Temahefte 48

Nytt personvern

Temahefte nr. 48

For medlemmer av Fagforbundet

4–7 32-34

12-16

INNHOLD < 3 Leder < 4–7 EUs nye personvern- forordning < 8–11 Faglig innspill: Trude Talberg-Furulund < 12–16 Oppskrift mot nye skandaler < 17 Professor tror høye bøter vil ha god effekt < 18–19 Faglig innspill: Kurt O. Bjørnnes < 20–21 – Mye uklart og må avgjøres i retten <2 2–24 - Kommunalt ansatte skal ha de nye instruksene i ryggmargen < 25–27 Faglig innspill: Christian Danilesen < 28–31 Faglig innspill: Kari Gimmingsrud og Isak Mendoza. < 32–34 Tror ikke på voldsom snuoperasjon i Nav

Temaheftene er et yrkesfaglig tilbud. Her går Fagbladet dypere inn i fagene og problemstillinger knyttet til arbeidssituasjonen for medlemmer av Fagforbundet.

Last ned dette og andre temahefter i PDF-format på www.fagbladet.no

M

Ø ILJ

M E RK

241

E

T

Ansvarlig redaktør: Hege Breen Bakken Illustrasjoner: Johan Reisang og Ela Buria Medarbeidere: Bjørn A. Grimstad, Linn Stalsberg, Øystein Windstad, Åslaug Rygg Layout: Nylund Larsen AS Trykk: Ålgård Offset AS. Redaksjonen avsluttet 2. januar 2018.

393

Trykksak

leder

De veit hvor du bor Hver gang vi er på Facebook, Instagram, Google eller en hvilken som helst nettside, så har vi i realiteten gitt fra oss verdifulle opplysninger om oss selv. Om hva vi mener, hvor vi bor og jobber, hvem vi er i familie med og hva slags utdanning vi har. Vi sjekker inn steder og tagger oss sammen med venner. Vi liker sider og deler andres poster. Alle disse dataene gjør det enkelt å danne seg et ganske presist bilde av hvem vi er og hvordan livene våre ser ut. Dataene er nå gull verdt for aktører som ønsker å påvirke oss, for eksempel annonsører. Annonseindustrien sporer og lagrer bevegelsene våre på nett og sitter på detaljert innsikt i vanene og interessene våre, smaken og kontaktnettet vårt. Dette kjøpes og selges på globale børser og gjør at markedsføringen blir svært målrettet. Og jo mer detaljerte profilene om oss er, jo større er markedsverdien.

Hege Breen Bakken ansvarlig redaktør

for min arbeidsplass eller mitt medlemskap i Fagforbundet? Må jeg i det hele tatt forholde meg til den i min jobb? Hva må jeg som leder eller personalansvarlig gjøre for å være klar til forordningen trer i kraft i mai 2018? Og hva skjer hvis vi ikke følger reglene? Alt dette og mer til har vi forsøkt å finne svaret på i dette temaheftet. Vi håper derfor vi bidrar til noen oppklaringer, og at du får nytte av artiklene. God lesing.

Problemet med alt dette er at vi som borgere og forbrukere mister kontrollen over våre egne personopplysninger. Vi har for lite innsyn i hva selskapene gjør med opplysningene om oss, viser Datatilsynets rapport om person­ opplysninger på det digitale annonse­ markedet. Denne trusselen er mye av bakgrunnen for at EU har vedtatt den nye personvern­ forordningen, eller General Data Protection Regulation (GDPR), og som nå volder mye hodebry på arbeids­plasser som håndterer og jobber med person­­­vern og person­ opplysninger. For hva er en forordning? Hva skiller den fra et direktiv? Hva innebærer den

nytt personvern

3

EUs nye personvernforordning

I mai 2018 trer EUs nye personvernforordning i kraft. Men mange kommuner sliter med å følge selv dagens regelverk. Hva skal til for å være ajour med de nye bestemmelsene? Tekst og foto: Bjørn A. Grimstad Illustrasjonsfoto: Colourbox

Utfordringene rundt behandling av person­opp­ lysninger har blitt kraftig endret ettersom den teknologiske utviklingen har skutt fart de sist ti­ årene. Dagens lover og forskrifter om personvern, som er basert på et EU-direktiv fra 1995, har dermed blitt overmodne for en oppdatering. Med EUs nye personvernforordning får brukerne mange nye rettigheter, og virksom­hetene nye plikter. – Forordningen tar innover seg den infor­ masjons­flyten vi har i dag og erstatter et utdatert regelverk, sier fagdirektør Hallstein Husand i Datatilsynet.

Det offentlige har stort ansvar Siden 1995-direktivet har stort rom for tolkning, har EU- og EØS-landene i dag veldig ulikt person­­vernregelverk. En forordning derimot, skal i sin helhet implementeres i det nasjonale lov­ verket. Etter mai 2018 vil personvern­lov­g ivningen dermed være nærmest identisk i hele Europa, noe som skal bidra til en mer sømløs deling av person­ opplysninger tvers av lande­grensene. – Norge har allerede et relativt godt regelverk innen personvern, så innføringen blir en mindre overgang for oss enn en del andre land. De grunnleggende prinsippene blir omtrent de samme som tidligere. Men måten regelverket er bygget opp på, gjør at innbyggerne får tydeligere rettigheter enn i dag. Dermed får de som sitter på personopplysninger, nye plikter, sier han.

Innbyggernes rettigheter Alle virksomheter som behandler person­opp­lys­ ninger må følge den nye lovgivningen. Men selv om alt fra nettbutikker til sosiale medie-aktører samler personopplysninger, kan ikke dette sam­

4

nytt personvern

personvern

men­lignes med den mengden persondata som stat, fylke og kommune sitter på. Det offent­lige er storforbrukere av person­opp­lysninger, og har et spesielt ansvar for å ha orden i sysakene. Noe som forsterkes av at det ikke er en frivillig sak å gi fra seg disse opplysningene. Men Datatilsynet har over flere år gjennomført et stort antall tilsyn i kommunesektoren. Kon­ trollene har vist at mange kommuner sliter med å beskytte innbyggernes rettigheter når det kommer til personvern. – De har en lang vei å gå. Ikke minst når det gjelder å få oversikt over hvilke opplysninger de behandler, og systematisere dette. Noen kom­ muner har også utfordringer med å forstå hva en risikovurdering er og hvordan den skal brukes, sier Husand.

Hjelper ikke å være stor Andre hovedfunn fra tilsyn hos kommunene var for dårlig internkontroll, mangel på rutiner for innsyn og mangelfull informasjon til innbyggerne om hvordan opplysningene blir behandlet. Datatilsynet har i løpet av det siste året utstedt flere overtredelsesgebyr til kommuner som har publiserte sensitive personopplysninger som følge av manglende risikovurderinger. Flere av funnene betegnes som overraskende. Ett Fagdirektør i Datatilsynet, Hallstein Husand, håper at mange setter seg sammen for å finne gode løsninger på hvordan de skal verne om personopplysninger. Men det begynner å haste, 25. mai 2018 trer den nye forordningen i kraft.

av dem er at det ikke er størrelsen som teller. Mens små kommuner kunne ha alle rutiner og systemer i orden, kunne en bykommune et stein­kast unna være en av storsynder innen personvernarbeid. – Man kan jo tro at en stor kommune har mer kapasitet og kompetanse til å følge regelverket. Men det er overraskende lite forskjell på de store og små. Det var heller ikke noen regionale forskjeller. Naboen til en veldig god kommune kunne ha alvorlige mangler, sier Husand. Han tipser derfor kommuner med utfordringer om å ta et møte med nabokommunen for å få innspill om hvordan de løser personvern­proble­ matikken. Også interkommunale foretak, hvor nabokommuner slår sammen ressursene i visse felt, har vist gode resultater. Og det begynner å haste. Etter at forordningen er iverksatt, vil sanksjonene bli betydelig høyere enn det Data­ tilsynet operer med i dag, uten at det har blitt fastsatt noen satser for ulike overtredelser.

– Ikke uoverkommelig Datatilsynet har det siste året jobbet intensivt med å informere og veilede kommuner og andre offent­ lige virksomheter om personvern­for­ord­ningen. Der har de fått alt fra veldig begeistrede tilbake­ meldinger, til de som er svært nega­tive til for­ ordningen.

