Meld. St. 37

(2015–2016)
Melding til Stortinget

Årsmeldingane til Datatilsynet og Personvernnemnda for 2015

Tilråding frå Kommunal- og moderniseringsdepartementet 17. juni 2016, godkjend i statsråd same dagen. (Regjeringa Solberg)

Dokumentet på regjeringen.no

1 Innleiinga til Kommunal- og moderniseringsdepartementet

Vi lever i ei tid med rivande teknologisk utvikling. Den teknologiske utviklinga gjev i mange tilfelle betre høve til å ta vare på personvernet, mellom anna ved at ein kan bygge personvern inn i dei nye teknologiske løysingane. Samstundes gjer den teknologiske utviklinga det enklare og billegare å samle inn, lagre og stille saman store mengder informasjon om oss. For innbyggarane er det nærast umogleg å ha oversyn over alle elektroniske spor ein til ei kvar tid etterlèt seg, eller kva for høve desse gjev for kontroll av alt frå opplysningar om helse og forbrukarvaner til privatøkonomi. Det er viktig at det blir sett klåre grenser for kor mykje informasjon verksemder og styresmakter kan samle inn om innbyggarane, når teknologien ikkje lenger gjev oss desse grensene av seg sjølv.

Personvern har vore eit hyppig tema i den offentlege debatten det siste året. Mykje av debatten har handla om arbeidet i EU med den nye personvernforordninga og kva for konsekvensar forordninga får for norske verksemder og innbyggarar. Safe Harbor og overføring av personopplysningar til tredjeland er også tema som har blitt gjeve stor merksemd. At personvern har vore så mykje framme i media i meldingsåret, kan tyde på at mange oppfattar temaet som viktig. Debatten bidreg forhåpentlegvis også til auka medvit om viktigheita av å ivareta eit godt personvern i ei tid der personvernet blir utfordra frå fleire kantar.

1.1 Internasjonalt personvernarbeid

Dei siste åra har det vore arbeidd med utvikling og modernisering av personvernregelverk i mange internasjonale fora. Både OECD, Europarådet og EU har gått gjennom sine reglar med mål om å fornye. Det arbeidet som naturleg nok får dei største konsekvensane for norsk personvernrett, er revisjonen av EU sitt personvernregelverk.

EU starta opp dette arbeidet i januar 2012, då EU-kommisjonen la fram utkast til ny generell forordning om behandling av personopplysningar. Noreg har deltatt i diskusjonane i Det europeiske rådet (Rådet) si arbeidsgruppe for personvern, der utkastet blei drøfta fram til sommaren 2015. Noreg har også deltatt i arbeidsgruppa under dei såkalla trilogforhandlingane mellom EU-kommisjonen, Europaparlamentet og Det europeiske råd hausten 2015. Samstundes har det vore arbeidd med eit direktiv om behandling av personopplysningar i justissektoren. Dette direktivet er Schengen-relevant, og Noreg har også deltatt i dette arbeidet.

I desember 2015 blei det nådd politisk semje både om utkastet til ny generell personvernforordning og utkastet til direktiv om behandling av personopplysningar i justissektoren. Rådet, EU-parlamentet og EU-kommisjonen vedtok regelverka ved formelle avgjerder i april 2016. 14. april var regelverkspakka endeleg vedtatt. Noreg vil måtte gjennomføre både forordninga og direktivet i kraft av EØS-avtalen og Schengen-avtalen. Forordninga inneber at det må gjerast store endringar i norsk rett, både av den generelle personopplysningslova frå 2000, og i sektorspesifikt regelverk som inneheld reglar om behandling av personopplysningar. Det vil gjelde ein to års gjennomføringsfrist for EU-medlemslanda etter at forordninga er formelt vedtatt i EU. Same fristen vil også gjelde for Noreg om ikkje noko anna blir fastsett ved innlemming av forordninga i EØS-avtalen.

Det er fleire grunnar til at EU no har revidert personvernregelverket sitt. For det første er det gjeldande personverndirektivet, direktiv 95/46/EC, som personopplysningslova bygger på, meir enn 20 år gamalt. På desse 20 åra har det vore ei rivande teknologisk utvikling, som gjev opphav til problemstillingar som det gamle direktivet ikkje er eigna til å handtere. Samstundes har EU-kommisjonen sett at direktivet har vore gjennomført på svært ulikt vis i dei 28 medlemslanda i EU. For å legge betre til rette for konkurranse i den indre marknaden, har Kommisjonen ønska ei harmonisert gjennomføring og einsarta personvernreglar i heile EØS-området. Samstundes fastslår forordninga at dei europeiske reglane om behandling av personopplysningar også skal gjelde for verksemder som er etablerte utanfor EØS-området, men som tilbyr varer og tenester til EØS-borgarar, og for verksemder som overvaker åtferda til borgarar i EØS-området. Dette utvidar det geografiske området for regelverket jamført med gjeldande rett, og inneber at borgarane skal vere sikra det same personvernet uansett kvar tenestetilbydaren er etablert. Det kan også få innverknad på konkurransen mellom dei europeiske tenestetilbydarane og til dømes dei store amerikanske tilbydarane.

Regjeringa meiner den nye forordninga om behandling av personopplysningar er eit regelverk som gjev eit godt personvern. På mange område er forordninga ei vidareføring av gjeldande norsk regelverk og ei regelfesting av norsk praksis. På andre område vil vi få nye reglar. Dette gjeld til dømes retten til å kunne ta med seg personopplysningane sine frå ein tenestetilbydar til ein annan, og krav om samtykke frå dei føresette for behandling av opplysningar om barn som bruker tenester i informasjonssamfunnet. Dei behandlingsansvarlege får også utvida plikt til å varsle dei registrerte dersom dei behandlar personopplysningar i strid med regelverket.

Ordninga med melde- og konsesjonsplikt for behandling av personopplysningar, slik vi kjenner frå personopplysningslova, blir i hovudsak ikkje vidareført i forordninga. I staden må dei som skal behandle personopplysningar vurdere personvernkonsekvensar, identifisere truslar mot personvernet og sette i verk risikoreduserande tiltak. Berre i tilfelle der denne vurderinga viser at behandlinga vil føre til høg risiko, må dei søke godkjenning frå det nasjonale datatilsynet.

Det kjem også nye reglar om svært strenge administrative sanksjonar for brot på personvernreglane, og det kjem reglar om formalisert samarbeid mellom dei europeiske datatilsyna i saker som rører ved verksemder eller borgarar i fleire EØS-land. Det blir oppretta eit samarbeidsorgan for dei europeiske datatilsyna, European Data Protection Board (EDPB). Dette felleseuropeiske tilsynsorganet vil kunne fatte bindande vedtak i ein del enkeltsaker, og gi fråsegn om tolking av forordninga som dei nasjonale datatilsyna må legge til grunn i si saksbehandling. Det er viktig at det norske Datatilsynet får delta i dette europeiske samarbeidet, og det vil bli lagt stor vekt på å sikre så god deltaking som råd er.

Etter EØS-avtalen blir forordningar gjennomførte i norsk rett ord for ord. Innanfor ein del område opnar personvernforordninga likevel for nasjonal tilpassing og nasjonale særreglar. Regjeringa tek sikte på å utvikle eit norsk personvernregelverk som er lett tilgjengeleg for borgarane og som sikrar eit sterkt personvern. Samtidig vil handlingsrommet i EØS-retten og Schengen-reglane bli nytta for å finne løysingar som sikrar norske interesser der dette er naudsynt.

I fjor fekk vi også ei viktig avgjerd i EU-domstolen, den såkalla Safe Harbor-avgjerda. Domstolen avgjorde at EU-kommisjonen si avgjerd om Safe Harbor-ordninga frå 2000 var ugyldig. Dommen innebar at personopplysningar ikkje lenger kan overførast mellom EU/EØS-land og USA med grunnlag i Safe Harbor-avtalen. Selskap som ønsker å overføre opplysningar til USA må etter dommen basere overføringar av personopplysningar på eit anna lovleg grunnlag, noko som kan vere meir tungvint. Etter dommen har EU-kommisjonen forhandla frem eit nytt utkast til avtale med USA – det såkalla EU US Privacy Shield. Privacy Shield skal erstatte den enklare ordninga for overføring av personopplysningar, som den tidlegare Safe Harbor-avtalen ga, samtidig som personopplysningar blir betre sikra og i tråd med krava EU-domstolen sette.

1.2 Kommersiell bruk av personopplysningar

Personopplysningar og annan informasjon om forbrukarar er ei raskt veksande handelsvare, og kommersiell innsamling av personopplysningar i Noreg er aukande. Vi ser det særleg i relasjon til bruk av digitale tenester, sosiale medium og ulike applikasjonar. Selskap tener pengar på å tilby tenester som i utgangspunktet er gratis, men der brukaren i staden «betalar» med dei personopplysningane som kontinuerleg blir henta ut om til dømes kontaktar, vener, preferansar, posisjonsdata og brukarvanar. Desse opplysningane har ein betydeleg kommersiell verdi sidan dei kan seljast vidare til tredjepartar, som annonsørar. Kombinasjonen av dei enorme mengdene data som blir samla inn av kommersielle aktørar, og brukarane sitt antatt låge medvit om kva som blir registrert, og kva informasjonen blir brukt til, utfordrar personvernet.

Kjennskap til behandling av personopplysningar er ein viktig føresetnad for at brukarane skal kunne sikre sitt eige personvern. Det er til dømes umogleg å ta vare på retten til retting eller sletting av opplysningar utan at du veit om, og korleis, verksemder behandlar personopplysningane dine og kvafor opplysningar som blir registrerte. Den behandlingsansvarlege verksemda har plikt til å informere brukarane om vilkåra for behandling av personopplysningar. Likevel er det ei utfordring at desse vilkåra ofte er utilgjengelege og uklare. Til dømes inneheld ofte brukaravtalar mange juridiske og tekniske omgrep, samstundes som dei er lange, detaljerte og dårleg tilpassa forbrukarane. Problemet blir forsterka av at mange forbrukarar har gjeve opp å les dei tallause, lange brukaravtalane. Dette gjer at svært mange forbrukarar samtykker i avtalar dei faktisk ikkje har forstått og som dei ikkje ser rekkevidda av, og at dei i realiteten ikkje er informerte om kva tenestetilbydarane gjer med personopplysningane deira. Personopplysningslova set krav om at eit samtykke skal være informert for at behandling av personopplysningar skal vere tillate. Det er problematisk at ein gjev frå seg stadig fleire og meir inngripande opplysningar utan å vere seg bevisst kva for ein krets desse opplysningane blir spreidde til, og korleis dei blir nytta.

I november 2015 gav Datatilsynet ut ein rapport om korleis kommersiell bruk av personopplysningar utfordrar personvernet. Mellom anna skriv dei om kva for ein informasjon brukarane får.[1] I rapporten peiker Datatilsynet på at annonse- og medieindustrien framstår som lukka, og at enkeltindivid har avgrensa moglegheit til å utøve dei grunnleggande personvernrettane sine i møte med denne bransjen. Når forbrukarane ikkje har kjennskap til kva som går føre seg, kan dei heller ikkje krevje tenester som gjev betre personvern. Datatilsynet peiker også på at annonse- og medieindustrien er prega av at det i liten grad er mogleg å seie nei til innsamling av personopplysningar dersom ein ønsker å ta imot dei aktuelle tenestene.

Kommersiell bruk av personopplysningar var tema i Meld. St. 27 Digital agenda for Norge. IKT for en enklere hverdag og økt produktivitet, som regjeringa la fram i april 2016. I meldinga gjev regjeringa mellom anna uttrykk for at offentlege styresmakter må vere tydelege på dei krava som blir stilte for å sikre personvernet til brukarane, og at det offentlege må gå føre med gode døme på korleis desse krava kan bli innfridde. Regjeringa meiner at personvernet til forbrukarar som bruker digitale tenester, må sikrast på ein betre måte, og vil arbeide for å styrke personvernet deira. For å finne gode løysingar er det naudsynt med eit samarbeid mellom personvern- og forbrukarstyresmaktene, og det er naudsynt å vurdere både regulerande og tekniske tiltak. Fordi tenesteleverandørane kryssar grenser, må det også arbeidast med internasjonale løysingar.

1.3 Justissektoren

I justissektoren skjer det ei omfattande behandling av personopplysningar. Politiet behandlar ei stor mengd personopplysningar i eigne register. Samstundes har dei tilgang til og innsyn i ei rekke databasar og register hos andre. I samband med både førebygging og etterforsking av brotsverk kan det bli samla inn betydelege mengder personopplysningar.

Dei siste åra har det blitt fremma ei rekke forslag i justissektoren som rører personvernet. Grunngjevinga for mange av forslaga er nedkjemping av terror. Mange av tiltaka grip inn i vernet av borgarane sin frie kommunikasjon. Det har mellom anna vore peikt på at tiltaka kan ha ein kjølande effekt («chilling effect») på denne kommunikasjonen. Likevel har det aldri blitt gjort nokon heilskapleg gjennomgang av den samla effekten av dei ulike inngrepa i personvernet i justissektoren, slik Personvernkommisjonen gjorde for dei fleste andre sektorar i 2009. Datatilsynet har fleire gonger fremma forslag om at det blir nedsett ein personvernkommisjon innanfor justissektoren. Etter framlegga er målet med ein personvernkommisjon å gjere ein samla gjennomgang av vilkåra til personvernet i sektoren. Dette kan bidra til å sette personvernet inn i ein større samanheng, og sjå nye inngrep i samanheng med eksisterande inngrep.

Det digitale sårbarhetsutvalget la i november 2015 fram utgreiinga si. I mandatet til utvalet var det gjeve klåre føringar om at personvern skulle trekkast inn i vurderingane, og utvalet har i stor grad lagt vekt på personvernomsyn i arbeidet sitt. Ikkje sidan rapporten til Personvernkommisjonen i 2009 har ei offentleg utgreiing innehalde ein så omfattande og god analyse av personvern opp mot andre samfunnsinteresser. Fleire stader i utgreiinga har utvalet peikt på at ein må sikre balansen mellom personvern og eit sikrare samfunn. Mellom anna peiker utvalet på ei rad utfordringar knytt til bruk av personopplysningar frå elektronisk kommunikasjon til andre formål enn dei blei samla inn for.

Det er viktig at politiet er i stand til å avdekke, motverke og iretteføre alvorleg kriminalitet. Personopplysningar kan vere eit av fleire nyttige verkemiddel i dette arbeidet. Samstundes er det viktig at det blir gjennomført grundige utgreiingar før innføring av personverninngripande lovgiving eller tiltak i justissektoren, slik at ein kan trygge personvernet i så stor grad som råd. Behovet til politiet for informasjon må vegast mot andre omsyn, som personvernet til borgarane. Å finne balansen mellom kva som er naudsynt for å vareta rettstryggleiken i samfunnet og kva som er naudsynt for å vareta borgarane sitt personvern, er i mange samanhengar vanskeleg. Personvern er ei ideell interesse og ein del av menneskerettane. Det kan vere vanskeleg å vurdere verdien av eit godt personvern både for samfunnet og for den einskilde. Det er avgjerande å gjere gode utgreiingar som peiker på fordelar og ulemper ved ulike tiltak, og som også gjer greie for alternative løysingar. På denne måten får samfunnet eit best mogleg grunnlag for å ta gode val. Naturleg nok ser vi ofte at omsynet til nedkjemping av kriminalitet veg tyngst. Men i somme tilfelle veg personvernsomsyn tyngre.

1.4 Behandling av personopplysningar i kommunane

Kvar dag behandlar norske kommunar store mengder personopplysningar om innbyggarane sine. Opplysningane er nødvendige for at kommunen skal kunne tilby gode tenester til dei som treng det, frå spedbarnsomsorg i den kommunale helsetenesta til eldreomsorg. Mange av dei kommunale tenestene bygger på at kommunen veit ein god del om mottakaren av tenesta, slik at kommunen kan tilby tilpassa tenester. Mykje av denne informasjonen er sensitiv informasjon om helsesituasjonen og er naudsynt for spesialtilpassa tilbod av ulike slag. Slike opplysningar treng strenge krav til vern. Personopplysningslova med forskrifter gjev eit godt grunnlag og utgangspunkt for dette vernet gjennom reglar om informasjonstryggleik og internkontroll.

Datatilsynet har i mange år arbeidd med informasjonstryggleik i kommunane. Erfaring tyder på at dette er eit område mange finn svært vanskeleg. Reglane i personopplysningsregelverket er kompliserte. God informasjonstryggleik og internkontroll er grunnleggande for å kunne verne om dei personopplysningane kommunen behandlar. Skal ein få eit godt grep om dette arbeidet, må det ha forankring i leiinga i kommunen og vere ein del av det daglege arbeidet.

For kommunar som ikkje har nok ressursar sjølve, kan det vere ei løysing å sette IKT-tenester ut til ein ekstern leverandør, til dømes ei skyteneste. Ressurssterke tilbydarar av skytenester kan i mange tilfelle gi betre tryggleik enn det verksemdene kan greie sjølve.[2] Kommunen må vurdere om det er lovleg å leggje opplysningane i skya, og vege konsekvensane og risikoen opp mot fordelane med skytenesta.

Kommunal- og moderniseringsdepartementet la i april 2016 fram ein nasjonal strategi for bruk av skytenester som mellom anna drøftar korleis det offentlege kan utnytte slike tenester.[3] Også Datatilsynet kan gi gode råd til kommunar som ønsker å bruke skytenester.

Det er også viktig å vere merksam på at god informasjonstryggleik ikkje berre krev tekniske tiltak. Folka som bruker systema må ha opplæring slik at dei blir i stand til å bruke systema på ein trygg og god måte. Dei må ha grunnleggande opplæring i regelverket, i bruk av systema og i dei interne reglane og rutinane som gjeld i den einskilde kommunen. Desse reglane og rutinane som er utvikla i kommunen, blir gjerne kalla for internkontroll. Internkontrollen skal seie noko om korleis kommunen skal etterleve reglar på eit særskilt område, som til dømes personvernreglane eller regelverk om HMS. Personopplysningslova og forskriftene til lova stiller krav om at dei som behandlar personopplysningar skal ha eit slikt internkontrollsystem. Internkontrollsystemet skal vere dokumentert, og dokumentasjonen skal vere tilgjengeleg for dei som skal bruke systema og behandle personopplysningar.

Datatilsynet sitt arbeid over fleire år har avdekt at det er store manglar i både informasjonstryggleiken og internkontrollsystema i norske kommunar. Dei manglar mellom anna oversikt over kva for behandlingar av opplysningar dei har, og dei har ikkje system for å gi informasjon om og innsyn i behandling av personopplysningar til innbyggarane. Datatilsynet har nytta ulike verkemiddel i arbeidet for å betre etterlevinga av reglane. Mellom anna har dei satsa på målretta informasjonsarbeid, rettleiarar, saksbehandling og kontrollverksemd. Likevel er det framleis mange kommunar som slit med å utarbeide og gjennomføre gode rutinar for behandling av personopplysningar.

Datatilsynet har innleidd eit samarbeid med KS, kommunane sin interesseorganisasjon, for å styrke kunnskapen om og kompetansen på arbeid med informasjonstryggleik i kommunane. I arbeidet skal dei mellom anna sjå på kva for verkemiddel som er mest eigna til å betre arbeidet med informasjonstryggleik i kommunane. Datatilsynet ønsker å vere ein god rådgivar for kommunane i dette arbeidet. Men det er mange kommunar i Noreg, og berre eitt Datatilsyn. Kommunane må difor sjølve ta ansvar og gjere den viktige jobben med å etablere betre system og rutinar for behandling av personopplysningar. KS kan vere ein nyttig medspelar i arbeidet. Innbyggarane må kunne stole på at det offentlege set i verk nødvendige tiltak og har gode rutinar for trygg behandling av dei opplysningane som innbyggarane i god tru gjev frå seg. Departementet støtter difor Datatilsynet og kommunane i det viktige arbeidet for å betre informasjonstryggleiken og internkontrollen i norske kommunar.

2 Merknader frå Kommunal- og moderniseringsdepartementet til Datatilsynet si årsmelding

Datatilsynet har i 2015 arbeidd målretta for å betre personvernet i samfunnet. Tilsynet har medverka til god kunnskap på personvernområdet, inkludert om EU si nye personvernforordning. Dei har mellom anna halde foredrag, gjeve høyringsfråsegner, hatt dialog og møte med ulike aktørar, og dessutan gjeve råd og rettleiing. Vidare har tilsynet ved behandling av konsesjonar, tilsyn, kontrollar og vedtak i enkeltsaker medverka til ei positiv utvikling for personvernet.

Datatilsynet har i 2015 særleg arbeidd med personvern innanfor følgjande område:

Justissektoren

Barn, skule og utdanning

Helse og velferd

Digitalisering i offentleg sektor

I tillegg har Datatilsynet hatt to prioriterte prosjekt i 2015; å førebu seg på vedtakinga av EU si nye personvernforordning og å kartlegge korleis personopplysningar blir brukte kommersielt. Som ledd i sistnemnte prosjekt, publiserte tilsynet i november 2015 rapporten «Det store datakappløpet. Rapport om hvordan kommersiell utnyttelse av personopplysninger utfordrer personvernet». Rapporten peiker på nokre av dei største utfordringane ved dagens digitale annonsemarknad. I rapporten legg dei fram anbefalingar og tiltak som Datatilsynet vil jobbe vidare med i 2016. Departementet er opptatt av å sikre personsonvernet til forbrukarar som bruker digitale tenester, og er glad for at Datatilsynet sett kommersiell bruk av personopplysningar på dagsordenen. Det er departementet si oppfatning at Datatilsynet er godt budd på det omfattande arbeidet som skal gjerast med å gjennomføre den nye personvernforordninga i norsk rett i åra som kjem.

2.1 Barn, skule og utdanning

Datatilsynet har over ein treårsperiode sett nærare på behandlinga av personopplysningar om barn og unge i barnehagar, grunnskular og vidaregåande skular. Gjennom møte med aktørar i opplæringssektoren, tilsyn og kontrollar har tilsynet skaffa seg eit visst oversyn over kva for opplysningar som blir registrerte om barn og unge i sektoren, og korleis desse opplysningane blir behandla og sikra.

Både barnehagar og skular behandlar store mengder personopplysningar om barn og unge. Samla gjev alle registreringar om eit barn gjennom heile utdanninga eit omfattande og detaljert bilete av barnet si utvikling, og faglege og sosiale åtferd. At opplysningane i stadig større grad blir behandla digitalt, inneber i tillegg at spreiingspotensialet blir større. Utan tekniske sperrer og gode rutinar er det lettare at opplysningane blir brukte til andre formål enn dei var planlagde for, og opplysningane kan med få tastetrykk bli spreidde til mange.

Datatilsynet har dei siste åra avdekt at rutinane for å sikre barn sitt personvern i barnehagar og skular gjennomgåande er mangelfulle. Samstundes veit vi at bruken av elektroniske og nettbaserte tenester i opplæringssektoren vil auke ytterlegare i åra som kjem. Barn og unge er slik sett ei ekstra sårbar gruppe, sidan dei ikkje kan samtykke til all registreringa sjølve.

Departementet er opptatt av at barn og unge blir sikra eit godt personvern og ser behovet for eit kunnskapsløft om personvern i opplæringssektoren, både blant barnehage- og skuleeigarar og blant dei tilsette. Departementet er difor positiv til Datatilsynet sitt arbeid for ei bevisstgjering om personvern i barnehagar, grunnskular og vidaregåande skular. Det er særleg viktig at personvernomsyn blir tatt hand om i ein tidleg fase i utviklinga av nye digitale læringsplattformer, innloggingssystem og saksbehandlingsrutinar og i barnehagen sitt arbeid med dokumentasjon og vurdering.

2.2 Digitaliseringa i offentleg sektor

Digitaliseringa i offentleg sektor er kome langt, og stadig nye tenester blir tilbydd i digital form. Samstundes er det fleire sentrale digitaliseringsprosessar som står att. Datatilsynet merker at det framleis er viktig å følgje arbeidet med digitalisering tett, slik at tilsynet kan påverke dei riktige aktørane og sjå til at personvernet blir tatt vare på.

Datatilsynet peiker på at digitalisering av offentlege tenester skaper nye personvernutfordringar, samstundes som det gjev moglegheiter for å bygge personvern inn i løysingane. Departementet er opptatt av at arbeidet med innebygd personvern blir ført vidare, og at personvern blir ein naturleg del av utvikling i all offentleg digitalisering.

Vidare peiker Datatilsynet på at ei utfordring ved digitaliseringa i offentleg sektor er tilrettelegging for god informasjonsflyt mellom verksemder, samstundes som personopplysningar blir trygga. For å sikre eit godt personvern ved utveksling og deling av personopplysningar mellom ulike offentlege instansar, og mellom offentlege og private aktørar, er det viktig at ansvarsforholda er tydeleg avklarte. I tillegg må innbyggarane få god informasjon mellom anna om kva for instansar som behandlar og utvekslar opplysningar om dei, og dessutan til kva føremål dette skjer, slik at dei blir sette i stand til å trygge sitt eige personvern.

I meldingsåret gjennomførte Datatilsynet kontrollar med 15 ulike offentlege verksemder. Sjølv om det var store variasjonar, fann tilsynet, som i føregåande år, at det var eit gjennomgåande problem at mange offentlege verksemder ikkje har tilfredsstillande rutinar for å oppfylle pliktene i personopplysningslova. Datatilsynet kunne ikkje fastslå signifikante forskjellar mellom stat og kommune, regionale forskjellar eller forskjellar på grunn av storleiken til verksemdene. Likevel meiner tilsynet å kunne sjå at verksemder med personvernombod gjennomgåande tok betre vare på personvernet og pliktene i personopplysningslova (sjå meir om dette i punkt 2.4). Departementet merker seg utfordringane Datatilsynet peiker på og vil arbeide for å fremme gode personvernløysingar og -rutinar i offentleg sektor.

2.3 Helse og velferd

Helse- og velferdssektoren er ein sektor som behandlar mykje personintensiv informasjon. Helsepersonell treng tilgang til nødvendig informasjon for å kunne gje den einskilde god og rett helsehjelp. Helseopplysningar er sensitive opplysningar, og det er viktig at innbyggarane har tillit til at opplysningane blir behandla på ein trygg og sikker måte som tek vare på personvernet. Datatilsynet peiker på at opplysningane ikkje berre blir nytta innan helse- og omsorgstenesta og NAV, men også i helseregister og i helse- og samfunnsforsking.

I årsmeldinga viser Datatilsynet til at ei av dei største utfordringane for personvernet innan helse- og omsorgstenesta er at sektoren er gjenstand for store forandringar, og at desse skjer i eit raskt tempo. Vidare er det ei utfordring at helse- og omsorgstenesta er prega av mange aktørar og fleire ulikt organiserte verksemder med forvaltningsansvar og avgjerdsmyndigheit. For å sikre at helseføretaka overheld pliktene sine etter lova og tek vare på personvernet, er det viktig at ansvarsforholda mellom dei ulike verksemdene er tydeleg avklarte.

Ei anna aktuell utfordring Datatilsynet trekker fram er den auka utvekslinga av helseopplysningar som følgje av helse- og omsorgsreforma. Departementet meiner at informasjonsdeling til beste for den enkelte pasient utvilsamt er eit gode, men er samstundes einige med Datatilsynet i at det er ei utfordring å sjå til at slik informasjonsdeling ikkje fører til utilsikta spreiing av sensitive opplysningar. Departementet vil halde fram arbeidet med å fremme gode personvernløysingar i helse- og velferdssektoren.

2.4 Personvernombodsordninga

Personvernombodsordninga er eit viktig verkemiddel for å auke verksemders kjennskap til rettar og plikter på personvernområdet. Den noverande personvernombodsordninga er frivillig og gjev verksemder som vel å ha ombod, fritak frå meldeplikta etter personopplysningslova § 31. Som tilsynet framhevar i årsmeldinga, skal ombodet fungere som ein ressursperson med spesialkompetanse på personvern i verksemda og ha oversyn over kva for personopplysningar som blir behandla til ulike føremål. Personvernombodet vil difor kunne hjelpe verksemda til å handtere personvernutfordringar som oppstår. Departementet synest såleis det er positivt at talet på personvernombod i Noreg kontinuerleg aukar, og likeins at det blei oppretta 38 nye personvernombod i løpet av meldingsåret.

Datatilsynet meiner å kunne sjå at verksemder i både offentleg og privat sektor som har personvernombod, gjennomgåande både tek betre vare på personvernet og etterlever pliktene i lova betre enn andre. Datatilsynet hevdar at dette viser at personvernombodsordninga og opplæringa av omboda har ein positiv personverneffekt. Departementet synest dette er ein interessant observasjon, særleg i lys av at ordninga med personvernombod blir ført vidare, og jamvel blir utvida, i EU si nye personvernforordning.

Som Datatilsynet peiker på, vil den nye personvernforordninga medføre at fleire verksemder enn i dag pliktar å opprette personvernombod. Ordninga blir mellom anna obligatorisk for offentlege verksemder og for verksemder som handsamar sensitive personopplysningar i stor skala. Landa kan dessutan bestemme at også andre verksemder skal ha personvernombod. Døme på verksemder som kan bli omfatta av den nye obligatoriske ordninga, er forsikringsselskap og helseføretak.

Departementet er positiv til den komande utvidinga av personvernombodsordninga og vil støtte innsatsen til Datatilsynet for eit betre personvern i norske verksemder.

2.5 Internasjonalt arbeid

I 2015 har Datatilsynet halde fram arbeidet sitt i sentrale EU-organ, både som observatør og aktiv deltakar. Datatilsynet har mellom anna vore representert på alle møta i Artikkel 29-gruppa[4] og undergruppene Technology Subgroup og Future of Privacy Subgroup. Arbeidet i undergruppene gjev grunnlaget for mange av utsegnene frå Artikkel 29-gruppa. Datatilsynet si deltaking i desse gruppene har gjeve gode moglegheiter til å fremme norske synspunkt om aktuelle personvernspørsmål i EU, inkludert om arbeidet med det nye felleseuropeiske personvernregelverket, bruken av skytenester og følgjene av EU-domstolen si avgjerd i Safe Harbor-saka.

Datatilsynet har også vore ein aktiv deltakar på ei rekke andre nordiske og internasjonale samarbeidsarenaer, inkludert i Schengen-samarbeidet, den internasjonale personvernkonferansen og andre samarbeidsforum for personvernmyndigheiter. Det er positivt at tilsynet har fått ansvar for å arrangere vårmøtet til Berlingruppa[5] i 2016 i Oslo, og at tilsynet har halde foredrag om rapporten «Det store datakappløpet – hvordan kommersiell utnyttelse av personopplysninger utfordrer personvernet» på fleire internasjonale konferansar. Datatilsynet har dessutan halde fram samarbeidet med og den faglege støtta til personvernstyresmakta i Makedonia.

Departementet er tilfreds med at Datatilsynet markerer seg på den internasjonale arenaen og bidreg til internasjonale løysningar for eit godt personvern. Tilsynet synest å nytte dei moglegheitene som finst til å påverke viktige internasjonale prosessar for personvernet. Som Datatilsynet peiker på, har tilsynet si internasjonale verksemd også vist seg verdifull på andre måtar. Mellom anna har Datatilsynet evna å vere ein god samtalepartnar for norske styresmakter i spørsmål om den nye EU-forordninga. Gjennom å halde seg orientert om kva som er på dagsordenen internasjonalt, er tilsynet i stand til raskt å informere om og førebu norske verksemder på internasjonal regelutvikling, slik tilsynet gjorde etter Safe Harbor-avgjerda hausten 2015.

3 Merknader frå Kommunal- og moderniseringsdepartementet til Personvernnemnda si årsmelding

Personvernnemnda er klageorgan for vedtak fatta av Datatilsynet. I 2015 tok Personvernnemnda imot 17 klagesaker frå Datatilsynet. Fire av sakene blei ferdigbehandla innan utgangen av året. I tillegg ferdigbehandla nemnda 12 saker som ho fekk tilsendt i 2014. Totalt avgjorde dermed Personvernnemnda 16 saker i meldingsåret. Vedtaka til Datatilsynet blei heilt eller delvis endra i ni av sakene. Sjølv om talet på ferdigbehandla saker er redusert samanlikna med året før, framhevar nemnda at fleire av sakene har vore komplekse, og at dei har blitt behandla over fleire nemndmøte. Nemnda har som tidlegare halde ekstra møte for å handtere den store saksmengda. Samfunnet si aukande merksemd på personvern er positivt, men medfører også eit auka press på Datatilsynet og Personvernnemnda. Departementet følgjer utviklinga, og vurderer situasjonen i samband med det årlege budsjettarbeidet.

Spennvidda i sakene til Personvernnemnda er stor. Sakene som blei handsama i 2015 gjeld alt frå bruk av system for gjenkjenning av kjenneteikn i samferdselssektoren og sletting av dokument i personalmapper, til varsling om uautorisert uthenting av helseopplysningar. Samstundes var det ei rekke tema som gjekk igjen, som bruken av loggdata og plassering av behandlingsansvar. Eit tema Personvernnemnda trekker fram som særleg aktuelt, er ilegging av gebyr for brot på personopplysningslova, som er tema i fleire av sakene som vil bli behandla i 2016. Personvernnemnda legg til grunn at talet på saker om ilegging av slike gebyr truleg vil fortsette å auke. Departementet synest dette er ei interessant observasjon, særleg i lys av at EU si personvernforordning inneheld nye reglar om svært strenge administrative sanksjonar for brot på personvernreglane.[6]

Personvernnemnda blir utnemnd av Stortinget (leiar og nestleiar) og Kongen (dei fem andre medlemmene) for fire år, med høve til utnemning for fire nye år. Funksjonstida til den noverande Personvernnemnda går ut i desember 2016. Både leiar og nestleiar har sete i to periodar og kan difor ikkje bli utnemnde på nytt. Den nye samansetjinga av Personvernnemnda er klar hausten 2016.

Som ledd i det komande arbeidet med å gjennomføre EU si nye personvernforordning i norsk rett, vil det i åra som kjem bli gjort ei grundig vurdering av kva for konsekvensar forordninga vil få for Personvernnemnda, inkludert om forordninga stiller krav til endring i oppgåvene, samansetjinga eller funksjonstida til nemnda.

4 Administrasjon og ressursar

4.1 Budsjettet og rammevilkåra til Datatilsynet

Datatilsynet hadde i 2015 ei budsjettramme på kr. 37 262 000, ein reduksjon på om lag 1 million kroner frå 2014. Når ein legg til overføringar frå 2014 og tilleggsløyvingar, hadde Datatilsynet kr. 40 959 000 til disposisjon i 2015. Av tilsynet sine utgifter utgjorde 74 prosent utgifter til lønn og 26 prosent utgifter til drift. Datatilsynet hadde i meldingsåret 43 faste stillingar. I tillegg har tilsynet hatt ein praksisplass og to studentarbeidsplassar. Tilsynet har vore leia av Bjørn Erik Thon, som blei tilsett som direktør på åremål i 2010. Sjølv om leiargruppa i meldingsåret bestod av fire menn og ei kvinne, var det i tilsynet sett under eitt ein relativt jamn kjønnsfordeling, med 56 prosent kvinner og 44 prosent menn.

Datatilsynet gjennomførte totalt 54 tilsyn i meldingsåret. Dette er noko færre enn i dei føregåande åra, og færre enn tilsynet hadde planlagt, særleg på helseområdet og justisområdet. Tilsynet grunngjev nedgangen med utsetjingar, omprioriteringar og noko sjukefråvær. I 2015 kontrollerte tilsynet ei rekke verksemder som driv med samfunnsforsking og fleire reiseselskap. Det blei vidare ført tilsyn med internkontroll og informasjonstryggleik i offentleg sektor for å påverke sektoren til betre etterleving av personvernregelverket, og dessutan tilsyn med DNA-registeret hos Kripos. Datatilsynet har også gjennomført tilsyn med eit sentralt register i finanssektoren, felles pasientdatabasar i helsesektoren, bruk av nettsky og kryptering av kommunikasjonen hos store datasenter.

I 2015 blei det registrert 1 374 nye saker i Datatilsynet, noko som er ein liten nedgang samanlikna med året før. Ifølgje Datatilsynet synest 2015 å vere eit ganske normalt år i arbeidsmengde. Nedgangen i talet på saker og talet på dokument er omtrent like stor (om lag 6,5 prosent), noko som viser at sakene inneheld like mange dokument som året før. Datatilsynet meiner at dette er ein indikasjon på at kompleksiteten i sakene auka fram til 2014 og deretter har vore stabil. I meldingsåret fatta Datatilsynet 595 vedtak, noko som er ein liten auke frå året før. Datatilsynet har også levert 39 høyringssvar på ulike områder. Sjølv om saksbehandlingstida i tilsynet er relativt låg, har mengda restansar gått noko opp samanlikna med tidligare år.

Departementet er tilfreds med at aktivitetsnivået i Datatilsynet er høgt, trass i knappe ressursar. Ressursutnyttinga og prioriteringane i meldingsåret har etter departementet sitt syn vore gode. Departementet vil særleg framheve viktigheita av det internasjonale arbeidet til tilsynet. Dette er ressurskrevjande, men likevel heilt naudsynt i lys av at stadig fleire personvernutfordringar blir internasjonale og må løysast med gode internasjonale reglar og samarbeid. Dette bidreg også til at Datatilsynet får ei stemme i den internasjonale debatten og kan medverke til internasjonale løysingar som sikrar eit godt personvern, også for norske innbyggarar.

4.2 Budsjettet og rammevilkåra til Personvernnemnda

Personvernnemnda hadde i 2015 ei budsjettramme på kr. 1 898 000, og har i meldingsåret brukt kr. 1 711 045. Løyvinga er brukt på innkjøp av litteratur og tenester, deltaking på seminar, arbeidsgodtgjersle og reisegodtgjersle til medlemmene i nemnda, løn til sekretariatet og leige av lokale.

Personvernnemnda har hatt 13 møter i meldingsåret. Av dei 17 klagesakene nemnda tok imot i 2015, var fire ferdigbehandla ved utgangen av året. I tillegg avgjorde nemnda 12 saker frå 2014. Av dei totalt 16 sakene nemnda avgjorde i 2015 var det seks klager frå privatpersonar, fem klager frå ulike helseføretak, to klager frå bedrifter og tre klager frå andre kommunale eller statlege organ. Saksmengda i rapporteringsperioden har vore stor, og fleire av sakene har vore prinsipielle. Nemnda har halde to ekstra møte for å ferdigstille saker. Gjennomsnittleg saksbehandlingstid var fire-fem månader. Personvernnemnda hadde 13 uferdige saker ved slutten av 2015.

Departementet har jamleg kontakt med Personvernnemnda sitt sekretariat og med leiaren om administrative spørsmål. I rapporteringsperioden har departementet hatt eitt kontaktmøte med nemnda sin leiar og sekretariatet. Det synest å vere eit godt samarbeid mellom leiaren og sekretariatet. Kommunikasjonen med departementet fungerer godt. Som i tidlegare år, har Personvernnemnda ein relativt høg restanse, men departementet ser at nemnda jobbar for å redusere saksbehandlingstida. Departementet vurderer at Personvernnemnda har brukt løyvinga på ein god måte og gjennomført oppgåvene sine tilfredsstillande i 2015.

Tilråding

Kommunal- og moderniseringsdepartementet

tilrår:

Tilråding frå Kommunal- og moderniseringsdepartementet 17. juni 2016 om årsmeldingane til Datatilsynet og Personvernnemnda for 2015 blir sendt Stortinget.

Vedlegg 1
Årsmeldinga til Datatilsynet for 2015

Leders beretning

2015 – året da personvern ble internasjonal politikk

Det mest spennende med å være leder i Datatilsynet er at det alltid dukker opp store saker som gjør at vi må snu opp ned på prioriteringene våre. Noen opplever kanskje dette som frustrerende, men som jeg pleier å si til de flinke folka i tilsynet: Vi skal være veldig glade for at vi har en arbeidsplass der vi hele tiden må gjøre prioriteringer og endre på planene våre.

Året begynte med fire prioriterte sektorer og to prioriterte prosjekter. Justissektoren, der borgernes rett til å leve sitt liv uten overvåking står mot fellesskapets behov for trygghet, var som alltid viktig. Det samme var helsesektorens innsamling av våre mest sensitive og private opplysninger, samt offentlig sektor for øvrig der det er store mengder opplysninger om oss alle og der man nok ikke alltid har full oversikt over hvilke opplysninger som faktisk behandles. Så var det utdanningssektoren der opplysninger som tidligere var i meldingsbøker, på karakterutskrifter og i ranselpost, blir digitalisert og gjort til gjenstand for analyse og vurdering.

De to prosjektene har et klart internasjonalt tilsnitt. Vi skal forberede oss på EUs nye personvernregelverk i form av en forordning som også vil bli gjeldende lov i Norge. Vi ville også kartlegge hvordan personopplysninger blir brukt kommersielt, særlig når det gjelder å skreddersy reklame basert på den enkeltes interesser, bosted, familieforhold og inntekt.

Mer overraskende var at de to siste prosjektene plutselig befant seg i kjernen av en langt større konflikt, nemlig hvorvidt USA er et trygt land å lagre data i, og om det skal være lov for europeiske selskaper å overføre data til USA.

Sporene etter Snowden

Men la oss spole noen år tilbake. I begynnelsen av juni 2013 sto en beskjeden mann med navn Edvard Snowden fram med banebrytende avsløringer. Ikke bare hadde National Security Agency (NSA) samlet inn enorme datamengder om helt vanlige borgeres liv, de hadde også avlyttet telefonen til storheter som Angela Merkel og 35 andre statsledere. Det er ulike meninger om Edvard Snowden, men det er hevet over enhver tvil at hans avsløringer har hatt svært stor betydning for personverndebatten og forholdet mellom Europa og USA.

Det startet allerede da EU-parlamentet skulle debattere personvernforordningen. Kommisjonens opprinnelige forslag bygde på det vi kan kalle den tradisjonelle lære – en virksomhet må være etablert i et europeisk land for at europeisk rett skal gjelde. Spørsmålet om jurisdiksjon er viktig, for på personvernområder, som på mange andre, er det stor forskjell på europeisk og amerikansk rett. Blant annet er terskelen for hva som er en personopplysning høyere i USA, og muligheten for å dele data større. Men EU-parlamentet vedtok en regel om at europeisk rett skal gjelde for alle virksomheter som retter sine tjenester mot europeiske borgere, og det gjelder de aller fleste. Jeg har tidligere kalt dette lex Snowden, fordi parlamentet i begrunnelsen hadde en veldig enkel begrunnelse, de gjorde dette på grunn av Snowdens avsløringer som viste at vi europeere måtte sørge for at europeiske regler gjaldt i Europa.

Når forordningen ble vedtatt var lex Snowden en del av pakka. Men før det, hadde nok en avgjørelse rystet store deler av næringslivet og relasjonene mellom USA og Europa. Da avgjorde nemlig EU-domstolen at den såkalte Safe Harbor-avtalen er ugyldig. De færreste hadde hørt om denne avtalen, men plutselig var den på alles lepper. Personvernregelverket er på dette punktet veldig enkelt: Det er forbudt å overføre data til tredjeland, det vil si utenfor EØS-området. Dette med mindre EU-kommisjonen har definert tredjelandet som et trygt sted å lagre data. Derfor er det inngått en rekke avtaler mellom EU og land som Chile, Israel og Uruguay, og fastslått at overføring til disse landene er trygt. Så også til USA, men der har avtalen fått et eget navn, Safe Harbor. Den inneholder ganske enkelt et sett regler som amerikanske selskaper kan forplikte seg til å følge. Ved å skrive under en egenerklæring er de et sertifisert datasenter som europeiske selskaper kan overføre data til. Når vi vet at overføring av persondata er en sentral del av nær sagt enhver forretning mellom EU og USA, trengs det ingen tilleggsforklaring på at avgjørelsen som kjente avtalen ugyldig var svært dramatisk. At det er over 4 000 sertifiserte Safe Harbor-sentre sier nok.

Så var det Edvard Snowden igjen. Generaladvokaten i EU-domstolen, som skriver innstillinger til dom, la i sin innstilling vekt på nettopp Edvard Snowdens avsløringer når han kom med sin konklusjon om at USA ikke var et trygt land når det gjaldt å behandle data om europeiske borgere. Og EU-domstolen kom kun uker senere til samme konklusjon.

Avgjørelsen var banebrytende, og burde strengt tatt vært omtalt på førstesiden av alle landets aviser. I realiteten, hvis det ikke blir inngått en ny Safe Harbor-avtale, betyr avgjørelsen at mange tusen europeiske virksomheter ikke lenger kan overføre data til USA i medhold av Safe Harbor, men må finne andre, mer tungvinte metoder. Mest nærliggende er å bruke noe som kalles standard modellavtaler, men nå hadde personvernere fått blod på tann. De hevdet at standardavtalene hadde akkurat samme svakheten som Safe Harbor-avtalen, nemlig at amerikanske sikkerhetsmyndigheter kan få tilgang til dataene. Det er vel ingen hemmelig at de fleste jurister mener det er godt hold i et slikt argument.

