1 Datatilsynets årsmelding 2012

Innledning ved direktøren

Året 2012 var et godt år for Datatilsynet. I 2011 la vi grunnlaget for vårt strategiske arbeid for flere år fremover ved å lansere en ny overordnet strategi og en egen strategi for helseområdet. I meldingsåret har vi fortsatt arbeidet med å utarbeide strategier for både justissektoren og vårt internasjonale engasjement, og vi har rettet større oppmerksomhet mot hvordan vi gjennomfører vårt tilsynsarbeid og saksbehandlingen. Debatten rundt personvern har også vært god.

I 2012 har vi økt antallet tilsyn med 20 prosent, vi har fått bedre struktur på behandlingen av enkeltsaker og vi har profesjonalisert veiledningsarbeidet ytterligere. Vi ser også at det strategiske arbeidet fra 2011 gir resultater. Det er enklere å prioritere riktig med en god strategi som bunnplanke.

Teddy Roosevelt sa en gang: «Speak softly and carry a big stick, and we will go far.» Dette sitatet kjennetegner vår måte å jobbe på. Vi opplever at omverdenen ser på Datatilsynet som en attraktiv, strategisk samarbeidspartner. Samtidig viser vår forvaltningspraksis at vi bruker strenge sanksjoner når det er riktig, og vi legger stor vekt på å utøve ombudsrollen vår. Kritikken av flere av Justisdepartementets forslag til lovendringer har vært hard og berettiget, og vi har påpekt at vi ikke må miste hodet etter de tragiske hendelsene 22. juli 2011. Det har også vært viktig å kommunisere utad at Datatilsynet ønsker å spille på lag med og ligge i forkant av den teknologiske utviklingen. Og vi beskyldes sjeldnere og sjeldnere for å ha skyld i at pasientjournaler fortsatt kjøres i taxi, eller sendes med telefaks.

En viktig strategisk satsing er å sette den enkelte borger i stand til å ivareta sitt eget personvern og gjøre de som registrerer og bruker personopplysninger så gode at folk ikke trenger å klage til oss. Våre nye nettsider ble lansert i januar 2012. De er bygd opp nettopp med dette for øye; selvhjelp og god informasjon til borgere og behandlingsansvarlige. Vi legger stor vekt på vårt veiledningsarbeid, men mener samtidig at nettsidene i mange tilfeller er en vel så god kilde til informasjon. Det er derfor positivt at vi ser en nedgang i antall henvendelser på telefon og e-post, og vi tolker dette som et signal på at vårt digitale førstevalg virker.

På tampen av 2012 la regjeringen fram en stortingsmelding om personvern. Den gir en god gjennomgang av personverntilstanden i ulike sektorer, og det er vårt håp at den vil lede til en bred debatt om personvernets kår i dagens samfunn. Dette er påkrevet. Den største trusselen mot personvernet er de mange små inngrep, registreringer og overvåkingstiltak som til sist kan ende med at vi mister den friheten vi setter så høyt; frihet til å reise hvor vi vil, til å bruke penger på hva vi vil og til å kommunisere med hvem vi vil, uten frykt for at noen ser oss i kortene.

Bjørn Erik Thon

Direktør

1.1 Datatilsynet i en teknologisk tid

At dagens teknologiutvikling går i rasende fart er ingen overdrivelse. Vi konsumerer og bruker data i et voldsomt tempo. Hele 90 prosent av dagens digitale data er generert bare i løpet av de to siste årene og datamengden er antatt å øke med 40 prosent per år framover. I løpet av det minuttet det har tatt å bla seg fram til denne artikkelen og lese det som er skrevet til nå er det lastet ned 47 000 apper, lagt ut 30 timer video på YouTube, sendt 204 millioner e-poster og gjort to millioner søk på Google.

Denne utviklingen treffer i aller høyeste grad Datatilsynet. Det pågår knapt en politisk diskusjon uten at det har en side til personvernet. Bompenger, elektroniske billetter, GPS i arbeidslivet, helsejournaler og helseregistre, sosiale medier, søkemotorer, terrortrusler, digitalisering av offentlig sektor, kameraovervåking og betalingskort; alt har en personvernmessig konsekvens.

1.1.1 Om Datatilsynet

Personvern er et begrep med mange nyanser og ulike forståelser. Det finnes derfor ikke én presis og god definisjon på hva personvern er, men enkelt sagt handler personvern om retten til et privatliv og retten til å bestemme over egne personopplysninger. Personvern er ikke bare en viktig menneskerettighet som skal sikre hensynet til den enkeltes personlige integritet og privatliv. Personvern er også viktig for å sikre felles goder i et demokratisk samfunn. Et dårlig ivaretatt personvern vil sette demokratiet i fare ved at borgerne begrenser sin deltakelse i åpen meningsutveksling og politisk aktivitet. Den enkelte kan frykte at opplysninger om personlige forhold kan bli trukket frem og gjort til allmenn oppmerksomhet. Man kan også sette begrensninger på seg selv, fordi man frykter at myndighetene registrerer og lagrer opplysninger om ens ferdsel, interesser, uttrykk for holdninger eller kommunikasjon med andre.

Datatilsynets rolle er å passe på at personvernet ivaretas. Vi skal ivareta enkeltpersoner som mener at deres personvern er krenket, og vi skal passe på at de som har plikter etter personopplysningsloven følger disse.

Datatilsynet manøvrerer i et krevende landskap. Tilsynet består av drøye førti kloke hoder som er veldig bevisste på at vi sammen, og ved å jobbe riktig, kan få til mye godt personvern for norske borgere, samt sørge for at regelverket etterleves bedre enn i dag. Med begrensede ressurser er det imidlertid viktig at Datatilsynet har en god strategi for sitt arbeid. Vi har grovt sett fire virkemidler til disposisjon; behandling av enkeltsaker, kontroller/tilsyn, veiledning av publikum og de som behandler personopplysninger, samt informasjon og bruk av ombudsrollen for å skape debatt og påpeke utfordringer for personvernet. Det er viktig å bruke de ulike virkemidlene riktig. På enkelte områder er utstrakt tilsynsvirksomhet sentralt, på andre områder er veiledning det viktigste, mens det på atter andre områder er viktig å drive informasjonsarbeid.

1.1.2 Prioriterte områder

Datatilsynet må være veldig tydelig på hva som prioriteres. I meldingsåret har følgende områder vært høyest prioritert: Justissektoren, arbeidsliv, økonomi og finans, helse og omsorg, Internett og sosiale medier, samt samferdsel. Grunnen til dette er ganske enkelt at vi ut fra en risikovurdering fant at det er i disse sektorene personvernet er under størst press. Det er de samme prioriteringene som i 2011, og etter vår vurdering har det vært viktig å beholde de samme områdene over minst to år. Samtidig har prioriteringer en negativ side. Viktige områder som for eksempel skole- og utdanningssektoren, registrering av personopplysninger ved bruk av fordelskort og personvern i idretten har for eksempel ikke vært prioritert i 2012.

Datatilsynet har i meldingsåret jobbet for å få opp antallet gjennomførte tilsyn. 2011 var preget av utredningsarbeid og ny strategi, og det var nødvendig å prioritere dette på bekostning av antall tilsyn. I 2012 har antallet derimot økt igjen. Vi er imidlertid mer opptatt av å gjennomføre de riktige tilsynene i de riktige sektorene framfor et visst antall tilsyn. Litt forenklet sagt kan Datatilsynet lett gjennomføre 50 tilsyn på en uke dersom vi ville se nærmere på merkingen av kameraovervåking i de største byene våre, men dette er neppe den beste måten å bruke ressursene på. Et riktig gjennomført tilsyn gir positive ringvirkninger i bransjen og gir bedre regeletterlevelse totalt.

1.1.3 Internasjonalt arbeid

Internasjonalt arbeid er viktig for tilsynet. I januar 2012 la EU-kommisjonen fram et forslag til ny personvernforordning som, når den blir vedtatt, blir til norsk lov. En av hovedhensiktene med forslaget er at håndhevingen av regelverket på tvers av de enkelte nasjonene skal blir bedre. For å lede og koordinere dette arbeidet foreslås det opprettet et eget organ, European Data Protection Board. Det er fortsatt uklart om Norge får en plass i dette organet, og vi har forsøkt å gjøre det politiske miljøet og forvaltningen oppmerksom på hvor viktig det er å jobbe for at Datatilsynet blir med. Den nordiske kanalen er viktig i dette arbeidet. Men mest av alt er det viktig at politikere på alle nivåer og i alle partier bruker sitt internasjonale nettverk for å gi Datatilsynet en plass rundt det bordet hvor beslutninger tas.

1.1.4 Mest kompetente på personvern

Vi i Datatilsynet må til enhver tid sørge for å ha god nok kompetanse til å matche kompetansen hos næringsdrivende, offentlige etater og andre vi fører tilsyn med. En av våre målsetninger er å være Norges mest kompetente fagmiljø på personvern. Andre virksomheters kompetanse på personvern blir stadig bedre, og de fleste store bedrifter, organisasjoner og offentlige etater har i dag ansatt personverneksperter. Dette ser vi først og fremst på som en fordel fordi det er lettere å skape forståelse hos folk med kompetanse på området.

Vi har også som målsetning å gjøre andre gode på personvern. I dette ligger en enkel realitet, nemlig at førti mennesker alene ikke klarer å gjøre jobben med å sørge for at lovverket etterleves. Manglende etterlevelse av lovverket skyldes oftere mangel på kunnskap enn manglende vilje, og bedre kunnskap hos eksterne parter fører til bedre etterlevelse av regelverket. En viktig del av denne satsingen er å ha proaktiv kontakt med eksterne aktører. Vi gjennomfører årlig en rekke kontaktmøter og dialogmøter for å fremme personverntanken, lære av andre og finne sammen i godt samarbeid.

Ikke minst er det viktig å ha god kontakt med forsknings- og utviklingsmiljøene. For to år siden pekte vi ut dette som en strategisk satsing, og det har gitt resultater. Vi har bygd ut kontaktnettet med sentrale forsknings- og utdanningsinstitusjoner, vi har vært veiledere på studentoppgaver og vi ser at interessen for å skrive om personvern både på master- og doktornivå er økende.

Men, kompetanse har også en side til det vi startet dette kapittelet med, nemlig teknologi. Datatilsynets ansatte må være godt skolert på teknologi. Vi må fange opp teknologitrender tidlig og ha tett dialog med de sentrale teknologidriverne nasjonalt og ikke minst internasjonalt. Teknologi går inn i alt vi gjør, innen alle sektorer. Her må Datatilsynet ligge i forkant. Og vi må sørge for at teknologien tas i bruk for å fremme personvernet. I denne sammenhengen blir innebygd personvern viktig. Ved å bygge personvernet inn i de teknologiske løsningene fra starten av, oppstår det en vinn-vinn-situasjon for alle parter; brukerne får personvernvennlige løsninger, mens virksomhetene slipper kostnadene ved å måtte bake inn gode løsninger i etterkant.

1.2 Tema

1.2.1 Et sporbart arbeidsliv

Fra du kommer på jobb til du går for dagen legger du igjen spor. Du fanges opp av overvåkingskameraer utenfor jobben, du drar adgangskortet for å komme inn hoveddøra eller for å bevege deg innad i bygget, du stempler deg inn i timeregistreringssystemet, det loggføres hva du gjør i saksbehandlersystemet og du drar kantinekortet når du kjøper lunsj. Det registreres opplysninger om hvor du er, hvem du har ringt, hvem du har skrevet e-post til og hva som blir skrevet. Listen er lang.

Datatilsynet erfarer en økning i bruk av personopplysninger i arbeidslivet. Opplysningene registreres til mange ulike formål, og bruksområdet utvides. Registreringen kan begrunnes i behovet for å planlegge arbeidet, effektivisering, ressursfordeling, ulike krav til dokumentasjon, samt hensynet til helse, sikkerhet og miljø. I praksis er det ofte slik at ett og samme sett av opplysninger er velegnet for flere formål. Hensikten med kameraovervåking kan for eksempel være å trygge sikkerheten til de ansatte. Opplysninger fra det samme kameraet kan imidlertid også benyttes av arbeidsgiveren for å kontrollere om noen av de ansatte tar for lange pauser eller gjør noe annet som arbeidsgiveren finner grunn til å holde et årvåkent øye med.

Økningen i omfanget av registreringer henger også sammen med utviklingen og bruken av ny teknologi som har endret organiseringen av arbeidet og arbeidsoppgavene. Ny informasjonsteknologi har lagt til rette for en mer fleksibel arbeidshverdag og mer selvstendige og autonome arbeidstakere. Samtidig medfører innføringen av systemer med en økt detaljregistrering at det er forholdsvis enkelt å systematisere, sammenstille og analysere opplysninger om arbeidstakerne. Utviklingen har slik åpnet for teknologi som muliggjør overvåking og kontroll av ansatte i et helt annet omfang enn tidligere. Eksempler på slik teknologi er smarttelefoner, håndholdte datamaskiner (PDA-er), geografiske sporingssystemer (GPS) og ulike digitale prestasjonsmålingsverktøy.

1.2.1.1 Mange henvendelser fra publikum

Spørsmål relatert til arbeidsliv utgjør den største andelen av publikumshenvendelsene til Datatilsynet. I 2012 utgjorde arbeidslivsspørsmål 15 prosent av den totale mengden e-posthenvendelser til tilsynet. Henvendelsene var hovedsaklig konsentrert omkring bruk av kameraovervåking, GPS, lydopptak, kontrolltiltak og bilder, innsyn i e-post og personalmapper.

1.2.2 Arbeidshverdagens elektroniske spor

I 2012 utarbeidet Datatilsynet rapporten «En vanlig dag på jobb – arbeidshverdagens elektroniske spor». Hensikten med rapporten har vært å illustrere hvordan registreringstrykket i deler av yrkeslivet ser ut, samt å gi økt kunnskap om og skape bevissthet rundt hvordan personopplysninger om arbeidstakere samles inn og benyttes generelt i Norge i dag. I rapporten så vi nærmere på arbeidshverdagen til tre ulike yrkesgrupper; bussjåfører, hjemmesykepleiere og saksbehandlere. Vi gjennomførte intervjuer med representanter for ledelsen og de ansatte (som også var tillitsvalgte) ved to arbeidsplasser innenfor hver av de tre valgte yrkesgruppene.

Målet med undersøkelsen var å få en mest mulig fullstendig oversikt over alle typer spor som den ansatte legger igjen i løpet av en vanlig arbeidsdag. Eksempler på slike spor kan være lokasjonsdata om hvor en ansatt har vært, logger etter bruk av adgangskort eller opptak fra kameraovervåkingen.

Med utgangspunkt i beskrivelsen av seks vanlige arbeidsdager er det noen observasjoner som peker seg ut. Vi ønsker å trekke frem enkelte av disse.

1.2.2.1 Vanskelig å holde oversikt

Intervjuene viste klart at det er vanskelig for de ansatte å holde oversikt over hvilke personopplysninger som behandles om dem. En mulig grunn til dette er at det ofte er et betydelig antall ulike systemer som registrerer opplysninger. Et annet viktig moment er at det for mange av systemene slett ikke er opplagt hva som registreres eller om det registreres noe i det hele tatt. Et eksempel på dette er når man drar adgangskortet eller surfer på Internett. Loggingen av denne typen elektroniske spor er ikke noe den ansatte selv kan se. Det kan da være vanskelig å få oversikt over hvilke opplysninger som registreres til hvilke formål, og hvem som har tilgang til opplysningene.

Usikkerheten i intervjuene kan tyde på at de ansatte ikke har fått god nok informasjon om systemene. Det stilles krav i både arbeidsmiljøloven og personopplysningsloven om at arbeidstakerne skal ha dekkende informasjon om hvilke personopplysninger som behandles, og hva de skal brukes til. For å kunne være sikre på hva som skjer, er de ansatte avhengige av dekkende informasjon og tillit til arbeidsgiveren.

Det kan være krevende for både arbeidsgiveren og arbeidstakeren å gi, samt få, fullgod informasjon. Mengden opplysninger gjør dette spesielt utfordrende. Retten til informasjon er imidlertid avgjørende for at den enkelte skal kunne gjøres i stand til å ivareta egne rettigheter etter loven. Dette gjør seg særlig gjeldende når det er lite intuitivt hva som faktisk skjer i de ulike prosessene som etterlater elektroniske spor.

I tillegg til at det er vanskelig å ha oversikt over hvilke opplysninger som lagres, er det også lite intuitivt hvor lenge opplysningene blir lagret. Intervjuene avdekket stor usikkerhet blant både tillitsvalgte og ledere knyttet til hvor lenge opplysningene faktisk blir lagret i de ulike systemene.

1.2.2.2 En loggført arbeidsdag

I løpet av en arbeidsdag legger arbeidstakeren igjen en lang rekke spor. Sporene finnes i flere forskjellige systemer og de gir ulike former for informasjon. Inntrykket etter intervjuene er at en arbeidsdag i stor grad lar seg rekonstruere i ettertid. Hvor langt tilbake det er mulig å rekonstruere, er mer usikkert. Noen elektroniske spor slettes etter kort tid, andre blir liggende lenge, og noen opplysninger er ikke tenkt slettet i det hele tatt.

Av de tre yrkesgruppene vi så nærmere på i forbindelse med rapporten, er det bussjåførene som legger igjen den største mengden elektroniske spor. Med innføring av sanntidssystem og kjøretøycomputere i bussen kan arbeidsgiveren følge med på om sjåførene følger oppsatte rutetider og om de kjører bussene på en forsvarlig og ønskelig måte. Rutebusselskapene opererer i et anbudsmarked hvor marginene for å vinne neste anbudsrunde er små. Flåtestyring er påkrevd for å delta i anbudskonkurranser om busstilbudet. Tidsplanene er til dels svært strikte og forsinkelser på ruta genererer bøter fra oppdragsgiveren til busselskapet. Bussjåførene mente systemet bidro til å gi en stressende arbeidshverdag. Samtidig så de også positive sider ved systemet. I forbindelse med klager fra for eksempel kunder kunne det oppleves som en trygghet at man kan benytte loggdata fra kjøretøycomputeren eller sanntidssystemet for å tilbakevise urettmessige klager. Sjåførene mente også at systemene kunne bidra til å dokumentere ovenfor arbeidsgiveren og oppdragsgiveren at de estimerte rutetidene ikke er mulige å overholde.

Bruk av flåtestyring har endret arbeidshverdagen i mange yrkesgrupper, ikke bare i transportbransjen, men også innenfor blant annet kommunal hjemmehjelp, logistikk, renhold og elektrotjenester. Arbeidstakere som før utførte sine arbeidsoppgaver relativt fritt «ute i felten», kan nå bli fulgt i detalj av arbeidsgiveren på lang avstand.

1.2.2.3 Bruk av opplysningene til nye formål

Manglende sletting og gjenbruk av opplysninger til nye formål, skaper utfordringer for personvernet. Datatilsynet har i et stort antall saker avdekket systematiske brudd på regelverkets krav om sletting. Opplysninger beholdes i mange tilfeller på ubestemt tid og slettes kun når praktiske hensyn tilsier det. Lagring av data har blitt billigere og billigere, noe som fører til at det ofte er dyrere og mer ressurskrevende for virksomheten å etablere tilfredsstillende sletterutiner, enn å lagre opplysningene videre.

Et grunnleggende prinsipp i personvernlovgivningen er at personopplysninger ikke skal lagres lenger enn nødvendig for å gjennomføre formålet med behandlingen. Når formålet er oppfylt skal opplysningene slettes. Ofte argumenteres det med at man ønsker å oppbevare opplysningene fordi de kan komme til nytte senere, uten at man nødvendigvis har klart for seg hva man senere skal benytte opplysningene til. Prinsippet om formålsbestemt bruk av personopplysninger stilles da på prøve. I tillegg til at manglende sletting som regel vil være et brudd på personopplysningsloven, øker det også faren for at opplysningene senere kan brukes til andre formål som er uforenlig med det opprinnelige.

