Informasjonsverksemd

Datatilsynet innleier temadelen i si årsmelding med eit kapittel under overskrifta «Personvern under press». Tittelen har vore ein gjengangar i meldingsåret, noko som tydeleg viser kor viktig Datatilsynet sitt arbeid er. Datatilsynet har i meldingsåret hatt særleg merksemd retta mot tema som innhausting av personopplysningar og identitetstjuveri, mot dei anonyme alternativa som forsvinn og mot snoking i personopplysningar, og har delteke aktivt i samfunnsdebatten om desse spørsmåla.

Undersøkingar viser gong på gong at kjennskap til og kunnskap om personvernregelverket dessverre ikkje er tilfredsstillande. Informasjon om personvern er derfor viktig, og departementet støttar tilsynets satsing på dette området. Særleg vil ein framheve at departementet dei siste tre åra har styrkt tilsynet sine midlar til informasjonsarbeid med kr. 2 mill. årleg. I 2007 har Datatilsynets informasjonsarbeid vore særleg synleg gjennom undervisningsopplegget Dubestemmer og ein kunstkonkurranse som skal leie fram til ei utstilling på Oslo S.

Dubestemmer – filmprosjekt

Arbeidet med Dubestemmer-prosjektet, eit undervisningsopplegg om personvern retta mot ungdom, tok til i 2006. Prosjektet som er eit samarbeid mellom Utdanningsdirektoratet, Teknologirådet og Datatilsynet, er ein stor suksess, og har vekt både nasjonal og internasjonal merksemd. Det blir stadig sendt ut klassesett av det utarbeidde undervisningsmaterialet. Som ledd i undervisningsopplegget vart vidaregåande skular med medielinje hausten 2007 inviterte til å delta i ein filmkonkurranse der tema var personvern og digitale medium. Filmmanusa som vart valde ut blant dei mange deltakarane, er blitt tankevekkjande filmsnuttar om eit viktig tema. Filmane kan ein sjå på www.dubestemmer.no.

Kunstprosjekt

Datatilsynet og KORO inviterte våren 2008 til kunstkonkurranse med personvern som tema. Fire kunstnarar er valde ut, og skal presentere sine verk i ei utstilling som opna på Oslo S 1. oktober 2008. Val av utstillingslokale er spennande fordi det gjer det mogleg å vise tankevekkjande kunst til eit breitt publikum. I tillegg er Oslo S eit område godt dekt av fjernsynsovervaking, noko som med sine ibuande personvernutfordringar òg gir ei spennande ramme for ei utstilling om personvern.

Innhausting av personopplysningar

2007 var året då datainnhausting vart eit kjent omgrep i norske medium. Datainnhausting er den norske omsetjinga av det engelske omgrepet «data harvesting». «Data harvesting» er i utgangspunktet eit nøytralt omgrep, som blir brukt om alle former for innsamling av opplysningar, både personopplysningar og annan informasjon, både lovleg og ulovleg. Her vil vi bruke omgrepet om situasjonar der einkvan urettmessig tileignar seg personopplysningar via ulike nettløysingar.

Fleire nettstader med bestillingsløysingar for mobiltelefonitenester vart i meldingsåret utsette for «angrep» frå uvedkommande som lasta ned store mengder personopplysningar via desse nettstadene. Slik datainnhausting er mogleg dels som følgje av dårlege tryggleiksløysingar, dels som følgje av at det finst mykje personopplysningar tilgjengeleg på nett. Dei ulike åtaka viste at det ikkje berre er nettstadene sine kundar som blir utsette for datainnhausting, men òg vilkårlege tredjepersonar. Personopplysningane hamna hos nokon som «ikkje har noko med» dei registrerte å gjere. Slik urettmessig utlevering av personopplysningar krenkjer personvernet til dei registrerte.

Ein teletilbydar hadde ei nettløysing som ­mogleggjorde innhausting av personopplysningar, og vart i april 2008 gitt eit førelegg på kr. 150.000 for brot på personopplysningslova sine tryggleiksføresegner og manglande varsling om tryggleiksbrotet. Førelegget er vedteke. Reaksjonen frå ­påtalemakta er eit viktig signal til andre næringsdrivande om å ta tryggleiksutfordringane på alvor.