Dermed måtte vi i Datatilsynet kaste oss rundt. Vi la ut veiledning på hjemmesiden vår, sendte brev til over hundre virksomheter vi visste brukte Safe Harbor og besvarte en lang rekke telefoner. I skrivende stund er det forhandlet fram en ny Safe Harbor-avtale, kalt Privacy Shield, men det kan stilles store spørsmålstegn ved om denne er god nok.

USA versus Microsoft

Men det er ikke bare europeiske domstoler som har vist muskler. Også en domstol i New York fattet en avgjørelse som kan få dramatisk konsekvenser. Microsoft har datasentre over hele verden, men er som alle vet et amerikansk selskap. CIA ville imidlertid ha utlevert blant annet e-poster som lå lagret på en server i Microsofts datasenter i Dublin, Irland. Microsoft nektet og hevdet en amerikansk domstol ikke kan fatte beslutninger som får konsekvenser for europeiske borgere lagret i et europeisk datasenter. Men dommeren mente det motsatte, og påla Microsoft å utlevere e-postene under henvisning til at det var et amerikanske selskap. Dommen skal opp til avgjørelse i en høyere domstol, og ender trolig i Høyesterett, men den illustrerer et interessant forhold. Når slutter amerikansk rett å gjelde? Ved USAs grense? Eller kan et amerikansk selskap tvinges til å utlevere data fra borgere i hele verden, uansett i hvilket land selskapet har sin virksomhet?

Microsoft har protestert heftig og skrevet til alle datatilsynsmyndighetene i Europa og bedt om støtte for sin sak. Konsekvensen for europeiske borgere kan bli dramatisk dersom avgjørelsen blir stadfestet av høyere domsinstanser. Det betyr i klartekst at et amerikanskeid selskap etablert i Norge, kan tvinges til å utlevere norske borgeres data til USA, et land EU-domstolen har fastslått ikke er trygt i så henseende. Et paradoks? Javisst, men det er også dette: Dersom Høyesterett i USA kommer til at dataene må utleveres til USA, bryter de virksomhetene som utleverer dataene europeisk lov. Dersom de nekter å etterkomme en amerikansk dom, bryter de amerikansk lov.

Siste ord er ikke sagt i denne saken, men vi kan trygt slå fast at det blir meget spennende å følge dette videre, ikke minst om Microsoft og andre teknologigiganter lager selskapskonstruksjoner som gjør at de juridisk sett ikke lenger er amerikanske selskaper når det lagres data i Europa. Følgene av dette kan bli store.

Annonseindustriens datakappløp

Datatilsynet lanserte i september rapporten «Det store datakappløpet – om kommersiell utnyttelse av personopplysninger». Som det først datatilsyn i verden, kartla vi hvordan annonseindustrien samler inn enorme mengder svært detaljerte opplysninger om oss. Dette er opplysninger som i sin tur brukes til å sende skreddersydd reklame basert på akkurat vår profil. Det vil for eksempel bety at ti mennesker som går inn på morgenavisen.no vil få ti ulike annonser. Dette utfordrer personvernet på en rekke områder. Kan dataene avsløre følsomme opplysninger om oss? Kan det føre til diskriminering av kunder? En undersøkelse i USA viste at menn får annonser for bedre betalte jobber enn kvinner, og at folk med lav inntekt og betalingsproblemer i større grad enn andre får annonser for kreditter med høy rente. Det er også bekymringsfullt at det digitale annonsemarkedet er svært komplisert og at de aller færreste, om noen, har oversikt over hva som skjer.

Det kom mange reaksjoner fra norske aktører på rapporten, de fleste positive. Samtidig kom det fram en bekymring: Norske virksomheter må ikke ha dårlige rammebetingelser enn våre konkurrenter. Og konkurrentene er jo «the usual suspects» som Facebook, Google og Microsoft. Dermed er vi tilbake der denne innledningen til årsmeldingen startet, ved våre to prioriterte prosjekter, som ikke bare ble nasjonale anliggender, men en del av en personvernkonflikt mellom USA og Europa.

Bjørn Erik Thon

Direktør

1.1 Introduksjon og hovedtall

Datatilsynet ble opprettet i 1980 og er et uavhengig forvaltningsorgan under Kommunal- og moderniseringsdepartementet (KMD). Vårt hovedmål er å bidra til at personvernlovgivningen etterleves, og at alle skal ha beskyttelse i tråd med gjeldende personopplysningsregelverk. Vi skal også fremme personvern som en sentral verdi i samfunnet. I dette arbeidet bruker vi ombudsrollen vår ved å ta i bruk ulike formidlingskanaler og ved å delta i offentlig ordskifte om personvern.

Personvern handler enkelt sagt om retten til et privatliv og retten til å bestemme over egne personopplysninger. Personvern er en menneskerettighet som skal sikre hensynet til den enkeltes personlige integritet, men det er også en ideell interesse og er svært viktig for å sikre felles goder i et demokratisk samfunn.

Det vil for eksempel være uheldig dersom enkeltpersoner begrenser sin deltagelse i den åpne meningsutvekslingen og politiske aktiviteten fordi de frykter at opplysninger om personlige forhold vil bli trukket frem og gjort til allmenn oppmerksomhet. Eller dersom de setter begrensninger på seg selv fordi de er redde for at myndighetene registrerer og lagrer opplysninger om deres kommunikasjon med andre, om ferdselsmønster, interesser eller uttrykk for holdninger. Datatilsynet må derfor jobbe aktivt for å oppnå en god ivaretagelse av personvernet i avveiingen mot andre samfunnsinteresser.

Hovedaktiviteter

For å realisere hovedmålet om en best mulig beskyttelse av folks personvern har Datatilsynet gjennomført følgende hovedaktiviteter i 2015:

Arbeide for å øke kjennskapen til lovfestede plikter og rettigheter både i befolkningen og i virksomheter.

Fremme bruk av innebygd personvern og stimulere til at personvernhensyn blir ivaretatt tidlig ved utvikling av nye løsninger eller nytt regelverk.

Gjennomføre tilsyn i prioriterte sektorer basert på risikoanalyse, systematisert og kommunisere funn fra tilsynene til aktuelle målgrupper, samt følge opp etterlevelse av pålegg. Dette gjelder både i de enkelte kontrollsakene og gjennom etterkontroller.

Delta aktivt i internasjonalt personvernarbeid.

Vi har i meldingsåret valgt å fokusere særlig på personvern i justissektoren, helse- og velferdssektoren og det omfattende digitaliseringsarbeidet som skjer i offentlig sektor. Vi brukte også mye kapasitet på en rapport om hvordan et fremvoksende marked for automatisert annonsehandel intensiverer innsamlingen og utnyttelsen av personopplysninger for kommersielle formål. Dessuten startet vi forberedelsene til det nye felles europeiske personvernregelverket som trolig vil bli vedtatt i EU våren 2016.

1.1.1 Virkemidler

For å nå hovedmålet vårt har vi i hovedsak fem ulike virkemidler til disposisjon. Ved å ha kontinuerlig oppmerksomhet på hvordan vi kombinerer virkemidlene våre, kan vi oppnå en betydelig bedre effekt enn om vi benytter hvert virkemiddel alene.

Saksbehandling som virkemiddel

Gjennom saksbehandling tilegner vi oss erfaring og kunnskap om hvordan personvernhensyn i praksis ivaretas. Spesielt skal vi ha oppmerksomheten rettet mot å identifisere systemfeil i virksomheter og bransjer.

Saksbehandling som virkemiddel har særlig vært brukt på områder der vi mottar mange henvendelser og klager. Som offentlig etat er vi naturlig nok bundet av forvaltningsrettslige regler og normer. Det gjøres derfor mye saksbehandling også innenfor områder som ikke er hovedprioritet.

Tilsynsvirksomhet som virkemiddel

Gjennomføringen av tilsyn gir oss et faktabasert grunnlag for kommunikasjon til ulike bransjer og relevante aktører. Tilsynsvirkemiddelet skal benyttes aktivt for å undersøke og avklare praksis, og til å følge opp konkrete problemstillinger i enkeltsaker. En aktiv tilstedeværelse gir signal om at regelverket skal etterleves og at etterlevelsen blir kontrollert. Tilsynsvirksomheten inkluderer også bruk av kontrollhjemler i saksbehandlingen, som for eksempel når vi følger opp enkeltklager gjennom krav om redegjørelse.

Ved å gjennomføre tilsyn når nye løsninger tas i bruk, men før en praksis har satt seg, kan tilsyn også medvirke til å forme et område videre.

Noen ganger benyttes kontrollene dessuten for å få bedre oversikt over et område eller en sektor, og for å skaffe et bedre grunnlag for å ta i bruk de andre virkemidlene. Andre ganger benyttes de for å holde oppe et trykk på en bestemt sektor – gjerne innenfor et bestemt tema.

Kommunikasjon som virkemiddel

For at øvrige virkemidler skal gi best mulig effekt, er kommunikasjonsvirksomheten et sentralt virkemiddel. Datatilsynet integrerer i større grad enn tidligere kommunikasjonsvirksomheten med de øvrige virkemidlene vi har til disposisjon. En del av kommunikasjonen og dialogen vår skjer derfor gjennom veiledningstjenesten, veiledningsmøter og annen dialog med rammesettere og beslutningstakere.

Datatilsynet skal veilede og informere om personvernlovgivning og forvaltningspraksis. Kommunikasjon som virkemiddel benyttes derfor i stor grad for å spre informasjon om personvernets tilstand, samt til å skape debatt og gi uttrykk for synspunkter vi måtte ha som forvaltnings- og tilsynsorgan og i rollen som ombud. Kommunikasjon har naturlig nok også vært det dominerende virkemiddelet ved utøvelse av vår ombudsrolle. Dette blir blant annet gjort ved utspill og kommentarer overfor mediene, foredragsvirksomhet og blogginnlegg.

Organisatoriske, tekniske og økonomiske virkemidler

Deltagelse i ulike råd og utvalg er et godt virkemiddel for å best mulig kunne påvirke aktører til å etablere god praksis. Det samme gjelder deltagelse i arbeid knyttet til personvernfremmende teknologi og regelverksutvikling. Disse virkemidlene egner seg særlig på områder der det pågår større reformer og utviklingsarbeid, særlig dersom de er teknologidrevne. Stortingsmeldingen «Personvern – utsikter og utfordringer», Meld. St. 11 (2012–2013), fastsetter for eksempel et prinsipielt mål om innebygd personvern i alle sektorer. Det har derfor vært viktig å minne beslutningstagere om dette prinsippet i viktige prosesser.

Personvernombudsordningen er også et utpreget organisatorisk virkemiddel.

Når det gjelder overtredelsesgebyr og tvangsmulkt, er dette økonomiske virkemidler som er blitt tatt i bruk i flere saker i 2015.

Forsknings-, utviklings- og utredningsarbeid

Gjennom nær kontakt med miljøer i inn og utland som driver med forsknings- og utviklingsarbeid, setter vi oss selv bedre i stand til å sette personvernhensyn inn i en samfunnsmessig kontekst, og til å fange opp trender og utviklingstrekk på et tidlig stadium. Vår kontakt med forskningsmiljøer kan stimulere til forskning på personvern, samtidig som personvernhensyn også blir ivaretatt i annen forskning.

Vårt eget utredningsarbeid og kartlegginger utgjør også en viktig kilde til kunnskap. De gir dybde til ulike temaer vi jobber med og er med på å skape oppmerksomhet om personvernspørsmål. Resultater fra vårt forskning-, utviklings- og utredningsarbeid legges naturlig nok også til grunn ved bruk av de øvrige virkemidlene.

1.1.2 Organisasjon og budsjett

Datatilsynet ledes av direktør Bjørn Erik Thon. Ledergruppen består av fire menn og én kvinne.

I 2015 har Datatilsynet hatt 43 faste stillinger. Av disse var 56 prosent kvinner og 44 prosent menn. I løpet av året har fem medarbeidere sluttet (mot to året før). Av disse har én benyttet seg av AFP-ordningen og én har gått av med pensjon etter fylte 70 år.

Figur 1.1 Organisasjonskart per 31. desember 2015, med ledergruppe og gruppeledere

Budsjett

Når overføringene fra 2014 var gjort og tilleggsbevilgninger var lagt til, hadde vi totalt 40 959 000 kroner til disposisjon i 2015. Av dette fikk vi i revidert nasjonalbudsjett (RNB) 2 830 000 kroner til IKT og MVA-refusjon. Fordelt på lønn og drift, utgjorde lønnsutgiftene 30 300 000 kroner (74 prosent). Driftsutgiftene utgjorde 10 659 000 kroner (26 prosent).

Tabell 1.1 Oversikt over bevilgninger de siste årene

År | Bevilgning
2012 | 35 015 000,-
2013 | 37 753 000,-
2014 | 38 264 000,-
2015 | 37 262 000,-
RNB 2015 | 2 830 000,-
Totalt 2015 | 40 092 000,-

1.1.3 Tilsynsvirksomheten

Gjennomføring av tilsyn/kontroll er en viktig aktivitet for å nå målene våre. Vi skal gjennomføre tilsyn på prioriterte områder basert på risikoanalyse. Vi skal videre systematisere og kommunisere funnene, samt følge opp etterlevelsen av pålegg. Hvilke virksomheter vi faktisk velger å kontrollere, faller normalt i to kategorier; virksomheter hvor det antas å være en særskilt risiko, og representative virksomheter for å avdekke status i en sektor eller et tematisk område.

I 2015 gjennomførte vi totalt 54 tilsyn (se fullstendig oversikt under Vedlegg). I tillegg kommer bruk av kontrollhjemlene våre i 161 andre saker enn tilsynsvirksomheten. Til sammen utgjør dette dermed 215 saker.

I løpet av året gjennomførte vi flere tilsyn med internkontroll og informasjonssikkerhet i offentlig sektor for å påvirke til bedre etterlevelse av regelverket. Vi gjennomførte også kontroller med virksomheter som driver med samfunnsforskning. Kontrollene skal danne grunnlag for videre oppfølging av disse virksomhetene Videre ble det første tilsynet etter politiregisterloven gjennomført ved at vi kontrollerte DNA-registeret hos Kripos. Det ble dessuten gjennomført tilsyn med reiseselskap. Vi valgte oss ut reiseselskapene som en bransje med middels risiko hos de individuelle objektene, men hvor vi mener det er muligheter for å påvirke mange aktører gjennom oppfølging etter tilsynene. For øvrig har vi gjennomført tilsyn med et sentralt register i finanssektoren, felles pasientdatabaser i helsesektoren, bruk av nettsky og kryptering av kommunikasjonen hos store datasentre.

De mest sentrale tilsynene er nærmere beskrevet under Årets viktigste aktiviteter.

Generelle kommentarer

Det vi her regner som tilsyn, er våre kontroller med om regelverket er fulgt, og der det normalt blir utarbeidet en rapport i etterkant. Et tilsyn eller en kontroll blir vanligvis gjennomført ved at to eller tre medarbeidere fra Datatilsynet besøker en virksomhet.

Figur 1.2 Antall gjennomførte tilsyn de siste årene

I noen tilfeller gjennomføres planlagte kontroller som en skriftlig prosess, uten at vi er på fysisk besøk hos virksomheten. Dette er i tilfeller der det vi ønsker å undersøke er egnet å få avklart uten et stedlig oppmøte. I 2015 ble 39 av tilsynene gjennomført hos virksomhetene (stedlig tilsyn), mens 15 ble gjennomført via brev (brevlig tilsyn).

De brevlige tilsynene skiller seg fra bruk av de samme kontrollhjemlene i øvrig saksbehandling ved at de er en planlagt undersøkelse av konkrete forhold i virksomhetene. I 2015 ble brevlige tilsyn særlig vurdert som hensiktsmessig for den oppfølgingen vi hadde av samfunnsforskning og kryptering i datasentre.

Det har blitt gjennomført færre tilsyn i 2015 enn i de foregående årene, og færre enn vi hadde planlagt. Dette gjelder særlig tilsyn på helseområdet og justisområdet. Årsakene er utsettelser, omprioriteringer og noe sykefravær. Vi fristilte blant annet en medarbeider store deler av året for å bidra i sekretariatet til det digitale sårbarhetsutvalget, vi har prioritert opp arbeidet med personvernforordningen og kontrollen med DNA-registeret hos Kripos krevde en del ressurser. Som omtalt over, gjennomfører vi også kontroll med om regelverket følges i enkeltsaksbehandlingen utover det som fremgår som enkelttilsyn her. Reduksjonen i kontrollaktiviteten vår er derfor ikke så betydelig som tallet på antall gjennomførte tilsyn skulle tilsi.

Figur 1.3 Gjennomførte tilsyn fordelt på områder

Tabell 1.2 Oversikt over kontrollene vi gjennomførte i 2015, fordelt på stedlige og brevlige tilsyn

Bransje/sektor/område | Stedlig | Brevlig | Totalt
Arbeidsliv | 3 | 0 | 3
Finanssektoren | 1 | 0 | 1
Helsesektoren | 1 | 4 | 5
Reiseselskap | 5 | 0 | 5
Justissektoren | 1 | 0 | 1
Kameraovervåking | 8 | 0 | 8
Offentlige etaters internkontroll | 15 | 0 | 15
Forskning | 3 | 6 | 9
Kryptering | 0 | 3 | 3
Andre | 2 | 2 | 4
Sum | 39 | 15 | 54

Funn fra tilsyn – avvik

Funn som blir gjort under tilsyn, kategoriseres som avvik. Det vil si at vi har vurdert praksisen hos den kontrollerte virksomheten til å være et avvik fra krav i regelverket. Hvilke avvik vi finner, avhenger naturligvis av hva som ble kontrollert, noe som varierer med tema for kontrollen.

Spesielle funn fra enkelttilsyn er omtalt under Årets viktigste aktiviteter. Vi vil likevel på generelt grunnlag fremheve at vi fremdeles ser systematiske avvik i offentlig sektor knyttet til internkontroll, informasjonssikkerhet og etablering av databehandleravtaler.

Kommunikasjon av funn

Funn fra våre tilsyn blir samlet og systematisert i kontrollrapporter. Foreløpige rapporter blir først sendt til tilsynsobjektet, tilbakemeldinger blir vurdert og så utformes det til slutt en endelig rapport.

De fleste rapportene publiseres på datatilsynet.no slik at andre aktører i tilsvarende bransje kan lese om funn og hva vi er opptatt av. Videre stadfester rapportene vår forvaltningspraksis innen de aktuelle feltene.

Rapportene gjøres også tilgjengelig via Offentlig elektronisk postjournal (OEP) og får derfor ofte også medieomtale, både i lokale, regionale og nasjonale medier.

Utover dette brukes funnene i dialog med bransjeforeninger, sektormyndigheter og andre sentrale aktører som tar utfordringene videre. Funn fra tilsyn presenteres også på relevante foredrag.

Noen gjennomførte og planlagte aktiviteter for å følge opp tilsynene som ble gjennomført i 2015:

I tilsynsprosjektet med reiseselskaper, gjennomførte vi først noen få tilsyn, før vi hadde dialog med bransjeforeninger (NHO og Virke) for å påvirke disse til å utarbeide veiledningsmateriell for bransjen. Det arbeides nå med veiledning, og vi vil ha dialog med foreningene i forbindelse med ferdigstilling av materialet. Bred etterlevelse av regelverket får vi først når sektorer selv arbeider for etterlevelse. Formålet med prosjektet er derfor å initiere slike prosesser med kun en begrenset ressursbruk fra vår side.

Kontroller med kommuner over flere år, og særlig bruk av overtredelsesgebyr etter tilsyn gjennomført i 2014, har ført til en konstruktiv dialog med Kommunenes arbeidsgiver-, interesse- og medlemsorganisasjon (KS) om hvordan det kan legges bedre til rette for kommuners regelverksetterlevelse.

Etter tilsyn med kameraovervåking i regi av lokalt politi er det tatt kontakt med Politidirektoratet for å koordinere rammene og omfanget av slik overvåking

I forbindelse med kontroll av kryptering av datasentertrafikk, er vår veiledning på området oppdatert i samråd med Nasjonal sikkerhetsmyndighet (NSM), og våre beslutninger vil gjøres kjent for sektoren i den grad det ikke eksponerer sårbarheter hos de kontrollerte virksomhetene.

Funn og avgjørelser etter tilsynene med virksomheter som driver med samfunnsforskning, vil bli kommunisert tilbake til sektoren. For øvrig er disse tilsynene ikke analysert i tilstrekkelig grad til at andre tiltak er bestemt.

Etterkontroller

I 2015 gjennomførte vi etterkontroll med to kommuner der tema var internkontroll og informasjonssikkerhet. Videre gjennomførte vi etterkontroll med Husbanken og med en kommunes bruk av skytjenester. I tillegg legger vi fremdeles negative svar om etterlevelse av internkontrollplikten fra kommuneundersøkelsen vår i 2010 og 2011 til grunn ved utvelgelsen av tilsynsobjekter i kommunesektoren.

1.1.4 Saksbehandlingen

Saksbehandling utgjør en stor del av oppgaveløsningen i Datatilsynet, og det er mange brukere som har en forventning om at vi kan behandle alle sakene vi får inn. Vi har også i 2015 jobbet for å ha en så effektiv avvikling av saker som mulig gjennom å prioritere hvilke saker vi skal ta opp til behandling og ved å vurdere hvordan vi jobber med de enkelte sakstypene. I den anledning har vi revidert prioriteringskriteriene vi skal bruke fremover. I forlengelsen av dette arbeidet skal vi i 2016 gå gjennom de interne arbeidsprosessene våre. Vi skal kontinuerlig se etter forbedringer og effektivisering som en del av hvordan vi arbeider.

Forslag til endring i regler for konsesjon og meldeplikt

Som en del av Kommunal- og moderniseringsdepartementets (KMD) arbeid med redusere tidstyver, har vi kommet med forslag om å oppheve konsesjons- og/eller meldeplikten for flere nærmere angitte behandlinger av personopplysninger. De behandlingene vi foreslår å oppheve fra plikten, oppleves som tidstyver for de behandlingsansvarlige. Samtidig har de liten informasjonsverdi for publikum som søker etter informasjon om behandling av egne personopplysninger.

Kameraovervåking er en av behandlingene som er foreslått unntatt fra meldeplikten. Det samme gjelder varsling av kritikkverdige forhold i arbeidslivet, samt behandling av personopplysninger ved bruk av kjørebok/flåtestyring.

Vi har dessuten foreslått overfor Helse- og omsorgsdepartementet at det blir utarbeidet en forskrift for behandling av helseopplysninger i befolkningsundersøkelser i stedet for at vi gir konsesjon til denne typen undersøkelser.

Antall saker og saksdokumenter

I løpet av meldingsåret ble det registrert 1 374 nye saker hos Datatilsynet, noe som er en liten nedgang sammenliknet med året før. Volummessig synes 2015 som et ganske normalt år i denne sammenheng. Nedgangen i antall saker og antall innregistrerte dokumenter er omtrent like stor (om lag 6,5 prosent), noe som viser at sakene inneholder like mange dokumenter som i 2014. Det er en indikasjon på at kompleksiteten økte frem til 2014og har deretter vært stabilt.

Figur 1.4 Antall nye journalførte saker de siste årene

Figur 1.5 Antall journalførte dokumenter (ikke interne) de siste årene

Saksomkostninger

Generelt merker vi også en viss profesjonalisering av henvendelsene til oss. Flere benytter seg av advokatbistand enn tidligere. Vi har for eksempel hatt flere saker om dekning av advokatkostnader i meldingsåret enn tidligere. Vi har også hatt klagesaker med dette som tema i Personvernnemda, samt én som er påklaget til KMD.

Konsesjoner

Det er en av Datatilsynets lovpålagte oppgaver å ta stilling til konsesjonssøknader. I 2015 mottok vi totalt 249 søknader om konsesjon, og innvilget til sammen 192. Dette er en liten oppgang i forhold til søknader og gitte konsesjoner i 2014.

Figur 1.6 Antall konsesjonssøknader og gitte konsesjoner de siste årene

De fleste konsesjonssøknadene gjelder forskning eller opprettelse av registre innen helsesektoren. Arbeidet med konsesjoner er, ved siden av kontrollsakene, de mest arbeidskrevende oppgavene vi har. Det er viktig å huske at behandling av konsesjonssøknader i realiteten er en forhåndskontroll av om de som søker har tilstrekkelig rettslig grunnlag for det de ønsker å gjøre.

Forhåndskontrollen kan også omfatte andre deler av personopplysningslovens krav, for eksempel om virksomhetene har på plass tilstrekkelige rutiner for internkontroll. Vi kan gjennom konsesjonsarbeidet også kompensere for personvernulemper som behandlingen eventuelt fører med seg ved å stille vilkår for den aktuelle behandlingen.

Vedtak og klageomfang

Vi har fattet 595 vedtak i 2015. Det er en økning sammenliknet med tidligere år.

Figur 1.7 Antall vedtak fattet av Datatilsynet de siste årene, og antall klager på disse

De fleste av beslutningene knytter seg til behandling av konsesjonssaker som utgjør om lag 35 prosent.

Tallene i år fremkommer av en kategorisering av dokumenter i vårt saksbehandlingssystem hvor saksbehandler angir med stikkord hva dokumentet inneholder. Dette er nytt for 2015. Tidligere har vi kommet frem til tallene etter manuelle tellinger. Det vil si at det er en viss usikkerhet i tallene, men vi mener trenden likevel er tydelig – vi fatter stadig flere vedtak.

Klageomfanget er fortsatt svært lavt sammenlignet med antallet avgjørelser vi fatter i form av vedtak. Vi opplever stort sett at vedtakene våre blir akseptert. Vi har fortsatt utfordringer knyttet til beslutninger om ikke å ta opp saker til behandling. Personvernnemnda tok i 2014 konkret stilling til en del saker om våre prioriteringer. Nemnda har imidlertid ikke avgjort spørsmålet om denne typen beslutninger faktisk kan påklages. Datatilsynet vil prøve å få en endelig avklaring på dette spørsmålet via Justisdepartementet i 2016. Det er ønskelig med en slik av klaring da klagebehandling er ressurskrevende, og vi ønsker forutsigbarhet på hvilke beslutninger vi kan gjøre med endelig virkning.

Saker oversendt Personvernnemnda

I 2015 sendte vi 15 saker til Personvernnemnda. Det er færre enn året før, men sammenlignet med tidligere år er det ikke et unormalt lavt antall. Av de sakene som er sendt over i 2015, er det så få som er avgjort av nemnda at det ikke er utarbeidet noen statistikk over i hvilken grad klagene er gitt medhold eller ikke. Kun to av sakene fra 2015 er behandlet av nemnda ved årets slutt.

Figur 1.8 Antall saker oversendt til Personvernnemnda de siste årene

Fullstendig oversikt over antall saker som ble oversendt til nemda kan sees under Vedlegg. Der er det også tatt med tre saker vi sendte over i 2014, men som ble registrert hos Personvernnemnda i 2015. Som oversikten viser er en av disse sakene heller ikke ferdig behandlet.

Erfaringen generelt er som tidligere at vi opplever at vi i tilstrekkelig grad får medhold i sakene vi sender til Personvernnemnda. Saker som blir gjort om, er typisk saker som er komplekse eller som inneholder problemstillinger knyttet til samfunnsutvikling og ny teknologi.

Datatilsynet som høringsinstans

I 2015 har vi gitt merknader til 39 høringer vi har mottatt, noe som er et normalt omfang, selv om det er mottatt flere invitasjoner enn tidligere (se fullstendig liste over høringene under Vedlegg). På samme måte som i 2014, er det Justisdepartementet vi avgir flest høringsuttalelser med merknader til.

Vi mener at vi i 2015 har lykkes godt med velge ut de høringssakene som har konsekvenser for personvernet, og at vi har hatt rimelig godgjennomslagskraft med våre uttalelser. Les mer om enkelthøringer innenfor de respektive fagområdene under Årets viktigste aktiviteter.

Tabell 1.3 Oversikt over antall høringer vi har fått til vurdering de siste årene

| 2012 | 2013 | 2014 | 2015
Totalt antall høringer | 163 | 134 | 140 | 166

Figur 1.9 Oversikt over hvordan høringene er behandlet de siste årene

Avviksmeldinger

Hendelser som har medført uautorisert utlevering av personopplysninger der konfidensialitet er nødvendig, skal rapporteres til Datatilsynet (personopplysningsforskriften § 2-6).

Figur 1.10 Antall registrerte avviksmeldinger de siste årene

Rapporterte avvik er en indikator på hvor godt virksomhetene fanger opp avvik og kjenner til rapporteringsplikten for disse.

Frem til 2014 så vi en økning i antall avvik som ble meldt inn til oss, mens i 2015 var det derimot en nedgang i meldte avvik.

Figur 1.11 Meldepliktig avvik etter § 2-6?

I meldingsåret analyserte vi sakene fra 2014 for å se om de faktisk var meldepliktige etter personopplysningsforskriften. Konklusjonen var at de fleste sakene falt innunder plikten som følger av § 26, og at en svært liten andel av sakene falt klart utenfor.

Analysen avdekket også at den vanligste grunnen til å melde avvik til Datatilsynet er feilforsendelser. Hele 48 prosent av avviksmeldingene som ble registrert i 2014 var rapporter om feilsendinger – analoge og digitale.

Erfaringen er imidlertid at kjennskapen til personvernreglene (og dermed også plikten etter § 26) er liten, og at en nedgang i antallet saker meldt inn til oss indikerer at tilstanden ikke har bedret seg når det gjelder uønskede hendelser. Det blir interessant å følge med utviklingen videre. Forslaget til ny personvernforordning inneholder nye regler for avvikshåndtering, og det ligger an til at plikten til å melde avvik blir videre enn den er i dag.

Bruk av administrative sanksjoner

Vi benytter oss av administrative sanksjoner kun i et fåtall saker. Som en etterfølgende sanksjon kan vi utstede overtredelsesgebyr, mens for å sikre gjennomføring av vedtak, kan vi pålegge tvangsmulkt (for eksempel et beløp per dag) frem til våre pålegg er etterkommet. Sanksjoner av denne typen er, og skal være, forbeholdt de mer alvorlige overtredelsene som i høy grad utfordrer rettighetene loven gir den registrerte. Vi har ikke benyttet tvangsmulkt i løpet av året.

I sakene hvor vi benytter overtredelsesgebyr, er det særlig konsekvensene av bruddet vi vurderer. Vi ser også på maktforholdet mellom behandlingsansvarlig og individ. Det siste er typisk i arbeidslivssaker om ulovlig innsyn i e-post og bruk av opplysninger fra kjørebøker til andre formål enn det som er avtalt.

Vi har hatt flere saker hvor personopplysninger innhentet ved bruk av overvåkingskameraer har blitt publisert på internett eller det har skjedd annen ulovlig utlevering. Dette er en bruk av opplysninger den registrerte (den avbildede) ikke kan vegre seg mot på noen effektiv måte. Noen av sakene minner om selvtekt, da den behandlingsansvarlige ønsker informasjon om personer de mener begår lovbrudd. Dette er primært politiets oppgave og utlevering til andre enn politiet er ikke tillatt, og anses som et grovt brudd på dette forbudet. Derfor er overtredelsesgebyr benyttet i slike tilfeller.

Erfaringen viser at når noe først er publisert på nett, mister avsenderen kontrollen over opplysningene og potensialet for at det blir en varig krenkelse av personvernet er stor. Dette hensynet er med på å begrunne hvorfor Datatilsynet reagerer med overtredelsesgebyr i slike saker.

Mange av de offentlige virksomhetene vi har kontrollert har dessuten så store mangler i sin internkontroll at vi har sett oss nødt til å ilegge overtredelsesgebyr. Et mangelfullt, eller fravær av, internkontrollsystem øker potensialet for brudd på personopplysningsloven. Større virksomheter er mer sårbare for feil uten en systematisk oppfølging av at rutiner følges – rutiner som er ment å sikre etterlevelse av plikter. Denne økte risikoen for at personopplysningsloven ikke følges, er grunnen til at vi ser alvorlig på mangler ved internkontrollen.

Flere av de konkrete sakene der det er gitt overtredelsesgebyr, er nærmere omtalt innenfor de respektive fagområdene i Årets viktigste aktiviteter. Se for øvrig fullstendig liste over hvilke virksomheter vi har gitt overtredelsesgebyr under Vedlegg.

Restanser

Datatilsynet har som mål at saker og henvendelser skal være besvart eller håndtert på annen måte innen ti uker. De aller fleste sakene og henvendelsene blir besvart med en gang eller i løpet av fire uker.

Figur 1.12 Utviklingen av andelen restanser de siste årene

Ved årsskiftet hadde 3,4 prosent av sakene tatt mer enn ti uker å behandle. Det er noe dårligere enn tidligere år. Det er likevel ikke alarmerende og kommer av økt fravær av medarbeidere i noen av faggruppene deler av året. Det positive er at vi som i fjor ikke har saker eldre enn 12 måneder. Vi mener vi har god kontroll på saksmengden ved å etablere rutiner for oppfølging av eldre saker.

Offentlighetsloven og innsynskrav

I 2015 håndterte Datatilsynet innsynskrav om til sammen 2 109 dokumenter via elektronisk postjournal (OEP), noe som er omtrent som året før. Vi har laget interne rutiner som fungerer godt med en god fordeling mellom dokumenter som sendes ut direkte fra arkivet og dokumenter som vurderes av saksbehandler. Når et dokument er vurdert én gang gjenbrukes denne beslutningen dersom opplysningene bes utlevert på nytt. Vi sender naturlig nok ut en del dokumenter hvor bare deler av opplysningene er offentlige.

Figur 1.13 Tall fra elektronisk postjournal (OEP)

* Vi har ikke tall fra OEP på antall avslag på innsyn eller sladdede dokumenter som ble sendt ut fra tidligere enn 2013.

Vi forsøker hele tiden å etterleve reglene om meroffentlighet. Vi ser en forsiktig økning i antallet sladdede dokumenter som vi har sendt ut. Det mener vi er en naturlig utvikling ettersom kompleksiteten i sakene øker og mengden beskyttelsesverdig informasjon som vi mottar synes å øke. Vi har i forbindelse med en del kontroller bedt om sikkerhetsdokumentasjon som vi i stor grad ikke leverer ut, eller bare leverer ut delvis.

Vi benytter betydelige ressurser på denne oppgaven, men planlegger i 2016 å benytte digitale kommunikasjonsløsninger direkte fra saksbehandlingssystemet i større grad enn vi har gjort i 2015.

1.1.5 Veiledningstjenesten

Datatilsynets veiledningstjeneste er et lavterskeltilbud for publikum som har spørsmål om behandling av personopplysninger. Et viktig mål med tjenesten er å gjøre enkeltpersoner i stand til å ivareta egne interesser i saker som gjelder personvern, og virksomheter til å følge pliktene i personvernlovgivningen.

Det er stort spenn i spørsmålene, og de er av både juridisk, teknisk og sikkerhetsmessig art. Svarene vi gir er av veiledende karakter og er ikke bestemmende for rettigheter eller plikter, i motsetning til vedtak som fattes i den mer tradisjonelle saksbehandling.

I løpet av 2015 har veiledningstjenesten besvart 8 727 henvendelser. Dette består av 3 081 henvendelser på e-post og 5 646 per telefon. Antallet er ganske likt året før, men vi ser en liten nedgang med 306 færre henvendelser totalt. Nedgangen er primært en reduksjon i antallet e-posthenvendelser.

Figur 1.14 Henvendelser til veiledningstjenesten de siste årene, fordelt på telefon og e-post

Det har de siste ti årene vært en nedgang i antall telefonhenvendelser. Hva forklaringen på det er, er vanskelig å si, men kanskje er stadig mer oversiktlige og utfyllende nettsider noe av forklaringen.

Figur 1.15 Telefon og e-post over tid

Hva handler henvendelsene om?

Figur 1.16 Henvendelser til veiledningstjenesten i 2015 fordelt på kategorier

Tabell 1.4 Oversikt over antall henvendelser til veiledningstjenesten de siste årene fordelt på ulike kategorier

Kategori | 2012 | 2013 | 2014 | 2015
Arbeidsliv | 1 201 | 1 642 | 1 798 | 1 791
Register (helse-, kreditt-, kunde-, medlems- og offentlige) | 985 | 1 118 | 1 301 | 1 223
Kameraovervåking | 965 | 1 302 | 1 148 | 1 053
Internett | 689 | 705 | 741 | 568
Melding/konsesjon | 675 | 711 | 766 | 752
Fødselsnummer | 424 | 405 | 495 | 331
Informasjonssikkerhet | - | - | 376 | 600
Skole/barnehage | - | - | 265 | 253
Lydopptak | - | - | 204 | 194
Annet | 1 911 | 1 695 | 1 939 | 1 962
Totalt | 6 850 | 7 578 | 9 033 | 8 727

Tabellen viser at antallet henvendelser innen hver kategori i hovedtrekk har vært ganske stabilt de siste fire årene. Antall henvendelser innen kategorien «Informasjonssikkerhet», har imidlertid gått opp fra 276 til 600 henvendelser siden året før, noe som er en oppgang på 60 prosent. Ellers ser vi en nedgang på 23 prosent i internettrelaterte spørsmål, samt 33 prosent nedgang i spørsmål om fødselsnummer.

Når det gjelder informasjonssikkerhet, kan oppgangen i antall henvendelser delvis skyldes endring i praksis for hvordan sikkerhetshenvendelser blir behandlet og registrert. I 2015 var Safe Harbor og ny EU-forordning to store enkelttemaer for Datatilsynet. Vi har ikke tall på hvor mange telefon-henvendelser vi har fått om dette, men på e-post fikk vi 25 henvendelser som nevner Safe Harbor, og rundt halvparten av dette angående den nye forordningen.

Figur 1.17 Utviklingen av henvendelser til veiledningstjenesten de siste årene, innenfor kategoriene

En beskrivelse av innholdet i henvendelsene

Her følger en kort oppsummering av de mest sentrale temaene innen hver av kategoriene. Merk at tallene ikke vil være fullstendig dekkende, da flere av temaene vi får spørsmål om vil kunne plasseres i ulike kategorier.

Arbeidsliv

Hele 21 prosent av henvendelsene til veiledningstjenesten dreide seg om arbeidslivsrelaterte spørsmål. Mange av spørsmålene handler om kontroll og overvåking av ansatte. Mange har spørsmål om kameraovervåking på arbeidsplassen, innsyn og sletting av ansattes e-post, samt adgangskontroll og logging av arbeidsinnsats. Vi får også spørsmål om bruk av GPS-sporing og annen sporing av ansatte.

Register

14 prosent av henvendelsene var ulike spørsmål knyttet til en eller annen form for register. Det vil si spørsmål om hva som kan registreres i ulike registre, når og hvordan man kan kreve å få slettet informasjon og hvem som har tilgang til opplysningene i registrene. Videre får tjenesten en del spørsmål om i hvilken grad det kan utleveres informasjon fra et register til en tredjepart.

Det er flest henvendelser knyttet til kunde- og medlemsregistre, men det er også mange spørsmål knyttet til offentlige registre, samt helseregistre og registrering i forbindelse med kredittopplysningsvirksomhet.

Kameraovervåking

Kameraovervåking er en annen stor kategori som utgjorde 12 prosent av henvendelsene. Kameraovervåking i arbeidslivet kategoriseres under «Arbeidsliv», derfor er den totale andelen henvendelser innen dette temaet i realiteten noe høyere.

Kameraovervåking i borettslag og i nabosituasjoner er henvendelser som går igjen. Andre henvendelser gjelder bruk av webkamera, samt spørsmål om lovligheten av kameraer i for eksempel naturen eller i båthavner. Tjenesten får også en del spørsmål fra virksomheter som har, eller ønsker å sette igang, kameraovervåking.

Melding og konsesjon

Åtte prosent av henvendelsene gjaldt spørsmål om hvorvidt en behandling er melde- eller konsesjonspliktig, og hvordan melding og konsesjon skal leveres. En del av spørsmålene handlet også om endring og oppfølging av melding og konsesjon.

Informasjonssikkerhet

Sju prosent av henvendelsene gjaldt informasjonssikkerhet. Spørsmålene handler gjerne om sikker forsendelse, samt overføring og lagring av personopplysninger, både fysisk og elektronisk. Bruk av skytjenester og kryptering er temaer som går igjen. Det kommer også inn en del spørsmål om bruk av SMS og e-post til forsendelse av informasjon.

Henvendelser som gjelder dokumenter eller personopplysninger som har kommet på avveier og generelle henvendelser om hvilke plikter som gjelder med tanke på informasjonssikkerhet, faller også inn under denne kategorien.

Merk at spørsmål om informasjonssikkerhet også kan falle inn under de andre kategoriene. Totalt antall henvendelser om dette temaet til veiledningstjenesten, er derfor en del høyere enn det som fremgår her.

Internett

Ulike henvendelser om internett sto for sju prosent av henvendelsene. Mange av spørsmålene handler om sletting av uønsket informasjon. En god del av disse gjelder retten til å bli glemt, som følge av den såkalte Google-dommen. Denne dommen gir den registrerte mulighet til å få avindeksert søketreff med informasjon som er feil, irrelevant eller ikke lengre aktuell.

Tjenesten mottar også en god del spørsmål om regler for bruk av sosiale medier, og publisering av bilder på nett utgjør en stor del av disse. Veiledningstjenesten får ellers en del spørsmål om kontroll, sporing og sikkerhet på internett. Mange er bekymret for om deres personopplysninger er trygge på internett og de er redde for identitetstyveri.

Fødselsnummer

Denne kategorien har eksistert i mange år, og antallet henvendelser om dette har hatt en svak nedgang de siste årene. Selv om det er et snevert tema, utgjør det fire prosent av henvendelsene. Spørsmålene knytter seg først og fremst til bekymrede privatpersoner som har opplevd at fødselsnummeret kommer på avveier, eller som føler ubehag ved å måtte oppgi fødselsnummeret sitt i ulike sammenhenger. Det er også noen spørsmål fra virksomheter om hvorvidt de har lov til å benytte seg av fødselsnummer.

Skole og barnehage

Dette er en relativt liten kategori og omfattet tre prosent av henvendelsene til tjenesten. Skole og barnehage var et satsningsområde for Datatilsynet i både 2014 og 2015. Flere av henvendelsene er knyttet til informasjonssikkerhet, som for eksempel ved bruk av læringsplattformer og lagring i skytjenester. Andre spørsmål gjaldt hvilke opplysninger som kan lagres om barnet, hvor lenge opplysningene kan oppbevares og hvilke opplysninger som kan overføres mellom skole og barnehage. Det er også en del henvendelser om fotografering og filming av barn.

Lydopptak

Denne kategorien utgjorde bare én prosent av henvendelsene. De fleste spørsmålene handlet om kunder som lurer på om virksomheten de har snakket med på telefon har lov til å gjøre lydopptak av samtalene.

Annet

Kategorien «Annet» inneholder 22 prosent av alle henvendelsene. Den største andelen i denne kategorien er henvendelser som vi ikke finner plass til ellers i kategoriseringen. Dette er ofte spørsmål som faller utenfor personvernlovgivningen. Et eksempel kan være spørsmål om bruk av personopplysninger til journalistiske formål. Ellers er det spørsmål om generell veiledning i personopplysningsloven, om overføring av personopplysninger til utlandet og om databehandleravtaler. Det er også her vi registrerer personvernspørsmål som er regulert av andre lover, slik som spørsmål knyttet til offentlighetsloven eller om brudd på taushetsplikt etter forvaltningsloven.

1.1.6 Kommunikasjonsvirksomheten

Personvernlovgivningen legger i stor grad ansvaret på den enkelte når det gjelder å ivareta eget personvern. Samtidig har virksomheter som behandler personopplysninger plikt til å etterleve lovgivningen på området. Dette gjelder både offentlige etater, private organisasjoner og næringsdrivende. Fordi privatpersoner, offentlige aktører og private virksomheter har så forskjellige behov, stiller dette store krav til hvordan vi legger opp kommunikasjonsvirksomheten i Datatilsynet.

Vi har som strategisk satsing at vi skal bidra til økt kunnskap om og interesse for personvern. Vi skal også jobbe for at andre aktører tar personvernhensyn. Vi skal sette borgeren i stand til å ta vare på sitt eget personvern, og vi skal ha stor synlighet i personverndebatten.

Kommunikasjonsarbeidet i Datatilsynet skal være basert på statens kommunikasjonspolitikk og gjeldende regelverk, slik som offentlighetsloven og forvaltningsloven. Videre heter det i virksomhetsinstruksen fra Kommunal- og moderniseringsdepartementet at vi skal ha en aktiv holdning til kommunikasjon, både internt og eksternt. Det er viktig at vi fanger opp signaler som angår Datatilsynet, og at vi bruker dette aktivt i kommunikasjonsarbeidet. Kommunikasjon skjer i første rekke gjennom nettstedet vårt, direkte veiledning overfor publikum, aktiv mediekontakt og gjennom en utstrakt foredragsvirksomhet.

Nettstedet www.datatilsynet.no

Nettstedet er selve navet i all vår kommunikasjonsvirksomhet og må derfor forvaltes deretter. Vi legger betydelig vekt på at innholdet skal være relevant, korrekt og godt tilpasset brukerne. Vi arbeider derfor kontinuerlig med å vedlikeholde og strukturere innholdet, samtidig som vi også må videreutvikle nettstedet på en god måte.

