Meld. St. 34

(2024–2025)
Melding til Stortinget

Datatilsynets og Personvernnemndas årsrapportar for 2024

Tilråding frå Digitaliserings- og forvaltningsdepartementet 20. juni 2025, godkjend i statsråd same dagen. (Regjeringa Støre)

Dokumentet på regjeringen.no

1 Merknader frå Digitaliserings- og forvaltningsdepartementet til Datatilsynets årsrapport

Datatilsynet er eit uavhengig forvaltningsorgan oppretta i medhald av personopplysningslova og personvernforordninga. Tilsynet kan ikkje instruerast i behandlinga av einskildsaker eller den faglege verksemda elles.[1] Digitaliserings- og forvaltningsdepartementet har det administrative ansvaret for Datatilsynet. Tilsynet skal kvart år sende årsrapporten sin til departementet, som legg rapporten fram for Stortinget.[2] I denne meldinga legg regjeringa fram Datatilsynet og Personvernnemndas årsrapportar for 2024.

Datatilsynets hovudmål er å arbeide for eit godt personvern for alle. For å nå dette målet, og for å prioritere oppgåvene sine, har tilsynet utarbeidd ein strategi[3] med ein visjon, ein grunnmur og tre innsatsområde som er styrande for arbeidet. Visjonen for tilsynets arbeid er «saman for menneskeverd og tillit i det digitale Noreg». Datatilsynet skal vere ein kunnskapsbasert, framtidsretta og solid organisasjon. Innsatsområda i strategien er delt i tre delar, retta mot samfunnet, verksemder og individ. For samfunnet skal Datatilsynet fremje personvern som ein føresetnad for demokrati og ein rettvis maktbalanse. For verksemder skal tilsynet bidra til godt personvern i praksis, medan dei skal jobbe for å vareta personvernet til innbyggjarane. I 2024 prioriterte Datatilsynet følgjande hovudområde:

Personvern for barn og unge

Internasjonalt arbeid

Den regulatoriske sandkassa

Kontroll og sakshandsaming

Som prioritert verkemiddel har Datatilsynet i rapporteringsåret særleg arbeidd med saksbehandling og kontroll. I tillegg til behandling av ulike klagar og spørsmål om behandling av personopplysningar, har tilsynsverksemda vore del av Datatilsynets arbeid. I 2024 gjennomførde Datatilsynet 18 planlagde og hendingsbaserte tilsyn i både private og offentlege verksemder. Seks tilsyn var stadlege tilsyn, seks var skriftlege tilsyn, medan seks kontrollar blei gjennomførde som digitale tilsyn i form av tekniske kontrollar av nettstader.

1.1 Organisasjon og budsjett

Datatilsynet blei i rapporteringsåret leidd av direktør Line Coll. Ho tiltredde stillinga 1. august 2022. Stillinga som direktør i Datatilsynet er eit åremål på seks år, med moglegheit for oppnemning for ytterlegare ein periode.

I rapporteringsåret gjennomførte Datatilsynet ein organisasjonsutviklingsprosess med brei medverknad frå dei tilsette. Eit av resultata var at det blei gjort justeringar i organisasjonen som mellom anna førte til at dei fire juridiske seksjonane ikkje lenger er samla i ein juridisk avdeling, men alle er direkte underlagde direktøren. Dette fekk også innverknad på leiargruppa. Med verknad frå 1. september 2024 består leiargruppa av seksjonsleiar for utgreiing, analyse og politikk, seksjonsleiar for offentlege tenester, seksjonsleiar for private tenester, seksjonsleiar for teknologi, tryggleik og tilsyn, seksjonsleiar for internasjonal seksjon, juridisk direktør, avdelingsdirektør for kommunikasjon og samfunnskontakt og avdelingsdirektør for administrasjonsavdelinga i tillegg til direktøren.

Datatilsynet hadde i 2024 ei budsjettramme på kap. 1550 post 01 på 82,24 mill. kroner, og fekk i tillegg 1,64 mill. kroner i lønskompensasjon. Det blei dessutan overført 3,43 mill. kroner i ubrukte midlar frå 2023, slik at samla disponible middel på kap. 1550 post 01 i 2024 var 87,31 mill. kroner. Om lag 76% av dei tildelte midla er bundne i løn, medan dei resterande 24% av budsjettet går til drift.

I løyvinga ligg 7 mill. kroner til arbeidet med den regulatoriske sandkassa for personvernvennleg digitalisering og innovasjon (tidlegare omtalt som sandkassa for personvern og kunstig intelligens). Midla til sandkassa er rammeoverført frå Digitaliserings- og forvaltningsdepartementet (3 mill. kroner), i tillegg til 1 mill. kroner kvar frå Arbeids- og inkluderingsdepartementet, Helse- og omsorgsdepartementet, Kunnskapsdepartementet og Nærings- og fiskeridepartementet.

Datatilsynet hadde i rapporteringsåret 69 tilsette fordelt på 56,54 årsverk (DFØ-modellen). Fleire av dei deltidstilsette er studentar knytte til Datatilsynets ressurseining for rettleiing, med ein stillingsbrøk kvar på 25 prosent. Talet på årsverk er om lag uendra frå 2023. Ved utgangen av 2024 fordelte dei fast tilsette i tilsynet seg på 59 prosent kvinner og 41 prosent menn, noko som er ein litt jamnare kjønnsfordeling enn året før.

1.2 Saksbehandling og kontroll

Datatilsynets oppgåver følgjer av personvernforordninga artikkel 57. Regelen inneheld ein omfattande opplisting av dei oppgåvene som ligg til datatilsynsmyndigheita. Det følgjer mellom anna av forordninga at tilsynsmyndigheita skal behandle «klager [over behandling av personopplysningar] som er inngitt av en registrert eller et organ», føre tilsyn med etterleving av regelverket, gi råd til både dei som behandlar personopplysningar og til dei registrerte, samarbeide med tilsynsmyndigheiter i andre land for å sikre etterleving av regelverket og gi råd ved utarbeiding av regelverk med personvernkonsekvensar.

