4 Administrasjon og ressurser

4.1 Datatilsynets budsjett og rammevilkår

Datatilsynet hadde i 2018 en budsjettramme på kr 54 441 000. Dette var en økning på drøyt kr 3 772 000 fra 2017. Etter at tilleggsbevilgninger var lagt til, hadde Datatilsynet kr 55 335 000 til disposisjon i 2018. Av tilsynets utgifter utgjorde 67,8 prosent (kr 37 563 000) utgifter til lønn og 32,2 prosent (kr 17 772 000) utgifter til drift. Datatilsynet hadde i meldingsåret 42 faste og fem midlertidige stillinger. På bakgrunn av turnover i løpet av året og lengre perioder med ledighet, er samlet antall årsverk beregnet til 42,5. I disse inngår også tre studenter knyttet til tilsynets juridiske veiledningstjeneste, og én lærling i IKT-faget. Samlet har studentene utgjort ett årsverk, mens lærlingen har vært tilsatt deler av året tilsvarende 0,5 årsverk.

Tilsynet ledes av direktør Bjørn Erik Thon som ble tilsatt på åremål i 2010. Åremålet ble fornyet for seks nye år i august 2016. Ledergruppen bestod i meldingsåret av tre menn og to kvinner. I Datatilsynet sett under ett var det 61 prosent kvinner og 39 prosent menn.

I 2018 har Datatilsynet prioritert arbeid knyttet til innføringen av nytt personvernregelverk. «Forordningsprosjektet», som det er kalt internt i tilsynet, besto av fem delprosjekter; bygge kompetanse internt, ekstern kommunikasjon, personvernombudsordningen, avvikling av gamle saker, samt digitalisering og IKT-utvikling. Det er redegjort nærmere for prosjektet i punkt 2.1. Datatilsynet opplyser at «forordningsprosjektet» ikke bare har vært den viktigste satsningen i 2018, men trolig den største satsningen tilsynet noen gang har hatt. Det har gått betydelige ressurser til prosjektet og alle ansatte har vært involvert i ulik grad. Selv om det er vanskelig å anslå ressursbruk, antas at ca. 40 prosent av ressursene har gått til arbeidet, noe som nødvendigvis har gått utover andre viktige oppgaver.

Ettersom Datatilsynet i meldingsåret har prioritert oppgaver knyttet til innføringen av nytt personvernregelverk, har tilsynsvirksomheten i form av stedlig tilsyn blitt nedprioritert. Det ble ikke utført noen stedlige tilsyn i 2018, mot fire slike tilsyn i 2017. Derimot gjennomførte Datatilsynet 196 brevlige tilsyn i meldingsåret, mot 20 i 2017. Dette er en betydelig økning. 177 av de brevlige tilsynene var identiske kontroller med offentlige virksomheter hvor det ble undersøkt om virksomhetene oppfylte personopplysningslovens krav om å oppnevne personvernombud. Selv om dette involverte mange kontrollobjekter, var forberedelsene enklere og etterarbeidet mindre enn ved ordinære stedlige kontroller. I tillegg gjennomførte Datatilsynet 19 brevlige tilsyn innen helseområdet. Datatilsynet mener at det har vært fullt forsvarlig å ikke prioritere tilsyn like høyt som tidligere år, fordi det har vært viktigere å prioritere oppgaver knyttet til nytt personvernregelverk. Tilsynet mener også at det å gi virksomhetene litt tid til å tilpasse seg det nye regelverket før det gjennomføres tilsyn og kontroller, ytterligere forsvarer prioriteringen.

Datatilsynet registrerte et rekordhøyt antall nye saker i meldingsåret, totalt 2 654. Dette er en betydelig økning fra 2017, da antall nye saker var 1 807. Økningen skyldes trolig større interesse og oppmerksomhet rundt personvern. Datatilsynet fattet 246 enkeltvedtak i 2018, noe som innebærer en signifikant nedgang fra tidligere år. Bakgrunnen for dette er blant annet en vesentlig nedgang i antall konsesjonssaker, noe som er en direkte konsekvens av at konsesjonsordningen i hovedsak er avviklet i det nye regelverket. I tillegg skyldes nedgangen at det ikke lenger er nødvendig å behandle søknader om å opprette personvernombud, fordi dette nå er obligatorisk på en rekke områder og uttømmende regulert i lovverket. Av de 683 vedtakene Datatilsynet fattet i 2017, var 234 om opprettelse av personvernombud, mens tallet var null for 2018. Datatilsynet melder også at flere saker enn før løses i veiledningssporet. I tillegg er et 30-talls saker om avindeksering av personopplysninger i Googles søkeindeks satt på vent, fordi det per i dag er uklart hvilken europeisk datatilsynsmyndighet som er kompetent til å behandle slike saker etter personvernforordningen.