1.2.2.4 Viktig å bevare tillit

Et annet trekk ved dagens arbeidsliv er at det finnes store mengder opplysninger som er egnet til regelrett overvåking av de ansatte. Det kan komme nye muligheter for å sammenstille opplysninger, eller det kan oppstå konkrete situasjoner hvor arbeidsgiveren ønsker å gjennomgå det som er registrert om den ansatte. I tillegg viser det seg også at mange tiltak ikke begrunnes konkret, eventuelt har vage begrunnelser. Det blir derfor i liten grad forutsigbart hva opplysningene skal kunne brukes til. Det forekommer også at tiltak innføres med skjult begrunnelse.

Arbeidsgiveren trenger de ansattes aksept eller forståelse for systemer, rutiner og valg. Men, det er også viktig for de ansatte at de forutsetninger og begrensninger som finnes blir knyttet til formål og at den forespeilede bruken blir overholdt. Hvis de ansatte får negative erfaringer, brytes tilliten ned. Bruk av opplysninger til nye formål uten at de ansatte er involvert, eller anerkjenner behovet, kan føre til at tillitsforholdet bryter sammen.

Arbeidsgiveren kan med utgangspunkt i styringsretten bestemme hvordan arbeidet skal utføres og hvilke hjelpemidler som skal benyttes for å utføre arbeidsoppgavene, innenfor rammene av regelverket. Selv om mange av systemene ikke innføres for å føre kontroll med den enkelte, muliggjør systemene ofte en nitidig kontroll. Vi er derfor avhengige av tillit mellom partene for at arbeidslivet skal fungere. Slik tillit er betinget av at arbeidsgiveren informerer, men også av at arbeidstakerne tar seg umaken ved å sette seg inn i hvilke systemer som finnes på en arbeidsplass og hva de brukes til.

Det mest sentrale er likevel å komme bort fra den enkle forestillingen som har dominert store deler av arbeidslivet til nå; at informasjonsteknologien tillater et stadig friere arbeidsliv og at kontrollsystemene bare brukes til å forhindre uvedkommende på kontoret. Vi skal ikke male fanden på veggen og si at vi nærmer oss Orwells dystopi hvor storebror alltid ser deg, men vi er allerede farlig nær en situasjon hvor arbeidsgiveren stadig ser deg. Det bør gi grunn til en mer kritisk debatt – kanskje særlig nå som manglende trygghet og manglende sikkerhetssystemer får all oppmerksomhet. All sikkerhet er ikke bare til det gode, og sikkerhetshensyn må hele tiden avveies mot grunnleggende rettigheter.

1.2.3 Kunsten ikke å miste hodet etter 22. juli

Etter 22. juli var det bred politisk enighet om at terror skulle bekjempes med mer åpenhet og mer demokrati. Dette var et godt signal for alle som er opptatt av personvern. En slik hendelse utløste allikevel, naturlig nok, en debatt om politiets fullmakter og endringer i straffeloven. Særlig politiet og deres foreninger har vært aktive på forslagsfronten. Det har blant annet blitt fremmet forslag om utvidelse av lagringsplikten i ekomloven (som implementerer datalagringsdirektivet) til også å gjelde internettkafeer, hoteller, biblioteker og andre områder med trådløse nett. Politiets sikkerhetstjeneste (PST) har krevd mer utveksling av informasjon fra offentlige etater til PST, samt en styrket plikt for helsepersonell til å melde fra til PST om mistenkelige personer.

Flere av forslagene har blitt fulgt opp politisk. Sommeren 2012 sendte regjeringen et forslag om ytterligere kriminalisering av solokriminalitet på høring. Forslaget var i det vesentlige bygd på et forslag fra PST. Datatilsynet og flere andre høringsinstanser uttalte seg kritisk til forslaget, og da særlig til at forslagene var for dårlig utredet. Det var heller ikke foretatt vurderinger av forslaget opp mot for eksempel Menneskerettighetskonvensjonens beskyttelse av privatlivets fred.

Datatilsynet fant også grunn til å minne om at det er et grunnleggende prinsipp i en demokratisk rettsstat at det er lovgiver som skal sette grenser for politiets inngrep overfor borgerne. Dette gjelder selv om politiet har de beste intensjoner og utfører en samfunnsnyttig oppgave. Det er uheldig når svært inngripende forslag baseres nokså ukritisk på politiets ønsker, slik forslaget om å kriminalisere forberedelse til soloterrorisme gjorde.

Inngrep i personvernet må alltid ha et rettslig grunnlag. På justisfeltet må det rettslige grunnlaget være hjemmel i lov. Det er svært viktig at Stortinget ikke overlater til den enkelte borger å måtte definere grenser for politiets virksomhet. Dette er grunnen til at vi stiller oss kritiske til at straffelovens bestemmelser om frivillig DNA-testing anvendes overfor andre personer enn de som har en lovlig tilknytning til åstedet eller bevismaterialet. Såkalt DNA-screening er en stadig mer brukt metode ettersom kostnaden ved å ta DNA-prøver er redusert og at det med dagens teknologi er mulig for politiet å finne ut hvem som har vært i et område.

Med ikrafttredelsen av datalagringsdirektivet vil borgerne i enda større grad bli lokalisert, og det er grunn til å tro at denne etterforskningsmetoden vil bli enda mer brukt. Den tar imidlertid ikke høyde for at ikke alle har nødvendige forutsetninger for å kunne ivareta sine egne rettigheter når politiet henvender seg for å be om DNA-prøver. Det kan også stilles spørsmål ved om det i det hele tatt er mulig å hente inn et samtykke som er reelt frivillig i slike saker. De samme bekymringene gjør seg gjeldende i forbindelse med frivillige narkotikarazziaer mot skoleelever. I disse og lignende saker er det viktig at Stortinget tar en endelig beslutning på borgernes vegne.

Politiet, og særlig PST, underbygger sine ønsker om utvidede fullmakter med at det ellers er vanskelig å innfri samfunnets forventninger om at de skal beskytte oss mot terrorisme og annen alvorlig kriminalitet. Kanskje handler dette også om at Stortinget må justere egne og befolkningens forventninger til hvilken beskyttelse staten kan garantere, uten at det kommer i konflikt med et felles ønske om mer demokrati og mer åpenhet. Det er viktig å kommunisere at den absolutte trygghet ikke er mulig å oppnå innenfor et åpent, demokratisk samfunn som vårt. Tiltakene som innføres for å etterkomme ønsket om trygghet kan faktisk føre til at tilliten til staten undergraves, og dermed forutsetningen for ivaretakelse av tryggheten.

Datatilsynet mener det er viktig at det stilles kritiske spørsmål når politiet ber om utvidede fullmakter og om at stadig mer av borgernes handlinger belegges med et potensielt straffeansvar. I en tid og i et land hvor verken teknologien eller ressursene setter faktiske grenser for hvilke tiltak som kan iverksettes overfor borgerne, må Stortinget basere grensesettingen på en konkret og prinsipiell avveiing av ulike samfunnsinteresser. Det er viktig å etterspørre dokumentasjon på at inngripende tiltak faktisk er effektive, og at det identifiserer og tar på alvor de mothensyn som gjør seg gjeldende, før politiets fullmakter utvides på bekostning av borgernes frihet.

Debatten i kjølvannet av voldtektsbølgen i Oslo høsten 2011 er illustrerende. Mange tok til orde for at flere overvåkingskameraer var veien å gå. Datatilsynet var en ganske ensom stemme som advarte mot flere kameraer og vi stilte spørsmålstegn ved om effekten av tiltaket sto i forhold til det inngrepet dette var i borgernes personvern. Sentrale politikere pekte på København som en foregangsby. Nå skrinlegger danskene planen om flere kameraer. Politiinspektør Svend Foldager fra Københavns Politis Efterforskningsenhed sier at «det er ekstremt omkostningstungt både at få data ind og opbevare dem, og så må vi koldt og kynisk se på udbyttet. Det har ikke nogen præventiv virkning.Vi kan bruge det til opklaring af tilfældige ting, og det er selvfølgelig godt, men det er ikke sådan, at videoovervågningen reelt gør en forskel».

Det er også viktig at personverninngripende tiltak evalueres slik tilfellet var med kameraovervåkingen i København. Det må føres en løpende debatt, også i Stortinget, om nivået på det totale overvåkingsnivået i samfunnet. Selv om hvert enkelt tiltak i seg selv ikke er inngripende er det grunn til å advare dersom totaliteten blir for stor. Dersom et inngrep for eksempel ikke har noen dokumenterbar effekt på kriminalitetsbekjempelsen må det oppheves.

Personvern handler om respekt for det enkelte individ, om klare lovhjemler og forutberegnelighet, om åpenhet, om grundige forhåndsvurderinger og om evaluering. Dersom Stortinget vedtar lover bygd på disse prinsippene, og politiet bygger sitt arbeid på de samme prinsippene, har vi alle sjanser til å lykkes i å bevare det tillitsbaserte samfunn. Da kan vi også klare kunsten ikke å miste hodet etter 22. juli.

1.3 Nærmere om utvalgte områder

1.3.1 Internett og telekommunikasjon

Internett har revolusjonert måten vi kommuniserer på. Fra å være et sted hvor man først og fremst mottok informasjon, har nettet utviklet seg til å bli et sted hvor man også aktivt deler og sprer informasjon. Denne utviklingen har utvilsomt hatt en økt demokratiserende effekt på samfunnet, men den har også gitt nye, store utfordringer. I sosiale nettsamfunn lagres det i dag personopplysninger i et voldsomt, og stadig økende, omfang. Våre bevegelser og søk på nett kan kartlegges og danne svært detaljerte mønstre om hvordan vi opptrer. Dette benyttes blant annet – ofte uten vår viten – til å skreddersy reklame. Personopplysninger er blitt en handelsvare med stor økonomisk verdi.

Vi ser også en økende grad av kobling mellom produkt og tjeneste. Dette synliggjøres for eksempel ved valg av smarttelefon, der enten Google, Apple eller Microsoft leverer operativsystemet. Kundene tvinges så mer eller mindre inn i leverandørenes utvalg av tjenester og må godta deres personvernvilkår. Forskjellige løsninger komplementerer hverandre og skaper allianser der utvekslingen av personopplysninger blir vanskelig å holde styr på for forbrukeren. Smarttelefoner har blitt allemannseie, og antall programmer og applikasjoner som tilbys til smarttelefonene er stadig økende. Kompleksiteten fører til at et stort flertall av brukerne trolig vil basere seg på produsentens forhåndsinnstillinger. Dette er slett ikke alltid et godt valg for personvernet.

Markedet preges dessuten av noen få store aktører. Foruten å være en av verdens største søkemotorer, står for eksempel Google også bak populære tjenester som Gmail, Google Maps, Google Apps, Blogger, Chrome, Android, YouTube, Google Analytics og Google+. Dette gjør Google til en av verdens aller største tjenesteleverandører på nett, og gir Google tilgang på enorme mengder personlig informasjon. Er forbrukerne egentlig oppmerksomme på dette, og hvilke utfordringer skaper det?

Enkelte virksomheter velger å la eksterne leverandører drifte sine IKT-løsninger, noe som egentlig ikke er noe nytt. Markedet og teknologien har imidlertid utviklet seg enormt med inntreden av nettskyen, hvor man utnytter et globalt kommunikasjons- og datakraftmarked. Bruk av nettskyen kan skape utfordringer når det gjelder kontroll over personopplysninger og informasjonssikkerhet. Det er imidlertid både Datatilsynets og andre internasjonale personvernmyndigheters utgangspunkt at det er mulig å oppnå godt personvern også ved bruk av nettskytjenester.

Stortinget vedtok i 2011 å implementere datalagringsdirektivet i norsk rett. Datatilsynet vil få en rekke nye oppgaver i tilknytning til direktivet, blant annet tilsynsoppgaver og utarbeidelse av konsesjoner. Ved inngangen til 2013 er det fremdeles usikkert når lovendringen trer i kraft.

I meldingsåret mottok Datatilsynet en god del henvendelser som gjaldt nettsidene www.minlarer.no og www.legelisten.no. Dette er nettsider der elever og pasienter kan gå inn og vurdere fastlegen sin og egne lærere, men problemstillingen er generell for alle typer forum og blogger på nett. Spørsmålet er hvor grensene går for hva slags personopplysninger som kan legges ut. Hvor langt strekker ytringsfriheten seg i slike tilfeller? Dette er nok en utfordring vi bare vil se mer til fremover.

Det ligger i sakens natur at Internett og telekommunikasjon et felt der det som rører seg internasjonalt er av særlig stor betydning for Datatilsynets arbeid. Vi har derfor et utstrakt samarbeid med andre land og internasjonale aktører, noe som omtales nærmere under Internasjonalt samarbeid.

1.3.1.1 Hva er gjort på området?

Nettskytjenester

Det har vært mye oppmerksomhet og debatt rundt bruk av nettskytjenester, og mange har uttrykt usikkerhet om hvordan personvern og informasjonssikkerhet kan håndteres på en tilfredsstillende måte i slike tjenester.

Datatilsynet gjennomførte i 2012 en gjennomgang av Narvik kommunes bruk av nettskytjenesten Google Apps. Bakgrunnen for dette var at tilsynet i 2011 mottok en klage på kommunens bruk av tjenesten, og etter en vurdering av kommunens redegjørelse varslet tilsynet et vedtak om at deres bruk av tjenesten måtte opphøre.

Datatilsynet ble også kontaktet av Moss kommune som selv tok kontakt og ba om veiledning i bruk av Microsoft Office 365. På grunn av mange likhetstrekk med Narvik-saken, ble en gjennomgang av disse sakene gjort parallelt.

I forbindelse med begge sakene ble det avholdt flere konstruktive dialogmøter med kommunene og tjenesteleverandørene. Det førte blant annet til at leverandørene endret på sine standard databehandleravtaler. Dette er en avtale som partene må inngå når en virksomhet setter ut hele eller deler av sin behandling av personopplysninger til en annen virksomhet. Datatilsynet definerte dessuten noen forutsetninger som må være oppfylt for at bruk av nettskytjenester kan finne sted. Virksomheten må blant annet gjennomføre sikkerhets- og sårbarhetsanalyser i forkant, og en tilfredsstillende databehandleravtale må være på plass. Det er også viktig å revidere bruken av tjenesten jevnlig.

Datatilsynet konkluderte med at Narvik kommune kan bruke Google Apps og at Moss kommune kan ta i bruk Microsoft Office 365, så fremt forutsetningene i rapportene er på plass.

Sak om bryting av kryptering

Datatilsynet behandlet i 2011 og 2012 en sak om bruk av sikkerhetsteknologi som bryter kryptert kommunikasjon.

Kryptert trafikk inn i virksomheters nettverk representerer en trussel for informasjonssikkerheten ved at slik trafikk ikke lar seg inspisere mot skadelig programvare og virus. Det er derfor utviklet sikkerhetstiltak som bryter krypteringen og gjennomfører kontroll mot uønsket innhold, før trafikken krypteres på nytt og sendes til brukeren, tilsynelatende uten at kommunikasjonen er brutt. Teknologien forutsetter at virksomheten har en grad av kontroll over brukerens utstyr.

For brukeren (normalt ansatt i virksomheten) og parten brukeren kommuniserer med, innebærer dette at den antatt sikrede kommunikasjon ikke lenger er sikker. Dette kan være nettbasert e-post eller nettkommunikasjon med for eksempel fastlegen. Man kan også betrakte problemstillingen slik at krypteringen ikke er god nok siden den lar seg bryte.

Datatilsynet fattet først vedtak om opphør av praksisen med bryting av kryptering. Vedtaket ble senere omgjort. Forutsetningene for at praksisen vurderes som akseptabel, er at trafikk fra antatte sikre kilder utelates fra brytingen. Det må også etableres sikre rammer for behandling av dekryptert trafikk og at det blir gitt god informasjon til de ansatte om at privat kryptert kommunikasjon kan bli inspisert.

Saken viser at sikkerhetstiltak i én sammenheng kan representere en trussel mot personvernet og informasjonssikkerhet i en annen sammenheng. Det var viktig for tilsynet å sette virksomheten, som den ansvarlige for behandlingen, i stand til å ivareta sine forpliktelser etter personopplysningsloven, ved å ha kontroll over eget informasjonssystem og ivareta personvern og informasjonssikkerhet.

DLD-konsesjonen

Stortinget har som kjent vedtatt at EUs datalagringsdirektiv (direktiv 2006/24/EF) skal innføres i norsk rett. Datatilsynet fikk i den sammenheng i oppdrag å lage en standardkonsesjon for å behandle de lagringspliktige personopplysningene. I 2011 ble det innledet samtaler med blant annet Samferdselsdepartementet, Post- og teletilsynet samt representanter fra tele- og internettilbyderne om hvilke utfordringer de ulike involverte instansene og virksomhetene står overfor. På bakgrunn av dette ble det i desember 2011 sendt et utkast til konsesjon på høring.

Vårt mandat er å stille konsesjonsvilkår som på best mulig måte ivaretar de registrertes personvern og underlegger de lagrede dataene tilfredsstillende sikkerhetskrav. Samtidig er det av stor betydning å skape et praktisk gjennomførbart regime som ikke undergraver formålet med implementeringen av direktivet. En tett dialog med de virksomhetene som vil bli underlagt lagringsplikt, samt representanter fra Politiet og Post- og teletilsynet, var derfor av sentral betydning.

Datatilsynet mottok konstruktive høringssvar og kunne i mai 2012 sende ut en endelig konsesjon til de sentrale aktørene. Det er imidlertid tatt forbehold om at det ennå hersker noe usikkerhet om de rettslige premissene for implementeringen.

Høringsuttalelse – datalagringsforskriften

I sitt forslag til datalagringsforskrift slår Post- og teletilsynet fast at det ikke er aktuelt å pålegge leverandører av innholdstjenester lagringsplikt. Datatilsynet støtter selvsagt dette. Konsekvensene av innholdslagring ville være uoverskuelige og svært inngripende.

Innholdslagring ble fullstendig avvist av Stortinget da direktivet ble vedtatt implementert i norsk rett, og dette er nå nedfelt i forslaget til datalagringsforskrift. Dersom leverandører av diskusjonsforum skulle pålegges lagringsplikt slik noen har antydet, ville det medført betydelige personvernkonsekvenser. Det vil bli umulig å unngå å lagre opplysninger om selve innholdet i kommunikasjonen om det skulle vedtas. Datatilsynet mener videre at det er rimelig at staten dekker de totale, eller deler av, tilbydernes investeringskostnader.

Overtredelsesgebyr til Google

I september ble Google ilagt et overtredelsesgebyr på 250 000 kroner av Datatilsynet for brudd på personopplysningsloven. Google måtte også slette personlig informasjon innsamlet av deres Street View-biler i Norge.

Bakgrunnen var at Datatilsynet i 2010 ble informert av Google om at deres Street View-biler hadde samlet inn nyttedata (payload-data) i forbindelse med sin kartlegging av gater og veier i Norge. Nyttedata vil si kommunikasjon på private trådløse nettverk, og kan blant annet omfatte brukernavn, passord og innhold i e-poster. Datatilsynet ba i 2011 Google om å slette alle disse dataene, og fikk en bekreftelse på at dette var gjennomført. I meldingsåret kom det derimot frem at alle disse dataene ikke var slettet likevel, noe tilsynet så svært alvorlig på.

Google manglet et rettslig grunnlag for å innhente den aktuelle typen informasjon, det var ikke bedt om samtykke fra enkeltpersonene dette omfattet, opplysningene var lagret utover det som er nødvendig og opplysningene var ikke slettet etter anmodning fra Datatilsynet. Dette omfattet dessuten en forholdsvis stor gruppe intetanende enkeltindivider. Tilsynet tok hensyn til at det var Google selv som varslet om innsamlingen. Det ville vært vanskelig for Datatilsynet alene å oppdage denne type avvik.

