Tilsynsvirksomheten er et viktig virkemiddel i Datatilsynets arbeid med å fremme et godt personvern i samfunnet. I tillegg til å kontrollere etterlevelsen av regelverket, er tilsynene også en viktig kanal for dialog og kunnskapsoverføring, til nytte for både tilsynsobjektene og Datatilsynet.
Datatilsynet har i 2004 benyttet både "brevlige tilsyn" og "stedlige tilsyn", det vil si besøk hos tilsynsobjektene. Denne fremgangsmåten velges i hovedsak ved systemrevisjoner og ved verifisering av konkret dokumentasjonsplikt. Der hvor behovet for direkte dialog er mer fremtredende, er besøk hos tilsynsobjektene fortsatt mest hensiktsmessig.
Tilsynsaktiviteten baseres på et internt utarbeidet kvalitetssystem for tilsyn. Året inndeles i to tilsynsperioder. For hver periode utarbeides en tilsynsplan. Denne omtaler i hovedsak organiseringen av tilsynsaktiviteten og de temaene som danner grunnlag for valg av tilsynsobjekter.
Datatilsynet gjennomførte til sammen 161 brevlige og stedlige tilsyn i 2004. Oversikten nedenfor viser tilsynsaktiviteten innen forskjellige områder:
| Bransje/sektor | Antall
|
| Arbeidsliv | 8 |
| Detaljhandel | 2
|
| Fjernsynsovervåkning | 24
|
| Forskning | 76 *
|
| Internettrelatert virksomheter | 9 |
| Kommune | 1 |
| Markedsførere | 2 |
| Primærhelsetjenesten | 10
|
| Helseforetak | 1
|
| Private / ideelle organisasjoner | 7
|
| Telekommunikasjon | 5 |
| Samferdsel 7 | 7 |
| Trygd 5 | 5 |
| Sum | 161 |
* Det ble kontrollert 76 konsesjoner innen forskning. Antall stedlige tilsynsbesøk var 29.
Hovedinntrykk
Mange aktører har fortsatt manglende kunnskap om regelverket. Dette synliggjøres i første rekke gjennom at virksomhetene ikke har etablert en oversikt over hvilke personopplysninger de faktisk behandler. De har heller ikke satt i gang nødvendige aktiviteter for å møte de pliktene de har i følge regelverket. De aller fleste tilsynsobjektene får derfor anmerkning fra Datatilsynet om manglende internkontroll. Dette er alvorlig fordi internkontrollsystemet, og tilhørende bestemmelser om informasjonssikkerhet, skal danne fundamentet i etterlevelsen av personvernlovgivningen.
Ledelsen svikter
Rapportene fra tilsynsvirksomheten viser at et flertall av virksomhetene har etablert visse rutiner når det gjelder sin behandling av personopplysninger. Imidlertid er disse rutinene i liten grad satt inn i et helhetlig system, tuftet på en vurdering av pliktene i regelverket. Et viktig element i internkontrollsystemet er fastsettelse av ansvar og myndighet i virksomheten. Det er i manglende grad tatt initiativ fra ledelsens side når det gjelder å sette i gang nødvendige aktiviteter og å klargjøre ansvar. I den grad det er tatt formelle initiativ er disse i liten grad fulgt opp av organisasjonen i praksis. Oppbygging, implementering og vedlikehold av et vel fungerende internkontrollsystem tar nødvendigvis en del tid og ressurser første gang man gjør dette.
Store og ressurssterke virksomheter burde ha både forutsetninger og tradisjon for systemrettet tenking. Erfaringene fra tilsynsvirksomheten tyder imidlertid ikke på noen sammenheng mellom virksomhetens størrelse og hvorvidt man har etablert et internkontrollsystem. Det avgjørende er hvilke kunnskaper og holdninger ledelsen i virksomhetene faktisk har i forhold til dette arbeidet.
Datatilsynet minner imidlertid at etablering av et internkontrollsystem er et lovpålagt krav, som virksomhetene ikke lenger kan nedprioritere eller sette helt til side.