Av de 246 vedtakene som Datatilsynet fattet i meldingsåret, ble 28 påklaget. Sett i forhold til antall vedtak, har antall klager gått ned sammenliknet med tidligere år. Datatilsynet oversendte 17 klagesaker til Personvernnemnda i 2018. I syv av sakene ba nemnda om tilsynets vurdering av om sakene skulle behandles etter ny eller gammel lovgivning, samt hvilke konsekvenser det ville få for behandlingen av sakene dersom det nye regelverket ble lagt til grunn for nemndas vurderinger. Datatilsynet hadde behandlet sakene før det nye regelverket trådte i kraft, mens nemnda tok sakene til behandling etter at regelverket trådte i kraft. Videre omgjorde Datatilsynet fem saker, og én av sakene ble trukket fra klagebehandling. De øvrige fem sakene var ikke ferdig klagebehandlet hos tilsynet ved utløpet av 2018.

Datatilsynet mottok søknad om 132 konsesjoner i 2018, og innvilget 94 konsesjoner for behandling av personopplysninger. Dette er en signifikant nedgang fra tidligere år. Bakgrunnen er at det, etter ikrafttredelsen av personopplysningsloven 2018, i all hovedsak ikke lenger er nødvendig å søke om tillatelse før behandling av personopplysninger iverksettes. Konsesjonsordningen er, i påvente av særskilt regulering, videreført på noen få områder, som definert i forskriften om overgangsregler om behandling av personopplysninger. Dette gjelder i hovedsak kredittopplysningskonsesjoner. I tillegg kan blant annet treningssentre som ønsker å bli et Rent Senter i samarbeid med Antidoping Norge, søke Datatilsynet om tillatelse for å behandle særlige kategorier personopplysninger eller opplysninger om straffbare forhold.

I årsrapporten viser tilsynet til at de mottok hele 1 275 avviksmeldinger i 2018. Dette er en enorm økning fra 2017 da Datatilsynet mottok 349 avviksmeldinger – som til da var det året tilsynet hadde mottatt flest avviksmeldinger. 821 av de innrapporterte avviksmeldingene kom etter ikrafttredelsen av det nye regelverket. Økningen kan skyldes flere forhold, blant annet større bevissthet om plikten til å melde avvik, og at flere virksomheter har etablert rutiner for avvikshåndtering som følge av de nye kravene. Datatilsynet har også indikasjoner på at en del av meldingene er sendt «for å være på den sikre siden» fordi enkelte frykter sanksjoner ved å ikke melde fra om avvik. På grunn av den enorme økningen i antall avviksmeldinger, har tilsynet opprettet en arbeidsgruppe på fem personer som håndterer store deler av behandlingen av disse sakene. Innen utløpet av meldingsåret hadde tilsynet ferdigbehandlet ca. 73 prosent av sakene.

Vedrørende det internasjonale arbeidet, skriver Datatilsynet i årsrapporten at deltakelsen i Personvernsrådet har vært særlig ressurskrevende. Datatilsynet har vært aktiv i syv av rådets ekspertgrupper, og hver gruppe møtes seks til tolv ganger i året. Til sammen fem av tilsynets ansatte deltar fast i disse gruppene. Møtene krever grundige forberedelser, ettersom avklaringene som skjer i disse ekspertgruppene skal danne utgangspunkt for retningslinjer, rekommandasjoner og «best practice»-dokumenter. I tillegg har Datatilsynet hatt særskilt ansvar for utarbeidelse av to felleseuropeiske retningslinjer, om henholdsvis innebygd personvern og forordningens art. 6. nr. 1 bokstav b (dette er nærmere beskrevet i punkt 2.2). Selv om arbeidet har vært ressurskrevende, har tilsynet valgt å prioritere dette høyt, både for å få innflytelse på utfallet og fordi tilsynet mener at det har kompetanse som ligger helt i front i EU/EØS på disse områdene.

Det er departementets vurdering at Datatilsynet i meldingsåret har arbeidet godt innenfor det gjeldende regelverket og de tildelte ressursene. Datatilsynet har evnet å tilpasse og justere virksomheten i samsvar med innføringen av nytt personvernregelverk, samt den økte oppmerksomheten rundt personvern i samfunnet og etterspørselen etter bistand fra tilsynet. Departementet ser at det har vært nødvendig å bruke større ressurser på å forberede både tilsynet og eksterne virksomheter på innføringen av det nye og omfattende personvernregelverket, og anser dette som hensiktsmessig ressursbruk, særlig i et langtidsperspektiv. Videre har Datatilsynet vist et bredt engasjement, både nasjonalt og internasjonalt, i meldingsåret. På denne måten har tilsynet bidratt til å gjøre personvern relevant og kjent, samt til å arbeide frem løsninger som står seg i en internasjonal kontekst.

