Datatilsynets og Personvernnemndas årsrapportar for 2022

Det blir i meldinga vist til at Datatilsynet og Personvernnemnda er uavhengige forvaltningsorgan som ikkje kan instruerast om behandlinga av einskildsaker eller den faglege verksemda elles. Kvart år sender dei sin årsrapport til departementet, som legg rapportane fram for Stortinget. Rapportane er vedlagde meldinga.

I punkt 1 i meldinga går merknader frå Kommunal- og distriktsdepartementet til Datatilsynets årsrapport for 2022 fram. I meldinga blir det vist til at Datatilsynet i meldingsåret særleg har prioritert arbeidet med saksbehandling og kontroll (punkt 3.1), regulatorisk sandkasse (punkt 1.1), internasjonalt arbeid (punkt 1.3) og personverntematikk knytt til skule, born og unge (punkt 1.2). I tillegg har Datatilsynet hatt andre vesentlege aktivitetar i 2022, som arbeid med personvernproblemstillingar i arbeidslivet (punkt 1.4) og i justissektoren (punkt 1.5). Det går òg fram at dei har prioritert personverntematikk som har oppstått som følgje av krigen i Ukraina.

Det blir i meldinga vist til at prioriteringane er baserte på desse tre delmåla i hovudstrategien til tilsynet:

• Å arbeide for ein meir rettferdig maktbalanse mellom individet og kommersielle/offentlege aktørar.

• Å fremje personvernvenleg digitalisering, innovasjon og utvikling.

• Å vere eit kompetent, fleksibelt og framtidsretta tilsyn.

Departementet gir sine vurderingar undervegs i kapittelet.

I punkt 2 i meldinga går merknader frå Kommunal- og distriktsdepartementet til Personvernnemndas årsrapport for 2022 fram. I kapittelet er blant anna følgjande tema omtalte: talet på saker, vedtak og møte, overgangen til personvernforordninga, saksbehandlingstid, vedtak som rettleiing, tema for sakene (m.a. kameraovervaking, sletting av søkjetreff i søkjemotoren Google, arbeidsgjevar sin rett til innsyn i e-postkasse og om rettsleg grunnlag for kredittvurdering), framtidsutsikter (digitalisering, datainnbrot, auka medvit om personvernregelverket og meir kompleksitet) og vurderinga til departementet om arbeidet i nemnda.

I punkt 3 i meldinga er det eit kapittel om administrasjon og ressursar. I punkt 3.1 blir det gitt ein omtale av budsjettet og rammevilkåra til Datatilsynet. Her blir det mellom anna gitt ein omtale av budsjett og bruken av tildelte budsjettmidlar, om leiinga og organiseringa av tilsynet (ny direktør, Line Coll, tiltredde 1. august 2022), om saksmengda og om tema for sakene (bl.a. personvern i kundeforhold, bruk av helseopplysningar, personvern på arbeidsplassen, ulovleg behandling av personopplysningar ved hjelp av digitale system eller tenester). Det går vidare fram at i tillegg til auke i saker blir dei òg stadig meir komplekse og tidkrevjande. Det blir gitt ein omtale av talet på og tema for avviksmeldingar, talet på vedtak og om avgjerder om gebyr og om markant auke i krav om innsyn etter offentleglova og framtidsutsiktene knytte til dette. I punkt 3.2 blir budsjettet og rammevilkåra til Personvernnemnda omhandla. Det blir gitt ein omtale av organiseringa og leiinga av organet, av sekretariatet og om budsjettet og bruken av budsjettmidlane.

I begge desse kapitla vurderer departementet korleis løyvinga er brukt og oppgåvene gjennomførte i 2022.

Komiteen, medlemmene fra Arbeiderpartiet, Rune Støstad, Siri Gåsemyr Staalesen, Terje Sørvik og lederen Lene Vågslid, fra Høyre, Mudassar Kapur, Anne Kristine Linnestad og Mari Holm Lønseth, fra Senterpartiet, Heidi Greni og Kathrine Kleveland, fra Fremskrittspartiet, Helge André Njåstad og Erlend Wiborg, fra Sosialistisk Venstreparti, Birgit Oline Kjerstad, og fra Rødt, Tobias Drevland Lund, viser til at Datatilsynets hovedmål er et godt personvern for alle.

Komiteen merker seg at Datatilsynet i 2022 har prioritert arbeidet med saksbehandling og kontroll, regulatorisk sandkasse, internasjonalt arbeid og personverntematikk knyttet til skole, barn og unge.

Komiteen viser til at Datatilsynet har utarbeidet en strategi med seks delmål som er styrende for deres arbeid. I 2022 har tilsynet prioritert og basert arbeidet i henhold til følgende tre delmål:

• Å arbeide for en mer rettferdig maktbalanse mellom individet og kommersielle/offentlige aktører.

• Å fremme personvernvennlig digitalisering, innovasjon og utvikling.

• Å være et kompetent, fleksibelt og fremtidsrettet tilsyn.