Oppfølgingen av Facebook

Facebook har sitt europeiske hovedkontor i Irland, og det er de irske personvernmyndighetene som fører tilsyn med virksomheten. Det norske Datatilsynet har imidlertid også ført en aktiv dialog med Facebook i meldingsåret, og det har vært avholdt to møter der Facebook har stilt med representanter på høyt europeisk nivå. Blant temaene som har vært diskutert er ansiktsgjenkjenning og Facebooks skanning av brukernes innhold. Facebook er også oppfordret til å utarbeide offentlige rapporter over hvor mange henvendelser de får fra politiet om innsyn i brukernes konti. Videre har vi løpende gitt innspill til de irske personvernmyndighetene direkte og gjennom Technology Subgroup, som er en internasjonal arbeidsgruppe for personvernmyndigheter.

Det utstrakte europeiske samarbeidet omkring oppfølgingen av Facebook kan det leses mer om under Internasjonalt samarbeid.

Personvernnemnda – Nettby

Datatilsynet vedtok i 2011 at personopplysninger som stammer fra det nedlagte nettsamfunnet Nettby (eid av VG) skulle slettes. VG klagde på vedtaket og saken endte hos Personvernnemnda. Nemnda kom i meldingsåret til at det foreligger en avleveringsplikt for de dokumentene VG ønsker å lagre i denne saken, det vil si innholdet i de åpne fora/områdene som var åpne for indeksering i søkemotorer. Det gjelder også for de delene som ikke var åpne for indeksering, men som var tilgjengelige for samtlige borgere av Nettby. Avleveringsplikten må oppfylles før materialet slettes av VG.

Avgjørelsen er viktig med tanke på at mange personer i dag benytter sosiale nettsamfunn. De tenker antakelig i liten grad på at de ikke selv bestemmer hvor lenge opplysningene skal lagres, og hvem som skal ha tilgang til disse, både i nåtid og i ettertiden. Nemnda legger til grunn at også de som stiller en plattform til rådighet for enkeltpersoner har plikter overfor det offentlige ved Nasjonalbiblioteket, i form av en avleveringsplikt. Konsekvensen av en slik forståelse vil ha betydning langt utover denne saken med tanke på de mange aktører som gjør som VG – stiller en plattform eller et forum til rådighet for en stor gruppe personer.

1.3.1.2 Funn fra tilsyn

Google Analytics – behandling av IP-adresser

Størsteparten av norske virksomheter bruker Google Analytics til å analysere brukeratferd på sine nettsider. I 2011 ble det gjennomført kontroller hos Skatteetaten og Lånekassen da dette er store virksomheter som de fleste borgere er nødt å forholde seg til. Kontrollene avdekket enkelte uklarheter når det gjelder analyseverktøyets behandling av IP-adresser i forbindelse med besøk på nettsidene. Bruk av Google Analytics berører også det felleseuropeiske regelverket om forhåndssamtykke ved bruk av informasjonskapsler, direktiv 2009/136/EF, et direktiv som for øvrig ikke er innført i Norge enda.

I 2012 varslet Datatilsynet at det vurderte å fatte vedtak om at etatene må dokumentere at IP-adressene som samles inn ved hjelp av analyseverktøyet blir anonymisert uten opphold. Det ble også varslet vedtak om at etatene må dokumentere at personopplysningene ikke benyttes til andre formål etter at de er samlet inn.

Skattedirektoratets og Lånekassens tilbakemeldinger på varselet kom i oktober, og der kom det frem at IP-adressene anonymiseres i minnet før adressene blir lagret hos Google. De viser også til at anonymiseringen er reell, det vil si av en slik art at den ikke er reverserbar. Google har dessuten oversendt en skriftlig bekreftelse på at opplysningene ikke brukes til andre formål enn de som er oppgitt.

En endelig vurdering av etatenes tilbakemeldinger foreligger i 2013.

Mobilapplikasjoner

Datatilsynet gjennomførte våren 2012 tilsyn med tre virksomheter som sto ansvarlig for applikasjoner (apper) til smartmobiler. De tre tilsynsobjektene DnB Eiendom, NSB og Wimp ble valgt blant annet på grunn av størrelse og antall kunder.

Under tilsynene var det spesielt interessant å få belyst tre forhold; hvem som var behandlingsansvarlig, hvilke opplysninger som ble innhentet og behandlet, samt hvilken informasjon som ble gitt til kundene. De tre leverandørene ga klare svar på spørsmålet om behandlingsansvar. I tillegg var det minimalt med personopplysninger som ble innhentet i forbindelse med de aktuelle appene.

Brukerne skal informeres om hvordan en app benytter personopplysninger, slik som telefonens posisjon eller informasjon fra telefonens kontaktbok. Informasjon kan gis der appen kjøpes, inne i appen, eller på nettstedet til den behandlingsansvarlige. Det sentrale er at brukeren blir gitt informasjon før bruken tar til. De kontrollerte virksomhetene hadde lagt til rette for informasjon om behandlingen av personopplysninger i appene. Datatilsynet pekte likevel på enkelte forbedringsområder når det gjaldt hvordan informasjonen ble gitt.

1.3.2 Helse og velferd

Helse og velferd involverer samtlige innbyggere i Norge, i alle stadier av livet. Opplysningene som behandles i sektoren er blant de mest sensitive personopplysningene som finnes. Samtidig må folk gi fra seg svært mange opplysninger i «bytte» mot helsehjelp. Enkeltpersoner har begrenset kontroll med spredningen av opplysningene og trolig også liten kjennskap til hvordan opplysninger benyttes og videreformidles.

Sektoren er preget av en relativt høy grad av endringsvilje og -evne, fra departement til institusjonsnivå, samtidig som sektoren har hatt utfordringer over lang tid med å løse god samhandling, samt sikre helseopplysninger mot uautorisert innsyn.

Regjeringen la i november 2012 frem stortingsmeldingen «Én innbygger – én journal – Digitale tjenester i helse og omsorgssektoren» (Meld. St. 9 (2012-2013)). Her legges kursen for den videre digitaliseringen av helsesektoren mot målet om én innbygger – én journal. I meldingen legges det opp til videre satsning på igangsatte aktiviteter slik som styrket samhandling gjennom meldingsutveksling, kjernejournal og tilrettelegging for tilgang på tvers.

Helsesektoren har et stort kunnskapsbehov, og det finnes en rekke helseregistre som gir grunnlag for å styre, kvalitetssikre og forske på helseopplysninger. Ivaretakelse av personvernet avhenger av registerform og hva som registreres, varighet av registreringen og i hvilken grad personen selv kan velge sin deltakelse. En sentral prosess her er modernisering av helseregisterfeltet.

Vi vil i årene som kommer se økt interesse for og bruk av teknologi innen omsorgssektoren, gjerne kalt velferdsteknologi. Velferdsteknologi er mangeartet og kan benyttes i mange ulike former; varslings- og lokaliseringsteknologi, slik som fallalarmer og komfyrvakt, mobilteknologi i oppfølging av pasienter, digitale kanaler for sosial kontakt og lignende. Noen løsninger lagrer helse- og personopplysninger, og noen gjør det ikke.

Velferdsteknologi kan ivareta pasientenes helsemessige behov på en god måte samtidig som personvernet ivaretas. Mange vil for eksempel oppleve det som mindre integritetskrenkende å avlegge en urinprøve hjemme og sende svaret elektronisk enn å gjøre det på et legekontor. Samtidig som teknologien gir mange muligheter kan den imidlertid også innebære utfordringer for personvernet. Noen former for velferdsteknologi innebærer en overvåking og kontroll som krenker den enkeltes personlige integritet. Datatilsynet har prioritert å delta i prosessene rundt utviklingen av velferdsteknologi for sikre at det etableres løsninger som både støtter gode tjenester og ivaretar personvernet. Området er velegnet for å arbeide etter prinsippene for innebygd personvern ved at man allerede i innovasjons- og utviklingsfasen tar hensyn til personvernet.

1.3.2.1 Hva er gjort på området?

Genteknologi

Datatilsynet har i meldingsåret jobbet med en kartlegging av sentrale personvernutfordringer i helsesektoren og i helseforskning, knyttet til gjennomføring av genetiske undersøkelser, samt bruk av genetiske opplysninger og biologiske materiale.

Et viktig element i personvernet er at personer i utgangspunktet skal kunne bestemme over bruken av egne genetiske opplysninger og biologisk materiale. Det er særlig hensynet til overordnede helseformål, samfunnsinteresser og forskningsinteresser som utfordrer den enkeltes rett og mulighet til selv å bestemme over disse opplysningene. Det utleveres genetiske opplysninger fra behandlingsrettede helseregistre til flere sentrale helseregistre.

På grunn av rutinekontroller og masseundersøkelser kan det antas at det per i dag finnes minst én prøve (biologisk materiale) av de aller fleste personer i Norge lagret i en biobank. Per 1. januar 2008 var det anslått at det totalt forelå prøver fra i overkant av 12 millioner pasienter over fire til fem generasjoner. Det sentrale formålet for oppbevaring av materialet er i første omgang helsehjelpsformål. Oppbevaringen av materialet utover dette formålet skjer for å ivareta andre interesser, slik som samfunns- og forskningsinteresser. Kommersielle interesser er også relevant i denne sammenhengen.

En sentral personvernutfordring er at det er lav kunnskap i befolkningen om det omfattende materialet som er lagret i landets biobanker. Datatilsynet mener en viktig årsak til dette kan spores til svakheter ved dagens regelverk. For det første er det en utfordring at et stilltiende samtykke til helsehjelp også er et tilstrekkelig rettslig grunnlag for lagring av materialet for senere bruk til samfunns- og forskningsformål. For det andre har det vist seg at informasjonsplikten om retten til å reservere seg mot bruk av biologisk materiale i forskning ikke fungerer i praksis.

Samtidig som dagens regelverk har svakheter, utredes mulighetene for å utnytte biologisk materiale bedre i forsknings- og kommersielt øyemed. Det er tatt til orde for å etablere en felles nasjonal forskningsbiobank for forskningsformål og å utnytte biobankmateriale for kommersielle formål.

Rapporten foreslår tiltak for å styrke personvernet på området. Rapporten har også identifisert uklarheter, mangelfull etterlevelse og mangler ved dagens regelverk.

Velferdsteknologi

Per i dag mangler det et rettslig grunnlag for å ta i bruk varslings- og lokaliseringsteknologi i den offentlige helse- og omsorgstjenesten hvis man ikke har samtykke fra pasienten. Et forslag til en lovbestemmelse som gir en begrenset adgang til bruk av slik teknologi overfor personer som ikke er samtykkekompetente var på høring i 2012. Datatilsynet ga sin støtte til dette arbeidet.

Datatilsynet har arbeidet aktivt med dette området for å sikre at innbygget personvern skal være en del av de velferdsteknologiske løsningene som utvikles. Hjelpemiddelet som tas i bruk må være minst mulig integritetskrenkende. For eksempel bør det ved bruk av lokaliseringsteknologi ikke lagres opplysninger utover den tiden det tar å lokalisere brukeren, alarmer bør utløses av pasienten selv i de tilfellene det er tilstrekkelig og såkalte «geofences» – virtuelle elektroniske gjerder – bør benyttes fremfor kontinuerlig overvåking.

Datatilsynet har gjennomført flere aktiviteter for å bidra til ivaretakelse av personvernet når velferdsteknologi tas i bruk:

• Kontakt med forsknings- og utviklingsmiljøer, samt kommuner som bruker velferdsteknologi.

• Deltakelse i den offentlige debatten omkring bruk av GPS på personer med demens. Tilsynet har også gitt tilslutning til at GPS-sporing av demente kan innebære mer frihet, verdighet og trygghet for den enkelte under forutsetning av at personvernhensyn blir ivaretatt allerede ved utviklingen av løsningene.

• Deltakelse i en arbeidsgruppe hos Helsedirektoratet. Gruppen har jobbet med en fagrapport om bruk av varslings- og lokaliseringsteknologi i den kommunale helse- og omsorgstjenesten.

• Deltakelse i arbeidet med å få på plass et rettslig grunnlag for bruk av varslings- og lokaliseringsteknologi.

Samhandlingsutfordringer

Datatilsynet har vært i dialog med helsemyndighetene om etableringen av helseportal og kjernejournal. For tilsynet er det sentralt at slike løsninger etableres etter prinsippene for innebygd personvern, og vil derfor videreføre denne dialogen.

Datatilsynet har over tid kommunisert til helse- og omsorgssektoren at det har vært en utfordring knyttet til bruk av felles journalsystemer mellom virksomheter i primærhelsetjenesten. Dette har nå blitt løst med en forskrift som kom i november om virksomhetsovergripende pasientjournal i formalisert arbeidsfellesskap. Forskriften er ikke begrenset til primærhelsetjenesten. Datatilsynet har i høringsrunden gitt omfattende innspill, blant annet for å sikre at forskriften ivaretar ulike samhandlingsformer, slik som samhandling mellom kommunen og spesialisthelsetjenesten. Den vedtatte forskriften er relativt generell og løser godt utfordringen med felles journalsystem i primærhelsetjenesten. For øvrige samarbeidsløsninger er ikke rammene like tydelige.

Helseinformasjonssikkerhetsforskriften ble vedtatt i juni 2011, men er ikke trådt i kraft enda. Forskriften setter klarere rammer for informasjonssikkerhet, og stiller krav som må oppfylles for at virksomheter kan utøve tilgang til hverandres journalsystemer. Datatilsynet imøteser de klargjorte kravene til informasjonssikkerhet. For tilgang til hverandres systemer er det viktig at fagsystemene blir modernisert slik at det kan skje på en trygg måte. Datatilsynet har dialog med sektoren om dette gjennom standardiseringsarbeid og gjennom Norm for informasjonssikkerhet i helse- omsorgs- og sosialsektoren (Normen).

Sikre pasientjournaler – snoking og tilgangsstyring

Datatilsynet har lenge pekt på utfordringen ved manglende konfidensialitetssikring i pasientjournalene. Mangelfulle løsninger for tilgangsstyring i kombinasjon med enten mangelfull logging eller manglende funksjonalitet for loggkontroll, gjør at det er store muligheter for å gjøre uautoriserte oppslag i pasientjournaler. Det er samtidig små muligheter for å avdekke slik snoking. Ved endring av helseregisterloven i 2008 ble det gjort klart at det er forbudt å gjøre uautorisert oppslag i journalene.

I meldingsåret har Datatilsynet fulgt sektorens arbeid med løsninger for logganalyse, og da spesielt et forprosjekt i regi av Oslo Universitetssykehus. Det overordnede formålet med logganalyse er å etablere løsninger som gjør det mulig å avdekke uautorisert bruk. Etter det vi forstår er funnene i forprosjektet positive.

Av avviksmeldinger og kontakt med sektoren observerer vi at snoking i journalsystemer følges mer profesjonelt opp av sektoren, både arbeidsrettslig, gjennom melding til Datatilsynet, gjennom kontakt med Helsetilsynet og i noen tilfeller gjennom politianmeldelse. Det fremstår som om loggene nærmer seg et nivå hvor de er tilstrekkelige til å bekrefte mistanke om snoking, selv om de ikke blir analysert i tilstrekkelig grad for å avdekke snoking. I et tilfelle ble en politianmeldt sak henlagt selv om snoking ble dokumentert gjennom logger. Årsaken var, etter det Datatilsynet kjenner til, at autentiseringen bare besto av brukernavn og passord, såkalt svak autentisering, og at det ikke kunne bevises at det var det aktuelle helsepersonellet som hadde brukt sin egen brukertilgang. Datatilsynet ser det som nødvendig at det arbeides mot sterkere autentiseringsløsninger i sektoren.

I arbeidet med tilgangsstyring håper tilsynet at det pågående arbeidet med standardisering av helsefagsystemer i regi av Helsedirektoratet kan bidra til at systemene får nødvendig funksjonalitet. Datatilsynet følger med på dette arbeidet.

Det har ikke vært gjennomført tilsyn med denne tematikken i meldingsåret, men det er klart at tilstanden ikke er tilfredsstillende. Datatilsynet opplever at helsemyndighetene slutter seg til dette, at de gjennomfører tiltak, blant annet ved ved at helseinformasjonssikkerhetsforskriften er vedtatt, og ved at det arbeides med standardisering, som nevnt ovenfor.

GE-sakene – uautorisert utlevering av helseopplysninger

Datatilsynet fikk i mars 2012 kjennskap til uautorisert utlevering av helseopplysninger fra flere virksomheter til leverandøren GE Healthcare Systems (GE) i USA. Opplysninger om et betydelig antall pasienter var hentet ut og overført, og omfattet blant annet pasienters navn, ID-nummer, fødselsdato og helseopplysninger. Avviket gjaldt elleve virksomheter i Norge. Det ble opprinnelig meldt til tilsynet at det var snakk om 126 344 pasienter, men dette tallet er noe usikkert.

Bakgrunnen for saken er at virksomhetene har hatt en tilknytning til leverandøren GE som skal drive vedlikehold og overvåking av medisinteknisk utstyr. Tilknytningen har vært satt opp på en slik måte at GE har kunnet hente ut helseopplysninger uten tekniske hindre. Datatilsynet mener at opplysningene ikke har vært godt nok sikret.

Datatilsynet fattet vedtak med flere pålegg i saken, blant annet om at virksomhetene må etablere tilfredsstillende sikkerhetstiltak når det gjelder konfidensialitet for leverandørtilknytninger mot medisinskteknisk utstyr. Det ble også fattet vedtak om at de berørte identifiserte pasientene må informeres om hendelsen.

Pålegget om informasjon til pasientene er påklaget fra nesten samtlige virksomheter. Ved årsskiftet var klagene til vurdering hos Datatilsynet.

Personvernnemnda – reseptregisteret

Folkehelseinstituttet har ønsket å hente et begrenset antall variabler for et utvalg inneliggende pasienter, for deretter å importere informasjonen til reseptregisterets database. Det ble derfor søkt om å få utrede en løsning for innsamling av informasjon om legemiddelbruk for pasienter i institusjon. Datatilsynet ga avslag på denne søknaden og saken endte hos Personvernnemnda. Nemnda kom, i likhet med Datatilsynet, frem til at reseptregisteret bare kan inneholde opplysninger som direkte eller indirekte fremkommer av reseptene og rekvisisjonene. Denne testingen ville derfor innebære en utvidelse som ikke kan gjennomføres med mindre reseptregisterforskriften endres.

Avgjørelsen viser at reseptregisteret som et pseudonymt register, skal være beskyttet for utvidelser eller sidebruk utover det som står i forskriften. Dette er godt personvern og styrker tilliten til registeret og forutberegneligheten for reseptinnehavere. Avgjørelsen støtter også opp under at Datatilsynets fullmakter ikke skal være et middel for å utvide eller innføre tillegg til eksisterende grenser angitt i lov eller forskrift.

Personvernnemnda – opplysninger fra politirapporter til forskning

I en konkret sak var det spørsmål om en rettsmedisinsk studentoppgave, der det ble hentet opplysninger fra politirapporter, hadde behandlingsgrunnlag. Behandlingsgrunnlaget for en slik bruk av personopplysninger må finnes i personopplysningsloven, og Datatilsynet mente at man måtte ha et samtykke for denne type forskning. Nemnda kom derimot til at samfunnsinteressen, og verdien av forskningen, måtte veie tyngre enn personvernet.

Avgjørelsen føyer seg inn i en rekke saker hvor temaet er interesseavveiingen mellom personvern for den enkelte og andre interesser. Avgjørelsen er viktig for tilsynet i det videre arbeidet hvor denne typen avveiinger er en avgjørende del av vår saksbehandling.

