Innleiinga til Kommunal- og moderniseringsdepartementet

Det blir i meldinga peikt på at vi lever i ei tid med rivande teknologisk utvikling. Det blir i meldinga peikt på at det er viktig at det blir sett klåre grenser for kor mykje informasjon verksemder og styresmakter kan samle inn om innbyggarane.

Internasjonalt personvernarbeid

Dei siste åra har det vore arbeidd med utvikling og modernisering av personvernregelverk i mange internasjonale fora. Både OECD, Europarådet og EU har gått gjennom sine reglar med mål om å fornye. Det arbeidet som får dei største konsekvensane for norsk personvernrett, er revisjonen av EU sitt personvernregelverk. Noreg har deltatt i arbeidet.

I desember 2015 blei det nådd politisk semje både om utkastet til ny generell personvernforordning og utkastet til direktiv om behandling av personopplysningar i justissektoren. Rådet, EU-parlamentet og EU-kommisjonen vedtok regelverka ved formelle avgjerder i april 2016. Noreg vil måtte gjennomføre både forordninga og direktivet i kraft av EØS-avtalen og Schengen-avtalen. Forordninga inneber at det må gjerast store endringar i norsk rett, både av den generelle personopplysningslova frå 2000 og i sektorspesifikt regelverk. Det vil gjelde ein to års gjennomføringsfrist for EU-medlemslanda etter at forordninga er formelt vedtatt i EU. Same fristen vil også gjelde for Noreg om ikkje noko anna blir fastsett.

Det er fleire grunnar til at EU no har revidert personvernregelverket sitt. Sjå omtale i meldinga.

Det går fram av meldinga at regjeringa meiner den nye forordninga om behandling av personopplysningar er eit regelverk som gjev eit godt personvern. På mange område er forordninga ei vidareføring av gjeldande norsk regelverk og ei regelfesting av norsk praksis. På andre område vil vi få nye reglar, sjå omtale i meldinga.

Regjeringa tek sikte på å utvikle eit norsk personvernregelverk som er lett tilgjengeleg for borgarane, og som sikrar eit sterkt personvern. Samstundes vil handlingsrommet i EØS-retten og Schengen-reglane bli nytta for å finne løysingar som sikrar norske interesser der dette er naudsynt.

Det blir i meldinga peikt på ei viktig avgjerd i EU-domstolen, den såkalla Safe Harbor-avgjerda. Dommen inneber at personopplysningar ikkje lenger kan overførast mellom EU/EØS-land og USA med grunnlag i Safe Harbor-avtalen. Sjå omtale i meldinga.

Kommersiell bruk av personopplysningar

Personopplysningar og annan informasjon om forbrukarar er ei raskt veksande handelsvare, og kommersiell innsamling av personopplysningar i Noreg er aukande.

Den behandlingsansvarlege verksemda har plikt til å informere brukarane om vilkåra for behandling av personopplysningar. Likevel er det ei utfordring at desse vilkåra ofte er utilgjengelege og uklåre. Personopplysningslova set krav om at eit samtykke skal være informert for at behandling av personopplysningar skal vere tillate. Det er problematisk at ein gjev frå seg stadig fleire og meir inngripande opplysningar utan å vere seg bevisst kva for ein krets desse opplysningane blir spreidde til, og korleis dei blir nytta.

I november 2015 gav Datatilsynet ut ein rapport om korleis kommersiell bruk av personopplysningar utfordrar personvernet.

Kommersiell bruk av personopplysningar var tema i Meld. St. 27 (2015–2016) Digital agenda for Norge. IKT for en enklere hverdag og økt produktivitet, som regjeringa la fram i april 2016. I meldinga gjev regjeringa mellom anna uttrykk for at offentlege styresmakter må vere tydelege på dei krava som blir stilte for å sikre personvernet til brukarane, og at det offentlege må gå føre med gode døme på korleis desse krava kan bli innfridde. Det blir i meldinga peikt på at det for å finne gode løysingar er naudsynt med eit samarbeid mellom personvern- og forbrukarstyresmaktene, og å vurdere både regulerande og tekniske tiltak. Det må også arbeidast med internasjonale løysingar.

Justissektoren

Politiet behandlar ei stor mengd personopplysningar i eigne register. Samstundes har dei tilgang til og innsyn i ei rekke databasar og register hos andre.

Dei siste åra har det blitt fremma ei rekke forslag i justissektoren som rører personvernet. Grunngjevinga for mange av forslaga er nedkjemping av terror. Mange av tiltaka grip inn i vernet av borgarane sin frie kommunikasjon. Datatilsynet har fleire gonger fremma forslag om at det blir nedsett ein personvernkommisjon innanfor justissektoren.