Manglende systematikk
Når det gjelder informasjonssikkerhet, har de fleste virksomheter etablert sikkerhetstiltak, men det viser seg å være en manglende systematikk også i dette arbeidet. God sikkerhet forutsetter en systematisk prosess. Hva virksomheten anser å være en tilfredsstillende informasjonssikkerhet skal fastlegges, risiko skal kartlegges og nødvendige tiltak skal gjennomføres. Mangel i forhold til å etablere struktur og innhold i denne del av internkontrollsystemet er fortsatt fremtredende.
Dårlig sikkerhet ved elektronisk samhandling
Samhandlingen mellom publikum/kunder og offentlige og private virksomheter skjer naturlig nok i økende grad ved hjelp av elektroniske hjelpemidler. Publikum forventer at man skal gis muligheten til å kommunisere via Internett og e-post, om man ønsker det. Virksomhetene på sin side ser på dette som en mulighet til både å gi bedre service og å effektivisere kundedialogen. Datatilsynet erfarer imidlertid at den infrastrukturen som bygges opp for den elektroniske samhandlingen ofte ikke er god nok. Mange virksomheter benytter dårlig sikrede e-postløsninger og tilbyr løsninger på Internett med en utilstrekkelig grad av sikkerhet.
Publikum har stort sett tillit til at virksomheter de oppfatter som seriøse og skikkelige, også ivaretar sikkerheten i de elektroniske løsningene de oppfordrer publikum til å benytte seg av. Brukerne vil derfor ikke reservere seg mot å kommunisere også sensitive personopplysninger, dersom de ikke tydelig advares mot det. I den grad ellers ansvarlige virksomheter tilbyr løsninger som reelt sett er lite sikre, bidrar dette til at publikum heller ikke i andre sammenhenger stiller spørsmål ved sikkerheten i løsningene.
Bildet er imidlertid ikke entydig negativt. Datatilsynet har gjennom sin tilsynsvirksomhet også sett løsninger hvor informasjonssikkerheten virkelig er tatt på alvor, samtidig som hensynet til kostnader, effektivitet og brukervennlighet er ivaretatt.
Nasjonal satsing nødvendig
Erfaringene Datatilsynet har høstet de siste årene understreker behovet for en nasjonal satsning for å etablere en tilfredstillende infrastruktur for trygg samhandling via elektroniske medier. Moderniseringsministeren har i den sammenhengen tatt viktige initiativ for å fremme elektroniske signaturer.
Brudd på sletteplikten
Personopplysninger som ikke lenger er nødvendige for formålet med registreringen skal slettes. De gjennomførte tilsynene viser imidlertid at brudd på sletteplikten er fremtredende. Problemet synes ikke å være knyttet til noen spesiell sektor, men er gjennomgående.
Virksomhetene har i liten grad fastsatt retningslinjer og tilhørende rutiner for sletting av overskuddsinformasjon. Inntrykket er at mange velger å fortsatt lagre personopplysninger selv om man er klar over disse egentlig skulle vært slettet. Det kan ikke utelukkes at virksomhetene rett og slett vurderer det slik at kostnadene ved fortsatt oppbevaring av personopplysninger er lavere enn kostnadene ved å ha rutiner for gjennomgang og sletting.
Man lagrer også for det tilfelle at man, av årsaker man ikke overskuer i dag, kanskje likevel en gang i fremtiden kan dra nytte av personopplysningene.
Publikums rett til innsyn
I følge personopplysningsloven skal den behandlingsansvarlige bistå den registrerte med å gi innsyn i hvilke personopplysninger som er lagret, hva de skal brukes til, og hvor de er hentet fra.
Virksomhetene forteller at de registrerte i liten grad krever innsyn under henvisning til personopplysningsloven. Innen offentlig forvaltning er innsynsretten i praksis langt på vei også ivaretatt av offentlighetslov, forvaltningslov og særlovgivningen. I privat sektor oppfattes det å gi innsyn i registrerte opplysninger av mange virksomheter som en naturlig del av kundeservice og dialog. Datatilsynet vil likevel minne om at den behandlingsansvarlige må sørge for å ha retningslinjer for ivaretakelsen av den registrertes innsynsrett etter personopplysningsloven. Ikke minst er det også viktig at reglene gjøres kjent for de av organisasjonens medarbeidere som møter publikum.
Personvern - hemsko for utvikling?