Personvern­prinsippene Bygger på grunn­ leggende prinsipper i europa­råds­konven­ sjonen, retnings­linjer fra OECD og EUs person­vern­ direktiv og er i samsvar med EUs person­vern­ forordning. Behandlingen av person­ opplysninger skal være lovlig (rettslig grunnlag), rettferdig (i respekt for de registrertes inte­res­ ser) og gjennom­siktig (bruken skal være over­ siktelig og forut­sig­bar). Opplysningenes inte­ gritet, konfi­densi­alitet og til­gjenge­lighet skal beskyttes. Behandlings­ an­svarlig skal dermed sørge for at person­opp­ lysninger ikke blir ødelagt, tapt eller endret. Bruken skal formåls­ begrenses: man kun samle inn opplysninger man har bruk for. Videre skal opp­lysningene være riktige og de skal slettes når man ikke lenger har bruk for dem. Alle virksomheter som behandler personvern­ forordningen, har ansvar for å følge prinsippene og skal kunne doku­ mentere at de følger person­vern­forordningen. Kilde: Datatilsynet

nytt personvern

5

Hallstein Husand har inntrykk av at arbeids­ mengden som kreves for å komme i havn, kan virke skremmende for mange. Det kan være manglende ressurser, kompetanse og kjennskap til regelverket som gjør at kommunen allerede henger etter. Derfor er han opptatt av å fjerne noe av mystikken rundt innføringen av EUs person­vernforordning. – Ja, dette fører til merarbeid, men det er ikke uoverkommelig. Hvis man skaffer seg oversikt og gjør det i riktig rekkefølge, vil man lykkes. For de som følger dagens regelverk blir ikke overgangen veldig stor, sier han.

Må ha oversikt Oversikt er et viktig nøkkelord i dette arbeidet. Ledelsen skal samle en fullstendig oversikt over hvilke personopplysninger kommunen har, og til hvilket formål. – Det er ofte slik at de ulike lederne i kom­ munen har oversikt over sin sektor, samtidig som kommunens ledelse og administrasjon mangler den totale oversikten. Å sette sammen alle de gode hodene og finne ut hvilke opplysninger man faktisk har er en stor og krevende oppgave det må settes av tid til, sier han. Ut fra denne informasjonen kan man gjen­ nom­føre risikovurderinger og sikre innbyggernes rettigheter. Viktige momenter er at man skal kunne styre tilgangen til personopplysningene og innarbeide rutiner for innsamling og lagring, og ved eventuelle sikkerhetsbrudd.

Må melde om avvik oftere – Det er viktig å understreke at dette ikke er et IKT- eller jussprosjekt. Begge deler er viktige verktøy, men først og fremst er dette er et organi­ satorisk prosjekt. Og det er den øverste ledelsen i kommunen med rådmannen i spissen som har ansvar for å få dette i havn, sier han. Ett av punktene som nå blir betydelig skjerpet inn, er avvikshåndtering. Man skal melde mye oftere fra om det er mistanke om at person­opp­ lysninger har kommet på avveie. Ifølge for­ ordningen skal man melde fra til Datatilsynet innen 72 timer, samtidig som de berørte skal varsles på en tydelig og lett forståelig måte. – Vi vet at det er en voldsom underraportering på avvik fra kommunene. Det er viktig for oss og virksomheten å vite at man faktisk har avvik, for ethvert uoppdaget avvik er et tapt forbedrings­ potensiale, sier han. Datatilsynet er nå forberedt på å ta imot et stort antall avviksmeldinger fra landets mange kommuner, i tillegg til offentlige og private virksom­heter. – Et klassisk eksempel på et avvik er at man på grunn av gjennomsiktighetsprinsippet gjør infor­masjon tilgjengelig på nett. Men så glipper det, og man legger ut mer enn man har lov til. Andre eksempler er at man sender informasjon til feil epostadresse. Dette skal meldes til oss, sier Husand.

Datatilsynets arbeidsliste • Ha oversikt over hvilke personopplysninger dere behandler. Alle virksomheter som samler inn eller bruker personopplysninger skal ha oversikt over hvilke person­opp­lys­ninger det er snakk om, hvor de kommer fra og hva som er det rettslige grunnlaget for behandlingen. Sørg for å ha en slik over­sikt. Det er et krav som ogs gjelder etter dagens lov. • Sørg for å oppfylle dagens lovkrav. Over­gangen til de nye reglene blir lettere om dere ette­ rlever kravene i person­opp­lys­nings­­loven, som gjelder i Norge i dag. Har dere gode rutiner for intern­kontroll som fungerer etter hen­sikten og

6

nytt personvern

er kjent i organisasjonen, er det lettere å få oversikt over hva dere må endre. • Sett dere inn i det nye regelverket. Dere finner for­ordnings­teksten og artikler om den på Datatilsynets nettsider. • Lag rutiner for å følge de nye reglene. Gå gjennom rutiner for behandling av person­ opplysninger og opp­dater dem etter nytt regel­verk. Dokumenter de nye rutinene, og legg en plan for nødvendige endringer. Er systemene laget for å ivareta kravet til innebygd person­vern, data­portabilitet og

personvern som standard­­innstilling? Klarer dere å fange opp og besvare henvendelser fra borgerne innen én måned? Endringer i systemer og rutiner tar tid. Begynn allerede nå! (Hentet fra Datatilsynets brosjyre til virksomheter)

personvern

Alle kommuner skal nå ha personvernombud Men ordningen innebærer også en god del valgfrihet i hvordan man henter inn denne kompetansen. De nye reglene pålegger alle offentlige virksom­ heter, og en del private, å ha et personvernombud. Denne ressursen skal involveres i alle saker hvor person­­opp­lys­ninger blir be­handlet, samt være et kontakt­punkt mot de som blir berørt. Grensene for akkurat hvilke offent­lige myndig­heter og organer som må ha dette, blir tegnet opp av Stortinget når de vedtar den nye loven. Men det er en avgjort sak at alle norske kom­ muner må se seg om etter en flink person­vern­ekspert. – Det blir obligatorisk for alle offentlige virk­som­­heter, så det er ikke en eneste kommune som slipper unna dette. Ombudene skal oppfylle alle de kravene som loven stiller, hvor det viktigste er uavhengiget, kompetanse og tid til å gjøre jobben sin, sier Hallstein Husand, fag­d irektør i Data­t ilsynet. Han poengterer at personvernombudet først og fremst skal fungere som en rådgiver for kom­ munens ledelse, og ikke være tilknyttet admi­ nistra­­sjonen.

Person­vernombud kommer til å bli en del av utdan­ningsløpene på flere høyskoler og vil der­ med gir studiepoeng, opplyser han. Datatilsynet anbefaler at kvalifikasjonene er tilpasset omfanget og typen av personopplysninger virksom­ heten behandler. Det er likevel ingen faktiske krav til hvilken utdanning eller hvilket kurs et personvernombud skal ha tatt. Men det sitlles flere krav til at ombudet kjenner virksom­heten og følger behandlingen av person­­opp­lysninger tett. Det er åpnet for at flere virk­ som­heter kan gå sammen om å utnevne et felles ombud. Likeledes er det valgfritt om om­budet skal være en ansatt eller hentes inn fra en ekstern leverandør. I siste fall vil ombudet kunne være en organisasjon og ikke en person.

Det blir obligatorisk for alle offentlige virk­som­­heter, så det er ikke en eneste kommune som slipper unna dette.

Varierende kompetansekrav Personvernombud er ikke nytt fenomen i Norge, da det har vært en frivillig ordning i mange år. Flere offentlige virksomheter og noen kommuner har allerede et ombud på plass. Men når de nye reglene trer i kraft, vil beskrivelsen av rollen til et personvernombud være annerledes. – Kravet til kompetanse blir mye større.

Fagdirektør Hallstein Husand i Datatilsynet mener det er fullt overkommelig å være ajour med GDPR innen 25. mai 2018. Det gjelder bare å gjøre ting i riktig rekkefølge.

