1 Merknader frå Digitaliserings- og forvaltningsdepartementet til Datatilsynets årsrapport

Datatilsynet er eit uavhengig forvaltningsorgan oppretta i medhald av personopplysningslova og personvernforordninga. Tilsynet kan ikkje instruerast i behandlinga av einskildsaker eller den faglege verksemda elles.1 Digitaliserings- og forvaltningsdepartementet har det administrative ansvaret for Datatilsynet. Tilsynet skal kvart år sende årsrapporten sin til departementet, som legg rapporten fram for Stortinget.2 I denne meldinga legg regjeringa fram årsrapportane frå Datatilsynet og Personvernnemnda for 2025.

Datatilsynets hovudmål er å arbeide for eit godt personvern for alle. I rapporteringsperioden har tilsynet hatt ein strategi3 med ein visjon, ein grunnmur og tre innsatsområde som har vore styrande i arbeidet for å nå hovudmålet. Visjonen for tilsynets arbeid er «saman for menneskeverd og tillit i det digitale Noreg». Datatilsynet skal vere ein kunnskapsbasert, framtidsretta og solid organisasjon. Innsatsområda i strategien er delt i tre delar, retta mot samfunnet, verksemder og individ. For samfunnet skal Datatilsynet fremje personvern som ein føresetnad for demokrati og ein rettvis maktbalanse. For verksemder skal tilsynet bidra til godt personvern i praksis, medan det individretta arbeidet handlar om å jobbe for å vareta personvernet til innbyggjarane. I 2025 prioriterte Datatilsynet følgjande hovudområde:

• Personvern for barn og unge

• Den regulatoriske sandkassa

• Deling av data og kunstig intelligens

1.1 Organisasjon og budsjett

Datatilsynet blei i rapporteringsåret leidd av direktør Line Coll. Ho tiltredde stillinga 1. august 2022. Stillinga som direktør i Datatilsynet er eit åremål på seks år, med moglegheit for oppnemning for ytterlegare ein periode.

I 2024 gjennomførte Datatilsynet justeringar i organisasjonen, som mellom anna førte til at dei fire juridiske seksjonane, som tidlegare var samla i ein juridisk avdeling, nå er direkte underlagde direktøren. Dette fekk også innverknad på leiargruppa. Med verknad frå 1. september 2024 har leiargruppa bestått av seksjonsleiar for utgreiing, analyse og politikk, seksjonsleiar for offentlege tenester, seksjonsleiar for private tenester, seksjonsleiar for teknologi, tryggleik og tilsyn, seksjonsleiar for internasjonal seksjon, juridisk direktør, avdelingsdirektør for kommunikasjon og samfunnskontakt og avdelingsdirektør for administrasjonsavdelinga i tillegg til direktøren. Per 31. desember 2025 var kjønnsfordelinga i leiargruppa 67 prosent kvinner og 33 prosent menn.

Datatilsynet hadde i 2025 ei budsjettramme på kap. 1550 post 01 på 84,97 mill. kroner, og fekk i tillegg 1,99 mill. kroner i lønskompensasjon. Det blei dessutan overført 4,17 mill. kroner i ubrukte middel frå 2024, slik at samla disponible middel på kap. 1550 post 01 i 2025 var 91,14 mill. kroner. I løyvinga låg 6 mill. kroner til arbeidet med den regulatoriske sandkassa for personvernvennleg digitalisering og innovasjon, og 1,5 mill. kroner til arbeid for trygg oppvekst i eit digitalt samfunn.

73,7 prosent av dei tildelte midla var bundne i løn, medan dei resterande 26,3 prosent av budsjettet gjekk til drift.

I 2025 fekk Datatilsynet òg fullmakt frå Digitaliserings- og forvaltningsdepartementet til å belaste kap. 1541, post 22 med inntil 1 168 900 kroner i forbindelse med digitalisering av eit hybridarkiv frå perioden 2001 til 2015.

Samla hadde Datatilsynet i 2025 eit mindreforbruk på 6,60 mill. kroner på kap. 1550 post 01. I årsrapporten opplyser tilsynet at dette skuldast ein uventa og betydeleg reduksjon i fakturert pensjonspremie frå Statens pensjonskasse.