I tillegg til oppgåvene etter personopplysningslova og personvernforordninga fører Datatilsynet tilsyn med etterleving av fleire andre regelverk, som til dømes politiregisterlova, arbeidsmiljølova, helseregisterlova, pasientjournallova, kredittopplysningslova og lov om Schengen informasjonssystem. Datatilsynet er òg gitt tilsynsoppgåver etter ny lov om elektronisk kommunikasjon som blei vedteke i Stortinget 13. desember 2024 og tok til å gjelde 1. januar 2025. I tillegg kjem Datatilsynet til å få oppgåver etter den komande KI-lova og etter ny lov om digital tenester som regjeringa arbeider med.

Saksmengda i Datatilsynet har vore jamt stigande sidan personvernforordninga blei gjennomført i norsk rett i 2018. Auken haldt fram i 2024, og talet på nye saker var rekordhøgt, med totalt 4736 nye saker mot 4204 i 2023. Til samanlikning blei det registrert 3118 nye saker i 2019, som var det første heile året personvernforordninga gjaldt i Noreg. I løpet av dei siste fem åra har det samla talet på nye saker i Datatilsynet såleis auka med om lag 1600 saker. I tillegg til at talet på saker aukar, blir sakene òg stadig meir komplekse og tidkrevjande. Stadig fleire av sakene har dessutan eit europeisk tilsnitt ved at den behandlingsansvarlege verksemda er etablert utanfor Noreg medan dei registrerte er norske borgarar. Dette gjer saksbehandlinga meir kompleks og tidkrevjande.

Datatilsynet gjer i årsrapporten greie for den store auken i talet på nye saker i 2024. Dei skriv at talet på klager på moglege brot på personopplysningsregelverket motteke frå einskildpersonar auka frå 591 i 2023 til 902 i 2024. Dette er ei auke på om lag 50 prosent. Tilsynet forklarer auken mellom anna med at dei i april 2024 lanserte eit digitalt klageskjema som straks førte til fleire klager. Truleg oppfattar folk at det er enklare å klage når dei kan bruke eit digitalt skjema. Samstundes peiker Datatilsynet på at talet på klager på brot på personopplysningsregelverket aukar i heile Europa. I Sverige er talet, til dømes, nær dobla dei to siste åra.

Vedtak

I rapporteringsåret fatta Datatilsynet 384 vedtak. Dette talet er ein monaleg auke samanlikna med året før, då talet på registrerte vedtak var 303. I 2020 blei det til samanlikning fatta 252 vedtak. 73 av dei 384 vedtaka Datatilsynet fatta i 2024 blei påklaga. Dette er prosentvis om lag same talet på klager som året før. Fem av dei påklaga vedtaka i 2024 blei heilt eller delvis endra av Datatilsynet etter klage, medan 48 av klagene blei sende til Personvernnemnda for klagebehandling. Dei resterande klagesakene var ved årsskiftet framleis til behandling hos Datatilsynet. Departementet gjer nærare greie for Personvernnemnda si behandling av sakene i del 2.

I Meld. St. 32 (2023–2024) Datatilsynets og Personvernnemndas årsrapportar for 2023 gjorde departementet greie for at Datatilsynet, i eit forsøk på spare ressursar, avslutta ei rekkje mindre alvorlege saker utan å fatte realitetsvedtak. Dette gjaldt mellom anna saker om kameraovervaking i naboforhald og ulike klager på behandling av personopplysningar i arbeidstilhøve. Mange av desse sakene har Personvernnemnda sendt tilbake til Datatilsynet for ny behandling, då nemnda meiner at Datatilsynet ikkje har høve etter personvernforordninga til å avslutte sakene utan å fatte vedtak. Tilsynet skriv i årsrapporten at den obligatoriske behandlinga av mindre prinsipielle saker legg beslag på ressursar som elles kunne vore brukt på tilsyn og rettleiing. Dette gir ein illustrasjon på kor lite handlingsrom Datatilsynet har når det kjem til å vurdere kva for saker dei skal bruke dei avgrensa ressursane sine på, og er også ei forklaring på kvifor saksbehandlingstida aukar i takt med saksmengda.

Sanksjonar

Datatilsynet tok 44 avgjerder om korrigerande tiltak eller lovbrotsgebyr for brot på personvernregelverket i 2024. Vedtaka omfattar ulike former for irettesettingar (14 saker), pålegg og lovbrotsgebyr (fem saker) etter personvernforordninga. Lovbrotsgebyra blei alle gitt til offentlege verksemder og varierte frå 85 000 kroner til 20 millionar kroner (Arbeids- og velferdsetaten, seinare oppheva av Personvernnemnda, sjå omtale i del 2). Samla utgjorde lovbrotsgebyra, med unntak for de oppheva gebyret mot Arbeids- og velferdsetaten, i 2024 735 000 kroner, noko som er eit svært lågt tal. Det låge talet skuldast mellom anna at gebyra er retta mot offentleg sektor, som normalt får lågare gebyr enn verksemder i privat sektor. Datatilsynet har òg heimel til å gi pålegg av ymse slag for å sikre etterleving av personopplysningsregelverket. I 2024 fatta tilsynet vedtak om slike pålegg i 24 ulike saker. I tillegg blei det fatta elleve vedtak som følgje av ulike avvik avdekte i tilsynsverksemda, mellom anna det store kommunetilsynet Datatilsynet gjennomførde i 2023.