Personvern ser ut til å komme under stadig sterkere press ved avveiningen mot andre hensyn. Krav til rasjonalitet og effektivitet er stikkord i denne sammenhengen. Virksomheter, i økende grad også innen offentlig sektor, tar ikke tilstrekkelig hensyn til personvernet. Enkelte unnlater også helt å vurdere konsekvensene for personvernet når nye løsninger og tiltak etableres. Flere aktører gir også direkte uttrykk for at hensynet til personvern oppleves som en hemsko i utviklingen. Gjennom tilsynsvirksomheten ble det for eksempel avdekket at enkelte medisinske forskere rett og slett hadde valgt å ikke forholde seg til konsesjonsvilkårene fra Datatilsynet. Dette kan være signal om en svekket forståelse og respekt for intensjonene bak personvernlovgivingen.
Datatilsynet erfarer også i økende grad at tilsynsobjektene markerer uenighet i forhold til de vedtak som tilsynet fatter i forbindelse med tilsynsvirksomheten. Vedtakene blir påklaget til Personvernnemnda. Årsaken til dette kan dels ligge i at det er blitt gjennomført langt flere tilsyn enn tidligere, samtidig som Datatilsynet er tydeligere i sin fortolkning av regelverket enn da personopplysningsloven var helt ny. Problemstillinger som har kommet opp i forbindelse med tilsynsaktivitetene, kan derfor ha ligget latent i lang tid.
Behandlingen av klagene i Personvernnemnda bidrar i alle tilfeller til klargjøring og presedens for tilsvarende saker som dukker opp senere.
Internasjonaliseringen gir utfordringer
Datatilsynet erfarer i økende grad utfordringer når det gjelder det å føre tilsyn med selskaper som har aktivitet i flere land og hvor den behandlingsansvarlige har sitt hovedsete utenfor landets grenser. Dette gjelder selv om selskapene er etablert innenfor EØS-området, hvor EUs personverndirektiv gjelder. I prinsippet skal slike tilsyn ivaretas ved en koordinering mellom tilsynsmyndighetene i respektive land. En slik koordinering fører imidlertid til et betydelig merarbeid og byr ofte på praktiske problemer. Blant annet er det store variasjoner landene i mellom når det gjelder omfang og organisering av den operative tilsynsvirksomheten. Datatilsynet er i dialog omkring dette med øvrige land, særlig de nordiske.
STØRRE TILSYNSPROSJEKTER
Datatilsynet valgte i 2004 å organisere noe av tilsynsaktiviteten som større prosjekter. Denne organiseringen ble valgt for sektorer hvor det ble vurdert som viktig sette inn ressurser for en ekstra grundig, og dermed ressurskrevende, kartlegging. Det ble gjennomført prosjektbaserte tilsyn innen følgende områder:
- Krisesentre
- Elektronisk kommunikasjon innen helsesektoren
- Trygdeetaten
- Medisinsk forskning
Tilsynsprosjektet om medisinsk forskning blir omtalt her. Det ble også gjennomført et forprosjekt når det gjelder behandling av personopplysninger innen idretten. Dette prosjektet vil bli fulgt videre opp i 2005.
Krisesentrene
Krisesentrene var opprinnelig etablert med lokal frivillig arbeidsinnsats og deres virksomhet har aldri vært lovregulert. Dette har gitt utfordringer, blant annet i forhold til taushetsplikten. Forhold av svært personlig art kan lett eksponeres i lokalsamfunnet. Konsesjonene, som i sin tid ble utstedt med hjemmel i den tidligere personregisterloven, fulgte derfor en svært restriktiv praksis. Krisesentrene fikk kun registrere navn og adresse på brukerne, og da i første rekke for omadressering av post.
Mye har endret seg siden de første krisesentrene dukket opp på første halvdel av 1980-tallet. Personopplysningsloven har erstattet den tidligere personregisterloven. Samtidig har mange krisesentre utviklet seg til å yte flere tjenester enn kun å fungere som et tilfluktssted for mishandlede kvinner.
Datatilsynet organiserte derfor i 2004 et tilsynsprosjekt overfor krisesentrene. Først ble det sendt ut et kartleggingsskjema til samtlige 50 krisesentre. Etter å ha mottatt tilbakemeldinger fra 39 sentre, ble fem valgt ut for stedlige tilsynsbesøk.