Per 31. desember 2025 hadde Datatilsynet 65 tilsette, fordelt på 57,22 årsverk (DFØ-modellen). Fleire av dei deltidstilsette er studentar knytte til Datatilsynets ressurseining for rettleiing, med ein stillingsbrøk kvar på 25 prosent. Talet på årsverk er omtrent på same nivå som i 2024. Samtidig var det fleire tilsette som slutta i Datatilsynet i løpet av 2025, og verksemda hadde lengre periodar med ledige stillingar som følgje av at det tok tid å rekruttere. Ved utgangen av 2025 fordelte dei faste tilsette seg på 63 prosent kvinner og 37 prosent menn, mot 59 prosent kvinner og 41 prosent menn året før.

1.2 Saksbehandling og kontroll

Datatilsynets oppgåver følgjer av personvernforordninga artikkel 57. Regelen inneheld ein omfattande opplisting av dei oppgåvene som ligg til datatilsynsmyndigheita. Det følgjer mellom anna av forordninga at tilsynsmyndigheita skal behandle klager over behandling av personopplysningar som er fremja av ein registrert eller eit organ, føre tilsyn med etterleving av regelverket, gi råd til både dei som behandlar personopplysningar og til dei registrerte, samarbeide med tilsynsmyndigheiter i andre land for å sikre etterleving av regelverket og gi råd ved utarbeiding av regelverk med personvernkonsekvensar.

I tillegg til oppgåvene etter personopplysningslova og personvernforordninga fører Datatilsynet tilsyn med etterleving av fleire andre regelverk, som til dømes politiregisterlova, arbeidsmiljølova, helseregisterlova, pasientjournallova, kredittopplysningslova og lov om Schengen informasjonssystem. Datatilsynet er òg gitt tilsynsoppgåver etter ny lov om elektronisk kommunikasjon som blei vedteke i Stortinget 13. desember 2024 og tok til å gjelde 1. januar 2025. I tillegg kjem Datatilsynet til å få oppgåver etter den komande KI-lova og etter ny lov om digital tenester som regjeringa arbeider med.

Saksbehandling og kontroll er kjerneverksemda til Datatilsynet. Sidan personvernforordninga blei gjennomført i norsk rett i 2018, har saksmengda auka betydeleg – særleg dei siste åra. I 2025 registrerte Datatilsynet 5532 nye saker, mot 4736 i 2024 og 4204 i 2023. Til samanlikning var talet 3118 i 2019, det første heile året personvernforordninga gjaldt i Noreg. I løpet av seks år har saksmengda såleis auka med om lag 2415 saker, og utviklinga held fram.

Datatilsynet gjer i årsrapporten greie for den store auken i talet på nye saker i 2025. Talet på klager frå einskildpersonar om moglege brot på personopplysningsregelverket steig frå 902 i 2024 til 1848 i 2025 – ein auke på om lag 105 prosent. Samtidig blir sakene stadig meir komplekse og tidkrevjande.

Auken i saksmengda kan ha fleire forklaringar, mellom anna auka digitalisering i samfunnet og større medvit om personvernrettar. Òg innføring av digitalt klageskjema våren 2024 har truleg senka terskelen for å sende inn klager. Samtidig peiker Datatilsynet på at talet på klager på brot på personvernregelverket aukar i heile Europa. I Sverige er talet, til dømes, nær dobla dei siste åra.

Datatilsynet peiker på at framveksten av ulike KI-verktøy har gjort det enklare å utforme klager. I 2025 opplevde Datatilsynet ein betydeleg auke i klager som heilt eller delvis er KI-genererte. Desse er ofte svært omfattande, noko som gjer det krevjande å identifisere dei faktiske og rettslege hovudspørsmåla i sakene. Datatilsynet uttrykkjer uro for at juridiske og tekniske ressursar i aukande grad blir bundne opp i slike saker, på kostnad av meir prinsipielle saker og oppgåver, som tilsyn og rettleiing.

Datatilsynet arbeider kontinuerleg med effektiviseringstiltak for å handtere den store saksmengda. Det er mellom anna blitt utarbeidd fleire rutinar, malar og standardtekstar, og innført nivådeling av klagesaker.

