i den sammenhengen minst like viktig at barnehage- og skoleeierne tar personvern på alvor, både i egen organisasjon, og overfor barna og deres foresatte. Vi har derfor et langsiktig mål om at bevisstheten om personvern blant skoleeiere, lærere, foresatte og elever i løpet av et par år skal være så god at Datatilsynet ikke trenger å være på banen med annet enn veiledning.

Men for å nå disse målene må vi ha oversikt over hvilke utfordringer som finnes (hvem lagrer hva, hvor lagres det, hvorfor, hvem har tilgang, hvordan behandles alle opplysningene og så videre). Datatilsynet prioriterte derfor å se nærmere på dette i 2013 og 2014. Gjennom møter med aktører på området, og kontroller ved en rekke barnehager, grunnskoler og videregående skoler, har vi derfor skaffet oss en viss oversikt over hvilke opplysninger som registreres om barna i både barnehager og skoler, og hvordan disse opplysningene behandles.

Vi har avdekket at rutinene for å sikre barns personvern i skoler og barnehager er mangelfulle. Samtidig vet vi at bruken av elektroniske og nettbaserte tjenester i skoler og barnehager bare vil øke ytterligere i årene som kommer. Tilgjengelighet er et stikkord i dagens og morgendagens skole. Mange ser nytten av å ta i bruk mobiltelefoner, nettbrett og lignende i skolehverdagen. Flere av aktørene vi har vært i kontakt med påpeker at nettbaserte løsninger er sårbare, og at det er behov for veiledning knyttet til hva som er akseptable sikkerhetsløsninger.

Gjennomførte aktiviteter

For å skaffe oss en bedre oversikt over hvilke personopplysninger om barn og unge som blir behandlet, og hvordan de behandles og sikres, valgte vi altså å benytte tilsynsvirkemiddelet og gjennomførte kontroller med en rekke skoler og barnehager, både offentlige og private, i 2014.

Bruken av elektroniske og nettbaserte tjenester i skoler og barnehager vil øke ytterligere i årene som kommer. Det blir tatt i bruk mobiltelefoner, nettbrett og liknende i skolehverdagen, og flere ser nytten og behovet for å ta i bruk skytjenester. Risikoen ved dette er at IKT-utstyr og tjenester tas i bruk uten at det er gjort risikovurderinger eller stilt krav om databehandleravtaler.

Ved at det tas i bruk skytjenester uten data­behandleravtale, kan ikke barnehage- eller skoleeier vite hvordan leverandørene håndterer barnas personopplysninger, om sikkerheten er tilfredsstillende eller hvor opplysningene blir lagret. Man vet ikke hvem hos leverandøren som har tilgang til opp­lysningene eller om leverandøren selv vil komme til å bruke opplysningene til egne formål.

Læringsplattformer, kartleggingsverktøy og skoleadministrative systemer inneholder personopplysninger om nesten alle barn og unge, blant annet i kommunikasjon eller som vurderinger, karakterer og opplysninger om atferd. Før alle virksomhetene har fått på plass sterk autentisering for de ansattes tilgang til disse systemene, anser vi risikoen som høy for at utenforstående vil kunne klare å logge seg på gjennom de ansattes tilganger. Det kan da gjøres forsøk på å endre karakterer og vurderinger, eller tilegne seg informasjon utenforstående absolutt ikke skal ha.

Det er anslått at læringsanalyse vil komme for fullt i løpet av noen års tid. Ved bruk av prediktiv analyse, vil skolen for eksempel kunne forutse hvilke elever som har en større sjanse for å droppe ut av skolen. Skolen vil da kunne sette i gang tiltak for å forhindre at dette skal skje, allerede når barna går i de laveste klassetrinnene. Det som gjør det ekstra viktig for oss å følge utviklingen av verktøy som muliggjør læringsanalyse, er at disse verktøyene kan gi skoleelever og foresatte liten mulighet til selv å følge med på hvordan barnas personopplysninger blir behandlet, hvilke antakelser som ligger til grunn for slik analyse og hvor person­opplysningene havner.

Kartlegging og måling av barns ferdigheter vil bare øke i årene som kommer. Vi er kritiske til en utvikling der kartleggingsverktøy i stadig større grad blir brukt overfor barn uten at foreldrene samtykker til dette. Vi mener dette fratar de foresatte retten til å selv bestemme om egne barns ferdigheter skal kartlegges. Vi må også følge nøye med på myndighetenes økende behov for å måle barnas ferdigheter fremover og ønsket de har om å samle inn resultater av stadig flere nasjonale prøver.

