Den nye arbeids- og velferdsetaten vil få svært mange ansatte. Etaten kommer til å yte omlag 16 000 årsverk. Grovt anslått vil 1 av 300 innbyggere arbeide der. Datatilsynet ser en fare for at arbeids- og velferdsforvaltningen nå planlegges slik at alle saksbehandlere skal dele opplysninger om oss alle, uten at den enkelte får mulighet til å vite hvor opplysningene tar veien.
I lovforslaget til ny lov om arbeids- og velferdsforvaltningen er personvernproblemstillingene kun omtalt i generelle beskrivelser, skriver Datatilsynet i sin høringsuttalelse. Når man kommer til de harde fakta, utformingen av bestemmelsene, er personvernet fraværende, og rekkevidden av taushetsplikten er beskrevet utflytende og uoversiktlig.
Uakseptabelt
Datatilsynet oppfatter at forslaget nedvurderer personvernet. For å lage en akseptabel løsning, må en rekke prinsipper legges til grunn, blant annet disse: Ingen må få tilgang til flere personopplysninger enn dem de trenger for å løse arbeidsoppgavene forsvarlig. Ethvert oppslag de ansatte gjør må logges, og loggene kontrolleres.
Personvern og taushetsplikt – løses gjennom lokale avtaler?
Datatilsynet får inntrykk av at man ikke har planlagt å begrense hvilke opplysninger den enkelte saksbehandler skal ha tilgang til i datasystemene. Den enkelte saksbehandlers taushetsplikt og integritet vil da i realiteten være eneste personverngaranti. Imidlertid tolkes taushetsplikten svært vidt, og åpner for stor grad av deling og videreformidling av informasjon i den 16 000-årsverks store etaten.
Deling av informasjon mellom kommunal og statlig sektor skal muliggjøres gjennom lokale samarbeidsavtaler i den enkelte kommune. Dette vil medføre en enorm mengde avtaler, noe som igjen gjør det hele svært uoversiktlig og byråkratisk. Forslaget vil kunne medføre store kommunale forskjeller når det gjelder personvernnivå og taushetsplikt.
Problemstillingene rundt personvern og taushetsplikt trekkes også frem av Statens helsetilsyn. Helsetilsynet skriver at lovutkastet åpner for en formidling av sensitiv informasjon internt i etaten som ikke kan begrenses av tjenestemottakeren, og som det i tillegg i praksis vil være umulig for tjenestemottakeren å spore. Det ser at problemstillingen drøftes i høringsnotatet og at det blant annet vises til at kontorene må utvikle og forankre internkontrollsystem med hjemmel i personopplysningsloven, men påpeker at dette kan bli meget krevende øvelser.
For Datatilsynet er det også et åpenbart poeng at god internkontroll, selv om det har svært mange positive sider, ikke alene kan reparere personvernulempene lovforslaget legger opp til.
Gamle løsninger
Datatilsynet mener forslaget får et gammeldags preg ved at man ikke har valgt å se på mulighetene i nyere it-systemer. Datatilsynet forutsetter at man i den videre planlegging begrenser hvem som skal ha tilgang til hvilke opplysninger. Departementet bør også være oppmerksomme på at man i sykehussektoren har arbeidet med parallelle problemstillinger i flere år.
Forslaget har sitt grunnlag i to offentlige utredninger. Datatilsynet er skuffet over at departementet, på dette omfattende grunnlaget, ikke har klart å dekke personvern og taushetsplikt på en bedre måte.
Les Datatilsynets høringsuttalelse her (pdf, nytt vindu)
Les Helsetilsynets høringsuttalelse her (Odin.no, word-format, nytt vindu)