Årsmelding for 1995

DATATILSYNET I 15 ÅR
Datatilsynet ble etablert 1. januar 1980 i samsvar med Datautvalgets lovforslag fra 1975. Dermed skriver vi i år Datatilsynets femtende årsmelding. Datautvalget presiserte behovet for et særskilt "uhildet" og kompetent forvaltningsorgan. Det er tankevekkende å se utvalgets forslag til antall ansatte basert på forventet saksmengde og mulighet til å oppfylle lovens ambisjoner. Skulle utvalgets anbefaling ligge til grunn for antall ansatte ut fra dagens saksmengde, ville Datatilsynet ha hatt 80 (mot 17) ansatte i dag.

Personregisterloven ble vedtatt i 1978 og trådte i kraft i 1980. På etableringstidspunktet hadde Datatilsynet syv ansatte i administrasjonen og syv medlemmer i styret. Lovens ambisjoner for Datatilsynets oppgaver kombinert med søknadsfristen for alle registre som ble opprettet før loven trådte i kraft, skapte en turbulent startfase. Manglende lønnsmidler til å ansette kompetente informatikere og et økende antall restanser, førte til nedprioritering av flere av de lovpålagte oppgavene og ga grunnlag for en hektisk, men interessant arbeidsplass med engasjerte og hardtarbeidende medarbeidere.

UTVIKLING
I løpet av 15 år har Datatilsynets fagområder gjennomgått en eksplosiv utvikling og vekst innenfor både offentlig og privat sektor, ikke minst i forhold til nettverkenes suverene kommunikasjonspotensiale nasjonalt og internasjonalt i de senere år. En utviklingstakt som neppe var forutsigbar da Datatilsynet ble etablert.

Mange av satsingsområdene innen offentlig og privat sektor inneholder sentrale personvernproblemstillinger. Datatilsynet mottar et stadig økende antall henvendelser om å delta i ulike prosjekt- og planleggingsgrupper. Dette synliggjør forvaltningens behov for og ønske om å implementere personvernhensyn på et tidlig stadium i planleggingsprosessen. Det er i samsvar med lovgivers intensjoner. Av kapasitetsgrunner er det dessverre bare et fåtall slike henvendelser Datatilsynet kan imøtekomme.

Personregisterloven har vist sin berettigelse. Enkelte lovområder trenger imidlertid en revisjon. Høsten 1995 ble det oppnevnt et utvalg til dette formålet. Utvalget skal arbeide frem til mars 1997. Foruten dette lovarbeidet, ligger den største utfordringen for Datatilsynet i å ruste opp tilsynet slik at det er en ressurssterk samarbeidspart som bidrar til en effektiv og forsvarlig informasjonsforvaltning.

Økonomi
Datatilsynet ble tildelt 7,776 mill kroner til virksomheten i 1995. Dette var en økning på

500 000 kroner i forhold til 1994-budsjettet. Økningen skyldtes Stortingets vedtak om å tilføre Datatilsynet to nye stillingshjemler i 1995. Bevilgningen for 1995 er i sin helhet benyttet til lønn, drift og informasjonsvirksomhet.

I 1992, 1993 og 1994 prioriterte Datatilsynet bruk av budsjettmidler til ekstrahjelp. Årsaken til dette var den sterke økningen i anvendelse av ny teknologi og de stadig mer komplekse saksområdene Datatilsynet er stilt overfor. Dette skjedde på bekostning av midler som var avsatt til edb-opprustning. I 1995 kunne ikke lenger denne prioriteringen forsvares. Edb-utstyret var nedslitt og krevde stadig større vedlikehold. Det ble derfor byttet ut i 1995.

Datatilsynet byttet også arkivsystem i 1995. Det arbeides videre med å videreutvikle ledelses- og saksbehandlerverktøy. Datatilsynet vil på denne måten bedre imøtekomme de krav og oppgaver som forventes løst av en effektiv organisasjon. Datatilsynet har et stadig behov for økte personalressurser.

Datatilsynet har 17 faste stillingshjemler (pr 31. desember 1995)

Organisasjonsstruktur:

• direktør

• underdirektør

• informasjonssjef

• rådgiver (jurist)

• to førstekonsulenter (teknologer)

• seks førstekonsulenter (jurister)

• kontorleder

• arkivleder

• to konsulenter (administrasjon)

• en sekretær

Datatilsynet ledes av et styre med syv medlemmer.