Personvernnemnda – SUSS-saken

Datatilsynet gjennomførte høsten 2010 et tilsyn med Senteret for ungdomshelse, samliv og seksualitet (SUSS). Stiftelsen arbeider for å sikre ungdom hjelp til å oppnå bedre helse, spesielt ved å forebygge uønsket graviditet, abort og seksuelt overførbare sykdommer.

SUSS gir råd og veiledning til ungdommer via telefon, SMS og e-post. Kontrollen avdekket at SUSS lagret telefonnummeret til de som kontaktet dem, og i tillegg ble det registrert hva problemstillingen eller spørsmålet var, samt hvilke råd eller veiledning som ble gitt. Samtlige av virksomhetens henvendelser ble journalført, noe som var i strid med informasjonen på deres nettsider. På deres egen nettside ble det på kontrolltidspunktet opplyst at man var helt anonym. Datatilsynet innhentet en lovtolkning fra Helsedirektoratet og Helse- og omsorgsdepartementet for å få avklart om SUSS sin veiledning kom inn under begrepet helsehjelp.

På bakgrunn av avklaringen fattet tilsynet pålegg om at SUSS måtte slette personopplysninger som ble lagret i forbindelse med virksomhetens veiledning, med mindre det kunne påvises et gyldig rettslig grunnlag for behandlingen, alternativt kunne opplysningene anonymiseres. Virksomheten ble videre pålagt å oppfylle sin informasjonsplikt overfor brukerne.

Datatilsynets pålegg ble klaget inn for Personvernnemnda, som støttet tilsynet. SUSS må etter nemndas avgjørelse rydde opp i de registrerte opplysningene. Virksomheten må enten anonymisere eller slette alle personopplysninger som er registrert når SUSS har gitt veiledning eller råd til personer som ønsker å være anonyme. SUSS må videre endre informasjonen på nettsidene, og begrep som anonym kan ikke benyttes dersom dette er misvisende overfor brukerne. Informasjonen på SUSS sin nettside må være klar, tydelig og lettfattelig.

Høringsuttalelse – kreftscreening

Helse- og omsorgsdepartementet har foreslått å endre kreftregisterforskriftens regler om behandling av opplysninger om personer som har deltatt i program for tidlig diagnose eller kontroll for konkret kreftsykdom (kreftscreening). Departementet ønsker å oppheve reglene om at pasienter må gi uttrykkelig samtykke for at negative funn i screeningprogrammer skal kunne oppbevares permanent. I stedet foreslår de å etablere en ordning der pasienter må reservere seg mot lagring.

Endringen omfatter de to store screeningsprogrammene som foregår i regi av Kreftregisteret i dag; Mammografiprogrammet og Livmorhalskreftprogrammet. Datatilsynet var tidligere (2009) gjort kjent med at samtykke ikke var innhentet for denne kategorien registrerte, og fattet derfor vedtak om at slikt samtykke skulle innhentes.

Datatilsynet ga i sin høringsuttalelse utrykk for at forholdene i utgangpunktet ligger godt til rette for innhenting av samtykke til permanent lagring av opplysninger om negative funn. Vi mener at departementet burde ha vurdert om dagens ordning med samtykke kunne vært videreført tilfredsstillende gjennom å endre rutiner hos helsepersonellet. Datatilsynet oppfordrer også departementet om å pålegge informasjonsplikt i tilknytning til prøvetakingen, slik at den enkelte får en reell mulighet til å ivareta sine egne interesser.

Etter at denne høringsuttalelsen ble avgitt i mars 2012, kom det i desember nok et forslag til endring i kreftregisterforskriften, hvor det ble foreslått at regelen om reservasjon skal gis tilbakevirkende kraft. Målet er en så fullstendig oversikt over prøver med negativt resultat som mulig. Departementet fremstiller endringen fra samtykke til denne tilbakevirkende reservasjonsretten som kun «av praktisk karakter».

Datatilsynet er svært skeptiske til dette forslaget, da det i praksis vil oppheve vedtaket om innhenting av samtykke etter gjeldende forskrift, et vedtak som også er stadfestet av Personvernnemnda. Det kan stilles spørsmål ved om dette er et brudd på Datatilsynets uavhengighet, ved at tilsynet i realiteten styres politisk.

1.3.3 Justissektoren

Den enkeltes rett til å bestemme over egne personopplysninger er ikke absolutt. Hensynet til samfunnets interesser vil i mange tilfeller veie tyngre enn hensynet til den enkeltes personvern. Dette er særlig tydelig innen nettopp justissektoren. Her står den enkeltes individuelle interesser i sterk konflikt med svært tunge samfunnsinteresser, som for eksempel kriminalitetsbekjempelse og samfunnssikkerhet. Det er et gjennomgående trekk ved sektoren at borgeren har minimalt med autonomi og har begrenset kunnskap om hvilke opplysninger som samles inn til hva. Dette er utfordrende fra et personvernståsted, særlig fordi sektoren har hjemmel til å bruke tvangsmidler.

Innen justissektoren virker personvernet som en rettsverngaranti som setter grenser for statens maktbruk overfor sine borgere. Ettersom selvbestemmelsesretten er begrenset innen sektoren, er det ekstra viktig at de andre personvernprinsippene ivaretas. Det gjelder særlig kravene om at behandlingen skal ha et rettslig grunnlag, at de registrerte skal ha informasjon og at nytten av tiltaket skal stå i forhold til inngrepet.

Datatilsynet er særlig opptatt av at de mest inngripende tiltakene må ha hjemmel i lov, fastsatt i Stortinget. Det er nødvendig både for å sikre forutberegnlighet for borgerne og for å sikre at forholdsmessigheten i tiltaket er belyst og vurdert i en bred, demokratisk lovprosess. Siden behandlingene av personopplysninger innen sektoren for en stor del er lovhjemlet, blir legalitetskontrollen et helt sentralt element i vår oppfølging av sektoren.

I tillegg er Datatilsynets mål å søke å bevare det tillitsbaserte samfunnet, hvor iverksettelse av kontrolltiltak overfor den enkelte borger må begrunnes særskilt, og hvor informasjon og åpenhet omkring offentlig myndighetsutøvelse er en selvfølge.

1.3.3.1 Hva er gjort på området?

Strategi for et godt personvern i justissektoren

I meldingsåret utarbeidet Datatilsynet en egen strategi for godt personvern i justissektoren. Her beskrives de særlige utfordringene som oppstår for personvernet innen denne sektoren mer inngående. Tilsynet gjør også rede for sine overordnede mål for sektoren, sine posisjoner i enkeltspørsmål og sine strategiske valg.

Datatilsynet mål for denne sektoren, og som strategien utdyper, er blant annet å bevare det tillitsbaserte samfunnet, der iverksettelse av kontrolltiltak overfor den enkelte borger må begrunnes særskilt. Tilsynet vil også jobbe for at det gjennomføres demokratiske prosesser før inngripende tiltak settes i verk. Videre må det sikres at offentlig myndighetsutøvelse skjer innenfor rammene av de fullmaktene Stortinget har gitt, samt sørge for informasjon og åpenhet omkring offentlig myndighet.

Strategien skal ligge til grunn for vår egen virksomhet, men er også ment å gi et budskap til omverdenen om våre posisjoner. Strategien er derfor presentert for sentrale aktører innen sektoren; både politiske myndigheter og forvaltningsorganer. Den er også gjort tilgjengelig på Datatilsynets hjemmeside.

DNA-screening

I forbindelse med alvorlige straffesaker har politiet i stadig større ustrekning benyttet seg av såkalt DNA-screening. Det er en etterforskningsmetode som medfører at et stort antall personer blir kalt inn til politiet med status som vitner, inkludert en anmodning om å avgi frivillig DNA-prøve. Det er ikke grunnlag for mistanke mot de personene som kalles inn. Innkallingen er gjerne basert på teleoperatørenes trafikkdata som indikerer hvilke personer som var i nærheten av åstedet på det aktuelle tidspunktet. Statusen som vitne skulle tilsi at den enkelte antas å kunne bidra til oppklaring av saken, men det å avgi en DNA-prøve for eventuelt å bli sjekket ut av en straffesak er etter vår oppfatning ikke en del av vitneplikten. Enkeltpersoner blir slik satt i en situasjon der deres status vil kunne oppfattes nærmere som mistenkt enn som et vitne.

Datatilsynet har mottatt flere henvendelser fra enkeltpersoner som har blitt kalt inn til frivillig DNA-testing. De beskriver at det oppleves som tvang da de frykter at manglende fremmøte gjør at man får et mistankens lys på seg.

Datatilsynet er skeptisk til denne metodebruken. Spørsmålet om lovligheten reguleres imidlertid av straffeprosessloven, og faller dermed utenfor tilsynets forvaltningskompetanse. Tilsynet har derfor henvendt seg til Justisdepartementet for å be dem vurdere om en slik praksis er i tråd med straffeprosessloven.

Tilsynet problematiserte særlig om et samtykke til DNA-testing i forbindelse med en screening kan være reelt frivillig. Den enkeltes egne personlige forutsetninger i møte med politiet vil være avgjørende for om samtykket er gyldig, og dermed om det foreligger et rettslig grunnlag for undersøkelsen. Datatilsynet mener dette er uholdbart. Hvis det rettslige grunnlaget mangler vil politiets virksomhet i det enkelte tilfellet være i strid med menneskerettighetene og statens internasjonale forpliktelser. Tilsynet mener derfor at det er Stortinget som skal fastsette grensene for politiets etterforskningsvirksomhet. Det kan ikke overlates til den enkelte borger å måtte forholde seg til.

Datatilsynet har blitt orientert om at ressurssituasjonen i Justisdepartementet foreløpig ikke har tillatt en realitetsbehandling av henvendelsen.

Nødnettet

Datatilsynet mottok i 2012 en henvendelse fra Motorola Solutions som drifter nødnettet i henhold til en avtale med Direktoratet for nødkommunikasjon. Virksomheten stilte Datatilsynet spørsmål om sin rolle ved behandling av personopplysninger i nødnettet, for eksempel om det er adgang til sentral lagring av lydlogg.

Med bakgrunn i den påfølgende korrespondansen mellom virksomheten, Datatilsynet og Direktoratet for nødkommunikasjon, kom Datatilsynet til at det var et behov for å avklare roller og ansvarsforhold rundt behandlingen av personopplysninger i nødnettet. Tilsynet er av den oppfatningen at behandlingsansvaret for kommunikasjonsinnholdet hviler på den enkelte brukeren av nødnettet, for eksempel politiet, helsetjenesten, brann- og redningsetaten og frivillige organisasjoner. Det innebærer at Motorola Solutions kun vil være en databehandler og må forholde seg til de instruksene som blir gitt av den enkelte behandlingsansvarlige. Tilsynet mener at dette er en uheldig løsning med tanke på behandlingens karakter og antall behandlingsansvarlige.

Datatilsynet har i dialog med Justisdepartementet anbefalt at det etableres en egen lovgivning for å sikre tilfredsstillende og oversiktlige ansvarsforhold rundt behandlingen. Tilsynet har derfor tatt til orde for at tjenesteleverandøren bør pålegges et selvstendig ansvar som sådan. I den forbindelse kan det være aktuelt å se på ansvaret teleleverandørene har etter ekomlovgivningen.

1.3.3.2 Høringsarbeid

Meldingsåret har naturlig nok vært preget av at regjeringen ønsker å iverksette tiltak etter hendelsene 22. juli 2011. Det har vært fremsatt lovendringsforslag som også medfører utvidet kriminalisering og utvidede fullmakter til både politiet og ulike forvaltningsorganer. Dette er tiltak som kan få store konsekvenser for den enkeltes personvern.

Kriminalisering av terrorforberedelser

Tilsynet vil særlig nevne regjeringens forslag om ytterligere kriminalisering av forberedelse til terrorhandlinger. Forslaget innebar blant annet å straffelegge hverdagslige handlinger dersom det kunne bevises at handlingene skjedde med et terrorforsett.

Datatilsynet uttalte at departementet var farlig nær å foreslå kriminalisering av borgernes tanker, noe som medfører et behov for meget inngripende etterforskningsmetoder. Tilsynet kritiserte at utredningen var mangelfull og ensidig. Siden utredningen i all hovedsak fremstod som å være en ukritisk videreformidling av PSTs synspunkter og påstander, understreket tilsynet at det ikke må overlates til politiet selv å definere sine fullmakter. Vi etterlyste en mer grundig utredning og en klarere begrunnelse for forslaget. Tilsvarende synspunkter ble også fremmet av en rekke andre høringsinstanser, noe vi er godt fornøyde med.

Endringer i statsborgerloven og statsborgerforskriften

Regjeringen foreslår å gi statsborgermyndighetene hjemmel i lov til å hente inn og behandle opplysninger fra andre offentlige organer i saksbehandlingsøyemed, uten hinder av taushetsplikt.

I denne høringssaken ble Datatilsynet også invitert til dialog. Barne-, likestillings- og inkluderingsdepartementet ønsket en nærmere redegjørelse for tilsynets skepsis til forslaget. Tilsynet mente forslaget utfordret retten til å ha kontroll med egne personopplysninger ved at opplysningene skulle hentes inn av forvaltningen uten søkerens medvirkning. Tilsynet mente også forslaget brøt med grunnleggende personvernprinsipper som formålsbestemthet, forholdsmessighet og nødvendighetskravet; nytten må stå i forhold til inngrepet. Departementet på sin side ønsket å informere om bakgrunnen for forslaget ut over det som fremgikk av høringsnotatet. Etter møtet ble Datatilsynet anmodet om å revurdere den avgitte høringsuttalelsen og eventuelt frafalle den, noe vi ikke fant grunn til. Forslaget fremstod også etter departementets redegjørelse som et stort inngrep i den enkeltes personvern.

Datatilsynet ser generelt svært positivt på at vi kan være aktive deltakere i regelverksutviklingen i samfunnet og på den måten sikre at personvernet ivaretas på et tidlig tidspunkt i prosessen. Vi mener det er bedre for det endelige resultatet at personverninteressen integreres i arbeidet i motsetning til at det «legges på til slutt». Erfaringsmessig gir et slikt etterarbeid mindre gode og mer kompliserte løsninger.

1.3.3.3 Funn fra tilsyn

NAVs kontrollvirksomhet

Datatilsynet gjennomførte i 2012 et tilsyn hos NAV Kontroll. Formålet var å vurdere om NAV gjennomfører kontroll av borgerne i tråd med Stortingets fullmakter, slik de er definert i folketrygdloven og personopplysningsloven med forskrift. NAVs kontrollvirksomhet omfatter en utstrakt behandling av tildels svært sensitive personopplysninger. Opplysningene kan knyttes både til stønadsmottakerne og andre, og hentes inn fra en stor krets personer, virksomheter og offentlige myndigheter. Det ble vurdert som viktig å se på opplysninger om andre enn stønadsmottakerne, i og med at de i liten grad er del av kommunikasjonen med NAV i forbindelse med søknad om stønad eller annen ytelse.

Funnene førte til at Datatilsynet ba Arbeidsdepartementet om å revidere folketrygdelovens bestemmelser, eller å utdype dem gjennom et forskriftsverk. Datatilsynet mente at gjeldende regelverk er for vidtrekkende og skjønnsmessig, og at det ikke tilfredsstillende angir klare rammer for NAVs kontrollvirksomhet.

Det ble også avdekket at NAVs interne rutiner ikke ga tilfredsstillende grenser for den enkelte saksbehandlerens kontrollhandlinger. Dette gir en uakseptabel risiko for at det blir iverksatt tiltak som er i strid med gjeldende regelverk og internasjonale forpliktelser.

Videre ble det avdekket at NAV ikke gir informasjon til de registrerte i tråd med personopplysningslovens bestemmelser. Dette innebærer at personer som har vært underlagt en svært inngripende kontroll, med innhenting og spredning av personopplysninger, aldri har fått informasjon om dette. Det undergraver den enkeltes rett til kunnskap og mulighet til å utøve rettigheter som registrert, blant annet ved å kunne få opplysninger rettet.

Det viste seg også at informasjonssikkerheten rundt de aktuelle opplysningene var svært mangelfull. Det var for mange ansatte i enheten som hadde tilgang til for mange saker. Det var heller ikke etablert tilfredsstillende tiltak for å hindre uautorisert utlevering av opplysninger ut av enheten og etaten.

Datatilsynet fattet en rekke pålegg overfor NAV Kontroll. Ingen av dem er påklaget.

Politiets innhenting av opplysninger fra førerkortregisteret og passregisteret

Politidirektoratet og Statens vegvesen har i lang tid levert ut opplysninger fra passregisteret og førerkortregisteret til politiets etterforskning, typisk fotografier i forbindelse med automatisk trafikkontroll. Datatilsynet har ved flere anledninger kritisert etatene for å ha levert ut opplysningene uten å ha forsikret seg om at straffeprosesslovens vilkår for utlevering var oppfylt.

Datatilsynet valgte å følge opp praksisen i etatene, noe som endte med varsel om vedtak i begge tilfellene. Som en følge av dette besluttet både Politidirektoratet og Statens vegvesen selv å endre sine rundskriv og interne rutiner for utlevering av personopplysninger til politiet i forbindelse med etterforskning av enkeltsaker. Datatilsynet avsluttet derfor tilsynssakene uten å fatte vedtak.

1.3.4 Offentlig sektor

Det offentlige er den sektoren i Norge som behandler størst mengde personlig informasjon. Mange av statens og kommunenes oppgaver tar utgangspunkt i rettigheter eller plikter for borgeren, noe som forutsetter en utstrakt bruk av personopplysninger.

Gjennom flere år har resultater fra Datatilsynets aktiviteter overfor kommuner og fylkeskommuner vist store utfordringer knyttet til kravene i personopplysningsloven om internkontroll og informasjonssikkerhet. Kommunene har gjennomgående hatt for dårlig oversikt over hvilke personopplysninger de behandler og hvilket regelverk som gjelder for behandlingen av dem. Dette underbygges også av erfaringene fra Datatilsynets klagesaksbehandling og tilsynsvirksomhet. Jevnlig avdekkes det svikt i offentlig sektors behandling av personopplysninger, for eksempel ved at sensitive opplysninger havner i postjournalen.

Offentlig sektor er helt avhengig av borgernes tillit. Et viktig bidrag til å bygge tillit er at det gis god informasjon om hva som benyttes og til hva, at konfidensialiteten sikres og at regelverket følges når denne sektoren behandler personopplysninger.

Regjeringens digitaliseringsprogram «På nett med innbyggerne» slår fast at regjeringens ambisjon er at Norge skal ligge i front internasjonalt når det gjelder å utvikle en digital forvaltning. En videre digitalisering av offentlig sektor fremstår som naturlig, men reiser også utfordringer for personvernet. Sentrale tema i den sammenhengen er sammenstilling og gjenbruk av informasjon, forvalting av digitale identiteter, elektronisk kommunikasjon med borgeren og etablering av felles tjenester.

Ved økt digitalisering av statlig sektor øker farene for at offentlig informasjon benyttes til ID-tyveri og at statlige tjenester utsettes for ID-svindel. Sikre offentlige nettløsninger, og en god offentlig ID-forvalting, er vesentlig i denne sammenhengen. Datatilsynet mener at et viktig tiltak vil være at det offentlige sikrer at kvalifiserte digitale ID-er tas i bruk ved samhandling med publikum.

1.3.4.1 Hva er gjort på området?

Digitalisering av offentlig sektor

Datatilsynet satte i 2012 i gang arbeidet med å lage en egen strategi for hvordan vi skal forholde oss til regjeringens digitaliseringsprogram «På nett med innbyggerne», med hensyn til en best mulig ivaretakelse av personvernet. I strategien skal det nedfelles hvordan vi skal jobbe opp mot programmet og hvordan vi skal prioritere våre ressurser. I denne strategien vil vi også avklare hvordan vi skal jobbe med temaene fellesløsninger, gjenbruk og effektivisering. Strategien lanseres i 2013.