Det er særlig tre spørsmål Datatilsynet har vært opptatt av i prosjektet:
- retten til anonymt opphold,
- taushetsplikt/utlevering av opplysninger,
- registrering av opplysninger om tredjeperson
Retten til anonymt opphold
Retten til å oppholde seg anonymt på krisesenteret har lenge vært et viktig prinsipp for Datatilsynet. Et flertall av krisesentrene svarte i kartleggingen at kvinnene blir gitt mulighet til å oppholde seg anonymt. Tilsynsbesøkene avdekket imidlertid at det bare var ett av fem krisesentre som ga en reell mulighet til anonymt opphold. Det ble imidlertid ikke foretatt identitetssjekk ved noen av sentrene. Etter dialog med krisesentrene ser Datatilsynet at det kan være gode grunner for at kvinnen skal oppgi sitt navn under oppholdet. Primært er dette knyttet til ivaretakelse av kvinnens egen sikkerhet, for eksempel ved akutte sykdomssituasjoner, evakuering og lignende. Dette behovet er imidlertid mindre for dagbrukere enn beboere.
Utlevering av opplysninger
Fordi krisesentrene ikke er regulert av særlover, er samtykke til behandling av personopplysninger helt grunnleggende. Samtykkekravet vil som hovedregel gjelde også ved utlevering av opplysninger til barnevernet.
De aller fleste krisesentrene oppgir å ha som hovedregel at kvinnens samtykke innhentes før barnevernet eventuelt kontaktes. Hovedregelen fravikes dersom situasjonen vurderes til å være svært alvorlig med hensyn til barnets liv og helse. Datatilsynet er tilfreds med at lederne ved krisesentrene synes å ha et meget bevisst forhold til denne problemstillingen.
Ved utveksling av opplysninger til andre institusjoner og etater ser krisesentrene gjennomgående ut til å være påpasselige med å innhente samtykke til utvekslingen. For lagring av opplysninger til bruk for eventuell senere rettssak, og til bruk under oppholdet, synes det imidlertid ikke å foreligge tilfredsstillende samtykkeerklæringer.
Registrering av opplysninger om tredjepersoner
I tillegg til opplysninger om kvinnen registreres også opplysninger om øvrige familiemedlemmer, i første rekke barn. Barne- og familiedepartementet har dessuten utarbeidet relativt detaljerte skjemaer som i utgangspunktet ikke skal være knyttet til kvinnens, eller tredjepersons, identitet. Datatilsynet ser det imidlertid som bekymringsfullt at skjemaene for beboere og dagbrukere gir informasjon også om overgriper, og at disse opplysningene oppbevares sammen med opplysninger om kvinnen.
Videre oppfølging
Med bakgrunn i kartleggingen, og de stedlige tilsynene, har Datatilsynet utarbeidet et utkast til retningslinjer for krisesentrene. De tar utgangspunkt i hvordan Datatilsynet mener at personopplysningsloven bør tolkes og anvendes i forhold til krisesentrene. Retningslinjene er sendt til berørte instanser for uttalelse. De vil deretter bli formidlet i en endelig form til samtlige krisesentre.
Elektronisk kommunikasjon i primærhelsetjenesten
Høsten 2004 gjennomførte Datatilsynet et tilsynsprosjekt som satte fokus på elektronisk kommunikasjon i primærhelsetjenesten. Prosjektet var en direkte videreføring av den løpende tilsynsaktiviteten som Datatilsynet har hatt mot helsesektoren siden 2002. Målet med prosjektet var å kartlegge noen av de utfordringene som primærhelsetjenesten møter ved å ta i bruk elektronisk kommunikasjon mot helseforetakene og øvrige instanser innen helsesektoren, og i dialog med sine pasienter. Den mer generelle etterlevelsen av regelverket med hensyn til internkontroll og informasjonssikkerhet ble også kontrollert.
Det ble gjennomført ti tilsyn som ledd i prosjektet. Fem stedlige og fire brevlige tilsyn var rettet mot legekontorer, og ett stedlig tilsyn hos mot helseforetak. Det ble også holdt møter med to leverandører av programvare for elektronisk kommunikasjon.