Det digitale sårbarhetsutvalget la i november 2015 fram utgreiinga si. Ikkje sidan rapporten til Personvernkommisjonen i 2009 har ei offentleg utgreiing innehalde ein så omfattande og god analyse av personvern opp mot andre samfunnsinteresser. Fleire stader i utgreiinga har utvalet peikt på at ein må sikre balansen mellom personvern og eit sikrare samfunn.

Det blir i meldinga peikt på at det er viktig at politiet er i stand til å avdekke, motverke og iretteføre alvorleg kriminalitet. Personopplysningar kan vere eit av fleire nyttige verkemiddel i dette arbeidet. Samstundes er det viktig at det blir gjennomført grundige utgreiingar før innføring av personverninngripande lovgiving eller tiltak i justissektoren.

Behandling av personopplysningar i kommunane

Kvar dag behandlar norske kommunar store mengder personopplysningar om innbyggarane sine. Mykje av denne informasjonen er sensitiv informasjon om helsesituasjonen og er naudsynt for spesialtilpassa tilbod av ulike slag. Det blir i meldinga peikt på at slike opplysningar treng strenge krav til vern. Personopplysningslova med forskrifter gjev eit godt grunnlag og utgangspunkt for dette vernet.

Datatilsynet har i mange år arbeidd med informasjonstryggleik i kommunane. Erfaring tyder på at dette er eit område mange finn svært vanskeleg. Skal ein få eit godt grep om dette arbeidet, må det ha forankring i leiinga i kommunen og vere ein del av det daglege arbeidet.

For kommunar som ikkje har nok ressursar sjølve, kan det vere ei løysing å sette IKT-tenester ut til ein ekstern leverandør, til dømes ei skyteneste. Kommunen må vurdere om det er lovleg å legge opplysningane i skya, og vege konsekvensane og risikoen opp mot fordelane med skytenesta.

Kommunal- og moderniseringsdepartementet la i april 2016 fram ein nasjonal strategi for bruk av skytenester som mellom anna drøftar korleis det offentlege kan utnytte slike tenester. Også Datatilsynet kan gi gode råd til kommunar som ønsker å bruke skytenester.

Datatilsynet sitt arbeid over fleire år har avdekt at det er store manglar i både informasjonstryggleiken og internkontrollsystema i norske kommunar. Datatilsynet har nytta ulike verkemiddel i arbeidet for å betre etterlevinga av reglane.

Datatilsynet har innleidd eit samarbeid med KS for å styrke kunnskapen om og kompetansen på arbeid med informasjonstryggleik i kommunane. Departementet støttar Datatilsynet og kommunane i det viktige arbeidet for å betre informasjonstryggleiken og internkontrollen i norske kommunar.

Merknader frå Kommunal- og moderniseringsdepartementet til Datatilsynet si årsmelding

I meldinga blir det vist til at Datatilsynet i 2015 har arbeidd målretta for å betre personvernet i samfunnet. Datatilsynet har i 2015 særleg arbeidd med personvern innanfor følgjande område: justissektoren, barn, skule og utdanning, helse og velferd, samt digitalisering i offentleg sektor.

I tillegg har Datatilsynet hatt to prioriterte prosjekt i 2015: å førebu seg på vedtakinga av EU si nye personvernforordning og å kartlegge korleis personopplysningar blir brukte kommersielt. Departementet er glad for at Datatilsynet sett kommersiell bruk av personopplysningar på dagsordenen.

Barn, skule og utdanning

Datatilsynet har dei siste åra avdekt at rutinane for å sikre barn sitt personvern i barnehagar og skular gjennomgåande er mangelfulle. Bruken av elektroniske og nettbaserte tenester i opplæringssektoren vil auke ytterlegare i åra som kjem. Barn og unge er slik sett ei ekstra sårbar gruppe, sidan dei ikkje kan samtykke til all registreringa sjølve.

Departementet ser behovet for eit kunnskapsløft om personvern i opplæringssektoren. Departementet er difor positiv til Datatilsynet sitt arbeid for ei bevisstgjering om personvern i barnehagar, grunnskular og vidaregåande skular.

Digitaliseringa i offentleg sektor

Det blir i meldinga vist til at digitaliseringa i offentleg sektor er komen langt, og at stadig nye tenester blir tilbydde i digital form. Datatilsynet merker seg at det framleis er viktig å følgje arbeidet med digitalisering tett, slik at tilsynet kan påverke dei riktige aktørane og sjå til at personvernet blir tatt vare på.