Digitaliseringsprogrammet er preget av at det både er prosesser og aktiviteter som har gått over lang tid (for eksempel Altinn), og av prosesser og aktiviteter som er i støpeskjeen.

Det viktigste for Datatilsynet knyttet til digitaliseringsprogrammet er at vi har et tett og godt samarbeid med de sentrale aktørene i digitaliseringsprosessene både på departements- og etatsnivå, samt med Kommunenes interesseorganisasjon (KS) når det gjelder norske kommuner. For Datatilsynet er det viktig å gjøre alle aktørene gode på personvern, informasjonssikkerhet og innebygd personvern. Deltakelse sikrer også at Datatilsynet har tilstrekkelig kunnskap om utviklingen. På dette området er dessuten kontakt med og rådgiving til leverandørbransjen en viktig aktivitet. Datatilsynet har i meldingsåret hatt kontaktmøter med flere av de sentrale aktørene i gjennomføringen av digitaliseringsprogrammet.

Automatiserte avgjørelser

Det er en utfordring at offentlig forvaltning i økende grad tar i bruk automatiserte avgjørelser, noe som vil si at vedtak kan treffes uten at en saksbehandler har sett på saken. Dette er for eksempel aktuelt ved beregning av støtteordninger. Mange vedtak i forvaltningen er basert på slike automatiserte prosesser hvor plikter og krav følger av profiler som stat eller kommune har om borgeren.

I meldingsåret ble det i samarbeid med Senter for rettsinformatikk (SERI) ved Universitetet i Oslo gjennomført et prosjekt for en videre analyse og undersøkelse av den enkeltes personvern når det fattes automatiserte avgjørelser i forvaltningen. Elleve offentlige virksomheter ble undersøkt, deriblant NAV, Lånekassen og Husbanken.

Ved automatiserte avgjørelser hentes det opplysninger fra både interne og eksterne registre. Skatteetatens folkeregister benyttes i de fleste systemene. Flesteparten av de spurte forvaltningsorganene forventer mer automatisering innen sitt forvaltningsområde i tiden fremover. Dette vil være i samsvar med forvaltningspolitikken og digitaliseringsprogrammet. Resultatene av undersøkelsen viser at systemer som er etablert før år 2000 vil erstattes av nye og mer automatiserte systemer.

Rettigheter som innsyn, informasjonsplikt, kvalitet på opplysningene og retten til å kreve manuell behandling peker seg ut som særdeles viktige når det gjelder automatisert saksbehandling. Når det gjelder forvaltningens enkeltsaksbehandling er det svært sjelden saker om feil i automatiserte avgjørelser blir tatt opp for domstolene. Dermed kan rettssikkerhetskrav som at vedtak er korrekte og forutsigbare, være vanskelige å etterprøve.

For å kunne ivareta sine rettigheter etter loven er det nødvendig at den registrerte har kunnskap om de automatiserte prosessene i forvaltningen. Slik kunnskap kan skje gjennom aktiv bruk av egen innsynsrett, eller gjennom pålagt informasjonsplikt for det enkelte forvaltningsorgan. Personopplysningsloven pålegger en slik plikt, men med det viktige unntaket at den registrerte ikke har krav på slik informasjon når behandlingen skjer med uttrykkelig hjemmel i lov. Og bruk av automatiserte avgjørelser skjer som regel ikke uten at dette er fastsatt i lov. Den registrerte er dermed fratatt nødvendig informasjon for å kunne etterprøve denne type forvaltningsvedtak.

Rapporten synliggjør at mer bruk av automatiserte avgjørelser betyr dårligere rettigheter for de som er registrert. Dette kunne forvaltningsorganene ha løst for eksempel gjennom aktiv informasjon på sine nettsider.

1.3.4.2 Funn fra tilsyn

Oppfølging av kommuneundersøkelsen

I kommuneundersøkelsen 2010/2011 avdekket Datatilsynet at kommunal sektor har utfordringer når det gjelder etterlevelse av personopplysningsloven. Med bakgrunn i undersøkelsen ble det gjennomført tilsyn med fem kommuner i Troms. Tilsynene viste generelle mangler med internkontroll og informasjonssikkerhet for samtlige av de kontrollerte kommunene.

I tillegg har Datatilsynet fulgt opp kommuner som ikke besvarte kommuneundersøkelsen, eller som svarte at de ikke hadde etablert internkontroll og heller ikke hadde en plan om dette. Oppfølgingen endte med at Datatilsynet fattet vedtak om tvangsmulkt for seks kommuner knyttet til implementering av internkontroll.

Tilsyn med statlige virksomheter

Høsten 2012 gjennomførte Datatilsynet fem tilsyn rettet mot statlige virksomheter under temaet internkontroll og informasjonssikkerhet. Følgende fem virksomheter ble kontrollert: Utdanningsdirektoratet, Utlendingsnemnda, Havarikommisjonen, Direktoratet for arbeidstilsynet og Direktoratet for naturforvaltning.

Det var stor variasjon i virksomhetenes natur; fra Utlendingsnemnda som har store databaser med personopplysninger og til for eksempel Havarikommisjon som ønsker å registrere færrest mulig personopplysninger. Tilsynene viste store forskjeller i kunnskapen om personvernregelverket.

Av de fem virksomhetene hadde to stykker gode og dokumenterte rutiner for internkontroll og informasjonssikkerhet. De andre manglet rutiner for internkontroll.

Når det gjaldt informasjonssikkerheten hadde enkelte mangel på ledelsesforankring. Andre igjen hadde mangelfulle sikkerhetstiltak, for eksempel ved bruk av usikre kommunikasjonskanaler slik som usikret e-post. Flere var dårlige på etablering av databehandleravtaler og hadde mangelfull gjennomføring og oppfølging av risikovurderinger.

1.3.5 Internasjonalt samarbeid

Utviklingen på personvernområdet er sterkt påvirket av den internasjonale utviklingen og av regelverk fastsatt utenfor Norge. I 2012 utarbeidet Datatilsynet en strategi for sitt internasjonale arbeid. I strategien er det uttalt at vi skal fortsette å være aktive på den internasjonale arenaen for å påvirke rettsutviklingen og for å få kunnskap om endringer og utviklingstrekk som vil kunne utfordre oss i fremtiden.

Regelverket Datatilsynet forvalter er basert på et EU-direktiv. Direktivet er igjen tuftet på europeiske og globale menneskerettigheter. Datatilsynets forvaltning må, i tillegg til de føringene som lovgiver har gitt, i rimelig grad forholde oss til forvaltningspraksis hos øvrige personvernmyndigheter. Mange av virksomhetene som behandler personopplysninger er multinasjonale selskaper, og personopplysninger utveksles i stadig større omfang utover landegrensene. Mye av det internasjonale arbeidet tar nettopp utgangspunkt i et ønske om en enhetlig forvaltning av direktivet, samt det å utveksle synspunkter og erfaringer.

Ettersom Norge ikke er medlem av EU er Datatilsynets påvirkning av EU-prosessene dels avhengig av egen aktivitet og dels av andres. Dette gjør det særlig viktig med et tett og forpliktende samarbeid mellom de nordiske landene.

Datatilsynets deltagelse i ulike internasjonale fora er nødvendig for å sikre et godt personvern i Norge, og det pågår en rekke prosesser tilsynet kan delta i, både i Europa og globalt. Det er imidlertid viktig å være målrettet og ha klare prioriteringer på vårt arbeid. Dette bør styres av hvor vi kan påvirke og hvor vi kan lære.

Vi ser at teknologitrender treffer Norge og Datatilsynet umiddelbart. Mange av disse trendene kommer fra andre deler av verden, men Norge ligger i forkant når det gjelder å ta i bruk ny teknologi og når det gjelder deltagelse på nye sosiale plattformer. Politisk sett er EU mest sentralt for vårt arbeid, men USA er den store driveren i teknologiutviklingen, og en stor del av selskapene som utfordrer norske borgeres personvern er lokalisert utenfor både Norge og EU. Det er derfor helt sentralt at vi i Datatilsynet holder oss informert om den internasjonale utviklingen og har god kompetanse både om internasjonale prosesser og utviklingen generelt. Dette gjør det også viktig å jobbe aktivt overfor store internasjonale aktører direkte, slik det blant annet har blitt gjort med Facebook.

1.3.5.1 EU-kommisjonens forslag til nye personvernregler

I januar la EU-kommisjonen frem et forslag om å erstatte dagens personverndirektiv med en ny personvernforordning (lov). Kommisjonens formål er todelt; man ønsker et regelverk som er mer tilpasset vår digitale nåtid og fremtid enn det gjeldende direktivet fra 1995, og det er et ønske om økt harmonisering på personvernområdet i Europa. I dag er det store nasjonale variasjoner i hvordan personverndirektivet er implementert, og særlig for virksomheter som opererer i flere land er dette tungvint.

Forslaget er svært omfattende, og det er vanskelig fullt ut å se konsekvensene av det som er foreslått. Siden den norske personopplysningsloven er bygget på dagens personverndirektiv vil det få konsekvenser også i Norge dersom dette forslaget blir vedtatt. Selv om det samarbeides godt mellom personvernmyndighetene i Europa på stadig flere områder, er det en utfordring at det gjeldende personvernregelverket er tolket ulikt i de forskjellige land, i tillegg til at det ikke legger føringer på hva det skal samarbeides om og hvordan.

Nytt, overordnet personvernorgan

Kommisjonen har kommet med et forslag om å gjøre samarbeidet mindre tilfeldig ved å opprette et nytt, overordnet personvernorgan; European Data Protection Board (EDPB). Det er et godt forslag, men Datatilsynet frykter at det bare er tilsynsmyndighetene i medlemslandene som skal være representert i EDPB. Det norske Datatilsynet risikerer da å havne helt på sidelinjen i det felleseuropeiske personvernarbeidet, og kan risikere å bli bundet av beslutninger som vi ikke har kunnet påvirke. Et norsk krav bør derfor være at så lenge EUs nye personvernlovgivning blir gjeldende rett i Norge, må Norge være representert med fulle rettigheter i EDPB.

Enhetlig praktisering av loven

I forslaget foreslås egne regler som skal sikre av loven praktiseres likt i de ulike EU-landene. Dette er en viktig forutsetning for at forordningen skal fungere etter hensikten. EDPB vil spille en sentral rolle som koordinator og pådriver for å oppnå enhetlig praktisering. Prosessen som foreslås er imidlertid svært omfattende og byråkratisk. Datatilsynet frykter at dette vil forsinke prosessene og at de ulike medlemslandene vil forsøke å unngå å bruke prosessreglene forordningen legger opp til. Vi har derfor tatt initiativ til et nordisk samarbeid for å legge fram et alternativt forslag til en prosess for enhetlig praktisering av loven.

For mye makt til kommisjonen

Datatilsynet reagerer dessuten på at kommisjonen gis forskriftskompetanse på nesten en tredjedel av forordningsforslagets innhold, inkludert innhold som er av stor materiell betydning. Som ikke-medlem har Norge langt færre muligheter til å påvirke forskriftsarbeid enn det medlemsland har. I tillegg gis kommisjonen mulighet til å overstyre nasjonale personvernmyndigheter i enkeltsaker for å sikre harmonisering og konsistens. Dette truer personvernmyndighetenes uavhengighet.

1.3.5.2 Artikkel 29-gruppen (Art. 29 Data Protection Working Party – WP 29)

Denne gruppen er den øverste rådgivende forsamlingen for EU-kommisjonen i spørsmål om personvern og informasjonssikkerhet, og avgir uttalelser om tolkning av personverndirektivet. Norge er observatør i denne gruppen, som består av lederne hos personvernmyndighetene i EU- og EØS-land. Observatørstatusen kommer av at Norge ikke er medlemsland, og gjør at vi ikke har stemmerett. I 2012 har det vært avholdt fem møter i gruppen.

Tidlig i meldingsåret informerte Datatilsynet artikkel 29-gruppen om det nordiske initiativet overfor Facebook, og det ble vist til rapporten vi hadde skrevet i 2011 om sosiale medier. Det er mange andre lands myndigheter som har tilsvarende utfordringer med store internasjonale aktører, og inntrykket er at det er interesse for hva vårt initiativ kommer til å resultere i.

Mye av arbeidet i undergruppene til artikkel 29-gruppen var i meldingsåret preget av forventningen til det nye forslaget til forordning som var varslet fra EU. Det ble i løpet av året produsert en rekke uttalelser om sentrale personverntemaer, slik som hva som skal regnes som sensitive data, underretning til den registrerte, bruk av biometri, samtykkeinstituttet og om tilsynsmyndighetenes fremtidige rolle på en internasjonal arena. Innen helseområdet er et arbeid med en europeisk kjernejournal i gang, og det er satt ned en egen undergruppe som skal se på dette.

I tillegg har artikkel 29-gruppen rettet en god del oppmerksomhet mot utfordringer knyttet til Internett. Norge er fullverdig medlem i Technology Subgroup, en undergruppe av artikkel 29-gruppen, og er slik sentralt plassert i arbeidet som foregår der. Gruppen er meget aktiv innenfor teknologispørsmål og representerer en viktig del av tilsynets internasjonale nettverk. I gruppen deler tilsynet sine oppfatninger, men får også god innsikt i øvrige lands vurderinger i teknologispørsmål. Eksempler på hva som har vært behandlet i 2012 er spørsmål knyttet til adferdsstyrt reklame, lokaliseringstjenester på mobiltelefoner knyttet til Internett (særlig Apples lagring av slike opplysninger), Google Street View, Facebook og andre sosiale nettsamfunn, lekkasjen fra / hackingen av Sony sine servere, samt sporing på nett.

Sporing på Internett – Do Not Track-standarden

Vi blir alle sporet når vi surfer på Internett, og det er mulig for bedrifter å spore enhver bevegelse vi gjør på deres nettsider. Dette har internasjonal interesse, og Datatilsynet deltar i drøftingen rundt dette gjennom sin representasjon i Technology Subgroup.

En såkalt Do Not Track-standard vil fungere ved at det gis beskjed fra brukerens utstyr eller nettleser om hvilke preferanser brukeren har når det gjelder sporing, for eksempel om brukeren ønsker å gi fra seg opplysninger for å få relevant reklame. Do Not Track-standarden vil også bestemme hvordan tilbydere må forholde seg til brukerens valg.

I begynnelsen av 2012 var det et stort håp, blant annet hos EU-kommisjonen, om at man skulle greie å etablere en tilfredsstillende Do Not Track-standard. I oktober ble det lagt frem et utkast til standard, men standarden var etter EU-kommisjonens syn for svak. Prinsippet skulle være at man skulle slippe unna sporing, noe som ennå ikke var tilstrekkelig ivaretatt. Det er også fremdeles bekymring for at Do Not Track ikke blir satt som et standardvalg i nettleserne, og for at unntakene som er foreslått fra standarden blir for omfattende. Det kan dermed fremdeles være langt frem til vi får en tilstrekkelig god Do Not Track-standard.

Noen aktører har allerede lagt ned arbeid for å muliggjøre at brukerne ikke blir sporet, og Do Not Track er et av standardvalgene i Microsofts Internet Explorer 10 på Windows 8. Dette har møtt kritikk fra markedsføringsselskaper som hevder at bruk av Do Not Track må være et valg gjort av brukeren og ikke et standardvalg.

Problematikken rundt sporing på Internett har lenge vært en utfordring, og reglene om personvern og databeskyttelse på nett ble styrket i forbindelse med endringen i ekomdirektivet i 2009: Internettbrukerne skulle bli bedre informert om informasjonskapsler (cookies) og om hva som skjer med deres personlige data, og de skulle lettere kunne utøve kontroll over opplysninger om seg selv.

Artikkel 29-gruppen laget i meldingsåret en egen opinion om håndteringen av informasjonskapsler i de tilfellene der samtykke ikke er nødvendig. Artikkel 29-gruppens arbeid rundt hvordan informasjonskapsler kan benyttes og en Do Not Track-standard vil fortsette i 2013.

Personvernvilkår på nettjenester

Artikkel 29-gruppen har i 2012 koordinert et arbeid der det har blitt sett nærmere på om personvernvilkårene til Facebook, Google og Microsoft er i samsvar med EUs personverndirektiv. Datatilsynet har gitt innspill til dette arbeidet gjennom sin deltagelse i Technology Subgroup.

Facebook, Google og Microsoft har hver for seg etablert en rekke tjenester. Spørsmålet er blant annet om personopplysninger gitt til én tjeneste, blir brukt for å bedre eller gjennomføre andre tjenester. Dette skjer muligens uten at det blir innhentet et logisk og klart samtykke eller uten at det finnes hjemmel for slik bruk av personopplysningene.

Overfor Google har artikkel 29-gruppen vært kritisk til at selskapets nye personvernvilkår åpner for utveksling av personopplysninger mellom de ulike Google-tjenestene. Artikkel 29-gruppens arbeid med å se nærmere på Googles personvernvilkår blir koordinert av personvernmyndighetene i Frankrike, Commission nationale de l’informatique et des libertés (CNIL).

Microsoft har endret sine personvernvilkår betydelig etter sommeren. For Europa har Microsoft utgangspunkt i Luxembourg, det er dermed dette landets personvernlovgivning som vil gjelde for Microsofts personvernvilkår.

Dette er et område som også vil få oppmerksomhet i 2013.

1.3.5.3 Oppfølging av Facebook

I desember 2011 publiserte de irske personvernmyndighetene sin tilsynsrapport for Facebook Irland. Rapporten inneholdt en detaljert kravliste over anbefalte løsninger for Facebook. Det ble lagt opp til en gjennomgang av implementeringen i juli 2012, og det ble konkludert med at de fleste anbefalingene hadde blitt tilfredsstillende implementert hos Facebook. Dette gjelder spesielt områdene for bedre åpenhet overfor brukerne, bedre kontroll over innstillinger, klare lagringstider for sletting av personopplysninger og en utvidet mulighet for brukerne til å slette elementer, samt brukernes tilgang til egne personopplysninger. I noen tilfeller har Facebook gått lenger enn de kravene som i utgangspunktet var blitt satt for å kunne imøtekomme kravene også fra andre lands personvernmyndigheter.

Gjennomgåelsen av Facebook var kun en vurdering på et gitt tidspunkt. Endringer og utvikling av Facebooks tjenester overfor brukerne og bruk av personopplysninger for reklamevirksomhet vil fortsette å utfordre personvernet. Dette medfører et behov for en fremtidig kontinuerlig involvering og arbeid for de irske personvernmyndighetene.

Det norske Datatilsynet har i løpet av meldingsåret også hatt aktiv dialog med Facebook, dette er omtalt nærmere under Internett og telekommunikasjon.

1.3.5.4 Berlin-gruppen

Datatilsynet er fullverdig medlem i denne globale gruppen som arbeider med personvernproblemstillinger knyttet til teknologi. Det er bred deltakelse fra alle deler av verden. Deltakelsen i denne gruppen bidrar til at vi får kunnskap om aktuelle problemstillinger på et tidlig stadium. Gruppen utøver også påvirkning på prosesser i EU, og den er et viktig møtested for å drøfte personvernutfordringer. Berlin-gruppen lager felles anbefalinger om hvordan ulike utfordringer kan løses. I meldingsåret var gruppen spesielt aktiv i forhold til nettskytjenester, sosiale nettverk og overvåkingstiltak innen telekommunikasjonssektoren.

Datatilsynet deltar aktivt i Berlin-gruppens arbeid. I 2012 har vi holdt innlegg om vårt arbeid i forbindelse Google Analytics og Facebook, samt sakene om Microsoft og Googles nettskytjenester. Vi har dessuten gitt innspill til gruppens memorandum om nettskytjenester.