Vedtak og andre avgjerder

I rapporteringsåret fatta Datatilsynet 374 vedtak og 293 avgjerder om pålegg om informasjon undervegs i saksbehandlingsprosessen – totalt 677 avgjerder. Dette er ein markant auke frå året før, då tilsynet totalt fatta 384 slike avgjerder.

71 av dei 374 vedtaka Datatilsynet fatta i 2025 blei påklaga. Dette er prosentvis om lag same talet på klager som året før. Sju av dei påklaga vedtaka i 2025 blei heilt eller delvis endra av Datatilsynet etter klage, medan 91 av klagene blei sende til Personvernnemnda for klagebehandling. Til samanlikning sendte Datatilsynet 48 klagesaker til nemnda for behandling i 2024. Departementet gjer nærare greie for saksbehandlinga i Personvernnemnda i del 2.

Sanksjonar

Datatilsynet fatta 36 vedtak om korrigerande tiltak eller lovbrotsgebyr for brot på personvernregelverket i 2025, mot 44 i 2024. Nedgangen kjem av eit stort sakstilfang og ei pressa ressurssituasjon, og av at Datatilsynet derfor har måtta prioritere raskare saksbehandling. Bruk av korrigerande tiltak og sanksjonar krev meir omfattande saksbehandling og er derfor noko Datatilsynet har forsøkt å unngå når det har vore mogleg. Datatilsynet har derfor gjort fleire vedtak der tilsynet har konkludert med brot på personvernregelverket utan å ileggje sanksjonar eller korrigerande tiltak. I rapporteringsåret fatta Datatilsynet 132 slike vedtak.

I dei 36 sakene Datatilsynet fatta vedtak om korrigerande tiltak i 2025, blei det gitt irettesettingar i 19 saker og ulike typar pålegg i 16 saker. Lovbrotsgebyr blei gitt i berre to saker; til ein kommune som følgje av funn etter tilsyn med sporingsverktøy og til ei større privat verksemd etter avvik avdekka på tilsyn. Til samanlikning fatta Datatilsynet fem vedtak om lovbrotsgebyr i 2024.

I tillegg fatta Datatilsynet i 2025 to vedtak om vilkårsbunden tvangsmulkt. Begge blei gitt på grunn av manglande etterleving av pålegg frå Datatilsynet. Skilnaden mellom tvangsmulkt og lovbrotsgebyr er at tvangsmulkta er løpande og skal medverke til at den behandlingsansvarlege oppfyller sine plikter etter personopplysningslova, medan lovbrotsgebyret er ein reaksjon som følgje av lovbrot. Tvangsmulkt har inga parallell i personvernforordninga, men er eit særnorsk verkemedel.

Det er Statens innkrevingssentral som krev inn mulkt og lovbrotsgebyr etter Datatilsynets vedtak. Pengane går i statskassa.

Tilsyn

I 2025 gjennomførte Datatilsynet 55 planlagde og hendingsbaserte tilsyn, ein markant auke samanlikna med 18 tilsyn i 2024. Heile 50 av tilsyna inngjekk i «skoletilsynet», som blei gjennomførte som brevkontrollar retta mot fleire kommunar. Brevkontrollane blei supplerte med stadlege tilsyn hos fire av kommunane.

Eitt tilsyn var retta mot den digitale tenesta Barnetråkk ved Universitetet i Bergen. Barnetråkk er eit gratis verktøy som gir byplanleggjarar og lokalpolitikarar innsikt i korleis barn brukar nærmiljøet sitt, og kva dei ønskjer endra. Formålet med tilsynet var å vurdere ansvarsforhold, roller, omfang og rettsleg grunnlag for behandlinga av personopplysningar. Tilsynsrapporten var ikkje ferdigstilt på rapporteringstidspunktet.

To tilsyn blei gjennomførte som del av Noregs forpliktingar i Schengen-samarbeidet: eitt hos Kripos som behandlingsansvarleg for SIS (Schengen Information System), og eitt hos UDI som behandlingsansvarleg for VIS (Visa Information System). Datatilsynet gjennomførte òg eitt tilsyn med ein privat aktør etter fleire meldingar om ulovleg kameraovervaking i behandlingsrom.