4.2 Personvernnemndas budsjett og rammevilkår

Personvernnemnda hadde i 2018 en budsjettramme på kr 2 014 000, og har i meldingsåret brukt kr 2 168 000. Nemnda overskred budsjettet med kr 154 000. Overforbruket har vært løpende rapportert til departementet og skyldes hovedsakelig utgifter i forbindelse med tilsetting av sekretær i høyere stillingsprosent, ikrafttredelse av nytt og omfattende regelverk som har medført økt tidsbruk til saksavvikling og økt godtgjørelse for nemndas leder og nestleder, samt utgifter til dekning av sakskostnader. Ellers er bevilgningen, som i tidligere år, brukt på innkjøp av litteratur og tjenester, deltakelse på kurs, arbeids- og reisegodtgjørelse til medlemmene i nemnda, lønn til sekretariatet og leie av kontor- og møtelokaler.

I meldingsåret mottok Personvernnemnda i alt 20 saker, hvorav 18 var klagesaker sendt fra Datatilsynet. De to øvrige sakene gjaldt krav om dekning av sakskostnader etter forvaltningsloven § 36 og utsatt iverksettelse etter forvaltningsloven § 42. I tillegg hadde nemnda en restanse på noen saker innkommet i 2017. Datatilsynet har oppgitt å ha oversendt 17 saker til Personvernnemnda i 2018. Differansen på én sak skyldes etter all sannsynlighet postgang som har medført at én sak oversendt i 2017 først ble mottatt av nemnda i 2018.

Nemnda hadde ti møter i meldingsåret, og ferdigbehandlet totalt 15 saker. Fire av disse ble sendt til nemnda i 2017, og én av sakene ble trukket fra nemndsbehandling. Totalt fem av nemndas avgjørelser ble avsagt under dissens. Datatilsynets vedtak ble opprettholdt i seks av de behandlede sakene, mens åtte vedtak ble helt eller delvis omgjort. Dette er en noe høyere omgjøringsprosent enn tidligere år, med unntak av i 2015. Økningen kan blant annet skyldes at Datatilsynet behandlet sakene etter personopplysningsloven 2000, mens nemnda behandlet en del av sakene etter personopplysningsloven 2018 – i samsvar med lovens overgangsregler. Antall klagesaker og omgjøringer er uansett lavt sett i forhold til at Datatilsynet fattet 246 vedtak i 2018. Ved utløpet av meldingsåret hadde Personvernnemnda ni uavsluttede saker.

Nemnda har i meldingsåret hatt fokus på kvalitet og har hatt målsetning om å skrive faglig gode vedtak som kan gi veiledning for senere liknende saker. Samtidig har nemnda arbeidet for å redusere saksbehandlingstiden. Gjennomsnittlig saksbehandlingstid i 2018 var ca. 4,3 måneder, mot ca. 3,2 måneder i 2017. Økningen skyldes i hovedsak merarbeid knyttet til ny lovgivning. I lys av dette, anser departementet det forståelig at saksbehandlingstiden har gått noe opp. Departementet er tilfreds med at nemnda har fokus på å redusere saksbehandlingstiden samtidig som den har oppmerksomhet rettet mot å fatte kvalitativt gode vedtak. Nemndas vedtak er viktige for den nasjonale tolkningen og forståelsen av personvernforordningen. Departementet mener derfor det har stor betydning at vedtakene er skrevet på en måte som gjør at både Datatilsynet, de behandlingsansvarlige og de registrerte kan forstå dem.

Personvernnemndas sekretariat består av én medarbeider, som har sin administrative tilhørighet i departementet. Ved utgangen av 2017 hadde daværende sekretær gjennom de siste tolv årene sagt opp sin stilling. Hun hadde arbeidet i en 80 % stilling, og fortsatte i stillingen frem til 30. april 2018. I mai 2018 ble ny sekretær tilsatt som juridisk seniorrådgiver i 80 % stilling. Stillingsprosenten ble utvidet til 100 % fra 1. august 2018. Bakgrunnen for dette var blant annet at ikrafttredelsen av nytt og omfattende personvernregelverk har ført til flere komplekse klagesaker for nemnda, noe som igjen har økt sekretærens arbeidsmengde.

Departementet har hatt jevnlig kontakt med Personvernnemnda sitt sekretariat og leder om administrative spørsmål. Som vanlig avholdt departementet ett kontaktmøte av formell karakter med Personvernnemndas leder og sekretær i løpet av rapporteringsperioden. Departementet opplever kommunikasjonen med nemnda som god. Det er departementets vurdering at Personvernnemnda har brukt den tildelte bevilgningen tilfredsstillende, og har gjennomført oppgavene sine på en god måte i 2018.