I tillegg til irettesettingar, pålegg og lovbrotsgebyr, fatta tilsynet eitt vedtak om tvangsmulkt etter den norske personopplysningslova. Årsaka til tvangsmulkta var manglande dokumentasjon om at eit pålegg var gjennomført. Skilnaden mellom tvangsmulkt og lovbrotsgebyr er at tvangsmulkta er løpande og skal medverke til at den behandlingsansvarlege oppfyller sine plikter etter personopplysningslova, medan lovbrotsgebyret er ein reaksjon som følgje av lovbrot. Tvangsmulkt har inga parallell i personvernforordninga, men er eit særnorsk verkemedel.

I 2023 fatta Datatilsynet eit vedtak om tvangsmulkt mot Meta (som mellom anna eig Facebook og Instagram) og Facebook Norge. Mulkta var 1 mill. kroner per dag for brot på reglane om rettsleg grunnlag i personvernforordninga artikkel 6. Tvangsmulkta løp i 82 dagar, og samla beløp blei 82,89 mill. kroner. Saka mot Meta Inc. og Facebook Norge var ei stor og viktig sak for Datatilsynet i 2023. Frå vedtaket i saka blei fatta 14. juli registrerte dei til saman 1708 timar arbeid i saka. Den reelle arbeidsmengda knytt til saka er likevel mykje høgare som følgje av at dei ikkje registrerte arbeidstimar før vedtak i saka blei fatta.

Saka tok mykje ressursar også etter at vedtaket var fatta, både i form av oppfølging nasjonalt, mellom anna sak i Oslo tingrett i august 2023, og i Det europeiske personvernrådet, som stadfesta Datatilsynet sitt vedtak på europeisk nivå i oktober 2023. I tillegg til at saka blei behandla i Oslo tingrett, klaga Meta tvangsmulktvedtaket inn for Personvernnemnda. Klagen, som blei avgjort i 2024, reiste ei rekkje prinsipielle spørsmål om behandling av grensekryssande saker etter personvernforordninga, mellom anna om Datatilsynet har heimel til å gi tvangsmulkt etter den norske personopplysningslova i saker som blir behandla etter konsistensmekanismen i peronvernforordninga. Nemnda konkluderte (sak PVN-2023-31 og PVN-2024-04) med at Datatilsynet ikkje kan gi tvangsmulkt, som er eit særnorsk verkemedel, i saker som blir behandla etter konsistensmekanismen i personvernforordninga. I samband med den pågåande etterkontrollen av personopplysningslova har Justis- og beredskapsdepartementet varsla at dei vil sjå nærare på utforminga av regelen om tvangsmulkt i personopplysningslova.

Store saker, som Meta-saka, og saka om Arbeids- og velferdsetaten si behandling av personopplysningar, med kompliserte juridiske og økonomiske vurderingar og stor offentleg merksemd, er krevjande for tilsynet og legg beslag på store ressursar både i saksbehandling og mediehandtering. Datatilsynet vurderer likevel at arbeidet gir stor effekt for personvernet nasjonalt og internasjonalt, og at det difor er riktig å prioritere nokre slike store saker sjølv om det fører til lengre saksbehandlingstid i ein del av dei mindre sakene.

Det er statens innkrevingssentral som krev inn mulkt og gebyr etter Datatilsynets vedtak. Pengane går i statskassa.

Tilsyn

Datatilsynet gjennomførde i 2024 relativt få planlagde og hendingsbaserte tilsyn, 18 i talet fordelt på offentleg og privat sektor. Det blei gjennomført seks brevkontrollar, seks stadlege tilsyn og seks digitale tilsyn med nettstader. I tilsyna så Datatilsynet nærare på mellom anna etterleving av personvernprinsippa og behandlingsansvaret, verksemdenes styringssystem for personvern og informasjonstryggleik, personopplysningstryggleik og behandling av kredittopplysningar. Fem av dei brevlege kontrollane var retta mot kredittopplysningsverksemder.

Dei digitale tilsyna fokuserte på nettstaders bruk av sporingsverktøy og var eit resultat av ei rekkje medieoppslag om nettstader som delte særskilde kategoriar personopplysningar (tidlegare kalla sensitive personopplysningar) med tredjepartar. Desse tilsyna var ikkje avslutta ved årsskiftet 2024/2025.

Eitt av tilsyna i 2024 blei gjennomført i tråd med Noregs pliktar etter Schengen-reglane. Tilsynet ble utført ved ambassaden i London. Schengen-tilsyn er ressurskrevjande tilsyn som skal følgje strenge regelfastsette krav.

Datatilsynet skriv i årsrapporten at eit fellestrekk i mange av tilsyna er at dei finn manglar ved internkontrollen. Mange verksemder har heller ikkje sett i verk tilstrekkelege informasjonstryggleikstiltak. Slike manglar kan få store negative konsekvensar for verksemdene. I tilsyna mot kommunar og fylkeskommunar har Datatilsynet difor hatt fokus på dialog og rettleiing i høve til tilsynsobjekta. Det blei òg publisert ein samlerapport frå tilsyna som mellom anna er meint som rettleiing og eit grunnlag for kommunane sjølve til å vurdere om dei etterlev personvernreglane. Denne arbeidsforma er ny for tilsynet, og har blitt godt motteke hos tilsynsobjekta.

Avviksmeldingar

Innføringa av personvernforordninga i 2018, og merksemda om dei høge gebyra som kan påleggast ved brot på regelverket, har ført til at Datatilsynet mottek ein stor mengd avviksmeldingar. Avviksmeldingar er meldingar om brot på personopplysningstryggleiken. Personvernforordninga stiller krav om at slike brot skal meldast til datatilsynsmyndigheita innan fastsette fristar. I 2017, året før forordninga tok til å gjelde, fekk Datatilsynet 349 avviksmeldingar. Sidan har det vore ein jamn og stor auke. I 2024 fekk Datatilsynet 3191 avviksmeldingar. Talet på avviksmeldingar har auka monaleg sidan 2019, det første heile året personvernforordninga gjaldt i Noreg, då tilsynet fekk inn 1916 avviksmeldingar. Datatilsynet gjer ei vurdering av alle innmelde brot. Av dei innmelde brota blir 80 prosent avslutta utan vidare oppfølging frå Datatilsynet, medan 20 prosent går vidare til saksbehandling.