Tilsynene viste at ansvarsforholdene var rimelig avklarte når det gjelder legekontorenes oppkopling mot de regionale helsenettene. I forhold til leverandørene av programvare for elektronisk kommunikasjon hadde legekontorene imidlertid mindre oversikt og klarhet i hvem som har ansvar for hva. Datatilsynet konstaterte også at det var en del uklarhet i forhold til utveksling av meldinger mellom legekontorene og andre aktører innen helsevesenet.
Erfaringene fra tilsynene tyder på at primærhelsetjenesten i svært liten grad har etablert en tilfredsstillende internkontroll når det gjelder sin behandling av helseopplysninger. Syv av ni legekontorer fikk derfor varsel om pålegg grunnet manglende etterlevelse av helseregisterlovens bestemmelser om internkontroll, mens åtte av ni fikk pålegg som følge av manglende etterlevelse av sikkerhetsbestemmelsene.
Også helseforetaket fikk pålegg om å rette opp manglende etterlevelse av bestemmelsene om internkontroll og informasjonssikkerhet.
Betryggende i Trygdeetaten
Trygdetaten omfatter Rikstrygdeverket, 500 enheter på fylkes og kommunenivå, og har om lag 9 000 tilsatte. Trygdeetaten har sensitive personopplysninger om nær sagt alle landets innbyggere. Datatilsynet ønsket derfor å få bedre oversikt over trygdeetatens håndtering av personopplysninger - særlig hvorvidt vilkårene for de ulike behandlingene av personopplysninger er oppfylt, hvordan den registrertes rettigheter ivaretas, og om opplysningene sikres godt nok. Tilsynet fokuserte på internkontrollsystemet og implementeringen av dette.
Det ble gjennomført tilsyn hos Rikstrygdeverket sentralt, ved to fylkestrygdekontorer og to lokale trygdekontor. Selv om dette har vært det mest omfattende tilsynsprosjektet Datatilsynet har utført i en og samme behandlingsansvarlige virksomhet, er likevel ikke alle etatens behandlinger av personopplysninger kartlagt. Til det er omfanget av trygdeetatens virksomhet for stort.
Resultatet av tilsynet var oppløftende og ga et positivt inntrykk av Trygdeetaten. Rutinene for håndtering av personopplysninger i virksomheten virket totalt sett å være meget gode, og var tydelig forankret i beslutninger fra ledelsen. Det fremstod som viktig for ledelsen og virksomheten som helhet at personopplysninger behandles korrekt og forsvarlig. Det ser ut til at Trygdeetaten har lagt til grunn at godt personvern er en forutsetning for at etaten kan oppnå ønsket tillit i befolkningen.
Selv om Datatilsynet kunne konstatere at trygdeetatens behandling av personopplysninger i all hovedsak skjer i samsvar med regelverket, ble det avdekket enkelte avvik. Det er behov for ytterligere utvikling av rutinene knyttet til situasjoner der medlemmer ber om innsyn i opplysninger om seg selv. Rikstrygdeverket må også klargjøre lagringsbehovet for opplysninger om misbruk av trygdemidler når mistanken senere frafalles. Det må blant annet etableres rutiner for sletting i samsvar med dette. Videre må Rikstrygdeverket videreutvikle rutinene i internkontrollsystemet, slik at man har enda bedre sikkerhet for at avvik fra fastlagte rutiner blir håndtert av riktig nivå i organisasjonen.
KORT OM ØVRIGE TILSYN
Her nevnes kort noen av de øvrige tilsynene som ble gjennomført i 2004.
Detaljhandel/fordelskort
Datatilsynet gjennomførte tilsyn mot to aktører som benytter såkalte fordelskort. Den som benytter et slikt kort får et utbytte, beregnet ut fra hva vedkommende kjøper hos kjeden. Kunden på sin side aksepterer at opplysninger som kortnummer, tidspunkt og beløp overføres til et sentralt kunderegister. Disse opplysningene benyttes blant annet til markedsføring og statistikk.
Det er tilsynets oppfatning at aktørene er opptatt av personvern, og at kunnskapen om personopplysningsloven er god. Dette skyldes nok for en stor del at bransjen er avhengig av tillit fra medlemmene, og at et brudd på personopplysningsloven kan få foretningsmessige følger.