Datatilsynets hovedoppgaver
Datatilsynets hovedoppgaver er:

• å behandle og avgjøre søknader om konsesjon for personregistre og virksomheter som er konsesjonspliktige etter personregisterloven

• å kontrollere at lover og forskrifter som gjelder for bruk av personopplysninger overholdes

• å informere om personvern og sikring av data og om reglene som gjelder for personregistre

PERSONVERN

Personvern kan forklares som regler til beskyttelse av det enkelte menneske som sier noe om bruk av opplysninger i offentlig og privat forvaltning. Personvern kan være et svar på de interesser enkeltmenneskene har i å kontrollere hvordan opplysninger om dem selv blir innhentet og brukt. Det kan være interesser knyttet til diskresjon, fullstendighet i opplysninger, opplysthet, en borgervennlig forvaltning, vern mot urimelig kontroll og maktmisbruk.

Dette er utgangspunktet når Datatilsynet tar beslutninger som skal ivareta det enkelte menneskets personvern.

PERSONREGISTER

Et personregister er en samling av personopplysninger som er lagret slik at de registrerte kan identifiseres. Registre over næringsdrivende og firmaer omfattes også av personregisterloven.

Eksempel på personregistre er registre sortert etter navn. Et register sortert etter bilnummer eller telefonnummer er også et personregister fordi såkalt bakveis identifisering er mulig.

KONSESJON FOR Å OPPRETTE PERSONREGISTER

Det må søkes om konsesjon fra Datatilsynet for å opprette edb-baserte personregistre. Det kreves også konsesjon for å opprette manuelle personregistre som inneholder sensitive personopplysninger. Sensitive personopplysninger er opplysninger om rase, politisk eller religiøs oppfatning, opplysninger om en person har vært mistenkt, tiltalt eller dømt for straffbare forhold, helseforhold eller misbruk av rusmidler, seksuelle forhold eller opplysninger som gjelder familieforhold, formuesordning mellom ektefeller eller forsørgelsesbyrde.

I 1995 ble det gitt konsesjon til å opprette 2 507 personregistre. Dette er en økning i forhold til 1994 hvor 1 656 personregistre fikk konsesjon. I 1993 ble det gitt totalt 1 262 konsesjoner for oppretting av personregistre etter søknad.

Totalt anslås det at det er gitt 65 000 konsesjoner til oppretting av personregistre siden Datatilsynet startet sin virksomhet i 1980.

KONSESJONER FOR VISSE TYPER VIRKSOMHETER

Personregisterloven omfatter også visse typer virksomheter. Disse virksomhetene er:

• kreditt- og personopplysningsvirksomhet som består i å gi informasjon om kredittverdighet eller økonomisk vederheftighet

• databehandlingsvirksomhet som består i å bearbeide personopplysninger for andre med elektroniske hjelpemidler

• adresserings- og distribusjonsvirksomhet som består i å selge eller tilby adresser for grupper av personer eller utsending av reklame eller annen informasjon til persongrupper

• opinions- og markedsundersøkelsesvirksomhet som er å drive opinions- og markedsundersøkelser for andre

Virksomhetskonsesjonen som utstedes gir bare tillatelse til å drive selve virksomheten. Foretaket må i tillegg søke om konsesjon for å opprette personregister som skal brukes i virksomheten.

Pr 31. desember 1995 er det gitt totalt 342 virksomhetskonsesjoner.

SAKSBEHANDLING

Datatilsynet behandler årlig en mangfoldig saksmengde. I hovedsak brukes flest ressurser på behandling av søknader om konsesjon for å opprette personregistre eller drive konsesjonspliktig virksomhet.

Mange av henvendelsene til Datatilsynet tar også opp saker som ikke er direkte knyttet til søknader om oppretting av registre eller å drive konsesjonspliktig virksomhet. Henvendelsene omfatter andre deler av personregisterloven og tar gjerne opp temaer som er aktuelle i samfunnsdebatten eller som knytter seg direkte til enkeltpersoners hverdagsliv. Dette gjelder spørsmål om overvåking, utlegging av skattelister, adressert reklame i posten, innsyn i registre, sletting av opplysninger, bruk av fødselsnummer med mer. Datatilsynet mottok for eksempel 102 skriftlige henvendelser om innsyn i ulike registre i 1995.