Ombud eller rådgiver? For øvrig er det ikke avklart om det offisielle navnet blir personvernombud, slik det heter i den gamle ordningen. I den foreløpige over­ settelsen av forordningen, blir derimot begrepet personrådgiver brukt. Hva navnet faktisk blir, er opp til Stortinget å avgjøre. Om det blir ombud eller rådgiver, målet er at personen skal bli en kompetanserik ressurs, men også en pådriver for god personvernpraksis. – Med dette kravet kan ingen kommuner si at de ikke har kompetanse på personvern, for det er de pålagt å ha, avslutter Husand.

nytt personvern

7

Må følges av alle som behandler personopplysninger Det har blitt stadig mer attraktivt å selge eller å dele person­ vern­opplysninger. Og det blir vanskeligere for enkeltmennesker å ha kontroll på hvem som vet hva om oss. Derfor er de nye personvernreglene viktige. De nye personvernreglene som trer i kraft i mai 2018, er den største endringen i den europeiske personvernlovgivningen på over 20 år. Alle som behandler personopplysninger om brukere, egne ansatte, kunder eller andre må følge de nye reglene. Selv om vi har et forholdsvis strengt person­ vern­regelverk i Norge i dag, mener vi i Data­ tilsynet at de nye personvernreglene gir person­ vernet i Norge et stort og nødvendig løft. Person­ vern er viktig for hver og en av oss både i vår rolle som mellomleder, toppleder, ansatt i en virk­som­h­et, elev eller student og som privat­ person. Samtidig er det en verdi som er vanskelig å måle og som man ofte ikke ser verdien av før man har mistet den. I en tid der tjenester stadig blir mer tilpasset den enkelte eller personalisert, er den enkeltes til­

8

nytt personvern

lit til den eller de som behandler person­opp­lys­ ningene, stadig viktigere. Mulighetene som person­opplysninger gir, har også økt deres verdi. Det er attraktivt å dele, utveksle eller selge person­­­opplysninger. Samtidig blir det stadig vanske­ligere for oss som enkeltpersoner å ha kon­ troll over hvem som vet hva om oss og hvorfor. Derfor er det nødvendig å sikre at både private og offentlige virksomheter tar sine kunder eller brukere (de registrerte) på alvor. De nye reglene åpner opp for strengere straff for brudd på reglene enn i dag. Dette er et viktig politisk signal om verdien av personopplysninger og personvern. Det offentlige er storforbruker at person­ opp­lysninger. I Norge har vi blant annet mange store, omfattende offentlige registre. Mange av opplysningene i de ulike registrene er like. Det betyr både at mange av oss som bor i Norge, må oppgi de samme opplysningene til ulike statlige og kommunale instanser. I og med at så mange statlige aktører har behov for de samme opp­lys­ ningene, er det både et ønske og et opplevd behov for å gjenbruke data. Ved å samarbeide på tvers av etater og sektorer, kan staten begrense hvor mange ganger den enkelte av oss må oppgi våre opplysninger til staten eller kommunen. Det gjør det også lettere for den enkelte å sørge for at opp­lysningene om en selv er korrekte. Hver enkelt kan kontrolleres ett sted og gå til kilden for å korrigere feil opplysninger. Mye av innsamlingen av personopplysninger i offentlig sektor er ikke basert på samtykke, men lovhjemmel. Det er for eksempel ikke frivillig å oppgi lønnsopplysninger og alle oppholdsadresser

faglig innlegg

til Skatteetaten. Derfor er det ekstra viktig at de som opplysningene gjelder (de registrerte), får god informasjon om hva som samles inn, av hvem, til hva, hvem opplysningene eventuelt deles med og hvor lenge de blir lagret. Hvis opp­ lysningene som samles inn ikke er riktige og der­ etter gjenbrukes av andre offentlige myndigheter, kan det få store konsekvenser. Feil i lønns­opp­ lysninger kan for eksempel gi utslag ikke bare i skatte­beregningen, men i pensjonsutregning, barne­­bidrag eller kostander for skole­fritids­ ordning eller barnehage. Alle offentlige virksomheter skal ha person­­ vernombud. En viktig endring i de nye person­ vernregelverket er at dagens frivillige person­ vernombudsordning blir obligatorisk for alle offentlige virksomheter. I tillegg blir det obli­ gatorisk for alle private virksomheter som driver regelmessig og systematisk overvåkning av personer, behandler sensitive opplysninger eller behandler opplysninger om straff bare forhold. Et personvernombud er en ressurs og rådgiver i personvernspørsmål. Hun eller han skal rap­ portere til øverste ledelse og involveres i alle saker som involverer behandling av person­opp­ lysninger. At ordningen går fra frivillig til obligatorisk fører til en betydelig økning i antall ombud i Norge. Når forordningen trer i kraft, er det ikke lenger nødvendig at Datatilsynet god­ kjenner personvernombud. I stedet opprettes det en registreringsordning der virksomheter selv registrerer sitt personvernombud. Vi har allerede en midlertidig løsning for registering av ombud på plass på våre nettsider. Der finnes også mye informasjon om hvem som må ha ombud, hva ombudets oppgaver er og hvilke kompetansekrav som stilles til et person­vernombud. Hvorfor påvirkes Norge av EUs nye person­ vernregelverk? Da EU startet arbeidet med et felles europeisk personvernregelverk i 2012, valgte de å lage det som en forordning. Det betyr at loven skal implementeres direkte, slik den står, i alle EU og EØS-land. Dette var for å sikre et felles europeisk person­vern­regel­verk som skulle gjøre det lettere å utveksle personopplysninger over landegrenser. I tillegg skulle de nye reglene styrke tilliten til digitale tjenester og styrke den individuelle innbyggers rettigheter. Arbeidet har

tatt tid, men i april 2016 vedtok EU sin person­ vern­forordning, General Data Protection Regulation eller GDPR. Den er såkalt EØSrelevant, som betyr at den også skal innføres i Norge. Derfor må vi i Norge forberede oss på at vi får nye personvernregler i mai 2018. Hvordan forberedes det nye regelverket i EU og Norge? En av de store administrative utfordringene med denne lovendringen er at regelverket skal være tilnærmet likt i alle land i Europa. Om du spør datatilsynene i Spania, Norge eller Belgia om noe knyttet til regelverket, skal du få stort sett like svar. Det krever mye. Både av EU, data­ tilsynene, virksomhetene og i noen tilfeller også borgerne. For at dette skal komme på plass til mai 2018, jobbes det nå for fullt både i de norske departementene, EU og i de ulike datatilsynene. Det jobbes med å utrede hva de nye reglene betyr i praksis, gjennomgang av høringsrunden for ny personopplysningslov og å bygge opp nødvendige samarbeidskanaler og organer i EU. Hva bør dere gjøre nå? Mye av det norske regelverket vil videreføres i personvern­for­ ordningen. De som følger dagens personvern­regel­ verk har derfor mindre arbeid foran seg enn de som ikke etterlever regel­ verket. Det absolutt helt grunnleggende, akkurat som i dag, er å ha oversikt over hvilke personopp­lys­ ninger virksom­heten har og behandler. Husk at det også inne­bærer opp­lysninger om egne ansatte. Det er der­for svært få, og ingen i offentlig sektor som ikke trenger å følge person­opp­lysnings­ reglene. Kun de som ikke har noen ansatte eller noen kunder eller brukere. Når dere har oversikt over hvilke opplysninger dere har, bør dere sørge for at dere følger dagens lovkrav. Gode rutiner som følges og er kjent for de som jobber i virksomheten, er et nøkkelord for dette. Deretter bør dere sette dere inn i det nye regelverket og hva det betyr for nettopp dere. Når det er gjort, vil dere ha en oversikt over hvilke endringer dere må gjøre og hvilke rutiner dere må få på plass for å følge reglene fra mai 2018.

Trude Talberg-Furulund, senior kommunikasjonsrådgiver i Datatilsynet

En viktig endring i de nye person­vernregelverket er at dagens frivillige person­ vernombudsordning blir obligatorisk for alle offentlige virksomheter.

<

nytt personvern

9

De 10 viktigste endringene fra i dag til mai 2018 Vi i Datatilsynet har laget en oversikt over de 10 viktigste endringene fra dagens lovverk til de nye reglene. For mer utfyllende informasjon om hvert av punktene kan du gå inn på Datatilsynets nettsider. 1) Alle norske virksomheter får nye plikter: Alle virksomheter må sette seg inn i den nye lov­giv­ ningen og finne ut hvilke nye plikter som gjelder dem. Ledelsen må sørge for å få på plass rutiner for å overholde de nye pliktene. Alle ansatte må følge de nye rutinene når reglene trer i kraft. 2) Alle skal ha en forståelig personvern­erklæring: Informasjon om hvordan din virksom­het behandler personopplysninger skal være lett tilgjengelig og skrevet på en forståelig måte. Det nye lovverket stiller strengere krav til informasjonens form og inn­hold enn dagens lovgivning. All informasjon som gis til barn, skal tilpasses barnas forståelses­nivå. 3) Alle skal vurdere risiko og personvern­konse­ kvenser: Dersom et tiltak utgjør en stor risiko for personvernet, må virksomheten også utrede hvilke personvernkonsekvenser det kan ha. Hvis utredningen viser at risikoen er stor og dere selv ikke kan redusere den, skal Datatilsynet involveres i forhåndsdrøftelser. 4) Alle skal bygge personvern inn i nye løs­ninger: De nye reglene stiller krav til at nye tiltak og systemer skal utarbeides på en mest mulig personvernvennlig måte. Dette kalles innebygd personvern. Den mest person­vern­vennlige innstillingen skal være standard i alle systemer. 5) Mange virksomheter må opprette person­ vernombud: Alle offentlige og mange private virksomheter skal opprette personvernombud. Et personvernombud er virksomhetens person­ vernekspert, og et bindeledd mellom ledelsen, de registrerte og Datatilsynet. Om­budet kan være en ansatt eller en profesjonell tredjepart. 6) Reglene gjelder også virksomheter utenfor Europa: Virksomheter som holder til utenfor Europa må også følge forordningen, dersom de tilbyr varer eller tjenester til borgere i et EUeller EØS-land. Dette gjelder også om de ikke