Antall besøkende, røkting og organisering av arbeidet

Størrelsen på nettstedet er et viktig styringsparameter. Nettstedet skal ikke vokse ukontrollert, og nettsider skal redigeres og slettes når de blir gamle og overflødige. Antallet sider på datatilsynet.no har ikke steget med mer enn 60 i løpet av 2015, ifølge Google Site Search. Det kan leses som en indikasjon på at nettstedet røktes på en god måte.

Antallet besøk på nettstedet går imidlertid ned. Dette er i tråd med en mer generell utvikling. Samtidig ser vi at hver besøkende på datatilsynet.no oppsøker noen flere sider, altså at de blir lenger når de først har kommet inn.

Tabell 1.5 Oversikt over nøkkeltall fra nettstatistikken på datatilsynet.no

| 2014 | 2015
Antall sider på nettstedet (Google site search) | 2 300 | 2 360
Antall besøk til nettstedet | 185 000 | 148 000
Antall sidevisninger | 460 000 | 413 000
Antall sidevisninger pr besøk | 2,4 | 2,7
Gjennomsnittlig besøksvarighet | 3 min og 29 sek | 3 min og 47 sek
Antall søk i søkemotoren på datatilsynet.no | 30 000 | 36 300
Andel besøk fra mobile enheter | 16 prosent | 16 prosent
Antall publiserte nyhetssaker | 63 | 58

Personvernblogg, sosiale medier og debattinnlegg

Personvernbloggen.no er nå godt etablert etter nær tre års drift. Den fungerer etter intensjonen og er et rom hvor vi kan reise andre problemstillinger, og ta opp andre temaer, enn vi kan på den ordinære nettsiden. Sjangermessig og i temavalgene har bloggen funnet sin form, og i løpet av 2015 har vi fått nye skribenter blant de ansatte.

Vi følger systematisk med på omtale av Datatilsynet og temaet personvern på Twitter, og besvarer raskt de fleste spørsmål og kommentarer som kommer via denne kanalen. Vi har i 2015 hatt ni kronikker og debattinnlegg i ulike papirbaserte medier. Vi har også produsert flere fagartikler som er blitt tatt inn i fagblader knyttet til skole, barn og unge.

Tabell 1.6 Oversikt over noen sentrale tall

| 2012 | 2013 | 2014 | 2015
Innlegg på Personvernbloggen | – | 41 | 50 | 40
Besøk på Personvernbloggen | – | 8 000 | 20 000 | –*
Twittermeldinger | 391 | 220 | 193 | 177
Twitterfølgere | 7 500 | 10 065 | 12 392 | 14 100
Kronikker og debattinnlegg i andre medier | 10 | 8 | 9 | 9

* Vi har ikke besøkstall for Personvernbloggen for 2015 på grunn av en feil i statistikkverktøyet.

Mediekontakt

I løpet av året har Datatilsynet registrert 650 besvarte mediehenvendelser. Det er noe lavere enn året før.

Tabell 1.7 Mediehenvendelser

| 2012 | 2013 | 2014 | 2015
Mediehenvendelser | 876 | 850 | 800 | 650

Registreringssystemet vårt er etablert til bruk av kommunikasjonsavdelingens medarbeidere for å sikre en best mulig oversikt og koordinering i vår kontakt med mediene. I tallene inngår derfor ikke mediehenvendelser som går direkte til direktøren, øvrig ledelse eller fagdirektører. Det reelle antallet er derfor noe høyere enn de registrerte henvendelsene. Medieovervåkingstjenesten Opoint har registrert til sammen 1 843 oppslag i norske nettbaserte medier hvor Datatilsynet er nevnt.

Figur 1.18 Antall medieoppslag med omtale av Datatilsynet – registrert i Opoint

Som det går fram av figuren over, var det flest omtaler av Datatilsynet i media i januar, august og oktober. Dette skyldes enkelte saker som fikk særlig stor oppmerksomhet. Noen av temaene som fikk omtale gjennom året var:

Den internasjonale personverndagen 28. januar, og konferansen Teknologirådet og Datatilsynet arrangerte i fellesskap i den anledning

Justisdepartementets forslag om mobilregulerte soner

Kunnskapsdepartementet vil kartlegge barn uten foresattes samtykke

Barn og unges personvern. Overvåking fra foreldrenes side, og publisering av bilder av barn.

Retten til å bli glemt. Søkemotorer og av-indeksering. (EU-domstolen og Google)

Kameraovervåking – i drosje, båthavn, restaurant, i politiets regi og lignende

Overtredelsesgebyr til kommuner og statlige etater for manglende internkontroll

Overtredelsesgebyr til Justisdepartementet for publisering av sensitive personopplysninger i egenprodusert film

Forskning på fremmedkrigere – påstand om at Datatilsynet hadde stoppet forskningen

Universitetet i Oslo publiserte fødselsnummer på Internett – igjen

Bruk av «black box» i bil for billigere forsikring

Avtale om overføring av personopplysninger til USA (Safe Harbor) kjent ugyldig av EU-domstolen

Facebook – nye tjenester og brukervilkår

Tingenes internett, bruk av smartteknologi

Kommersialisering av personopplysninger – kartlegging og rapport fra Datatilsynet

Enighet i EU om nye felles personvernregler (personvernforordning)

Det er NRK.no som har flest omtaler av Datatilsynet, fulgt av Aftenposten og Adresseavisen.

Personvern knyttet til medienes publisering av skattelister har tidligere år fått svært stor oppmerksomhet. I 2015 mottok vi imidlertid kun to mediehenvendelser om temaet og det ble bare et par mindre oppslag om muligheten til å gjøre anonyme søk. Skattelisteopplysningene behandles nå på en måte som i liten grad vekker kritiske reaksjoner.

Vi har også i meldingsåret lagt en del innsats i å ta initiativ til redaksjonelle artikler og nyhetsinnslag. Vi har særlig fått mange medieoppslag basert på egne initiativ når det gjelder barn og unges personvern. Det gjelder nærmere bestemt foreldres publisering av bilder av egne barn, GPS-overvåking og nettvett. Læringsressursen Dubestemmer.no, om personvern og nettvett, har også fått god markedsføring via redaksjonell omtale. Du Bestemmer-prosjektet er nærmere omtalt under Årets viktigste Aktiviteter, Barn skole og utdanning.

Det er viktig for oss å benytte alle de mulighetene vi får til å skape oppmerksomhet og debatt om personvernspørsmål. Vi legger derfor stor vekt på å prioritere deltakelse i debatter i radio og på TV om temaer som berører personvernet. I meldingsåret har vi for eksempel deltatt jevnlig i NRKs Dagsnytt 18, NRK Ekko og NRK Kulturnytt. Vi har videre stilt opp ved flere anledninger i TV2 Nyhetskanalen.

Foredragsvirksomheten

I tillegg til synlighet i mediene legger vi også vekt på å være tilstede på arenaer der vi møter representanter fra virksomheter, interesseorganisasjoner og andre aktører. Å stille med foredragsholdere, innledere, holde innlegg eller delta i paneldebatter på ulike arrangementer, er en viktig del av dette arbeidet.

Tabell 1.8 Foredrag på eksterne arrangementer

| 2012 | 2013 | 2014 | 2015
Antall | 118 | 149 | 170 | 159

I 2015 har vi holdt 159 foredrag på eksterne arrangementer, mot 170 året før. Vi får en rekke forespørsler om å holde foredrag gjennom hele året. Disse forespørslene vurderer vi ut fra satsingsområdene i virksomhetsplanen vår, antall deltakere, tema og kapasitet på aktuelt tidspunkt. Vi har et mål om å holde mellom 120 og 150 eksterne foredrag i løpet av året.

Foruten generelle foredrag om personvern, overvåking og Datatilsynets oppgaver, har vi holdt flest foredrag om:

informasjonssikkerhet og internkontroll

skytjenester

helse, særlig om velferdsteknologi og tilgangsstyring

Big Data og kommersiell utnyttelse av personopplysninger

Vi så også en økning i forespørsler om å holde foredrag om EUs nye personvernforordning og Safe Harbor. Dette er tema som nok vil bli enda mer aktuelle i 2016.

1.2 Årets viktigste aktiviteter

1.2.1 Justissektoren

Individets rett til å bestemme over egne personopplysninger gjelder ikke uinnskrenket. I justissektoren finnes det flere tungtveiende hensyn som taler for at staten kan gripe inn i den enkeltes rettssfære. I mange tilfeller behandler offentlige myndigheter personopplysninger uten at den enkelte kan kontrollere eller påvirke det. Retten til informasjon er dessuten begrenset. Som et resultat av dette, har hver enkelt færre muligheter til å ivareta sine interesser enn ellers. Det er derfor særlig viktig at tilsynsmyndighetene ser etter at individets rettigheter ivaretas på disse områdene.

Datatilsynet spiller, ved siden av politiet selv, en sentral rolle når det gjelder etterlevelse av politiregisterloven som trådte i kraft i 2014. Vi skal føre tilsyn med at loven med forskrifter blir fulgt, at feil eller mangler blir rettet, kontrollere at opplysningene om de registrerte blir behandlet i samsvar med loven og se til at reglene blir fulgt dersom den registrerte ber om innsyn. Datatilsynet har både en påleggs- og en anmerkningskompetanse.

1.2.1.1 Gjennomførte aktiviteter

Tilsyn

Høsten 2015 ble det første stedlige tilsynet i medhold av politiregisterloven gjennomført. Tilsynsobjektet var Kripos, og tema for kontrollen var politiets behandling av personopplysninger i DNA-registeret som Kripos er behandlingsansvarlig for. Kontrollrapporten ventes å være ferdig i februar 2016.

Sentrale høringsuttalelser

Utredning om advokaters behandling av personopplysninger

I Advokatlovutvalgets utredning NOU 2015: 3 «Advokaten i samfunnet» tas det til orde for at det bør utarbeides særlige regler for behandling av personopplysninger i advokatvirksomhet. Vi ga i vår høringsuttalelse støtte til et slikt initiativ, men understreket hensiktsmessigheten med å avvente nærmere regulering til etter at den generelle databeskyttelsesforordningen er på plass. Vi kommenterte også forholdet til personopplysningslovens konsesjons- og meldeordning, samt forhold angående arkivhold og informasjonssikkerhet. Videre kommenterte vi advokatlovutvalgets forslag til nye lovbestemmelser om unntak fra advokaters taushetsplikt, og påpekte at Datatilsynet bør ha tilgang til den informasjonen som er nødvendig for å kunne føre kontroll med advokaters behandling av personopplysninger.

Lovforslag om politiets bruk av falske basestasjoner

Et lovforslag som kom fra Justisdepartementet i desember 2014, gikk ut på å gi politiet utvidede muligheter til å bruke falske basestasjoner, og det uten domstolskontroll. De foreslåtte lovbestemmelsene vil gripe inn i enkeltindividers frihet og personlige integritet. Slike tiltak må etter vår oppfatning alltid være forankret i lovregler som er presise, klare og forsvarlig begrunnet. Lovbestemmelsene må dessuten utformes på en slik måte at befolkningen gis klare indikasjoner på i hvilke sammenhenger, og under hvilke vilkår, myndighetene gjennomfører tiltak som potensielt kan ramme deres privatliv og integritet. Konsekvensene av lovvedtak i samsvar med forslagene må også utredes, og det er den som foreslår tiltaket som må analysere konsekvensene av tiltakene, også utover den politimessige nytten de kan tenkes å ha. Vi skrev at vi var kritiske til endringer i politiloven og ekomloven som kan ramme kommunikasjonen og gripe inn i personvernet til et stort antall personer som ikke er mistenkt for å ha gjort noe straffbart. Vi påpekte videre at lovforslagene ikke sikrer rettsikkerheten til de berørte, og frarådet derfor at lovendringene gjennomføres.

Forslag til endring i psykisk helsevernlov

Utredningen NOU 2014: 10 «Skyldevne, sakkyndighet og samfunnsvern» ble sendt på høring sent i 2014, og vi ga vår høringsuttalelse i 2015. Lovforslaget skal sikre at påtalemyndigheten får nødvendige opplysninger for å vurdere om det skal dømmes tvungent psykisk helsevern, men forslaget inneholdt etter vår mening uheldige formuleringer. Forslaget til endring i lov om psykisk helsevern § 5-6 første ledd har som formål å gi rom for at også fagfolk som tidligere har hatt ansvar for siktede personer, kan gi informasjon til påtalemyndighetene. Vi mente at forslaget var for uklart, og at hovedproblemet med den foreslåtte ordlyden var at loven også vil gjelde der det er spørsmål om forvaring skal forlenges – i disse tilfellene er det ikke klart hvem som skal gi den nødvendige informasjonen når den aktuelle personen allerede er domfelt og i fengsel.

Forslag til endringer i sikkerhetsloven

I mai sendte Forsvarsdepartementet forslag til enkelte endringer i sikkerhetsloven på høring. Endringene gikk blant annet ut på å innføre en lovhjemlet plikt for alle virksomheter til å kontinuerlig overvåke godkjente informasjonssystemer for sikkerhetstruende hendelser. Vi mente at departementet burde ha tatt seg tid til en tydeligere analyse av hva som ligger i forslaget. For eksempel var det vanskelig å få inntrykk av hvor mange mennesker som ville berøres av tiltakene som ble foreslått. Dessuten påpekte vi at de foreslåtte metodene og tiltakene teknisk sett er meget komplekse og vanskelige å forstå for høringsinstansene, og at det derfor burde ha vært gitt en grundigere og mer konkret analyse i høringsnotatet. I etterkant av vår uttalelse var vi i møte med Forsvarsdepartementet og redegjorde for hva vi mente de burde vurdere nærmere på veien frem mot en endelig revisjon.

Øvrige aktiviteter

I et brev til Justisministeren høsten 2015 tok vi til orde for opprettelsen av en personvernkommisjon for justissektoren. Initiativet kom som et resultat av politiets datakriminalitetsstrategi, som blant annet angir mulige tiltak for bekjempelse av ulike former for datakriminalitet. Vi mener strategien burde ha inneholdt klarere analyser av personvernkonsekvensene av de samme tiltakene, og har i et posisjonsnotat som er sendt til ministeren, pekt på en rekke svakheter ved strategien.

Internasjonalt

I EU har det i lengre tid pågått forhandlinger om et direktiv om beskyttelse av personopplysninger som behandles for rettshåndhevelsesformål. Dette har pågått parallelt med en trialog (forhandlinger mellom de tre politiske organene i EU – Parlamentet, EU kommisjonen og EUs ministerråd) om den generelle personvernforordningen for å komme frem til et omforent forslag.

Forslaget omfatter både grenseoverskridende og nasjonal databehandling for slike formål. Det omfatter forebygging, etterforskning, oppdagelse og rettsforfølging av straffelovovertredelser, og dessuten beskyttelse mot og forebyggelse av trusler mot den offentlige sikkerhet. Direktivet trer sannsynligvis i kraft våren 2016. Det er imidlertid noe uklart om direktivet får direkte konsekvenser for norsk lovgivning på området, både fordi den eksisterende politiregisterloven bygger på rådets rammebeslutning 2008/977/JIS av 27. november 2008 om vern av personopplysninger i forbindelse med politi- og justissamarbeid i kriminalsaker, og fordi det er uklart om hele direktivet vil være å anse som Schengen-relevant.

1.2.1.2 Fremtidige utfordringer

I justissektoren er det særlig kampen mot kriminalitet generelt og terror spesielt, som utgjør den største trusselen mot personvernet. I løpet av 2015 har vi sett konturene av flere tiltak som kan bli en realitet i fremtiden, og som vil innebære store inngrep i den enkeltes rettigheter og frihet. Denne debatten vil trolig fortsette, og vil bli prioritert av Datatilsynet også i fremtiden.

Vi ser også behov for klarere regulering av behandling av personopplysninger i forbindelse med bekjempelse av hvitvasking, skatteunndragelser og terrorfinansiering, det vil si områder hvor banker og finansvirksomheter har et lovpålagt ansvar for å kontrollere og treffe tiltak overfor den enkelte.

1.2.2 Barn, skole og utdanning

Datatilsynet har over en treårsperiode sett nærmere på opplæringssektoren. Gjennom møter med aktører i sektoren og kontroller ved en rekke barnehager, grunnskoler og videregående skoler, har vi skaffet oss en viss oversikt over hvilke opplysninger som registreres om barna i barnehager og skoler.

Samlet utgjør registreringene om et barn gjennom et helt utdannelsesløp, et sett med opplysninger som gir et omfattende og detaljert bilde av dette barnets utvikling, samt faglige og sosiale atferd. Det at flere opplysninger om barn lagres digitalt betyr også at spredningspotensialet blir større. Uten tekniske sperrer og gode rutiner er det lettere at opplysningene brukes til andre formål enn det de var ment til, og opplysningene kan med få tastetrykk spres til mange.

Vi har i løpet av denne perioden avdekket at rutinene for å sikre barns personvern i skoler og barnehager er mangelfulle. Samtidig vet vi at bruken av elektroniske og nettbaserte tjenester i skoler og barnehager bare vil øke ytterligere i årene som kommer.

Vårt prosjektarbeid knyttet til personvern i barnehage og skole i tidsrommet 2013–15 hadde som mål at bevisstheten om personvern blant skoleeiere, lærere, foresatte og elever innen 2016 skulle være så høy at Datatilsynet ikke trenger å være på banen med annet enn veiledning. Arbeidet er nå igangsatt.

1.2.2.1 Gjennomførte aktiviteter

Tilsyn

Høsten 2015 fikk vi informasjon om at en kommune hadde gjennomført full digitalisering av elevmapper i grunnskolene innen kommunen. Vi fikk samtidig indikasjoner på at tilgangsstyringen ikke var tilfredsstillende i den løsningen kommunen hadde valgt. Vi valgte dermed å dra på en kontroll for å undersøke hvilken tilgangsstyring og eventuelle andre sikkerhetstiltak kommunen hadde iverksatt i forbindelse med denne digitaliseringen.

Saken er prinsipielt viktig da den aktuelle kommunen er tidlig ute med digitalisering av elevmapper. De konklusjonene som kommer med hensyn til tilgangsstyring og andre sikkerhetstiltak, vil være førende for andre kommuner som skal starte med digitalisering. Saken er ikke ferdigbehandlet. Endelig kontrollrapport vil bli utarbeidet i første halvdel av 2016.

Sentrale høringsuttalelser

Kunnskapsdepartementet har hatt flere store lovarbeider på høring i 2015 som Datatilsynet har hatt synspunkter til. Vi ønsker å trekke frem disse høringsuttalelsene:

Forslag til endring av barnehageloven

Kunnskapsdepartementet har lagt frem et forslag til endringer i barnehageloven. Endringene skal blant annet gjøre barnehageeiers hjemmel for å behandle personopplysninger om barna tydeligere. Vi leverte en kritisk høringsuttalelse hvor vi påpekte at endringen som foreslås er en utvidelse og omdefinering av hva barnehagens arbeid med dokumentasjon består av. Vi mener endringen som foreslås vil legge til rette for å innføre en utstrakt måling og sammenligning av barnas ferdigheter. En slik måling har det ikke har vært tradisjon for i barnehager i Norge.

På vår tilsynsrunde i 2013–14 påviste vi at det er ulik praksis blant landets barnehager når det gjelder hjemmelsgrunnlag for bruk av verktøy for å kartlegge barnas ferdigheter. Mange baserte bruken på samtykke fra de foresatte, mens andre mente at de hadde adgang til å gjøre slik kartlegging uten de foresattes samtykke. Vi uttrykte for så vidt et ønske om avklaring av dette spørsmålet, men forslaget som er fremmet går i en helt annen retning enn vi hadde håpet. Istedenfor å styrke de foresattes involvering i saker som gjelder deres barn, legger forslaget opp til en praksis hvor det er fare for at de foresatte blir enda mindre involvert enn i dag.

Saken er ikke ferdigbehandlet i Stortinget.

Utredning om fremtidens skole

I juni leverte Ludvigsenutvalget sin utredning om fremtidens skole. Her tar de for seg ulike typer analyser og målinger av elever, men helt uten noen form for konsekvensanalyse når det gjelder personvernet.

Det er stadig vanligere at opplysninger innhentet for et formål, blir brukt til andre formål uten at de opplysningene gjelder får noen innvirkning på dette. Når utvalget foreslår å bruke læringsanalyse og måling av sosiale og emosjonelle ferdigheter hos barn som et verktøy for måle barns utvikling, er det særlig viktig å vurdere personvernet i slike verktøy.

Dessverre er det en svakhet ved utredningen at den ikke tar opp personvernproblematikk. Den gir heller ikke anbefalinger om hvilke plikter man har etter personvernregelverket når læringsanalyse tas i bruk og når sosiale og emosjonelle ferdigheter vurderes.

Utredning om mobbing i skolen

I juni 2015 kom også Djupedalutvalgets utredning, NOU 2015: 2 Å høre til. Virkemidler for et trygt psykososialt skolemiljø.

I vår høringsuttalelse til denne utredningen viste vi til våre erfaringer fra saksbehandlingen. De tilsier at det er stort behov for veiledning når det gjelder hvordan skolen skal håndtere den innledende fasen hvor mistanke om mobbing eller trakassering oppstår og undersøkelser skal gjøres. Vi har for eksempel fått melding om elever som blir innkalt enkeltvis på rektors kontor og bedt om å logge inn på sin private Facebook-konto for at rektor skal undersøke hvorvidt vedkommende er involvert i trakassering av en medelev. Denne typen framgangsmåte må unngås, og en veileder bør inneholde forslag til rutiner som sørger for det.

Vi understreket viktigheten av at presset til å avdekke mobbing ikke må bli så stort at det resulterer i tiltak som bryter med barnas grunnleggende rett til privatliv, selv om skolen har et stort ansvar når det gjelder å ivareta elevers psykososiale miljø. Skolens ansatte må være gode rollemodeller for barn når det gjelder å respektere grensene for hva man har lov til å be om å få se og ikke.

Vi foreslår i høringsuttalelsen at Kunnskapsdepartementet tar grep for å sørge for at landets skoler får et mer bevisst forhold til hvilke personopplysninger de ber om fra elevene, og hvordan de behandler personopplysningene de registrerer. Et steg i riktig retning vil være å utarbeide klare retningslinjer for hva skolen kan tillate seg når det gjelder inngrep i elevenes private sfære for å avdekke mobbing.

Saksbehandling og sentrale nemndavgjørelser

På skoleområdet har vi i 2015 mottatt flere meldinger om avvik som har dreid seg om uautorisert utlevering av personopplysninger, uautorisert innsyn i personopplysninger og eksponering av personopplysninger på internett. Dette er saker som vi mener illustrerer behovet for bedre rutiner for internkontroll og informasjonssikkerhet, og som vi har påpekt både under tilsyn og i arbeidet for en norm for bedre personvern i skolen. Vi vil spesielt trekke frem disse sakene:

Avlysning av skoledagen via Mobilskole

Mange skoleeiere har valgt å ta i bruk en applikasjon som heter Mobilskole, og som skal erstatte ranselpost. En skoleeier fikk i 2015 advarsel fra en person om at sikkerheten i denne løsningen ikke var optimal. Skolen på sin side forsikret om at sikkerheten var god nok. Deretter opplevde de at personen som hadde gitt dem advarsel hacket Mobilskole og sendte ut beskjed til alle elever og foresatte om at skoledagen var avlyst.

Endring av karakterer via læringsplattform

I 2015 behandlet vi flere saker som underbygger vårt krav om sterk autentisering for ansattes innlogging på læringsplattformer. I en av sakene hadde en elev skaffet seg tilgang til sin lærers brukernavn og passord til læringsplattformen. Dette ga ham også tilgang til skoleadministrativt system hvor han endret på sine egne og andres karakterer.

Nasjonale prøver

Bruken av resultater fra nasjonale prøver ble i 2015 problematisert i forbindelse med en søknad om konsesjon til et forskningsprosjekt. Forskerne skulle bruke resultater fra nasjonale prøver som en del av sitt forskningsmateriale. Vi stilte spørsmål ved om elever og foresatte var kjent med at barnas resultater fra nasjonale prøver kunne utleveres til forskning.

Vi hadde dialog med Utdanningsdirektoratet i saken, noe som resulterte i at direktoratet utarbeidet ny informasjon som skulle deles ut i forbindelse med gjennomføring av nasjonale prøver høsten 2015. Nå får elever og foresatte informasjon om hvordan resultatene fra Nasjonale prøver blir håndtert og hvem som får tilgang til dem.

Øvrige aktiviteter

Arbeidsgruppe om håndtering av dokumentasjon i barnevernet

I 2015 har vi deltatt i en arbeidsgruppe i regi av KS (kommunenes arbeidsgiver-, interesse- og medlemsorganisasjon). Gruppen arbeider med en veileder for hvordan dokumentasjon i barnevernet skal håndteres forsvarlig. En særlig problemstilling er bruk av filmopptak basert på samtykke fra foresatte og Riksarkivets vedtak om at disse filmene skal bevares. Dette er en problemstilling vi forsøker å løse i fellesskap med Riksarkivet.

Arbeid for å få på plass en norm for godt personvern i skoler og barnehager

Etter tilsynene i opplæringssektoren i 2013 og 2014, tok vi til orde for at det måtte tas grep når det gjelder hvordan virksomhetene innen sektoren veiledes i etterlevelse av personvernregelverket. Vi ser det fremdeles som nødvendig at det lages veiledningsmateriell som er vel forankret hos aktørene, og vi mener at en norm for sektoren er riktig vei å gå. Dette er et arbeid som aktørene i sektoren enda ikke har omfavnet. Det har imidlertid vært holdt møter i meldingsåret med sentrale aktører, og et viktig steg i positiv retning ble tatt i september 2015 da Kunnskapsdepartementet ga Utdanningsdirektoratet og Senter for IKT i utdanningen i oppdrag å koordinere eksisterende veiledningsmateriell.

Samarbeidsprosjektet «Du Bestemmer»

Du Bestemmer er en læringsressurs som ble startet opp i 2007, og som vi driver i samarbeid med Senter for IKT i utdanningen. Målet med opplegget er å øke barn og unges kunnskap om personvern, og heve deres bevissthet om valg de gjør ved bruk av digitale medier. De unge skal lære seg å ta kontroll over egne personopplysninger, men samtidig respektere andres opplysninger.

Som et ledd i regjeringens Handlingsplan mot radikalisme og voldelig ekstremisme (OB 21-14, tiltak 27) og skolens pågående arbeid mot mobbing og krenkende ytringer, fikk IKT-senteret ansvar for å lage et opplegg for unge om uønskede hendelser på nett. Vi brukte våren og sommeren mye ressurser på dette arbeidet:

Det ble opprettet to nye temasider for ungdom der det tas opp utfordringer ved ulike former for uønskede hendelser på nett. Dette skal både bidra til økt kunnskap og refleksjon, samt gi konkrete råd om tiltak og handlinger når den enkelte opplever eller observerer slike hendelser. Det informeres også om sentrale egenskaper ved ulike personverninnstillinger, og ulike varslings- og rapporteringsmuligheter.

Det ble utarbeidet innhold for lærere og andre voksne som jobber med barn og unge, samt en egen nettside for skoleeier/skoleleder. Dette ble gjort for å tydeliggjøre deres ansvar for personvern og opplæringen av barn og unge i digital dømmekraft.

Videre ble det laget eget innhold for de foresatte der det gis råd og veiledning om hvordan man snakker med sine barn om problematikken, og veiledning til håndtering av uønskede hendelser. I mange sammenhenger opplever dessuten barn og unge at de foresatte selv er en utfordring for personvernet deres. Denne problematikken belyses nærmere på nettsiden.

Det ble laget to nye kortfilmer om uønskede hendelser på nett basert på statistikk og informasjon fra tjenesten Slettmeg.no.

Undervisningsheftene til målgruppene 9–13 år og 13–18 år ble fornyet og trykket opp på både bokmål og nynorsk.

Det kommer jevnlig inn bestillinger på hefter fra hele landet, og nettstedet er svært godt besøkt. Opplegget benyttes ikke bare i skoler, men også av politi, helsepersonell, frivillige organisasjoner, bibliotek, foreldrerepresentanter, til konformasjonsundervisning og lignende. Dette arbeidet genererer også mange henvendelser om å holde foredrag, samt pressehenvendelser om tematikken.

1.2.2.2 Fremtidige utfordringer

Vi er nok ikke helt der at alle skoleeiere har den nødvendige bevisstheten som skal til for å ivareta elevenes personvern på en tilstrekkelig måte. Vi er imidlertid på god vei når vi opplever både at de ansvarlige myndighetene for sektoren tar ansvar og at skoleeierne tar kontakt i forkant av et planlagt innkjøp av for eksempel informasjonssystemer med et ønske om å gjøre ting rett. Også utviklere av programvare tar kontakt og ønsker å tilby produkter som kan skilte med innebygd personvern.

Det at vi har foreslått at opplæringssektoren arbeider frem en norm for godt personvern, gjør at vi mener vi har satt i gang et arbeid som krever en viss oppfølging. Sektoren har nå tatt tak i deler av dette ved arbeidet med å koordinere eksisterende veiledningsmateriell, men det er enda et godt stykke igjen før aktørene selv sørger for at det lages veiledningsmateriell som er vel forankret i sektoren.

Målet med norm for godt personvern i skolen er at skoleeiere skal gå i takt og stille de samme kravene til leverandører av informasjonssystemer og applikasjoner.

1.2.3 Offentlig sektor

Digitalisering er en samlebetegnelse for overgangen fra analoge, mekaniske og papirbaserte løsninger, prosesser og systemer, til elektroniske og digitale løsninger. Utviklingen er slik at det ikke lenger er et spørsmål om forvaltningen skal digitaliseres, men hvor fort og med hvilke prioriteringer.

Regjeringens mål med IKT-politikken er å påvirke utviklingen innen IKT slik at det oppnås forenkling og effektivisering i offentlig sektor, samt fremme innovasjon og verdiskaping i næringslivet. Dette er selvsagt riktige målsettinger som også er viktige for Datatilsynet å bidra til. Når flere tjenester flyttes over på nett, skapes imidlertid nye personvernmessige utfordringer, samtidig som det også gir muligheter for å bygge hensynet til personvern inn i løsningene.

På flere og flere områder er digitaliseringene kommet langt i offentlig sektor, og stadig nye tjenester tilbys i digital form. Likevel er det fremdeles mange av de viktige digitaliseringsprosessene som er i startgropa. Det er derfor viktig at vi er på banen for å påvirke de riktige aktørene. Vi må sørge for å fremme personvern i alle disse prosessene. Vi finner det stadig riktig at vi konsentrerer oss om myndighetsutøverne og beslutningstakerne, idet det er her de viktigste premissene blir lagt. Eksempler på utfordringer vi ser fremover er autentisering av ansatte/virksomheter, nasjonalt ID-kort og bruk av biometri til autentisering og identifisering. Bruk av felleskomponenter, der deling av data og offentlige stordata (Big Data) er sentrale elementer, er også viktig å følge med på.

Ved deling og gjenbruk av personopplysninger, utfordres prinsippet om formålsavgrensning i personvernlovgivningen. Det er viktig at samtlige offentlige aktører er bevisste i sin produksjon, bruk og deling av offentlige stordata. Her vil blant annet gode, korrekte og konsistente metadata være helt nødvendig for å lykkes, også i en personvernkontekst.

For å sikre et godt personvern ved utveksling og deling av personopplysninger mellom ulike offentlige instanser, og mellom offentlige og private aktører, må ansvarsforholdene være tydelig avklart. For at innbyggerne skal kunne ivareta eget personvern, må de få informasjon om hvilke instanser som lagrer, behandler og utveksler opplysninger om dem, til hvilke formål og hvordan de kan ivareta sin rett til innsyn, retting og sletting.

Offentlig sektor, og særlig kommuner, er storbrukere av alle typer personopplysninger, og bruker disse blant annet for å fastslå hvilke rettigheter og plikter den enkelte innbygger har. Det er derfor i innbyggernes interesse at det offentlige har tilgang på korrekte personopplysninger.

1.2.3.1 Gjennomførte aktiviteter

Vi utarbeidet i 2013 «Strategi for godt personvern i digitaliseringen av offentlig sektor». Strategien revideres jevnlig og danner fremdeles grunnlaget for de aktivitetene vi prioriterer innenfor dette området.

Vi har gjennomført kontroller med både statlige og kommunale virksomheter som vi over tid har opplevd at har utfordringer med å etterleve kravene til internkontroll og informasjonssikkerhet. Etter vår vurdering er det viktig at virksomhetene først har kommet opp på et akseptabelt nivå med internkontroll og informasjonssikkerhet, før de tar fatt på de store digitaliseringsprosessene.

Vi har gjennomført ti veiledningsmøter med aktører i sektoren. I tillegg kommer utstrakt veiledning per telefon og e-post.

Vi deltar på flere arenaer der vi ønsker å gjøre Datatilsynets ståsted og holdninger kjent, og vi er tilstede på konferanser med både foredrag og stands.

Vi har også jevnlig møter på toppnivå med alle de sentrale aktørene innenfor digitaliseringen. Vi lyktes dessverre heller ikke i 2015 med å få en fast plass i samarbeidsorganet SKATE (Styring og koordinering av tjenester i e-forvaltning). Vi mener fortsatt at Datatilsynet er en naturlig deltaker her, og jobber videre for å få en plass.

Tilsyn

I 2015 gjennomførte vi kontroller med 15 forskjellige offentlige virksomheter; ti kommuner, to fylkeskommuner, to fylkesmannsembeter og en namsfogd. Dette var både stikkprøvekontroller, risikobaserte kontroller og etterkontroller, i den forstand at enkelte av kommunene ble kontrollert som en oppfølging av brevkontroller fra 2011. For samtlige kontroller var etterlevelse og dokumentasjon av internkontroll og informasjonssikkerhet hovedtema.

Selv om det er store variasjoner i hvordan etterlevelsen og dokumentasjon framstår hos de forskjellige kontrollobjektene, kan vi konstatere at det er et gjennomgående problem at mange offentlige virksomheter ikke har tilfredsstillende rutiner for å oppfylle pliktene i personvernloven. Dette gjelder særlig pliktene til å:

ha oversikt over hvilke behandlinger av personopplysninger virksomheten har,

sørge for at innbyggere blir informert om hvordan opplysninger blir håndtert,

sørge for at innsyn blir håndtert på riktig måte,

gjennomføre og dokumentere risikovurderinger og sikkerhetsrevisjoner,

ha oversikt over databehandlere og ha tilfredsstillende databehandleravtaler med disse.

Vi har ikke kunnet fastslå at det er signifikante forskjeller knyttet til skillet mellom stat og kommune, regionale forskjeller eller forskjeller knyttet til størrelse på virksomhetene. Det er gjerne slik at store virksomheter har mer og bredere kompetanse, men det er ikke alltid slik at dette gir seg utslag i bedre ivaretakelse av personvernet og oppfyllelse av pliktene i personopplysningsloven. Imidlertid mener vi å kunne se at virksomheter som har personvernombud, gjennomgående har en bedre ivaretakelse av personvernet og oppfyllelse av pliktene i loven. Dette mener vi viser at ordningen med personvernombud, og opplæringen av disse, har en positiv effekt for personvernet.

Like fullt er det bekymringsfullt at virksomheter som har ansvar for digitaliseringsprosesser, og virksomheter som i økende grad benytter nye digitale løsninger, ikke har tilstrekkelig fokus på å ivareta personvernet og å oppfylle pliktene i personopplysningsloven knyttet til internkontroll og informasjonssikkerhet. Dette gjør at vi også i kommende år vil måtte bruke kontroller for å sikre at nye digitale tjenester ivaretar personvernet, og at de virksomhetene som benytter slike tjenester har god nok internkontroll og informasjonssikkerhet. Vi vil også, sammen med sektoren, vurdere andre tilnærminger for å oppnå dette.

Sentrale høringsuttalelser

Datatilsynet har i 2015 hatt fire høringer innenfor temaet digitalisering. Vi har ikke hatt innvendinger til noen av disse. I den grad vi har gitt kommentarer, har det kun vært for å uttrykke støtte til det som var foreslått, eller for å understreke punkter som var berørt eller behandlet.

To av de mest sentrale høringene har vært høringen knyttet til ny postlov og postforskrift, samt forslag til ny lov om folkeregister. Når det gjelder postlov med forskrift ga vi en tydelig tilbakemelding om at vi mente det var behov for en regulering av de offentlige digitale postbokstjenestene. Dette gjelder «Sikker digital post» og postbokstjenesten i Altinn. Vi mener det er uheldig at disse ikke er tilstrekkelig regulert med hensyn til kommunikasjonsvern og ansvar som øvrige post- og ekomtjenester.

I forbindelse med forslaget til ny folkeregisterlov, var vi spesielt opptatt av at kvaliteten på opplysningene ikke må gå på bekostning av effektivitet, mulighetene for å skille på bostedsadresse/ postadresse og digital adresse i registeret. Vi påpekte også viktigheten av at det gjøres grundige vurderinger knyttet til eventuell bruk av biometri når det gjelder folkeregisteropplysninger.

Saksbehandling og sentrale nemndavgjørelser

Vi har behandlet tips om forhold i offentlig sektor som omhandler personvern. Ut i fra størrelse og omfang har vi prioritert hvilke saker vi skulle følge opp, og på hvilke måter. Vi har ikke gjennomført stedlige tilsyn basert på tips, men vi har fulgt opp innkomne henvendelser ved å be om redegjørelser. Dette har blant annet resultert i at vi har fattet vedtak om endring av rutiner og sikkerhetstiltak.

Det har også blitt ilagt i alt fem overtredelsesgebyr; tre til kommuner, ett til et departement og ett til et annet statlig organ. Dette var knyttet til forhold som vi anså som alvorlige brudd på personopplysningslovens bestemmelser om internkontroll og informasjonssikkerhet. Tre av disse gebyrene er godtatt, mens de to siste virksomhetene har klaget på vår avgjørelse til Personvernnemnda. Disse ble oversendt så sent på året at det ikke er fattet noen avgjørelse i dem enda.

Bakgrunnen for å ilegge gebyr var at det var forhold vi anså for å være alvorlige brudd på pliktene etter personopplysningsloven. Vi ønsket også å utnytte den allmennpreventive virkningen ved overtredelsesgebyr. Responsen fra sektoren tyder på at dette har hatt effekt. Ønske om samarbeid fra aktører slik som for eksempel kommunenes interesseorganisasjon (KS) har tiltatt, og ønske fra enkeltkommuner eller statlige virksomheter om råd, veiledning og kurs har økt. De fleste er tydelige på at «gebyrsakene» har bidratt til at de nå ønsker å få orden på dette før vi kommer på nye kontroller.

Vi har mottatt og behandlet en rekke avviksmeldinger fra sektoren der det har vært uautorisert utlevering av personopplysninger om registrerte eller ansatte. Også her har vi i enkelte saker bedt om redegjørelser og hatt påfølgende saksbehandling.

Øvrige aktiviteter

Vi har oppsummert funnene våre og delt denne kunnskapen i ulike sammenhenger. Vi har blant annet deltatt som foredragsholdere på små og store arrangement hvor vi har møtt ansatte i offentlig sektor slik som i kommuner, fylkeskommuner, direktorater og departementer, men også leverandører av IKT-løsninger og andre aktører i sektoren.

Vi har gjennomført en rekke møter med beslutningstakere i offentlig sektor og leverandører av IKT-løsninger for å se på hvordan de best kan bygge og vedlikeholde gode internkontrollsystemer og god informasjonssikkerhet for å ivareta personvernet. Vi forsøker å gjøre aktører i sektoren til gode bestillere av løsninger med innebygd personvern, og vi har gitt råd til leverandører om å ta hensyn til innebygd personvern i deres leveranser til offentlig sektor.

1.2.3.2 Fremtidige utfordringer

Funn fra kontrollene i sektoren viser at aktørene fremdeles har betydelige mangler og en relativt lang vei å gå før vi kan si at sektoren er på et tilfredsstillende nivå. Riktignok finnes det flere unntak, og mange har kommet langt i etterkant av kontroller eller veiledning fra oss. Like fullt er det bekymringsfullt at sektoren har så betydelige mangler knyttet til internkontroll og informasjonssikkerhet som den har.

Dette betyr at vi, sammen med andre aktører, må arbeide for at sektoren bedrer seg i arbeidet med internkontroll og informasjonssikkerhet. Vi må fortsette å bruke våre virkemidler for å høyne nivået i sektoren.

Vi har initiert et arbeid sammen med KS for å finne andre arenaer og andre virkemidler som kan benyttes for å øke bevisstheten rundt personvern og etterlevelse av personopplysningsloven i kommunal sektor. Dette er et arbeid vi har stor tro på, og som vil materialisere seg tidlig i 2016.

Datatilsynet har i flere år deltatt i arbeidet med å få på plass gode og sikre eID-ordninger, både for privatpersoner, ansatte og virksomheter. Det gjenstår fremdeles en del arbeid før vi har løsninger som er gode nok for alle disse kategoriene, særlig gjelder dette offentlige løsninger for ansatte og for virksomheter.

Vi har også i meldingsåret pekt på betydningen av at også de offentlige digitale postboksløsningene får sin regulering. Dette ble fra vår side først påpekt ved at vi mente en slik regulering hørte hjemme sammen med øvrig regulering av posttjenester, og ikke som en del av eforvaltningsforskriften. Vi opplevde å få gjennomslag for dette. Når endringen til postloven ble hørt i 2015, var regulering av elektroniske posttjenester med i forslaget, men etter høringsrunden ble dette tatt ut av forslaget til ny postlov som ble oversendt Stortinget. Dessverre ser vi nå at disse tjenestene ikke er, eller på kort sikt blir, regulert med hensyn til kommunikasjonsvern og ansvar. Dette ser vi på som uheldig og som et hinder mot en forsvarlig digitalisering av offentlig sektor. Vi vil jobbe videre for å få en tilfredsstillende regulering av disse tjenestene.

1.2.4 Helse og velferd

Helse- og velferdsområdet omfatter blant annet behandling av opplysninger innen helse- og omsorgstjenestene og NAV, i tillegg til sekundærbruk av opplysninger i helseregistre, helseforskning og samfunnsforskning.

Opplysningene som behandles innen dette området er blant de mest sensitive, og befolkningen selv anser opplysningene for særlig beskyttelsesverdige. Innen Datatilsynets ansvarsområde behandles det opplysninger om befolkningen i alle livsfaser, og ønsket om bruk og gjenbruk av våre opplysninger til stadig flere formål øker.

Hovedutfordringen for personvernet innen helsetjenesten er at sektoren er gjenstand for store forandringer og at endringene skjer i et raskt tempo. Som eksempel nevnes ny lovgivning, ny forordning, den generelle teknologiutviklingen og utviklingen innen e-helse.

Videre er det en utfordring at helse- og omsorgstjenesten er preget av mange aktører og flere ulikt organiserte virksomheter med forvaltningsansvar og beslutningsmyndighet. Leverandører og databehandlere har ofte sentrale roller. I spesialisthelsetjenesten har kontroller vist at viktige deler av databehandlingsansvaret, slik som tilgangsstyring i helseforetakene, synes å være overført til enheter eller underselskaper som er opprettet av de regionale helseforetakene, for eksempel Helse-Vest IKT eller Sykehuspartner. Slike endringer i ansvarsforholdene skaper uklarheter, og begrenser de reelt ansvarlige helseforetakenes muligheter til å overholde sine plikter.

En annen aktuell utfordring er den økte utvekslingen av helseopplysninger som følger av helse- og omsorgsreformen. Flere opplysningskategorier om den enkelte vil gjøres tilgjengelig for et økende antall helse- og omsorgsarbeidere. Informasjonsdeling til beste for den enkelte pasient er utvilsomt et gode. Men det å sørge for at slik informasjonsdeling ikke fører til utilsiktet spredning av sensitive opplysninger, er en vesentlig utfordring når det gjelder å ivareta enkeltindividets krav på beskyttelse av sine egne opplysninger.

Endringer i lovgivningen gir mulighet for å gi tilgang til pasientinformasjon på tvers av virksomhetsgrenser, men stiller nye krav til systemenes evne til å ivareta sikkerheten, slik at opplysninger ikke gjøres tilgjengelige utover det som er nødvendig og relevant for den helsehjelpen som skal ytes.

Vi ser også et økende ønske om, og påtrykk for, gjenbruk av helseopplysninger, såkalt sekundærbruk av data. Det opprettes stadig nye kvalitetsregistre, og mange av disse er store i omfang og har som formål å være permanente.

NAV har også mange av de tilsvarende utfordringene. Dilemmaet mellom å ha tilgjengelige opplysninger og å sikre tilfredsstillende konfidensialitet, kan gi utfordringer for hensynet til borgernes personvern. En annen utfordring innen NAV-systemet er at det i stor grad benyttes eksterne leverandører for å oppfylle NAV sine oppgaver. Datatilsynet oppfatter det slik at ansvarsforholdene i disse tjenestene har vært uklare.

1.2.4.1 Gjennomførte aktiviteter

Tilsyn

I 2015 gjennomførte vi til sammen 13 tilsyn innen området – fire med felles pasientdatabase i regi av helseforetakene i helseregion Vest, og ni tilsyn med virksomheter som driver med samfunnsforskning.