Datatilsynet peiker på at digitalisering av offentlege tenester skaper nye personvernutfordringar, samstundes som det gjev moglegheiter for å bygge personvern inn i løysingane. Departementet er opptatt av at arbeidet med innebygd personvern blir ført vidare, og at personvern blir ein naturleg del av utviklinga i all offentleg digitalisering.

Vidare peiker Datatilsynet på at ei utfordring ved digitaliseringa i offentleg sektor er tilrettelegging for god informasjonsflyt mellom verksemder, samstundes som personopplysningar blir trygga.

Datatilsynet fann i meldingsåret at det var eit gjennomgåande problem at mange offentlege verksemder ikkje har tilfredsstillande rutinar for å oppfylle pliktene i personopplysningslova. Datatilsynet kunne ikkje fastslå signifikante forskjellar mellom stat og kommune, regionale forskjellar eller forskjellar på grunn av storleiken til verksemdene. Likevel meiner tilsynet å kunne sjå at verksemder med personvernombod gjennomgåande tok betre vare på personvernet og pliktene i personopplysningslova. Det går fram av meldinga at departementet merker seg utfordringane Datatilsynet peiker på, og vil arbeide for å fremme gode personvernløysingar og rutinar i offentleg sektor.

Helse og velferd

Helse- og velferdssektoren er ein sektor som behandlar mykje personintensiv informasjon.

Datatilsynet peiker på at sektoren er gjenstand for store forandringar, og at desse skjer i eit raskt tempo. Vidare er det ei utfordring at helse- og omsorgstenesta er prega av mange aktørar og fleire ulikt organiserte verksemder med forvaltningsansvar og avgjerdsmyndigheit. For å sikre at helseføretaka overheld pliktene sine etter lova og tek vare på personvernet, blir det i meldinga peikt på at det er viktig at ansvarsforholda mellom dei ulike verksemdene er tydeleg avklarte.

Ei anna aktuell utfordring Datatilsynet trekker fram, er den auka utvekslinga av helseopplysningar som følgje av helse- og omsorgsreforma. Departementet meiner at informasjonsdeling til beste for den enkelte pasient utvilsamt er eit gode, men er samstundes einig med Datatilsynet i at det er ei utfordring å sjå til at slik informasjonsdeling ikkje fører til utilsikta spreiing av sensitive opplysningar. Departementet vil halde fram arbeidet med å fremme gode personvernløysingar i helse- og velferdssektoren.

Personvernombodsordninga

Det blir i meldinga vist til at personvernombodsordninga er eit viktig verkemiddel for å auke verksemders kjennskap til rettar og plikter på personvernområdet. Den noverande personvernombodsordninga er frivillig og gjev verksemder som vel å ha ombod, fritak frå meldeplikta etter personopplysningslova § 31. Departementet synest såleis det er positivt at talet på personvernombod i Noreg kontinuerleg aukar, og likeins at det blei oppretta 38 nye personvernombod i løpet av meldingsåret.

Datatilsynet meiner å kunne sjå at verksemder i både offentleg og privat sektor som har personvernombod, gjennomgåande både tek betre vare på personvernet og etterlever pliktene i lova betre enn andre. Departementet synest dette er ein interessant observasjon, særleg i lys av at ordninga med personvernombod blir ført vidare, og jamvel blir utvida, i EU si nye personvernforordning. Ordninga blir mellom anna obligatorisk for offentlege verksemder og for verksemder som handsamar sensitive personopplysningar i stor skala. Landa kan dessutan bestemme at også andre verksemder skal ha personvernombod.

Departementet er positiv til den komande utvidinga av personvernombodsordninga og vil støtte innsatsen til Datatilsynet for eit betre personvern i norske verksemder.

Internasjonalt arbeid

I 2015 har Datatilsynet halde fram arbeidet sitt i sentrale EU-organ, både som observatør og aktiv deltakar. Datatilsynet har mellom anna vore representert på alle møta i Artikkel 29-gruppa og undergruppene Technology Subgroup og Future of Privacy Subgroup.

Datatilsynet har også vore ein aktiv deltakar på ei rekke andre nordiske og internasjonale samarbeidsarenaer, inkludert Schengen-samarbeidet, den internasjonale personvernkonferansen og andre samarbeidsforum for personvernmyndigheiter. Datatilsynet har dessutan halde fram samarbeidet med og den faglege støtta til personvernstyresmakta i Makedonia.