Spørsmål og henvendelser fra enkeltpersoner kommer i tillegg til tilsvarende spørsmål fra institusjoner i både privat og offentlig virksomhet.

Saksmengde

Restansene i saksmengden har sunket siden 1994. Datatilsynet definerer restanse som en sak som er eldre enn seks uker.

Restanser

Gjennomsnitt*

*Gjennomsnittet er beregnet ut fra restanselister for hver måned

Mange sakshenvendelser skjer pr telefon. Datatilsynet ekspederer ca 31 000 telefonsamtaler i året.

HØRINGSARBEID

Datatilsynet bidrar aktivt i forskjellig høringsarbeid, noe som er i overensstemmelse med Stortingets uttrykte ønske. Som høringsinstans kan Datatilsynet bidra til at samfunnsplanleggere og beslutningstagere har tilstrekkelig informasjon om personvern og sikring av personopplysninger. Datatilsynet mottok 120 høringssaker i 1995.

KLAGER

Datatilsynet mottok 33 klager på vedtak i 1995. Åtte saker ble oversendt til Justisdepartementet for klagebehandling.

Kontrollarbeidet
Datatilsynet gjennomfører kontinuerlig kontroller av både teknologiske og juridiske forhold.

I 1995 ble spesielt teknologiske kontroller prioritert. Totalt ble det gjennomført 21 kontrollbesøk i 1995.

Det ble foretatt 18 teknologiske kontroller i flere av landets kommuner. De teknologiske kontrollene viste at kommunene generelt har manglende bevissthet om edb-sikkerhet. Kommunenes administrative rutiner knyttet til bruk av informasjon og edb-sikkerhet er ofte ikke god nok. Området edb og personvern ser ikke ut til å være prioritert tilstrekkelig høyt i kommunene. Hver av de kontrollerte kommunene har fått tilsendt en kontrollrapport som beskriver forholdene og som gir pålegg eller råd om sikkerhet og bruk av edb-systemene i kommunene.

Kontrollbesøkene har åpnet for en god dialog mellom Datatilsynet og de kommuner som har hatt besøk. Resultatet av kontrollene vil gi et godt grunnlag for Datatilsynets videre arbeid med krav til edb-løsninger og sikkerhet. De teknologiske kontrollene ble i hovedsak gjennomført av Datatilsynets teknologer, men juridiske saksbehandlere deltok ved flere anledninger.

Det blir gjennomført juridiske kontroller i form av korrespondanse og oppfølging av regler og vilkår gitt i konsesjoner. I tillegg ble det i 1995 gjennomført tre stedlige juridiske kontroller i firmaene Det Beste (adresserings- og distribusjonsvirksomhet), Markeds- og Mediainstituttet A/S (opinions- og markedsundersøkelsesvirksomhet) og A/S Høyres Hus (adgangskontrollsystem).

Informasjonsvirksomhet
Behovet for en styrt informasjonsflyt til omverdenen har meldt seg de siste årene. Datatilsynet har arbeidet aktivt for å strukturere blant annet mediekontakten og forholdet til ulike målgrupper.

Noen viktige målgrupper:

• Innehavere av virksomhetskonsesjoner

• Publikum

• Edb-konsulenter,-leverandører og -rådgivere

• Høyskoler, universiteter

• Kommuner

• Politikere

• Medier

OFFENTLIG JOURNAL

Datatilsynet bruker normalt en til to dager på å besvare bestillling av saksdokumenter fra offentlig journal. Journalen er fyldig og innholdsrik og legges blant annet ut på pressesenteret i regjeringskvartalet. Den er populær å bestille dokumenter fra. Dette er arbeidskrevende og Datatilsynet bruker i ca 1/2 årsverk på arbeidet med å finne frem saker, kopiere og sende ut dokumentene. Datatilsynet mottar rundt 200 bestillinger fra journalen pr år og sender totalt ut 1 500 dokumenter i året.

En opptellling av antall saker i Datatilsynets ukentlige postjournal (opptelling i uke 48, 49, 50 og 51 1995) viser at av et gjennomsnitt på 234 saker pr uke er 6 saker unntatt offentlighet.

Det ble registrert 338 telefonhenvendelser fra pressen i 1995. Dette var henvendelser som krevde merarbeid utover selve telefonsamtalen.