Tilgang til helseopplysninger etter ny pasientjournallov

De nye lovene om helseregistre og pasientjournaler trådte i kraft 1. januar 2015. Den nye pasientjournalloven inneholder hjemmel for å tillate tilgang til helseopplysninger på tvers av virksomhetsgrenser, og det er gitt en forskrift som regulerer slike tilganger nærmere. Forskriften stiller strenge krav til forutsetninger som må være på plass før virksomhetene kan gi slik tilgang, blant annet til pasientenes rett til å sperre for tilganger i forskjellige nivåer.

Lovens § 9 erstatter forskriften om felles journalsystemer i formaliserte arbeidsfellesskap, og den gir hjemmel for å opprette felles journaler mellom samarbeidende virksomheter. Helse Vest RHF annonserte våren 2015 at de nå hadde et system hvor virksomhetene i det regionale helseforetaket hadde felles journal. Vi iverksatte brevkontroll med foretakene i Helse Vest RHF, for å undersøke hvordan opplysninger gjøres tilgjengelige mellom foretakene, hvilke bestemmelser som hjemler de eventuelle tilgangene og hvorvidt lovens og forskriftens forutsetninger for behandlingen av opplysninger var ivaretatt. Kontrollen er ikke avsluttet på rapporttidspunktet.

Helse Nord-Norge og Helse Midt-Norge har for øvrig også tatt i bruk de nye mulighetene for tilgjengeliggjøring og deling av pasientopplysninger.

Tilsyn med samfunnsforskning

Vi vurderer jevnlig søknader om konsesjon til behandling av personopplysninger i samfunnsforskning. Et fellestrekk ved disse prosjektene er at det ofte behandles opplysninger om store deler av eller hele Norges befolkning, og at det er ønskelig å koble opplysninger mellom mange store registre.

I disse store prosjektene er det sjelden eller aldri opplysninger som gjør de registrerte direkte identifiserbare, men det anføres i søknadene at det er mulighet for indirekte identifisering. Vi ser imidlertid en tendens til at det er ønske om data på lave geografiske nivåer slik som for eksempel kommune, grunnkrets og til og med koordinater ned til en meters nøyaktighet. Det skal også ofte benyttes store mengder data på et meget detaljert nivå, noe som vil medføre at identifisering av enkeltindivider blir forholdsvis enkelt.

Vi ser at mange av disse store prosjektene ender opp med å være registerlignende, både med tanke på varighet og omfang, og at det lages underprosjekter og delprosjekter basert på opplysningene i hovedprosjektet.

I meldingsåret gjennomførte vi flere tilsyn innenfor denne sektoren. Vi var på tilsyn hos NTNU Samfunnsforskning, IRIS og Høyskolen i Oslo og Akershus. I tillegg gjennomførte vi seks brevkontroller med andre institusjoner som driver med samfunnsforskning. Kontrollrapportene er foreløpig ikke klare.

Sentrale høringsuttalelser

Vi ga en rekke høringsuttalelser på dette området i 2015, men særlig høringen om Kommunalt pasient- og brukerregister (KPR) var viktig og omfattende. Vi begrenser derfor vår omtale her til denne høringen.

Kommunalt pasient- og brukerregister (KPR)

Datatilsynet ga høringsuttalelse til forslaget om endringer i helseregisterloven § 11, og etableringen av et nytt sentralt helseregister (KPR) med opplysninger fra den kommunale helse- og omsorgstjenesten. Formålet med dette registeret skal blant annet være å gi grunnlag for planlegging, styring, finansiering og evaluering av kommunale helse- og omsorgstjenester. Dataene i registeret skal være en viktig kilde for statistikk, helseanalyser, kvalitetsforbedringsarbeid, beredskap, forebyggende arbeid og forskning.

Vi var i høringssvaret positive til at sekundærbruk av opplysninger fra de kommunale tjenestene reguleres på en bedre måte enn det gjøres i dag. Vi var imidlertid kritiske til den manglende detaljeringsgraden i forslaget. Vår største innvending var at det ikke ville være mulig for Stortinget å vurdere personvernkonsekvensene av dette forslaget, uten at det informeres mer detaljert hvordan opplysningene skal behandles i KPR.

Departementet presiserte at det kun skal samles inn relevante og nødvendige opplysninger i KPR. Vi mente imidlertid at det ikke er mulig å vurdere hvilke konsekvenser forslaget vil medføre for personvernet. Vi påpekte at det er svært uheldig at ikke detaljene for KPR foreligger når Stortinget skal ta stilling til om lovforslaget skal vedtas eller ikke. Den reelle vurderingen vil først skje på forskriftsnivå, og vi mente at den demokratiske kontrollen Stortinget skal utføre, vil være svært begrenset slik forslaget foreligger.

I det nye registeret skal det samles inn opplysninger om kommunens innbyggere i mange forskjellige situasjoner, ikke bare knyttet til at man mottar helsehjelp. Det skal for eksempel registreres opplysninger fra helsestasjonen. Uten nærmere beskrivelse av hvilke opplysninger man ønsker å inkludere fra denne tjenesten, ser vi et potensiale for en omfattende registrering av oss helt fra svangerskapsomsorgen – uavhengig av om vi er syke eller friske. Dersom en innbygger faktisk har behov for helse- eller omsorgstjenester, kan innholdet i KPR bli omfattende om hver enkelt.

Vi savner en diskusjon knyttet til om det i det hele tatt skal behandles opplysninger i dette omfanget, og ikke bare hvordan opplysningene skal beskyttes når de først er samlet inn.

Saksbehandling og sentrale nemndavgjørelser

Datatilsynet har hatt mange saker til behandling i meldingsåret. Vi har mottatt og behandlet flere søknader om konsesjon knyttet til behandling av helseopplysninger i forsknings- og kvalitetssikringsprosjekter og i helseregistre, og store deler av våre ressurser på dette feltet har gått til behandling og oppfølging av enkeltsaker. I mange tilfeller medfører søknader om konsesjon behov for omfattende kontakt i form av veiledning og informasjon forut for og underveis i saksbehandlingen.

Gjennom saksbehandlingen har vi sett at det i mangel av sentrale kvalitetsregistre for kommunehelsetjenesten, er ønske om å bruke eksisterende primærregistre opprettet for andre formål, for å hente ut informasjon i forsknings- og kvalitetssikringsformål. For eksempel har vi behandlet flere konsesjonssaker hvor det skal benyttes data fra HELFOs register KUHR (Kontroll og utbetaling av helserefusjon) som er opprettet for å forvalte behandlingsrefusjon og er hjemlet i folketrygdloven.

Vi har også sett at eksisterende registre utvides, og at opprinnelig avgitte samtykker strekkes langt og tolkes utvidende. Personvernnemnda har i de siste årene kommet med flere avgjørelser som har betydning for vår saksbehandling av konsesjonssøknader knyttet til rekkevidden av samtykker, plikten til å gi informasjon, vilkår knyttet til informasjonsplikt og vår konsesjonskompetanse.

En annen tendens vi ser er at forskningsmiljøene ønsker å samle store datasett i et «hovedprosjekt» eller i en form for forskningsregister, og benytte dataene i flere underprosjekter.

I forbindelse med den nye helseregisterloven, har grensene for Datatilsynets konsesjonskompetanse vært forsøkt klargjort. Av forarbeidene til loven, går det frem at utgangspunktet er at vi kan gi konsesjon til tilnærmet alle typer registre og prosjekter.

Personvernnemndas avgjørelse PVN-2014-21: Norsk Brannskaderegister

I Nyrebiopsisaken fra 2014, mente Personvernnemnda at foreldres samtykke på vegne av barn rettslig sett var gyldig også etter at barna var gamle nok til selv å bestemme. Vi mente at personvernulempene for disse barna ville være for store med denne forståelsen av foreldresamtykkenes varighet. Vi satte derfor som vilkår for at opplysninger i Norsk Brannskaderegister skulle kunne lagres videre, at mindreårige pasienter fikk bestemme selv når de ble gamle nok.

Vedtaket vårt ble påklaget, og Personvernnemnda ga medhold til klagen. Nemnda uttalte at Datatilsynet ikke har anledning til å stille vilkår som i realiteten begrenser rekkevidden av et ellers gyldig samtykke.

Personvernnemndas avgjørelse PVN-2015-02: SmerteReg

I forbindelse med innvilgelse av konsesjon til opprettelse av et kvalitetsregister, stilte Datatilsynet vilkår om at det skulle informeres individuelt til de registrerte hvordan opplysningene om dem i registeret blir brukt i fremtiden. Vilkåret vårt ble ansett å være nødvendig for å redusere ulempene deltakelse ellers ville ha medført for de registrerte. Helse Bergen HF påklagde vedtaket, men Personvernnemnda ga ikke medhold. Nemnda var enige med Datatilsynet i at dette var et lovlig vilkår, og at det er nødvendig for å redusere ulempene ved deltakelse i registeret.

Øvrige aktiviteter

Innen helsesektoren er det flere store prosesser i gang, og vi har i 2015 hatt løpende kontakt med Helsedirektoratet blant annet i forbindelse med Nasjonal kjernejournal, En innbygger – en journal, Min Helsejournal og e-Resept.

Vi har videre hatt løpende kontakt med sentrale aktører som Folkehelseinstituttet, de Regionale komiteer for medisin og helsefaglig forskningsetikk (REK), Den nasjonale forskningsetiske komité for medisin og helsefag (NEM), Norsk samfunnsvitenskapelig Datatjeneste (NSD), helseforetakene, Senter for klinisk dokumentasjon og evaluering (SKDE), Helse- og Omsorgsdepartementet og Helsetilsynet.

Vi har også deltatt aktivt i arbeidet tilknyttet Norm for informasjonssikkerhet i helsesektoren (Normen). Etter ny lovgivning har det vært behov for oppdateringer av allerede eksisterende materiell.

I tillegg har vi deltatt i en referansegruppe i forbindelse med utarbeidelse av veilederen «Personvern og informasjonssikkerhet – medisinsk utstyr». Veilederen ser særlig på to aspekter ved informasjonssikkerhet: manglende evne til å behandle helse- og personopplysninger i tråd med lovverket og dermed en trussel mot pasientens personvern, samt hvordan medisinsk utstyr kan beskyttes mot angrep på digital infrastruktur.

Vi har også deltatt i referansegruppen som har utarbeidet «Veileder i personvern og informasjonssikkerhet ved tilgang til helseopplysninger mellom virksomheter». Den skal bidra til å begrense truslene mot informasjonssikkerhet og personvern som tilgang til helseopplysninger mellom virksomheter kan medføre.

Velferdsteknologi

Velferdsteknologi har vært et sentralt tema for Datatilsynet de siste årene, så også i 2015. Vi har hatt mye aktivitet på området, både i form av veiledning, møter og foredragsvirksomhet. Vi har også hatt kontakt med Helsedirektoratet vedrørende veilederen til Normen. Veilederen ble utgitt i 2014, og det er planlagt en ny versjon i løpet av 2016. Datatilsynet mener det fremdeles er sentrale problemstillinger som bør avklares, slik som for eksempel plassering av behandlingsansvar, krav til databehandleravtaler og dokumentering av bruk av velferdsteknologi. Det er etter vår oppfatning naturlig at veilederen vil omfatte disse temaene.

Vi ser også utfordringer knyttet til hvor sterkt dette feltet styres av leverandører, og hvordan kommunene som bestillere har en krevende oppgave med å ha reell kontroll over behandlingen av opplysninger – behandlinger som skjer på deres vegne av leverandører og databehandlere.

Mange kommuner er i etableringsfasen med å ta i bruk velferdsteknologi, og vi opplever et stort behov for informasjon og veiledning om personvernutfordringer ved teknologien. Ansatte i Datatilsynet er etterspurte foredragsholdere, og vi har i 2015 holdt en rekke foredrag om dette temaet i forskjellige fora.

NAV

En utfordring innen NAV-systemet er at det i stor grad benyttes eksterne leverandører for å oppfylle de oppgavene NAV skal ivareta. Datatilsynet har oppfattet at ansvarsforholdene ved bruk av eksterne leverandører, har vært uklare. Etter å ha forsøkt å få klarhet i dette gjennom korrespondanse med NAV over lang tid, mente vi det var nødvendig å gjennomføre kontroll med NAVs bruk av tiltaksarrangører i 2014.

NAV har vurdert at tiltaksarrangørene er behandlingansvarlige for den behandlingen av opplysninger de gjør på oppdrag fra NAV, og at NAV ikke kan anses som ansvarlig. Vi har vært uenig i denne konklusjonen, og etter kontrollene vi gjennomførte, påla vi NAV å utrede nærmere hvor behandlingsansvaret er plassert.

I 2015 har NAV fulgt opp konklusjonene og påleggene vi har gitt, og det arbeides nå med å lukke avvikene.

1.2.4.2 Fremtidige utfordringer

Med ny lovgivning har det blitt lettere å kunne gi tilgang til pasientopplysninger på tvers av virksomhetsgrensene. Forskrift om tilgang til helseopplysninger mellom virksomheter inneholder få krav til fagsystemene, og slike krav er en forutsetning for å sikre at det ikke gis en utilsiktet og ulovlig tilgang til personopplysninger. Våre kontroller over tid, viser at pasientjournaler mangler den nødvendige strukturen som skal til for å kunne sikre at det ikke gis tilgang til mer enn nødvendig. Vi er derfor bekymret for at den adgangen pasientjournalloven gir, kan føre til unødvendig og utilsiktet spredning av pasientopplysninger.

Pasientjournalloven åpner også for at det kan opprettes behandlingsrettede helseregistre mellom samarbeidende helsepersonell, og det er gitt forskriftshjemmel til å regulere disse forholdene. Uten at slik forskrift gis, er vi bekymret for hvordan praksisen vil utvikle seg på dette området.

Innen helsetjenesten skjer det en omfattende behandling av helseopplysninger, en behandling som regnes som intern kvalitetssikring. Slik behandling av opplysninger er ansett å være lovhjemlet etter blant annet helsepersonelloven § 26, og dermed unntatt fra konsesjonsplikt. Denne hjemmelen er imidlertid svak og uklar etter vår oppfatning, og den er strukket langt med tanke på hvilke former for behandling av opplysninger den anses å gi hjemmel til.

Den nye pasientjournalloven § 9 åpner for samarbeid om pasientjournaler mellom virksomheter, og samtidig åpnes det for at intern kvalitetssikring med den svake hjemmelen i helsepersonellovens § 26 utvides til å dekke alle innen slike samarbeid. Dette kan medføre en økt risiko for at det deles og tilgjengeliggjøres pasientopplysninger uten at hjemmelen er tilstrekkelig dekkende for behandlingen som i praksis skjer. Vi planlegger derfor å gjennomføre kontroller med sykehusenes behandling av pasientopplysninger til intern kvalitetssikring. Formålet med kontrollene er i hovedsak å få kunnskap om praksis knyttet til behandling av opplysninger som er ansett lovhjemlet i helsepersonelloven § 26.

På velferdsteknologiområdet mener vi at det ligger en personvernrisiko i at det ikke foreligger sentrale føringer for bruken i nevneverdig grad. Normens veileder vil gi noen retningslinjer, men det er fortsatt et stort behov for kommunikasjon av klare rammer for hvordan informasjon som genereres fra velferdsteknologi skal behandles.

1.2.5 Annen vesentlig aktivitet

1.2.5.1 Arbeidsliv

Det behandles nødvendigvis store mengder personlige opplysninger i arbeidslivet. Aktuelle problemstillinger er særlig ulovlig innsyn i e-post, elektronisk sporing, kameraovervåking og øvrige kontrolltiltak. Sektoren har ikke vært et prioritert område for Datatilsynet i 2015, men likevel er det gjennomført en håndfull tilsyn, og det har vært behandlet et relativt høyt antall saker.

Tilsyn

I løpet av meldingsåret gjennomførte vi fire tilsyn med behandling av personopplysninger i arbeidslivet som tema:

Skatteetatens rutiner og praksis for opprettelse og lukking av epostkasser og personlige hjemmeområder, ble undersøkt i første halvdel. Vi mente at å rutinemessig avslutte e-postkontoer først 20 dager etter at den ansatte har sluttet, ikke er i overenstemmelse med personopplysningsforskriften. De få avvikene som ble avdekket, ble imidlertid raskt fulgt opp av Skatteetaten, og dermed ble det ikke nødvendig å fatte noe vedtak om pålegg.

Statoil fikk i samme periode kontrollert sine rutiner for opprettelse og avslutning av e-postkasser og hjemmeområder, og også i denne saken ble avvikene raskt fulgt opp slik at det ikke var nødvendig å fatte vedtak.

Rutiner og praksis for opprettelse og lukking av e-post og personlige hjemmeområder var også tema for en kontroll ved Universitetet i Bergen (UiB). Kontrollen omfattet også arbeidsgivers innsyn i e-post og hjemmeområde. Vi varslet pålegg om å slette innholdet i e-postkasse og privat hjemmeområde for ansatte senest seks måneder etter arbeidsforholdets opphør. Vi varslet også pålegg om å deaktivere studenters e-postkonto senest to måneder etter at studieretten opphører, og om å slette innhold i studenters e-postkasse og hjemmeområde senest seks måneder etter at e-postkontoen er avsluttet. Beslutningen om fristen på seks måneder, har en særlig begrunnelse i ansettelsesforholdet for vitenskapelige stillinger ved universitetet, og er fristen som er hovedregelen i vår praksis. UiB bekreftet at avvikene var blitt rettet opp, og vi avsluttet dermed saken.

Vi gjennomførte også en kontroll hos Namsfogden i Oslo. Kontrollen resulterte i pålegg om at namsfogden må etablere internkontroll, og at de må utarbeide oversikt over hvilke personopplysninger som behandles om de ansatte og til hvilke formål, samt det rettslige grunnlaget for behandlingene. I tillegg ble Namsfogden pålagt å dokumentere rutiner for ivaretagelse av de registrertes innsynsrettigheter og rutiner for retting og sletting av personlige opplysninger. Namsfogden har frist til mars 2016 med å rette opp påleggene.

Saksbehandling og sentrale nemndavgjørelser

I meldingsåret endte ni saker med overtredelsesgebyr i størrelsesordenen 75 000–100 000 kroner. Sakene gjaldt ulovlig innsyn i e-post, kameraovervåking på arbeidsplassen og bruk av elektronisk kjørebok. To av avgjørelsene ble påklaget og er til behandling i Personvernnemnda.

Personvernnemnda har behandlet to klagesaker om personvern i arbeidslivet i 2015. Den ene gjaldt plasseringen av behandlingsansvaret i en sak om GPS-registrering av kjøretøy som utførte oppdrag på bestilling fra en norsk kommune. Nemnda var uenig med oss i at behandlingsansvaret måtte ligge hos arbeidsgiveren, og sendte saken tilbake for videre saksbehandling. Den andre saken gjaldt sletting av opplysninger i personalmapper. Vi mente at vilkårene for sletting ikke var til stede, noe nemnda var enig i.

Øvrige aktiviteter

Vi deltar i arbeidet med en ny felles veileder om overvåking og kontroll i arbeidslivet sammen med Arbeidstilsynet, Petroleumstilsynet og partene i arbeidslivet. Prosjektet ble startet i 2015, og ledes av Arbeidstilsynet. Arbeidet fortsetter i 2016.

1.2.5.2 Finanssektoren

Banker, kredittopplysningsselskaper og forsikringsselskaper behandler personopplysninger om stort sett alle i Norge. Det er snakk om store mengder opplysninger om til dels veldig personlige og følsomme forhold. Selskapene leverer tjenester som hver og en av oss er avhengige av, og som er viktige for samfunnet. I møte med disse institusjonene er enkeltindividet på mange måter prisgitt at de lovene og reglene som er gitt for å beskytte deres interesser, blir fulgt og virker etter sin hensikt.

Finanssektoren har imidlertid ikke vært et prioritert område i 2015. Det har derfor vært noe begrenset aktivitet på området, men det har blitt gjennomført ett tilsyn med forsikringsselskapenes fellesregistre, ved Finans Norge. Kontrollens tema var forsikringsselskapenes sentrale skaderegister («FOSS»), og Finans Norges rutiner for etterlevelse av den eksisterende konsesjonen gitt av Datatilsynet i 2008. Kontrollen avdekket ingen avvik, og saken er avsluttet.

Vi har videre gitt løpende veiledning til virksomheter og til bransjeorganisasjoner, hatt ett kontaktmøte med Finanstilsynet og ett med Finans Norge, og har dessuten behandlet i underkant av 30 konsesjonssaker innenfor disse sektorene, inkludert norske kredittopplysningsvirksomheter.

1.2.5.3 Teknologi, internett og telekom

Arbeidet med å få oversikt over lagringen av personopplysninger innen telekom- og internettsektoren, fortsatte i 2015, og det har vært et godt samarbeid med Nasjonal kommunikasjonsmyndighet (Nkom). Berørte operatører har også gitt god informasjon om hva som lagres av trafikkdata, signaleringsdata (data som opplyser om hvilken radiocelle mobilen kommuniserer med på et gitt tidspunkt, og hvor denne befinner seg på et gitt tidspunkt. Signaleringsdata er de meta-trafikkdata og opplysninger nettet og mobilen bruker for å kunne fungere sammen) og liknende data, samt hva som er lagringstid og formålet med lagringen. Vi ser at det er en økende grad av lagring av opplysninger om hver enkelt, og grunnen til dette kan blant annet være håndtering av sikkerhet. Implikasjonen dette har på den enkelte av oss er større enn før, siden det nå for det meste er snakk om mobilt utstyr som vi bærer med oss hele døgnet. Arbeidet fortsetter i 2016.

Med bruk av smarttelefoner der mobilen mer eller mindre kontinuerlig sjekker e-post eller av andre grunner kobles opp mot internett, vil trafikkdata og signaleringsdata være informasjon som forteller noe om vår minste bevegelse hvert minutt i løpet av dagen. Våre bevegelser logges så å si kontinuerlig hele dagen i opptil 30 dager for de omfattende signaleringsdataene, og opp til tre måneder for trafikkdata. I tillegg til lokasjonsinformasjon logges også hvilken internettadresse du har benyttet til enhver tid. Dette sammen med informasjon om hvordan du benytter mobilen, er omfattende kunnskap om den enkelte av oss – kunnskap som i utgangspunktet er for invaderende å logge bare for å fakturere oss eller for å få nettet til å virke.

Tilsyn med kryptering av datasentertrafikk

I 2015 gjennomførte vi tilsyn med tre store virksomheter som leverer datasentertjenester. Formålet var å undersøke om det var etablert kryptering av kommunikasjonen mellom leverandørens datasentre, og mellom kunde og datasenter. Blant annet har Snowden-avsløringene vist at ukryptert datasentertrafikk er en sårbarhet som må tas alvorlig, og dessverre har bransjestandarden her vært at slik trafikk blir kjørt ukryptert over blant annet fiberlinjer. Selv om det kreves en vesentlig innsats for å avlytte og få tilgang til trafikken som går over slike linjer, er konsekvensene ved avlytting svært store, og kryptering er nødvendig. Sakene er fremdeles til behandling.

Kameraovervåking og kamerateknologi

I meldingsåret var kameraovervåking det temaet som var mest hyppig besøkt på våre nettsider. Vi fikk inn over 1000 henvendelser på e-post og telefon med spørsmål omkring bruk av kamera og personvern. Mange av henvendelsene kommer fra personer som føler seg urettmessig overvåket, men også fra virksomheter som ønsker råd og veiledning i tilknytning til planlagt kameraovervåking.

Vi gjennomførte åtte kameratilsyn i løpet av 2015 innenfor utelivsbransjen, trenings- og velværebransjen, samt restaurant- og utelivsbransjen. Disse bransjene ble valgt på grunn av mange henvendelser angående bruken av kamera.

I 2015 har vi også sett særlig på kameraovervåking av offentlige områder. Vi ser tydelig at overvåkingsfrie rom i samfunnet er under press. Bruken av kameraovervåking som et middel for å dokumentere kriminalitet, overkjører regelmessig hensynet til privatlivets fred og enkeltpersoners frihet mot ubegrunnet personovervåking. Vi ser det som en utfordring at mesteparten av sosial og individuell adferd, blir registrert og kontrollert.

Både offentlige myndigheter og private virksomheter overvåker offentlige områder. Vi gjennomførte i 2015 et tilsyn i Brumunddal politidistrikt, og gikk i etterkant i dialog med Politidirektoratet for å avklare politiets bruk av kameraovervåking, samt behovet for overvåking i det offentlige rom. I tillegg gjennomførte vi tilsyn med en privat aktør som overvåket et spesifikt område i Oslo bestående både av butikker og private boliger. Vi ser et behov for å undersøke kommersielle aktørers bruk av kameraovervåking videre, for å hjelpe aktørene å overholde personopplysningsloven.

I meldingsåret skrev vi dessuten en intern rapport om intelligent videoanalyse. Formålet var å heve kompetansen internt når det kommer til ny kamerateknologi og bruksområdet for dette.

Energisektoren og smartmålere

I 2015 har mange virksomheter sett på mulighetene for å utnytte potensialet som nye smarte strømmålere legger til rette for, ofte i kombinasjon med annen teknologi for smarte hjem. Styring av strømforbruket med smartteknologi vil kunne få stor positiv effekt på forbruket. Imidlertid må man passe på at personvernet ikke svekkes. Også EU-kommisjonen har sett muligheten for at personvernet kan bli berørt, og krever at datatilsynsmyndighetene blir hørt. Kommisjonen har derfor laget et notat om håndtering av personvernkonsekvensene ved smarte strømmålere, med påfølgende rådgivningsarbeid for datatilsynene i Europa i årene som kommer. Vi har deltatt i dette arbeidet på europeisk nivå sammen med de øvrige personvernmyndighetene.

Biometri

I løpet av meldingsåret har vi sett en økt bruk av biometri. Det ble blant annet kjent at BankID samlet inn tastebiometri om bankkunder på vegne av bankene. Det ble lagd biometriske profiler på bankkundene basert på hvordan de tastet passord i påloggingsprosessen, uten at de fikk tilfredsstillende informasjon om dette. Vi har også hatt flere møter om biometri både med bransjen og ulike konsulenter.

Publisering av personopplysninger på internett

I 2015 har vi arbeidet med to kategorier innenfor området «personopplysninger på internett». Den første kategorien er indeksering i søkemotorer og retten til å bli glemt. Den andre er såkalte rating-sider, slik som for eksempel legelisten.no.

Retten til å bli glemt

EU-domstolen avgjorde i mai 2014, at enkeltpersoner kan få søketreff tilknyttet deres navn avindeksert dersom de får medhold i at søketreffet er belastende, misvisende eller irrelevant. Avindeksering innebærer at opplysningene ikke lenger vil være tilgjengelige ved søk på vedkommendes navn og blir derfor kalt «retten til å bli glemt». Vi har i 2015 mottatt 21 saker der Google har gitt avslag og der avslaget blir klaget inn til oss. Av disse har fem fått medhold og ni har fått avslag på klagen sin. Siden 2014 har to av våre avslag blitt påklaget til Personvernnemda.

| 2014 | 2015
Medhold | 4 | 5
Avslag | 4 | 9
Veiledning/annet | 2 | 7
Antall saker totalt | 10 | 21

Ratingsider

Vi har i meldingsåret arbeidet videre med saker som gjelder «ratingsider» på nett. Dette er sider der brukere rangerer personer innenfor et yrke. Vi har blant annet behandlet klager knyttet til minLærer.no og legelisten.no. Vi har kommet frem til at norskdrevne nettsider som behandler opplysninger og vurderinger om navngitte enkeltpersoner, som utgangspunktet har behandlingsansvar for innholdet på siden, og må dermed følge personopplysningsloven. Vi har i 2015 vært i dialog med bransjen for å avklare hvor grensen går for hva slags type informasjon som er relevant og saklig, og som kan publiseres innenfor lovens rammer.

1.2.5.4 Samferdsel

Innen samferdselssektoren har vi særlig arbeidet med Intelligente transportsystemer (ITS), ikke minst på grunn av ITS-loven som legger til rette for flere tjenester på sektoren. Retten til å ferdes anonymt er en viktig rettighet, men den utfordres siden teknologiske løsninger hele tiden legger opp til å vite mer om den enkelte og lokalisering av personer. Smarte byer og intelligente transportsystemer gir utfordringer for personvernet, og vi har i 2015 fortsatt arbeidet med ITS via samarbeid med andre etater, foredragsvirksomhet og veiledning.

1.2.5.5 Forskning og utvikling (FoU)

Formålet med Datatilsynets satsing på forsknings- og utviklingsarbeid, er å gjøre oss selv bedre til å sette personvernhensyn inn i en samfunnsmessig kontekst, og til å fange opp trender og utviklingstrekk på et tidlig stadium. I tillegg ønsker vi å stimulere og støtte personvernrelevant forskning som kan gi positive samfunnsmessige ringvirkninger.

Partnerskapsavtale med CCIS

Den viktigste begivenheten på FoU-området i 2015, var inngåelsen av en partnerskapsavtale mellom CCIS (Center for Cyber and Information Security) og Datatilsynet. CCIS ved Høgskolen på Gjøvik (som inngikk i NTNU fra 1. januar 2016) innehar Norges største akademiske fagmiljø innen informasjonssikkerhet. Vi vil gjennom partnerskapet med CCIS bidra til at hensynet til personvern blir vektlagt i forskningsprosjekter om cyber- og informasjonssikkerhet, og ved utvikling av nye sikkerhetsløsninger. Samarbeidet innebærer også en betydelig satsing på prosjekter med personvern som fagfelt.

Forskningsprogrammet Secure Societies

Datatilsynet ble i 2015 invitert til å delta i referansegruppen for forskningsprogrammet «Secure societies – Protecting freedom and security of Europe and its citizens», som går i regi av Forskningsrådet.

Forskningsprogrammet er en del av et omfattende forsknings- og innovasjonsprogram i EU, kalt «Horizon 2020». Programmet går over syv år (2014 til 2020), og har betydelige midler til rådighet. Også norske aktører kan søke om midler til forskning og innovasjon. Underdelen «Secure societies – Protecting freedom and security of Europe and its citizens» handler om forsknings- og innovasjonsaktiviteter for å beskytte borgere, samfunn og økonomi, samt infrastrukturer og tjenester, velstand og politisk stabilitet.

Referansegruppen består i hovedsak av universiteter, høyskoler, forskningsinstitusjoner og offentlige myndigheter innen justis- og beredskapssektoren. Vi ser det som viktig at også personverninteressene blir representert i forskningsprogrammet. Vi deltok i desember på referansegruppens første møte, og vil også i 2016 delta aktivt i referansegruppen. I tillegg deltar vi løpende i prosjektet via andre kanaler dersom det er behov for det.

Forskningsprosjekt om crowdsourcing

Vi er også representert i referansegruppen til forskningsprosjektet «Social Responsible Crowdsourcing for Environmental Research and Decision» (iResponse). Flere forskningsinstitutter og andre aktører samarbeider her om å utvikle såkalte crowdsourcing-verktøy. Prosjektet finansieres av Forskningsrådets program SAMANSVAR, som legger særlig vekt på ansvarlig innovasjon og Corporate Social Responsibility (CSR). Ivaretakelse av personvernhensyn er selvsagt viktig ved utvikling av slike verktøy. Vi deltok med én representant i den første og innledende workshopen i prosjektet, og har også bidratt med rådgivning undervegs. Vår aktive deltakelse i prosjektet fortsetter også i 2016.

Bistand til mastergradsstudenter

Vi har også stilt vår kompetanse til rådighet for flere mastergradsstudenter som ønsket å skrive om personvern og vi har kommet med forslag til mastergradsoppgaver.

Forskning på internett

Våren 2015 fattet vi et vedtak i en sak som fikk mye medieoppmerksomhet. Det gjaldt forskning på internett. Debatten som fulgte bar preg av stort engasjement, og vi antar at dette var fordi saken gjaldt forskning på fremmedkrigere og ekstremisme. Også folkevalgte på Stortinget og medlemmer av regjeringen deltok i ordskiftet. Enkelte mente vi tolket regelverket for strengt, og det ble tatt til orde for regelverksendringer.

Vi hilser selvsagt en debatt som gjelder tolking av personopplysningsloven og Datatilsynets konsesjonspraksis velkommen. Vi mener imidlertid at det er viktig at debatten løftes til å gjelde generelle prinsipper for bruk av åpne kilder på internett i forskningen. En debatt basert på et ønske om å stoppe ekstremisme gjør at nyansene er vanskelige å få øye på. Vi har forståelse for at det er lett å si seg enig i at en person som står frem på sosiale medier som selverklært fremmedkriger, har diskvalifisert seg fra de rettssikkerhetsgarantier som personopplysningsloven gir. Vår hypotese er at det kanskje ikke er like lett å si seg enig i at enhver person som ytrer seg offentlig på internett, gir avkall på sine personvernrettigheter. Vi er opptatt av å understreke at det også på internett skal være et skille mellom allment tilgjengeliggjorte opplysninger og opplysninger som er ment for et mer begrenset publikum. En person som erklærer sin sorg på sin avdøde venns åpne Facebook-profil, vil fortsatt måtte regne med å bli kontaktet dersom en forsker ønsker å bruke vedkommendes utsagn i sin forskning.

Vi er for øvrig helt på linje med den nasjonale etiske komite for samfunnsforskning og humaniora (NESH), som har utarbeidet retningslinjer i forskningsetikk for forskning på internett. Disse retningslinjene ble vektlagt i vedtaket som ble fattet i 2015, og vil fortsatt være relevant for eventuelt nye saker vi får inn hvor forskning på åpne kilder på internett er tema.

1.2.5.6 Kommersiell utnyttelse av personopplysninger

I 2015 publiserte Datatilsynet rapporten «Det store datakappløpet. Hvordan kommersiell utnyttelse av personopplysninger utfordrer personvernet». Rapporten ble skrevet fordi vi er vitne til en utvikling der personopplysninger får stadig større kommersiell verdi i medie- og annonsemarkedet. Den harde globale konkurransen om annonsekronene fører til et datakappløp der den aktøren som sitter på mest data om den enkelte, er vinneren. Jo mer data aktørene har om den enkelte, jo bedre kan de tilpasse reklamen. Det er i dag nærmest umulig å bevege seg på nett uten å bli sporet. Vår rapport viste at det i gjennomsnitt er 43 ulike tredjeparter inne på en norsk nettavis og samler inn data om brukeren. Rapporten trakk frem følgende hovedutfordringer ved dagens digitale annonsemarked:

Markedet er lukket, komplekst og vanskelig å få innsyn i for utenforstående.

Internettbrukere utsettes for massiv sporing av tredjepartsaktører på nett.

Det gis liten eller ingen informasjon fra nettstedseierne om hvilke aktører som er tilstede på sidene, hvilke data de samler inn og hvordan de brukes.

Jo mer data som samles inn om den enkelte, jo høyere priser kan enkeltbrukere omsettes for på de globale annonsebørsene. Dette stimulerer til en omfattende kartlegging av den enkelte.

Aktørene i verdikjeden hevder de kun benytter anonyme data. Datatilsynet mener derimot at det håndteres unike brukere på børsene og at det håndteres personopplysninger i verdikjeden.

Rapporten kommer med en rekke forslag til anbefalinger og tiltak. I 2016 vil vi jobbe videre med disse tiltakene og sørge for at de følges opp. De viktigste anbefalingene og tiltakene i rapporten er disse:

Nettstedeierne må ta ansvar for tredjepartsaktørene de slipper til på sidene sine.

Innsamling av personopplysninger til profilerings- og markedsføringsformål, må hvile på aktivt samtykke.

«Take it or leave it»-løsninger må unngås.

Samtykkeerklæringene må bli bedre

Data må slettes.

Det må gis innsyn i profilene.

Tilpasset annonsering må ikke basere seg på sensitive opplysninger om for eksempel helseforhold

Rapporten fikk stor oppmerksomhet i pressen og av andre relevante aktører da den ble publisert, og i 2016 vil den lanseres også internasjonalt.

1.2.5.7 Den internasjonale personverndagen

Den internasjonale personverndagen 28. januar, ble for tredje gang markert i samarbeid med Teknologirådet. Tema for årets frokostseminar og tilhørende rapport var blant annet barn og unges personvern, digitalisering av skolen, tingenes internett og «livet etter Snowden». Seminaret ble raskt fulltegnet, med over to hundre deltakere. Vi mener at vi på denne måten har fått benyttet anledningen som den internasjonale personverndagen representerer, til å få satt personvern ekstra på dagsorden, med oppmerksomhet og omtale også i mediene. Arrangementet, og samarbeidet med Teknologirådet, er vurdert som så vellykket at det vil bli gjentatt også i 2016.

1.2.5.8 Internet Sweep Day – personvern i apper for barn

For tredje året på rad deltok vi i Internet Sweep Day, i regi av det internasjonale samarbeidsnettverket GPEN (Global Privacy Enforcement Network). Temaet for 2015 var personvernet i apper rettet mot barn opp til 13 år. Datatilsynet undersøkte (sveipet) i den forbindelse 60 apper – både norskproduserte og internasjonale – som er populære blant norske barn.

Funnene ble beskrevet i en rapport lansert i september 2015. Her er de viktigste tallene fra det norske sveipet:

75 prosent av appene vi sveipet samler inn personopplysninger, og 62 prosent av de som samler opplysninger oppgir at de deler disse med tredjeparter.

I omtrent halvparten av appene som behandler personopplysninger, er det uklart hvorfor de samler inn en eller flere av opplysningene.

70 prosent av appene vi sveipet hadde en personvernerklæring.

Kun ti prosent av appene har mekanismer som hjelper barna med å ivareta personvernet sitt.

1.2.5.9 Personvernombudsordningen

Personvernombudsordningen er frivillig og gir virksomheter som velger å ha ombud fritak fra meldeplikten til Datatilsynet. Ombudet skal fungere som en ressursperson med spesialkompetanse på personvern i virksomheten, og skal ha oversikt over hvilke personopplysninger som blir behandlet til ulike formål. Personvernombudet vil derfor kunne hjelpe virksomheten til å håndtere personvernutfordringer som måtte oppstå.

Ved utgangen av 2015 hadde Datatilsynet registrert 271 personvernombud. Noen av disse er ombud for flere virksomheter, og til sammen representerer de 470 virksomheter.

Tabell 1.9 Oversikt over utviklingen av personvernombudsordningen de siste årene

| 2012 | 2013 | 2014 | 2015
Personvernombud | 203 | 210 | 233 | 271
Virksomheter med ombud | 390 | 420 | 450 | 470

I 2015 gjennomførte vi flere kurs for personvernombudene; to grunnkurs, to juridiske påbyggingskurs, to påbyggingskurs i informasjonssikkerhet og internkontroll, og et dagsseminar for personvernombud fra helse- og forskningsvirksomheter. I tillegg ble en større fagdag med over 100 deltakere arrangert i oktober. Vi har merket økt interesse for kursene i meldingsåret, med opp mot 50 påmeldte på hvert av de kursene som ble arrangert på høsten.

Personvernombudene beskriver våre kurs og seminarer som viktige for deres mulighet til å gjøre en god jobb og relevant for arbeidet deres med personvern i virksomhetene.

EUs nye personvernforordning peker mot store endringer på personvernombudsfeltet, blant annet ved at ordningen blir obligatorisk for en del virksomheter. I 2015 var det fremdeles uklart akkurat hva endringene vil innebære, men vi har startet arbeidet med å forberede oss internt og eksternt på at det nye regelverket kommer.

1.2.6 Internasjonalt arbeid

Internasjonalt arbeid er viktig for Datatilsynet. Siden Norge ikke er medlem i EU, kan det være utfordrende å skaffe seg påvirkningsmuligheter inn mot EUs beslutningsprosesser. Målet for 2015 var å søke større synlighet på den internasjonale arenaen, og finne fora hvor vi kan være med og komme til orde. Vi har benyttet alle de fora vi er representert i til å søke oppmerksomhet.

Ettersom internasjonalt samarbeid blir stadig viktigere fremover med et harmonisert regelverk på personvernområdet, er det viktig for oss å ha et godt internasjonalt nettverk.

Artikkel 29-gruppen (Art. 29 Data Protection Working Party – WP 29)

Artikkel 29-gruppen er opprettet i henhold til personverndirektivet, og er den øverste rådgivende forsamlingen for EU-kommisjonen i spørsmål om personvern og informasjonssikkerhet. Her møter alle lederne for EU-landenes datatilsynsmyndigheter. Norge har observatørstatus som EØS-land, og møter med en representant for ledelsen i Datatilsynet. Det er avholdt fem møter i Artikkel 29-gruppen i 2015, og Datatilsynet har vært representert på alle.

Blant annet har Artikkel 29-gruppen kommet med kommentarer til C-SIG Code of Conduct on Cloud Computing. Dette er et veldig aktuelt tema, ettersom mange benytter skytjenester og vi får mange spørsmål om dette. Vi har over tid etterspurt en internasjonal standard.

Naturligvis har året dessuten vært preget av arbeidet med det nye felles europeiske personvernregelverket, og Artikkel 29-gruppen har jevnlig avgitt uttalelser til EU-kommisjonen om forskjellige spørsmål i den anledning.

Safe Harbor-saken

Safe-Harbor avgjørelsen har naturlig nok også preget mye av arbeidet i Artikkel 29-gruppen etter at avgjørelsen kom i oktober.

EU-domstolen avgjorde 6. oktober at EUs Safe Harbor-beslutning fra 2000 er ugyldig. Beslutningen hadde inntil da gitt grønt lys for selskaper som ønsker å overføre persondata til amerikanske selskaper som er Safe Harbor-sertifisert. Listen over kjente amerikanske IT-giganter på Safe Harbor-listen er lang, men etter at rammeverket ble kjent ugyldig, er konsekvensen at man ikke kan belage seg på denne mekanismen når man skal overføre data om personer til USA. Slike dataoverføringer skjer både helt målrettet, som for eksempel via eposter adressert til mottakere i USA, men også mer indirekte, for eksempel ved bruk av skytjenester, sosiale medier, web-analyseprogramvare og apper.

Domstolen uttalte også at de nasjonale datatilsynenes uavhengighet står i veien for at EU-kommisjonen fatter eksklusive beslutninger om hvorvidt beskyttelsen i et ikke-medlemsland er tilfredsstillende etter europeiske standarder eller ikke. Til nå har datatilsynsmyndighetene i Europa, inkludert Datatilsynet i Norge, vært svært tilbakeholdne med å vurdere tredjeland på egenhånd, men det kan nå komme til å endre seg. Avgjørelsen føyer seg inn i en lang rekke saker der datatilsynsmyndighetenes uavhengighet blir fremhevet som et essensielt element i europeisk personvern.

Konsekvensen for norske dataeksportører blir merkbare. Ettersom Safe Harbor ikke lenger kan benyttes som grunnlag for å overføre data fra Norge, må man finne andre løsninger, eller avstå fra å eksportere persondata til USA. I 2016 skal personvernmyndighetene i EU se på hvilke konsekvenser dommen får for overføring av personopplysninger i medhold av andre rettsgrunnlag, som EUs standardkontrakter og bindende konserninterne regler (BCR).

Vi var raskt ute med å informere om den endrede rettstilstanden. Vi sendte blant annet ut skriftlige orienteringer til samtlige 110 virksomheter som har meldt inn til oss at de overfører persondata til aktører i USA i medhold av Safe Harbor-ordningen, og hadde fyldig informasjon tilgjengelig på våre nettsider.

Technology Subgroup

Technology Subgroup er en arbeidsgruppe som gjør saksforberedelser for Artikkel 29-gruppen. Disse forberedelsene danner grunnlag for mange av Artikkel 29-gruppens uttalelser. Vår deltakelse i arbeidsgruppen gir god mulighet til å fremme norske synspunkter innenfor spørsmål om bruk av teknologi og koblingen til juss og regelverk. Undergruppen diskuterer også konsekvensen av nye teknologier som påvirker personvernet, noe som er svært nyttig som informasjonskilde for oss. Vi benytter også anledningen til å fremme våre forslag inn i gruppen. Datatilsynet har vært representert på samtlige møter avholdt i 2015 med en erfaren teknolog.

Future of Privacy Subgroup (FOP)

Dette har vært det første året som medlem av denne undergruppen til Artikkel 29-gruppen. Ved siden av å øke Datatilsynets synlighet, vurderte vi det som viktig å være med i denne undergruppen da mye av diskusjonene om den nye forordningen ville skje her. Det har vist seg svært verdifullt for oss. Vi har blant annet evnet å være en god samtalepart for både Justisdepartementet og Kommunal- og moderniseringsdepartementet om den ny forordningen. Vi er representert med én jurist i denne undergruppen, og vi har vært med på alle møter som har vært holdt siden vi ble medlem.

Berlingruppen

Berlingruppen er et fellesskap som arbeider med personvern innen elektronisk kommunikasjon i utvidet forstand. I det vesentlige er det personvernmyndigheter som deltar. Gruppen avgir uttalelser (Working Papers) om aktuelle personvernspørsmål.

Datatilsynet har over flere år vært en aktiv deltaker i Berlingruppen. Som et tiltak for å bli mer synlig på den internasjonale arena, har vi jobbet aktivt for å få møtet i 2016 til Oslo. Det er nå bestemt, og i 2015 startet vi opp planleggingen av møtet.

Den internasjonale personvernkonferansen

Datatilsynet er medlem av den internasjonale personvernkonferansen, og i 2015 støttet vi en resolusjon som ble vedtatt på konferansen. Vårt engasjement på konferansen var en videreføring av jobben med Big Data-resolusjonen som vi fremmet året før.