Avviksmeldingar

Innføringa av personvernforordninga i 2018, og merksemda om dei høge gebyra som kan påleggast ved brot på regelverket, har ført til at Datatilsynet mottek ei stor mengd avviksmeldingar. Avviksmeldingar er meldingar om brot på personopplysningstryggleiken. Personvernforordninga stiller krav om at slike brot skal meldast til datatilsynsmyndigheita innan fastsette fristar. I 2017, året før forordninga tok til å gjelde, fekk Datatilsynet 349 avviksmeldingar. Sidan har det vore ein jamn og stor auke.

I rapporteringsåret fekk Datatilsynet 3016 avviksmeldingar. Dette er ein svak nedgang frå rekordåret 2024, då talet var 3191. Likevel ligg nivået betydeleg høgare enn i 2019, det første heile året personvernforordninga gjaldt i Noreg, då talet var 1916 avviksmeldingar. Datatilsynet vurderer alle innmelde brot. I 2025 blei 79 prosent av sakene avslutta utan vidare oppfølging, medan 21 prosent gjekk vidare til saksbehandling.

Dei innrapporterte brota varierer i både omfang og alvor. Den mest vanlege kategorien var personopplysningar sendt til feil mottakar, som utgjorde 39 prosent av meldingane. Datatilsynet peikar på at denne typen brot har vore dominerande over tid, og at det framleis er behov for betre rutinar og styrkt opplæring for å redusere menneskelege feil. Samtidig har talet på brot knytte til system- eller programmeringsfeil gått ned sidan 2024, noko som kan tyde på at verksemder i større grad kvalitetssikrar systemendringar før dei blir tekne i bruk. I 2025 fekk Datatilsynet òg fleire avviksmeldingar knytte til bruk av kunstig intelligens. Desse gjaldt særleg manglande kontroll ved bruk av både autoriserte og uautoriserte KI-verktøy. Det blei òg meldt om tilfelle der tilsette hadde teke i bruk uautoriserte verktøy for opptak og transkribering av digitale møte utan samtykke frå deltakarane og utan sentral vurdering eller godkjenning i verksemda.

Avviksmeldingane kjem frå fleire sektorar. Offentleg administrasjon stod i 2025 for 42 prosent av meldingane, noko Datatilsynet forklarer med at sektoren handterer store mengder personopplysningar og har etablerte rutinar for å melde frå om avvik. Helse-, omsorgs- og sosialsektoren stod for 14 prosent av meldingane, ofte knytte til feil i behandlinga av helseopplysningar. Finans- og forsikringssektoren rapporterte 10 prosent av avvika, hovudsakleg knytte til finansopplysningar sendt til feil mottakar og feil i tilgangsstyring.

Avviksmeldingane er ei viktig kjelde til kunnskap om risiko, sårbarheiter og truslar ved behandling av personopplysningar. Informasjonen blir mellom anna brukt av Datatilsynet i planlegginga av risikobaserte tilsyn og gir innsikt i kor godt regelverket er forstått i ulike sektorar.

Krav om dokumentinnsyn

I 2025 fekk Datatilsynet 7234 krav om dokumentinnsyn etter offentleglova, mot 7547 i 2024. Til tross for ein liten nedgang frå 2024 til 2025, har talet på krav om dokumentinnsyn auka jamt dei siste åra, og er omtrent dobla frå 2020, då tilsynet fekk 3671 slike krav. Som i tidlegare år er truleg noko av årsaka til den store auken ei stadig aukande interesse for Datatilsynet si verksemd.

Datatilsynet gir innsyn i dei fleste tilfella, men gav avslag i 483 saker. Talet på avslag har gått ned samanlikna med talet på krav om dokumentinnsyn. Talet på delvis innsyn (2394 saker) er på same nivå som i 2024, da det ble gitt delvis innsyn i 2398 dokument.