1.3.5.5 Nordisk samarbeid

Datatilsynet var i mai 2012 vertskap for en utvidet nordisk datatilsynskonferanse. Lederne for de nordiske datatilsynsmyndighetene samles en gang i året for å utveksle erfaringer fra egen virksomhet. I år var møtet utvidet til også å omfatte saksbehandlere innen de ulike fagdisiplinene. Representanter fra Finland, Sverige, Danmark, Island, Færøyene, Åland og Norge deltok.

De nordiske landene har mange fellestrekk i sin regulering av personvern, og det nordiske møtet er et viktig samlingspunkt for å finne felles posisjoner som kan trekkes inn i det internasjonale arbeidet. Det er også verdifullt å se hvordan like utfordringer løses i nabolandene. Hovedtemaet for møtet i meldingsåret var EU-kommisjonens forslag til ny personvernforordning, og hvordan fremtidens regelverk kan komme til å påvirke personvernmyndighetenes nasjonale og internasjonale oppgaver. Mulighetene for fremtidige felles tilsyn ble blant annet også diskutert.

1.3.5.6 Den internasjonale personvernkonferansen

I 2012 ble den internasjonale personvernkonferansen avholdt i Uruguay. Datatilsynet deltok med to representanter. Konferansen var todelt; en åpen del hvor akademia og næringsparter deltar sammen med personvernmyndighetene, og en lukket del for personvernmyndighetene. Hovedtema for den lukkede delen var personvernprofiler. De deltakende myndighetene vedtok tre dokumenter med prinsipper for hvordan personvernet skal ivaretas for henholdsvis personprofiler, nettskytjenester og The future of privacy. Sistnevnte peker på internasjonalt samarbeid og informasjonsdeling som sentralt for i fremtiden å kunne ivareta personvernmyndighetenes oppdrag.

1.3.5.7 Global Privacy Enforcement Network – GPEN

GPEN er et samarbeidsforum for personvernmyndigheter. Datatilsynet ble medlem i 2012, og deltok på et møte i forumet i sammenheng med den internasjonale personvernkonferansen. GPEN legger til rette for informasjonsutveksling og det planlegges koordinerte aktiviteter som myndighetene kan velge å delta i.

1.3.5.8 Ansvarlig tilsynsmyndighet – Binding Corporate Rules

I 2012 tok Datatilsynet oppdraget som ansvarlig tilsynsmyndighet (lead authority) i forbindelse med den første norske søknaden om «Binding Corporate Rules» (BCR). BCR er et instrument som skal sikre fri flyt av personopplysninger internt i et konsern på en måte som er i tråd med norske og europeiske personvernregler. Det er et omfattende arbeid å stå som ansvarlig for denne godkjennelsesprosessen, men det er en utfordring Datatilsynet tar for å sikre seg kompetanse på området for fremtiden.

1.4 Om Datatilsynet – organisasjon og ressursbruk

Datatilsynets virksomhet kan i hovedsak deles inn i to hovedroller: Vi er et forvaltnings- og tilsynsorgan som treffer enkeltvedtak og utøver myndighet etter personvernlovgivningen. Samtidig har vi en ombudsrolle der vi skal ivareta og styrke personvernet som samfunnsinteresse. Som ledd i dette skal vi bidra til debatt og oppmerksomhet rundt personvernspørsmål, noe som også vil si å kritisere private aktører og offentlige myndigheter når de etter vår vurdering utfordrer personverninteressene. For å utføre dette har vi fire overordnede virkemidler; tilsynsvirksomheten, saksbehandlingen, kommunikasjonsvirksomheten og organisatoriske virkemidler. Organisatoriske virkemidler er for eksempel personvernombudsordningen og deltagelse i råd og utvalg.

Gjennom tilsynsvirksomheten og saksbehandlingen tilegner tilsynet seg erfaring og kunnskap om hvordan personvernhensynet blir ivaretatt i ulike sektorer og bransjer. Denne kompetansen er avgjørende for en god utøvelse av ombudsrollen vår. Kommunikasjonsvirksomheten knytter seg i større grad til utøvelsen av begge rollene. Vi skal veilede og informere om personvernlovgivningen og vår forvaltningspraksis, men samtidig skal vi skape debatt og påvirke.

Datatilsynets overordnede målsetning er å bidra til å ivareta og utvikle et best mulig personvern for norske borgere. Ved å analysere og planlegge ut fra kunnskapen vi får fra tilsynsvirksomheten, saksbehandlingen og publikumskontakten, kan vi iverksette spissede informasjonstiltak, ta initiativ til regelverksutvikling eller opplæringstiltak, oppfordre til debatt eller gjennomføre andre aktuelle tiltak.

En kontinuerlig oppmerksomhet på hvordan vi kombinerer roller og virkemidler er derfor viktig for å oppnå et samfunn som i størst mulig grad ivaretar personvernet.

1.4.1 Tilsynsvirksomheten

Datatilsynets mål for tilsynsvirksomheten er å aktivt kontrollere at lover og regler følges ved å drive tilsynsvirksomhet av god kvalitet basert på risikoanalyse.

I 2012 gjennomførte vi tilsyn innen ni ulike bransjer valgt ut ifra våre prioriterte områder. Det ble gjennomført 55 tilsyn, noe som er en økning fra 38 tilsyn i 2011.

Det som regnes som tilsyn her er en kontroll med etterlevelse av regelverket, og hvor det utarbeides en rapport i etterkant. Tilsyn gjennomføres normalt med stedlig oppmøte hvor to medarbeidere fra Datatilsynet stiller. Når det er hensiktsmessig gjennomføres enkelte tilsyn uten stedlig oppmøte. I meldingsåret var 45 av tilsynene stedlige, mens ti ble gjennomført via brev.

Datatilsynet gjennomfører også en omfattende kontroll gjennom øvrig saksbehandling, blant annet gjennom oppfølging av klager fra publikum og avviksmeldinger. Slike saker fremgår ikke av denne oversikten.

For en fullstendig oversikt over alle tilsynsobjektene, se vedlegg A. Viktige funn fra tilsyn er omtalt i kapittel 3 om utvalgte områder.

1.4.1.1 Trender

Å bruke funn fra tilsynene for å beskrive trender forutsetter lik tematikk over flere år. Dette er krevende med et begrenset antall tilsyn og med varierende sektorvalg og tematikk for tilsynene. Videre er ikke alle rapportene klare ved årsskiftet.

En generell trend er likevel manglende kjennskap til pliktene rundt internkontroll og informasjonssikkerhet. Dette er identifisert blant annet gjennom tilsynene hos statlige virksomheter og i kommuneundersøkelsen som ble gjennomført i 2010/2011. Funnene er nærmere omtalt i kapittel 3 under Offentlig sektor.

1.4.1.2 Om bruk av tilsyn for å undersøke og avvikle praksis

Datatilsynet bruker tilsynsvirksomheten aktivt for å undersøke og avklare praksis. I mange tilfeller vil praksisen være relativt lik i et stort antall virksomheter, og tilsyn med få virksomheter kan være tilstrekkelig for å eventuelt arbeide videre med sektoren dersom det avdekkes avvik. Fra 2012 kan vi trekke frem følgende:

Kameraovervåking ved bank i butikk. Det ble gjennomført tre tilsyn hvor sentrale tema var ansvar og lagringstid, noe som er ulikt for henholdsvis banktjenesten og butikkvirksomheten. Vurderingene som følger av tilsynene vil være overførbare til et stort antall virksomheter.

Lydopptak ved call-senter. Tilsyn og påfølgende dialog med aktørene, inklusive bransjeforening, vil følges opp ved at veiledningen som er tilgjengelig på våre nettsider blir revidert. Denne veiledningen skal ivareta både personvernet og virksomhetens behov for opptak.

Vedvarende kameraovervåking i taxier. To taxiselskap ble kontrollert. Vurderingene i sakene er ikke ferdige, men vi legger til grunn at sakene vil få konsekvenser for hvordan vedvarende kameraovervåking eventuelt skal etableres i taxier.

1.4.1.3 Om bruk av funn fra tilsyn

Funn fra tilsyn blir i første rekke samlet og systematisert i de individuelle tilsynsrapportene. Foreløpige rapporter blir sendt til tilsynsobjektet, tilbakemeldinger blir vurdert og det utformes en endelig rapport. Alle endelige rapporter publiseres på Datatilsynets nettside slik at andre aktører i tilsvarende bransjer kan lese om relevante funn. Videre stadfester rapportene tilsynets forvaltningspraksis innen de aktuelle områdene. Utover dette brukes funnene i dialog med enkelte bransjeforeninger som igjen tar utfordringene videre med sine medlemmer.

Eksempler på oppfølging som allerede er gjennomført eller som er under planlegging:

• Funn knyttet til mobilapplikasjoner skal kommuniseres tilbake til næringen, og vil inngå i Datatilsynets arbeid både nasjonalt og internasjonalt. Miljøer der apper utvikles er planlagt fulgt opp for å påvirke disse til å arbeide etter prinsippene for innebygd personvern.

• Funn fra tilsynene mot noen utvalgte politiske parti vil kommuniseres til samtlige parti når konklusjonene er klare.

• Funn fra tilsynene i kommunene blir kommunisert tilbake til sektoren, samt legges til grunn ved diskusjoner om virkemiddelbruk overfor denne sektoren.

• På bakgrunn av tidligere tilsyn ba Datatilsynet i 2012 Helsedirektoratet om en fortolkning av de rettslige rammene for kvalitetsregistre. Svaret vi fikk vil bli brukt i vårt videre arbeid, og er kommunisert til sektoren via personvernombudene.

• Tidligere tilsyn med helseforskning var bakgrunnen for tilsynets dialog med de Regionale Etiske Komiteer (REK). Funnene er også presentert for sektoren.

1.4.2 Juridisk saksbehandling

Datatilsynets mål er at det juridiske arbeidet skal kjennetegnes av god juridisk metode, tydelighet og høy kvalitet.

Saksbehandlingen i Datatilsynet er definert til å være alle aktiviteter knyttet til henvendelser fra offentlige og private virksomheter, samt fra enkeltpersoner. Henvendelsene kommer både via brev, e-post og telefon.

Datatilsynet erfarer at flere saker er mer komplekse enn tidligere, og at problemstillingene blir flere og mer sammensatte. En trend innen helseforskning er for eksempel at det er ønskelig med kobling mellom flere og flere opplysninger på individnivå. Såkalte registerstudier er store studier er basert på opplysninger fra ulike register. Opplysningene kobles så sammen og brukes i forskningssammenheng. Disse studiene kan omfatte et meget stort antall personer, og Datatilsynet har sett flere av disse studiene nå enn tidligere.

I 2012 har vi også sett nærmere på vår praksis i forhold til konsesjoner for helseregistre som går over lange tidsrom. Vi har sett på grensen for tilsynets kompetanse opp mot helseregisterlovens bestemmelser om formalkrav til opprettelse av permanente helseregistre. Flere av de konsesjonene som er gitt av Datatilsynet de siste årene kan tyde på at noen av registrene som var angitt å være tidsbegrensede, ikke er det i praksis. Hva dette vil ha å si for tilsynets fremtidige praktisering vil avgjøres i 2013.

Internasjonaliseringen gjør seg også gjeldende i de sakene vi mottar. Det er stadig flere behandlingsansvarlige som benytter underleverandører og partnere i utlandet, og stadig flere også utenfor EU/EØS. Det er etablert forskjellige instrumenter for å forsikre seg om at personopplysninger ikke brukes utover det som er avtalt, slik som for eksempel Safe Harbour-avtalen når det gjelder utlevering til USA. Alle slike mekanismer baserer seg på tillit partene i mellom, men systemet kan anses å ha en svakhet ved at det er vanskelig å føre kontroll med hva som skjer i andre deler av verden.

1.4.2.1 Prioriteringer

I meldingsåret har det blitt jobbet systematisk med prioritering av innkomne saker og henvendelser, og noen enkeltsaker og noen type saker har derfor ikke gjennomgått en full forvaltningsmessig utredning. Vi har for eksempel vurdert om enkelthenvendelser indikerer en større systemfeil i en aktuell virksomhet eller bransje, eller om det er en enkeltstående sak.

Alle som henvender seg til Datatilsynet skal imidlertid få et svar. Hovedforskjellen er at vi ikke går inn i sakene i samme grad som i en fullstendig utredningssak, men gir et svar av mer veiledende karakter. Målet er da å sette borgerne i stand til å ivareta eget personvern.

Prioriteringene i tilsynets virksomhetsplan har også vært styrende for hvilke saker som vi har gått grundigere inn i, og hvilke steder vi har valgt å reise på stedlig kontroll til. I forbindelse med et prosjekt om kontroll i arbeidslivet tok vi for eksempel opp saker til behandling som vi ellers ikke ville ha prioritert.

1.4.2.2 Dokumenter og saker

Det ble journalført til sammen 4 858 dokumenter i meldingsåret. Av disse var 2 646 innkomne dokumenter som hovedsakelig ble underlagt full saksbehandling. Dette er en nedgang sammenlignet med året før, men som man ser av tabellen under har antallet sendte dokumenter ut økt.

Det ble for øvrig opprettet 1 220 nye saker i 2012, mot 1 345 året før. Mange som henvender seg til Datatilsynet ønsker enkle råd og veiledning om hvordan de kan gå videre med sin sak. Det er bedre ressursbruk og bedre service å gi et kjapt og uformelt svar, fremfor å ta saken opp til full forvaltningsmessig behandling. Mye av forklaringen på nedgangen i antall registrerte saker skyldes nettopp dette.

Klager på vedtak

I meldingsåret ble 35 av Datatilsynets vedtak påklaget. I tre av disse sakene ble vedtaket omgjort eller endret, og tre saker ble avsluttet etter å ha veiledet klageren. 17 av sakene er fortsatt til behandling, mens resten ble oversendt til Personvernnemnda.

Innsynskrav

I 2012 håndterte tilsynet til sammen krav om innsyn i 2 826 dokumenter. Av disse ble det begjært innsyn i 2 029 dokumenter via Offentlig Elektronisk Postjournal (OEP), mens innsynskravene om de resterende 797 dokumentene gikk direkte til Datatilsynets arkivtjeneste. Arkivet håndterer alle disse henvendelsene sammen med den enkelte saksbehandler som vurderer dokumentene. Det er viktig for oss at vi har høy kvalitet i vurderingen av hvilke dokumenter vi velger ikke å levere ut etter begjæring om innsyn.

Datatilsynet mottok i meldingsåret åtte formelle klager på avslag på innsyn. Klageinstansen er Fornyings-, administrasjons- og kirkedepartementet, og tilsynet sendte over fire av klagene for klagebehandling. Vi fikk medhold i alle sakene. De resterende fire sakene ble omgjort av eget tiltak.

1.4.2.3 Overtredelsesgebyr og tvangsmulkt

Datatilsynet har som strategisk mål å søke en balansert virkemiddelbruk for å oppnå best mulig personvern for den enkelte. Overtredelsesgebyr og tvangsmulkt er en del av virkemidlene vi har til rådighet, men det er ikke lovgivers intensjon at dette skal være primære virkemidler for å oppnå etterlevelse av regelverket og et godt personvern. Dette skal være noe vi benytter i de mest alvorlige tilfellene vi avdekker, og på områder hvor det er viktig å sikre rask etterlevelse av våre beslutninger.

I meldingsåret har det blitt ilagt overtredelsesgebyr i syv saker, og besluttet tvangsmulkt i to saker hvorav en fortsatt ikke er avsluttet.

De to sakene om tvangsmulkt er en konsekvens av ikke å svare Datatilsynet som tilsynsmyndighet. I den ene saken har virksomheten svart etter varsel om pålegg, men det var ved årsskiftet ikke kommet svar fra Mestringshuset Øst.

Forsikringsselskapet Protector AS fikk overtredelsesgebyr for ikke å ha hatt nødvendig konsesjon for å drive forsikringsselskap. De antok at en konsesjon tilhørende et tidligere selskap som nå var slått sammen under det nye selskapets navn, var tilstrekkelig. Tilsynet mente at en profesjonell part innen forsikringsbransjen må sørge for at de tillatelser som regelverket krever de skal ha, er på plass.

St. Olavs Hospital ble ilagt et overtredelsessgebyr etter at de hadde lagret opplysninger som de ikke hadde grunnlag for å oppbevare eller behandle helt siden 2007. Helseforetaket var gjort oppmerksomme på at de måtte innhente samtykke fra de registerte, uten at de hadde tatt tak i dette. Alternativet hadde vært å slette eller anonymisere opplysningene, noe de heller ikke hadde gjort.

Universitetet i Bergen (UiB) fikk overtredelsesgebyr for ikke å ha overhold en gitt konsesjon om tillatelse til et forskningsprosjekt. UiB hadde ikke kontroll på om konsesjonen ble fulgt, noe som førte til at flere opplysninger ble brukt i det aktuelle forskningsprosjektet enn konsesjonen ga tillatelse til. Det anses som et alvorlig brudd på personopplysningsloven at konsesjoner ikke overholdes. Konsesjon er en konkret tillatelse som mottakeren er kjent med og bør kunne forholde seg til forholdsvis enkelt.

Pegasus kontroll var engasjert av Reitan Convenience (RC) og hadde levert ut opplysninger om en ansatt i RC til en annen arbeidsgiver (Plantasjen). Opplysningene gjaldt en ansatts økonomiske utroskap overfor RC. Plantasjen på sin side hadde engasjert Pegasus kontroll for å sikre bedriften mot svikaktige ansatte. Verken Pegasus eller Reitan Convenience hadde grunnlag for å levere ut opplysninger om en konkret person til Plantasjen, og de ble derfor ilagt overtredelsesgebyr. Utlevering av denne typen sensitive personopplysninger er ikke mulig å reparere overfor den registrerte, og konsekvensen av bruddet på personopplysningsloven anses derfor som alvorlig.

Overtredelsesgebyret til Google er omtalt nærmere i kapittel 3 under Internett og telekommunikasjon.

1.4.2.4 Høringer

En viktig oppgave som ombud er å avgi høringsuttalelser i saker som har eller kan ha konsekvenser for personvernet. I 2012 var tilsynet høringsinstans i 163 saker. I 58 av disse sakene ble det gitt konkrete merknader. De resterende 105 høringene ble det ikke gitt merknader til, da tilsynet mente de ikke hadde noen betydning for personvernet.

Datatilsynet hadde merknader til mange av høringssakene innen helse- og omsorgssektoren, mens høringer knyttet til justissektoren var den andre store kategorien. At det er disse to områdene som dominerer er naturlig. Innen helsesektoren håndteres daglig store mengder sensitive personopplysninger og det er sett fra vårt ståsted viktig at personvern er en naturlig del av de reglene som styrer hvordan opplysninger skal håndteres. Justissektoren er også storforbruker av personopplysninger, men til forskjell fra helsesektoren er det andre hensyn som også gjør seg gjeldende her. Opplysninger brukes i kontrollhensikt og til å etterforske enkeltindivider. Det er derfor svært viktig at reglene er tydelige og sikrer god forutberegnelighet for hva myndighetene kan foreta seg. Det er også viktig at personvernet ivaretas godt slik at en oppnår god balanse mellom personvern og samfunnets interesser og behov.

Høringer der Datatilsynet har hatt vesentlige merknader er omtalt under de respektive områdene i kapittel 3. Se forøvrig en fullstendig oversikt over høringene Datatilsynet hadde merknader til i 2012 i vedlegg B.

1.4.2.5 Konsesjon/meldeplikt

Teknologiutviklingen påvirker personvernet på mange måter, og tilsynet ser at flere virksomheter enn tidligere er bevisste på at løsninger som utvikles også tar hensyn til personvernet. Mange virksomheter kontakter Datatilsynet og ønsker veiledningsmøter rundt nye løsninger og tjenester. Et av spørsmålene som da ofte stilles er om behandlingen vil kreve konsesjon eller utløser meldeplikt.