Temaet for årets konferanse var «Building Bridges» – hvordan jobbe for bedring av personvernet i grensedragningen mellom Europa og USA. Temaet er svært aktuelt slik dommen fra EU-domstolen viste senere på året. Vi deltok med et innlegg i en sesjon om barn og unges personvern, der vi fortalte om vårt arbeid i Du Bestemmer-prosjektet. I forkant av konferansen ble det også utarbeidet et «paper» der Du Bestemmer ble grundig beskrevet på engelsk.

Global Privacy Enforcement Network – GPEN

I tillegg til å delta i GPEN Privacy Sweep Day i mai (les under Årets viktigste aktiviteter, Annen vesentlig aktivitet), har Datatilsynet bidratt økonomisk til å etablere tjenesten GPEN Alert. GPEN Alert er et multilateralt varslings- og kommunikasjonssystem som gjør det mulig for datatilsynsmyndigheter å dele informasjon på tvers av grenser. Vi har også vært med å teste dette systemet, som er utviklet og drives av Federal Trade Commission (FTC) i USA.

Vi deltar jevnlig på «GPEN conference calls» der tilsyn fra hele verden deler erfaringer fra arbeidet sitt.

Schengen Coordination Group (SCG)

Vi er fullverdig medlem av Schengen-koordinasjonsgruppen som møtes i EU-parlamentet i Brüssel. Vi har deltatt på to møter i 2015.

I tillegg deltok en ekspert fra Datatilsynet i tilsynsteamet som inspiserte Schengen informasjonssystem i Tyskland sommeren 2015. Vi planlegger også fremover å være med på kontroller av andre Schengen-land.

Eurodac og Visumsamarbeidet i Europa

Vi er fullverdig medlem av begge disse kontrollgruppene. De har som regel møter sammen, i og med at temaene for fingeravtrykk og visum i stor grad retter seg mot samme gruppe personer. Vi deltok på begge møtene som ble avholdt i 2015.

Samarbeid med de nordiske datatilsynsmyndighetene

Det nordiske datatilsynsmøtet ble arrangert i Helsinki i mai 2015. Hovedtemaet var ny forordning og hvordan de nordiske landene planla å implementere de nye reglene. Møtet i mai ble fulgt opp av et nytt møte senere på høsten, der vi utvekslet planer for dette arbeidet.

Det er i tillegg jevnlig kontakt med de nordiske datatilsynsmyndighetene i form av uformelle samtaler og på andre internasjonalen møter. Ny personvernforordning har vært et tema som vi stadig har utvekslet erfaringer om.

Internasjonal presentasjon av kommersialiseringsrapporten

Rapporten om kommersialisering av personopplysninger har blitt presentert for forskjellige internasjonale institusjoner og i forskjellige fora. Vi har fått gode tilbakemeldinger på både denne rapporten og på den tidligere rapporten om Big Data. Vi mener vi har lykkes godt med de initiativene vi har tatt internasjonalt. Rapporten ble i 2015 presentert i Berlingruppen, for EUs datatilsyn – European Data Protection Supervisor og for den norske EU-delegasjonen. Arbeidet med å påvirke internasjonale aktører vil fortsette i 2016.

Bistand til personvernmyndigheten i Makedonia

Det norske Utenriksdepartementet ga i desember 2014 fortsatt finansiell støtte til Republikken Makedonia til utvikling av landets personvernmyndighet. Datatilsynets makedonske søsterorganisasjon arbeider nå med å ferdigstille sitt opprinnelige prosjekt, som hovedsakelig dreier seg om personvern i sosiale nettsamfunn og om utfordringer knyttet til bruk av skytjenester. I tillegg er prosjektmandatet blitt utvidet til også å utvikle et nærmere samarbeid mellom flere lands personvernmyndigheter på Vest-Balkan. Målet er å dra nytte av de positive erfaringene som er gjort i vårt samarbeidsprosjekt så langt. Ikke minst gjelder dette etableringen av en veiledningstjeneste for de som opplever seg krenket på internett, etter inspirasjon fra vår norske tjeneste slettmeg.no. Denne tjenesten vil lanseres i Makedonia i februar 2016.

Vårt bidrag har i 2015 hovedsakelig bestått i å organisere et studiebesøk til Norge. I september tok vi mot en delegasjon på ti personer som, foruten Makedonia, representerte personvernmyndighetene i Bosnia Herzegovina, Albania, Serbia, Montenegro og Kosovo. Våre gjester besøkte da Norsk senter for informasjonssikring (NorSIS) på Gjøvik, som presenterte slettmeg.no. I tillegg orienterte vi fra vår side om våre erfaringer med nordisk samarbeid, undervisningsopplegget Du bestemmer og flere andre temaer.

De makedonske personvernmyndighetene arbeider for å etablere en årlig samarbeidskonferanse for personvernmyndighetene på Vest-Balkan. Vi vil, sammen med NorSIS, stille med foredragsholdere og aktive deltakere på konferansen som arrangeres i februar 2016.

1.2.7 Nasjonale samarbeidsrelasjoner

Datatilsynet har utstrakt kontakt med andre aktører. Nedenfor følger en oversikt over vår mest sentrale deltakelse i nasjonale fora.

I tillegg til disse kommer det et stort antall kontaktmøter med sentrale aktører og samarbeid av mer kortvarig art. Datatilsynet har også avtaler om faglig samarbeid med Nasjonal Sikkerhetsmyndighet (NSM), Nasjonal kommunikasjonsmyndighet (tidligere Post- og teletilsynet) og Arbeidstilsynet.

Standardisering – komitédeltagelse

Vi deltar i komiteer for standardisering der arbeidet har direkte relevans for vårt arbeidsområde. Standarder er førende for virksomhetenes praksis, også når det gjelder behandling av personopplysninger. Formålet med deltakelsen i komiteene er å sikre kunnskap om pågående prosesser internasjonalt, påvirke fremtidige rammebetingelser, samt bidra til å påvirke relevante standarder med hensyn til personvern og informasjonssikkerhet. Det er også viktig å få innblikk i hvilken praksis som anses som god, samt holde kontakt med fagmiljøet.

Datatilsynet deltar i tre komiteer:

SN/K 171 arbeider i hovedsak relatert til ISO/IEC JTC 1/SC 27 IT Security techniques.

SN/K 175 Intelligente Transportsystemer (ITS).

SN/K 188 Person-ID, kortsystemer, biometri, sikre signaturer, borgerkort.

Norsk Biometri Forum

Datatilsynet deltar i Norsk Biometri Forum som er et uformelt forum for presentasjon og diskusjon innenfor biometri. Det er lagt stor vekt på å få inn nye ideer, samtidig som møtene benyttes til orientering om pågående prosjekter innenfor offentlig og privat sektor.

I prinsippet er forumet åpent for alle interesserte innen offentlig sektor, næringsliv og forskning. Forumet møtes omtrent to ganger i året, og har deltakere fra departementer, direktorater og en del private bedrifter, samt Høgskolen i Gjøvik. Dette forumet arrangeres i tett samarbeid med Forum for Research and Innovation in Security and Communications (FRISC) og European Association for Biometrics (EAB).

ITS-rådet (ITS – Intelligente Transport Systemer)

Én representant fra Datatilsynet er oppnevnt som medlem av ITS-rådet. Rådets overordnede formål er å bidra til implementering av ITS-løsninger i Norge, og å bygge opp under de norske transportpolitiske målene om trafikksikkerhet, fremkommelighet, miljø og tilgjengelighet for alle. ITS-rådet skal også fremme samarbeid og medvirkning i nasjonale og internasjonale prosesser og markeder for ITS. Rådet ledes av vegdirektøren, og har 14 faste medlemmer. I tillegg inviteres deltakere etter behov.

ID-nettverket for en helhetlig ID-forvaltning

Datatilsynet deltar sammen med flere andre sentrale organisasjoner i dette nettverket. Hovedmålet til nettverket er å arbeide for en helhetlig ID-forvaltning i Norge, og for å forebygge kriminalitet for dermed redusere trusselen mot velferdsstaten. Datatilsynets deltakelse er viktig både for å ivareta personvernet i ID-forvaltningen, og for å bidra til at sikre løsninger etableres.

Referansegruppe for policyutvikling for bruk av skytjenester

Kommunal- og moderniseringsdepartementet (KMD) etablerte høsten 2014 en interdepartemental arbeidsgruppe som skal kartlegge hindringer i regelverket for bruk av skytjenester. KMD har samtidig etablert en ekstern referansegruppe med interessenter, potensielle brukere og eksperter fra relevante områder, for å se på policyutvikling for bruk av skytjenester i offentlig sektor.

Datatilsynet deltar med én representant i referansegruppen. Det har vært avholdt tre møter i 2015.

Arbeidet knyttet til forslaget om ny personvernforordning i EU

Datatilsynet har vært aktive i Justis- og beredskapsdepartementet (JD) sin referansegruppe i forbindelse med nasjonal representasjon i Brussel. I denne gruppen har også representanter for KMD vært med. Vår bistand har bestått i å være diskusjonspart med representanter for fagavdelingene i KMD og JD, i forbindelse med de mange forslagene som har vært oppe til behandling i DAPIX (Working Party on Information Exchange and Data Protection). DAPIX er en arbeidsgruppe i EU som forhandler om innholdet i den nye forordningen.

Norm for informasjonssikkerhet i helse-, omsorgs- og sosialsektoren

I september 2006 ble en bransjenorm om informasjonssikkerhet for helsesektoren lansert. Datatilsynet deltar som observatør i styringsgruppen. Ved behov deltar vi også i grupper knyttet til utarbeidelse av faktaark og veiledninger etter normen.

Kommunal informasjonssikkerhet (KINS)

Datatilsynet har deltatt som samarbeidspartner i Kommunal informasjonssikkerhet (KINS). Dette innebærer å delta på styremøter som observatør og bidragsyter, og å delta i planleggingen av KINS sine arrangementer. Vi bidrar også med foredrag eller som paneldeltakere på disse arrangementene.

Samarbeidsprosjektet Du Bestemmer

Du Bestemmer er en læringsressurs som drives i samarbeid mellom Senter for IKT i utdanningen og Datatilsynet, og som ble lansert i januar 2007. Målet med opplegget er å øke ungdoms kunnskap om personvern generelt, samt heve deres bevissthet om valg de gjør ved bruk av digitale medier slik som internett og mobiltelefon. Ungdommene skal lære seg å ta kontroll over egne personopplysninger, men samtidig respektere andres opplysninger. Opplegget er til nå tatt i bruk i over 16 andre land.

Årets aktiviteter er nærmere beskrevet under Årets viktigste aktiviteter, Barn, skole og utdanning.

Norsk senter for Informasjonssikring (NorSIS)

Datatilsynet er representert i styret til NorSIS ved direktøren. Vi har mange overlappende ansvarsområder med NorSIS, og samarbeider derfor med dem om ulike tema, blant annet nasjonal sikkerhetsmåned.

Folkeregisterprosjektet

Det er viktig for Datatilsynet å følge med på utviklingen av hvordan folkeregisteret kommer til å se ut i fremtiden. Vi har per i dag med to representanter i referansegruppen, samt at vi har deltatt i enkelte møter i prosjektet. Vi har i 2015 jobbet særlig med høringen om ny folkeregisterlov og også deltatt i møter med alle interessenter, der vi har redegjort for våre tilbakemeldinger på ny lov. Tilgang til opplysninger fra folkeregisteret er en problemstilling vi jevnlig må forholde oss til.

Nasjonalt råd for Facilitation – NAFAL

Datatilsynet er oppnevnt med én representant i nasjonalt råd for Facilitation (NAFAL), sivil luftfart. Rådets mandat er å fremme forslag til fastsettelse av standarder for effektiv gjennomstrømming av personer, bagasje og varer på lufthavner. Luftfartstilsynet koordinerer gruppen, som har medlemmer fra tolv ulike myndigheter og virksomheter i sivil luftfart.

Bransjenorm for utredningsvirksomhet for forsikringsbransjen

Bransjenormen ble ferdig i 2015. Vi fikk den til uttalelse og skal gi bransjen en tilbakemelding på hva vi mener om den. Det er viktig for oss å presisere at vår rolle nå ikke er å godkjenne normen, men å gi en tilbakemelding.

Bransjenorm for sikkerhetsbransjen

NHO Service har tatt initiativ til å utarbeide en bransjenorm for sikkerhetsbransjen. Arbeidet med normen startet i 2015, og vil fortsette i 2016. Datatilsynet har to representanter i arbeidsgruppen og to i styringsgruppen.

Aktørforum e-signatur

Nasjonal kommunikasjonsmyndighet (Nkom) samler aktørene innen e-signaturområdet til aktørforum, hovedtema er Kommisjonens forslag til forordning om blant annet e-ID og e-signatur. Aktørforumet skal systematisere kontakten mellom aktørene. Datatilsynet deltar med én representant i forumet.

Arbeidsgruppe sikkerhet og abuse

Nkom har sammen med Samferdselsdepartementet (SD) et nasjonalt ansvar for elektronisk kommunikasjon, inkludert internett i Norge. Nkom utøver tilsyn med sikkerhet og beredskap i samferdselssektoren, inkludert logisk sikkerhet på internett. Arbeidsgruppen arbeider med å fremme bransjenormer for internettsikkerhet og i samarbeid med aktørene sørge for bedre sikkerhet i domenenavnsystemet. Datatilsynet deltar med én representant i gruppen.

1.3 Vurdering av framtidsutsikter

1.3.1 Internasjonalt

I desember 2015 ble det politisk enighet om et nytt personverndirektiv i EU. Etter vår vurdering er det et godt regelverk som vil pålegge virksomhetene nye plikter, gi borgerne nye rettigheter og tilsynsmyndighetene nye virkemidler. Særlig viktig er at virksomhetene nå er forpliktet til å ta hensyn til innebygd personvern, de må i en del tilfeller drøfte utviklingsprosjekter på forhånd med Datatilsynet, og flere virksomheter må opprette personvernombud.

Den nye forordningen vil naturligvis være en høyt prioritert oppgave for oss de neste to årene, og vi anslår at vi vil bruke til sammen ti årsverk fordelt på to år på dette arbeidet. Budsjettet vårt ble vesentlig styrket i 2016. Dette gjør at vi er trygge på at implementeringsarbeidet vil komme i mål og at Datatilsynet er godt forberedt når det nye regelverket trer i kraft.

Vi er mer bekymret for norske virksomheter og offentlige etater. Som nevnt tidligere er vårt hovedinntrykk at kjennskapen til regelverket er relativt dårlig. Det er grunn til å frykte at den ikke vil bli bedre med nytt regelverk. Likevel er det grunn til en viss optimisme. Vi opplever svært stor interesse for personvern generelt, og den nye lovverket spesielt. Bare det siste halvåret har vi holdt et titalls foredrag om forordningen. Advokatfirma, foreninger, organisasjoner og bedrifter arrangerer seminarer og kurs for sine kunder/medlemmer, og vil være en viktig kilde til informasjon om det nye regelverket. Datatilsynet vil prioritere å stille opp på slike seanser.

En usikkerhetsfaktor er hvor mange saker som skal inn for det såkalte European Data Protection Board (EDPB), og hvilken innflytelse Datatilsynet får her. Dette organet vil ha en viktig funksjon, blant annet ved å påse at praksis i de ulike landene er lik, utarbeide retningslinjer og lignende. Det er derfor viktig at vi får en rolle der vi faktisk har innflytelse. I tillegg er det en viss fare for at EDPB ikke bemannes i tilstrekkelig grad, slik at sakene som skal inn for organer vil forsinke saksbehandlingen vesentlig.

1.3.2 Nasjonalt

Men selv med en ny EU-forordning vil de fleste sakene vi behandler fortsatt være av ren nasjonal karakter. Vi opplever å ha god dialog med og gode relasjoner til både virksomheter og offentlige etater. Likevel utfordres personvernet betydelig på en rekke områder.

I justissektoren opplever vi for eksempel at grensene for økt overvåkingstrykk, flyttes gradvis. Det har ikke vært noen samlet gjennomgang av personvernets kår på justissektoren, og Datatilsynet har derfor foreslått at det opprettes en personvernkommisjon på denne sektoren. I tillegg er vi opptatt av at det ved alle inngripende tiltak må foretas en grundig personvernutredning, og at forholdet til Den europeiske menneskerettskonvensjonen (EMK) også må vurderes.

Vi er opptatt av å fremme prinsippene for innebygd personvern. I offentlig sektor forutsetter dette at vi får delta i de fora der det treffes viktige beslutninger om digitalisering, og at det legges inn som en føring i sentrale dokumenter at prinsippene skal følges. Det er beklagelig at innebygd personvern ikke er nevnt overhodet i digitaliseringsrundskrivet. Vi mener også at Datatilsynet burde hatt en naturlig plass i samarbeidsorganet SKATE. Dette blir ikke mindre viktig når forordningen trer i kraft, og det blir et krav i lovverket at man skal følge disse viktige prinsippene.

Regelverksetterlevelsen i offentlig sektor gir også grunn for bekymring. De siste årene har vi gjennomført flere titalls kontroller i kommuner og ved skoler, og vi har avdekket til dels store mangler, særlig når det gjelder internkontroll og informasjonssikkerhet. Vår strategi har vært, ved hjelp av tilsyn, å synliggjøre utfordringene i sektoren, for så å få sektoren til selv å ta ansvar. På skolesektoren har dette lyktes ved at Senter for IKT i Utdanningen har fått i oppdrag å utarbeide en norm for personvern og informasjonssikkerhet. I kommunesektoren generelt håper vi å få kommunenes interesseorganisasjon (KS) til å være en pådriver for bedre etterlevelse av regelverket. Vi vil følge utviklingen tett, og bidra konstruktivt inn i de prosessene som settes i gang.

Den teknologiske utviklingen går svært raskt og utfordrer personvernet, men den gir også nye muligheter. I meldingsåret la vi fram rapporten «Det store Datakappløpet – om kommersiell bruk av personopplysninger». Vi er det første datatilsynet i verden som analyserer markedet for automatisert annonsesalg på en så grundig måte, og har store ambisjoner om å snu en utvikling som har gått i feil retning lenge. Målet er å tvinge fram mer åpenhet, bedre valgfrihet og sporingsfri løsninger. Vi er avhengige av god kompetanse, samarbeid med andre myndigheter og ikke minst stabile ressurser for å kunne gå inn i et slikt marked. Det er krevende, men har tro på at vi skal lykkes.

Oppsummert er vi av den oppfatning at Datatilsynet er godt rustet til å møte framtidens utfordringer. Vi har dyktige og dedikerte medarbeidere, en tilfredsstillende ressurssituasjon, høy troverdighet og vi oppfattes som en konstruktiv samtale- og samarbeidspartner. Vi vil lykkes med implementering av den nye forordningen, og vi er sikre på at vi med et nytt regelverk vil være enda bedre rustet til å møte utfordringene som møter oss i årene som kommer.

1.4 Vedlegg

1.4.1 Gjennomførte kontroller

Saksnr. | Tilsynsobjekt | Type virksomhet
14/01426 | Kommunekontroll IK IS – Troms Fylkeskommune | Offentlig
14/01427 | Prosjekt – Reisebransje – Helsereiser AS | Reiseselskap
14/01433 | Prosjekt – Reisebransje – Hurtigruten AS | Reiseselskap
14/01434 | Prosjekt – Reisebransje – Ving Norge AS | Reiseselskap
14/01435 | Prosjekt – Reisebransje – TUI Norway Holding AS | Reiseselskap
14/01437 | Etterkontroll – Brevkontroll hos Narvik kommune | Andre
14/01440 | Kommunekontroll IK IS – Gran Kommune | Offentlig
15/00003 | Uanmeldt kontroll hos Restaurant Sjakk Matt Vika AS – Kameraovervåking | Kamera
15/00021 | Kontroll ved Hvite Busser AS i Porsgrunn 03032015 – Internkontroll og informasjonssikkerhet | Reiseselskap
15/00184 | Kontroll hos Fylkesmannen i Oslo og Akershus 26032015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00201 | Kontroll av Rixvaksiner.com hos GlaxoSmithKline AS 13032015 | Helse
15/00209 | Kontroll hos Ankerskogen svømmehall Hamar KF 17032015 – kameraovervåking i virksomhetens lokaler | Kamera
15/00246 | Kontroll hos Skatteetaten 09042015 – Ansattes e-post og hjemmeområder | Arbeidsliv
15/00261 | Kontroll hos Universitetet i Bergen 15042015 – Ansatte og studenters e-post og hjemmeområder | Arbeidsliv
15/00263 | Kontroll hos Statoil 14042015 – Ansattes e-post og hjemmeområder | Arbeidsliv
15/00267 | Kontroll hos Kripos 19052015 – DNA-registeret | Justis
15/00283 | Kontroll hos Namsfogden i Oslo 15042015 | Offentlig
15/00322 | Kontroll hos Horten kommune 24042015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00352 | Brevkontroll med Helse Bergen HF – Felles pasientdatabase i Helse Vest | Helse
15/00361 | Kontroll hos Finans Norge 23042015 – Forsikringsselskapenes sentrale skaderegister FOSS | Finans
15/00385 | Brevkontroll med Helse Fonna HF – Felles pasientdatabase i Helse Vest | Helse
15/00386 | Brevkontroll med Helse Førde HF – Felles pasientdatabase i Helse Vest | Helse
15/00387 | Brevkontroll med Helse Stavanger HF – Felles pasientdatabase i Helse Vest | Helse
15/00436 | Kontroll hos Fylkesmannen i Nord-Trøndelag 15062015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00437 | Kontroll hos Steinkjer kommune 15062015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00499 | Kontroll hos Kongsvinger kommune 18052015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00500 | Kontroll hos Våler kommune 18052015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00501 | Kontroll hos Østfold Fylkeskommune 28052015 – Internkontroll og informasjonssikkerhet | Offentlig
15/00528 15/01310 | Kontroll hos XO Bar i Stavanger 17062015 – Publisering av kameraovervåking på Internett | Kamera
15/00535 | Kontroll hos 24-7 Treningssenter Mariero AS 17062015 – Timoteiveien – Kameraovervåking | Kamera
15/00743 | EVRY – Brevkontroll – Kontroll med kryptering hos databehandlere | Kryptering
15/00753 | Basefarm – Brevkontroll – Kontroll med kryptering hos databehandlere | Kryptering
15/00754 | Sykehuspartner – Brevkontroll – Kontroll med kryptering hos databehandlere | Kryptering
15/00858 | Kontroll hos Tusenfryd 21082015 – Kameraovervåking | Kamera
15/00918 15/01532 | Kontroll hos NTNU – Institutt for samfunnsforskning 06102015 | Forskning
15/00920 | Kontroll hos Høgskolen i Oslo og Akershus 09102015 – Velferdsforskningsinstituttet NOVA | Forskning
15/00921 15/01533 | Kontroll hos IRIS Samfunnsforskning 07102015 | Forskning
15/00922 15/01458 | Brevkontroll med Institutt for samfunnsforskning | Forskning
15/00923 15/01456 | Brevkontroll med Forskningsstiftelsen FAFO – Samfunnsforskning | Forskning
15/00924 15/01462 | Brevkontroll med Frischsenteret – Samfunnsforskning | Forskning
15/00932 15/01319 | Kontroll hos Tjuvholmen Drift AS 24092015 – Kameraovervåking av det offentlige rom | Kamera
15/00982 | Etterkontroll hos Husbanken 19112015 – Registrering av personopplysninger etter ny hjemmel i bostøtteloven | Andre
15/00983 15/01370 | Kontroll hos Trondheim kommune 27112015 – Digitalisering av elevmapper – Tilgangsstyring | Andre
15/00984 15/01443 | Kontroll hos Biblioteksystemer AS – Nasjonalt lånekort og kryptering av fødselsnummer | Andre
15/00999 15/01303 | Kontroll hos Triaden Lørenskog Storsenter 15102015 – Kameraovervåking | Kamera
15/01035 | Kontroll hos Verdal kommune 09112015 – Internkontroll og informasjonssikkerhet | Offentlig
15/01036 | Kontroll hos Levanger kommune 09112015 – Internkontroll og informasjonssikkerhet | Offentlig
15/01038 | Kontroll hos Stjørdal kommune 10112015 – Internkontroll og informasjonssikkerhet | Offentlig
15/01041 | Kontroll hos Vestby kommune 04112015 – Internkontroll og informasjonssikkerhet | Offentlig
15/01043 | Kontroll hos Nittedal kommune 24112015 – Internkontroll og informasjonssikkerhet | Offentlig
15/01086 15/01313 | Kontroll hos Ringsaker Lensmannskontor 04112015 – Kameraovervåking | Kamera
15/01156 15/01455 | Brevkontroll med Uni Research Rokkansenteret – Samfunnsforskning | Forskning
15/01157 15/01460 | Brevkontroll med Telemarksforskning – Samfunnsforskning | Forskning
15/01158 | Brevkontroll med SINTEF – Samfunnsforskning | Forskning

1.4.2 Saker sendt til Personvernnemnda

Tabellen viser alle sakene Datatilsynet har sendt til Personvernnemnda for klagebehandling og som er registrert hos nemnda i 2015:

Sak | Klager | Tittel | Dato DT | Sak PVN | Vedtak i PVN
14/00700 | Helse- direktoratet | Klage på delvis avslag om konsesjon til å behandle helseopplysninger til forskning – Utredning av behandlingstilbud for personer med kjønnsdysfori og transseksuelle | 05.12.2014 | PVN-2015-01 |
14/00076 | Haukeland universitets- sykehus – Helse Bergen HF | Klage på vilkår i konsesjon gitt til Nasjonalt kvalitetsregister for smertebehandling – SmerteReg | 18.12.2014 | PVN-2015-02 | Klagen tas ikke til følge
14/00232 | Håkon Henriksen | Klage på vedtak om avslag på innsyn i skolens aktivitetslogg | 18.12.2014 | PVN-2015-03 | Klagen tas ikke til følge
14/00071 | FaVer AS | Klage på vedtak om pålegg og overtredelsesgebyr | 09.01.2015 | PVN-2015-04 |
13/00330 | AS Skan- kontroll | Klage på vedtak om ileggelse av overtredelsesgebyr | 21.01.2015 | PVN-2015-05 |
14/00908 | Kamel Mellah | Klage på vedtak om avslag på sletting av treff i søkemotoren Google | 22.01.2015 | PVN-2015-06 | Vedtaket oppheves
14/00518 | Dialog Advokater | Klage på vedtak om avslag på krav om innsyn i personopplysninger hos arbeidsgiver – Sommerlys skole – Tromsø kommune | 19.03.2015 | PVN-2015-07 |
14/00028 | Windsor Door AS | Klage på ileggelse av overtredelsesgebyr for å ha sammenstilt GPS-data og innleverte timelister uten rettslig grunnlag | 27.03.2015 | PVN-2015-08 |
14/00962 | Advokatfirmaet Stiegler ANS | Klage på avslag om dekning av saksomkostninger etter forvaltningsloven § 36 – Kameraovervåking på privat eiendom | 28.05.2015 | PVN-2015-09 | Klagen tas ikke til følge
14/01282 | Sykehuset Østfold | Klage på vilkår – Forutsetning om oppfyllelse av informasjonsplikt | 02.07.2015 | PVN-2015-10 |
14/00490 | Vardø kommune | Klage på vedtak om overtredelsesgebyr – Internkontroll og informasjonssikkerhet, kontroll | 13.08.2015 | PVN-2015-11 |
14/01228 | Universitetet i Oslo | Klage på avslag på søknad om konsesjon til å behandle helseopplysninger – Sammenstilling av helseopplysninger fra Reseptregisteret | 31.08.2015 | PVN-2015-12 |
12/00947 | Trønder Taxi AS | Klage på pålegg om opphør av opptak av telefonsamtaler | 28.08.2015 | PVN-2015-13 |
14/00838 | Viken Økonomi | Klage på vedtak om overtredelsesgebyr – Innsyn i tidligere arbeidstakers e-post | 18.09.2015 | PVN-2015-14 |
14/01190 | Mona Lisa Huset | Klage på vedtak om pålegg og overtredelses – Bruk av kameraovervåking | 15.10.2015 | PVN-2015-15 |
14/01041 | Walhalla Shop Ltd | Klage på vedtak om overtredelsesgebyr – Publisering av kameraovervåking på Internett | 16.09.2015 | PVN-2015-16 |
15/01066 | Bisnode Norge AS | Klage på avvisningsvedtak – Søknad om endring av kredittopplysningskonsesjon | 16.11.2015 | PVN-2015-17 |
15/01365 | Norges- gruppen ASA | Klage på avslag på søknad om utvidet lagringstid for kameraopptak av Bank i Butikk – BIB | 16.12.2015 |  |

1.4.3 Høringer

Tabellen viser en oversikt over høringer Datatilsynet har hatt merknader til:

| Dok. nr. | Tittel | Til/fra
1 | 15/00903-2 | Høringsuttalelse – Endringer i a-opplysningsloven – Utvidelse av arbeids- og velferdsetatens tilgang til opplysninger i a-ordningen | Arbeids- og sosialdepartementet
2 | 15/00953-2 | Høringsuttalelse – Endringer i universitets- og høyskoleloven – Nasjonal vitnemålsbank | Kunnskapsdepartementet
3 | 15/01193-3 | Høringsuttalelse – Forsendelse og salg av legemidler over internett | Helse- og omsorgsdepartementet
4 | 15/00758-2 | Høringsuttalelse – Utredning av konsekvenser ved en mulig lisensordning for pengespill | Kulturdepartementet
5 | 15/00972-2 | Høringsuttalelse – Forslag til endringer i verdipapirfondloven mv. (UCITS V) | Finansdepartementet
6 | 15/01059-2 | Høringsuttalelse – Forslag til endringer i psykisk helsevernloven – Kontroll for å hindre innføring av legemiddel – rusmiddel – skadelige stoffer – farlige gjenstander og rømningshjelpemiddel | Helse- og omsorgsdepartementet
7 | 15/00729-2 | Høringsuttalelse – Utkast til forskrifter om straffegjennomføring i Nederland | Justis- og beredskapsdepartementet
8 | 15/00654-2 | Høringsuttalelse – NOU 2015:8 Fremtidens skole – Fornyelse av fag og kompetanser – Kunnskapsdepartementet | Kunnskapsdepartementet
9 | 15/00799-3 | Høringsuttalelse – Noark 5 tjenestegrensesnitt – Riksarkivet | Riksarkivet
10 | 15/00723-2 | Høringsuttalelse – Nytt kommunalt pasient- og brukerregister | Helse- og omsorgsdepartementet
11 | 15/00728-2 | Høringsuttalelse – Forslag om endring av forskrift om IT-standarder i offentlig forvaltning – 2015 | Direktoratet for forvaltning og IKT
12 | 15/00761-2 | Høringsuttalelse – Forslag til endringer i reglene for telefonsalg | Barne- likestillings- og inkluderingsdepartementet
13 | 15/00588-2 | Høringsuttalelse – Forskningsetiske retningslinjer for samfunnsvitenskap humaniora juss og teologi | De nasjonale forskningsetiske komiteer
14 | 15/00556-2 | Høringsuttalelse – Forslag til endringer i sikkerhetsloven – Forsvarsdepartementet | Forsvarsdepartementet
15 | 14/01380-3 | Høringsuttalelse – Overføring av forvaltningsoppgaver fra Toll- og avgiftsetaten til Skatteetaten – særavgift for uregistrerte og innførselsmerverdiavgift | Finansdepartementet
16 | 15/00721-2 | Høringsuttalelse – Endringer i byggesaksforskriften – Nye krav til sentralt godkjente foretak mv – Kommunal- og regionaldepartementet | Kommunal- og regionaldepartementet
17 | 15/00677-2 | Høringsuttalelse – Gjennomføring av forordning (EU) nr 376/2014 om rapportering av luftfartshendelser mv – endring av luftfartsloven kapittel XII – Samferdselsdepartementet | Samferdselsdepartementet
18 | 15/00520-2 | Høringsuttalelse – Forslag om endringer vedrørende bilbeskatning – Skattedirektoratet | Skattedirektoratet
19 | 15/00625-2 | Høringsuttalelse – Tilleggshøring om Elhub – Endring i avregningsforskriften – Norges vassdrags- og energidirektorat – NVE | Norges vassdrags- og energidirektorat
20 | 15/00374-2 | Høringsuttalelse – Opplysningsplikt om finansiell informasjon på skatteområdet | Finansdepartementet
21 | 15/00373-2 | Datatilsynets høringsuttalelse – Forslag til ny folkeregisterlov – Finansdepartementet | Finansdepartementet
22 | 15/00345 | Høringsuttalelse – NOU 2015: 2 Å høre til – Virkemidler for et trygt psykososialt skolemiljø | Kunnskapsdepartementet
23 | 15/00336-2 | Høringsuttalelse – EPJ standard del 2 | Helsedirektoratet – Avdeling Standardisering
24 | 15/00114-2 | Høringsuttalelse – Rapport 2.0 for Kritisk informasjon for kjernejournal – En nasjonal standard for integrasjonen mot kjernejournal | Helsedirektoratet
25 | 15/00059-3 | Høringsuttalelse – Forslag til endringer i forskrift om skikkethetsvurdering i høyere utdanning – Kunnskapsdepartementet | Kunnskapsdepartementet
26 | 15/00287-2 | Høringsuttalelse – Revisjon av Statens standardavtaler 2014/15 | Direktoratet for forvaltning og IKT
27 | 15/00072-2 | Høringsuttalelse – Forslag til retningslinjer for vurdering av dokumentasjon på identitet | Nasjonalt ID-senter
28 | 14/01359-4 | Høringsuttalelse – NOU 2014: 10 Skyldevne sakkyndighet og samfunnsvern | Justis- og beredskapsdepartementet
29 | 15/00176-2 | Høringsuttalelse – Endring i straffegjennomføringsloven | Justis- og beredskapsdepartementet
30 | 14/00255-4 | Høringsuttalelse – Forslag til endringer i forskrift om Lånekassens adgang til innhenting av opplysninger | Kunnskapsdepartementet
31 | 14/01386-2 | Høringsuttalelse – Veileder for rusmestringsenhetene | Kriminalomsorgsdirektoratet
32 | 14/01350-2 | Høringsuttalelse – Forslag til ny skatteforvaltningslov | Finansdepartementet
33 | 14/01436-2 | Høringsuttalelse om endring av førerkortforskriften vedlegg 1 om helsekrav | Statens vegvesen – Vegdirektoratet
34 | 14/01399-2 | Høringsuttalelse – Forslag om å utvide a-opplysningslovens virkeområde til å omfatte utbetaling av pensjonsytelser etter lov om individuell pensjonsordning og etter pensjonsavtale etter skatteloven – Skattedirektoratet | Skattedirektoratet
35 | 14/01412-2 | Høringsuttalelse – Forslag til lov om intelligente transportsystemer innenfor vegtransport og for grensesnittet mot andre transportformer (ITS-loven ) samt utkast til forskrifter | Statens vegvesen – Vegdirektoratet
36 | 14/01246-2 | Høringsuttalelse – utkast til ny postlov og postforskrift | Samferdselsdepartementet
37 | 14/01335-2 | Høringsuttalelse – Forslag til endringer i barnehageloven og tilhørende forskrifter – Lovhjemmel for barnehagers behandling av personopplysninger i forbindelse med dokumentasjon og vurdering | Kunnskapsdepartementet
38 | 14/01391-2 | Høringsuttalelse – Forslag til endringer i politiloven og ekomloven – mobilregulerte soner mv | Justis- og beredskapsdepartementet
39 | 15/01315 | Høringsuttalelse – Advokatutvalgets utredning NOU 2015:3 – Advokaten i samfunnet | Justis- og beredskapsdepartementet

1.4.4 Ilagte sanksjoner

Mottaker | Vedtaksbrev | Størrelse | Kommentar | Stikkord
Fjell kommune | 27.03.2015 | 100.000 | Avsluttet | Ulovlig utlevering av personopplysninger
Norgesregnskap Viken Økonomi AS | 16.04.2015 | 75.000 | Klagesak i PVN | Ulovlig innsyn i e-post
Walhalla Shop Ltd | 23.04.2015 | 25.000 | Klagesak i PVN | Ulovlig publisering av bilder fra overvåkingskamera
Justis- og beredskapsdepartementet | 30.04.2015 | 100.000 | Avsluttet | Mangelfull internkontroll
Vardø kommune | 30.04.2015 | 50.000 | Klagesak i PVN | Mangelfull internkontroll
Hovedredningssentralen Nord-Norge | 30.04.2015 | 50.000 | Klagesak i PVN | Mangelfull internkontroll
Flekkefjord kommune | 30.04.2015 | 50.000 | Avsluttet | Mangelfull internkontroll
Eigersund kommune | 30.04.2015 | 150.000 | Avsluttet | Mangelfull internkontroll
Mona Lisa huset | 22.06.2015 | 150.000 | Klagesak i PVN | Ulovlig/Skjult kameraovervåking
Unique Cinema Systems – UCS | 03.07.2015 | 100.000 | Avsluttet | Ulovlig utlevering av sensitive opplysninger
Trønder Taxi AS | 07.07.2015 | 100.000 | Avsluttet | Opplysninger brukt til et uforenlig formål.
Gant Store Stortingsgaten i Tønsberg | 19.10.2015 | 25.000 | Avsluttet | Ulovlig kameraovervåking
Farsund Resort AS | 20.10.2015 | 100.000 | Avsluttet | Ulovlig innsyn i e-post
Vaktmester Andersen AS | 16.11.2015 | 100.000 | Klagesak i PVN | Arbeidsliv – Bruk av elektronisk kjørebok
Justis- og beredskapsdepartementet | 30.11.2015 | 25.000 | Avsluttet | Ulovlig publisering av bilder fra overvåkingskamera
Synkron Meida AS | 08.12.2015 | 75.000 | Ikke avsluttet | Ulovlig innsyn i e-post

Vedlegg 2
Årsrapporten til Datatilsynet for 2015

2.1 Leders beretning

Personvern er av de de virkelig viktige spørsmålene i vår tid. Fra en verden der det meste var lagret på papir og i enkle journalsystemer og arkiv, blir nær sagt alt vi foretar oss registrert og gjerne også gjort til gjenstand for analyse. Dette utfordrer viktige personvernprinsipper som formålsbegrensning og dataminimalisering. Samtidig åpner prinsippet om innebygd personvern for nye muligheter. Vi opplever også svært stor pågang fra virksomheter, offentlige etater og borgere som ønsker råd og veiledning fra oss. Selv om vi manøvrerer i et krevende landskap og den teknologiske utviklingen går meget raskt, er det grunn til optimisme med tanke på framtidas personvern. Dette skyldes ikke minst at EU på slutten av meldingsåret kom til enighet om en ny personvernforordning som styrker borgerne rettigheter, skjerper virksomhetens plikter og gir Datatilsynet nye virkemidler.

Som sedvanlig gjennomførte Datatilsynet en bred intern prosess for å beslutte hvilke sektorer som skulle prioriteres i 2015. Vanligvis prioriterer vi samme sektor minst to år, mens flere av sektorene har vært prioritert i en årrekke. Arbeidsliv var for eksempel prioritert i flere år, men der er innsatsen nå spisset mot råd- og veiledning, samt noe tilsynsvirksomhet. Helsesektoren har på den annen side vært prioritert i en årrekke.

I det følgende vil vi gjøre presentere og begrunne de viktigste prioriteringene for 2015, før vi introduserer hovedtallene for meldingsåret. For er mer utfyllende redegjørelse for Datatilsynets aktiviteter i de prioriterte sektorene viser vil til årsmeldingen for 2015.

2.1.1 Prioriterte sektorer for 2015

Justissektoren

Individets rett til å bestemme over egne personopplysninger gjelder ikke uinnskrenket. I justissektoren finnes det flere tungtveiende hensyn som taler for at staten kan gripe inn i den enkeltes rettssfære. I mange tilfeller behandler offentlige myndigheter personopplysninger uten at den enkelte kan kontrollere eller påvirke det. Retten til informasjon er dessuten begrenset. Som et resultat av dette har hver enkelt færre muligheter til å ivareta sine interesser enn ellers. Det er derfor særlig viktig at tilsynsmyndighetene ser etter at individets rettigheter ivaretas på disse områdene.

Datatilsynet spiller en helt sentral rolle når det gjelder etterlevelse av politiregisterloven som trådte i kraft i 2014. Vi skal føre tilsyn med at loven med forskrifter blir fulgt, at feil eller mangler blir rettet, kontrollere at opplysningene om de registrerte blir behandlet i samsvar med loven, og se til at reglene om innsyn er fulgt dersom den registrerte ber om det. Datatilsynet har både en påleggs- og en anmerkningskompetanse.

Skole- og barnehagesektoren

Datatilsynet har over en treårsperiode prioritert skole- og barnehagesektoren. Gjennom møter med aktører i sektoren og kontroller ved en rekke barnehager, grunnskoler og videregående skoler, har vi skaffet oss en viss oversikt over hvilke opplysninger som registreres om barna i barnehager og skoler.

Samlet utgjør registreringene om et barn gjennom et helt utdannelsesløp et sett med opplysninger som gir et omfattende og detaljert bilde av dette barnets utvikling, samt faglige og sosiale atferd. Det at flere opplysninger om barna lagres digitalt betyr også at spredningspotensialet blir større. Uten tekniske sperrer og gode rutiner er det lettere at opplysningene brukes til andre formål enn det de var ment til, og opplysningene kan med få tastetrykk spres til mange.

Vi har i løpet av denne perioden avdekket at rutinene for å sikre barns personvern i skoler og barnehager er mangelfulle. Samtidig vet vi at bruken av elektroniske og nettbaserte tjenester i skoler og barnehager bare vil øke ytterligere i årene som kommer.

Helse- og omsorgssektoren

Opplysningene som behandles innen dette området er blant de mest sensitive, og befolkningen selv anser opplysningene for særlig beskyttelsesverdige. Det behandles det opplysninger om befolkningen i alle livsfaser, og ønsket om bruk og gjenbruk av våre opplysninger til stadig flere formål øker.

Hovedutfordringen for personvernet innen helsetjenesten er at sektoren er gjenstand for store forandringer og at endringene skjer i et raskt tempo. Som eksempel nevnes ny lovgivning, ny forordning, den generelle teknologiutviklingen og utviklingen innen e-helse.

Videre er det en utfordring at helse- og omsorgstjenesten er preget av mange aktører og flere ulikt organiserte virksomheter med forvaltningsansvar og beslutningsmyndighet. Leverandører og databehandlere har ofte sentrale roller. I spesialisthelsetjenesten har kontroller vist at viktige deler av databehandlingsansvaret, så som tilgangsstyring i helseforetakene, synes å være overført til enheter eller underselskaper som er opprettet av de regionale helseforetakene, for eksempel Helse-Vest IKT eller Sykehuspartner. Slike endringer i ansvarsforholdene skaper uklarheter og begrenser de reelt ansvarlige helseforetakenes muligheter til å overholde sine plikter.

Digitalisering i offentlig sektor

På flere og flere områder er digitaliseringene kommet langt i offentlig sektor, og stadig nye tjenester tilbys i digital form. Likevel er det ennå mange av de viktige digitaliseringsprosessene som er i startgropa. Det er derfor viktig at vi er på banen for å forme og påvirke de riktige aktørene. Vi må sørge for å fremme personvern i alle disse prosessene.

Samtidig er det slik at teknologi gir muligheter for å utvikle og effektivisere offentlig sektor. For å sikre et godt personvern ved utveksling og deling av personopplysninger mellom ulike offentlige instanser, og mellom offentlige og private aktører, må ansvarsforholdene være tydelig avklart. For at innbyggerne skal kunne ivareta eget personvern må de få informasjon om hvilke instanser som lagrer, behandler og utveksler opplysninger om dem, til hvilke formål og hvordan de kan ivareta sin rett til innsyn, retting og sletting. Her spiller Datatilsynet en viktig rolle.

Prosjekt: Ny forordning

EU har jobbet med en ny personvernforordning siden 2011. Datatilsynet besluttet allerede i 2014 at vi skulle være tidlig ute med å starte implementeringsarbeidet, og har brukt en del ressurser i 2015 blant annet på intern kompetanseoppbygning og utadrettet virksomhet, særlig foredrag. Vi har også satt som mål å være et foregangsland i det nordiske samarbeidet, og erfaringen har vist at vi har lyktes med det. Da det ble enighet om forordningen i desember 2015 var vi derfor godt forberedt og rigget til å gå i gang med det omfattende arbeidet som skal gjøres i årene som kommer.

Prosjekt: Kommersiell utnyttelse av personopplysninger

I 2015 publiserte Datatilsynet rapporten «Det store datakappløpet – hvordan kommersiell utnyttelse av personopplysninger utfordrer personvernet». Rapporten ble skrevet fordi vi er vitne til en utvikling der personopplysninger får stadig større kommersiell verdi i medie- og annonsemarkedet. Den harde globale konkurransen om annonsekronene fører til et datakappløp der den aktøren som sitter på mest data om den enkelte, er vinneren. Jo mer data aktørene har om den enkelte, jo bedre kan de tilpasse reklamen. Det er i dag nærmest umulig å bevege seg på nett uten å bli sporet. Vår rapport viste for eksempel at det i gjennomsnitt er 43 ulike tredjeparter inne på en norsk nettavis og samler inn data om brukeren. Rapporten trakk frem følgende hovedutfordringer ved dagens digitale annonsemarked:

Markedet er lukket, komplekst og vanskelig å få innsyn i for utenforstående.