Den enkelte kan føle ubehag og uro over at opplysningane har hamna på avvegar. For samfunnet kan datainnhausting svekkje tilliten til all elektronisk handsaming av personopplysningar. Det er tyngande for den som vert ramma å leve med frykta for at identiteten kan bli misbrukt, at andre kan gi seg ut for å vere han eller henne (identitetstjuveri), til dømes ved å skaffe seg kreditt i namnet til vedkommande. Identitetstjuveri kan medføre store praktiske problem og mykje ubehag for dei som blir utsette for slikt.

I denne samanheng er det viktig at næringsdrivande, offentlege verksemder og andre systemeigarar har gode rutinar for sikring av personopplysningar, slik at personopplysningar ikkje vert feilaktig utlevert. Det er òg avgjerande at dei har gode rutinar for identitetskontroll av kundar og andre registrerte. Det ser framleis ut til å vere ei utbreidd misforståing at personopplysningar det ikkje er teieplikt for, som fødselsnummer, namn eller adresse er eigna til identitetskontroll. Fødselsnummer skal ikkje vere ein nøkkel for tilgang til personopplysningar det gjeld teieplikt for. Og dersom ulykka først er ute, må det vere klårt at det er systemeigaren som ber ansvaret for ev. manglar eller svikt i eigne tryggleiksrutinar. Som ledd i arbeidet med etterkontrollen av personopplysningslova vil regjeringa vurdere om det er naudsynt å endre reglane om bruk av eintydige identifikasjonsmidlar, som fødselsnummer (personopplysningslova § 12). I samband med arbeidet med ny straffelov vurderer regjeringa òg om identitetstjuveri i seg sjølv skal vere straffbart.

Regjeringa vil òg sjå nærare på moglege tiltak for å lette situasjonen for den som blir utsett for identitetstjuveri. Dette kan til dømes vere eit «single point of contact», betre rutinar hos kredittgivarar, inkassobyrå etc. for å handtere førespurnader frå offera for id-tjuvar og/eller høg prioritering av meldingar av id-tjuveri hos politiet.

Offentleg sektor forvaltar store mengder personopplysningar, og det er viktig at tryggleiken er god i offentlege it-løysingar. Regjeringa har utarbeidd eit rammeverk for autentisering og signering i elektronisk kommunikasjon internt i og mellom offentlege etatar. Dette rammeverket gir grunnlag for harmoniserte risikovurderingar i ulike offentlege verksemder, og legg til rette for gjenbruk av tryggleiksløysingar på mellomhøgt og høgt nivå.

Arbeids- og velferdsforvaltninga

Tilsynet har i årsmeldinga si vigd merksemd til handsaming av personopplysningar i arbeids- og velferdsforvaltninga. Arbeids- og velferdsforvaltninga er eit stort forvaltningsområde med mange tilsette og svært mange brukarar. Det vart gjennomførd tilsyn med sektoren i meldingsåret, og Datatilsynet er uroa over dei funna dei gjorde. Mellom anna fann dei at tilgangen til personopplysningar er svært vid etter gjennomføring av NAV-reforma, og at det er manglar i informasjonstryggleiken. Fornyings- og administrasjonsdepartementet legg til grunn at personvern blir teken på alvor i arbeids- og velferdsforvaltninga, og at ein heile tida har fokus på å handsame personopplysningar på best mogleg vis.

Datatilsynet gjev uttrykk for ein kritisk haldning til forslaget til reglar om arbeids- og velferdsforvaltninga sin tilgang til fullstendige pasientjournalar som ledd i arbeidet med å hindre trygdemisbruk. I samband med høyringa av forslaget til desse reglane, kom det inn fleire gode innspel som synte at det var trong til å gjere forslaga klårare når det gjeld tilhøvet til personvernet. I proposisjonen er det difor innarbeidd reglar som gjer det klart når opplysningar kan innhentast, formkrava som gjeld for dette og kva reglar som gjeld for handsaminga av opplysningane i etaten. Slik reglane om arbeids- og velferdsforvaltninga sin tilgang til pasientjournalar for kontrollføremål no kjem fram i Ot.prp. nr. 76 (2007-2008), meiner regjeringa at dei balanserer omsynet til brukarane sitt personvern med kva forvaltninga treng av informasjon.