10

nytt personvern

direkte tilbyr tjenester, men kartlegger ad­ ferden til europeiske borgere på nett. De som er etablert i flere land i Europa, skal bare trenge å snakke med personvern­myndig­hetene i det landet der de har sitt europeiske hovedkvarter. 7) Alle databehandlere får nye plikter: Data­ behandlere er virksomheter som behandler personopplysninger på oppdrag fra den an­ svarlige virksomheten. Ofte er det snakk om leverandører av IT-tjenester. De nye reglene pålegger databehandlere å ha rutiner for innsamling og bruk av person­opp­lys­ninger. Databehandlere skal også si ifra til oppdrags­ giveren sin hvis de får instrukser som er i strid med loven. Oppdragsgiver skal også god­ kjenne databehandlerens under­leverandører. Databehandlere kan også bli holdt økonomisk ansvarlig sammen med oppdragsgiver. 8) Alle bør samarbeide i egne nettverk og følge bransjenormer: De nye reglene oppmuntrer til sektorvis utforming av retningslinjer og bransje­normer. Om dere følger bransje­normer, vil dere ha de viktigste rutinene på plass. Data­ tilsynet skal godkjenne bransje­normene. 9) Alle får nye krav til avvikshåndtering: Reglene for håndtering av sikkerhetsbrudd blir strengere. Forordningen stiller krav til når det skal varsles, hva varselet skal inne­holde og hvem som skal varsles. Kort sagt skal man si fra raskere og oftere enn man gjør i dag. 10) Alle må kunne oppfylle borgernes nye rettig­­ heter: Den enkeltes rett til å kreve at hans eller hennes personopplysninger slettes blir styrket. Dette kalles «retten til å bli glemt». Norske og europeiske borgere vil blant annet kunne kreve å ta med seg personopplysningene sine fra en leverandør til en annen i et vanlig brukt fil­ format. Dette kalles «dataportabilitet». De kan også motsette seg profilering. Alle henvendelser fra borgere skal besvares innen en måned.

faglig innlegg

nytt personvern

11

12

nytt personvern

Risiko Da Helse Sør-Øst satte ut IKTtjenestene til en utenlandsk leverandør, gikk det ut over personvernet. Kan den nye forordningen stoppe nye skandaler? Tekst og foto: Bjørn A. Grimstad Illustrasjonsfoto: Colourbox

Ulike og til dels utdaterte IKT-systemer gjør hver­dagen komplisert og tungvinn for både pasienter og ansatte i sykehussektoren. De fleste er derfor enige om at informasjonsflyten kan bli bedre. Hvordan dette skal skje, er det derimot delte meninger om. Helse Sør-Øst (HSØ) prøvde høsten 2016 å løse floken ved å sette ut både utvikling, endring og drift av hele IKT-infrastrukturen til et stort, utenlandsk IT-selskap. Det skulle vise seg å bli alt annet enn problemfritt. – Det var et ensidig fokus på økonomi og manglende fokus på risikovurdering i forkant av avgjørelsen. Det ble heller ikke jobbet fram noe reelt og opp­datert alternativ, sier Svein Øverland, konsern­t illits­valgt for Fagforbundet i Helse SørØst.

Ikke mulig å få til samarbeid

Oppskrift mot nye skandaler

Han mente forarbeidet var mangelfullt, og etter­ lyste gjentatte ganger et alternativ til tjeneste­­ utsetting. Da det ikke skjedde, brukte en gruppe ansatte egen fritid på å jobbe fram et konsept basert på allerede igan­g­satte prosjekter, der sikker­­heten var satt i fører­setet. Forslaget ble for­ kastet av ledelsen i helseforetaket da et eksternt byrå mente forslaget ikke var nok gjennom­­ arbeidet. – Det er veldig spesielt at det ikke var mulig å få til et samarbeid om dette, sier Øverland. Han ble den eneste i Helse Sør-Øst-styret som stemte nei til forslaget om å sette ut IKTtjenesten.

Ulike versjoner om datatilgang I november 2016 skrev helseforetaket under kontrakten med den amerikanske IT-giganten Hewlett Packard Enterprise. Et halvt år senere

nytt personvern

13

HARD KRITIKK: Seniorrådgiver Grete Alhaug har sammen med en teknolog Veronika Bur i Datatilsynet gransket Helse Sør-Øst sitt tjenesteutsettingsprosjekt. De kom fram til at foretaket har brutt flere lover. – Det var ingen risikovurdering, sier hun. Boten ble 7,2 millioner kroner.

14

avslørte NRK at titalls IT-arbeidere i Bulgaria og Asia har hatt tilgang til sensitiv pasientdata til over halvparten av Norges befolkning. Dette var stikk i strid mot hva som ble forklart for styret, nemlig at de som skulle overta driften av IKTinfrastrukturen, ikke skulle ha tilgang til pasient­ dataene. – Den dialogbaserte anskaffelsen var preget av stor grad av hemmelighold, med henvising til at det gjaldt forretningshemmeligheter. Videre var det ikke nok kontakt med egne fagfolk, og det ble ikke utført gode nok risikovurderinger. Mange av de ansatte visste hele veien at de utenlandske IT-arbeiderne ville få tilgang til disse pasient­ dataene, sier Øverland.

– Må rydde i eget hus først Han hadde selv løpende kontakt med ansatte

nytt personvern

Syke­huspartner, foretaket som er databehandler og leder prosjektet. De kunne fortelle at det ikke var mulig å gi IT-arbeidere tilgang til infra­ strukturen uten å samtidig gi tilgang til pasient­ dataene. Øverland mener moderniserings­pro­ sjektet er høyst nødvendig, men er overbevist om at sikkerheten best overholdes innenfor helse­ foretakenes egne vegger. – Du må rydde i eget hus før du skal sette ut noe. Når du har stålkontroll, kan du vurdere å sette ut deloppgaver. Men her var tanken å sette ut hele IKT- infrastrukturen uten å ha ryddet først. Da øker risikoen betydelig, sier han.

Ikke god nok risikovurdering Det var ikke bare Fagforbundets hovedtillitsvalgt som tidlig så faresignalene ved utflaggings-pro­ sjektet. Høsten 2016 mottok Data­t ilsynet flere

Risiko

bekym­r ings­­meldinger fra ansatte og pasienter ved syke­huset, som fryktet at tjeneste­utsettingen ville gå ut over personvernet og data­sikkerheten ved fore­takene. – På grunnlag av disse meldingene ba vi om å få et møte med ledelsen i Helse Sør-Øst. Vi ønsket å se risikovurderingen for prosjektet. Det hadde de ikke. Ikke den typen vi mener de burde ha, sier Grete Alhaug, senior­rådgiver i Data­tilsynet.

Fikk rekordbot I løpet av det påfølgende året gransket Data­ tilsynet Helse Sør-Østs milliardprosjekt. Den endte med hard kritikk og en bot på 800.000 kroner til hvert av sykehusene. Med en totalsum på 7,2 millioner kroner er det den største boten Datatilsynet noen gang har gitt. I en 33 sider lang rapport konkluderer tilsynet med at helseforetakene har brutt flere paragrafer i pasientjournalloven og personopplysningsloven. Spesielt legges det stor vekt på at ledelsen ikke grundig vurderte risiko og konsekvenser for person­­vern.

– Også etter gjeldende lovgivning skal man gjøre risikovurderinger, spesielt når det gjelder en så stor beslutning som denne. Å sette ut driften av hele infrastrukturen er en veldig stor endring sammenlignet med å ha kontrollen selv. Samtidig samler man veldig mye pasientdata på ett sted. Den totale risikoen blir da stor, sier Grete Alhaug.

FIKK RETT: Konserntillitsvalgt Svein Øverland advarte tidlig mot risikoen for at sensitiv helsedata kunne komme på avveie hvis sykehusenes IKT-systemer ble flagget ut. Men han ble ikke hørt av ledelsen. Nå har prosjektet blitt stanset på grunn av manglende risikovurdering.