Internettleverandører
Datatilsynets hovedfokus ved tilsyn mot leverandører av internett-tilgang for private var å kontrollere virksomhetenes praksis med hensyn til lagring og sletting av personopplysninger, utlevering av disse, samt forvaltning av e-post kontoer for sine kunder.
Det ble ikke avdekket at det foretas registrering av hvilke sider internettbrukerne besøker, eller hvilken adferd brukerne har ved oppkobling mot Internett. Slik logging ville ifølge internettleverandørene dessuten ha vært svært ressurskrevende å gjennomføre.
Noen av internettleverandørene ga til kjenne en liberal praksis med utlevering av trafikkdata til politiet. Det ble sjelden bedt om formell kjennelse før materialet ble overlevert til politiet.
Datatilsynet påpekte ovenfor flere av virksomhetene at sikring av kundenes e-post ikke var tilfredstillende. Unødvendig mange ansatte hadde etter Datatilsynets mening muligheter for å tilegne seg kundenes brukernavn og passord. Leverandørene må beskytte passordfilene bedre, for eksempel ved at disse krypteres. Datatilsynet ser på ovennevnte som et midlertidig problem, da struktur for elektronisk identifisering og digitale signaturer er i ferd med å utvikles. Slike løsninger vil trolig overta for det tradisjonelle brukernavnet og passordet.
STYRINGSSVIKT I ORGANISASJONEN?
Trygdeetaten har vist at det lar seg gjøre å innføre et vel fungerende internkontrollsystem. Man må da spørre seg: Hvorfor har Trygdeetaten fått det til, mens en systematisk tilnærming til internkontroll er nærmest fraværende i mange av de andre virksomhetene Datatilsynet har ført kontroll med?
Hos mange virksomheter oppfattes det ikke som naturlig eller viktig å etablere et strukturert system for styring av virksomheten. Selv i store virksomheter kan Datatilsynet konstatere at det er en manglende kompetanse i forhold til å etablere enhetlige systemer. Styringen av virksomheten foregår etter helt andre mekanismer enn hva regelverket forutsetter. Å ha en systematisk tilnærming til internkontroll, som i utstrakt grad bygger på samme konsept som system for kvalitetssikring, føles derfor fjernt for mange. I andre virksomheter kan kompetansen være tilstede, men man setter ikke på dagsorden å etterleve offentlig regelverk.
Moderne regelverksutvikling er tuftet på forutsetningen om et strukturert pliktsubjekt. Den ansvarlige forutsettes å ta ansvar og handle. Dette innebærer å sørge for at noe konkret skjer i virksomheten. Ingen tilsynsorganer forventer at virksomhetens øverste leder selv skal gjennomføre de pålagte pliktene. Den ansvarlige skal imidlertid sørge for å utløse handling. Ofte delegeres store deler av arbeidet med tilpasning til regelverket til mellomledere i virksomheten. Dette kan være både en hensiktsmessig og riktig strategi, men det fritar imidlertid ikke den øverste ledelse for sitt ansvar og plikt til oppfølging. Det system som bygges opp i linjeorganisasjonen må tillegges den makt og autoritet som et ledelsessystem krever. Dette forutsetter tilstedeværelse og fokus fra virksomhetens øverste ledelse.
For øverste leder handler altså spørsmålet i stor grad om å delegere oppgaver eller plikter, forvisse seg om fremdrift, bemyndige i samsvar med internkontrollsystemet og sørge for en systematisk oppfølging og periodisk gjennomgang. Virksomhetens størrelse vil være av stor betydning for hvordan dette løses i praksis.
Datatilsynet konstaterer i mange av sine tilsyn at den øverste lederen ikke har tatt det ansvaret som regelverket forutsetter. Virksomhetens etterlevelse av regelverk vil da ofte være basert på initiativ fra linjeledelsen. I noen tilfeller kan dette gi et tilfredstillende resultat, men i de fleste tilfeller mangler den autoriteten som internkontrollen forutsetter.
Lederskap handler fremfor alt om å ta ansvar, vise vei og sette standard i forhold til hvordan virksomheten skal opptre. Internkontrollsystemet er et verktøy i utøvelsen av dette lederskapet.
Teksten er hentet fra årsmeldingen for 2004.