I løpet av de siste tiårene har få reguleringer påvirket norske virksomheter i like stor grad som personvernforordningen (General Data Protection Regulation – GDPR) fra 2018. Regelverket har styrket innbyggernes personvernrettigheter, samtidig som det har skjerpet virksomhetenes ansvar. For å etterleve regelverket har både offentlige og private virksomheter sett seg nødt til å gjennomgå rutiner og praksis knyttet til behandlingen av personopplysninger.

Norske virksomheter blir stadig mer dataintensive. De fleste virksomheter samler inn store mengder opplysninger om grupper som ansatte, kunder, medlemmer og innbyggere, og det er varierende tillit knyttet til hvordan virksomheter behandler personopplysninger. Datatilsynets personvernundersøkelse (2019/2020) viste at nordmenn generelt har høy tillit til hvordan offentlige virksomheter behandler personopplysninger, mens det er utbredt usikkerhet knyttet til hvordan private aktører behandler opplysninger. 

Ny forordning – nye plikter

I personvernforordningen stilles det mange krav til virksomhetenes behandling av personopplysninger. I tillegg til å forsikre seg om at de har lovlig grunnlag for i det hele tatt å behandle opplysningene, må de ivareta personopplysningssikkerheten. De må også vurdere henvendelser fra brukere og innbyggere som vil utøve sine personvernrettigheter.

Ordningen med personvernombud (PVO) har eksistert i Norge helt siden 2001, men med innføringen av personvernforordningen ble innholdet i ombudsrollen betydelig styrket. Ombudsordningen ble gjort obligatorisk for de fleste statlige etater og kommuner, og for en rekke private virksomheter og organisa­sjoner. Ved utgangen av 2020 var det registrert 1 341 personvernombud som representerte 1 891 virk­somheter i Norge.

Personvernombudene er sentrale i virksomhetenes etterlevelse av personvernlovgivningen. Ombudets rolle er å gi råd om hvordan personverninteressene kan best mulig ivaretas, i tillegg til å kontrollere etterlevelsen av regelverket.

Det er imidlertid foreløpig lite kunnskap om personvernombudenes erfaringer med arbeidet. I november og desember 2020 gjennomførte derfor Datatilsynet en spørreundersøkelse blant personvernombudene.

Det vi ønsket svar på, var:

• Hvem er personvernombudene, og hvordan opplever de sine arbeidsvilkår?
• Hvordan erfarer ombudene virksomhetenes etterlevelse av personvernregelverket?

Her presenterer vi de viktigste funnene fra undersøkelsen. Vi gir også noen råd om hvordan ombudsrollen bedre kan ivaretas i virksomhe­tene.

Oppsummering

Personvernforordningen har styrket personvernombudsrollen i norske virksomheter

68 prosent av ombudene i undersøkelsen, har mellom ett og tre års erfaring med rollen som personvernombud, noe som betyr at opprettelsen kan sees i sammenheng med innføringen av personvernforordningen.

Stor variasjon i hvor mye tid som brukes i rollen

Av alle som svarte på undersøkelsen, jobber bare 17 prosent fulltid i rollen som personvernombud. Så mye som halvparten av alle ombudene oppgir at de bruker mindre enn 20 prosent av tiden på rollen, og over én av ti (11 prosent) oppgir at de ikke bruker tid på rollen i det hele tatt.

Flere opplever manglende ledelsesforankring og tilgang til ressurser

Nesten tre av ti ombud opplever at de ikke får satt av tilstrekkelig tid til arbeidet som ombud. Over halvparten av ombudene som svarte i undersøkelsen, har ikke faste møter med ledelsen. Mange ombud oppgir at ledelsen holder seg orientert og viser interesse for deres roller og ansvar, men likevel er det 31 prosent av ombudene som erfarer at ledelsen i liten, eller svært liten, grad holder seg orientert og viser interesse. Dette indikerer at ledelsen i en del virksomheter i Norge, ikke er oppdatert om personvernombudets virke og personvernarbeidet i virksomheten.  

Ombudene opplever at virksomhetene etterlever personvernregelverket

I snitt svarer nesten åtte av ti personvernombud (77 prosent) at virksomhetene etterlever personvernregelverket i stor eller svært stor grad. De ombudene som i størst grad opplever at regelverket etterleves, jobber innenfor rådgivning, konsulentvirksomheter eller advokatbyråer. Det er ombudene som jobber i kommuner og fylkeskommuner som i minst grad opplever at virksomhetene etterlever regelverket.

Ofte er konkrete lovkrav på plass, men mange sliter med manglende kompetanseheving og opplæring av ansatte

Det ser ut til at de fleste virksomhetene har konkrete lovkrav som databehandleravtaler, protokoller, rutiner for innsyn og system for å rapportere brudd på personopplysningssikkerheten på plass. Det virksomhetene i minst grad har på plass, er knyttet til kompetanseheving og opplæring i personvern. Konsekvensene kan da være at styringssystemer for personvern og informasjonssikkerhet er formelt etablert, men at de ansatte ikke er gjort bevisste på dem.

Menneskelige ressurser, og fungerende rutiner og prosesser er de største utfordringene, mens få opplever at regelverket er til hinder for gode løsninger

Rundt halvparten av ombudene opplever at mangel på menneskelige ressurser og fungerende rutiner og prosesser, i stor grad er en utfordring for etterlevelsen av dagens personvernlovgivning. Men dagens personvernlovgivning oppleves i liten grad som et hinder for innovasjon og etablering av gode, tekniske løsninger.