Ny forordning ville gitt diskusjon General Data Protection Regulation (GDPR) inne­­holder en egen bestemmelse om hvordan virksom­heter skal utrede konsekvenser for person­­vern. Hadde tjenesteutsettingen blitt vurdert opp mot denne, tyder mye på at dagens situasjon ville vært en annen. Alhaug presiserer at hun ikke kan vurdere skandalen i HSØ etter en lov som enda ikke er innført, men sier dette: – Tjenesteutsetting i dette omfanget ville etter det nye regelverket utvilsomt ha utløst en plikt til å gjøre konsekvensutredninger på risiko og

nytt personvern

15

Risiko

personvern i forkant. Det ville sannsynligvis også utløst en ny bestemmelse i GDPR om å gjennom­ føre forhåndsdrøftelser med Data­t ilsynet. I EUs nye forordning blir det tydelig beskrevet at man skal gjennomføre en risikovurdering og deretter en personvernkonsekvensvurdering. Det står også i hvilke tilfeller vurderingene skal gjennomføres og hva de skal inneholde. I tillegg pålegges virksomheten å høre de som blir berørt av den planlagte behand­ lingen, når dette er nød­ vendig for å sikre deres interesser. Alhaug presiserer at Data­ tilsynet ikke er mot tjeneste­ utsetting, eller at den nye forordningen vil umulig­ gjøre slike tiltak i framtiden. Men hun mener at den opp­skriftsmessige måten loven er utformet på gir mindre rom for droppe å vurdere konsekvenser for informasjonssikkerhet og person­­­­­vern. – Det nye regelverket er et stort løft for person­ vernet og borgernes rettigheter. Mindre er over­ latt til tilfeldighetene og det er mindre rom for skjønn. Dette er en annen måte å gi lov på enn vi er vant til i Norge fra før, sier hun.

En av de mest konkrete endringene fra dagens regelverk er størrelsen på bøtene Datatilsynet kan gi.

Økonomi foran personvern Datatilsynets rapport bekrefter Svein Øverlands oppfatning om at det har vært mangelfull kom­ munikasjon mellom ledelsen i HSØ, helse­fore­ takene og Sykehuspartner. Dette har ført til mot­

Helse Sør-Øst RHF Helse Sør-Øst RHF er det største av landets fire regionale helseforetak (RHF), med 78.000 ansatte. De sørger for spesial­helsetjenester for 2,9 millioner nordmenn. Som en del av den mange­årige satsingen Digital Fornying skal IKT-infra­strukturen i Helse Sør-Øst moderniseres, standardiseres og harmoniseres. Ett av målene er at alle en­hetene skal få samme system for blant annet pasient­journaler, labora­ torie­data, radiologi og digital sam­handling.

16

nytt personvern

satt oppfatning om hvorvidt de utenlandske arbeiderne må ha tilgang på pasientdataene eller ikke for å utføre jobben med å modernisere og drifte IT-infrastrukturen. – Det er jo et symptom på at personvern ikke har blitt tilstrekkelig diskutert i styrerommet. Dette er jo et fordyrende punkt. Ut fra det vi har fått av dokumentasjon, ser det ut til at beslut­ ningene som ble tatt, i hovedsak handlet om å nå definerte mål om effektivisering og moderni­ sering innenfor en gitt kostnadsramme, sier Alhaug.

Store spørsmål før igangsetting Hun mener at man må stille flere grunnleggende spørsmål før man setter i gang anskaffelses­ prosessen. Å vente med risikovurdering til etter at prosjektet er igangsatt, holder dermed ikke. – Ett spørsmål er om man i det hele tatt kan sette ut absolutt alt, slik Helse Sør-Øst har gjort, eller om man bør beholde deler av systemet innen­for virksomhetens kontroll. Svarene man får, bør legge føringer for utlysningsteksten, sier hun. En av de mest konkrete endringene fra dagens regelverk er størrelsen på bøtene Datatilsynet kan gi. Boten på 7,2 millioner kroner som ble fordelt utover ni av helseforetakene i HSØ blir bare småtteri sammenlignet med bøtenivået den nye forordningen gir. Der er taket satt til 20 millioner euro, eller fire prosent av virksomhetens samlede årlige omsetning, altså den summen som blir størst.

1. november 2016 inngikk Helse Sør-Øst en avtale med Hewlett Packard Enterprise (HPE). Kontrakten har en varighet på syv år med tre års opsjon og en verdi opp til 6,9 milliarder kroner. I mai 2017 avslørte NRK at titalls utenlandske IT-arbeidere hadde tilgang til sensitiv pasientdata. På bakgrunn av en rapport hvor revisjonsselskapet PwC påpekte manglende risikovurdering, satte HSØ prosjektet på vent. Endelig avgjørelse er ikke gjort før publisering.

Sykehuspartner Mariann Hornes trukket seg fra sine stillinger. Styret i Sykehuspartner har også blitt byttet ut. I oktober 2017 varslet Datatilsynet om overtredelsesgebyr på 800.000 kroner til ni helseforetak i Helse Sør-Øst, til sammen 7,2 millioner. Tilsynet kom samtidig med hard kritikk av ledelsen for ikke å ha oppfylt sine plikter. Kilder: Helse Sør-Øst, Datatilsynet, NRK

Som følge av avsløringen har teknologidirektør Thomas Bagley og administrerende direktør i

sanksjoner

Professor tror høye bøter vil ha god effekt - Det nye bøtenivået vil være helt hinsides det vi tidligere har operert med i Norge, sier professor i personvernrett. Tekst: Bjørn A. Grimstad

At mange nå har innsett alvoret og tar nød­ vendige skritt for å være oppdatert med lovverket, er alle kursene og seminarene som nå finner sted, et tegn på. Mye tyder på at å unngå høye bøter er en del av drivkraften. – GDPR har vært gjenstand for oppmerksom­ het det siste året, og ledelsen i ulike bedrifter har blitt mye mer bevisst på personvern. For noen har det vært tilløp til panikk for å komme i havn med å oppfylle kravene, sier Lee Andrew Bygrave, professor ved Institutt for privatrett og leder for Senter for retts­infor­ matikk ved Universi­tetet i Oslo. Han omtales som en ledende ekspert på person­­vernrett og bruker nå mye tid ved siden av universitets-jobben på å kurse og gi råd til bedrifter og andre virk­ somheter om EUs nye forordning. – Det eksisterer et stort behov for å forstå forordningen. Sam­t idig er det et problem at forordningen på mange punkter er vanske­lig å tolke. Jeg registrerer en betydelig mangel på kompetanse på feltet blant mange virk­somheter, både i offentlig og privat sektor, sier han.

kunne sette et eksempel for andre og bidra til et bedre personvern for alle, sier han. Bygrave presiserer at han ikke kjenner til IKTskandalen i Helse Sør-Øst i detalj, men uttaler på generelt grunnlag at det ser ut som ren systemsvikt. Han vil samtidig ikke garantere at et mer detaljert regelverk alltid vil føre til at ledelsen tar hensyn til personvern og data­ sikkerhet i slike moderniseringsprosjekter. – Det vil alltid være et gap mellom loven på papiret og hvor­dan den utføres i praksis. Dette kan skyldes igno­ ranse, og mis­for­ståelser av hvordan regel­verket skal etterleves. Man vil også finne tilfeller av dårlig for­mu­ lerte retts­lige krav som kon­kurrerer med andre viktige behov, sier han.

IKKE SLUTT: Innføringen av GDPR i mai betyr ikke slutten på tjenesteutsetting til utlandet, mener professor Lee Andrew Bygrave. – Men det kommer til å bli mye vanskeligere enn før, sier han.

Det er et problem at forordningen på mange punkter er vanskelig å tolke.

Et helt nytt bøtenivå Selv er professoren positiv til at forordningen snart skal implementeres i norsk lov. Spesielt tror han muligheten for å gi høyere bøter vil ha god effekt. – Datatilsynet får et større register av sanksjons­muligheter. Det nye bøtenivået vil være helt hinsides det vi tidligere har operert med i Norge. Dermed blir fallhøyden desto større. Hvis vi får noen tilfeller hvor selskaper får saftige bøter for å ha brutt denne lovgivningen, vil dette

Krysser av på listen – Kravene kan dermed lede til en øvelse i å håndtere informasjonen uten at noe skjer, reelt sett. Man krysser av på kravlisten uten at det fører til en vedvarende positiv effekt for person­ vernet. Det har man sett flere eksempler av innen IKT-sikkerhet, sier han. I likhet med Datatilsynet mener han at inn­ føringen av GDPR ikke betyr slutten på tjeneste­ utsetting av store datamengder med sensitiv person­informasjon til utlandet. Men det kommer til å bli mer krevende. – Personvernforordningen forbyr ikke tjeneste­ utsetting eller overføring av person­opplysninger til et tredje land. Men vilkårene for å gjøre det vil bli skjerpet. Dette følger også av at EUdomstolen har blitt strengere på denne typen saker, sier han.

nytt personvern

17

Hva betyr de nye person­vernreglene (GDPR) for offentlige virksomheter? I mai 2018 blir det innført nye regler for behandling av personopplysninger. Dette skjer som følge av EUs person­ dataforordning, General Data Protection Regulation (GDPR). Fra samme tidspunkt vil blant annet gjeldende personopplysningslov fra 2000 bli opp­­­hevet og erstattet av forordningen. Den nå­g jeldende loven bygger på et EU-direktiv som åpnet for nasjonal lovgivning. I og med at EU nå har gitt en forordning, blir denne norsk rett som følge av EØS-avtalen. Vår någjeldende lov ble til i en tid hvor inter­ nett ikke var «allemannseie». Dessuten har sam­ funnet – nasjonalt og internasjonalt – blitt vesent­ lig endret som følge av at stadig større mengder personinformasjon blir utvekslet elektronisk. EU-forordningen – og dermed også de norske reglene – har som hovedmålsetting å beskytte enkelt­­­personer mot at opplysninger om dem blir innsamlet, brukt, bearbeidet, lagret og videre­for­ midlet til andre uten at det skjer etter fastsatte regler. Offentlig forvaltning spiller i denne sammen­ heng en sentral rolle: Staten, fylkeskommunene og kommunene behandler i dag mange person­ opp­lysninger. Dette skjer i forbindelse med service- og tjenesteyting til befolkningen, men det skjer også som ledd i offentlig myndighets­ utøvelse. Det siste innebærer blant annet at man er forpliktet til å registrere, behandle og arkivere opplysninger om enkeltpersoner.