Dei rapporterte brota varierer i omfang og alvor. Avviksmeldingane gjeld mellom anna sending av personopplysningar til feil mottakar (om lag 37 prosent av meldingane), feil i tilgangsstyring (auka med 14 prosent frå 2023), utilsikta publisering av personopplysningar og tilsikta dataangrep (auka med 39 prosent sidan 2023). Godt over halvparten av avviksmeldingane kjem frå verksemder innan offentleg administrasjon, skule og barnehage og helse, omsorg og sosialteneste, med den største auken innan offentleg administrasjon (1348 melde avvik i 2024 mot 962 i 2023). At ein bransje utmerker seg med mange avviksmeldingar er ikkje eintydig negativt. Det kan òg vere teikn på god kjennskap til regelverket og til gode rutinar for å melde avvik, gjerne i kombinasjon med at sektoren behandlar store mengder personopplysningar. I årsrapporten skriv Datatilsynet at melde avvik i kategorien «tilsikta angrep» har auka med 39 prosent i 2024, noko som speglar eit stadig meir komplekst trusselbilde og strekar under kor viktig det er å jobbe med førebyggjande tiltak.

Avviksmeldingane er ei viktig kjelde til informasjon om risiko, sårbarheiter og truslar ved behandlinga av personopplysningar. Denne informasjonen blir mellom anna brukt når Datatilsynet planlegg risikobaserte tilsyn. Meldingane er òg ei kjelde til informasjon om kjennskapen til personopplysingsreglane i ulike bransjar og sektorar. På den måten kan dei gi grunnlag for å målrette rettleiing mot desse sektorane. Det høge talet på melde avvik er samstundes utfordrande for tilsynet fordi det har ført til auka ressursbruk knytt til saksbehandling av avviksmeldingane.

Krav om dokumentinnsyn

I 2024 fekk Datatilsynet 7547 krav om dokumentinnsyn etter offentleglova. Dette var ei svak auke frå 2023. Talet på krav om dokumentinnsyn har likevel auka jamt dei siste åra, og er meir enn dobla frå 2020, då tilsynet fekk 3671 krav om dokumentinnsyn. Som i tidlegare år er truleg noko av årsaka til auken den store auken i saksmengda og ei stadig aukande interesse for Datatilsynet si verksemd. Store og profilerte saker, som saka mot Arbeids- og velferdsetaten og Personvernnemnda si oppheving av tvangsmulkta mot Meta i 2024, gir truleg òg opphav til mange krav om dokumentinnsyn. Datatilsynet gir innsyn i dei fleste tilfella, og talet på avslag har gått noko ned samanlikna med talet på krav om dokumentinnsyn. Talet på delvis innsyn har gått noko opp frå 2023, og det blei i 2024 gitt delvis innsyn i 2398 dokument.

Auken i krav om dokumentinnsyn har dei siste åra medført auka innsats for å handtera alle krava. Ikkje minst blir arbeidet med å vurdere meiroffentlegheit stadig meir ressurskrevjande, noko som særleg legg beslag på den juridiske kompetansen i tilsynet. I 2024 registrerte Datatilsynet 1579 arbeidstimar på behandling av innsynskrav, noko som er om lag eit årsverk. Tilsynet rapporterer at behandling av krav om innsyn i avviksmeldingar er særleg ressurskrevjande. Desse dokumenta inneheld ofte informasjon om sårbarheiter og avvik som kan nyttast av potensielle trusselaktørar, og det er difor svært viktig å gjere grundig gjennomgang og sladding av dokumenta før det blir gitt innsyn.

Barn og unge

Datatilsynet har i fleire år prioritert arbeid med personvern for barn og unge. Særleg den raske digitaliseringa i skule og barnehage, med stadig fleire digitale hjelpemiddel og verktøy, kan gå ut over personvernet. Også fritida til barn og unge er i stor grad digitalisert. Barn og unge er ei gruppe som nyt særskild vern etter personvernregelverket. Dei er sjølv ofte mindre medvitne om personvernutfordringane knytt til bruk av digitale tenester og er difor avhengige av at vaksne tek gode val på barnas vegne. Tilsynet peiker særleg på at nettbaserte spel og sosiale nettverk skapar utfordringar knytt til samtykke og aldersverifisering, sporing og atferdsbasert marknadsføring.

I arbeidet med å trygge barn og unge sitt personvern har Datatilsynet i 2024 prioritert arbeid med fleire store høyringssaker. Arbeid med høyringssaker er ofte tidkrevjande, men gir samstundes moglegheit for å påverke personvernkonsekvensar når nye reglar blir utarbeidd. Sentrale saker har vore oppretting av individregistre over barn i barnehage og grunnskule, oppretting av eit nasjonalt personidentifiserbart barnevernregister og behandling av sensitive opplysningar for å nedkjempe seksuelle overgrep, trakassering og vald i idretten. Tilsynet har dessutan samarbeidd med KS i deira prosjekt Skolesec, og har gitt innspel til arbeidet med ei nasjonal personvernvurdering (DPIA) av Google sine tenester og ei nasjonal DPIA for kunstig intelligens i digitale læremiddel.

Saman med Utdanningsdirektoratet driv Datatilsynet nettressursen dubestemmer.no der dei formidlar informasjon om personvern til barn og unge. Nettstaden, som har vore i drift i ei årrekke, blir stadig utvikla og blir ofte trekt fram som ein viktig ressurs for kunnskap om personvern og tryggleik på nett.