Gjennomførte aktiviteter

Politiregisterloven trådte i kraft 1. juli 2014. Noen bestemmelser er allikevel utsatt, og det er etablert enkelte overgangsordninger. Vi har i løpet av året hatt god dialog og jevnlige møter med sentrale politimyndigheter og med politiets personvernrådgivere. Blant annet arrangerte vi et halvdagsseminar for person­vern­rådgiverne, der vi så på lovens krav til internkontroll. I møter med Politidirektoratet og Kripos er vi holdt løpende orientert om fremdriften i de ulike prosjektene som jobber med å implementere det nye regelverket, og vi har stilt oss til disposisjon for å bistå i arbeidet. Vårt generelle inntrykk er at politiet har store utfordringer med implementeringen, men at det jobbes planmessig og godt, og med en fremdrift som er forsvarlig. Vi har heller ikke mottatt klager eller andre henvendelser som gir grunn til bekymring vedrørende politiets arbeid, og har derfor ikke sett det som formålstjenlig å gjennomføre kontroller med etterlevelse av politiregisterloven i 2014.

Innen justissektoren er det særlig kampen mot kriminalitetsbekjempelse generelt, og terror­bekjempelse spesielt, som utgjør den største trusselen mot personvernet. Denne debatten ventes å fortsette, og vil bli prioritert av Datatilsynet også i fremtiden.

Vi ser dessuten et behov for at det etableres klarere regler for behandling av person­opplysninger i forbindelse med avdekking av hvitvasking, skatteunndragelser og terror­finansiering, områder der banker og finans­virksomheter har et lovpålagt ansvar for å kontrollere og treffe tiltak overfor den enkelte. 

Datatilsynet utarbeidet i 2013 «Strategi for godt personvern i digitaliseringen av offentlig sektor». Strategien ble revidert i 2014 og danner grunnlaget for de aktivitetene vi prioriterer innenfor dette området.

Selv om vi har lyktes med å skape oppmerksomhet rundt aktiviteten vår på området, og at vi har lyktes med å forbedre internkontroll og informasjonssikkerhet hos mange virksomheter, tyder funnene fra kontrollene på at sektoren fremdeles har betydelige mangler og en relativt lang vei å gå, før vi kan si at sektoren som sådan er på et tilfredsstillende nivå. Riktignok finnes det flere unntak, og mange har kommet langt i etter­kant av kontroller eller veiledning fra oss. Like fullt er det bekymringsfullt at sektoren har så betydelige mangler knyttet til internkontroll og informasjonssikkerhet som den har.

Telekom, internett og teknologi

Frem til datalagringsdirektivet ble kjent ugyldig i april 2014, ble det fra Datatilsynets side lagt ned et betydelig arbeid med tanke på konsekvensene av implementering av direktivet. Etter at beslutningen om at direktivet ikke skulle innføres likevel, ble selvsagt også vårt arbeid med implementeringen avsluttet.

Gjennom arbeidet som er gjennomført både før og etter denne beslutningen, har det kommet klare indikasjoner på at tele­operatørene de siste årene har trappet betydelig opp lagringen av person­opplysninger på flere felt. Dette omfatter opplysninger som Nasjonal Kommunikasjons­myndighet og Datatilsynet nå ser på om det er hjemmel for å lagre. Det er viktig for vårt arbeid på dette området å ha klarhet i hvilke personopplysninger som lagres hos teleoperatørene, og at de ikke lagres ulovlig.

Det benyttes en rekke teknologier for å hente ut informasjon om den enkeltes interesser og nettaktivitet når vi beveger oss på nett. Derfor er det viktig for Datatilsynet å følge opp bruken av ulik sporingsteknologi brukt på nett, som for eksempel informasjonskapsler, IP-adressesporing og det som kalles «device fingerprinting». I tillegg øker bruken av innloggingstjenester, ofte med en felles identitet som benyttes på tvers av ulike tjenester.

Tilsvarende ser vi en økning i sporing av hvordan folk beveger seg rundt i det offentlige rom ved at mobilene våre lokaliseres. Denne informasjonen samles for kommersielle formål, og vi ser teknologien benyttet både på offentlige veier og plasser, samt på kjøpesentre, flyplasser, inne i butikker med mer. Det som benyttes er de unike adressene til mobilens Wifi eller Bluetooth, samt ved bruk av beacons fra forskjellige leverandører, som for eksempel Apple. Beacons sender ut identiteter som fanges opp av smartmobiler, og kan igjen si noe om hvor du står eller hva du står i nærheten av og eventuelt interesserer deg for. Bruken varierer fra å lagre de unike identitetene og steds­informasjon ifra noen minutter, til ubegrenset tid. Dette er en utfordring for muligheten til anonym ferdsel og muligheten til å ha kontroll med egne opplysninger. Ofte innhentes ikke nødvendig samtykke til bruken, eller det er problematisk å innhente dette samtykket på tilfredsstillende måte.