Kurt O. Bjørnnes, advokat (innlegget er opprinnelig publisert på Fagakademiets Fagblogg)

18

Les også: Dette bør enhver leder i offentlig sektor vite om arkivering og dokumentsikkerhet Slik plikt følger av den generelle doku­menta­ sjons­plikten etter forvaltningsloven, men også av de mer spesielle reglene om journalføring etter for eksempel helsepersonelloven og lignende sær­ lover. I tillegg er offentlig forvaltning underlagt arkivlovgivningen som pålegger oppbevarings­ plikt. Et element i denne sammenheng er også at man i offentlig forvaltning er underlagt offentleg­

nytt personvern

lova. Kravet om en gjennomsiktig felleskaps­ forvaltning kan lett komme i konflikt med hen­ synet til personvern. Spørsmålet er derfor hva de nye reglene inne­bærer for det offentlige. Svaret er at mye blir likt, men noe må også endres. De viktigste endringene kan kort opp­summeres slik: • Når det behandles personopplysninger skal den det gjelder – den registrerte – ha god informasjon. Informasjonen skal være kortfattet, klar og tydelig. Den skal dessuten være tilpasset barn. • Den som skal behandle personopplysninger må, når behandlingen vil medføre en risiko for den registrertes personvern, utarbeide en konsekvensanalyse. Dette gjelder blant annet for automatiserte behandlinger. • Ved utformingen av IKT-løsninger skal man følge prinsippene for innebygd personvern som medfører en plikt til å ta hensyn til person­vern i alle utviklingsfaser eller en løsning. • Offentlige virksomheter får også en plikt til å opprette personvernombud. Person­vern­om­budet skal velges ut fra faglige kriterier og evne til utføre oppgavene. Ombudet kan være ansatt i virksomheten eller en profesjonell tredjepart. Ombudet skal være uavhengig og involveres i alle saker om behandling av personopplysninger. • Databehandleren er den som behandler person­ opplysninger på den behandlings­ansvarliges vegne. Etter de nye reglene får også data­ behandler nye plikter. Disse vil komme i tillegg til dagens databehandler­avtalekrav. Det viktigste tiltaket forvaltningen kan iverk­ sette er å skaffe seg kunnskap og kompetanse om de nye reglene. Det er kort tid igjen til mai 2018!

faglig innlegg

nytt personvern

19

Professor om personvernforordningen:

– Mye uklart og må avgjøres i retten Den nye personvernforordningen har mange runde formuleringer og kan tolkes i mange retninger. Derfor må det rettssaker og dommer til før vi ser konsekvensene av den, mener professor Dag Wiese Schartum. Tekst og fopto: ØYSTEIN WINDSTAD

Forfatter og professor Dag Wiese Schartum jobber ved Senter for rettsinformatikk på Uni­ versi­tetet i Oslo. Han har forsket på både person­ vern og elektronisk forvaltning. Han har studert General Data Protection Regulation (GDPR) og peker på at mange deler av lovteksten kan tolkes i mange retninger. – Disse rettsreglene er veldig ordrike og vagt formulert. Dette gjør det fryktelig vanskelig selv for profesjonelle jurister innen personvernrett å forstå teksten. Det er ingen sikre svar på veldig mange av tolkningsspørsmålene før det etter hvert har kommet rettsavgjørelser og rettspraksis, forteller Schartum som har vært medlem av flere lovutvalg, blant annet utvalget som foreslo vår nåværende personopplysningslov.

20

nytt personvern

– Hva i huleste? Professor Schartum viser et eksempel fra lov­ teksten som handler om klart og forståelig språk: – I artikkel 12 som stiller krav til godt språk, heter det for eksempel at «Den behandlings­ ansvarlige skal treffe egnede tiltak for å fremlegge for den registrerte informasjon nevnt i artikkel 13 og 14 og all kommunikasjon i henhold til artikkel 15 til 22 og 34 om behandlingen på en kort­fattet og forståelig lett tilgjengelig måte og på et klart og enkelt språk især når det gjelder opplysninger som er spesifikt rettet mot barn». Du snakker om «klart og enkelt språk», og hva i huleste betyr det å «treffe egnede vedtak»? Det er det ingen gitt å gi sikre svar på, sier professoren som gav ut boka Personvern i informasjons­sam­

Juridisk utfordring

funnet i 2016, der han blant annet gav en inn­ føring i EUs nye personvernregler.

En ny advokatindustri Mange advokatselskaper og konsulenter tilbyr nå rådgiving innen personvernforordningen. Budskapet i annonsene er en eller annen variant av at om du leier inn oss, tenker vi på de nye personvernreglene så du som leder kan tenke på vanlig drift. Schartum tror forordningen er i ferd med å gi en ny industri: – Jeg tror mange små arbeidsgivere vil ha veldig store problemer med å skjønne disse bestem­ melsene. Jeg er ganske sikker på at små arbeids­g ivere og små virksomheter må kjøpe seg den kompetansen. Da er spørsmålet om de har råd til dette eller vil ta seg råd. Forordningen legger grunnlaget for en egen industri for advo­kater og konsulenter. Noen vil skjønne betydningen av dette og ta seg råd, mens andre ikke har råd eller skjønner det, sier han og legger til med et smil: – Egentlig er dette et fordekt sysselsettingstiltak for advokatstanden.

en innsynsrutine via nettet der folk kan kreve innsyn på en effektiv måte. Dette er noe som mangler i dag. Selv om folk vet de har rettigheter, vet de ikke hva de må gjøre for å bruke dem, sier professoren og utdyper: – Mange lurer på hva de må gjøre og hvem de må henvende seg til for å kreve innsyn, kreve at opplysninger om dem blir rettet, slettet osv. I den grad forordningen fører til at det blir laget system­­løsninger som kan hjelpe folk til å bruke rettig­hetene sine, tror jeg det kan være positivt. Eksempelvis om en kom­ mune har en rutine som heter «Krev innsyn» som legger til rette for at du kan spesifisere hva du vil ha innsyn i. Likevel er bestem­ melsen om inne­bygget personvern så vurderings­ preget, at det er usikkert om den faktisk vil få særlig effekt.

Selv om folk vet de har rettigheter, vet de ikke hva de må gjøre for å bruke dem

Norske politikere har lite de kan si Mens et direktiv fra EU har rom for nasjonal tilpasning og kan bli en del av eksisterende lover, er en forordning en lov fra EU som blir gjeldene i Norge. Teksten som blir vedtatt av EU, blir automatisk norsk lov. – Hva er konsekvensene av at dette er en for­ordning og ikke et direktiv? – Den viktigste konsekvensen er at norsk lov­ giver ikke kan bestemme hvilket person­opp­lys­ ningsvern som skal være i Norge. En annen konse­kvens er at det blir veldig vanskelig å få sammen­­­heng i norsk lovgivning, forteller Schartum og fortsetter:

Noe blir bedre og noe blir dårligere Schartum forteller at Personvernforordningen vil føre til at systemer og rutiner for innsyn i personvern muligens kan bli bedre: – Det kan bli sterkere personvern fordi for­ ordningen stiller krav til innbygging av person­ vern i systemløsningene, for eksempel i form av