Komiteen merker seg at Datatilsynet også har hatt andre vesentlige aktiviteter i 2022, som arbeid med personvernproblemstillinger i arbeidslivet og i justissektoren. Det går også frem at de har prioritert personverntematikk som har oppstått som følge av krigen i Ukraina.

Komiteen merker seg at Datatilsynets regulatoriske sandkasse for personvern og kunstig intelligens (KI) har avsluttet seks pågående prosjekter fra 2021 og gjennomført én søknadsrunde til sandkassa.

Komiteen merker seg samtidig at det var en markant nedgang i søknader fra 2021 til 2022. I 2022 ble tre prosjekter valgt ut (med oppstart i juni 2022), mot syv i 2021. De tre prosjektene inkluderte aktører fra både offentlig og privat sektor og gjaldt utvikling av en algoritme for å predikere hjertesvikt, bruk av KI for å tilby persontilpassede tjenester innen kollektivtransport og utvikling av en personvernvennlig intelligent videoanalyse.

Komiteen merker seg at internasjonalt samarbeid er viktig fordi personvernforordningen skal tolkes likt i EØS-området, og at det i Datatilsynets strategi er nedfelt at tilsynet skal påvirke og ta en lederrolle i noen utvalgte internasjonale prosesser for å fremme personvernet.

Komiteen merker seg videre at Datatilsynet har hatt vesentlig aktivitet innenfor arbeidsliv og ansattes rett til privatliv og personvern, og at de ser alvorlig på lovbrudd i slike saker.

Komiteen merker seg at Datatilsynet har hatt flere tilsyn med justissektoren og at de har hatt et omfattende tilsyn med Kriminalomsorgsdirektoratet og tre av direktoratets underliggende etater, samt et tilsyn med Politiets IT-enhet. Videre merker komiteen seg at Datatilsynet avsluttet en avviksmelding fra Trøndelag politidistrikt fra 2021.

Komiteen merker seg at Datatilsynet i 2022 har gitt høringssvar til forslaget om endringer i etterretningstjenesteloven, om å lovfeste PSTs etterretningsoppdrag og tilgang til å behandle åpen, tilgjengelig informasjon.

Komiteen merker seg at Personvernnemnda er et uavhengig forvaltningsorgan, administrativt underlagt Kommunal- og distriktsdepartementet, og at den på samme måte som Datatilsynet ikke kan instrueres i behandlingen av enkeltsaker eller den faglige virksomheten ellers.

Komiteen merker seg at Personvernnemnda mottok 22 saker fra Datatilsynet i 2022, det samme antallet som i 2021.

Komiteen merker seg videre at Personvernnemnda behandler klager fra både privatpersoner, bedrifter og offentlige virksomheter.

Komiteens medlemmer fra Sosialistisk Venstreparti og Rødt viser til at både Personvernnemnda og Datatilsynet i årsrapportene sine peker på at det er sannsynlig at sakene vil bli mer omfattende og komplekse fremover. Både tilsynet og nemnda omtaler Grindr-saken som et eksempel på en slik sak, med et gebyr på 65 mill. kroner. Datatilsynets årsrapport viser til at både jurister og teknologer har bidratt inn i behandlingen av saken, og Personvernnemnda skriver at de regner med at saken vil ta opp mye av nemndas og sekretariatets ressurser i 2023.

Nemnda består av sju medlemmer og et sekretariat på én person. Nemnda er endelig administrativ instans for vedtak i saker fra Datatilsynet og bidrar ifølge årsrapporten til rettsavklaringer.

Personvernkommisjonen skriver i NOU 2022:11 at det bør gjøres jevnlige evalueringer av Personvernnemnda og at disse bør se på om nemnda utfører sin funksjon på tilstrekkelig vis, og om den er velfungerende.

Konkurransetilsynet fikk i 2023 søksmålsadgang for vedtak fra sin klageinstans. Dette ble innført slik at Konkurransetilsynet kan sørge for at saker av særlig viktighet eller prinsipielle spørsmål blir prøvd i domstolene. Datatilsynet kan på sin side ikke prøve saker ført for Personvernnemnda for retten.

På denne bakgrunn fremmer disse medlemmer følgende forslag:

«Stortinget ber regjeringen utrede om Datatilsynet bør få søksmålsadgang for Personvernnemndas vedtak, ved saker av særlig viktighet eller prinsipielle spørsmål, slik Konkurransetilsynet har for vedtak fra sin klageinstans.»

Komiteens medlemmer fra Arbeiderpartiet og Senterpartiet viser til at Personvernnemnda behandler klager over Datatilsynets vedtak etter personopplysningsloven. Nemnda er bredt sammensatt for å kunne behandle saker med varierte og komplekse problemstillinger. Fra tid til annen kan det være hensiktsmessig å evaluere nemndas rolleutøvelse og oppgaveutførelse. Disse medlemmer mener at dersom slike evalueringer indikerer at klageordningen ikke fungerer etter hensikten, bør det vurderes om utfordringene kan møtes ved å foreta justeringer i nemndas oppgaver og organisering før det vurderes å foreta større endringer i klageordningen.