Særlig kraftfullt blir dette når informasjon om hva vi stopper opp ved og interesserer oss for ute i det offentlige rom legges i profiler på den enkelte av oss, og kombineres med etter­følgende informasjon gitt via nett.

Ønsket om, og presset for, å ta i bruk ulike biometriske løsninger har vært svært økende det siste året. Dette kommer både fra offentlige myndigheter, som for eksempel politiet, og fra næringslivsaktører, slik som banknæringen. Det har vært viktig for Datatilsynet at bruk av slike løsninger ikke benyttes unødvendig og uproporsjonalt i forhold til formålet, samt at eventuell lagring av opplysninger er skikkelig regulert.

Retten til å bli glemt
Det 13. mai 2014 avsa EU-domstolen en avgjørelse om at EUs personverndirektiv og nasjonal personvernlovgivning gjelder for søkemotorselskaper som har tilstedeværelse i et EU-land. Dommen slår blant annet fast at slike selskaper har et selvstendig behandlings­ansvar for personopplysningene som indekseres, selv om opplysningene først er publisert av andre medier. Europeiske borgere har etter denne dommen rett til å gå til søkemotorer etablert i Europa, og be om å få søketreff fjernet. Dersom søkemotoren ikke etterkommer kravet om sletting, kan privat­personer bringe saken inn for domstolene eller nasjonale personvern­myndigheter. 

I etterkant av EU-avgjørelsen kom Artikkel 29-gruppen med retningslinjer for hvordan EU-domstolens avgjørelse skal tolkes. Uttalelsen fra arbeidsgruppen er rådgivende, men blir generelt tillagt stor vekt fordi den gir uttrykk for personvernmyndighetene i Europa sin felles tolkning av personverndirektivet. Formålet med retningslinjene er å sikre en lik praksis i de europeiske landene i sakene som gjelder retten til å bli glemt.

Datatilsynet har mottatt elleve klager på dette området, og tre av dem ble ferdigbehandlet i løpet av 2014. Fordi dette har vært de første sakene på området, og på grunn av deres prinsipielle karakter, har sakene vært forankret på direktørnivå. Ressursbruken for hver sak har derfor vært noe større enn for ordinær klagebehandling. I tillegg til saksbehandling har vi blant annet holdt foredrag om temaet og utarbeidet veiledningsmateriale.

Bank/Finans

Vi har ikke hatt særlige satsinger innen finans­sektoren 2014, utover arbeidet med forsikrings­bransjens utredningsvirksomhet og utstedelse av standardkonsesjoner til banker og forsikringsselskaper.

Vi holder øye med utviklingen innen denne sektoren, og registrerte at noen forsikrings­selskap har sett på løsninger som innebærer automatisk registering av føreradferd i kjøretøy via sensorer, GPS-registering og lignende, som et mulig kriterium for prising av forsikringstjenester. Vi valgte å presisere i et eget skriv til alle forsikringsselskaper at standardkonsesjonen som alle skal ha, ikke omfatter denne typen tjeneste, og at det må søkes om særskilt konsesjon for slik behandling. Vi har i løpet av året mottatt to søknader om slik konsesjon, men de er ikke ferdig behandlet.

Personvernnemnda har også kommet med noen avgjørelser på dette saksområdet. Det er truffet vedtak om at butikkene er behandlings­ansvarlige for kameraovervåking knyttet til bank-i-butikk og post-i-butikk, og at opptakene kun kan lagres i inntil syv dager (PVN-2013-21 og PVN-2014-04).

Nemnda har også truffet vedtak om at innsyn i lydopptak gjort etter verdipapirhandellovens bestemmelser, skal følge personopplysnings­lovens hovedregel, slik at den registrerte kan få en kopi av lydfilen eller at opptaket skrives ut på papir (PVN-2013-19).

Samferdsel

Innenfor samferdselssektoren foregår det en rekke aktiviteter som påvirker den enkeltes personvern. Det er Statens vegvesen som håndterer de fleste av disse aktivitetene. Datatilsynet er involvert i de prosessene som er av betydning, for eksempler i diskusjonene om etablering av intelligente transport­systemer (ITS). Vi arbeider for at personvern­hensyn vektlegges på et tidlig stadium.

Vi jobber også aktivt for å skape engasjement for anonyme alternativer og mest mulig personvernvennlige løsninger. I den forbindelse prøver vi å dra nytte av at det er skapt interesse og forståelse for personvern blant annet i Samferdselsdepartementet og Statens vegvesen. Å fremdeles kunne ferdes sporfritt (anonymt) har vært, og vi mener det fortsatt bør være, et grunnleggende og lett oppnåelig alternativ for alle som ønsker det. For eksempel bør det være mulig å passere en bomstasjon uten å måtte legge igjen opplysninger om når og hvor passeringen fant sted. Dette synet opplever vi å ha fått gjennomslag for. Vi samarbeider derfor med Samferdselsdepartement for å få til en endring i regnskapsreglene som per i dag pålegger lagring av passeringsdata knyttet til innehavere av identifiserbare bombrikker.

