Trygdeetaten har sensitive personopplysninger om så godt som alle i Norge. Datatilsynet har vært på tilsyn, og dannet seg et bilde av en etat som legger store ressurser i å vareta innbyggernes personvern.

Trygdetaten omfatter Rikstrygdeverket, 500 enheter på fylkes og kommunenivå, og har om lag 9 000 tilsatte. Trygdeetaten har sensitive personopplysninger om nær sagt alle landets innbyggere. Datatilsynet ønsket å få bedre oversikt over trygdeetatens håndtering av personopplysninger - særlig hvorvidt vilkårene for de ulike behandlingene av personopplysninger er oppfylt, hvordan den registrertes rettigheter ivaretas, og om opplysningene sikres godt nok. Tilsynet fokuserte på internkontrollsystemet og implementeringen av dette.

Det ble gjennomført tilsyn hos Rikstrygdeverket sentralt, ved to fylkestrygdekontorer og to lokale trygdekontor. Selv om dette har vært det mest omfattende tilsynsprosjektet Datatilsynet har utført i en og samme behandlingsansvarlige virksomhet, er likevel ikke alle etatens behandlinger av personopplysninger blitt kartlagt. Til det er omfanget av trygdeetatens virksomhet for stort.

Resultatet av tilsynet var oppløftende og ga et positivt inntrykk av Trygdeetaten. Rutinene for håndtering av personopplysninger i virksomheten virket totalt sett å være meget gode, og var tydelig forankret i beslutninger fra ledelsen. Det fremstod som viktig for ledelsen og virksomheten som helhet at personopplysninger behandles korrekt og forsvarlig. Det ser ut til at Trygdeetaten har lagt til grunn at godt personvern er en forutsetning for at etaten kan oppnå ønsket tillit i befolkningen.

Selv om Datatilsynet kunne konstatere at trygdeetatens behandling av personopplysninger i all hovedsak skjer i samsvar med regelverket, ble det avdekket enkelte avvik. Det er behov for ytterligere utvikling av rutinene knyttet til situasjoner der medlemmer ber om innsyn i opplysninger om seg selv. Rikstrygdeverket må også klargjøre lagringsbehovet for opplysninger om misbruk av trygdemidler når mistanken senere frafalles. Det må blant annet etableres rutiner for sletting i samsvar med dette. Videre må Rikstrygdeverket videreutvikle rutinene i internkontrollsystemet, slik at man har enda bedre sikkerhet for at avvik fra fastlagte rutiner blir håndtert av riktig nivå i organisasjonen.