Kan ikke kreve innsyn i alt – Hvordan blir personvernet svekket av person­vern­ forordningen? – I dag kan du kreve visse opplysninger fra en hvilken som helst behandlingsansvarlig. Du har krav på å vite hva de behandler av opplysninger, til hvilke formål og fra hvilke kilder. Dette har blant annet betydning for pressen fordi det supplerer Offentleglovas generelle innsynsregler. Det er en type allmenninnsyn. I informasjons­ samfunnet kan det være veldig viktig å vite hvem som behandler opplysninger om folk og hva de bruker opplysningene til. Den rettigheten blir borte. – Hvordan kan du i dag kreve opplysninger? – Du kan i dag henvende deg hvor som helst, til en arbeidsgiver eksempelvis eller en forretning der du har handlet. Da kan du med loven i hånd spørre om de behandler personopplysninger. Hvis svaret er ja, har du i dag krav på å få vite hva er det de behandler personopplysninger om og for hver slik behandling har du blant annet krav på å vite formålet og om opplysningene sendes videre til andre. Den retten mister du når forordningen trer i kraft som norsk lov, forteller professor Dag Wiese Schartum.

nytt personvern

21

22

nytt personvern

Kurs

- Kommunalt ansatte skal ha de nye instruksene i ryggmargen Ansatte i norske kommuner kurses nå på løpende bånd i den nye personvern­forordningen. – De møter dilemmaer som privat sektor ikke gjør, sier Kurt O. Bjørnnes. Tekst: Linn Stalsberg Illustrasjonsfoto: Colourbox

Han er advokat og foreleser for Fagakademiet, som i tiden framover driver undervisning for ansatte i norske kommuner om det nye sam­ taleemnet blant de som jobber med personvern, nemlig EUs personvernforordning, eller GDPR (General Data Protection Regulation). – Lovforslaget bygger på selve forordnings­ teksten som er skrevet på EU-språk. Den er kjempelang og består av en masse artikler, sier Kurt O. Bjørnnes. Han forteller at den norske forordnings­teksten som fore­ligger i dag ikke er autorisert, og det er derfor en fare for at den ikke fanger opp språklige nyanser.

Må henge med Høringsrunden ble avsluttet i oktober. Nå er det viktig at kommuneansatte bevisst­ gjøres hvordan loven vil endre arbeids­hverdagen deres, mener Bjørnnes. For når EU endrer lovverket sitt, må vi henge oss på, forklarer han. – Dagens lov fra 2000 bygger på et direktiv som det er mulig å lage nasjonale lover i forhold til. Men nå er det snakk om en forordning. Denne nuller ut norsk lov og blir gjeldende, altså fra mai neste år, forklarer han.

Hva betyr regelverket?

<

Bjørnnes startet de første pilot-kursene for

nytt personvern

23

Kurs

Fagakademiet allerede før jul. De som er i målgruppen, er først og fremst ansatte som har ansvar for personopplysninger i kommunene, og som har beslutningsmyndighet. – Det er viktig nå at ansvaret ikke pulveriseres, sier han. Kursene Bjørnnes skal holde, vil i hovedsak handle om hva det nye regelverket betyr for kom­munene. En viktig nyvinning i loven er at alle virksom­ heter, også kommunene, må lage en konsekvens­ analyse i forkant når de skal behandle sensitive personopplysninger. Det inne­ bærer at de må greie ut hva slags risiko virksom­heten tar ved inn­ samlingen av slik informasjon, og hva slags sår­barhet som ligger i hvordan man håndterer, arkiverer og opp­bevarer den. Dette gjelder også automatiserte tjenester, som ligger i servere. – Alle nye IKT-tjenester som lages, må ta hen­syn til prinsippet om innebygget personvern. Det er Datatilsynet som får jobben med å sjekke disse konsekvensanalysene, forteller Bjørnnes.

skal dokumentere den tjenesten som gis. Når vi vet at alle har en rett til innsyn i forvaltningens dokumenter, kan det lett oppstå motsetninger mellom hensynet personvern og hensynet til åpenhet og gjennomsiktighet. Dette er utfordringer kursdeltagerne til Bjørnnes skal bli kjent med på kurset hans.

Løpt løpsk de siste årene Første bud, ifølge Bjørnnes, er å bli tryggere på begrepsbruken: I loven har vi en gruppe som kalles de «registerte». Det er alle oss som på ulike måter registrerer oss; enten vi bestiller flybilletter eller er innom Nav og etterlater person­ opplysninger om oss selv. Så har vi «behandlings­ansvarlig». Det er for eksempel kommunene eller flyselskapet, og dernest har vi «databehandlerne», som er dem som utfører arbeidet på vegne av «behandlings­ansvarlig». Det nye i forordningen som inntrer neste år, er at de registrerte skal ha kortere og mer entydig informasjon om hvilke opplysninger som brukes av virksomheten der de har registret seg, og hva denne skal brukes til. – Deler av dette har de siste årene løpt løpsk. For eksempel, når du bestiller flybilletter i dag trykker man raskt på en knapp som aksepterer vilkårene, som du aldri tar deg tid til å lese. Du kan derfor ikke være helt sikker på hvor opplysningene ender. Det nye regelverket skal gjøre dette sikrere, sier Bjørnnes.

Det er viktig nå at ansvaret ikke pulveriseres

Nye dilemmaer Målet med kurset hans er at alle som jobber på kommunalt nivå, skal ha de nye instruksene i loven i ryggmargen; de skal være seg sitt ansvar bevisst. For brukerne, eller de som i denne sammenheng kalles «registrerte», skal etter at loven trer i kraft kunne kontakte kommunen sin og spørre hvordan personvernopplysningene forvaltes. – For eksempel, hvis jeg gir opplysninger til skolen, skal jeg være trygg på at disse ikke gis videre til andre instanser. Man skal ikke bruke person­opplysninger til andre ting enn det opp­ rinne­lige formålet. I så fall skal jeg samtykke til det. Men det offentlige møter noen dilemmaer som private ikke har, ifølge Bjørnnes. – Offentlig sektor har av og til plikt til å behandle opplysninger om folk, der man ikke opererer med samtykke, men med lov. Det er instanser her som har lettere inngang til person­ opplysninger enn privat sektor har. I tillegg er det en grunnregel i offentlig forvaltning at man

24

nytt personvern

Får betydning for skolene – Et annet nytt element er at informasjonen som gis, skal være tilpasset barn. Dette vil få betydning for skolene som har opplysninger om elevene sine. Disse må nå tydeligere kommunisere hvordan de ivaretar opplysningene og hva de brukes til. For at det nye i lovverket skal ivaretas, må alle private bedrifter med mer enn 250 ansatte, og alle kommuner, ha et personvernombud som skal være uavhengig. Ombudet kan enten være valgt blant de ansatte, eller en profesjonell aktør. Ombudet skal være informert i alt som om­ handler personvernopplysninger.

FAGLiG INNSPiLl

Styrkingen av personvernet skjer ikke bare gjennom nye regler Personvernforordningen trer i kraft i mai 2018. Dette vil innebære en styrking av personvernet. Men det er ikke de nye reglene i personvern­for­ ordningen som vil utgjøre den største styrkingen av personvernet. Styrkingen vil skje ved at de gamle personvernreglene i større grad blir om­ satt i praksis. Personvernforordningen setter personvern igjen høyt på dagsorden, og det er på tide. Spesielt etter personvernskandalen i Helse Sør-Øst, er det liten tvil om at arbeidet med person­vern må styrkes. Personvern er vanskelig. Selv Datatilsynet må melde om egne avvik når det gjelder behand­ ling av personopplysninger. Hoved­­­utfordringen er at mengden person­opp­lysninger som samles inn og oppbevares, har økt vesent­lig mer enn arbeids­innsatsen når det gjelder å etter­komme personvernreglene. Kravet til sam­t ykke for inn­ henting av personopplysninger og en angivelse av formålet med innhentingen, følger av de gamle personvernreglene. Det er etterlevelsen, og ikke reglene selv, som er hovedproblemet. Dessuten er den enkelte som blir skadelidende på grunn av manglende etter­ levelse, ofte ikke klar over at person­opp­lys­ ningene er samlet inn. Et stort arbeid ligger der­ for foran et samlet norsk arbeidsliv. LO og Fagforbundet har avgitt sine høringsuttalelser når det gjelder ny personopplysningslov, hvor vi påpeker både styrker og svakheter med de fore­ slåtte reglene. Hovedsynspunktet er at man er positive til styrkingen av personvernet som person­vernforordningen representerer, men skeptiske til reglenes høye grad av kompleksitet.