Datatilsynet er bekymret for hvilke konsekvenser etableringen av nye kontroll­midler og trafikkovervåking vil kunne få i fremtiden. Erfaringsmessig vil utstyr som i dag tas i bruk til i for seg tilforlatelige formål, senere kunne brukes til nye formål og av andre aktører, noe som er begrunnelsen for at vi følger med på utviklingen innen dette området.

Arbeidsliv

Vi har tidligere hatt arbeidsliv som satsingsområde, men har i 2014 ikke hatt særlige planlagte tiltak innen denne sektoren. Vi har likevel prioritert en del enkeltsaker i form av klager fra arbeidstakere, spesielt vedrørende arbeidsgiveres innsyn i e-post og bruk av GPS-opplysninger til kontrollformål.

I anledning den internasjonale personvern­dagen 28. januar, arrangerte Datatilsynet og Teknologirådet et frokost­seminar. Målet med en slik dag er å sette personvern på dagsorden.

Våren 2014 lanserte vi resultatene fra personvernundersøkelsen 2013/2014. Denne befolkningsundersøkelsen er den mest omfattende kartleggingen Datatilsynet har gjort av folks tanker og kunnskaper om, og holdninger til, personvernspørsmål siden 2005. Undersøkelsen fulgte i stor grad opp spørsmålene fra 2005, i tillegg til å ha noen nye spørsmål om personvernutfordringer som har oppstått siden forrige undersøkelse. Vi gjennomførte undersøkelsen både for å få et inntrykk av hvordan situasjonen er i dag, og for å kunne se om det er en utvikling eller endring i folks holdninger fra 2005.

Datatilsynet deltok i 2014 for andre gang på Global Privacy Enforcement Network (GPEN) sin «Internet Sweep Day». GPEN er et samarbeidsforum for personvernmyndigheter, og er nærmere omtalt i kapittelet «Internasjonale samarbeidsrelasjoner».

Stadig flere virksomheter ser betydningen av å opprette et personvernombud. Dette ombudet er en ressursperson som kjenner virksomheten godt, og som har oversikt over hvilke personopplysninger som blir behandlet til ulike formål. Personvernombudet vil derfor raskt og presist kunne håndtere personvernutfordringer som måtte oppstå. Ikke minst vil ombudet, både innad og utad, fremstå som en fagperson med spesialkompetanse på personvern. Denne kompetansen bygges gjennom deltakelse på ulike kurs og seminarer, og gjennom annen dialog med Datatilsynet. 

Ved utgangen av 2014 hadde Datatilsynet registrert 233 personvernombud. Noen av disse er ombud for flere virksomheter, og til sammen representerer de 450 virksomheter.

Oversikt over utviklingen av personvernombudsordningen de siste årene: 

De administrative sidene av driften har blitt noe effektivisert i løpet av året. Datatilsynet bruker nå i overkant av ett årsverk på arbeidet med personvernombud, fordelt på flere medarbeidere. Arbeidet består i å arrangere faglige tilbud som kurs og konferanser, veiledning over telefon og e-post, sende ut nyhetsbrev til ombudene, behandling av søknader om nye ombud og å drifte informasjonen på våre nettsider.

Vi tilbyr flere forskjellige kurs for personvern­ombudene; grunnkurs for nye ombud, to juridiske påbyggingskurs og to påbyggingskurs i informasjonssikkerhet og internkontroll. Grunnkurset holdes både i vår- og høstsemesteret. I tillegg ble den årlige fagdagen for alle personvernombudene arrangert i mars.

I september gjennomførte vi for første gang et dagsseminar for personvernombud fra helse- og forskningsvirksomheter. Seminaret fikk svært gode tilbakemeldinger og vurderes gjentatt i 2015. Personvernombudene beskriver våre kurs og seminarer som viktige for deres mulighet til å gjøre en god jobb, og arrangementene er som regel fulltegnet.

EUs arbeid med ny personvernforordning peker mot store endringer på personvern­ombudsfeltet, blant annet at ordningen blir obligatorisk for mange virksomheter. Mot slutten av 2014 mottok vi en del henvendelser fra virksomheter som vurderer å oppnevne personvernombud for å forberede seg på de kommende kravene. Dette kan bety at tilstrømningen til ordningen blir større i 2015 enn tidligere.

Datatilsynet har også avtaler om faglig samarbeid med Nasjonal Sikkerhetsmyndighet (NSM), Nasjonal kommunikasjonsmyndighet (tidligere Post- og teletilsynet) og Arbeidstilsynet. Avtalen med NSM ble inngått i 2014.