Alle som behandler personopplysninger kan få Datatilsynet på besøk for en kontroll. I mai 1998 gjennomførte tilsynet 23 kontroller i Trøndelag og i november 18 kontroller i Rogalandsdistriktet. Tilsynet konsentrerte seg i meldingsåret om fylkesvise kontroller innen et bredt spekter av virksomheter, fra videobutikker til internasjonale konsern.
Datatilsynets teknologiseksjon har deltatt sammen med juristene under kontroller av personvern og informasjonssikkerhet i 1998. Det er et uttalt mål at kontrollhyppigheten skal økes. En forutsetning for dette er at de grunnleggende sikkerhetskrav omformes til forskrift. På denne måten vil kapasitet fra arbeid med forhåndsgodkjenning kunne frigjøres for kontroll. Slik overføring av kapasitet vil imidlertid ikke alene være tilstrekkelig for å nå den hyppighet av tekniske kontroller som vurderes som nødvendig. Dette vil fortsatt være et ressursspørsmål.
I Trøndelag konsentrerte tilsynet seg om føring av kunderegistre i videobutikker, føring av klientregistre ved sosial- og barnevernskontor i flere kommuner, hotellers registrering av gjestenes telefoner, samt registrering av ansatte ved store arbeidsplasser.
I Rogaland kontrollerte tilsynet videoovervåking i banker, postkontor og bensinstasjoner, føring av klientregistre ved sosial- og barnevernskontor i flere kommuner, elevregisteret ved videregående skoler og personalregistre i det private næringsliv.
Formål
Formålet med kontrollene var ikke å avdekke grove feil og mangler eller å stille noen i gapestokk. Derimot ville Datatilsynet nå ut med informasjon om regelverket, og skaffe kunnskap om bevissthetsnivå for behandling og registrering av personopplysninger. Gjennom kontrollene har DT også fått publisitet rundt egen virksomhet og personvern generelt og har nådd ut til nye brukergrupper.
Metode
Når Datatilsynet kommer på kontroll skal vi møte de ansvarlige for registrene. Derfor varsler DT alle kontroller på forhånd og ber om en bekreftelse på dette. Ved å gi forhåndsinformasjon får også de som skal kontrolleres en mulighet til å forberede spørsmål og planlegge forhold de ønsker drøftet med Datatilsynet.
Enkelte av kontrollene er hurtigkontroller, gjennomført på ca. 15-30 minutter, andre av langt mer omfattende karakter.
Hensikten er å se nærmere på hvordan personopplysningene blir behandlet i henhold til lovverket. DT registrerer hvilke opplysninger som lagres i registrene, hvor opplysningene blir hentet fra, hvem som har tilgang til opplysningene, samt hvilken informasjon som registereier gir de registrerte. I tillegg understrekes om de registrerte benytter seg av innsynsretten og om registerfører har utarbeidet rutiner for dette.
Dessuten kontrolleres sikkerheten, så vel organisatorisk som systemteknisk, både ved manuell og elektroniske lagring.
Opplysninger fra kontrollene blir vurdert etter gjeldende regelverk og eventuelle konsesjoner. Vurdering av dette skjer etter kontrollen og ikke på stedet. Finner Datatilsynets jurister eller teknologer klare brudd på regelverket blir dette umiddelbart påpekt. Uoverensstemmelser i forhold til regelverket er som regel løst gjennom en dialog i etterkant, og forholdet blir rettet opp.
I for- og etterkant av en kontrollturne ønsker tilsynet publisitet rundt personvern gjennom aktiv kontakt med lokalpressen. DT tilstreber en publisitet langt utover kontrollobjektene.
Resultat
Det er mangel på konkret kjennskap til regelverket og konsesjonene, men de fleste følger likevel personvernets generelle grunntanker.
Datatilsynet blir for mye assosiert med maskiner og tekniske løsninger og ikke med de ansvarliges behandling av personopplysninger.
Det hersker en stor begrepsforvirring rundt personregisterlovens terminologi. Få vet hva begrepene innsyn, innhenting og utlevering av opplysninger innebærer.
Manglende kjennskap til regelverket, og ikke et bevisst ønske om å bryte/omgå regelverket, var årsak til de bruddene DT fant.
Det viste seg å være et overraskende lite press på registrene fra utenforstående.
Få av de registrerte benyttet seg av innsynsretten. Positivt mange hadde likevel utarbeidet rutiner for dette.
Internettkulturen virker edruelig og forstandig.
Fylkesvise kontroller har vært et vellykket og lærerikt prosjekt i meldingsåret, og er en effektiv bruk av midler for Datatilsynets virksomhet.