Internettbrukere utsettes for massiv sporing av tredjepartsaktører på nett.

Det gis liten eller ingen informasjon fra nettstedseierne om hvilke aktører som er tilstede på sidene, hvilke data de samler inn og hvordan de brukes.

Jo mer data som samles inn om den enkelte, jo høyere priser kan enkeltbrukere omsettes for på de globale annonsebørsene. Dette stimulerer til en omfattende kartlegging av den enkelte.

Aktørene i verdikjeden hevder de kun benytter anonyme data. Datatilsynet mener at det håndteres unike brukere på børsene og at det håndteres personopplysninger i verdikjeden.

Rapporten kommer med en rekke forslag til anbefalinger og tiltak. I 2016 vil vi jobbe videre med disse tiltakene.

2.1.2 Overordnet vurdering av årets resultater, herunder ressursbruk og måloppnåelse

Vi redegjør i punktene 3.1 til 3.6 nedenfor for virkemidler, ressursbruk og resultater under de ulike hovedaktivitetene. Under hver hovedaktivitet vurderer vi også hvorvidt den har bidratt til å oppfylle hovedmålet. Nedenfor gir vi en overordnet vurdering av hvordan vi samlet har oppnådd hovedmålet om personvernbeskyttelse for alle i tråd med gjeldende regelverk.

Å oppnå hovedmålet krever langsiktig arbeid, og i selverkjennelsens navn må vi innrømme at vi muligens aldri helt vil nå dette målet. Men hvert år tar vi viktige skritt for å sikre regeletterlevelsen, gi råd til virksomheter, offentlige etater og borgere, delta i samfunnsdebatten og jobbe i internasjonale fora. Vi vil her trekke fram noen høydepunkter fra 2015, som særlig har bidratt i retning oppfyllelse av hovedmålet, med beskrivelse av effekt.

Vi har gjennomført en rekke tilsyn som har bidratt til bedre regeletterlevelse, både hos den enkelte behandlingsansvarlige og i bransjen for øvrig. Et eksempel: Vårt tilsyn med reiseselskaper og påfølgende dialog med bransjen har betydning for opp mot 1,2 millioner mennesker, som er det antall som reiser på chartertur hvert år.

Vår veiledningstjeneste har gitt råd til 8 727 borgere og virksomheter om behandling av personopplysninger. Dette har hjulpet den enkelte til å ivareta sine rettigheter, og hjulpet virksomheter til å følge loven.

Vi har hatt råd- og veiledningsmøter med en lang rekke virksomheter for å bidra til at de bruker prinsippene om innebygd personvern.

Vi har brukt alle tilgjengelige flater for å få ut informasjon, og kan notere 40 innlegg på personvernbloggen, 148 000 besøk på nettstedet, 650 mediehenvendelser, over 14 000 følgere på Twitter og 177 twittermeldinger, 159 foredrag, ni kronikker og deltagelse i en rekke sendinger på Dagsnytt 18, Aktuelt, Dagsrevyen, Dagsnytt, Norgesglasset, Ekko og mange andre.

Vi har deltatt aktivt i samfunnsdebatten om en rekke spørsmål, bl.a Safe Harbor, forskning og personopplysninger, kommersiell bruk av personopplysninger, apper, kryptering, lagring av trafikkdata, barn og unges personvern og ny personvernforordning.

Vi har lansert en, litt ubeskjedent sagt, banebrytende rapport om kommersiell bruk av personopplysninger.

Vi har jobbet aktivt for at norske virksomheter skal følge regelverket i lys av Safe harbor – dommen.

Vi har behandlet 192 konsesjoner, som setter klare rammer for bruk av personopplysninger i forskning.

Vi har jobbet aktivt med tidstyver, som på sikt vil gi som resultat at lang færre må melde sine behandlinger til oss. Vi vil også få færre konsesjonssaker til behandling, uten at det går ut over personvernet.

Vi har skrevet en rekke høringsuttalelser som har ført til at personvernet har blitt bedre ivaretatt.

Vi har laget nye filmer og utarbeidet nye brosjyrer i DuBestemmer. Dette har bidratt til at barn og unge bedre kan ivareta eget personvern, og respektere andres.

Det er opprettet 38 nye personvernombud, som vil bidra til bedre regelverksetterlevelse i virksomhetene.

Vi har vært aktivt med i en rekke internasjonale fora.

Etter vår vurdering har vi oppnådd hovedmålet for 2015.

Bjørn Erik Thon

Direktør

2.2 Introduksjon til virksomheten og hovedtall

2.2.1 Kort omtale av virksomheten og samfunnsoppdraget

Datatilsynet ble opprettet i 1980 og er et uavhengig forvaltningsorgan under Kommunal- og moderniseringsdepartementet (KMD). Vårt hovedmål er å bidra til at personvernlovgivningen etterleves, og at alle skal ha beskyttelse i tråd med gjeldende personopplysningsregelverk. Vi skal også fremme personvern som en sentral verdi i samfunnet. I dette arbeidet bruker vi ombudsrollen vår ved å ta i bruk ulike formidlingskanaler og ved å delta i offentlig ordskifte om personvern.

Personvern handler enkelt sagt om retten til et privatliv og retten til å bestemme over egne personopplysninger. Personvern er en menneskerettighet som skal sikre hensynet til den enkeltes personlige integritet, men det er også en ideell interesse og er svært viktig for å sikre felles goder i et demokratisk samfunn.

Det vil for eksempel være uheldig dersom enkeltpersoner begrenser sin deltagelse i den åpne meningsutvekslingen og politiske aktiviteten fordi de frykter at opplysninger om personlige forhold vil bli trukket frem og gjort til allmenn oppmerksomhet. Eller dersom de setter begrensninger på seg selv fordi de er redde for at myndighetene registrerer og lagrer opplysninger om deres kommunikasjon med andre, om ferdselsmønster, interesser eller uttrykk for holdninger. Datatilsynet må derfor jobbe aktivt for å oppnå en god ivaretagelse av personvernet i avveiingen mot andre samfunnsinteresser.

År | Bevilgning
2012 | 35 015 000,-
2013 | 37 753 000,-
2014 | 38 264 000,-
2015 | 37 262 000,-
RNB 2015 | 2 830 000,-
Totalt 2015 | 40 092 000,-

2.2.2 Presentasjon av utvalgte hovedtall de siste årene

Budsjett

Når overføringene fra 2014 og tilleggsbevilgninger var lagt til, hadde vi totalt 40 959 000 kroner til disposisjon i 2015. Av dette fikk vi i revidert nasjonalbudsjett (RNB) 2 830 000 kroner til IKT og momsrefusjon. Fordelt på lønn og drift, utgjorde lønnsutgiftene 30 300 000 kroner (74 prosent). Driftsutgiftene utgjorde 10 659 000 kroner (26 prosent).

Oversikt over bevilgninger de siste årene:

Figur 2.1 Kostnadsfordelingen de siste årene

I kapittel seks går vi nærmere inn på årsregnskapet for 2015.

2.2.3 Personal

Datatilsynet ledes av direktør Bjørn Erik Thon. Ledergruppen består av fire menn og en kvinne. Vi har også fire gruppeleder, som har fagansvar for fem til syv personer. Av disse er to menn og to kvinner.

I 2015 har Datatilsynet hatt 43 faste stillinger. Av disse var 56 prosent kvinner og 44 prosent menn. I løpet av året har fem medarbeidere sluttet (mot to året før). Av disse har en benyttet seg av AFP ordningen og en har gått av med pensjon etter fylt 70 år.

2.2.4 Saker, vedtak mv

I det følgende går vi gjennom hvilke sakstyper som treffer Datatilsynet i løpet av et år, jf økonomiinstruksens pkt II, kulepunkt 3 flg. Vi har delt dette inn i disse underkategoriene:

Antall saker og saksdokumenter

Konsesjoner

Vedtak og klageomfang

Saker oversendt til nemnda

I løpet av 2015 ble det registrert 1 374 nye saker hos Datatilsynet, noe som er en liten nedgang sammenliknet med året før. Volummessig synes 2015 som et ganske normalt år i denne sammenheng. Nedgangen i antall saker og antall innregistrerte dokumenter er omtrent like stor (om lag 6,5 prosent).

Figur 2.2 Antall nye journalførte saker de siste årene

Figur 2.3 Antall journalførte dokumenter (ikke interne) de siste årene

Konsesjoner

Det er en av Datatilsynets lovpålagte oppgaver å ta stilling til konsesjonssøknader. I 2015 mottok vi totalt 249 søknader om konsesjon, og innvilget til sammen 192. Dette er en liten oppgang i forhold til søknader og gitte konsesjoner i 2014.

Figur 2.4 Antall konsesjonssøknader og gitte konsesjoner de siste årene

De fleste konsesjonssøknadene gjelder forskning eller registre innen helsesektoren. Arbeidet med konsesjoner er, ved siden av kontrollsakene, de mest arbeidskrevende oppgavene vi har. Det er viktig å huske at behandling av konsesjonssøknader i realiteten en forhåndskontroll av om de som søker har tilstrekkelig rettslig grunnlag for det de ønsker å gjøre.

Forhåndskontrollen kan også omfatte andre deler av personopplysningslovens krav, for eksempel om virksomhetene har på plass tilstrekkelige rutiner for internkontroll. Vi kan gjennom konsesjonsarbeidet også kompensere for personvernulemper som behandlingen eventuelt fører med seg. Det gjør vi ved å stille vilkår for den aktuelle behandlingen.

Vedtak og klageomfang

Vi har fattet 595 vedtak i 2015. Det er en økning sammenliknet med året før.

De fleste av beslutningene knytter seg til behandling av konsesjonssaker, som utgjør om lag 35 prosent.

Figur 2.5 Antall vedtak fattet av Datatilsynet, og antall klager på disse de siste årene

Tallene i år fremkommer av en kategorisering av dokumenter i vårt saksbehandlingssystem hvor saksbehandler angir med stikkord hva dokumentet inneholder. Dette er nytt for 2015. Tidligere har vi kommet frem til tallene etter manuelle tellinger. Det vil si at det er en viss usikkerhet i tallene, men vi mener trenden likevel er tydelig; vi ser konkret på stadig flere saker.

Klageomfanget er fortsatt svært lavt sammenlignet med antallet avgjørelser vi fatter i form av vedtak. Vi opplever stort sett at vedtakene våre blir akseptert. Vi har fortsatt utfordringer knyttet til beslutninger om ikke å ta opp saker til behandling. Personvernnemnda tok i 2014 konkret stilling til en del saker om våre prioriteringer. Nemnda har imidlertid ikke avgjort spørsmålet om denne typen beslutninger faktisk kan påklages. Datatilsynet vil prøve å få en endelig avklaring på dette spørsmålet via Justisdepartementet i 2016.

Det er ønskelig med en slik avklaring da klagebehandling er ressurskrevende, og vi ønsker forutsigbarhet på hvilke beslutninger vi kan gjøre med endelig virkning.

Saker oversendt Personvernnemnda

I 2015 sendte Datatilsynet 15 saker til Personvernnemnda. Det er færre enn året før, men sammenlignet med tidligere år er det ikke et unormalt lavt antall. Av de sakene som er sendt over i 2015 er det så få som er avgjort av nemnda at det ikke er utarbeidet noen statistikk over i hvilken grad klagene er gitt medhold eller ikke. Kun to av sakene fra 2015 er behandlet av nemnda ved årets slutt.

Erfaringen generelt er som tidligere at vi opplever at vi i tilstrekkelig grad får medhold i sakene vi sender til Personvernnemnda. Saker som blir omgjort av nemnda er typisk saker som er komplekse eller inneholder problemstillinger knyttet til samfunnsutvikling og ny teknologi.

Figur 2.6 Antall saker oversendt til Personvernnemnda de siste årene

2.3 Årets aktiviteter og resultater

Under denne delen av årsrapporten vil vi gå gjennom hvilke virkemidler vi har brukt under de ulike hovedaktivitetene, kort redegjøre for oppnådde resultater og anslå ressursbruk. Vi vurderer også hvorvidt virkemiddel- og ressursbruken har bidratt til å oppnå hovedmålet om et godt personvern for alle i tråd med gjeldende regelverk.

Før vi starter gjennomgang vil vi gi en kort oversikt over de viktigste virkemidlene våre. Vi understreker at det ikke er vanntette skott mellom de ulike, og at det iblant er vanskelig å kategorisere alt vi gjør. Der det er særlig krevende har vi gjort oppmerksom på det i teksten.

Vi har følgende virkemidler til rådighet:

Kontroll og regelverksetterlevelse: Tilsyn, saksbehandling med vurdering, klagesaker, avvik

Høringer og regelverksutvikling: Høringsarbeid, forordning, forslag til endringer i regelverk

Veiledning til publikum og virksomheter: Veiledningstjenesten, foredrag, råd og veiledningsmøter, utarbeidelse av veiledningsmateriell

Kommunikasjon: Mediekontakt og øvrig del av kommunikasjonsavdelingens arbeid

Internasjonal deltakelse: art.29, Berlinggruppe, undergrupper, koordinering mv

FOU og utredning: Kommersialiseringsrapport, personverndag mv.

Påvirkning gjennom samarbeid: Hovedsakelig deltagelse i arbeidsgrupper, utvalg, styrer, råd og prosjekter

2.3.1 Hovedaktivitet 1: Skape oppmerksomhet om behovet for personvern og gjøre personvernspørsmål mer relevant i folks hverdag

Vi opplever stor interesse for personvernspørsmål, og Datatilsynet mottar, slik det vil gå fram av denne rapporten, en rekke henvendelser fra publikum, virksomheter og offentlige etater som ber om råd og veiledning.

I tillegg opplever vi at personvern fremstår som vanskelig tilgjengelig for mange. Dette skyldes flere forhold, bl.a. at det er ulik oppfatning om hva personvern er, og hvor viktig det er. Vi hører for eksempel fortsatt uttrykk som at «jeg har ikke noe å frykter fordi jeg ikke har gjort noe galt». Det er derfor viktig å være synlige i det offentlige rom, bidra til en opplyst og saklig debatt om personvern og gi informasjon til alle om hva personvern er og hvorfor det er viktig. Målgruppe for denne aktiviteten er både private virksomheter, offentlige etater og borgerne.

2.3.1.1 Valg og omfang av de ulike virkemidlene og tiltakene innen denne hovedaktiviteten, samt resultater innenfor denne hovedaktiviteten

For å skape oppmerksomhet om behovet for personvern og gjøre personvern mer relevant i folks hverdag har Datatilsynet brukt en rekke virkemidler, og vi vil i det følgende gå gjennom disse:

Kommunikasjon

Veiledning til publikum og virksomheter

Utredning

Etter vår oppfatning er denne hovedaktiviteten dels overlappende med neste hovedaktivitet om å øke kjennskapet til rettigheter og plikter.

Kommunikasjon som virkemiddel

Dette er høyest prioriterte virkemiddelet under denne hovedaktiviteten. Med kommunikasjon menes her både mediekontakt, deltagelse i samfunnsdebatten og utarbeidelse og spredning av informasjonsmateriell. Vi har også jobbet med klarspråk for å skape større forståelse av hva vi faktiske mener med personvern, og for at rettssubjektene i større grad skal bli i stand til å forstå vår kommunikasjon.

Nedenfor går vi kort gjennom nøkkeltallene fra kommunikasjonsvirksomheten i 2015:

Mediekontakt

I løpet av året har Datatilsynet registrert 650 besvarte mediehenvendelser. Det er noe lavere enn året før.

Tabell 2.1 Mediehenvendelser

| 2012 | 2013 | 2014 | 2015
Mediehenvendelser | 876 | 850 | 800 | 650

Registreringssystemet vårt er etablert til bruk av kommunikasjonsavdelingens medarbeidere for å sikre en best mulig oversikt og koordinering i vår kontakt med mediene. I tallene inngår derfor ikke mediehenvendelser som går direkte til direktøren, øvrig ledelse eller fagdirektører. Det reelle antallet er derfor noe høyere enn de registrerte henvendelsene. Medieovervåkingstjenesten Opoint har registrert til sammen 1 843 oppslag i norske nettbaserte medier hvor Datatilsynet er nevnt.

Foredrag

I tillegg til synlighet i mediene legger vi også vekt på å være tilstede på arenaer der vi møter representanter fra virksomheter, interesseorganisasjoner og andre aktører. Å stille med foredragsholdere, innledere, holde innlegg eller delta i paneldebatter på ulike arrangementer, er en viktig del av dette arbeidet.

I 2015 har vi holdt 159 foredrag på eksterne arrangementer, mot 170 året før.

Tabell 2.2 Antall foredrag på eksterne arrangementer

| 2012 | 2013 | 2014 | 2015
Antall | 118 | 149 | 170 | 159

Vi får en rekke forespørsler om å holde foredrag gjennom hele året. Disse forespørslene vurderer vi ut fra satsingsområdene i virksomhetsplanen vår, antall deltakere, tema og kapasitet på aktuelt tidspunkt. Vi har et mål om å holde mellom 120 og 150 eksterne foredrag i løpet av året.

Foruten generelle foredrag om personvern, overvåking og Datatilsynets oppgaver, har vi holdt flest foredrag om:

informasjonssikkerhet og internkontroll

skytjenester

helse, særlig om velferdsteknologi og tilgangsstyring

Big Data og kommersiell utnyttelse av personopplysninger

Vi så også en økning i forespørsel om foredrag om EUs nye personvernforordning og Safe Harbor. Dette er tema som nok vil bli enda mer aktuelle i 2016.

Nettstedet

Størrelsen på nettstedet er et viktig styringsparameter. Nettstedet skal ikke vokse ukontrollert, og nettsider skal redigeres og slettes når de blir gamle og overflødige. Antallet sider på datatilsynet.no har ikke steget med mer enn 60 i løpet av 2015, ifølge Google Site Search. Det kan leses som en indikasjon på at nettstedet røktes på en god måte.

Antallet besøk på nettstedet går imidlertid ned. Dette er i tråd med en mer generell utvikling. Samtidig ser vi at hver besøkende på datatilsynet.no oppsøker noen flere sider, altså at de blir lenger når de først har kommet inn.

Tabell 2.3 Oversikt over nøkkeltall fra nettstatistikken på datatilsynet.no

| 2014 | 2015
Antall sider på nettstedet (Google site search) | 2 300 | 2 360
Antall besøk til nettstedet | 185 000 | 148 000
Antall sidevisninger | 460 000 | 413 000
Antall sidevisninger pr besøk | 2,4 | 2,7
Gjennomsnittlig besøksvarighet | 3 min og 29 sek | 3 min 47 sek
Antall søk i søkemotoren på datatilsynet.no | 30 000 | 36 300
Andel besøk fra mobile enheter | 16 % | 16 %
Antall publiserte nyhetssaker | 63 | 58

Personvernblogg, sosiale medier og debattinnlegg

Personvernbloggen.no er nå godt etablert etter nær tre års drift. Den fungerer etter intensjonen og er et rom hvor vi kan reise andre problemstillinger, og ta opp andre temaer, enn vi kan på den ordinære nettsiden. Sjangermessig og i temavalgene har bloggen funnet sin form, og i løpet av 2015 har vi fått nye skribenter blant de ansatte.

Vi følger systematisk med på omtale av Datatilsynet og temaet personvern på Twitter, og besvarer raskt de fleste spørsmål og kommentarer som kommer via denne kanalen. Vi har i 2015 hatt ni kronikker og debattinnlegg i ulike papirbaserte medier. Vi har også produsert flere fagartikler som er blitt tatt inn i fagblader knyttet til skole, barn og unge.

Tabell 2.4 Oversikt over noen sentrale tall

| 2012 | 2013 | 2014 | 2015
Innlegg på Personvernbloggen | - | 41 | 50 | 40
Besøk på Personvernbloggen | - | 8 000 | 20 000 | -¹
Twittermeldinger | 391 | 220 | 193 | 177
Twitterfølgere | 7 500 | 10 065 | 12 392 | 14 100
Kronikker og debattinnlegg i andre medier | 10 | 8 | 9 | 9

¹ Vi har ikke besøkstall for Personvernbloggen for 2015 på grunn av en feil i statistikkverktøyet.

Du bestemmer

Du Bestemmer er en læringsressurs som ble startet opp i 2007, og som vi driver i samarbeid med Senter for IKT i utdanningen. Målet med opplegget er å øke barn og unges kunnskap om personvern, og heve deres bevissthet om valg de gjør ved bruk av digitale medier. De unge skal lære seg å ta kontroll over egne personopplysninger, men samtidig respektere andres opplysninger.

I 2015 har følgende aktiviteter vært prioritert:

Det ble opprettet to nye temasider for ungdommene der det tas opp utfordringer ved ulike former for uønskede hendelser på nett.

Det ble utarbeidet innhold for lærere og andre voksne som jobber med barn og unge, samt en egen nettside for skoleeier/skoleleder.

Videre ble det laget eget innhold for de foresatte der det gis råd og veiledning om hvordan man snakker med sine barn om problematikken, og veiledning til håndtering av uønskede hendelser.

Det ble laget to nye kortfilmer om uønskede hendelser på nett basert på statistikk og informasjon fra tjenesten Slettmeg.no.

Veiledning til publikum som virkemiddel

Veiledning til publikum og virksomheter er et mer indirekte virkemiddel når det gjelder målet om å skape mer oppmerksomhet om personvern og gjøre temaet relevant i folks hverdag. Et råd til en enkeltperson kan vanskelig sies å bidra til å oppfylle hovedaktiviteten, men ettersom vi hvert år gir mange tusen, forhåpentligvis gode, råd, mener vi allikevel dette samlet sett kan sies å bidra til å gjøre personvern relevant. Statistikken fra vår veiledningstjeneste viser eksempelvis at vi mottok nesten to tusen henvendelser fra arbeidstakere. Dette gjør at disse spørsmålene blir mer relevant for folk flest.

Veiledningstjenesten i Datatilsynet er et lavterskeltilbud for publikum som har spørsmål om behandling av personopplysninger. Et viktig mål med tjenesten er å gjøre enkeltpersoner og virksomheter i stand til å ivareta egne interesser i saker som gjelder personvern.

Det er stort spenn i spørsmålene som kommer inn, og de er av både juridisk, teknisk og sikkerhetsmessig art. Svarene vi gir er av veiledende karakter og er ikke bestemmende for rettigheter eller plikter, i motsetning til vedtak som fattes i mer tradisjonell saksbehandling.

I løpet av 2015 har veiledningstjenesten besvart 8 727 henvendelser. Dette består av 3 081 henvendelser på e-post og 5 646 per telefon. Antallet er ganske likt året før, men vi ser en liten nedgang med 306 færre henvendelser totalt. Nedgangen er primært en reduksjon i antallet e-posthenvendelser.

Det har de siste ti årene vært en nedgang i antall telefonhenvendelser. Hva forklaringen på det er, er vanskelig å si, men kanskje er stadig mer oversiktlige og utfyllende nettsider noe av forklaringen.

Figur 2.7 Oversikt over henvendelsene til veiledningstjenesten fordelt på kategorier i 2015

Forskning og utredning (FoU) som virkemiddel

Også FoU og utredning har vært et prioritert virkemiddel for å oppfylle hovedaktiviteten. Gjennom vårt utredningsarbeid bidrar vi til å spre kunnskap om markeder som kan være vanskelig å orientere seg i. Et godt eksempel er rapporten «Det store datakappløpet – om kommersiell utnyttelse av personopplysninger». En utredning er i seg selv ikke noe til å oppfylle hovedaktiviteten, men må kombineres med kommunikasjonsarbeid. Det var derfor gledelig å se at lansering av rapporten var en av de aktivitetene som ga mest oppmerksomhet i 2015.

Av øvrige tiltak som har bidrar til å oppfylle hovedaktiviteten kan vi også nevne rapporten «Personvern – tilstander og trender 2015», som ble utarbeidet sammen med Teknologirådet som en del av personverndagen 2015. Her satt vi blant annet søkelys på tiden etter Snowden og på holdninger til overvåking av barn. I tillegg til god mediedekning arrangerte vi et seminar med over 200 deltagere.

For tredje året på rad deltok Datatilsynet i Internet Sweep Day, i regi av det internasjonale samarbeidsnettverket GPEN (Global Privacy Enforcement Network). Temaet for 2015 var personvernet i apper rettet mot barn opp til 13 år. Datatilsynet undersøkte (sveipet) 60 apper – både norskproduserte og internasjonale apper som er populære blant norske barn. Vi fikk også god medieoppmerksomhet for denne aktiviteten.

2.3.1.2 Ressursbruk knyttet til denne hovedaktiviteten

Ettersom de ulike hovedaktivitetene glir over i hverandre er det vanskelig å angi nøyaktig ressursbruk, men vi vil fordele ressursbruken slik:

Kommunikasjonsvirksomheten | 2 årsverk
Råd og veiledning | 1 årsverk
Forskning og utredning | 1,5 årsverk
Totalt for denne hovedaktiviteten | 4,5 årsverk

2.3.1.3 Samlet vurdering av resultatene innen denne hovedaktiviteten, herunder om den har vært effektiv for å nå hovedmålet

Det har vært stor aktivitet knyttet til denne hovedaktiviteten. Antall medieoppslag, og den pågangen vi opplever fra media, viser at det er stor interesse for personvernspørsmål. Også henvendelsene til veiledningstjenesten trekker i samme retning. Utredningen «Det store datakappløpet» viser at det er store huller i folks kunnskapsnivå, og vi mener vårt arbeid har bidratt til at folk nå er bedre kjent med både utfordringer og muligheter til selv å ta grep. Vi føler selv vi blir lyttet til i de fora vi ferdes, og særlig innen offentlig sektor opplever vi at vi får godt gjennomslag for våre synspunkter.

Vi registrerer en liten nedgang både i antall foredrag, mediekontakter og innlegg på personvernbloggen. Vi mener imidlertid ikke at dette skyldes lavere aktivitetsnivå. Antall foredrag og innlegg på personvernbloggen var veldig høyt i 2014, og den nedgangen vi nå kan se ligger innenfor en normal variasjon fra år til år. Nedgang i medieoppslag har gått over flere år. Dette skyldes flere forhold. Mens Datatilsynet for noen år siden var en ganske enslig svale på personvernhimmelen, er det nå flere aktører som uttaler seg om personvernspørsmål. Dette ser vi på som udelt positivt. I tillegg har 2015 vært et år uten de store personverndebattene, slik vi for eksempel så i 2011 (datalagringsdirektivet) og 2013 (Edvard Snowdens avsløringer). Vi jobber også mer relasjonsorientert og kunnskapsbasert enn tidligere, noe som nok kan gi noen færre medieoppslag. Etter vår oppfatning bidrar denne måten å jobbe på imidlertid i større grad til å oppfylle hovedmålet enn tabloide utspill. Vi er av den oppfatning at vi fortsatt er synlige og tydelige i media, og tar aktive initiativ.

Vi bruker relativt store ressurser på denne hovedaktiviteten. Å skape oppmerksomhet om personvernspørsmål og å gjøre slike spørsmål relevante, er etter vår vurdering en av de aller viktigste oppgavene vi har. Derfor er vi av den oppfatning at ressursbruken har vært riktig, og at vi har lyktes godt med dette arbeidet.

Etter vår oppfatning underbygger både ressursbruk, virkemidler og tiltak hovedmålet: Et godt personvern for alle. Denne hovedaktiviteten har i sin kjerne nettopp å nå ut til alle, og det mener vi at vi har lykkes godt med.

2.3.2 Hovedaktivitet 2: Øke kjennskapen til lovfestede rettigheter og plikter både i befolkningen og i virksomheter

Kjennskap til rettigheter og plikter er en vesentlig forutsetning for at virksomhetene skal følge lovens bestemmelser, og for at befolkningen skal ivareta de rettighetene de har etter loven. Vårt inntrykk er at personopplysningsloven er relativt dårlig kjent både blant virksomheter og i befolkningen. Våre undersøkelser viser også at interessen for personvern er stor, og stadig stigende.

Samtidig opplever vi at personvernregelverket er lite pedagogisk. Personvernets vokabular, med begreper som behandlingsansvarlig, samtykke og informasjonssikkerhet, kan være forvirrende og er vanskelig å forstå. Det er derfor en prioritert oppgave å bidra til at både virksomheter, politikere og borgere blir oppmerksom på personvernspørsmål.

Målgruppen for våre aktiviteter er mange. Det er dels den enkelte borger og virksomheter. I tillegg er forvaltningen en viktig målgruppe, særlig de som driver regelverksutvikling.

2.3.2.1 Valg og omfang av de ulike virkemidlene og tiltakene innen denne hovedaktiviteten, samt resultater innenfor denne hovedaktiviteten

De prioriterte virkemidlene innen denne hovedaktiviteten har i 2015 vært:

Veiledning til publikum og virksomheter

Deltagelse i råd, utvalg mv.

Personvernombudsordningen

Høringsarbeid og regelverksutvikling

Kontroll og regelverksetterlevelse

Forskning og utredning

Veiledning til publikum og virksomheter

Veiledning er et helt sentral virkemiddel, og vi vil i det følgende gå gjennom de viktigste arbeidsmetodene våre under dette virkemiddelet.

Veiledningstjenesten

Vårt viktigste, og høyest prioriterte virkemiddel innen denne hovedaktiviteten er å gi råd og veiledning til publikum og virksomheter. En viktig del av dette arbeidet er beskrevet i kapittel 3.1.1, og vi viser til beskrivelsen der.

Veiledningsmateriell

I tillegg til veiledningstjenesten er utarbeidelse av veiledningsmateriell og informasjonstiltak et viktig virkemiddel. Godt veiledningsmateriell gjør den enklere for virksomheter å følge regelverket og for publikum til å forstå sine rettigheter. I tillegg til egne veiledere, har vi også jobbet aktivt for å formidle videre andre etaters veiledere.

I 2015 har vi bl.a.

Gitt omfattende informasjon av hvordan norske virksomheter må innrette seg etter Safe Harbor–dommen fra EU-domstolen

Utarbeidet en veileder om hvordan virksomhetene kan anonymisere data

Utarbeidet veiledningsmateriale om ny praksis opptak av kundesamtaler

Gitt informasjon om to nye veiledere fra KMD om innsynslogging og informasjonsplikt og innsynsrett

Holdt nettstedet løpende oppdatert

Deltagelse i råd og utvalg

Også deltagelse i råd og utvalg er et prioritert virkemiddel. Det gir mulighet til å snakke direkte med de som treffer beslutninger og bidra til at personvern tas tidlig inn i vurderingen. Vårt inntrykk er at manglende etterlevelse oftere skyldes manglende kjennskap til regelverket enn manglende vilje til å etterleve det. Videre gir deltagelse i råd og utvalg oss muligheten til å komme tidlig inn i beslutningsprosesser.

Vi har i 2015 særlig prioritert følgende råd, utvalg, prosjekter mv:

ITS- rådet for intelligente transportsystemer

ID-nettverket for en helhetlig ID-forvaltning

Samarbeidsprosjektet Du Bestemmer

Prosjekt Nytt Folkeregister

Bransjenorm for sikkerhetsbransjen

Norm for informasjonssikkerhet i helse- og omsorgssektoren

Personvernombudsordningen

Personvernombudsordningen er et viktig virkemiddel for å øke virksomhetenes kjennskap til rettigheter og plikter. Personvernombudsordningen er frivillig og gir virksomheter som velger å ha ombud fritak fra meldeplikten til Datatilsynet. Ombudet skal fungere som en ressursperson med spesialkompetanse på personvern i virksomheten, og skal ha oversikt over hvilke personopplysninger som blir behandlet til ulike formål. Personvernombudet vil derfor kunne hjelpe virksomheten til å håndtere personvernutfordringer som måtte oppstå.

Ved utgangen av 2015 hadde Datatilsynet registrert 271 personvernombud. Noen av disse er ombud for flere virksomheter, og til sammen representerer de 470 virksomheter.

Personvernombudene gir oss tilbakemelding om at de kursene og seminarene vi tilrettelegger for dem er viktige for deres mulighet til å gjøre en god jobb og relevant for arbeidet deres med personvern i virksomhetene.

Høringsarbeid og regelverksutvikling

Høringsarbeid

Høringsarbeid er viktig for å påvirke lovgivningen. Det er derfor en høyt prioritert oppgave, og vi ser at vi gjennom vårt høringsarbeid både får gjennomslag i lovprosesser, og at det åpnes for videre dialog med departementer. Ikke sjelden har høringsuttalelsene betydning ut over den enkelte lovprosess. Vi publiserer alle høringsuttalelser der vi inngir merknader av betydning, og ikke sjelden blir høringsuttalelsene fanget opp av media lenge etter at saken er avgjort.

I 2015 har vi gitt merknader til høringer vi har mottatt i et normalt omfang, selv om det er mottatt flere invitasjoner enn tidligere. På samme måte som i 2014, er det Justisdepartementet vi avgir flest høringsuttalelser med merknader til.

Tabell 2.5 Oversikt over antall høringer vi har behandlet de siste årene

| 2012 | 2013 | 2014 | 2015
Totalt antall høringer | 163 | 134 | 140 | 166

Regelverksutvikling

Datatilsynet deltar ofte i regelverksutvikling. Særlig viktig har arbeid med å forberede implementeringen av EUs personverndirektiv vært. Arbeidet med denne reformen har pågått siden januar 2012, og planen var at den skulle være klar tidlig i 2015. Vi opprettet derfor et internt prosjekt som skal håndtere vår rolle under det nye regelverket.

Videre satte vi av noen dedikerte ressurser til å følge med på utviklingen i forhandlingene i EU. Vi var også i jevnlig dialog med de som representerte Norge i forhandlingene. Det gjorde vi i form av møter og diskusjoner med representanter for Justisdepartementet og Kommunal- og Moderniseringsdepartementet.

Vi har holdt mange eksterne foredrag og vært med i mange fora der vi har redegjort for hva som blir endringene med ny forordning. Vi har vært godt orientert om status i forhandlingene slik at vi har kunnet svare på spørsmål fra publikum. Vi har også deltatt i WP29, og undergruppen som jobber særlig med forordningen, og viser til omtalen under hovedaktivitet fem.

Nå som forhandlingene er avsluttet og forordningsteksten er klar, starter arbeidet med implementeringer for fullt i 2016.

I tillegg lånte vi i meldingsåret ut en person som sekretær til Det digitale sårbarhetsutvalget. Vi har også hatt dialog med andre departementet om regelverksutvikling, som for eksempel Helse- og omsorgsdepartementet og Kunnskapsdepartementet. Tidstyvarbeidet kan også kategoriseres som regelverksutvikling, ettersom vårt arbeid har vært knyttet til revidering av forskrifter.

Kontroll og regelverketterlevelse

Et vesentlig virkemiddel for Datatilsynet er å føre tilsyn med regelverket. Det er viktig at tilsynene har virkning ut over den enkelte sak. Dette kommer vi tilbake til under Hovedaktivitet 4, Tilsyn.

I tillegg gir vi uttalelser og fortolkninger av personvernregelverket i en lang rekke saker hvert år. Dette er det redegjort for i kapittel 3.2.1.

Forskning og utredning som virkemiddel

Dette virkemiddelet har ikke vært av de høyest prioriterte innen denne hovedaktiviteten.

Den viktigste begivenheten var inngåelsen av en partnerskapsavtale mellom CCIS (Center for Cyber and Information Security) og Datatilsynet. CCIS ved Høgskolen på Gjøvik (som inngikk i NTNU fra 1. januar 2016) innehar Norges største akademiske fagmiljø innen informasjonssikkerhet. Vi vil gjennom partnerskapet med CCIS bidra til at hensynet til personvern blir vektlagt i forskningsprosjekter om cyber- og informasjonssikkerhet, og ved utvikling av nye sikkerhetsløsninger. Samarbeidet innebærer også en betydelig satsing på prosjekter med personvern som fagfelt.

Vi er representert i referansegruppen til forskningsprosjektet Social Responsible Crowdsourcing for Environmental Research and Decision (iResponse). Flere forskningsinstitutter og andre aktører samarbeider her om å utvikle såkalte crowdsourcing-verktøy. Prosjektet finansieres av Forskningsrådets program SAMANSVAR, som legger særlig vekt på ansvarlig innovasjon og Corporate Social Responsibility (CSR). Personvern står selvsagt sentralt i en slik sammenheng.

2.3.2.2 Ressursbruk knyttet til denne hovedaktiviteten, og hvorvidt den har vært effektiv for å nå hovedmålet

Det er krevende å beregne ressursbruken på denne hovedaktiviteten. Dette skyldes særlig at den til dels er overlappende med hovedaktivitet én, og fordi tilsynsvirksomheten er ressursberegnet i hovedaktivitet fire.

Vi vil anslå ressursbruken slik:

Veiledning til publikum og virksomheter | 5 årsverk
Høringsarbeid og regelverksutvikling | 3,5 årsverk
Kontroll og regelverksetterlevelse | 1,5 årsverk
FOU og utredningsarbeid | 0,5 årsverk
Deltakelse i råd og utvalg mv. | 0,5 årsverk
Totalt for denne hovedaktiviteten: | 11 årsverk

2.3.2.3 Samlet vurdering av resultatene innen denne hovedaktiviteten, herunder om den har vært effektiv for å nå hovedmålet

Denne hovedaktiviteten har vært høyt prioritert. Som vi kommer tilbake til under hovedaktivitet fire finner vi nær sagt alltid avvik når vi gjennomfører tilsyn. Det er derfor etter vår vurdering viktig å bidra til bedre kjennskap til regelverket, da dette selvsagt er helt vesentlig for å sikre regelverketterlevelse.

Vårt mål om å jobbe kunnskapsbasert krever også mye ressurser. Vi mener imidlertid dette er en viktig prioritering som bidrar til at Datatilsynet fremstår som troverdig og etterrettelig. Utredningen om «Det store datakappløpet» og den årlige rapporten som lanseres på Personverndagen har dessuten en levetid som strekker seg lang utover det enkelte meldingsår. I 2013 skrev vi eksempelvis rapporten «Big data – personvernprinsipper under press», og den har fortsatt stor aktualitet og ga oss plass i to panel på CPDP – konferansen i Brussel i januar 2016.

Det har vært en bevisst prioritering å starte arbeidet med implementeringen av EUs forordning så tidlig som mulig, og det har ført til at vi i skrivende stund ligger i front i Norden i dette arbeidet. Det har også gitt oss innpass i viktige arbeidsgrupper i EU, se nærmere under hovedaktivitet fem.

Ved å satse på deltagelse i råd og utvalg kan vi være med på beslutninger som har stor betydning for personvernet i lang tid framover. En viktig satsing i 2015 var deltagelse i bransjenormen for sikkerhetsbransjen. Gjennom tilsynsarbeidet har vi avdekket en bransje med til dels store utfordringer. Det er derfor positivt at bransjen nå vil sette seg ned med Datatilsynet for å lage en bransjenorm for bedre å kunne etterleve regelverket. Lykkes vi med dette, vil det også ha stor betydning for borgernes personvern.

Vi mener bestemt at også personvernombudsordningen bidrar til bedre kjennskap til regelverket. Vi har sett mange eksempler på at personvernarbeidet – og etterlevelsen har fått en ny giv når det er opprettet et personvernombud. Kursing av ombudene er ressurskrevende, men er etter vår vurdering viktig under denne hovedaktiviteten.

Datatilsynet mener derfor både virkemiddelbruken og ressursene vi har brukt på denne hovedaktiviteten har vært effektiv for å nå hovedmålet om personvernbeskyttelse for alle i tråd med gjeldende regelverk.

2.3.3 Hovedaktivitet 3: Fremme bruk av innebygd personvern og stimulere til at personvernhensyn blir ivaretatt tidlig ved utviklingen av nye løsninger og nytt regelverk

Innebygd personvern innebærer at de behandlingsansvarlige skal bygge inn personvern i tekniske løsning og regelverk allerede fra det tidspunkt planleggingen av et nytt prosjekt starter. Å fremme bruk av innebygd personvern har vært viktig for Datatilsynet siden 2010, og det er en viktig målsetting å nå bredt ut. Samtidig har vi vært særlig opptatt av å nå utviklermiljøer og beslutningstakere, om enn på ulik måte. Utviklerne er viktige for at de skal omsette prinsippene til teknologi, mens beslutningstakerne er viktig for å sikre god forankring.

2.3.3.1 Valg o g omfang av de ulike virkemidlene og tiltakene innen denne hovedaktiviteten, samt resultater innenfor denne hovedaktiviteten

Når det gjelder valg og omfang av virkemidler er bildet fragmentert. Enkelte svært sentrale virkemidler slik som tilsyn og enkeltsaksbehandling, er utelukket ettersom det per i dag ikke er noen rettslig forpliktelse til å jobbe etter prinsippene om innebygd personvern. Stortingsmeldingen «Personvern – utsikter og utfordringer», Meld. St. 11 (2012–2013), fastsetter imidlertid et prinsipielt mål om innebygd personvern i alle sektorer. Vi lar ikke en anledning gå fra oss til å minne beslutningstakere om dette prinsippet.

Veiledning til publikum og virksomheter som virkemiddel

Veiledning er et helt sentralt virkemiddel under denne hovedaktiviteten. Vi opplever stor interesse blant de behandlingsansvarlige. Samtidig erfarer vi at det eksisterer stor usikkerhet om hva innebygd personvern egentlig er og hvordan man i praksis skal gå fram for å ivareta dette prinsippet.

Vi har gjennomført en rekke møter med beslutningstakere i offentlig sektor og leverandører av IKT-løsninger for å se på hvordan de best kan bygge og vedlikeholde gode internkontrollsystemer og god informasjonssikkerhet for å ivareta personvernet. Vi forsøker å gjøre aktører i sektoren til å bli gode bestillere av løsninger med innebygd personvern, og vi har gitt råd til leverandører om å ta hensyn til innebygd personvern i deres leveranser til offentlig sektor. Som eksempel kan vi nevne Barne-, ungdoms- og familiedirektoratet som ønsket råd om tilganger til system for barnevernet (Birk).

I tillegg snakker vi om innebygd personvern stort sett hver gang vi møter leverandører og utviklere. Som eksempel kan nevnes Visma, som utvikler programvare for barnevernet. De hadde utviklet programvare for håndholdte «dingser», hvor de kun fikk tilgang til relevant info (istedenfor å kjøre rundt med hele mapper), og hvor det var lagt opp til innsyn fra borgerne. Løsningen tilrettelegger også for at saksbehandlerne skal kunne skrive referat sammen med de de hadde vært på hjemmebesøk hos. Dette bidrar til kontradiksjon.

Vi kan også nevne selskapet Noisolation som utvikler en avatarrobot som kan stå i klasserommet på vegne at langtidssyke barn (http://www.noisolation.com/no/). Utviklerne hadde ikke personopplysningsloven tett under huden, men det er bevisst tenkt veldig gode tanker når de har utviklet denne roboten. To andre eksempler er Gyldendal, som utviklet programvare for smart læring, og Affecto, som ville ha råd om anonymisering og Big Data.

I tillegg har vi hatt flere møter mede selskaper som ønsker å utvikle gode internkontrollsystemer for småbedrifter og gjøre det enklere for norske næringsdrivende å følge personopplysningslovens krav.

Påvirkning gjennom samarbeid

Vi har gjennomført en rekke møter med beslutningstakere i offentlig sektor og leverandører av IKT-løsninger for å se på hvordan de best kan bygge og vedlikeholde gode internkontrollsystemer og god informasjonssikkerhet for å ivareta personvernet. Vi forsøker å gjøre aktører i sektoren til gode bestillere av løsninger med innebygd personvern, og vi har gitt råd til leverandører om å ta hensyn til innebygd personvern i deres leveranser til offentlig sektor.

Folkeregisterprosjektet er et eksempel på dette. Her har vi benyttet anledningen til å snakke om innebygd personvern i alle de sammenhenger der innhold og løsning har vært tema. Som eksempel kan vi nevne et møte der alle etatsledere var invitert til Skattedirektoratet, som hadde fått midler til å videreføre arbeidet med nytt folkeregister. Der trakk vi frem viktigheten av å tenke innebygd personvern og de mulighetene som finnes for å lykkes med dette dersom man starter allerede i konsept- og kravspesifikasjonsfasen. Dette ble også understreket av Kartverket og av UDI. Det er svært positivt at etater, som for kun få år siden sannsynligvis ikke visste hva innebygd personvern var, nå aktivt oppfordrer alle til å jobbe etter disse prinsippene!

Til slutt kan vi nevne Altinn, som nå utvikle en ny strategi, og som har vist stor interesse for prinsippene om innebygd personvern. Dette var også oppe som tema på kontaktmøtet vi hadde med Brønnøysundregistrene. Dette var svært nyttig ettersom Brønnøysundregistrene, som den selvdeklarerte digitaliseringsetaten, besitter mye data. De er også innovative og er i ferd med å utvikle nye, spennende tjenester for borgere og virksomheter.

Kommunikasjon som virkemiddel

Kommunikasjon er naturlig nok et sentralt virkemiddel i denne sammenheng, særlig foredrag. Vi nevner innebygd personvern i nær sagt samtlige foredrag vi holder. I tillegg er det jevn pågang fra virksomheter som ønsker foredrag spesielt om dette temaet. Det anses særlig viktig å snakke for folk som sitter på utviklersiden. Som eksempel kan nevnes at vi i 2015 holdt foredrag for apputviklere, på Sikkerhetssymposiet, utviklerkonferansen Trondheim Developer Conference og for ansatte i selskapet Buypass.