UTSENDELSE AV INFORMASJONSMATERIELL

Datatilsynet har flere informasjonshefter og brosjyrer som sendes ut på forespørsel.

Fra 1. mars 1995 og ut året ble det for eksempel kopiert og sendt ut 1 425 brosjyrer som tar for seg sikkerhetsspørsmål.

En del informasjonsmateriell tar for seg generelle spørsmål knyttet til personregisterloven og personvern. Brosjyrer som "Fødselsnummer og personvern", "Personvern i arbeidslivet" og "Kjenn dine rettigheter i personregisterloven" ble ofte sendt ut til både privatpersoner og bedrifter. Datatilsynet mottar stadig henvendelser fra lærere som ønsker å bruke disse brosjyrene som en del av undervisningen. I løpet av 1995 ble det sendt ut ca 50 klassesett av brosjyrene. Alle våre brosjyrer blir gratis tilsendt (også klassesett).

SAMARBEID OM INFORMASJON I TELEFONKATALOGEN

Det er ønskelig å nå fram med aktuell informasjon overfor så mange som mulig. Et samarbeid med Telenor Privat har ført til at det blir gitt informasjon fra Datatilsynet om telefonbruk og personopplysninger i telefonkatalogen for 1996. Samarbeidet er her et verktøy for å nå frem til en viktig målgruppe med nyttig informasjon.

SPOR

Høsten 1995 ble første nummer av Datatilsynets kvartalsskrift SPOR utgitt. Bladet distribueres til et større antall mottakere. Det skal gi generell informasjon om Datatilsynets virksomhet og ta opp aktuelle temaer.

SEMINAR

Et stort antall edb-konsulenter, -leverandører og -rådgivere var invitert til Datatilsynets dagsseminar om edb-løsninger og sikkerhet høsten 1995. Seminaret ga god anledning til å utvikle et godt forhold mellom edb-konsulenter og -leverandører og Datatilsynet. Datatilsynet mener det er viktig å være i kontakt og konstruktiv dialog med de ulike representantene på området. Disse er gjerne premissleverandører i markedet.

FOREDRAG

Datatilsynets informasjonsvirksomhet dreier seg også om nærkontakt med ulike målgrupper i form av foredrags- og forelesningsvirksomhet. I 1995 deltok Datatilsynet med foredrags- eller forelesningsvirksomhet på 36 forskjellige eksterne arrangementer.

Nordisk tilsynssjefmøte på Svalbard
Datatilsynet var vertskap da det nordiske tilsynssjefmøtet ble holdt 18.-22. juni 1995, denne gangen i Longyearbyen, Svalbard. Dette årlige møtet mellom de nordiske tilsynsmyndighetene betyr mye for utveksling av erfaringer, drøfting av problemstillinger og samarbeidsmuligheter. Flere aktulle saker ble diskutert, blant annet EU-direktivet om beskyttelse av personer i forbindelse med behandling av personopplysninger, tilsynsorganenes uavhengighet og kompetanse i forhold til EU-direktivets artikkel 28, informasjonsamfunnet år 2000, Schengen-avtalen, Europol og saker i Norge som knytter seg til medlemsregistre.

Internasjonale fora
Datatilsynet deltar i flere internasjonale fora.

Datatilsynets direktør deltar i arbeidsgruppen under Europarådets ministerråd som utreder spørsmål i tilknytning til temaet "personvern og forsikringsdata".

Datatilsynet var også til stede på det årlige, internasjonale datatilsynssjefmøtet hvor 25 land er representert. Møtet ble arrangert i København i 1995. Til dette møtet er det knyttet en arbeidsgruppe som spesielt vurderer telekommunikasjon. Gruppen har møter to ganger i året, normalt i Berlin. Datatilsynet deltar på noen av møtene. Betydningen av dette uformelle organet synes økende.

Datatilsynet deltar også i OECDs gruppe for informatikk og personvern. Det blir holdt møter en til to ganger pr år i Paris. I tillegg arrangeres noen temaseminarer.

Det blir årlig holdt sikkerhetskonferanse i Baltimore. Denne konferansen har bred internasjonal deltakelse og er et viktig møtested for teknologer i både offentlig og privat virksomhet. En av Datatilsynets teknologer deltok på konferansen i 1995.