Auken i krav om dokumentinnsyn har dei siste åra medført auka ressursbruk for å handtera alle krava. Ikkje minst blir arbeidet med å vurdere meiroffentlegheit stadig meir ressurskrevjande, noko som særleg legg beslag på den juridiske kompetansen i tilsynet. Datatilsynet har i rapporteringsåret brukt tilsvarande eitt årsverk til å vurdere krav om dokumentinnsyn.

Internasjonal verksemd

Datatilsynet deltek aktivt i internasjonalt personvernarbeid. Det europeiske personvernrådet (Personvernrådet), som er samarbeidsorganet for datatilsyna i alle EØS-landa, er ein svært viktig arena i så måte. Her møtest alle dei europeiske tilsyna for faglege diskusjonar, mellom anna om tolking av personvernforordninga. Dette er avgjerande for å sikre ei einsarta forståing og handheving av regelverket i heile EØS-området. Datatilsynet deltek på lik linje med EU-landa sine tilsyn, men utan røysterett.

Datatilsynet har teke ei aktiv rolle i fleire av rådet sine arbeidsprosessar. Arbeidet er ressurskrevjande og føreset grundige førebuingar, men har bidrege til at det norske Datatilsynet har fått ein solid posisjon internasjonalt, med gode moglegheiter til å påverke utviklinga av personvernet i Europa.

I 2025 deltok Datatilsynet på om lag 150 møte i regi av Personvernrådet. Tilsynet engasjerer seg særleg i prinsipielle problemstillingar, mellom anna spørsmål om lovlegheita av dei store teknologiplattformene si behandling av personopplysningar. Datatilsynet deltek òg aktivt i utarbeidinga av Personvernrådet sine retningslinjer og fråsegner. I rapporteringsåret var Datatilsynet særleg involvert i det pågåande arbeidet med retningslinjer for såkalla samtykk-eller-betal-modellar («pay or ok»).

Tilsynsmyndigheitene behandlar dessutan ei rekkje saker som gjeld innbyggarar og/eller verksemder etablerte i fleire land. I desse sakene krev personvernforordninga at tilsyna samarbeider. I november 2025 vedtok EU ei ny forordning om supplerande saksbehandlingsreglar for handheving av personvernforordninga i grensekryssande saker, forordning (EU) 2025/2518. Formålet er å effektivisere og harmonisere handhevinga av slike saker. Forordninga er EØS-relevant og trer i kraft i EU 2. april 2027. Sommaren 2026 sendte regjeringa ut ein høyring med forslag om å gjennomføre forordninga i norsk rett.

I rapporteringsåret blei Datatilsynet identifisert som tilsyn som saka rørde ved i 381 grensekryssande saker, ei auke frå 373 saker i 2024. Datatilsynet var leiande tilsyn i 50 saker i 2025, noko som er ein markant vekst samanlikna med 17 saker året før. Auken heng mellom anna saman med at 26 av sakene gjaldt klager mot SATS si praksis med å ta bilete av alle medlemmar. Desse klagene blir behandla samla og var framleis under handsaming på rapporteringstidspunktet.

Datatilsynet deltek òg i ei rekkje andre internasjonale forum. Dei mest sentrale er:

• Global Privacy Assembly – den største globale samanslutninga av datatilsynsmyndigheiter

• Nordisk samarbeid – årlege møte og løpande samarbeid med tilsynsmyndigheitene i Danmark, Finland, Færøyane, Island, Sverige og Åland

• International Working Group on Data Protection in Technology – eit forum for personvernspørsmål knytte til framveksande teknologiar

• Global Privacy Enforcement Network – deling av informasjon og koordinering av tilsynsaktivitetar

• AI Board Subgroup on AI Regulatory Sandboxes

• OECD Expert Group on AI, Data, and Privacy

Barn og unge

Datatilsynet har i fleire år prioritert arbeidet med personvern for barn og unge, og temaet har òg vore høgt prioritert i 2025. Særleg den raske digitaliseringa i skule og barnehage, med stadig fleire digitale hjelpemiddel og verktøy, kan gå ut over personvernet. Også fritida til barn og unge er i stor grad digitalisert. Barn og unge er ei gruppe som har særskilt vern etter personvernregelverket. Dei er sjølv ofte mindre medvitne om personvernutfordringane knytte til bruk av digitale tenester og er difor avhengige av at vaksne tek gode val på deira vegner.