2.3.3.2 Ressursbruk knyttet til denne hovedaktiviteten, og hvorvidt den har vært effektiv for å nå hovedmålet

Det er vanskelig å anslå nøyaktig hvor mye ressurser vi bruker på innebygd personvern, ettersom dette ofte er et arbeid som er integrert i andre aktiviteter, som foredrag, tilsyn og råd- og veiledningsarbeid. Vi vil anslå ressursbruken til ett årsverk.

Datatilsynet har hatt som mål å fremme bruken av innebygd personvern som en strategisk satsing siden 2011. Den gang var dette konseptet helt ukjent for de fleste, men vi ser nå at det er kjent for svært mange virksomheter vi har i kontakt med. At det i Stortingsmelding 11 også ble flagget at det offentlige skulle bygge sine systemer etter disse prinsippene var meget viktig.

Vi mener vårt arbeid på dette området har vært avgjørende for å fremme dette viktige prinsippet.

2.3.3.3 Samlet vurdering av resultatene innen denne hovedaktiviteten, herunder om den har vært effektiv for å nå hovedmålet

Å få norske virksomheter og offentlige etater til å jobbe etter prinsippene for innebygd personvern, er et langsiktig arbeid. Det er omlag 550 000 virksomheter i Norge. Det er selvsagt ikke slik at alle disse behandler personopplysninger av særlig omfang, men antallet viser tydelig at det ikke er gjort i en håndvending å få alle virksomheter til å følge prinsippene. Det er derfor viktig å velge de riktige virkemidlene. Etter vår vurdering er det å forsøke å nå ut til flest mulig, bl.a. gjennom å holde mange foredrag og å drive annen kommunikasjonsvirksomhet, viktig. Vi kan ikke tallfeste hvor mange som i løpet av et år har hørt Datatilsynets ansatte snakke om innebygd personvern, men det er snakk om flere tusen. At arbeidet bærer frukter ser vi tydelig når virksomheter i etterkant ber om råd og veiledning om hvordan de best kan implementere gode løsninger. Dette vitner om at virksomhetene vil, men at de mangler kjennskap til og kompetanse om hva de skal gjøre.

Særlig viktig er det at sentrale offentlige etater som Altinn og Difi har fattet interesse for konseptet, men som vi nevner i kapittelet om framtidige utfordringer burde Difi stilt som krav i digitaliseringsrundskrivet om at prinsippene om innebygd personvern skal følges.

Effekten av at prinsippene følges kan ikke overvurderes. De to løsningene knyttet til barnevernet som vi trakk fram over, vil gi bedre tilgangsstyring, og dermed også et bedre personvern for alle som har personopplysninger om seg registrert i barnevernets fagsystemet. Dersom Folkeregisteret ivaretar personvernet på en god måte vil det i realiteten bety bedre personvern for samtlige norske borgere. Vi mener oppsummert at det arbeidet vi har lagt ned til å arbeide for prinsippet om innebygd personvern har vært viktig og effektivt for å oppnå hovedmålet.

2.3.4 Hovedaktivitet 4: Gjennomføre tilsyn i prioriterte sektorer basert på risikoanalyse, systematisere og kommunisere funn fra tilsynene til aktuelle målgrupper, følge opp etterlevelse og pålegg både i den enkelte kontrollsak og gjennom påfølgende etterkontroller

Gjennomføring av tilsyn er en viktig aktivitet for å nå målene våre. Vi skal gjennomføre tilsyn på prioriterte områder basert på risikoanalyse, systematisere og kommunisere funnene, samt følge opp etterlevelsen av pålegg. Hvilke virksomheter vi faktisk velger å kontrollere, faller normalt i to kategorier; virksomheter hvor det antas å være en særskilt risiko, og representative virksomheter for å avdekke status i en sektor eller et tematisk område.

2.3.4.1 Valg og omfang av de ulike virkemidlene og tiltakene innen hovedaktiviteten, samt resultater innenfor denne hovedaktiviteten

Generelt om tilsyn

Vi har i all hovedsak benyttet tilsyn som virkemiddel under denne hovedaktiviteten. Det er imidlertid viktig å bemerke at tilsynsvirksomheten kun er ett av flere virkemidler vi har til disposisjon for å kontrollere om lover og regler blir etterlevd. I tillegg bidrar også vårt veiledningsarbeid, både i veiledningstjenesten og ved generelle råd- og veiledningsmøter, til å sikre etterlevelse av loven.

I 2015 gjennomførte vi totalt 54 tilsyn. I tillegg kommer 161 saker der vi brukte av kontrollhjemlene våre i annen saksbehandling enn tilsynsvirksomheten (ikke inkludert deler av desember pga. arkivoppgradering). Dette blir til sammen 215 saker.

I løpet av året gjennomførte vi flere tilsyn med internkontroll og informasjonssikkerhet i offentlig sektor for å påvirke til bedre etterlevelse av regelverket. Vi gjennomførte også kontroller med virksomheter som driver med samfunnsforskning. Kontrollene skal danne grunnlag for videre oppfølging av disse virksomhetene Det første tilsynet etter politiregisterloven ble også gjennomført i 2015, ved at vi kontrollerte DNA-registeret hos KRIPOS. Videre førte vi tilsyn med reiseselskap, hvor vi valgte oss ut reiseselskaper med middels risiko hos de individuelle objektene, men hvor vi mener det er muligheter for å påvirke mange aktører gjennom oppfølging etter tilsynene. For øvrig har vi gjennomført tilsyn med et sentralt register i finanssektoren, felles pasientdatabaser i helsesektoren, bruk av nettsky og kryptering av kommunikasjonen hos store datasentre.

I noen tilfeller gjennomføres planlagte kontroller som en skriftlig prosess, uten at vi er på fysisk besøk hos virksomheten. Dette er i tilfeller hvor de forholdene vi ønsker å undersøke er egnet å få avklart uten et stedlig oppmøte. I 2015 ble 39 av tilsynene gjennomført hos virksomhetene (stedlig tilsyn), mens 15 ble gjennomført via brev (brevlig tilsyn).

De brevlige tilsynene skiller seg fra bruk av de samme kontrollhjemlene i øvrig saksbehandling ved at de er en planlagt undersøkelse av konkrete forhold i virksomhetene. I 2015 ble brevlige tilsyn særlig vurdert som hensiktsmessig for den oppfølgingen vi hadde av samfunnsforskning og kryptering i datasentre.

Figur 2.8 Gjennomførte tilsyn fordelt på områder

Avvik avdekket gjennom tilsynsvirksomheten

Funn som blir gjort under tilsyn kategoriseres som avvik. Det vi si at vi har vurdert praksisen hos den kontrollerte virksomheten til å være et avvik fra krav i regelverket.

Hvilke avvik som avdekkes vil avhenge av hva som er tema for den aktuelle kontrollen. Vi undersøker ikke samtidig andre plikter etter regelverket.

Saker med særlig interesse er som nevnt omtalt i årsmeldingens fagkapitler. Det er likevel grunn til å fremheve at vi fremdeles ser systematiske avvik i offentlig sektor knyttet til internkontroll, informasjonssikkerhet og etablering av databehandleravtaler.

Enkelte av tilsynene som ble gjennomført i 2015 er ikke kommet tilstrekkelig langt i saksbehandlingen til at avvikene lar seg klassifisere. Derfor er ikke antallet tilsyn i tabellen nedenfor likt det totale antallet tilsyn gjennomført i 2015.

Tabell 2.6 Oversikt over hvilke typer avvik vi har avdekket under kontrollene i 2015

Område | Totalt ant. tilsyn | Antall tilsyn hvor det ble avdekket avvik av en gitt kategori
|  | Ingen avvik | Fravær av internkontroll¹ | Utilstrekkelige enkeltrutiner i internkontroll¹ | Utilstrekkelige sikkerhetstiltak² | Manglende rettslig grunnlag³ | Utilstrekkelige avtaler⁴ | Brudd på meldeplikt | Annet avvik
Arbeidsliv | 3 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 3
Finanssektoren | 1 | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0
Helsesektoren | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0
Reiseselskap | 5 | 0 | 0 | 5 | 5 | 0 | 1 | 0 | 0
Justissektoren | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0
Kameraovervåking | 7 | 0 | 5 | 1 | 3 | 6 | 2 | 3 | 3
Offentlige etaters Internkontroll | 15 | 0 | 0 | 15 | 7 | 0 | 7 | 0 | 1
Forskning | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0
Kryptering | 3 | 0 | 0 | 0 | 3 | 0 | 0 | 0 | 0
Andre | 4 | 1 | 0 | 2 | 2 | 0 | 1 | 0 | 0
Sum | 39 | 2 | 5 | 23 | 20 | 6 | 11 | 3 | 7

¹ Internkontroll her er både knyttet til informasjonssikkerhet (pol § 13 og tilsvarende) og ivaretakelse av lovens øvrige krav (pol § 14 og tilsv.). «Fravær av internkontroll» benyttes dersom virksomheten har store mangler i det systematiske arbeidet. For øvrig benyttes «Utilstrekkelige enkeltrutiner»

² Herunder manglende risikovurderinger

³ Herunder brudd på konsesjonsplikten

⁴ Databehandleravtaler (pol § 15 og tilsv.), avtale med sikkerhetsparter (pof § 2-15 og tilsv.), samt andre forhold som skal reguleres i avtale

Kommunikasjon av funn

I etterkant av halvårsrapporten 2015 ble Datatilsynet bedt av KMD om å rapportere særskilt på kommunikasjon av funn fra tilsyn.

Funn fra våre tilsyn blir først samlet og systematisert i kontrollrapporter. Foreløpige rapporter blir så sendt til tilsynsobjektet, tilbakemeldinger blir vurdert og det utformes til slutt en endelig rapport.

De fleste rapportene publiseres på Datatilsynets nettsted slik at andre aktører i tilsvarende bransje kan lese om våre funn og hva vi er opptatt av. Videre stadfester rapportene vår forvaltningspraksis innen de aktuelle feltene.

Rapportene gjøres også tilgjengelig via Offentlig elektronisk postjournal (OEP) og blir derfor ofte også gjort til gjenstand for medieomtale, både i lokale, regionale og nasjonale medier.

Ut over dette brukes funnene i dialog med bransjeforeninger, sektormyndigheter og andre sentrale aktører som tar utfordringene videre. Funn fra tilsyn presenteres også på relevante foredrag.

Noen gjennomførte og planlagte aktiviteter for å følge opp tilsyn gjennomført i 2015:

I tilsynsprosjektet med reiseselskaper, gjennomførte vi først et fåtall tilsyn, før vi hadde dialog med bransjeforeninger (NHO og Virke) for å påvirke disse til å starte utarbeidelse av veiledningsmateriell for bransjen. Det arbeides nå med veiledning, og vi vil ha dialog med foreningene i forbindelse med ferdigstilling av materialet. Bred etterlevelse av regelverket får vi først når sektorer selv arbeider for etterlevelse. Formålet med prosjektet er derfor å initiere slike prosesser med en begrenset ressursbruk fra Datatilsynets side.

Kontroller med kommuner over flere år, og særlig bruk av overtredelsesgebyr etter tilsyn gjennomført i 2014, har ført til en konstruktiv dialog med Kommunenes arbeidsgiver-, interesse- og medlemsorganisasjon (KS) om hvordan det kan legges bedre til rette for kommuners regelverksetterlevelse.

Etter tilsyn med kameraovervåking i regi av lokalt politi er det tatt kontakt med Politidirektoratet for å koordinere rammene og omfanget av slik overvåking.

I forbindelse med tilsyn om kryptering av datasentertrafikk er vår veiledning på området oppdatert i samråd med Nasjonal sikkerhetsmyndighet (NSM), og våre beslutninger vil gjøres kjent for sektoren i den grad det ikke eksponerer sårbarheter hos de kontrollerte virksomhetene.

Funn og avgjørelser etter tilsynene med virksomheter som driver med samfunnsforskning vil bli kommunisert tilbake til sektoren. For øvrig er disse tilsynene ikke analysert i tilstrekkelig grad til at andre tiltak er identifisert.

Etterkontroller

I 2015 gjennomførte Datatilsynet etterkontroll med to kommuner hvor tema var internkontroll og informasjonssikkerhet. Videre gjennomførte vi etterkontroll med én kommunes bruk av skytjenester og en kontroll hos Husbanken. I tillegg legger vi fremdeles negative svar om etterlevelse av internkontrollplikten fra kommuneundersøkelsen vår i 2010 og 2011 til grunn ved utvelgelsen av tilsynsobjekter i kommunesektoren.

2.3.4.2 Ressursbruk knyttet til denne hovedaktiviteten, og hvorvidt den har vært effektiv for å nå hovedmålet

Det ble gjennomført færre tilsyn i 2015 enn i de foregående årene, og færre enn vi hadde planlagt for året. Dette gjelder særlig på helse og justissektoren. Årsakene til dette er utsettelser, omprioriteringer og noe sykefravær. Vi fristilte blant annet en medarbeider i store deler av året for å bidra i sekretariatet til det digitale sårbarhetsutvalget og vi har prioriterte opp arbeidet med personvernforordningen. Vi valgte dessuten å utsette tilsynene med politiregistrene fra våren til høsten, og valgte å gjennomføre et bredt og grundig tilsyn med DNA-registeret hos Kripos, framfor flere mindre. Dette gir seg utslag i antall gjennomførte tilsyn, men ett grundig tilsyn mot ett sentralt register vil gi justissektoren bedre læring enn flere mindre omfattende tilsyn. Vi gjennomfører også kontroll med om regelverket følges i enkeltsaksbehandlingen ut over det som fremgår som enkelttilsyn. Reduksjonen i kontrollaktiviteten vår er derfor ikke så stor som tallet på tilsyn skulle tilsi.

Vi anslår at vi i 2015 brukte åtte årsverk til tilsyn og kontroll med etterlevelse av regelverk. Dette er noe mindre enn i 2014.

Gjennom våre tilsyn viser vi tilstedeværelse i de ulike sektorer. Vi ser også at tilsyn bidrar til at sektorene selv tar tak i problemene. Her kan vi nevne skolesektoren og kommunesektoren som eksempler. Etter at vi avdekket omfattende avvik, har Senter for IKT i utdanningen og Utdanningsdirektoratet fått i oppdrag å utarbeide en norm for personvern i skolesektoren, mens KS har tatt opp ballen og vil jobbe for bedre personvern i kommunene generelt. Vår tilsynsvirksomhet setter med andre ord i gang viktige prosesser i ulike sektorer.

2.3.4.3 Samlet vurdering av resultatene innen denne hovedaktiviteten, herunder om den har vært effektiv for å nå hovedmålet

Tilsyn åpner for dialog med bransjer. I en årrekke har vi avdekket feil og mangler hos sikkerhetsbransjen. Våren 2015 tok de initiativ til å utarbeide en bransjenorm for sikkerhetsbransjen, som særlig vil rette seg mot kameraovervåking. Endelig kan vi nevne Ruter. Etter flere tilsyn i 2008 og 2009 tok selskapet kontakt og ønsket et samarbeid. Det resulterte i Bransjenorm for e-billettering, som har fått positiv oppmerksomhet ut over landets grenser. Det var starten på et godt samarbeid som fortsatt varer. Høsten 2015 tok Ruter kontakt for å drøfte hvordan vi kunne jobbe sammen for å utvikle nye, innovative løsninger basert på prinsippene for innebygd personvern. Dette har et langsiktig perspektiv, men er et godt eksempel på hvordan det som startet med skarpe tilsyn faktisk kan utvikle seg til et godt samarbeid.

Vi er derfor av den oppfatning av vi gjennom hovedaktivitet fire har bidratt til å oppnå hovedmålet.

2.3.5 Hovedaktivitet 5: Delta aktivt i internasjonalt arbeid

Internasjonalt arbeid er viktig for Datatilsynet. Siden Norge ikke er medlem i EU, kan det være utfordrende å få påvirkningsmuligheter på EUs beslutningsprosesser. Målet for 2015 var å oppnå større synlighet på den internasjonale arenaen, og finne fora hvor vi kan være med og hvor vi kan komme til orde. Vi har benyttet alle de fora vi er representert i til å søke oppmerksomhet, og noen nye fora har også kommet til.

Ettersom internasjonalt samarbeid blir stadig viktigere fremover med et harmonisert regelverk på personvernområdet, er det viktig for Datatilsynet å ha et godt internasjonalt nettverk.

2.3.5.1 Valg og omfang av de ulike virkemidlene og tiltakene innen denne hovedaktiviteten, samt resultater innenfor denne hovedaktiviteten

Internasjonal deltagelse som virkemiddel

Internasjonal deltagelse er det klart viktigste virkemiddelet under denne hovedkategorien. Nedenfor følger en kort gjennomgang av de viktigste arenaene Datatilsynet deltar i.

Artikkel 29-gruppen (Art. 29 Data Protection Working Party – WP 29)

Artikkel 29-gruppen er opprettet i henhold til personverndirektivet, og er den øverste rådgivende forsamlingen for EU-kommisjonen i spørsmål om personvern og informasjonssikkerhet. Her møter alle lederne for EU-landenes datatilsynsmyndigheter. Norge har observatørstatus som EØS-land, og møter med en representant for ledelsen i Datatilsynet.

Det er avholdt fem møter i Artikkel 29-gruppen i 2015 og Datatilsynet har vært representert på alle.

Blant annet har Artikkel 29-gruppen kommet med kommentarer til C-SIG Code of Conduct on Cloud Computing. Dette er et veldig aktuelt tema ettersom mange benytter skytjenester og vi får mange spørsmål om dette. Vi har over tid etterspurt en internasjonal standard.

Naturligvis har året dessuten vært preget av arbeidet med ny forordning og direktiv på justisområdet og Artikkel 29-gruppen har jevnlig avgitt uttalelser til EU-kommisjonen om forskjellige spørsmål i den anledning.

Safe Harbor-avgjørelsen har naturlig nok også preget mye av arbeidet i Artikkel 29-gruppen etter at avgjørelsen kom i oktober.

Vi i det norske Datatilsynet var raskt ute med å informere om den endrede rettstilstanden. Vi sendte blant annet ut skriftlige orienteringer til samtlige 110 virksomheter som har meldt inn til oss at de overfører persondata til aktører i USA i medhold av Safe Harbor-ordningen, og hadde fyldig informasjon tilgjengelig på våre nettsider.

Technology Subgroup

Technology Subgroup er en arbeidsgruppe som gjør saksforberedelser for Artikkel 29-gruppen. Disse forberedelsene danner grunnlag for mange av Artikkel 29-gruppens uttalelser. Vår deltakelse i arbeidsgruppen gir god mulighet til å fremme norske synspunkter i spørsmål som gjelder bruk av teknologi og koblingen til juss og regelverk. Undergruppen diskuterer også konsekvensen av nye teknologier som påvirker personvernet, noe som er svært nyttig som informasjonskilde for oss. Vi benytter også anledningen til å fremme våre forslag inn i gruppen. Datatilsynet har vært representert med en erfaren teknolog på samtlige møter avholdt i 2015.

Future of Privacy Subgroup (FOP)

2015 har vært det første året vi har vært medlem av denne undergruppen til Artikkel 29-gruppen. Ved siden av å øke Datatilsynets synlighet, vurderer vi det som viktig å være med i denne undergruppen da mye av diskusjonene om den nye forordningen skjer her. Dette har vist seg svært verdifullt for oss. Vi har blant annet evnet å være en god samtalepart for både Justisdepartementet og Kommunal- og Moderniseringsdepartementet om temaet ny forordning. Vi er representert med én jurist i denne undergruppen, og vi har vært med på alle møter som har vært holdt siden vi ble medlem.

Berlingruppen

Berlingruppen er et fellesskap som arbeider med personvern innen elektronisk kommunikasjon i utvidet forstand. I det vesentlige er det personvernmyndigheter som deltar. Gruppen avgir uttalelser (Working Papers) om aktuelle personvernspørsmål.

Datatilsynet har over flere år vært en aktiv deltaker i Berlingruppen. Som et tiltak for å bli mer synlig på den internasjonale arena har vi jobbet for å få Berlingruppens vårmøte i 2016 til Oslo. Vi lykkes med dette, og i 2015 startet vi opp planleggingen av møtet.

Den internasjonale personvernkonferansen

Datatilsynet er medlem av den internasjonale personvernkonferansen og i 2015 støttet vi en resolusjon som ble vedtatt på konferansen. Vårt engasjement på konferansen var en videreføring av jobben med Big Data resolusjonen som vi fremmet året før.

Temaet for årets konferanse var «Building Bridges» – hvordan jobbe for bedring av personvernet i grensedragningen mellom Europa og USA. Temaet er svært aktuelt slik dommen fra EU-domstolen viste senere på året. Vi deltok med et innlegg i en sesjon om barn og unges personvern, der vi fortalte om vårt arbeid i Du Bestemmer-prosjektet. I forkant av konferansen ble det også utarbeidet et «paper» der Du Bestemmer ble grundig beskrevet på engelsk.

Global Privacy Enforcement Network – GPEN

I tillegg til å delta i GPEN Privacy Sweep Day i mai har Datatilsynet bidratt økonomisk til å etablere tjenesten GPEN Alert. GPEN Alert er et multilateralt varslings- og kommunikasjonssystem som gjør det mulig for datatilsynsmyndigheter å dele informasjon på tvers av landegrenser. Vi har også vært med å teste dette systemet, som er utviklet og drivers av Federal Trade Commission (FTC) i USA.

Vi deltar jevnlig på de månedlige «GPEN conference calls» der tilsynsmyndigheter fra hele verden deler erfaringer fra arbeidet sitt.

Schengen Coordination Group (SCG)

Vi er fullverdig medlem av Schengen-koordinasjonsgruppen som møtes i EU-parlamentet i Brüssel. Vi har deltatt på to møter i 2015.

I tillegg deltok en ekspert fra Datatilsynet i tilsynsteamet som inspiserte Schengen informasjonssystem i Tyskland sommeren 2015. Vi planlegger også fremover å være med på kontroller av andre Schengen-land.

Eurodac og Visumsamarbeidet i Europa

Vi er fullverdig medlem av begge disse kontrollgruppene. De har som regel møter sammen, i og med at temaene for fingeravtrykk og visum i stor grad retter seg mot samme gruppe personer. Vi deltok på begge møtene som ble avholdt i 2015.

Samarbeid med de nordiske datatilsynsmyndighetene

Det nordiske datatilsynsmøtet ble arrangert i Helsinki i mai 2015. Hovedtemaet var ny forordning og hvordan de nordiske landene planlegger å implementere de nye reglene. Møtet ble fulgt opp av et nytt møte senere på høsten hvor vi utvekslet planer for arbeidet.

Det er i tillegg jevnlig kontakt med de nordiske datatilsynsmyndighetene i form av uformelle samtaler og på andre internasjonalen møter. Ny personvernforordning har vært et tema som vi stadig har utvekslet erfaringer om.

Internasjonal presentasjon av kommersialiseringsrapporten

Rapporten om kommersialisering av personopplysninger har blitt presentert for forskjellige internasjonale virksomheter. Vi har fått gode tilbakemeldinger på både denne rapporten og på den tidligere rapporten om Big Data. Vi mener vi har lykkes godt med de initiativ vi har tatt internasjonalt. Vi har blant annet fått muligheten til å presentere rapporten og temaet kommersialisering av personopplysninger på konferanser og internt i Artikkel 29-gruppen. Dette arbeidet vil fortsette i 2016.

Bistand til personvernmyndigheten i Makedonia

Det norske utenriksdepartementet ga i desember 2014 fortsatt finansiell støtte til Republikken Makedonia til utvikling av landets personvernmyndighet. Datatilsynets makedonske søsterorganisasjon arbeider nå med å ferdigstille sitt opprinnelige prosjekt, som hovedsakelig dreier seg om personvern i sosiale nettsamfunn og om utfordringer knyttet til bruk av skytjenester. I tillegg er prosjektmandatet blitt utvidet til også å utvikle et nærmere samarbeid mellom flere lands personvernmyndigheter på Vest-Balkan. Målet er å dra nytte av de positive erfaringene som er gjort i vårt samarbeidsprosjekt så langt. Ikke minst gjelder dette etableringen av en veiledningstjeneste for de som opplever seg krenket på internett, etter inspirasjon fra vår norske tjeneste slettmeg.no. Denne tjenesten vil lanseres i Makedonia i 2016.

Datatilsynets bidrag har i 2015 hovedsakelig bestått i å organisere et studiebesøk til Norge. I september tok vi mot en delegasjon på ti personer som, foruten Makedonia, representerte personvernmyndighetene i Bosnia Herzegovina, Albania, Serbia, Montenegro og Kosovo. Våre gjester besøkte da Norsk senter for informasjonssikring (NorSIS) på Gjøvik, som presenterte slettmeg.no. I tillegg orienterte vi fra vår side om våre erfaringer med nordisk samarbeide, undervisningsopplegget Du bestemmer og flere andre temaer.

Tilsyn som virkemiddel

Vi har også brukt tilsyn som virkemiddel internasjonalt ved å gjennomføre et nordisk tilsyn mot flyselskaper. Hensikten var først og fremst å kontrollere om personopplysningsloven blir fulgt, men en annen viktig grunn var å vinne erfaring om hvordan vi i samarbeid mellom flere land kan gjennomføre tilsyn. Det vil bli utarbeidet en mal for tilsyn der flere land deltar.

Kommunikasjon som virkemiddel

Datatilsynet har i tillegg til å delta i de fora som er nevnt over, også vært foredragsholder på flere internasjonale konferanse og møter. Dette har vært knyttet til rapporten Det store datakappløpet, og i 2015 har vi holdt foredrag om denne rapporten på en telekom-konferanse i Stockholm, en personvernkonferanse i Berlin og på det nordiske direktørmøtet i Helsinki. Den er også blitt presentert for EDPS og for den norske delegasjonen i Brussel.

Det har også vært kommunikasjonsarbeid knyttet til bl.a. publisering av uttalelser fra WP29, særlig knyttet til Safe Harbor-avgjørelsen.

2.3.5.2 Ressursbruk knyttet til denne hovedaktiviteten, og hvorvidt den har vært effektiv for å nå hovedmålet

Datatilsynet har brukt ca to årsverk på internasjonalt arbeid i 2015, inkludert arbeidet med å forberede implementeringen av EUs personvernforordning.

Datatilsynet har brukt mer ressurser på det internasjonale arbeidet i 2015 sammenlignet med tidligere år. Dette skyldes særlig at vi ønsker å vise større synlighet internasjonalt, for på den måten å få større gjennomslag i bl.a. WP29. Fortsettelsen av denne gruppen vil bli European Data Protection Board, og vil få en viktig funksjon i fortolkningen av det nye regelverket. Vi vil også trekke fram at vi har engasjert oss i nye undergrupper under WP29, har påtatt oss å arrangere møte i Berlin-gruppen og har blitt invitert til å holde foredrag på flere viktige konferanser. Dette kommer som en følge av at vi i flere år har jobbet målrettet med å utrede sentrale personvernspørsmål, som for eksempel Big Data – rapporten i 2013 og Det store datakappløpet i 2015. Dette har vært en vellykket strategi.

Vi har også hatt som mål å være en pådriver i det nordiske arbeidet. Det mener vi at vi har oppnådd, og har i meldingsåret tatt initiativ til bl.a. samarbeid om implementering av EU – forordningen, saker som gjelder «retten til å bli glemt» og felles nordisk tilsyn.

2.3.5.3 Samlet vurdering av resultatene innen denne hovedaktiviteten, herunder om den har vært effektiv for å nå hovedmålet

Vi mener vi gjennom vår innsats i 2015 har bidratt til å oppfylle hovedmålet om personvernbeskyttelse for alle i tråd med gjeldende regelverk.

2.3.6 En samlet vurdering av ressursbruk knyttet til de ulike hovedaktivitetene

Vi har forstått det slik at departementet er særlig interessert i våre vurderinger knyttet til ressursbruk og virkemidler knyttet til de ulike hovedaktivitetene. Vi har redegjort for dette under hver aktivitet, men vil her kort oppsummere endringer fra 2014 til 2015 hva angår ressursbruk og virkemiddelbruk, og hvordan vi ser på dette framover.

Den viktigste endringen er at vi har brukt mer ressurser på internasjonalt arbeid enn tidligere. Dette skyldes først og fremst den nye personvernforordningen, men også at vi ønsker mer synlighet internasjonalt. Slik kan vi få innflytelse i en personvernverden der vi påvirkes av beslutninger som ikke treffes i Norge. Vi vil fortsette denne satsingen og ytterligere øke ressursbruken på internasjonalt arbeid i 2016.

Den moderate nedgangen i ressursbruken på tilsyn skyldes dels en bevisst prioritering som det er redegjort for overfor, samt forhold utenfor vår kontroll, blant annet sykefravær. Vi har planer om å gjennomføre vesentlig flere tilsyn i 2016.

Virkemiddelbruken er vektet relativt likt i 2015 sammenlignet med 2014. Vi har merket oss en nedgang i antall mediehenvendelser, og har gitt vår vurdering av dette tidligere i rapporten. Vi har et mål om å øke antallet noe, men er mer opptatt av å komme ut med de riktige sakene i de riktig mediene, fremfor et stort antall oppslag. Samtidig vil vi bruke mye ressurser på kommunikasjonsaktiviteter i forbindelse med forordningsarbeidet, og her er det å søke oppmerksomhet gjennom mediene bare ett av flere virkemidler.

Avslutningsvis gjør vi oppmerksom på dette: Under hver hovedaktivitet har vi anslått ressursbruk. Legger vi sammen antall årsverk får vi et lang lavere tall enn samlet antall årsverk i Datatilsynet. Dette skyldes at mange aktiviteter ikke fanges opp av denne rapporteringen. Deler av saksbehandlingen (for eksempel konsesjoner, binding corporate rules og tillatelse til overføring til utlandet) faller ikke naturlig inn under noen av hovedaktivitetene. Dette samme gjelder blant annet administrative tjenester, kompetanseoppbygging, strategisk ledelse og fellesarrangementer.

2.4 Styring og kontroll i virksomheten

I arbeidet for et best mulig personvern i samfunnet, er våre ansatte og studenter Datatilsynets desidert viktigste ressurs. Med sin kompetanse, motivasjon og innsats arbeides det hver dag målrettet for best mulig personvern for alle borgere. Vi er derfor opptatt av at alle medarbeidere skal oppleve at de har interessante og meningsfulle arbeidsoppgaver, og at de får mulighet til faglig utvikling og kompetanseheving. Vi legger også til rette for et arbeidsmiljø som baserer seg på samarbeid og gjensidig tillit, og vi er opptatt av å utvikle en god tilbakemeldingskultur. Måten vi organiserer arbeidet på i det daglige, vår formelle styringsstruktur, har selvsagt også stor betydning for hvilke resultater vi oppnår.

Også i 2015 har vi hatt særlig oppmerksomhet på arbeidet med organisering og effektivisering, samt oppgradering av arbeidsverktøy. Slikt arbeid inngår i kontinuerlige prosesser og må nødvendigvis strekke seg over tid. En del IKT-arbeider og arbeid knyttet til effektivisering og oppgradering av arbeidsverktøy som ble startet i 2014 ble videreført i 2015, og mye avsluttes våren 2016.

Utgangspunktet for Datatilsynets virksomhetsplanlegging og prioritering er, i tillegg til tildelingsbrevet fra departementet, vår egen overordnede strategi, som i dagens versjon gjelder fram til og med 2016. I tillegg har vi utarbeidet strategier for delsektorer.

Med bakgrunn i disse styringsdokumentene, og risikovurderinger knyttet til ulike sektorer, utarbeider vi årlige virksomhetsplaner. I denne prosessen baserer vi oss også på analyser av henvendelser til veiledningstjenesten, og erfaringer fra tilsynsvirksomheten og saksbehandlingen. Vi tar selvsagt også med oss signaler fanget opp fra samarbeidspartnere og andre aktører innen de aktuelle områdene.

Vi vurderer dessuten om dette er riktig periode å prioritere de ulike sektorene for å få best utbytte av arbeidet vårt. For eksempel er det viktig å være tilstede når det er endringer på gang i en sektor. Slik vil vi noen år prioritere opp sektorer vi ikke har hatt interaksjon med de siste årene, samtidig som aktiviteten reduseres i andre sektorer.

Planleggingen påvirkes naturlig nok av interne og administrative forhold, slik som hvilke budsjett- og bemanningsmessige ressurser vi forventer å disponere innen den aktuelle planleggingshorisonten. Vi vurderer også behovet for effektivisering av arbeidsprosesser, medarbeiderutvikling, oppgradering av IKT-støttesystemer og intern teknisk sikkerhetsarkitektur.

I den grad tiltak innen virksomhetsplanen har direkte budsjettmessige konsekvenser, blir dette tatt med i de samlede prioriteringene. Arbeidet med virksomhetsplanen knyttes slik tett opp til vårt budsjettarbeid.

2.4.1 Datatilsynets risikostyring

Datatilsynet benytter risikovurderinger på flere områder, blant annet for å sikre helhetlig måloppnåelse, innen økonomi og informasjonssikkerhet. For 2015 ble strukturen i vår risikovurdering for måloppnåelse bedret ved at disse vurderingene ble samlet i ett dokument. Høsten 2015 ble det startet en ny revisjon på grunn av nye styringsparametere fra departementet.

Sektorvalg innen tilsynsvirksomheten er basert på en vurdering av risiko for personvernet per sektor.

For informasjonssikkerhet har vi i 2015 bedret en metodikken for gjennomføring av risikovurderinger for nye systemer, og lagt til rette for at systemeiere tar ansvar for gjennomføringen, fremfor sikkerhetsansvarlig.

Risikodokumentene oversendes sammen med årsrapporten.

2.4.2 Status internkontroll, herunder iverksatte tiltak

Datatilsynet arbeider med internkontroll for å sikre at krav til virksomheten følges opp. Som tidligere år er Datatilsynet i en prosess med store endringer i IKT-systemene. I forbindelse med omorganiseringsprosessen høsten 2014 definerte vi oppgaver og ansvar i organisasjonen på en god måte. I 2015 har vi arbeidet med å utbedre øvrige rutiner, både generelle revisjoner og tilpasninger til ny organisering.

Datatilsynet lanserte i første kvartal 2015 en ny versjon av vår internkontroll for etterlevelse av personopplysningsloven. Videre har vi videreutviklet IKT-driftsdokumentasjonen. Vi har også utviklet et nytt styringssystem for bedre oppfølging av økonomirutiner, IKT og sikkerhet, planprosesser, personal og andre rutiner.

Høsten 2015 gjennomførte vi en intern sikkerhets- og beredskapsdag. Dette ga oss bedre bevissthet i organisasjonen for sikkerhetsarbeid i en bred kontekst (HMS, Datatilsynets evne til å løse sine oppgaver og informasjonssikkerhet), og grunnlag for å videreutvikle våre rutiner. Dette er planlagt gjentatt i 2016.

2.4.3 Bemannings-, kapasitets- og kompetansesituasjonen i virksomheten, herunder forhold, likestilling, HMS/arbeidsmiljø, diskriminering, ytre miljø og lignende.

2.4.3.1 Inkluderende arbeidsliv og HMS/arbeidsmiljø

Datatilsynet er omfattet av avtalen om inkluderende arbeidsliv, og har spesiell oppmerksomhet på forebygging og oppfølging av sykefravær. Sykefraværet i 2015 var totalt 8,04 prosent mot 2,66 prosent i 2014. Dette er en vesentlig økning fra tidligere år, men fraværet er i hovedsak relatert til enkelte langtidssykmeldinger og sykdom knyttet til svangerskap. Sykefraværet forventes å gå tilbake til et for oss normalt nivå i 2016. Sykefravær følges tett opp og det er lagt betydelig vekt på tilrettelegging, slik at det er mulig å komme raskt tilbake til arbeid etter sykdom. I 2015 har Datatilsynet i samarbeid med bedriftshelsetjenesten gjennomført arbeidshelsekontroller for å forebygge sykefraværet. Det tilbys dessuten trening i treningssenter. Det ble også arrangert et kurs i bruk av hjertestarter i 2015.

Som arbeidsgiver har Datatilsynet plikt til å innkalle minst en kvalifisert funksjons- eller yrkeshemmet søker til ansettelsesintervju. I løpet av 2015 har ikke Datatilsynet hatt søkere som har oppgitt nedsatt funksjonsevne til noen stillinger.

Lære- og praksisplasser

Med utgangspunkt i samfunnskontrakten for 2013–2015, skal statsforvaltningen øke antallet lærlinger. Datatilsynet vurderer fortløpende henvendelser om å ta inn lærlinger eller opprette praksisplasser, og vi vurderer da også om vi har kapasitet til å følge opp vedkommende tilstrekkelig.

I 2015 har vi hatt en praksisplass knyttet til IKT. Vi arbeider med å få etablert en lærlingeplass som en videreføring av dette arbeidet. En medarbeider som hadde praksisplass innen IKT i 2014 ble tilbudt et vikariat i 2015.

Vi har også inngått en arbeidsavtale med Fontenehuset om overgangsarbeid for en medarbeider i seks måneder.

Datatilsynet har også hatt to studentarbeidsplasser i 2015. Arbeidsoppgavene til studentene har vært knyttet til veiledningstjenesten, der de særlig har jobbet med å besvare e-post og å produsere utkast til veiledende svar i enklere saker. Vi mener at studentene har fått en god praktisk erfaring i personvernjuridisk arbeid, noe som er vanskelig å få andre steder enn i Datatilsynet.

2.4.3.2 Fremme likestilling og hindre diskriminering

I Datatilsynet har vi som målsetting å fremme likestilling og hindre diskriminering. Det gjør vi ved å ha god kunnskap om lovverket som sikrer et vern mot diskriminering i arbeidslivet og etterlevelse av lovverket i praksis. Særlig gjelder dette bestemmelser i likestillingsloven, diskrimineringsloven, diskriminerings- og tilgjengelighetsloven og arbeidsmiljøloven.

Likestillingsrapport

Datatilsynet har i 2015 hatt 43 tilsatte. Av disse er 23 kvinner og 20 menn. Tre menn og to kvinner har sluttet i løpet av året. To menn og en kvinne er blitt tilsatt. Ledergruppen, som har vært uendret i flere år, består av fire menn og en kvinne. Våre fire faggrupper ledes av to menn og to kvinner.

Likestillingsrapport er vedlagt som egen tabell.

Rekruttering

Datatilsynet har som mål å ha et mangfoldig og endringsdyktig arbeidsmiljø. Vi ansetter de best kvalifiserte søkere uavhengig av kjønn, etnisitet, religion, funksjonsevne, seksuell orientering eller alder. Dette fremgår også av våre stillingsannonser.

Underrepresenterte grupper (mindre enn 40 prosent) oppfordres til å søke og kvalifiserte søkere fra underrepresenterte grupper kalles inn til intervju.

I Datatilsynet registreres ikke andel ansatte med etnisk minoritetsbakgrunn eller nedsatt funksjonsevne for å måle resultat av satsing på mangfoldsrekruttering.

Tilrettelegging for ansatte med nedsatt funksjonsevne

Datatilsynet vurderer

fleksibel arbeidstid ved behov – graviditet, foreldrefravær og andre omsorgsoppgaver

tilpassede arbeidsoppgaver ved behov – sykdom, rehabilitering

hjelpemidler ved behov.

2.4.3.3 Kompetanseutvikling

Datatilsynet har som målsetting å ha motiverte medarbeidere med høy kompetanse. Vi forsøker å oppnå dette ved å være tidsriktig organisert, gi medarbeiderne interessante og varierte arbeidsoppgaver, faglig påfyll, ha et godt arbeidsmiljø og legge til rette for utvikling.

2.4.4 Prosjekter og igangsatte tiltak knyttet til Datatilsynets systemer

Vi gjennomførte i 2013 en anskaffelse av ny sikkerhetsarkitektur. Formålet var blant annet å modernisere informasjonssystemet vårt, legge til rette for mer effektive arbeidsprosesser (spesielt ved bruk av web og e-post), bedre fjernarbeidsløsning og ivareta et høyt sikkerhetsnivå. Selskapet Itera ble høsten 2013 valgt som leverandør. Løsningen er i det vesentlige levert, med unntak av en viktig del som har hindret oss i nå våre planlagte digitaliseringstiltak i 2015.

Utfordringen er ny sikkerhetsfunksjonalitet som skal forenkle kommunikasjonen mellom et arkivsystem med tilfredsstillende informasjonssikkerhet, og eksterne kommunikasjonskanaler som e-post, Web, Sikker Digital Postboks og AltInn. Å få denne delen av sikkerhetsløsningen på plass er en forutsetning for å gjennomføre videre digitaliseringstiltak, herunder knytningen mot AltInn og Sikker Digital Postboks som utkanaler fra Datatilsynet. Vi har derfor ikke hatt anledning til å gjennomføre deler av de tiltakene som vi fikk midler til gjennom RNB 2015, og vi viser til dialog om overføring av midler på grunn av disse forsinkelsene. Dette medfører også at vi vil få et avvik fra å møte kravet om å ta i bruk Sikker Digital Postboks i løpet av første kvartal 2016. Vi er på rapporteringstidspunktet i en dialog med leverandøren vår om deres leveringsevne.

I desember 2015 gjennomførte vi en større oppgradering av arkivsystemet vårt, inklusive et arkivskille. Dette var en viktig tilrettelegging for digital kommunikasjon og vi har nå et offisielt elektronisk arkiv.

2.4.5 Jakten på tidstyver

I referat fra etatstyringsmøte nummer to i 2015 ba departementet om en særlig redegjørelse for effekten av tidstyvarbeidet.

Vi jobber aktivt for å bekjempe tidstyver internt, eller sagt med andre ord; jobbe mer effektiv. I tillegg har vi fremmet forslag overfor andre instanser, som særlig vil fjerne tidstyver Datatilsynet påfører andre.

Interne tidstyver

Når det gjelder tidstyver vi selv har kontroll på har vi endret fortolkningen av regelverket, og vi stiller ikke lenger krav om konsesjon for bokartlegging, fra private virksomheter som driver helseundersøkelser og registre over bivirkninger av legemidler.

Eksterne tidstyver

Etter etatstyringsmøte nummer to i 2015 fikk vi et oppdrag av departementet om å utarbeide forslag til forskriftsendringer som opphevet meldeplikten for en lang rekke behandlinger. Forslag til høringsbrev vil bli sendt departementet tidlig i 2016. Dette vi lette byrde ved å sende inn anslagsvis fem tusen meldinger om behandling av personopplysninger hvert år.

Retting og sletting av journal

Datatilsynet skal etter gjeldende regelverk bli forelagt saker fra Fylkesmannen som gjelder retting og sletting av journal. Dette er til dels tidkrevende saker. Dessuten er vi av den oppfatning at vi i liten grad har noe å tilføre saksbehandlingen. Vi har derfor flere ganger fremmet forslag overfor Helse- og omsorgsdepartementet om at vi ikke lenger ser behov for å bli forelagt slike saker. Vi ser nå med glede at Helse- og omsorgsdepartementet har sendt forslag om å oppheve bestemmelsen. Vi (og Fylkesmannsembetene) behandlet 38 slike saker i 2015. Det er derfor ikke uvesentlig besparelse både hos oss og Fylkesmannen når lovendringen trer i kraft.

2.4.6 Evalueringer

Høsten 2015 ble også den gjennomførte omorganiseringen av Datatilsynet evaluert av ekstern organisasjonskonsulent.

Evalueringsprosessen ble utformet for å oppsummere erfaringer så langt, og med fokus på læring og utvikling. Utgangspunktet var ledelsens kommuniserte mål og forventninger om ønskede effekter av organisasjonsendringen i september 2014. I tillegg var det naturlig å fange opp en rekke synspunkter på organisasjonens generelle utfordringer og hvordan de gripes an, som ikke bare har å gjøre med hvordan virksomheten er organisert. Evalueringen ble gjennomført med en intervjudel og deretter et spørreskjema til samtlige ansatte.

Evalueringen viser at omorganiseringen var riktig. Det meste fungerer veldig bra, men vi har også områder hvor vi kan ta læring og bli bedre. På området arbeidsmiljø og trivsel fikk vi svært gode tilbakemeldinger. Omorganiseringen er fremdeles «fersk» og det er for tidlig å se alle gevinster og effekter.

2.5 Vurdering av framtidsutsikter

Internasjonalt

I desember 2015 ble det politisk enighet om et nytt personverndirektiv i EU. Etter vår vurdering er det et godt regelverk som vil pålegge virksomhetene nye plikter, gi borgerne nye rettigheter og tilsynsmyndighetene nye virkemidler. Særlig viktig er at virksomhetene nå er forpliktet til å ta hensyn til innebygd personvern, de må i en del tilfeller drøfte utviklingsprosjekter på forhånd med Datatilsynet, og flere virksomheter må opprette personvernombud.

Den nye forordningen vil naturligvis være en høyt prioritert oppgave for oss de neste to årene, og vi anslår at vi vil bruke til sammen ti årsverk fordelt på to år på dette arbeidet. Budsjettet vårt ble vesentlig styrket i 2016. Dette gjør at vi er trygge på at implementeringsarbeidet vil komme i mål og at Datatilsynet er godt forberedt når det nye regelverket trer i kraft.