Tilsynet har òg arbeidd internasjonalt med spørsmål knytt til barn og unge sitt personvern. Dei har delteke i ei nordisk arbeidsgruppe som ser på barns personvern i samband med gaming, og i rapporteringsåret publiserte Datatilsynet, saman med dei andre nordiske datatilsyna, ein rettleiar om barns personvern i nettbaserte spel. Tilsynet har dessutan delteke i to undergrupper under Det europeiske personvernrådet som ser på ulike spørsmål knytt til barn og unge sitt personvern.

Kommunikasjonsverksemd

Ulike typar kommunikasjon om rettar og plikter etter personvernreglane er ein viktig del av Datatilsynets arbeid. Gjennom kommunikasjonsarbeidet skal dei bidra til auka kunnskap om og interesse for personvern. Tilsynet publiserer aktivt på eiga nettstad. I tillegg har dei eigen blogg og podkast. For nokre år sidan tok Datatilsynet ei avgjerd om ikkje å bruke Facebook. Dei har likevel vore aktive på både X (tidlegare Twitter) og frå tidleg 2024 også LinkedIn. I 2024 tok dei ei avgjerd om å avslutte bruken av X basert på ei vurdering av personvernkonsekvensar og den kommunikasjonsfaglege effekten ved bruk av plattforma. Dei tilsette i tilsynet held ei lang rekkje foredrag på både eigne og andre sine arrangement. I 2024 handla om lag kvart fjerde foredrag om kunstig intelligens og personvern.

I 2024 har Datatilsynet, i samsvar med hovudmålet om eit godt personvern for alle, prioritert informasjonstiltak som har effekt for alle. Dei har mellom anna satsa på fleire nye rettleiingar på nett, webinar og interaktiv, digital rettleiing. Den telefonbaserte rettleiingstenesta er òg ein del av tilsynets kommunikasjonsverksemd. Dette er ein viktig kanal for alle som har spørsmål om behandling av personopplysningar. I 2024 kom det inn 5690 førespurnader til rettleiingstenesta, mot 5169 året før. Kvar samtale varer i snitt i drygt ti minutt, noko som viser at dette er ein stor og viktig del av tilsynet si rettleiingsverksemd.

Internasjonal verksemd

Datatilsynet deltek aktivt i internasjonalt personvernarbeid. Det europeiske personvernrådet (personvernrådet), som er samarbeidsorganet for datatilsyna i alle EØS-landa, er ein svært viktig arena i så måte. Her møtest alle dei europeiske tilsyna for faglege diskusjonar, mellom anna om tolking av personvernforordninga. Dette er viktig for å sikre at regelverket blir tolka og praktisert likt i alle landa. Personvernrådet har etablert ei rekkje undergrupper som arbeider med ulike tema. Datatilsynet deltek aktivt i desse gruppene. Tilsynsmyndigheitene behandlar dessutan ei rekkje saker som gjeld innbyggarar og/eller verksemder etablerte i fleire land. I desse sakene krev personvernforordninga at tilsyna samarbeider. EU har i 2024 arbeidd med ei ny forordning om saksbehandlingsføresegner i grenseoverskridande saker etter GDPR. Forordninga skal medverke til at same sak blir behandla likt i alle EØS-landa, men vil samstundes innebere at tilsynsmyndigheita får fleire forpliktingar i grenseoverskridande saker. Det er venta at forordninga vil bli vedteke i løpet av 2025. Dei komande reglane kan få konsekvensar for ressurssituasjonen i Datatilsynet.

Datatilsynet deltek på lik linje som EU-landa sine datatilsyn i personvernrådet, men utan røysterett. Tilsynet er svært aktiv i dette personvernsamarbeidet og har teke ein leiarrolle i fleire av rådets arbeid. I 2024 deltok Datatilsynet på om lag 150 møte i regi av personvernrådet – dei fleste fysiske møte utan moglegheit for digital deltaking. Arbeidet krev god førebuing og er ressurskrevjande. Gjennom dette arbeidet har det norske Datatilsynet opparbeid seg ein solid posisjon som gir store moglegheiter for å påverke og sette agendaen for personvernutviklinga internasjonalt.

I rapporteringsåret blei Datatilsynet identifisert som tilsyn som saka rørde ved i 373 saker. Dette er ei auke frå 304 saker i 2023. Samstundes har talet på grenseoverskridande saker der det norske tilsynet er leiande tilsyn halde seg relativt stabilt, og var i 2024 på 17 saker. Internasjonal saksbehandling føreset at tilsynet følger med på andre lands saker og gir innspel i desse sakene etter fastsette prosessreglar. Saksbehandlinga skjer på engelsk i eit informasjonssystem sett opp av Europakommisjonen.

Departementets vurderingar

Datatilsynet har eit breitt mandat og skal gjere ein stor jobb for dei tildelte midla. Oppgåvene stiller krav til god planlegging og prioritering. Digitaliserings- og forvaltningsdepartementet er godt tilfreds med arbeidet Datatilsynet har utført i rapporteringsåret. Aktivitetsnivået har vore høgt, og tilsynet har arbeidd godt for å tilpasse verksemda til sakstilfanget. I tillegg har Datatilsynet medverka til å sette personvern på dagsordenen i ei rekkje samanhengar, både nasjonalt og internasjonalt. Tilsynet kjem godt ut i ei omdømemåling gjennomførd av IPSOS i 2024, der tilsynet ligg i kategorien «godt omdøme», og skårar spesielt høgt på samfunnsansvar og kunnskap.