I rapporteringsåret har Datatilsynet gitt innspel til fleire store høyringssaker, som forslag til lov om aldersgrenser i sosiale medium, lov om digitale tenester og lov om særskilt innsats mot negativ sosial kontroll og æresmotivert vald. I desember 2024 gav Datatilsynet høyringsinnspel til forslag om oppretting av individregister over barn i barnehagar og grunnskuleopplæring. Innspela bidrog til ein offentleg debatt og førte til at lovforslaget blei vesentleg modifisert. Sjølv om arbeidet med å gi høyringsinnspel ofte er tidkrevjande, viser dette at innspel frå Datatilsynet er viktige.

Som omtalt over, gjennomførte Datatilsynet i 2025 eit omfattande tilsyn med skulen i fleire kommunar. Eit sentralt funn var at fleire digitale læringsverktøy i grunnskulen blir tekne i bruk utan tilstrekkeleg vurdering på kommunenivå. Datatilsynet opplever at tilsynet har skapt stort engasjement og bidrege til å styrke kommunane si etterleving av regelverket.

I 2024 starta Datatilsynet eit tilsyn med sporingsverktøy på nettsider, og kontrollerte seks nettstader, mellom anna Alarmtelefonen for barn og unge. Her blei det avdekt at opplysningar blei delte med tredjepartar trass i lovnad om anonymitet. Kristiansand kommune fekk derfor eit lovbrotsgebyr på 250 000 kroner, sjå omtalen av «Sanksjonar» ovanfor. I rapporteringsåret utarbeidde Datatilsynet òg rettleiing som frårår bruk av barns personopplysningar til marknadsføringsformål.

Vidare har Datatilsynet delteke i fleire internasjonale samarbeid knytte til barn og unges personvern i 2025, mellom anna i International Age Assurance Working Group og i Personvernrådet sitt arbeid med aldersverifisering. Datatilsynet deltok òg i eit «sveip» arrangert av Global Privacy Enforcement Network (GPEN), saman med over 30 andre tilsynsmyndigheiter frå heile verda. Temaet for sveipet i 2025 var korleis appar og nettstader behandlar personopplysningar om barn. Datatilsynet retta særleg merksemda mot gratis nettenester som blir brukte av barn og unge i skulesamanheng. Funn frå arbeidet blir offentleggjorde i 2026.

Gjennom året har Datatilsynet òg bidrege aktivt i KS4 sitt SkoleSec-prosjekt om ei nasjonal vurdering av personvernkonsekvensar (DPIA) for Microsoft 365, og vore involvert i Forbrukertilsynet sitt nettverk for barns forbrukar- og personvern. Hausten 2025 blei Datatilsynet kopla på arbeidet til SIKT5 og Utdanningsdirektoratet med å etablere ei nasjonal støtteteneste for trygg bruk av digitale læringsverktøy. Datatilsynet har i tillegg samarbeidd tett med KiNS6 om oppfølging av kommunane etter tidlegare tilsyn.

Den regulatoriske sandkassa

I den regulatoriske sandkassa for personvernvenleg innovasjon og digitalisering tilbyr Datatilsynet verksemder dialogbasert rettleiing i innovasjons- og digitaliseringsprosjekt. For å auke nytteverdien og spreie kunnskap frå sandkassa, presenterer Datatilsynet læringspunkt frå prosjekta i sluttrapportar og annan rettleiing.

Sandkassa blei vesentleg vidareutvikla i rapporteringsåret. Datatilsynet endra både arbeidsformene, prosessen for å ta inn nye prosjekt og omfanget av rapportane. Målet har vore å leggje til rette for større variasjon både i korleis sandkasseaktivitetane blir gjennomførte, og i korleis læringspunkta frå prosjekta blir formidla. Datatilsynet har òg vurdert nye måtar å formidle funn frå sandkassa på, og korleis dei i større grad kan nytte funna frå sandkassa i den generelle rettleiinga.