Datatilsynet erfarer at konsesjoner som blir gitt blant annet innen helse og forskning, senere ønskes endret og ofte utvidet. Å behandle endringssøknader er hovedsakelig like ressurskrevende som å behandle nye søknader. Flere forskningsprosjekter utvikler seg over tid og blir svært omfattende og tidkrevende å behandle. Vi har derfor i meldingsåret sett nærmere på et par typer konsesjoner; kvalitetssikringsregistre og de store befolkningsundersøkelsene. Målet er å avklare om slike registre fortsatt skal basere seg på konsesjon eller om de er blitt permanente og hører inn under helseforskningsloven.

Meldeplikten innebærer at den som ønsker å sette i gang en behandling av personopplysninger skal orientere Datatilsynet om dette senest 30 dager før behandlingen starter. Meldingene legges inn i en offentlig tilgjengelig database som er tilgjengelig for publikum via tilsynets nettsider. For vedvarende behandlinger skal meldingen fornyes hvert tredje år. Det er gitt unntak fra meldeplikten blant annet for virksomheter som har opprettet personvernombud.

Trenden er at antallet aktører som håndterer personopplysninger er økende. Vi har imidlertid grunn til å tro at det er mange som ikke har oppfylt meldeplikten, og at det i realiteten er mange flere som behandler personopplysninger. Det viser seg blant annet i forbindelse med gjennomførte tilsyn. Vi antar at dette kommer av en mangel på kunnskap om hva som er lovens krav. Dette er noe av det som gjør Datatilsynets veiledningstjeneste viktig, sammen med godt informasjonsmateriell på våre nettsider.

1.4.2.6 Veiledningstjenesten

Datatilsynets veiledningstjeneste er et viktig «lavterskeltilbud» som håndterer e-post og telefonhenvendelser fra befolkningen og virksomheter. Et viktig mål med tjenesten er å gjøre borgerne og virksomhetene i stand til å ivareta eget ansvar for personvernet. Det er grunn til å anta at mange som benytter tjenesten ville kviet seg for å bruke mer formelle henvendelsesformer.

Generelt om tjenesten

I 2012 har det vært færre faste personer som har svart på telefon og på e-post enn tidligere år, og en større andel av henvendelsene er besvart av andre ved juridisk avdeling enn veiledningstjenesten. Dette føres det ikke statistikk for, noe som gjør tallene i tabellen lavere enn det reelle antallet besvarte henvendelser.

Trenden er uansett ganske klar, det synes som om antallet henvendelser er nedadgående. Det kan ha sammenheng med at vi i meldingsåret har bygd ut nettsidene våre med typiske spørsmål og tilhørende svar. Vi legger også ut veiledningsmateriell ved behov. Målet er at nettsidene skal være det naturlige førstevalget når noen har spørsmål om personvern. Fagavdelingene i tilsynet jobber derfor tett med informasjonsavdelingen for jevnlig å kvalitetssikre den informasjonen som ligger på nettsidene.

Henvendelsene til veiledningstjenesten besvares med informasjon om regelverk, henvisning til våre og andre etaters nettsider, eller en orientering om hvilke eventuelle andre etater brukerne kan ta kontakt med. Den enkelte får også eventuell veiledning i hvordan de selv kan følge opp saken sin.

Innholdet i henvendelsene

Det er noen områder som peker seg ut når det gjelder henvendelsene til denne tjenesten.

I oversikten ser man at kategorien «annet» representerer en stor del av henvendelsene. Omkring halvparten av disse henvendelsene faller utenfor personopplysningslovens virkeområde, og kan typisk være spørsmål som fanges av unntaket i personopplysningsloven om journalistiske formål, spørsmål om taushetsplikt (som oftest faller inn under forvaltningsloven) eller politiets behandling av personopplysninger. Andre henvendelser som havner i denne samlekategorien er lydopptak, databehandleravtale, overføring av personopplysninger til utlandet og informasjonssikkerhet.

Kategorien arbeidsliv/skole omfatter en stor del av henvendelsene, og er hovedsakelig konsentrert om temaene GPS, kameraovervåking, bruk av bilder, kontrolltiltak, e-post, personalmapper og lydopptak. Arbeidsgivers kontrolltiltak kan være innføring av adgangskontrollsystem, detaljregistrering av arbeider som utføres, effektivitetsmålinger, evalueringer og programvarekontroll.

Henvendelsene om fødselsnummer kommer i hovedsak fra privatpersoner. Spørsmålene tyder på at folk er bekymret for ID-tyveri, og de synes å ha et ønske om at fødselsnummeret skal være beskyttet mot spredning og forbeholdt de situasjonene hvor det er nødvendig. Hovedtyngden av henvendelsene gjelder bruk av fødselsnummer i kunderelasjoner eller i kunderegistre, men det er også henvendelser om offentlige etaters bruk av fødselsnummer. En liten andel gjelder forsendelser av fødselsnummer i usikret e-post.

Når det gjelder henvendelsene om Internett er de i hovedsak fordelt på følgende hovedområder; Facebook, krenkelser på nett, offentlig journal på nett, journalistiske formål, blogger og andre nettfora, samt nummeropplysningstjenester. Den største andelen henvendelser her gjelder fremdeles Facebook og handler om sletting av profil, stegning av konto eller sletting av bilder og annen informasjon. En del av disse henvises videre til tjenesten Slettmeg.no eller direkte til Facebook.

Kameraovervåking er en gjenganger i henvendelsene til tilsynet. Overvåking i borettslag og nabosituasjoner, samt bruk av web-kameraer i forskjellige sammenhenger er typiske tilfeller det kommer spørsmål om. Disse henvendelsene besvares effektivt med gode standardsvar sammen med konkrete råd i hver enkelt sak.

Henvendelsene om registre gjelder et bredt spekter av registre slik som helse-, kreditt-, kunde-, medlems- eller offentlige registre. Det er henvendelser om de private næringslivsaktørenes register som utgjør den største gruppen av disse, og de fleste av disse gjelder kredittopplysningsvirksomhet og kunderegistre.

1.4.2.7 Personvernnemnda

I løpet av 2012 ble det sendt over 15 saker til behandling i klagenemnda. Av sakene som ble behandlet i meldingsåret, ble kun tre omgjort og klager gitt fullt medhold.

Omgjøringsandelen er en god bekreftelse på tilsynets arbeid i og med at de fleste avgjørelsene blir stående. Sakene som påklages har dessuten ofte ikke et klart svar. Balansen mellom tilsynet og klageinstansen synes derfor å fungere godt og gir ofte avklaringer på områder som er kompliserte og uavklarte.

Kredittopplysningskonsesjonen

Kredittopplysningsbyråenes behandling av personopplysninger er underlagt konsesjonsplikt. Det har lenge eksistert en standardkonsesjon som har regulert denne formen for virksomhet, men på bakgrunn av flere enkeltsaker som har vært til behandling hos Datatilsynet og Personvernnemnda, ble det tydelig at standardkonsesjonen som ble utformet i 2006, var moden for en revisjon.

Den nye konsesjonen som ble sendt ut i 2009, ble påklaget av Norske kredittopplysningsbyråers forening (NKF). Klagen ble gitt oppsettende virkning og tilsynet gikk i dialog med NKF om de omstridte vilkårene. Det ble oppnådd enighet om flere av NKF sine anførsler, men fire av dem fant Datatilsynet ikke grunnlag for å kunne imøtekomme. Disse gjaldt bruk av adressehistorikk som parameter for kredittverdighet (hvor mange ganger den registrerte har flyttet), tilsvarende bruk av opplysninger om antall tidligere gjennomførte kredittvurderinger, eierskap til fast eiendom og opplysninger om fakturaer betalt før forfall.

Datatilsynet mottok tidlig i 2012 en ny formell klage som omfattet disse fire parametrene som bransjen mente var relevante. Saken ble derfor oversendt til Personvernnemnda for klagebehandling. I oktober 2012 mottok tilsynet nemndas vedtak i saken. Klagen ble tatt delvis til følge, ved at det ble åpnet for at kredittopplysningsselskaper kan legge vekt på opplysninger om eierskap til fast eiendom og opplysninger om fakturaer betalt før forfall (for juridiske personer sin del). Det er imidlertid fortsatt ikke adgang til å tillegge flyttevaner og antall gjennomførte kredittvurderinger betydning.

Avgjørelsen kan tas til inntekt for at det ikke i seg selv er tilstrekkelig at det kan dokumenters en statistisk sammenheng mellom et oppgitt formål og opplysninger som ønskes benyttet for å oppfylle nødvendighetskriteriet etter personopplysningsloven.

De øvrige mest sentrale avgjørelsene i nemnda er omtalt under respektive områder i kapittel 3. Se ellers vedlegg C for en fullstendig oversikt over sakene som ble oversendt Personvernnemnda i 2012.

1.4.2.8 Offentlige undersøkelseskommisjoner

Datatilsynet ga i 2012 konsesjon til to offentlige undersøkelseskommisjoner som var nedsatt ad hoc, for deres behandling av personopplysninger. Dette gjaldt 22. julikommisjonen og utvalget for undersøkelse av politikk overfor tatere/romanifolket.

Undersøkelser i regi av slike kommisjoner reiser en rekke prinsipielle og vanskelige problemstillinger knyttet til rettsvernet for de personer som får sine forhold undersøkt. Disse ble nærmere belyst av Undersøkelseskommisjonsutvalget i 2009 (NOU 2009: 9). Utvalget konkluderte med at denne type undersøkelsesvirksomhet bør reguleres i lov, men problematiserte også virksomheten som sådan. Utredningen er ikke fulgt opp av regjeringen.

De to konsesjonssøknadene som ble sendt til Datatilsynet aktualiserte en rekke av de beskrevne problemstillingene. Fra et personvernståsted er det særlig problematisk at undersøkelsesvirksomheten ikke er hjemlet i lov. En lovhjemmel vil sikre både at forholdsmessigheten i virksomheten blir belyst og avveid i en bred demokratisk prosess, samt skape nødvendig forutberegnlighet og klarhet for de registrerte – og særlig de som får sine forhold undersøkt av kommisjonen.

Det er etter tilsynets vurdering ikke tilfredsstillende at undersøkelsesvirksomheten reguleres i et enkeltvedtak fra Datatilsynet. Samtidig kan Datatilsynet vanskelig sette til side en kongelig resolusjon som oppnevner en slik kommisjon, og ser seg i praksis nødt til å gi kommisjonen en konsesjon.

Tilsynet har skrevet til Justisdepartementet, og forsøkt å påskynde det videre arbeidet med utredningen. Det er nødvendig å få en avklaring på om undersøkelseskommisjoner skal opprettes i fremtiden, og hvilket regelverk som eventuelt skal regulere deres virksomhet.

1.4.2.9 Regelverksutvikling – politiregisterlov og forskrift

Politiregisterloven ble vedtatt i 2010, men er fortsatt ikke trådt i kraft. Datatilsynet har etter 2010 vært i referansegruppen for forskriftsarbeidet via en god dialog med Justisdepartementet. Forskriften var heller ikke helt ferdig innen utgangen av meldingsåret.

I høringen som Datatilsynet skrev uttrykte vi at vi er tilfreds med at det etableres et regelverk på politiregisterområdet, og ser behovet for at politiregisterloven suppleres med et forskriftsverk. Forslaget var imidlertid svært omfattende, og det kan være en fare for at regelverket blir vanskelig tilgjengelig for de som skal anvende det.

Datatilsynet hadde planlagt aktiviteter for 2012 forutsatt at loven og forskriften trådte i kraft. Noen av aktivitetene ble påstartet, men de ble nedtonet da det viste seg at ikrafttredelsen ville bli utsatt. Det er opprettet dialog med sentrale parter som Politidirektoratet og Kripos, og tilsynet har holdt innlegg i fellesfora for politiet. Vi har også startet opp arbeidet med å styrke den interne kompetansen, samt etablere kommunikasjon med politiets personvernrådgivere.

1.4.2.10 Nye bestemmelser om kameraovervåking

I april 2012 ble personopplysningslovens bestemmelser om kameraovervåking endret. Det kom regler for det som ofte kalles «dummykameraer» i tillegg til at alle personopplysningslovens vilkår gjelder for kameraovervåking, i motsetning til tidligere. Reglene gjelder også for eventuelle lydopptak og lydoverføringer i tilknytning til bildebehandlingen.

Definisjonen av kameraovervåking ble endret til også å omfatte «utstyr som lett kan forveksles med en ekte kameraløsning», såkalte dummykameraer. For slikt utstyr gjelder loven «så langt den passer». Det innebærer at enkelte av lovens bestemmelser gjelder selv om det faktisk ikke behandles personopplysninger. Datatilsynet har vurdert det slik at lovens inngangsvilkår for kameraovervåking må være oppfylt dersom det skal monteres dummykameraer. Terskelen blir altså den samme som for fungerende kameraer.

Lovendringen har gjort det klart at personopplysningslovens alminnelige bestemmelser gjelder fullt ut for kameraovervåking. Dette gjelder også konsesjonsplikten. Etter lovendringen vil det derfor oppstå konsesjonsplikt når sensitive opplysninger utgjør en vesentlig del av overvåkingen. Dette gjelder allikevel ikke for kameraovervåking som må antas å ha vesentlig betydning for forebygging og oppklaring av straffbare handlinger. Datatilsynet har ikke mottatt søknader om konsesjon for kameraovervåking etter at lovendringen trådte i kraft.

1.4.3 Personvernombud

Ved utgangen av meldingsåret har Datatilsynet registrert 203 personvernombud, noe som er ti flere enn på samme tid året før. Personvernombudene representerer rundt 390 virksomheter. Økningen i antall ombud er noe mindre enn tidligere år. Dette kan skyldes at det sammenlignet med 2010 og 2011 har vært gjennomført lite promotering av ordningen.

I 2012 har Datatilsynet brukt omtrent ett årsverk på arbeidet med personvernombudene. Arbeidet består i hovedsak av å arrangere kurs og en årlig ombudskonferanse, veiledning over telefon og e-post, sende ut nyhetsbrev til ombudene, samt behandling av søknader.

Det har blitt arrangert blant annet grunnkurs, kurs i informasjonssikkerhet og kurs i juridisk fordypning del 1 og 2. Kursene for ombudene har jevnt over god deltagelse, og tilbakemeldingene fra kursdeltakerne vitner om at kursene er godt mottatt. Noen ombud har etterspurt mer bransjerettede kurs, men dette har ikke blitt prioritert i 2012.

1.4.4 Deltagelse i offentlige råd og utvalg

Datatilsynet har en utstrakt kontakt med andre aktører. Nedenfor følger en oversikt over de nasjonale rådene og utvalgene vi er representert i. I tillegg til disse kommer det et stort antall kontaktmøter med sentrale aktører og samarbeid av mer kortvarig art.

1.4.4.1 Standardisering – komitédeltagelse

Datatilsynet deltar i enkelte komiteer for standardisering der arbeidet har direkte relevans for vårt arbeidsområde. Standarder er førende for virksomhetenes praksis, også når det gjelder behandling av personopplysninger. Formålet med deltakelse i komiteene er å sikre kunnskap om pågående prosesser internasjonalt, påvirke fremtidige rammebetingelser, samt bidra til å påvirke relevante standarder med hensyn til personvern og informasjonssikkerhet. Det er også viktig å få innblikk i hvilken praksis som anses som god.

Tilsynet deltar i fire komiteer. Disse arbeider innen informasjonssikkerhet, intelligente transportsystemer, identitetshåndtering og semantisk web (neste generasjons Internett), og automatisert datafangst.

1.4.4.2 Arbeidet knyttet til forslaget om ny personvernforordning i EU

Datatilsynet har i meldingsåret tilbudt bistand i ulike sammenhenger når det gjelder arbeidet med EU-kommisjonens forslag til forordning. Tilsynet har blant annet gitt bistand til Fornyings-, administrasjons- og kirkedepartementet. Vi har også deltatt i Justisdepartementets referansegruppe i forbindelse med nasjonal representasjon i Brussel. Det er dessuten avholdt møter med norske representer i Brussel. Dette for å sikre at så mange norske interesser som mulig er kjent med tilsynets oppfatning og ønske om å være tilgjengelig med faglige råd.

1.4.4.3 Kontroll og overvåking i arbeidslivet

I 2012 har Datatilsynet hatt kontroll og overvåking i arbeidslivet som prioritert arbeidsområde. Vi har i den anledning deltatt i Arbeidsdepartementets referansegruppe om temaet. Tilsynet vil fortsatt ha oppmerksomhet rundt dette i 2013, og vil fortsette samarbeidet med departementet.

1.4.4.4 Folkeregisterprosjektet

Det er viktig for Datatilsynet å følge med på utviklingen av hvordan folkeregisteret kommer til å se ut i fremtiden. Vi har per i dag med én representant i dette prosjektet, men vil fortløpende vurdere om dette riktig ettersom hva prosjektet jobber med. Tilgang til opplysninger fra folkeregisteret er en problemstilling Datatilsynet jevnlig må forholde seg til.

1.4.4.5 Infoflyt

En representant fra Datatilsynet har sittet i et utvalg som skulle se på regler for informasjonsflyten mellom politi og kriminalomsorg. Rapporten er nå levert og har vært ute på høring. Utvalget foreslår et regelsett basert på samme mal som politiregisterforskriften, med særlige regler for hvordan svært beskyttelsesverdige personopplysninger skal håndteres. Hensikten er at det meste av informasjonsutvekslingen skal skje gjennom alminnelige kanaler og at den beskyttelsesverdige informasjonen skal minimaliseres.

1.4.4.6 Styringsgruppe for bransjenorm innen helse

En bransjenorm om informasjonssikkerhet for helsesektoren ble lansert i september 2006. Arbeidet i styringsgruppen består i å få en hensiktsmessig spredning og implementering av normen i sektoren. Dette skaper store utfordringer på grunn av sammensetningen av små, mellomstore og store aktører. Datatilsynet deltar som observatør i styringsgruppen.

Ved behov deltar også Datatilsynet i grupper knyttet til utarbeidelse av faktaark etter normen. I meldingsåret gjaldt dette bruk av sosiale medier og publikumskommunikasjon.

1.4.4.7 Interdepartemental arbeidsgruppe

Datatilsynet deltar i en arbeidsgruppe som skal kartlegge praktiseringen av regler om taushetsplikt, opplysningsrett og -plikt. Dette arbeidet er viktig da det er svært sentralt at publikum har evne og mulighet til å ivareta egne rettigheter etter helselovgivningen og personopplysningsloven. Datatilsynet mottar en rekke spørsmål om dette, og det er viktig for tilsynet å være med og påvirke arbeidet.

1.4.4.8 Arbeidsgruppe i Samferdselsdepartementet – helautomatiske bomstasjoner

Prosessen er ikke helt ferdig og det er viktig for Datatilsynet å være med å søke etter personvernvennlige løsninger når det gjelder enkeltpersoners reiser og kommunikasjon. Arbeidet frem mot en anonym løsning for passering av automatiske bomstasjoner fortsetter sammen med de andre hovedaktørene, Samferdselsdepartementet og Statens vegvesen.

1.4.4.9 Referansegruppe – ny politiregisterforskrift

Datatilsynet deltar i Justisdepartementets arbeid med å utforme ny politiregisterforskrift. Dette har pågått siden 2011, og vi regner med at vi kommer til å være med i dette arbeidet frem til forskriften er vedtatt.

1.4.4.10 Referansegruppe – utvikling av SIS II (ELYS II)

Det er opprettet en egen referansegruppe som følger utviklingen av Schengen Informasjonssystem versjon 2 (SIS II). Dette er et internasjonalt prosjekt hvor målet er at alle som er knyttet til SIS skal over på ny versjon samtidig. Prosjektet har gått over flere år, og har vært gjenstand for mange forsinkelser. Det synes nå som om det nærmer seg endelig ferdigstillelse i 2013.