Vi er mer bekymret for norske virksomheter og offentlige etater. Som nevnt tidligere er vårt hovedinntrykk at kjennskapen til regelverket er relativt dårlig. Det er grunn til å frykte at den ikke vil bli bedre med nytt regelverk. Likevel er det grunn til en viss optimisme. Vi opplever svært stor interesse for personvern generelt, og den nye lovverket spesielt. Bare det siste halvåret har vi holdt et titalls foredrag om forordningen. Advokatfirma, foreninger, organisasjoner og bedrifter arrangerer seminarer og kurs for sine kunder/medlemmer, og vil være en viktig kilde til informasjon om det nye regelverket. Datatilsynet vil prioritere å stille opp på slike seanser.

En usikkerhetsfaktor er hvor mange saker som skal inn for det såkalte European Data Protection Board (EDPB), og hvilken innflytelse Datatilsynet får her. Dette organet vil ha en viktig funksjon, blant annet ved å påse at praksis i de ulike landene er lik, utarbeide retningslinjer og lignende. Det er derfor viktig at vi får en rolle der vi faktisk har innflytelse. I tillegg er det en viss fare for at EDPB ikke bemannes i tilstrekkelig grad, slik at sakene som skal inn for organer vil forsinke saksbehandlingen vesentlig.

Nasjonalt

Men selv med en ny EU-forordning vil de fleste sakene vi behandler fortsatt være av ren nasjonal karakter. Vi opplever å ha god dialog med og gode relasjoner til både virksomheter og offentlige etater. Likevel utfordres personvernet betydelig på en rekke områder.

I justissektoren opplever vi for eksempel at grensene for økt overvåkingstrykk flyttes gradvis. Det har ikke vært noen samlet gjennomgang av personvernets kår på justissektoren, og Datatilsynet har derfor foreslått at det opprettes en personvernkommisjon på denne sektoren. I tillegg er vi opptatt av at det ved alle inngripende tiltak må foretas en grundig personvernutredning, og at forholdet til Den europeiske menneskerettskonvensjonen (EMK) også må vurderes.

Vi er opptatt av å fremme prinsippene for innebygd personvern. I offentlig sektor forutsetter dette at vi får delta i de fora der det treffes viktige beslutninger om digitalisering, og at det legges inn som en føring i sentrale dokumenter at prinsippene skal følges. Det er beklagelig at innebygd personvern ikke er nevnt overhodet i digitaliseringsrundskrivet. Vi mener også at Datatilsynet burde hatt en naturlig plass i samarbeidsorganet SKATE. Dette blir ikke mindre viktig når forordningen trer i kraft, og det blir et krav i lovverket at man skal følge disse viktige prinsippene.

Regelverksetterlevelsen i offentlig sektor gir også grunn for bekymring. De siste årene har vi gjennomført flere titalls kontroller i kommuner og ved skoler, og vi har avdekket til dels store mangler, særlig når det gjelder internkontroll og informasjonssikkerhet. Vår strategi har vært, ved hjelp av tilsyn, å synliggjøre utfordringene i sektoren, for så å få sektoren til selv å ta ansvar. På skolesektoren har dette lyktes ved at Senter for IKT i Utdanningen har fått i oppdrag å utarbeide en norm for personvern og informasjonssikkerhet. I kommunesektoren generelt håper vi å få kommunenes interesseorganisasjon (KS) til å være en pådriver for bedre etterlevelse av regelverket. Vi vil følge utviklingen tett, og bidra konstruktivt inn i de prosessene som settes i gang.

Den teknologiske utviklingen går svært raskt og utfordrer personvernet, men den gir også nye muligheter. I meldingsåret la vi fram rapporten «Det store Datakappløpet – om kommersiell bruk av personopplysninger». Vi er det første datatilsynet i verden som analyserer markedet for automatisert annonsesalg på en så grundig måte, og har store ambisjoner om å snu en utvikling som har gått i feil retning lenge. Målet er å tvinge fram mer åpenhet, bedre valgfrihet og sporingsfri løsninger. Vi er avhengige av god kompetanse, samarbeid med andre myndigheter og ikke minst stabile ressurser for å kunne gå inn i et slikt marked. Det er krevende, men har tro på at vi skal lykkes.

Oppsummert er vi av den oppfatning at Datatilsynet er godt rustet til å møte framtidens utfordringer. Vi har dyktige og dedikerte medarbeidere, en tilfredsstillende ressurssituasjon, høy troverdighet og vi oppfattes som en konstruktiv samtale- og samarbeidspartner. Vi vil lykkes med implementering av den nye forordningen, og vi er sikre på at vi med et nytt regelverk vil være enda bedre rustet til å møte utfordringene som møter oss i årene som kommer.

2.6 Årsregnskap

Selve regnskapet følger med som eget vedlegg.

2.6.1 Ledelseskommentarer

Datatilsynet har fra 2015 gått over til nettoføringsordningen.

Ordningen er slik at virksomheten skal bokføre merverdiavgiften på en egen artskonto og Datatilsynet gis fullmakt til å belaste merverdiavgiften på Finansdepartementets kapittel 1633.

Bevilgning

Datatilsynet fikk 37 262 000 kroner til disposisjon i budsjettproposisjonen 2015. I tillegg ble 684 000 kroner overført fra 2014. Datatilsynet ble også tildelt 2 830 000 kroner i revidert nasjonalbudsjett (RNB). Datatilsynet fikk også 183 000 kroner som kompensasjon for økte utgifter som fulgte av det sentrale lønnsoppgjøret i mai 2015. Når overføringene fra 2014 og tilleggsbevilgninger var lagt til, hadde vi totalt 40 959 000 kroner til disposisjon i 2015.

Overgang til nettoføringsordningen og beregning av moms for 2015 hadde som konsekvens for Datatilsynet at vi i 2015 fikk en større reduksjonen i bevilgning enn forutsatt. Det ble imidlertid gitt kompensasjon for reduksjonen i RNB. Datatilsynet fikk i RNB også midler til videreføring av arbeider knyttet til IKT-utvikling.

Mellomværende med statskassen utgjorde 1 219 633 kroner pr 31.12.2015. Dette er skyldig skattetrekk på 1 220 631 kroner og offentlige avgifter på 998 kroner.

Samlet har Datatilsynet på kapittel 054501 hatt et mindre forbruk på 1 855 000 kroner som søkes overført til 2016. Midlene skal benyttes til fullføring av IKT-sikkerhetsarkitektur, digitaliseringstiltak og vedlikeholdsarbeid.

Statens konsernkontoordning

Datatilsynet omfattes av statens konsernkontoordning. Bankinnskudd og utbetalinger gjøres opp daglig mot oppgjørskontoer i Norges Bank. Datatilsynet tilfører slik ikke likvider gjennom året, men har trekkrettighet på vår konsernkonto.

Fullserviceavtale med DFØ

Datatilsynet har en fullserviceavtale for regnskapstjenester med Direktoratet for Økonomistyring (DFØ). Dette innebærer at DFØ utfører det meste av aktivitetene som er knyttet til økonomisystemet på vegne av Datatilsynet.

Avtale med Statens innkrevingssentral

Datatilsynet har en avtale med Statens innkrevingssentral om at de innkrever tvangsmulkt og overtredelsesgebyr på vegne av Datatilsynet. Gebyrer inngår ikke som driftsinntekt men føres på kapittel 3545 i statsregnskapet. I 2015 beløper dette seg til 792 139 kroner.

Vurdering

Årsregnskapet er avlagt i henhold til bestemmelser om økonomistyring i staten, rundskriv R 115 fra Finansdepartementet og krav fra overordnet departement. Årsregnskapet gir etter min vurdering et dekkende bilde av Datatilsynets økonomiske situasjon, disponible bevilgninger og regnskapsførte utgifter og eiendeler.

Riksrevisjonen er utnevnt til ekstern revisor for Datatilsynet. Årsregnskapet er p d.d. ikke revidert. Revisjonsberetningen for årsregnskapet offentliggjøres på Datatilsynets hjemmeside når Stortinget har mottatt Dokument 1 fra Riksrevisjonen og revisjonsberetningen ikke lenger har status utsatt offentlighet.

Oslo, 25. februar 2016

Bjørn Erik Thon

Direktør

2.6.2 Prinsippnote for årsregnskapet

Årsregnskap for Datatilsynet er utarbeidet og avlagt etter nærmere retningslinjer fastsatt i bestemmelser om økonomistyring i staten («bestemmelsene»), fastsatt 12. desember 2003 med endringer, senest 18. september 2013. Årsregnskapet er i henhold til krav i bestemmelsene pkt 3.4.1, nærmere bestemmelser i Finansdepartementets rundskriv R-115 og eventuelle tilleggskrav fastsatt av eget departement.

Oppstillingen av bevilgningsrapporteringen omfatter en øvre del med bevilgningsrapporteringen og en nedre del som viser beholdninger virksomheten står oppført med i kapitalregnskapet. Oppstillingen av artskontorapporteringen har en øvre del som viser hva som er rapportert til statsregnskapet etter standard kontoplan for statlige virksomheter og en nedre del som viser grupper av kontoer som inngår i mellomværende med statskassen.

Oppstillingen av bevilgningsrapporteringen og artskontorapporteringen er utarbeidet med utgangspunkt i bestemmelsene punkt 3.4.2 – de grunnleggende prinsippene for årsregnskapet:

a) Regnskapet følger kalenderåret

b) Regnskapet inneholder alle rapporterte utgifter og inntekter for regnskapsåret

c) Utgifter og inntekter er ført i regnskapet med brutto beløp

d) Regnskapet er utarbeidet i tråd med kontantprinsippet

Oppstillingene av bevilgnings- og artskontorapportering er utarbeidet etter de samme prinsippene, men gruppert etter ulike kontoplaner. Prinsippene korresponderer med krav i bestemmelsene punkt 3.5 til hvordan virksomhetene skal rapportere til statsregnskapet. Sumlinjen «Netto rapportert til bevilgningsregnskapet» er lik i begge oppstillingene.

Alle statlige virksomheter er tilknyttet statens konsernkontoordning i Norges Bank i henhold til krav i bestemmelsene pkt 3.8.1. Ordinære forvaltningsorgan (bruttobudsjetterte virksomheter) tilføres ikke likviditet gjennom året. Ved årets slutt nullstilles saldoen på den enkelte oppgjørskonto ved overgang til nytt år.

Bevilgningsrapporten

Bevilgningsrapporten viser regnskapstall som Datatilsynet har rapportert til statsregnskapet. Det stilles opp etter de kapitler og poster i bevilgningsregnskapet som Datatilsynet har fullmakt til å disponere. Oppstillingen viser alle finansielle eiendeler og forpliktelser Datatilsynet står oppført med i statens kapitalregnskap. Kolonnen samlet tildeling viser hva virksomheten har fått stilt til disposisjon i tildelingsbrev for hver kombinasjon av kapittel/post.

Mottatte fullmakter til å belaste en annen virksomhets kombinasjon av kapittel/post (belastningsfullmakter) vises ikke i kolonnen for samlet tildeling, men er omtalt i note B til bevilgningsoppstillingen. Utgifter knyttet til mottatte belastningsfullmakter er bokført og rapportert til statsregnskapet, og vises i kolonnen for regnskap.

Artskontorapporteringen

Artskontorapporteringen viser regnskapstall virksomheten har rapportert til statsregnskapet etter standard kontoplan for statlige virksomheter. Virksomheten har en trekkrettighet for disponible tildelinger på konsernkonto i Norges Bank. Tildelingene skal ikke inntektsføres og vises derfor ikke som inntekt i oppstillingen.

Note 5 til artskontorapporteringen viser forskjell mellom avregning med statskassen og mellomværende med statskassen.

2.7 Vedlegg

Oppstilling av bevilgningsrapportering 31.12.2015

Utgifts-kapittel | Kapittelnavn | Post | Posttekst | Note | Samlet tildeling | Regnskap 2015 | Merutgift (-) og mindreutgift
0545 | Datatilsynet | 01 | Driftsutgifter | A, B | 40 959 000 | 39 103 977 | 1 855 023
1633 | Nettoordning for mva i staten | 01 | Driftsutgifter | B |  | 1 332 753 |
Sum utgiftsført |  | 40 959 000 | 40 436 730 |

Inntekts-kapittel | Kapittelnavn | Post | Posttekst | Samlet tildeling | Regnskap 2015 | Merinntekt og mindreinntekt (-)
5309 | Tilfeldige inntekter | 29 | Ymse |  | 57 243 |
5700 | Arbeidsgiveravgift | 72 | Arbeidsgiveravgift |  | 3 503 069 |
Sum inntektsført | 0 | 3 560 312 |

Netto rapportert til bevilgningsregnskapet | 36 876 418 |
Kapitalkontoer
60065401 | Norges Bank KK /innbetalinger | 2 247 962 |
60065402 | Norges Bank KK/utbetalinger | -39 128 915 |
715003 | Endring i mellomværende med statskassen | 4 535 |
Sum rapportert | 0 |

Beholdninger rapportert til kapitalregnskapet (31.12)
Konto | Tekst | 2015 | 2014 | Endring
6260 | Aksjer | 0 | 0 | 0
715003 | Mellomværende med statskassen | -1 219 633 | -1 224 168 | 4 535

Note A – Forklaring av samlet tildeling utgifter

Kapittel og post | Overført fra i fjor | Årets tildelinger | RNB | Lønns- kompensasjon | Samlet tildeling
054501 | 684 000 | 37 262 000 | 2 830 000 | 183 000 | 40 959 000

Note B – Forklaring til brukte fullmakter og beregning av mulig overførbart beløp til neste år

Kapittel og post | Stikkord | Merutgift (-)/mindreutgift | Utgiftsført av andre i hht avgitte belastnings-fullmakter | Merutgift (-)/mindreutgift etter avgitte belastnings-fullmakter
054501 | «kan overføres» | 1 855 023 |  | 1 855 023
163301 |  |  |  | 0

(Tabellen fortsetter under)

Merinntekter/ mindreinntekter iht merinntekts-fullmakt | Omdisponering fra post 01 til 45 eller til post 01/21 fra neste års bevilgning | Innsparinger | Sum grunnlag for overføring | Maks. overførbart beløp | Mulig overførbart beløp beregnet av virksomheten
| Ikke aktuell |  | 1 855 023 | 2 047 950 | 1 855 023
Ikke aktuell | Ikke aktuell | Ikke aktuell |  |  |

Mulig overførbart beløp

Datatilsynets ubrukte bevilgning på kapittel/post 054501 beløper seg til kroner 1 855 023. Da dette beløpet er under grensen på 5 prosent, regnes hele beløpet som overføring til neste budsjettår. Overføring til neste år er en beregning, og Datatilsynet får tilbakemelding fra KMD om endelig beløp som overføres til neste år.

Belastningsfullmakt

Datatilsynet omfattes av nettoføringsordningen i staten, og har fullmakt til å rapportere betalt merverdiavgift på Finansdepartementets kapitel/post 163301. Rapportert beløp medfører ingen overføring eller overskridelse av rammer.

Oppstilling av artskontorapporteringen

| Note | 2015 | 2014
Driftsinntekter rapportert til bevilgningsregnskapet
| Innbetalinger fra gebyrer |  | 0 | 0
| Innbetalinger fra tilskudd og overføringer |  | 0 | 0
| Salgs- og leieinnbetalinger |  | 0 | 0
| Andre innbetalinger |  | 0 | 0
Sum innbetalinger fra drift | 0 | 0
Utgifter rapportert til bevilgningsregnskapet
| Utbetalinger til lønn | 1 | 28 862 875 | 28 463 676
| Andre utbetalinger til drift | 2 | 9 563 537 | 11 120 931
Sum utbetalinger til drift | 38 426 412 | 39 584 607
Netto rapporterte driftsutgifter | 38 426 412 | 39 584 607
Investerings- og finansinntekter rapportert til bevilgningsregnskapet
| Innbetaling av finansinntekter | 0 | 0
Sum investerings- og finansinntekter | 0 | 0
Investering- og finansutgifter rapportert til bevilgningsregnskapet
| Utbetaling til investeringer | 4 | 677 137 | 256 226
| Utbetaling av finansutgifter | 3 | 428 | 1 063
Sum investerings- og finansutgifter | 677 565 | 257 289
Netto rapporterte investerings- og finansutgifter | 677 565 | 257 289
Innkrevingsvirksomhet og andre overføringer til staten
| Innbetaling av skatter, avgifter, gebyrer m.m | 0 | 0
Sum innkrevingsvirksomhet og andre overføringer til staten | 0 | 0
Tilskuddsforvaltning og andre overføringer fra staten
| Utbetalinger av tilskudd og stønader | 0 | 0
| Sum tilskuddsforvaltning og andre overføringer fra staten |  | 0 | 0
Inntekter og utgifter rapportert på felleskapitler
| Gruppelivsforsikring konto 1985 (ref.kap. 5309, inntekt) |  | 57 243 | 54 083
| Arbeidsgiveravgift konto 1986 (ref. kap. 5700, inntekt) |  | 3 503 069 | 3 473 649
| Nettoføringsordning for merverdiavgift konto 1987 (ref. kap. 1633, utgift) |  | -1 332 753 | 0
Sum inntekter og utgifter rapportert på felleskapitler | 2 227 559 | 3 527 731
Netto rapportert til bevilgningsregnskapet | 36 876 418 | 36 314 165
Oversikt over mellomværende med statskassen
Eiendeler og gjeld |  |  |
Fordringer |  | 0 | 50 800
Skyldig skattetrekk |  | -1 220 631 | -1 270 483
Skyldig offentlige avgifter |  | 998 | 0
Annen gjeld |  | 0 | -4 485
Sum mellomværende med statskassen | 5 | -1 219 633 | -1 224 168

Note 1 – Utbetalinger til lønn

| 2015 | 2014
Lønn | 26 781 574 | 25 590 236
Arbeidsgiveravgift | 3 503 069 | 3 473 649
Sykepenger og andre refusjoner | -2 240 645 | -1 441 690
Andre ytelser | 818 877 | 841 481
Sum utbetalinger til lønn | 28 862 875 | 28 463 676
Antall årsverk: | 43 | 41

Note 2 – Andre utbetalinger til drift

| 2015 | 2014
Husleie | 3 594 674 | 3 321 877
Vedlikehold og ombygging av leide lokaler | 5 026 | 57 705
Andre utgifter til drift av eiendom og lokaler | 513 277 | 732 080
Reparasjon og vedlikehold av maskiner, utstyr mv. | 94 506 | 79 605
Mindre utstyrsanskaffelser | 92 191 | 399 448
Leie av maskiner, inventar og lignende | 1 268 344 | 1 359 393
Kjøp av fremmede tjenester | 2 195 234 | 2 498 454
Reiser og diett | 715 521 | 880 958
Øvrige driftsutgifter | 1 084 765 | 1 791 411
Sum andre utbetalinger til drift | 9 563 537 | 11 120 931

Note 3 – Finansinntekter og finansutgifter

|  | 31.12.2015 | 31.12.2014
Innbetaling av finansinntekter |  |
| Renteinntekter | 0 | 0
Sum innbetaling av finansinntekter | 0 | 0
Utbetaling av finansutgifter |  |
| Renteutgifter | 428 | 1 063
Sum utbetaling av finansutgifter | 428 | 1 063

Note 4 – Utbetaling til investeringer og kjøp av aksjer

|  | 31.12.2015 | 31.12.2014
Utbetaling til investeringer |  |
| Immaterielle eiendeler og lignende | 292 262 | 128 621
| Driftsløsøre, inventar, verktøy og lignende | 384 875 | 127 605
Sum utbetalt til investeringer | 677 137 | 256 226

Note 5 – Sammenheng mellom avregning med statskassen og mellomværende med statskassen

Del A Forskjellen mellom avregning med statskassen og mellomværende med statskassen

|  | 31.12.2015 Spesifisering av bokført avregning med statskassen | 31.12.2014 Spesifisering av rapportert mellomværende med statskassen | Forskjell
Finansielle anleggsmidler |  |  |
| Investeringer i aksjer og andeler | 0 | 0 | 0
| Obligasjoner | 0 | 0 | 0
| Sum | 0 | 0 | 0
Omløpsmidler |  |  |
| Kundefordringer | 0 | 0 | 0
| Andre fordringer | 0 | 0 | 0
| Bankinnskudd, kontanter og lignende | 0 | 0 | 0
| Sum | 0 | 0 | 0
Langsiktig gjeld |  |  |
| Annen langsiktig gjeld | 0 | 0 | 0
| Sum | 0 | 0 | 0
Kortsiktig gjeld |  |  |
| Leverandørgjeld | - 438 914 | 0 | - 438 914
| Skyldig skattetrekk | - 1 220 631 | - 1 220 631 | 0
| Skyldige offentlige avgifter | 998 | 998 | 0
| Annen kortsiktig gjeld | 0 | 0 | 0
Sum | - 1 658 547 | - 1 219 633 | - 438 914
Sum | - 1 658 547 | - 1 219 633 | - 438 914

Likestillingsrapportering

| År | Kjønnsbalanse | Lønn | Deltid | Midlertidig ansettelse | Foreldre- Permisjon¹ | Legemeldt sykefravær
|  | M % | K % | Total | M kr % | K kr % | M % | K % | M % | K % | M % | K % | M % | K %
Totalt i virksomheten | 2015 | 45,65 | 54,35 | 46,00 | 100,00 | 88,17 | 4,76 | 4,00 | 6,76 | 4,00 | 30,00 | 70,00 | 0,03 | 0,55
2014 | 46,34 | 53,66 | 41,00 | 100,00 | 81,45 | 4,76 | 5,00 | 0,00 | 0,00 | 9,23 | 90,77 | 0,03 | 0,62
Topp-ledelse direktør/ avdelingsdirektør | 2015 | 80,00 | 20,00 | 5,00 | 100,00 | 93,31 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 |  |
2014 | 80,00 | 20,00 | 5,00 | 100,00 | 96,01 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 |  |
Kategori 1, ingeniører | 2015 | 83,33 | 16,67 | 6,00 | 100,00 | 112,60 | 0,00 | 0,00 | 0,00 | 0,00 | 2,17 | 0,00 |  |
2014 | 75,00 | 25,00 | 4,00 | 100,00 | 99,07 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 |  |
Kategori 2, seniorrådgivere | 2015 | 39,13 | 60,87 | 23,00 | 100,00 | 96,88 | 0,00 | 0,00 | 0,00 | 0,00 | 4,35 | 4,35 |  |
2014 | 37,50 | 62,50 | 16,00 | 100,00 | 84,09 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 | 2,44 |  |
Kategori 3, rådgivere | 2015 | 30,00 | 70,00 | 10,00 | 100,00 | 109,54 | 0,00 | 0,00 | 0,00 | 0,00 | 2,17 | 0,00 |  |
2014 | 46,15 | 53,85 | 13,00 | 100,00 | 82,59 | 0,00 | 0,00 | 0,00 | 0,00 | 7,32 | 2,44 |  |
Kategori 4, førstekonsu-lenter konsulenter, sekretær | 2015 | 0,00 | 100,00 | 2,00 | 100,00 | –² | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 |  |
2014 | 0,00 | 100,00 | 3,00 | 100,00 | –² | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 | 0,00 |  |

1. Foreldrepermisjon: 6 personer har hele eller deler av året vært ute i foreldrepermisjon, 2 kvinner og 4 menn. Til sammen omlag 1,67 årsverk.

2. Det er ikke mulig å rapportere på lønnsprosent for kvinner i kategori 4, da det ikke er noen menn å sammenligne med.

Vedlegg 3
Årsmeldinga til Personvernnemnda for 2015

3.1 Innledning

Personvernnemnda ble etablert med hjemmel i lov om behandling av personopplysninger (2000:31) og har vært i virksomhet siden 1. januar 2001. Året 2015 var dermed nemndas femtende driftsår.

Personvernnemnda er klageorgan for vedtak fattet av Datatilsynet etter personopplysningsloven, helseregisterloven (2001:24) og helseforskningsloven (2008:44).

Formålet med personopplysningsloven er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger, jf personopplysningsloven § 1. Loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger. Datatilsynet i første instans, og Personvernnemnda som klageorgan, er satt til å forvalte loven og avveie de relevante personvernhensyn mot øvrige samfunnshensyn.

Personvernnemnda ser at dette ofte er en tverrjuridisk utfordring, idet personopplysningsloven interagerer med en rekke andre regelsett. Det foreligger ofte kryssende hensyn og motstridende interesser, noe som medfører krevende interesseavveininger. EUs personverndirektiv (95/46/EF) og Europarådskonvensjonen om personvern av 28. januar 1981 gjenspeiler noen «personvernprinsipper» som også er relevante ved fortolkningen av personopplysningsloven.

Personvernnemndas organisering og oppgaver følger av personopplysningsloven § 43. Personvernnemnda har adgang til å omgjøre Datatilsynets enkeltvedtak av eget tiltak (jf forvaltningsloven § 35), og kan prøve alle sider av en sak, jf Innst. O. nr. 51 (1999–2000) s. 24.

Personvernnemnda er et uavhengig forvaltningsorgan administrativt underlagt Kongen og Kommunal- og moderniseringsdepartementet (KMD).

Personvernnemndas arbeid reguleres av personopplysningsloven, forskrifter til denne samt en instruks som departementet har utarbeidet. Forvaltningsloven og offentlighetsloven kommer også til anvendelse som for forvaltningen for øvrig.

Selv om departementet utarbeider instruks, innebærer dette ikke noen form for instruksjonsmyndighet i enkeltsaker. Departementet kan ikke gi generelle instrukser om lovtolkning eller skjønnsutøvelse.

Personvernnemnda skal årlig orientere Kongen om behandling av klagesakene og sakene er tilgjengelig for publikum på Personvernnemndas hjemmesider. Personvernnemnda opplever stor interesse fra media om utfallet i mange saker.

3.2 Sammendrag og tendenser

I løpet av 2015 kom det inn tilsammen 17 klagesaker. Totalt 4 av de 17 sakene var ferdigbehandlet ved utgangen av 2015. I tillegg ble 12 saker innkommet i 2014 ferdigbehandlet i 2015. Personvernnemnda avgjorde således totalt 16 saker i 2015. Klager er gitt helt eller delvis medhold i 9 av de 16 sakene. Fire av sakene ble avsagt med dissens (de såkalte GE-sakene, PVN-2014-22, -23 og -24, samt PVN-2014-03 Husbanken).

Saksmengden har vært konstant i forhold til tidligere år. Flere av sakene har vært prinsipielle. Personvernnemnda tar bare stilling til spørsmål i de foreliggende konkrete saker, men ser at personvernet griper inn i stadig flere samfunnsområder og at problemstillingene som reises av lovverket er komplekse og har stor betydning for både privatliv og kommersiell samt offentlig virksomhet.

Samtidig er det et gjentagende fenomen at personvernet må sees i sammenheng med andre rettsområder. Dette gjelder særlig forholdet til forvaltningsretten, men også andre rettsområder og ikke minst privatrettslige regler og avtaler.

Ett tema som har fått økt aktualitet, er ileggelse av overtredelsesgebyr. Flere av sakene som kom inn i 2015 hadde overtredelsesgebyr som tema. Denne utviklingen vil antakelig fortsette. Sakene vil bli avgjort i 2016.

Saker vedrørende plassering av behandlingsansvar er økende, for eksempel PVN-2014-19 Bergen Bydrift. Et annet prinsipielt forhold er bruken av loggdata som var oppe i både PVN-2015-03 og bruk av logg til sikkerhetsformål i PVN-2014-10.

3.3 Medlemmer

Personvernnemnda har syv medlemmer som blir oppnevnt for fire år med adgang til gjenoppnevning for ytterligere fire år. Personvernnemndas leder og nestleder oppnevnes av Stortinget, mens de øvrige medlemmer oppnevnes av Kongen.

Personvernnemnda besto i 2015 av følgende personer:

Eva Ingrid Elisabeth Jarbekk, leder

Arve Føyen, nestleder

Ørnulf Rasmussen

Ann Rudinow Sætnan

Gisle Hannemyr

Marta Ebbing

Nina Melsom

Alle medlemmer har personlige vararepresentanter:

Olav Torvund (vara for leder)

Ingvild Hanssen-Bauer (vara for nestleder)

Michal Wiik Johansen

Audhild Gregoriusdotter Rotevatn

Torgeir Waterhouse

Anne Forus

Hans Marius Graasvold

3.4 Andre organisatoriske forhold

Sekretariatet til Personvernnemnda består av advokat Tonje Røste Gulliksen, som er ansatt som seniorrådgiver i KMD. Sekretæren leier et kontor i Sandefjord der hun bor, men reiser jevnlig til Oslo i forbindelse med nemndas arbeid og møter. Personvernnemnda avholder sine møter i Oslo.

Personvernnemnda har egen hjemmeside, www.personvernnemnda.no, hvor man finner informasjon om nemndas medlemmer og hvor alle vedtak er publisert i sin helhet. Hjemmesiden har lenke fra Datatilsynets hjemmeside, og lenker til personvernrelatert materiale tilgjengelig på Internettet. Personvernnemndas vedtak publiseres også i en egen database hos Lovdata hvor det er lenket til det øvrige materialet.

3.5 Møter og konferanser 2015

Personvernnemnda har i 2015 hatt i alt 13 møter. Møtene ble i hovedsak nyttet til å behandle klagesaker, men også administrative forhold er blitt behandlet.

I tillegg til nemndsmøter har det vært forberedende møter med sekretariatet og leder.

Personvernnemnda yter ikke lenger økonomisk støtte til «Personvernkonferansen», som blir arrangert av Senter for rettsinformatikk (SERI), Universitetet i Oslo.

Deltakere fra Personvernnemnda skulle delta på en internasjonal personvernkonferanse i Brussel i desember 2015, men konferansen ble avlyst av sikkerhetsårsaker.

3.6 Saksbehandlingstid – restanser

En sak blir i gjennomsnitt ferdigbehandlet i løpet av fire-fem måneder. De mest komplekse sakene, blant andre PVN-2014-10 Telenor, PVN-2014-03 Husbanken og PVN-2014-19 Bergen Bydrift, har nemnda imidlertid arbeidet med i en rekke nemndsmøter i 2014 og 2015.

Personvernnemnda hadde 13 uferdige saker ved årets slutt.

3.7 Hvilke parter klager til nemnda

Personvernnemnda behandler klager fra privatpersoner, bedrifter, statlige, kommunale og fylkeskommunale organer.

Av de 16 sakene nemnda avgjorde i 2015 var det to klager fra bedrift, seks klager fra privatpersoner, fem klager fra ulike helseforetak og tre klager fra øvrige kommunale eller statlige organer.

3.8 Klagesaksbehandling – statistikk

Personvernnemnda mottok i 2015 totalt 17 klagesaker. Av disse var 4 ferdigbehandlet ved utgangen av året. I tillegg avgjorde nemnda 12 saker fra 2014. Oversikt over vedtakene, samt vedtakene i sin helhet, er publisert på Personvernnemndas hjemmesider. I tillegg er vedtakene som nevnt publisert i egen database hos Lovdata.

Saksmengden har vært stor. Flere av sakene har vært prinsipielle, jf punkt 2 over om tendenser. Også i 2015 har omfangsrike saker medført ekstra arbeid for medlemmene. Møtene er blitt utvidet til seks timer. Videre har nemnda avholdt et ekstramøte i februar og et ekstramøte i desember for å ferdigstille saker.

3.9 Fullstendig oversikt over saker som ble behandlet i 2015

Følgende saker ble ferdigbehandlet i 2015:

PVN-2014-03 Husbanken

Klage på Datatilsynets avslag om å gi konsesjon til kontrollformål

Nemnda vurderte hvorvidt samtykke til innhenting av opplysninger er en betingelse for å få behandlet en bostøttesøknad, jf bostøttelovens § 8. I dette spørsmålet delte nemnda i et flertall og et mindretall. Flertallet konkluderte med at man har krav på å få behandlet søknad om bostøtte uten å ha avgitt samtykke som omtalt i bostøtteloven § 8 annet ledd. Nemnda vurderte deretter hvorvidt Husbanken trenger konsesjon til å gjennomføre etterfølgende kontroll av hvorvidt vilkårene for bostøtte var oppfylt. Nemnda konkluderte med at det er hjemmel i bostøtteloven og at det ikke kreves konsesjon, jf personopplysningsloven § 33 femte ledd. Når det gjelder innhenting av informasjon fra en tredjepart uten søkers samtykke, er nemndas flertall kommet til at Husbanken ikke har adgang til dette. Dissens 4-3. Klagen ble tatt delvis til følge.

PVN-2014-10 Telenor

Klage på Datatilsynets vedtak om opphør av lagring av destinasjons-IP hos Telenor

Personvernnemnda konkluderte med at Telenor kan fortsette med å lagre destinasjons-IP for mobil som et sikkerhetstiltak som er nødvendig og hensiktsmessig for å sørge for tilfredsstillende sikkerhet i mobilnettet. Lagringsplikten er minst tre måneder.

PVN-2014-14 Kjennemerkegjenkjennings-systemer

Klage på Datatilsynets vedtak om at Statens vegvesen må gi informasjon om behandlingen til fører og eventuelle passasjerer i kjøretøyet ved bruk av skilting

Personvernnemnda forsto det slik at fører og passasjer ikke avbildes eller gjenkjennes av bildet som tas av kjøretøyets kjennemerke. Så lenge bilfører (og passasjer) ikke identifiseres, skjer det kun en behandling av informasjon om registrert bileier. Personvernnemnda kan derfor ikke se at personopplysningsloven § 19 er anvendelig i denne situasjonen. Det er dermed ikke påkrevet med informasjon så lenge det ikke behandles personopplysninger om fører eller passasjer. Nemnda konkluderte med at skilt 558 uten underskilt er tilstrekkelig markering av de faste installasjonene.

PVN-2014-15 Trondheim kommune

Klage på Datatilsynets beslutning om ikke å fatte vedtak om sletting av en tilrettevisning i personalmappen

Datatilsynet hadde veiledet kommunen om pliktene som følger av personopplysningsloven § 28 og vist til at arkivloven ikke inneholder et pålegg om at arbeidsgivere skal arkivere enhver tilrettevisning i ubegrenset tid. Tilsynet avsto imidlertid fra å fatte vedtak om sletting, med henvisning til at det er den behandlingsansvarlige som selv skal foreta en nødvendighetsvurdering etter personopplysningsloven § 28 og det er virksomheten selv som har best forutsetninger for å vurdere dette. Personvernnemnda kom til at sakens prinsipielle karakter tilsa at Datatilsynet bør realitetsbehandle saken.

PVN-2014-18 Sletting av personopplysninger i personalmappe

Klage på Datatilsynets avslag om sletting av dokumenter i personalmappe

Personvernnemnda vurderte om dokumentene skulle slettes etter personopplysningsloven § 28 første ledd. Nemnda kom til at dokumentene fortsatt kunne lagres i samsvar med det opprinnelige formålet. Videre vurderte nemnda § 28 tredje ledd. Nemnda fant at opplysningene kunne være belastende, konkluderte med at man ikke behøvde å ta stilling til om de er «sterkt belastende» da slettingsvilkårene uansett ikke var oppfylt. Sletting ville ikke være forsvarlig ut fra kommunens behov som arbeidsgiver og tjenesteyter.

PVN-2014-19 Bergen Bydrift

Klage på Datatilsynets vedtak om behandlingsansvar

Problemstillingen i saken var plassering av behandlingsansvar for opplysninger i Mipps og Mowic. Nemnda viste til forarbeider og juridisk teori som begge legger til grunn at den behandlingsansvarlige er den som har bestemmelsesrett over personopplysningene og den elektroniske behandlingen av disse. Nemnda viste også til tidligere avgjørelser i nemnda, herunder PVN-2007-01. Nemnda la til grunn at det er Mesta og Trafikketaten som har initiert installasjonen, kjøpt løsningen og som mottar opplysningene og bestemmer over bruken av disse, og at BBs kjøretøy utelukkende er instrument for Mestas og Trafikketatens automatiserte datafangst. Nemnda konkluderte med at Mesta og Trafikketaten er nærmest til å være behandlingsansvarlig for opplysninger som behandles i systemene Mipps og Mowic.

PVN-2014-20 Anmodning om gjenåpning av saker

Begjæring om gjenåpning av saker

Klager begjærte gjenåpning av opprinnelige saker i Datatilsynet. Nemnda la til grunn at klager mente at nemnda skulle vurdere omgjøring av eget tiltak, jf forvaltningsloven § 35, og vurderte om det forelå grunnlag for å omgjøre Datatilsynets vedtak som følge av mangelfull begrunnelse, samt om det var kommet nye momenter som tilsa omgjøring. Nemnda konkluderte med at det verken var mangelfull begrunnelse eller nye momenter og klagen ble avvist.

PVN-2014-21 Norsk brannskaderegister

Klage på Datatilsynets vilkår i konsesjon

I Nyrebiopsiregistersaken PVN-2013-07 vurderte nemnda hvorvidt barn må samtykke på nytt når det fyller 16 år når foreldrene allerede har samtykket til behandling av barnets personopplysninger før det fylte 16 år. Spørsmålet ble også vurdert på generelt grunnlag. Nemnda er fortsatt av den oppfatning at et samtykke til å behandle personopplysninger bare kan bortfalle ved at samtykket trekkes tilbake. Ved at man setter et konsesjonsvilkår om det motsatte, at foreldrenes samtykke bortfaller ved barnets 16 årsdag og barnet må samtykke på nytt, setter tilsynet seg ut over grunnvilkårene i loven. Det foreligger ikke en rettslig adgang til å begrense samtykkekompetansen gjennom vilkår i en konsesjon.

PVN-2014-22 Vestre Viken HF

Klage på Datatilsynets vedtak om pålegg vedrørende uautorisert uthenting av helseopplysninger gjennom leverandørs fjerntilgang

Dissens. Flertallet kom til at ulovfestede grunnleggende personvernprinsipper tilsier varsling av avvik til de registrerte. Flertallet konkluderte videre med at kollektiv varsling er tilstrekkelig i denne saken.

PVN-2014-23 Sørlandet sykehus

Klage på Datatilsynets vedtak om pålegg vedrørende uautorisert uthenting av helseopplysninger gjennom leverandørs fjerntilgang

Dissens. Flertallet kom til at ulovfestede grunnleggende personvernprinsipper tilsier varsling av avvik til de registrerte. Flertallet konkluderte videre med at individuell varsling er nødvendig i denne saken.

PVN-2014-24 Unilabs Norge AS

Klage på Datatilsynets vedtak om pålegg vedrørende uautorisert uthenting av helseopplysninger gjennom leverandørs fjerntilgang

Dissens. Flertallet kom til at ulovfestede grunnleggende personvernprinsipper tilsier varsling av avvik til de registrerte. Flertallet konkluderte videre med at kollektiv varsling er tilstrekkelig i denne saken.

PVN-2014-25 Tilgang på tvers av virksomhetsgrenser

Klage på Datatilsynets vedtak om at direktetilgang til helseopplysninger må avsluttes, jf helseregisterloven § 13

Nemnda vurderte tilgangen som Drammen Helsehus hadde til opplysninger i VVHF. Tilgangen måtte vurderes etter det lovverk som gjaldt da klagen kom inn. Datatilsynet har konkludert med at tilgangen innebar en tilgang på tvers av virksomhetsgrenser i strid med den gamle helseregisterloven § 13. Personvernnemnda er enig i denne vurderingen. Gammel helseregisterlov ble erstattet av ny helseregisterlov (LOV-2014-06-20-43) og ny pasientjournallov (LOV-2014-06-20-42) fra 1. januar 2015. Samtidig ble den ikke-gjeldende helseinformasjonssikkerhetsforskriften opphevet, og forskrift om tilgang til helseopplysninger mellom virksomheter (FOR-2014-12-17-1757) gjort gjeldende. Nemnda er av den oppfatning at sistnevnte forskrift kan være hjemmel for praksisen. Nemnda finner grunn til å påpeke at Datatilsynet ikke har veiledet VVHF og Drammen Helsehus slik at de kunne innrette sin praksis etter den nye forskriften fra ikrafttredelse. Slik nemnda ser det er klager nå i en posisjon til å innrette sin praksis etter gjeldende lov og forskrift. Personvernnemnda må imidlertid avgjøre saken på grunnlag av det lovverk som forelå da saken kom inn, og må derfor avsi et vedtak som ikke tar klagen til følge.

PVN-2015-02 SmerteReg

Klage på Datatilsynets vilkår i konsesjon gitt til Nasjonalt kvalitetsregister for smertebehandling («SmerteReg»)

Personvernnemnda vurderte formålsmessigheten og forholdsmessigheten ved vilkåret som var satt i konsesjonen. Nemnda fant at det er formålsmessig med et vilkår om informasjon som avhjelper personvernulempene for de registrerte. Nemnda var enig med Datatilsynet i at informasjonen må sendes ut til de registrerte. Når det gjaldt forholdsmessighetskravet fant nemnda at vilkåret var upresist og åpnet for tolkningstvil. Den upresise formuleringen ble imidlertid avhjulpet av eksempelet i vilkårsstillelsen slik at «jevnlig» vil være oppfylt dersom det går ut informasjon i forbindelse med konkrete prosjekter. Nemnda fant at vilkåret var lovlig.

PVN-2015-03 Innsyn i skoles aktivitetslogg

Klage på Datatilsynets avslag på innsyn i skoles aktivitetslogg

Skolen nektet å gi klager innsyn med henvisning til «personvernloven». Klager oppfattet dette som et avvisningsvedtak. Nemnda fant at dette ikke var et avvisningsvedtak i forvaltningslovens forstand, men et materielt vedtak om at det ikke forelå innsynsrett for klager. Selv om skolen bare pekte på «personvernloven» har skolen truffet et materielt vedtak om å nekte innsyn. Innsigelser mot hvorvidt skolen har vist til riktig hjemmel eller ikke (saksbehandlingsfeil), var under enhver omstendighet reparert gjennom grundig veiledning fra Datatilsynet vedrørende regelverket for innsyn i barns aktiviteter og deretter stadfestet i form av et vedtak fra tilsynet.

PVN-2015-06 Google

Klage på Datatilsynets avslag på anmodning om sletting av søketreff i Google

Personvernnemnda var enig med Datatilsynet i at personopplysningsloven kom til anvendelse. Etter nemndas syn ble det behandlet sensitive personopplysninger. Det innebærer at det må foreligge et behandlingsgrunnlag etter personopplysningsloven § 9. Datatilsynet syntes å ha avgjort saken med hjemmel i § 8. Nemnda opphevet Datatilsynets vedtak.

PVN-2015-09 Dekning av sakskostnader

Klage over avslag på krav om dekning av sakskostnader etter forvaltningsloven § 36

Dekning sakskostnader, jf forvaltningsloven § 36. I denne saken valgte Datatilsynet, etter at EU-domstolens dom forelå, å veilede naboen om rettstilstanden. Etter nemndas syn innebærer dette ikke en omgjøring til gunst for klager. Når omformuleringen ikke har hatt noen betydning for klagers rettsstilling har ikke klager krav på å få dekket sakskostnader etter forvaltningsloven § 36.

3.10 Regnskap og budsjett for 2015

Personvernnemnda hadde i 2015 en budsjettramme på kr 1 898 000, og fremkommer under kapittel 546 Personvernnemnda for 2015.

Totalt forbruk: kr 1 711 045.

Personvernnemnda disponerte sin bevilgning til innkjøp av litteratur, tjenester, økonomisk støtte til konferanse, deltakelse på seminar, arbeidsgodtgjørelse og reisegodtgjørelse til nemndas medlemmer, lønn til sekretariat og leie av lokaler. Kostnadene øker på grunn av den store saksmengden som nødvendiggjør avholdelse av ekstra møter for å holde en forsvarlig saksbehandlingstid.

3.11 Avslutning

Personvernnemnda er av den oppfatning at nemnda gjennom sin virksomhet fungerer etter sin hensikt og bidrar til rettsavklaringer og til å høyne kunnskapsnivået på personvernområdet.

Oslo, 19. februar 2016

For Personvernnemnda

Eva I E Jarbekk

Leder

Fotnoter

1)

Det store datakappløpet. Rapport om hvordan kommersiell utnyttelse av personopplysninger utfordrer personvernet, november 2015. Datatilsynet. 2015.

2)

NOU 2015: 13 Digital sårbarhet - sikkert samfunn.

3)

Kommunal- og moderniseringsdepartementet (2016): Nasjonal strategi for bruk av skytenester.

4)

Artikkel 29-gruppa er oppretta i medhald av personverndirektivet og er den øverste rådgjevande forsamlinga for EU-kommisjonen i spørsmål om personvern og informasjonstryggleik. Her møter alle leiarane for EU-landas datatilsynsmyndigheiter. Noreg har observatørstatus som EØS-land, og møter med ein representant for leiinga i Datatilsynet.

5)

Berlingruppa arbeider med personvern innan elektronisk kommunikasjon. Gruppa består primært av personvernmyndigheiter, og gjev vurderingar (working papers) om aktuelle personvernspørsmål.

6)

Nasjonale datatilsyn blir gjeve myndigheit til å ilegga bøter på inntil 20 000 000 euro eller, der det gjeld eit selskap, inntil 4 prosent av den årlege omsetnaden til selskapet på verdsbasis.