Samferdselssektoren

Datatilsynet peiker i årsmeldinga på den raskt aukande registreringa av personopplysningar som finn stad i samferdselssektoren, ein sektor som omfattar både elektronisk kommunikasjon og transport av gods og passasjerar. Det blir stadig færre moglegheiter for anonym ferdsel. Innanfor elektronisk kommunikasjon er det særleg datalagringsdirektivet, og konsekvensane det vil få for personvernet, som har prega debatten. Debatt oppstod òg då Avinor hausten 2007 uttrykte ønskje om å bruke såkalla nakenscanner/kroppscanner i tryggleikskontrollen på norske flyplassar.

I transportsektoren skjer det likevel omfattande registrering av personopplysningar utan at den er emne for stor debatt, mellom anna i samband med passering i automatiske bomstasjonar, ved bruk av elektronisk billettering og i ulike reisebestillingssystem. Registrering av personopplysningar i samferdselssektoren dreier seg om omfattande registrering av daglegdagse hendingar som samla gir eit detaljert bilde av rørslene våre. Sjølv ein så alminneleg ting som ein mobiltelefon i veska vil leggje att mykje informasjon om rørslene til eigaren i løpet av ein dag. Det er ei utfordring å sjå dei ulike tiltaka og registreringane i samanheng, slik at ein får det totale biletet av situasjonen. Ofte ser ein dei ulike tiltaka isolert, og kvar for seg verkar kanskje ikkje inngrepa i innbyggjarane sitt personvern så stort. Samla sett kan det likevel dreie seg om vesentlege inngrep. Ei meir heilskapleg oversikt over situasjonen og utfordringane er derfor heilt naudsynt for å kunne vurdere ulike tiltak for å sikre personvernet til dei registrerte.

Regjeringa vil gi en grundig framstilling av personvernutfordringar i samferdselssektoren i Nasjonal Transportplan 2010-2019 som skal leggjast fram for Stortinget våren 2009.

Tilsynsverksemd

Då personopplysningslova vart iverksett i 2001, vart mykje av Datatilsynet sitt fokus flytt frå konsesjonshandsaming og førehandskontroll til tilsyn og etterfølgjande kontroll med etterleving av regelverket. I samsvar med dette, har Datatilsynet i meldingsåret hatt ei omfattande tilsynsverksemd. Tilsyn blir gjennomført hos ansvarlege for handsaming av personopplysningar i både offentleg og privat sektor. Departementet finn det urovekkjande at tilsynsverksemda gjennomgåande viser at det i mange verksemder er svært vid tilgang til personopplysningar over lang tid, dårleg tilgangskontroll og dårleg tryggleik rundt kundane sin eigen tilgang til opplysningar (innloggingsløysingar).

Når stadig meir informasjon om den enkelte blir sentralisert i store, omfattande register, er tilgangskontroll viktig. Det er viktig både å avgrense tilgangen til opplysningane i forhold til det som blir vurdert som tenestleg behov, og å føre kontroll med den faktiske bruken av tildelte tilgangsrettar, til dømes gjennom logging av tilgang. I følgje Datatilsynet er kunnskapen om og etterlevinga av personopplysningsregelverkets tryggleiksføresegner ikkje så god som ønskjeleg. Datatilsynet har utarbeidd omfattande rettleiingsmateriell om informasjonstryggleik, og drive ein god del informasjonsverksemd knytt til dette. Når etterlevinga likevel ser ut til å vere mangelfull, gir dette grunn til ettertanke.

Regjeringa vil vurdere ulike måtar å forbetre kunnskapen om og etterlevinga av dei gjeldande reglane om informasjonstryggleik. Reglane er omfattande, og det kan vere ein viss fare for at særleg mindre verksemder opplever pliktene som for tyngjande. Det kan derfor vere grunn til å gjere ein særskild gjennomgang av personopplysningsforskrifta sine føresegner om informasjonstryggleik og internkontroll. Med grunnlag i ein slik gjennomgang, kan ein vurdere om reglane bør endrast, eller om det bør setjast i verk andre typar tiltak, som til dømes ein gjennomgang av eksisterande informasjonsmateriell med tanke på å gjere det betre.