I 2025 blei to sandkasseprosjekt avslutta: eitt med Akershus universitetssjukehus om bruk av ein fullmaktsløysing i helsesektoren, og eitt med Mobai m.fl. om juridiske vurderingar knytte til behandling av biometriske opplysningar til digital verifisering.

Ved utgangen av året hadde sandkassa åtte pågåande prosjekt, inkludert fem prosjekt i samarbeid med den regulatoriske sandkassa i Finanstilsynet om datadeling for å motverke økonomisk kriminalitet. Samarbeidet er unikt og innovativt i offentleg forvaltning, og har gitt svært gode resultat.

Eit sentralt mål med sandkassa er at erfaringane frå prosjekta kjem fleire til gode. Datatilsynet har derfor i 2025 mellom anna publisert sluttrapportar med tilhøyrande seminar og formidla informasjon om prosjekta via sin eigen podkast, SandKasten. Datatilsynet har òg presentert sandkassearbeidet for nasjonale og internasjonale aktørar.

Deling av data og kunstig intelligens

Bruk av KI og deling av data påverkar digitaliseringa i både offentleg og privat sektor, og kan gjere det mogleg å løyse samfunnsoppgåver betre og meir effektivt. Samtidig blir personvernet utfordra ved at KI-modeller er avhengig av store mengder data for å fungere, og økt datadeling kan gjere KI-system betre og meir treffsikre. Datatilsynet arbeider derfor for at datadeling og KI-bruk skjer på ein måte som varetek personvernet og skaper tillit hos innbyggjarane. Dette arbeidet har vore høgt prioritert i rapporteringsåret.

Mellom anna har Datatilsynet i 2025 utforska handlingsrommet for datadeling gjennom dei fem prosjekta i sandkassa retta mot deling av data for å motverke økonomisk kriminalitet, sjå omtala ovanfor. Tilsynet har òg samarbeida med Helsedirektoratet om bruk av KI i helsesektoren. Videre var datadeling hovudtema på Personverndagen – som tilsynet årleg arrangerer samen med Teknologirådet.

Trening av generativ KI i sosiale medium var ei viktig problemstilling i 2025. Datatilsynet har i denne samanhengen deltatt i det felleseuropeiske arbeidet med å gje innspel til dei store sosiale plattformselskapene sin bruk av slik KI. Datatilsynet har òg publisert rettleiing om kva KI-trening inneber og korleis brukarar kan reservere seg.

Datatilsynet har ei sentral rolle i forvaltningsapparatet etter den kommande KI-lova. I arbeidet med å førebu implementeringa av KI-forordninga i Noreg, har Datatilsynet samarbeidd tett med Nasjonal kommunikasjonsmyndigheit (Nkom) og Digitaliseringsdirektoratet (Digdir). Dei tre verksemdene har i fellesskap ansvar for å gi retteiing om kunstig intelligens og for etablering av ein regulatorisk KI-sandkasse. I rapporteringsåret inngjekk etatane ei samarbeidsavtale som set rammene for arbeidet.

Departementets vurderingar

Datatilsynet har eit breitt mandat og skal løyse mange oppgåver innanfor dei tildelte midla. Arbeidet krev god planlegging og klare prioriteringar. Digitaliserings- og forvaltningsdepartementet er godt nøgd med innsatsen Datatilsynet har lagt ned i rapporteringsåret. Aktivitetsnivået har vore svært høgt, og tilsynet har arbeidd godt med å tilpasse verksemda til sakstilfanget. Datatilsynet har òg medverka til å setje personvern, og særleg personvernet til barn og unge, på dagsordenen i ei rekkje samanhengar.

Saksmengda i Datatilsynet har auka kraftig dei siste åra. Sakene har òg blitt meir komplekse, mellom anna fordi fleire klager blir utforma ved hjelp av kunstig intelligens. Ei rekkje nye EØS-regelverk påverkar òg utviklinga på det digitale området, inkludert behandling av personopplysningar. Blir desse regelverka innførte i norsk rett, vil Datatilsynet få nye rettleiings- og tilsynsoppgåver. Sjølv om kvar oppgåve kan vere avgrensa, kan oppgåvene samla sett innebere ein betydeleg auke i arbeidsmengda. Departementet har forståing for at den store veksten i saksmengda er krevjande å handtere, og vil fortsette å ha merksemd på ressurssituasjonen i tilsynet. Samtidig er det viktig at Datatilsynet held fram det gode arbeidet med å effektivisere saksbehandlinga.