Det går fram av meldinga at departementet er tilfreds med at Datatilsynet markerer seg på den internasjonale arenaen og bidreg til internasjonale løysingar for eit godt personvern. Som Datatilsynet peiker på, har tilsynet si internasjonale verksemd også vist seg verdifull på andre måtar, mellom anna ved å vere ein god samtalepartnar for norske styresmakter i spørsmål om den nye EU-forordninga.

Merknader frå Kommunal- og moderniseringsdepartementet til Personvernnemnda si årsmelding

Personvernnemnda er klageorgan for vedtak fatta av Datatilsynet.

Totalt avgjorde Personvernnemnda 16 saker i meldingsåret. Vedtaka til Datatilsynet blei heilt eller delvis endra i ni av sakene. Nemnda framhevar at fleire av sakene har vore komplekse, og at dei har blitt behandla over fleire nemndmøte. Departementet følgjer utviklinga og vurderer situasjonen i samband med det årlege budsjettarbeidet.

Det blir i meldinga vist til at spennvidda i sakene til Personvernnemnda er stor. Samstundes var det ei rekke tema som gjekk igjen, som bruken av loggdata og plassering av behandlingsansvar. Eit tema Personvernnemnda trekker fram som særleg aktuelt, er ilegging av gebyr for brot på personopplysningslova, som er tema i fleire av sakene som vil bli behandla i 2016. Departementet synest dette er ein interessant observasjon, særleg i lys av at EU si personvernforordning inneheld nye reglar om svært strenge administrative sanksjonar for brot på personvernreglane.

Funksjonstida til den noverande Personvernnemnda går ut i desember 2016. Den nye samansetjinga av Personvernnemnda er klar hausten 2016.

Det vil i åra som kjem bli gjort ei grundig vurdering av kva for konsekvensar personvernforordninga vil få for Personvernnemnda, inkludert om forordninga stiller krav til endring i oppgåvene, samansetjinga eller funksjonstida til nemnda.

Administrasjon og ressursar

Budsjettet og rammevilkåra til Datatilsynet

Det går fram av meldinga at Datatilsynet i 2015 hadde ei budsjettramme på kr 37 262 000, ein reduksjon på om lag 1 mill. kroner frå 2014. Når ein legg til overføringar frå 2014 og tilleggsløyvingar, hadde Datatilsynet kr 40 959 000 til disposisjon i 2015. Av tilsynet sine utgifter utgjorde 74 pst. utgifter til lønn og 26 pst. utgifter til drift. Datatilsynet hadde i meldingsåret 43 faste stillingar og har vore leia av Bjørn Erik Thon (åremål frå 2010). I tilsynet sett under eitt er det ei relativt jamn kjønnsfordeling, med 56 prosent kvinner og 44 prosent menn.

Datatilsynet gjennomførte totalt 54 tilsyn i meldingsåret. Tilsynet grunngjev nedgangen frå året før med utsetjingar, omprioriteringar og noko sjukefråvær.

I 2015 blei det registrert 1 374 nye saker i Datatilsynet, noko som er ein liten nedgang samanlikna med året før. Ifølgje Datatilsynet synest 2015 å vere eit ganske normalt år i arbeidsmengde.

Departementet er tilfreds med at aktivitetsnivået i Datatilsynet er høgt, trass i knappe ressursar. Ressursutnyttinga og prioriteringane i meldingsåret har etter departementet sitt syn vore gode. Departementet vil særleg framheve viktigheita av det internasjonale arbeidet til tilsynet.

Budsjettet og rammevilkåra til Personvernnemnda

Personvernnemnda hadde i 2015 ei budsjettramme på kr 1 898 000 og har i meldingsåret brukt kr 1 711 045.

Personvernnemnda har hatt 13 møte i meldingsåret. Av dei 17 klagesakene nemnda tok imot i 2015, var fire ferdigbehandla ved utgangen av året. I tillegg avgjorde nemnda 12 saker frå 2014. Saksmengda i rapporteringsperioden har vore stor, og fleire av sakene har vore prinsipielle. Nemnda har halde to ekstra møte for å ferdigstille saker. Gjennomsnittleg saksbehandlingstid var 4–5 månader. Personvernnemnda hadde 13 uferdige saker ved slutten av 2015.

Departementet ser at nemnda jobbar for å redusere saksbehandlingstida. Det går fram av meldinga at departementet vurderer at Personvernnemnda har brukt løyvinga på ein god måte og gjennomført oppgåvene sine tilfredsstillande i 2015.