Samtidig ser departementet at saksmengda i Datatilsynet har auka kraftig, og vil framover ha særskild merksemd retta mot ressurssituasjonen i tilsynet. Ei rekkje nye regelverk frå EU påverkar utviklinga på det digitale området, inkludert behandling av personopplysningar. Når desse regelverka blir gjennomførte i norsk rett, vil Datatilsynet ofte få nye rettleiings- og tilsynsoppgåver. Kvar for seg kan oppgåvene vere relativt lite krevjande, men samla utgjer dei ein stor auke i arbeidsmengda.

I 2023 bad departementet Direktoratet for forvaltning og økonomistyring (DFØ) om å gjere ei evaluering av Datatilsynet. Evalueringa skulle vere til hjelp både for tilsynet sine prioriteringar og organisasjonsutvikling og for departementet si styring av verksemda. Evalueringa, som er publisert i DFØ-rapport 2024:8 Både vaktbikkje og førerhund?, synte at tilsynet gjer svært mykje godt arbeid innanfor dei tildelte ressursane. DFØ peikte samstundes på at tilsynet i stor grad er styrt av «innboksen» og må utnytte ressursane klokt for å få mest mogleg ut av dei tildelte midla. Dette oppfattar departementet at tilsynet har arbeidd godt med i 2024, og at dei bevisst og målretta har arbeidd med verkemiddel som gir størst mogleg effekt for flest mogleg. Departementet følgjer utviklinga i omfang og kompleksitet i tilsynets oppgåver og har god dialog med tilsynet om effektiv ressursutnytting.

1.3 Styring og kontroll i verksemda

Datatilsynet gjer i årsrapporten greie for at dei arbeider målretta med intern styring og kontroll som eit verktøy for å utnytte ressursane best mogleg. I 2024 tredde Datatilsynet sin nye treårige strategi i kraft. Strategien er inspirert av innspela tilsynet fekk gjennom Prosjekt Kvist i 2023, der dei henta innspel frå om lag 160 verksemder. Med utgangspunkt i innspela har tilsynet vurdert korleis dei best kan hjelpe flest mogleg.

I årsrapporten peiker Datatilsynet òg på funna i evalueringa som blei gjennomført av DFØ. DFØ peikte på at verksemda har vakse mykje dei seinare åra, men at organisasjonskulturen og støttesystema ikkje har utvikla seg i takt med oppgåvemengda, noko som mellom anna får konsekvensar for saksavviklinga. Evalueringa syner at det er nødvendig både å styrke Datatilsynet og å effektivisere arbeidet tilsynet gjer. I lys av dette har Datatilsynet arbeidd med organisasjonsutvikling, effektivisering av saksbehandlinga og vidareutvikling av styringssystemet sitt. Styringssystemet legg til rette for betre intern regeletterleving, auka effektivitet og meir målretta oppfølging av strategiske prioriteringar. Dette er viktige tiltak for effektiv drift av ein moderne organisasjon, og eit arbeid departementet støttar.

1.4 Framtidsutsikter

Datatilsynet peiker i årsrapporten på ei rekkje tilhøve som dei trur vil påverke personvernet og tilsynets arbeid i tida framover. Kunstig intelligens og deling av data vil påverke både verda og personvernet i åra framover. For Datatilsynet er det viktig å vere eit tydeleg tilsyn som skal bidra til etisk og forsvarleg bruk av kunstig intelligens i tråd med regjeringas mål. I tillegg trekk tilsynet fram globale reguleringsutfordringar som viktige for arbeidet deira. Stadig fleire personvernsaker blir avgjort av EU-domstolen. Desse avgjerdene, saman med ei mengd nye regelverk på det digitale området, vil vere med og prege Datatilsynets arbeid framover. Det same gjeld det internasjonale trugselbilete, der personopplysningar blir nytta i cyber-operasjonar, manipulering av innhald i digital kanalar og inngripande overvaking. Datatilsynet peiker på at utviklinga reflekterer eit stadig meir komplekst trugselbilete og viktigheita av forebyggande tiltak. Her meiner tilsynet at dei framover vil ha ei viktig rolle i å framheve verdien av personvern i eit demokratisk samfunn.

2 Merknader frå Digitaliserings- og forvaltningsdepartementet til Personvernnemndas årsrapport

Personvernnemnda er klageorgan for vedtak fatta av Datatilsynet, og er eit uavhengig forvaltningsorgan, administrativt underlagt Digitaliserings- og forvaltningsdepartementet. Nemnda fattar vedtak med alminneleg fleirtal. Departementet kan ikkje instruere nemnda om behandlinga av einskildsaker eller om den faglege verksemda elles.[4] Personvernnemnda består av sju medlemmer med faste varamedlemmer, alle oppnemnde for fire år om gongen. Den sitjande nemnda er oppnemnd for perioden 2025 til 2028. I rapporteringsåret blei nemnda leidd av sorenskrivar Mari Bø Haugstad. Nemnda blir i inneverande periode leidd av lagdomar Marius Stub. Nemnda er administrativt underlagd Digitaliserings- og forvaltningsdepartementet, og departementet gjennomfører eitt årleg administrativt møte med nemndas leiar.

Personvernnemnda behandlar klager frå både privatpersonar, bedrifter og offentlege verksemder. Nemnda peiker i årsrapporten på at sakene dekker alle samfunnsområde, noko som er eit teikn på at personvern stadig får aukande aktualitet. Nemnda legg derfor vekt på å skrive fagleg gode vedtak, slik at desse kan gi rettleiing i seinare liknande saker. Departementet deler vurderinga til nemnda av viktigheita av at vedtaka er skrivne slik at dei eignar seg til framtidig rettleiing – for både publikum, behandlingsansvarlege og Datatilsynet.

Personvernnemnda blei i 2024 tildelt eit budsjett på kap. 1551 post 01 på i underkant av 2,78 mill. kroner. Nemnda har i rapporteringsåret brukt knapt 2,67 mill. kroner, noko som gav eit mindreforbruk på om lag 110 000 kroner. Løyvinga er nytta til honorar og reisegodtgjersle til medlemmene i nemnda, løn til sekretariatet og deltaking på kurs. I tillegg blei 51 000 kroner bruk til utvikling og design av ny nettstad, personvernnemnda.no.