1.4.4.11 Koordineringsorgan for forebyggende informasjonssikkerhet

Datatilsynet er representert i Koordineringsutvalget for forebyggende informasjonssikkerhet (KIS). KIS er et tverrsektorielt koordineringsorgan for regelverksforvaltere og tilsynsmyndigheter med ansvar innen informasjonssikkerhet.

1.4.4.12 Norsk senter for Informasjonssikring – NorSIS

Datatilsynet deltok aktivt i ID-tyveriprosjektet så lenge det var finansiert gjennom prosjektmidler, men NorSIS overtok prosjektet i 2012. Tilsynet har gjennomført aktiviteter i samarbeid med NorSIS også etter overføringen. Datatilsynet er representert i styret til NorSIS ved direktøren.

1.4.5 Kommunikasjonsvirksomheten

Datatilsynet har som et av sine overordnede mål at borgeren skal få økt kjennskap til sine rettigheter, og slik settes i stand til å ivareta sitt eget personvern. Vi skal også arbeide aktivt for at virksomheter og beslutningstakere vet hvilke plikter de har og legger vekt på personvernhensyn i sitt arbeid.

For at tilsynets saksbehandling og tilsynsvirksomhet skal få skikkelig effekt, må arbeidet understøttes av informasjon og dialog. Uten kunnskap kan plikt- og rettighetshavere ikke ta eget ansvar for etterlevelse av lovgivningen. Kommunikasjon brukes derfor aktivt både ved utøvelse av Datatilsynets ombudsrolle og i rollen som forvaltningsorgan.

1.4.5.1 Foredragsvirksomhet

Det ble i meldingsåret holdt 118 foredrag på arrangementer i regi av andre, mot 129 året før.

Forespørsler om foredrag har blitt vurdert ut fra satsingsområder i virksomhetsplanen for 2012 og er gitt prioritet ut fra bransje, antall deltakere, tema, samt kapasitet på aktuelt tidspunkt. Tilsynet har derfor sett seg nødt til å gi avslag på en del henvendelser. Vi mener likevel at nivået på foredragsvirksomheten per i dag er riktig, og at aktiviteten gir god uttelling i forhold til den innsats som legges ned.

I tillegg til å holde eksterne foredrag, har flere ansatte holdt innlegg på arrangementer i regi av Datatilsynet. Dette gjelder på kursene i forbindelse med personvernombudsordningen, og på de to miniseminarene som ble arrangert i 2012. Disse miniseminarene skal samle personverninteresserte og andre til faglig påfyll og gode diskusjoner om personvern. I meldingsåret var temaene «Demokrati og terrorisme – før og etter 22. juli» og «Big Data». Seminarene er veldig populære og samler aktører fra mange ulike virksomheter.

1.4.5.2 Mediekontakt

I løpet av 2012 har Datatilsynet registrert 876 besvarte mediehenvendelser.

Som det går frem av tabellen har vi registrert en del færre mediehenvendelser enn tidligere år. Årsaken til dette er nok sammensatt. Debatten om datalagringsdirektivet preget tiden frem til Stortinget gjorde sitt vedtak våren 2011. I 2012 tok nok 22. juli-rettssaken mye av medienes oppmerksomhet og ressurser. Ikke minst har de største kommunikasjonsprosjektene våre – lanseringen av Du Bestemmer, kunstprosjektet på Oslo S og Slettmeg.no – ført til økt interesse for Datatilsynet i tidligere perioder, når prosjektene ble lansert og fikk mye oppmerksomhet.

I meldingsåret hadde vi ti egenproduserte kronikker og debattinnlegg på trykk i andre medier, noe som er omtrent på linje med tidligere år.

1.4.5.3 Nye nettsider

Datatilsynets nye nettsider ble lansert i januar 2012. De har en struktur som er bedre tilpasset brukernes etterspørsel, nytt design og ny publiseringsløsning. Nettsidene er vår viktigste informasjonskanal, og nyheter, tilsynsrapporter, høringsuttalelser og publiseres løpende. Publisering og oppdatering av veiledningsmateriell er også et prioritert arbeid.

Den nye løsningen gir bedre muligheter enn tidligere for å prioritere saker basert på brukernes behov. Søkeverktøyet gir gode indikasjoner på hva brukerne leter etter, slik at vi kan tilpasse informasjon, søkeresultat og struktur med utgangspunkt i dette. Via en tilbakemeldingsfunksjon på artiklene får vi også direkte tilbakemeldinger fra brukerne, og disse følges opp fortløpende. I løpet av 2012 fikk vi rundt 420 positive tilbakemeldinger og 240 kommentarer med forslag til forbedringer.

Vi har som mål å tilpasse løsningen til brukernes forventninger og krav. Dette krever et tilfredsstillende webanalyseverktøy, noe vi ikke har lykkes med å etablere. Utfordringen er å tilpasse verktøyet slik at det følger personvernbestemmelsene og ekomlovgivningen med hensyn til logging av IP-adresser og bruk av informasjonskapsler. Det jobbes med å finne en tilfredsstillende løsning på dette.

Selv om vi ikke har en god webanalyse, har vi likevel noen indikasjoner på bruksmønstre: Omlag elleve prosent av brukerne benytter mobile plattformer for å besøke våre nettsider. Vi regner med at denne andelen vil øke kraftig fremover.

1.4.5.4 Sosiale nettsamfunn

Datatilsynet utarbeidet i 2012 en strategi for bruk av sosiale medier. Der er det blant annet slått fast at Datatilsynet skal etablere en personvernblogg i 2013, som et prøveprosjekt på ett år. Bloggen skal være en arena der vi har dialog med aktører som har kunnskap om – og interesse for – personvern. Vi er også representert på Facebook gjennom prosjektet Du Bestemmer, som har en egen Facebook-side.

Ut over dette har vi foreløpig valgt ikke å etablere oss på Facebook. En aktiv tilstedeværelse forutsetter dialog, moderering og veiledning av brukerne og dermed økt ressursbehov. En del temaer som en bruker vil kunne ha behov for veiledning om via Facebook, faller dessuten sammen med hva som dekkes opp av andre aktører, slik som for eksempel tjenesten Slettmeg.no.

Det knytter seg dessuten utvilsomt noen utfordringer for Datatilsynet – som personvernmyndighet – til å utnytte all den funksjonalitet som ville vært naturlig for å oppnå god og effektiv kommunikasjon på Facebook og tilsvarende sosiale medier. Dette gjelder for eksempel bruk av «liker»-knappen på Facebook.

Twitter

Når det gjelder mikrobloggtjenesten Twitter og vår konto @datatilsynet som allerede er godt etablert, har vi som mål å være fortsatt aktive. I løpet av meldingsåret ble det publisert 391 meldinger, mot 275 året før. Vi legger stor vekt på å besvare alle direkte meldinger, samt meldinger som omhandler Datatilsynet, raskt. Ved utgangen av året hadde Datatilsynet 7 500 følgere (followers), noe som vil si en økning på over 50 prosent fra året før.

I tillegg har direktør Bjørn Erik Thon en twitterkonto som brukes aktivt, og som har over tre tusen følgere.

1.4.5.5 Brukerundersøkelse/omdømme

Datatilsynet finner det ikke riktig å benytte midler til måling av etatens omdømme via de mange undersøkelsesoppleggene som tilbys av ulike analyse- og konsulentbyråer. For å få til naturlige sammenligningsgrunnlag mellom private og offentlige virksomheter blir likevel Datatilsynet gjenstand for målinger fra disse selskapenes side med jevne mellomrom.

I mai 2012 ble resultatene fra PR-Barometeret Samfunn Norge presentert. Dette er en undersøkelse i regi av analyseselskapet Aalund og kartlegger journalisters erfaring med, og oppfattelse av, offentlige institusjoner, interesseorganisasjoner og politiske partier.

Datatilsynet viste seg å være den statlige institusjonen som samlet sett ble vurdert best av journalistene. Av alle de 116 institusjonene som ble vurdert innen både privat og offentlig sektor, samt organisasjoner, var det bare Røde Kors som fikk en høyere samlet score. Datatilsynet fikk toppscore blant annet når det gjelder:

• eksperters evne til å uttale seg i klartekst,

• informasjonsavdelingens reaksjonstid,

• informasjonsavdelingens kunnskap om aktuelle saker,

• forståelse for medienes arbeidstider,

• evne til å finne interessante saker for pressen, og

• troverdighet.

Datatilsynet tar dette som en indikator på at vi oppnår resultater i tråd med våre uttalte verdier og strategiske satsinger når det gjelder vår kommunikasjonsvirksomhet, slik det fremkommer i strategiplanen.

1.4.5.6 The Norwegian Data Protection Authority

Datatilsynet endret i 2012 den engelske oversettelsen fra «The Norwegian Data Inspectorate» til «The Norwegian Data Protection Authority» (DPA). Dette samsvarer bedre med navnene til andre lands personvernmyndigheter, og tydeliggjør bedre hva vi jobber med. Navnet er innarbeidet på våre nettsider, og i den engelske oversettelsen av personopplysningsloven.

1.4.5.7 Barn og unges personvern – Du Bestemmer

Du Bestemmer er et samarbeid mellom Senter for IKT i utdanningen, Teknologirådet og Datatilsynet. Undervisningsopplegget ble lansert i forbindelse med den internasjonale personverndagen i januar 2007. Målet med prosjektet er å øke ungdoms kunnskap om personvern generelt, samt heve deres bevissthet om valg man gjør ved bruk av digitale medier slik som Internett og mobiltelefon. Ungdommene skal lære seg å ta kontroll over egne personopplysninger. Undervisningsopplegget er laget for to aldersgrupper, 9-13 år og 13-17 år, og er til nå brukt av over 575 000 norske skoleelever. Det er dessuten tatt i bruk i hele 16 andre land.

Evaluering – positiv holdningsendring

En evaluering gjennomført av en masterstudent ved høyskolen i Stord og Haugesund i 2012, viser en positiv holdningsendring blant elevene som har vært gjennom undervisningsopplegget. Undersøkelsen viser at Du Bestemmer har økt elevenes bevissthet om personvern og egen nettbruk, blant annet fordi det legges opp til egenaktivitet, diskusjon og refleksjon blant elevene.

Prisbelønnet film i ny modul

Høsten 2012 ble det lansert en ny modul som handler om ytringsansvar på nett. Den skal skape diskusjon rundt hva man kan ytre på nett, hvor grensene går – eller bør gå – i diskusjonsforum og lignende, og om anonymitet er en løsning. Animasjonsfilmen «Trollus Netticus» ble utviklet i forbindelse med lanseringen, og vant prisen for beste oppdragsfilm under Fredrikstad Animation Festival 2012.

Fortsatt god etterspørsel

Det kommer fremdeles jevnlig inn bestillinger på klassesett fra hele landet, og nettstedet dubestemmer.no er godt besøkt. Heftene benyttes ikke bare til undervisning i skolene, men bestilles også jevnlig av politi, frivillige organisasjoner, bibliotek, helsestasjoner, foreldrerepresentanter, til konformasjonsundervisning og lignende. I meldingsåret gikk nok en gang opplaget tomt, og det ble trykket opp et nytt opplag etter en relativt omfattende revisjon.

Visning av korte reklameinnslag for Du Bestemmer på TV-Norge og TV2 under reklamefrie dager i påske-, pinse- og julehøytidene resulterte i stor pågang på nettsidene, med etterfølgende bestillinger av heftene. Erfaringen viser at det er nødvendig å markedsføre undervisningsopplegget jevnlig for å holde oppe interessen og etterspørselen. Samtidig må vi legge inn ressurser på videreutvikling av prosjektet, slik at det fortsatt oppfattes som interessant og relevant.

Det at vi har klart å utvikle Du Bestemmer på en slik måte at det fortsatt oppfattes et viktig tilskudd til undervisningen på norske skoler, seks år etter lansering, må karakteriseres som en ubetinget suksess, og et vellykket statlig samarbeidsprosjekt.

1.4.5.8 I beste mening

Veilederen I beste mening handler om hvordan man skal håndtere bilder av barn på nett, og om bildene i det hele tatt bør være på nett. Veilederen finnes både på bokmål, nynorsk og engelsk. Den benyttes i størst grad av ansatte i barnehager, men også foreldre, skoler, frivillige organisasjoner, sykehus og bibliotek bruker den aktivt.

I løpet av 2012 ble det, på bakgrunn av bestillinger, sendt ut over 6 600 eksemplarer av veilederen. For å imøtekomme etterspørselen ble det derfor trykket et nytt opplag i november.

1.4.5.9 Klart språk

Datatilsynet søkte i meldingsåret om støtte til ekstraordinære klarspråktiltak fra Direktorat for forvaltning og IKT (Difi). Vi fikk tildelt 50 000 kroner, et internt språkkurs, prosjektrådgivning fra Difi og rådgivning til utarbeidelse av språkprofil fra Språkrådet. Følgende språktiltak ble gjennomført i 2012:

• Et klarspråkkurs for 15 ansatte ble gjennomført i samarbeid med kompetanseenheten i NTB.

• Det ble gjennomført en brukerundersøkelse på nett for å kartlegge brukernes holdninger til språket i våre tekster. Svarprosenten var relativt lav, men resultatene viser en tendens til at respondentene vurderer at tekstene på nettsidene våre har et forståelig språk. Enkelte mente imidlertid at det var vanskelig å finne fram på sidene.

• Det ble gjennomført en kartlegging av språket i flere av våre tekster, slik som veiledere, tilsynsrapporter og høringsuttalelser. Kartleggingen, som ble gjennomført av byrået Arkitekst, viser at vi har potensial for å forbedre flere av våre tekster og måten vi utarbeider disse på.

• Et utkast til språkprofil ble laget med utgangspunkt i kartleggingsrapporten, og skal introduseres for alle ansatte i løpet av 2013.

1.4.5.10 Samisk

I St.meld. nr. 28 (2007-2008) Samepolitikken legges det særlig vekt på «hverdagspolitikken», det vil si den praktiske integreringen av samiske hensyn i politikkutformingen og tiltak på alle samfunnsområder og forvaltningsnivåer. Innenfor forvaltningsområdet for samisk språk skal virksomhetene følge opp språkreglene i sameloven. På bakgrunn av dette har Datatilsynet valgt å gjøre følgende tilgjengelig på samisk:

• Personopplysningsloven (datatilsynet.no),

• Personvernprinsippene (datatilsynet.no),

• informasjonen «Hva er personvern?» (datatilsynet.no), og

• hele undervisningsopplegget Du Bestemmer.

1.4.6 Budsjett, organisasjon og administrasjon

Datatilsynets bevilgning for 2012 var 35 015 000 kroner. Dette var en økning på 9,2 prosent i forhold til i 2011. I tillegg ble det gitt kompensasjon for lønnsoppgjør med 713 000 kroner. Tildelingen dekket utgifter til lønn og drift. Økningen dekket også utgifter som følger av nye oppgaver Datatilsynet er tillagt ved implementering av datalagringsdirektivet og ny politiregisterlov. Det ble i 2011 bevilget midler til å dekke deler av dette (fire måneder). I 2012 ble halvårseffekten innarbeidet. En økt bevilgning kompenserer også for prisstigning i 2012.

Datatilsynets lønnsutgifter var i meldingsåret var på 69 prosent, mens øvrige driftsutgifter var på 31 prosent av bevilgningen. I 2011 lå disse utgiftene på henholdsvis 75 prosent og 25. At det ble brukt mindre midler til lønn i meldingsåret enn i 2011 skyldes det at flere stillinger ble stående ubesatt i perioder av meldingsåret.

1.4.6.1 Organisasjon

Datatilsynet ledes av direktør Bjørn Erik Thon, og er organisert i fire avdelinger. Hver avdeling ledes av en avdelingsdirektør. Datatilsynets ledelse består av fire menn og én kvinne.

Datatilsynet har i 2012 hatt 41 fast tilsatte. Av disse var 51 prosent kvinner og 49 prosent menn.

Fire kvinner og fire menn har hatt foreldrepermisjon hele eller deler av året.

1.4.6.2 Administrasjon og kompetanse

Datatilsynet bidrar med kunnskap til en opplyst debatt om sentrale personvernspørsmål og gir råd og veiledning til befolkningen, private virksomheter og offentlig forvaltning. De ansatte skal føre tilsyn med områder i stadig utvikling, vurdere teknologibaserte utfordringer og kjenne til hvordan teknologi kan benyttes for å avhjelpe trusler mot personvernet. For å få til dette må Datatilsynet ha motiverte medarbeidere med høy kompetanse og god rolleforståelse. Sentralt i Datatilsynets lønns- og personalpolitikk står derfor tiltak for å rekruttere, utvikle og beholde medarbeidere med høy kompetanse.

I 2012 har arbeidet med forbedring og effektivisering av vår personaladministrasjon hatt høy prioritet. Det er satset spesielt på kompetanseutvikling og kompetansehevende tiltak. Budsjettposten til kurs- og seminarvirksomhet ble styrket og det ble etablert et eget kompetansefond. To medarbeidere søkte midler fra fondet til videreutdanning innen prosjektledelse. Gjennom året er det også hentet inn ekstern ekspertise for å gi de ansatte faglig påfyll. Det er også lagt vekt på deling av kompetanse internt.

Tilsynet har erfart at den kompetansen våre medarbeidere sitter på er svært ettertraktet både i privat og offentlig sektor. I 2012 har dette vært spesielt utfordrende da det har vært stor interesse for arbeidstakere med personvernkompetanse. Dette skyldes blant annet implementeringen av datalagringsdirektivet og ny politiregisterlov, samt stor satsing på informasjonssikkerhet og beredskap i både privat og offentlig sektor.

I meldingsåret sluttet til sammen ni medarbeidere, hvorav flere svært erfarne med høy kompetanse på personvern. Det ble av den grunn nødvendig å benytte en god del ressurser på å rekruttere nye, dyktige medarbeidere. Det ble også nødvendig å iverksette tiltak for å beholde kunnskapsrike medarbeidere og å kunne tilby utviklingsmuligheter i etaten. Det ble blant annet opprettet to fagdirektørstillinger. Én i juridisk avdeling og én i tilsyns- og sikkerhetsavdelingen. Tilsynets utredningskapasitet ble også økt og samlet i én avdeling. Utrederne er nå etablert i tilsyns- og sikkerhetsavdelingen.

Med hele åtte nye medarbeidere (en stilling er ved utgangen av 2012 ikke besatt) har det vært naturlig å videreutvikle interne prosedyrer for tilsetting og fratreden. Det er også etablert felles introduksjonsplaner og individuelle planer for opplæring av nytilsatte. Vi anser introduksjonsfasen i et ansettelsesforhold som svært viktig i forhold til å få en rask faglig og sosial integrering. Dette arbeidet har derfor hatt prioritet det siste året.

Datatilsynet er omfattet av avtalen om inkluderende arbeidsliv og har spesiell oppmerksomhet på forebygging og oppfølging av sykefravær. Sykefraværet var i meldingsåret 2,0 prosent mot 2,8 prosent i 2011. Det har ikke vært behov for å iverksette spesielle tiltak. I løpet av det siste året har det vært arrangert førstehjelpskurs, og det har vær gjennomført kurs om livsstil og stressmestring.

Tilsynet har som målsetting å hindre at søkere med redusert arbeidsevne blir diskriminert, og å bidra til å heve den generelle pensjonsalderen. Datatilsynet understreker målsettingen om mangfold med tanke på etnisk bakgrunn, funksjonsevne, kjønn og alder i våre stillingsutlysninger.

1.5 Vedlegg

Vedlegg A. Gjennomførte tilsyn

Vedlegg B. Høringer

Vedlegg C. Saker oversendt til Personvernnemnda