I 2023 bad departementet Direktoratet for forvaltning og økonomistyring (DFØ) om å gjennomføre ei evaluering av Datatilsynet. Evalueringa skulle støtte både tilsynet sine prioriteringar og organisasjonsutvikling, og departementet si styring av verksemda. Evalueringa, publisert i DFØ-rapport 2024:8 «Både vaktbikkje og førerhund? – En evaluering av Datatilsynet», viste at tilsynet gjer svært mykje godt arbeid innanfor dei tildelte ressursane. Samtidig peikte DFØ på at tilsynet i stor grad blir styrt av «innboksen» og må bruke ressursane klokt for å få mest mogleg ut av dei midla dei har. Departementet vurderer at Datatilsynet har arbeidd godt med dette i 2025, og at dei bevisst og målretta har nytta verkemiddel som gir størst mogleg effekt for flest mogleg. Departementet følgjer utviklinga i omfang og kompleksitet i tilsynet sine oppgåver og har ein god dialog med tilsynet om effektiv ressursutnytting.

1.3 Styring og kontroll i verksemda

Datatilsynet gjer i årsrapporten greie for at dei arbeider målretta med intern styring og kontroll som eit verktøy for å utnytte ressursane best mogleg. I årsrapporten peikar Datatilsynet mellom anna på funna i evalueringa som blei gjennomført av DFØ i 2024. DFØ peikte på at verksemda har vakse mykje dei seinare åra, men at organisasjonskulturen og støttesystema ikkje har utvikla seg i takt med oppgåvemengda, noko som mellom anna får konsekvensar for saksavviklinga. Hausten 2024 laga Datatilsynet ein plan for å følgje opp tiltaka i DFØ-rapporten. I rapporteringsåret har Datatilsynet mellom anna arbeidd vidare med organisasjonsutvikling, effektivisering av saksbehandlinga og styringssystemet sitt. Ved utgangen av 2025 var alle tiltak i planen sette i gang, og dei fleste var òg fullførte.

1.4 Framtidsutsikter

Datatilsynet peikar i årsrapporten på ei rekkje tilhøve som dei meiner vil påverke personvernet og tilsynet sitt arbeid i tida framover.

For det første viser Datatilsynet til den kraftige veksten i talet på saker tilsynet mottar, samtidig som sakene blir meir komplekse – delvis fordi mange klager er utforma ved hjelp av kunstig intelligens. Trass i omfattande arbeid med effektivisering av saksbehandlinga, er Datatilsynet bekymra for at dette ikkje vil vere nok til å møte den sterke auken i arbeidsmengda. Allereie i dag må viktige oppgåver som tilsyn og målretta rettleiing nedprioriterast. I tillegg trekkjer Datatilsynet fram at det er utfordrande å rekruttere og behalde kompetente medarbeidarar fordi personvernkompetanse er høgt etterspurd.

For det andre trekkjer Datatilsynet fram at nye EØS-regelverk på det digitale feltet vil prege tilsynet sitt arbeid betydeleg i åra framover. Datatilsynet vil få delt tilsynsansvar med andre etatar etter fleire kommande EØS-regelverk. For at rettleiing og handheving skal fungere godt, er det mellom anna avgjerande med tydeleg ansvarsfordeling og effektiv samhandling, noko som krev tilstrekkelege ressursar og kompetanse.

For det tredje trekkjer Datatilsynet fram at personvernet er under sterkt press frå både teknologisk utvikling, internasjonal politikk og aukande digitalisering. Store teknologiselskap samlar inn store mengder data om den enkelte, noko som særleg rammar barn og unge. Samtidig skapar geopolitiske spenningar og krav om meir overvaking nye utfordringar. Dette gjer det nødvendig for Datatilsynet å prioritere internasjonalt samarbeid, styrkje rettleiinga og arbeidet med barn og unge, og synleggjere verdien av eit sterkt personvern i eit stadig meir komplekst landskap.