Personvernnemndas sekretariat består av ein medarbeidar i 100 prosent stilling. Sekretariatet er administrativt knytt til Digitaliserings- og forvaltningsdepartementet. Departementet har likevel inga fagleg instruksjonsmyndigheit over sekretariatet.

I 2024 heldt Personvernnemnda tolv møter. I tillegg er det jamleg kontakt mellom nemndas leiar og sekretariatet om utgreiing av saker og administrative høve. Nemnda fekk 49 nye saker frå Datatilsynet i 2024. Til samanlikning fekk nemnda 31 nye saker i 2023, og saksmengda har såleis auka med 58 % frå året før. Denne auken er monaleg større enn året før. I tillegg blei det overført 15 ubehandla saker frå 2023. Totalt har nemnda såleis har 64 saker til behandling i rapporteringsåret. Ved utgangen av 2024 låg framleis 35 saker ubehandla. Dei fleste av de 29 sakene nemnda har avgjort i 2024 er avslutta med eit endeleg vedtak etter behandling i eitt møte i nemnda. Store og krevjande saker kan likevel gå over fleire møte. I 2024 gjaldt dette mellom anna sakene som omhandla Meta og Arbeids- og velferdsetaten sine behandlingar av personopplysningar. Dette var store og krevjande saker for både nemnda og sekretariatet. Saksbehandlingstida i nemnda har auka frå fem og ein halv månad i 2023 til drygt seks og ein halv månad i 2024. Dette skuldast fleire saker, men òg meir komplekse saker som nemnda bruker lengre tid på å behandle. Departementet si vurdering er at saksbehandlingstida, trass auken, er på eit akseptabelt nivå. Alle vedtak fatta av Personvernnemnda blir publiserte i anonymisert form både på nemndas eigen heimeside, personvernnemnda.no, og på Lovdata.

Nemnda gjer i årsrapporten greier for behandling av fleire store saker i 2024. Mellom anna behandla dei klage over Datatilsynet sitt vedtak om lovbrotsgebyr mot Arbeids- og velferdsetaten (PVN-2024-17), der nemnda vurderte at det var feil ved fleire deler av Datatilsynet sitt vedtak som tilsa at det ikkje var grunnlag for lovbrotsgebyr, og sakene om tvangsmulkt mot Meta, der nemnda kom til at det ikkje kunne gis tvangsmulkt etter den norske personopplysningslova § 29 i ein sak som elles blei behandla etter reglane om grenseoverskridande saker i personvernforordninga kapittel VII. Dette er særs store saker som det har teke mykje kapasitet i nemnda og medverka til samla sett lengre saksbehandlingstid for alle saker.

Som i 2023 har nemnda òg i 2024 behandla fleire klager over Datatilsynet sine vedtak om å avslutte saker utan nærare undersøking eller utan å ta stilling til om regelverket er brote. I tillegg har nemnda behandla fleire saker om arbeidsgjevars innsyn i arbeidstakars e-postkasse, om kameraovervaking og om kredittvurdering. Dette er ein type saker som går att i nemnda si saksmengd kvart år.

I tillegg til behandling av klagesaker, ga nemnda i november 2024 innspel til Justis- og beredskapsdepartementet sin etterkontroll av personopplysningslova. Nemnda uttalte seg om nemndas partsstilling og uavhengigheit i saker for domstolane, om Datatilsynet sin heimel til å gi tvangsmulkt i grenseoverskridande saker (tema i sak PVN-2023-31 og PVN-2024-04), omfanget av Datatilsynet sine plikter etter personvernforordninga artikkel 57 nr. 1 bokstav f, Personvernnemndas samansetting og utnemningsperiode og om styrking av nemndas sekretariat. Det siste punktet er ikkje knytt til etterkontrollen av personopplysningslova, men ligg til Digitaliserings- og forvaltningsdepartementet, som overordna administrativt departement, å vurdere.

I si vurdering av framtidsutsikter, peiker nemnda på at digitaliseringa av samfunnet fører til fleire personvernutfordringar. I tillegg har gjennomføringa av personvernforordninga i norsk rett styrkt rettane til dei registrerte og skjerpa pliktene til dei behandlingsansvarlege. I lys av dette, meiner Personvernnemnda det er sannsynleg at saksmengda vil halde fram med å auke. Nemnda vurderer at sakene òg vil bli meir komplekse med den auka digitaliseringa i samfunnet. For å handtere dette, peiker nemnda på at det er nødvendig å styrke nemndas sekretariat. Departementet deler denne vurderinga, og arbeider for tida med ein løysing som vil innebere at Statens sivilrettsforvaltning overtek ansvaret for drift av sekretariatet til Personvernnemnda. Dette vil styrke og gi eit meir robust sekretariat som er betre i stand til å ivareta nemnda sine behov.

Nemnda peikar òg på at terskelen for å bringe nemndas vedtak inn for domstolane ser ut til å ha blitt noko lågare etter gjennomføringa av personvernforordninga. Dette heng truleg saman med heimelen i forordninga til å gi høge lovbrotsgebyr, og nemnda trur difor tendensen med fleire søksmål om gyldigheita av nemndas vedtak vil halde fram. Det er regjeringsadvokaten som fører slike saker for nemnda, men førebuing av sakene krev òg stor innsats frå både sekretariat og nemnda sjølv.

Departementet er tilfreds med måten Personvernnemnda har gjennomført oppgåvene sine på i 2024, og meiner nemnda har brukt den tildelte løyvinga på ein god måte.

3 Oppmodingsvedtak nr. 197 (2022–2023)

I Dok. 8:167 S (2022–2023) sette stortingsrepresentantane Guri Melby, Sveinung Rotevatn, Ingvild Wetrhus Thorsvik, Grunde Almeland og Alfred Jens Bjørlo fram ei rekkje forslag om betre personvern på sosiale medium. 29. november 2022 behandla Stortinget Innst. 100 S (2022–2023) og fatta oppmodingsvedtak nr. 197 der regjeringa blei beden om å «utrede omfanget av og utfordringene rundt lagring av biometriske data fra norske forbrukere på sosiale medieplattformer».

I oppmodingsvedtaket er «biometriske opplysninger» ikkje nærare definert. Personvernforordninga art. 4 nr. 14 definerer biometriske opplysningar slik: «personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, f.eks. ansiktsbilder eller fingeravtrykksopplysninger». Personopplysningar om ein persons fysiske, fysiologiske eller åtferdsmessige eigenskapar, til dømes eit bilete, er i seg sjølv ikkje biometriske opplysningar. For å falle inn under definisjonen, må opplysningane bli behandla slik at eigenskapane blir målt og kategorisert på ein måte som eintydig identifiserer personen.

For å få eit bilete av situasjonen, og for å kunne svare på Stortinget sitt oppmodingsvedtak, har departementet bede Datatilsynet, som er fagorgan i personvernspørsmål, om å kartlegge innhenting og lagring av biometriske data på plattformene Meta, WhatsApp, Snapchat, TikTok, Grindr og Tinder. Etter personvernforordninga er det datatilsynet i det enkelte EØS-land som har myndigheit til å pålegge selskap etablert på deira territorium å gi informasjon om si behandling av personopplysningar. Det norske Datatilsynet kan sjølv be om informasjon frå verksemder som ikkje er etablerte i noko EØS-land. Dei europeiske datatilsyna har likevel ikkje heimel til å pålegge selskapa å gi informasjon med mindre det dreier seg om ein tilsynssituasjon, altså en situasjon der det skal førast kontroll med etterlevinga av personvernregelverket. Innhenting av informasjon for å kunne svare på Stortinget sitt oppmodingsvedtak er ikkje ein tilsynssituasjon. Om datatilsyna likevel kunne pålegge selskapa å gi informasjon, vil informasjonen vere underlagd streng teieplikt og tilsyna ville neppe kunne dele han med departementet og Stortinget.

Datatilsynet har likevel bidrege med nyttig informasjon basert på sin generelle kunnskap om og kjennskap til dei sosiale media og deira innsamling og behandling av personopplysningar. Tilsynet opplyser at filter som kjenner att ansiktstrekk i tenester for deling av bilete, som for eksempel filter i Snapchat som endrar ansiktsfasongar, ikkje er ein behandling av personopplysningar med mindre tenesta òg angir identiteten til den som blir avbilda (noko som ikkje er vanlig). Datatilsynet opplyser vidare at personvernforordninga i utgangspunktet oppstiller et forbod mot behandling av biometriske opplysningar. Det finnes unnatak frå forbodet som likevel kan gi lov til å behandle biometrisk informasjon. For sosiale medium er det mest praktiske unnataket frå forbodet at den registrerte samtykker til behandlinga. Datatilsynet opplyser at dei ikkje er kjent med at dei plattformene departementet har bede dei undersøkje (Meta, WhatsApp, Snapchat, TikTok, Grindr og Tinder) behandlar biometriske opplysningar i nokon særleg grad i dag.

Etter det Datatilsynet kjenner til, og ut frå personvernerklæringane til selskapa, behandlar verken TikTok, Grindr eller Snapchat biometriske opplysningar. Tinder kan behandle biometriske opplysningar til verifisering av bilete for å bekrefte at brukaren er den vedkomande gir seg ut for å vere. Dette er ei valfri teneste som brukarane må samtykke til. Tilsynet opplyser vidare at Meta lar brukarar av deira teneste «Meta Verified» slå på ein type profilovervaking som bruker biometriske opplysningar til å finne og fjerne falske profilar som bruker bileta deira til svindel. Dette er ein valfri teneste som alle kan betale for, men den er først og fremst retta mot influensarar og andre kjente personar. For å bruke tenesta, blir brukarane bedne om å samtykke til behandling av biometriske opplysningar. Meta hadde tidlegare dessutan ei teneste som kunne kjenne att ansiktsbilete og som foreslå kven som var avbilda på foto som blei lasta opp på Facebook, slik at ein kunne «tagge» dei i biletet. Denne tenesta har Meta fjerna i EØS-landa. Ut over dette opplyser tilsynet at dei ikkje kjenner til at Meta behandlar biometriske opplysningar om sine brukarar.

Med grunnlag i den informasjonen Datatilsynet har gitt til departementet i anledning oppmodingsvedtaket, meiner departementet det ikkje er grunn til å tru at dei sosiale medieplattformene behandlar biometriske data om norske forbrukarar, slik dette er definert i personvernregelverket, i særleg monn. I den grad det skjer, er det all grunn til å tru at det skjer med grunnlag i samtykke frå brukarane sjølve. I lys av dette, er det departementet si vurdering at dei sosiale medieplattformene si behandling av biometrisk informasjon om norske forbrukarar ikkje utgjer nokon utfordring for brukarane sitt personvern.

Tilråding

Digitaliserings- og forvaltningsdepartementet

tilrår:

Tilråding frå Digitaliserings- og forvaltningsdepartementet 20. juni 2025 om Datatilsynets og Personvernnemndas årsrapportar for 2024 blir send Stortinget.

Fotnoter

1)

Lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningslova) § 20.

2)

Personopplysningslova § 21, jf. forordning (EU) 2016/679 (personvernforordninga) artikkel 59.

3)

Datatilsynet. (2024). Datatilsynets strategi 2024 – 2026.

4)

Personopplysningslova § 22.