Christian Danilesen. Rådgiver Seksjon kontor og administrasjon, Fagforbundet

Den sistnevnte svakheten kan dessverre tilsi at etterlevelsen av de nye reglene, som f.eks. retten til å motsette seg automatiserte avgjørelser, kan bli vanskelig også denne gangen. Reglene om personvern er viktige for Fag­ forbundets medlemmer av flere årsaker. For det første er det viktig fordi fagforenings­med­lemskap i seg selv er en sensitiv personopplysning. Beskyt­ telse av personvernet innebærer en beskyt­telse av retten til å være organisert i arbeids­­taker­organi­ sasjoner og har en generell samfunns­messig betydning. Personvernet er altså en bærende søyle, ikke bare for fag­bevegelsen, men for den norske modellen. Det er derfor en fordel for felles­ skapet at personvern­for­ordningen styrker person­ vernet for den enkelte innbygger. Det rent politiske perspektivet kan lett under­v urderes. Vi lever i et land hvor utstrakt over­våkning av egne innbyggere ikke har skjedd i nyere tid. I andre land i Europa, for eksempel Tyskland og Spania, er dette helt annerledes. Begge disse landene er tidligere diktaturer, hvor informasjon om enkelt­ individer inngikk som en sentral del av regimenes strategi for å holde kontroll på befolkningen. At personvern prioriteres høyt nettopp i EU har altså sine historiske årsaker. For det andre er personvernforordningen viktig for medlemmene som vern i arbeids­hver­ dagen. Her møter arbeidstakerne en blanding av forskjellige utfordringer. Utfordringene inne­ bærer overvåkning av ansattes e-post, oversikt over inntekt og sykefravær, loggføring av

<

nytt personvern

25

26

nytt personvern

FAGLiG INNSPiLl

bevegelser ut og inn av bygninger samt kart­ legging av adferd utenfor arbeidstiden via sosiale medier. Personvernforordningens nye regler om å oppnevne personvernombud vil forhåpentligvis hjelpe. Det er viktig at tillitsforholdet mellom arbeidstaker og arbeidsgiver ikke blir skadet av utstrakt overvåkning av ansatte. Dette vil ikke bare utsette ansatte for store personlige belast­ ninger, men også hindre framveksten av gode organisasjonskulturer preget av åpenhet, inno­ vasjon og selvstendighet for de ansatte. Dette er noe av det som særpreger norsk arbeidsliv og er et konkurransefortrinn det er verdt å verne om i en tid med økende konkur­ranse med globale aktører. Det er grunn til å spørre om IKT og elektronisk behandling av opplysninger om arbeids­takerne i for stor grad forskyver styrke­ forholdet mellom partene i arbeidslivet. Arbeids­ giver sitter etter hvert med en så stor mengde person­opplysninger om arbeidstakeren, at både arbeids­g iver og arbeidstaker lett kan miste over­ sikten. Hva som skjer når det oppstår kon­fl ikter i arbeidslivet, med en slik skjevfordeling av infor­ masjon, er ikke alltid lett å forutse. Det er liten tvil om at dette kan stille arbeids­takeren i en veldig vanskelig situasjon. Et hovedproblem er at person­v ernutfordringer ofte ligger under over­flaten og utløses først når det oppstår en konflikt. Bevissthet rundt problemstillingene på forhånd er derfor helt nødvendig. Personvern­for­ordningen gir derfor ikke bare nye regler, men bidrar også til å heve bevisstheten rundt viktige problemstillinger i arbeidshverdagen. EU- og EØS-samarbeidet har sine klare ulemper, men arbeidet med person­vern er et område hvor Brussel har gitt et sterkt og viktig bidrag.

problematisk. Innlogging med MinID som ledd i yrkesutøvelse, er ett eksempel hvor privatliv og jobb ikke kan holdes fra hverandre. Det settes slik likhetstegn mellom innlogging på bank­tjenester i fritiden og innlogging på arbeidsverktøy i jobb­ sammenheng. Den samme sammen­blandingen gjelder situasjoner der arbeids­takerne låner utstyr fra arbeidsgiver til kombinert profesjonell og privat bruk. Et vanlig eksempel er mobiltelefon og PC. At eiendoms­retten til disse gjenstandene ligger hos arbeids­giver kan lett føre til en mis­for­ståelse, der arbeids­giver også har rett i innsyn infor­masjonen som finnes i slike gjen­stander. Utgangs­punktet er at det kreves sam­tykke før arbeids­­giver kan samle inn slike person­opp­lysninger. Men personvern­for­ordningen innebærer også økt arbeidsbelastning for arbeidstakerne. I personvernforordningen får virksomhetene et større ansvar for å vurdere personvern­konse­ kvenser ved behandling av personopplysninger. Nye rutiner må innføres, mengden av person­ opplysninger må kart­ legges og det er mye nytt som arbeidstakerne må sette seg inn i. Behandling av personvern omfatter hele organisasjonen, alle ansatte må i prinsippet ha en grunnleggende skole­ ring i hvordan man skal behandle person­opp­lys­ ninger. Dette vil ta tid og krefter. Men arbeidet vil på sikt bidra til bedre offentlige tjenester, med større grad av gjennom­ siktig for den enkelte innbygger og høyere tillitt til forvaltningen.

Det er viktig at tillitsforholdet mellom arbeidstaker og arbeidsgiver ikke blir skadet av utstrakt overvåkning av ansatte.

For det tredje er personverndirektivet også viktig for å skille privatliv fra yrkesutøvelse. Hva vi gjør på arbeidsplassen er i størst grad bestemt av virksomhetens behov og ikke arbeidstakerens person­lige valg. At adferd på arbeidsplassen knyttes direkte opp mot enkeltpersoner er derfor

Nye rettigheter, slik retten til dataportabilitet, retten til å motsette seg en behandling, og rettig­ heter til å motsette seg profilering og auto­mati­ serte avgjørelser, er viktige i seg selv. Men for­håpent­ lig­v is vil personvern­for­ ord­n ingen også styrke det vernet som følger av de person­­vern­ reglene som gjelder allerede.

nytt personvern

27

Tips til bedrifter som behandler personopplysninger Mange norske virksomheter har lenge forberedt seg på inn­ føringen av de nye reglene om person¬opplysninger som kommer gjennom EU-forordningen GDRP. Nå er det klart hvilke regler norske myndigheter foreslår og ny norsk person­ opplysningslov tar form. Dette er en av de mest omfattende lovendringene i EU på personvernområdet de siste 20 årene. Regelverket er bedre tilpasset en stadig mer digital og internasjonal økonomi. Det intro­ duserer nye konsepter og styrker eksisterende rettig­heter og forpliktelser. Dette gjelder for eksempel «retten til å bli glemt», dataportabilitet, varsling til de registrerte ved avvik, økte krav til intern­kontroll og dokumentasjon for å nevne noe. Den nye loven vil erstatte nåværende person­ opplysningsloven fra 2000 og personopplysnings­ forskriften når den trer i kraft i 2018. GDPR vil gjelde direkte for alle EU-statene, men ikke for Norge som er tilknyttet EU gjennom EØSavtalen. Derfor er en gjennomføringslov nød­ vendig for at GDPR skal få virkning i Norge. Forslaget til ny personopplysningslov har vært sendt på høring. Justisdepartementet jobber nå med å fremme lovforslaget for Stortinget. Hovedpunkter fra forslaget til ny person­ opplysningslov. GDPR vil i sin helhet g jelde som norsk rett. EU-forordningen gjennom­føres via inkorporasjon som betyr at forordningen vil gjelde som norsk rett. Lovforslaget består i stor grad av en henvisning til forordningen. De bestem­­melsene som er foreslått i ny lov vil derfor enten være nasjonale tilpasninger av GDPR eller videreføring av allerede gjeldende nasjonale regler. Justisdepartementet tar sikte på at loven trer i kraft 25. mai 2018 – samtidig som i EU. For at loven skal tre i kraft kreves det at GDPR

28

nytt personvern

blir innlemmet i EØS-avtalen og at Stortinget samtykker til dette. Høringsfristen var 16. oktober 2017, og nå jobber departementet med et lovforslag som skal behandles i Stortinget. Hvem g jelder den nye loven for? Den nye personopplysningsloven er generell og vil gjelde for både privat og offentlig virksom­ het som behandler personopplysninger om fysiske (levende) personer. Reglene gjelder imidler­t id ikke for behandling som gjøres av en privat­person i rent personlige eller familiemessige aktiviteter. Justisdepartementet foreslår å videreføre dagens system med saks- og sektorspesifikke bestem­melser på noen områder, men ved mot­ strid vil forordningen gå foran. Norske særregler Noen norske særregler er foreslått, blant annet: • Begrensninger i bruk av fødselsnummer og andre entydige identifikasjonsmidler; • Aldersgrense for barns bruk av informasjons­ samfunnstjenester på 18 år. Dette vil for eksempel gjelde tjenester som Facebook og Snapchat • Videreføring av strengt regelverk for bruk av kameraovervåkning. • Regulering av såkalte «dummy-kameraer» eller «uekte kameraovervåkingsutstyr». • Særregler om arbeidsgivers innsyn i e-postkasse, aktivitetslogger mv. videreføres. • Melde- og konsesjonsplikten bortfaller og erstattes av rådføring med Datatilsynet. Det

Faglig innspill

nytt personvern

29

åpnes også for en begrenset mulighet for forhåndsgodkjenning, men dette må bestem­ mes i forskrift til person­opplysnings­loven. Her ber Justisdepartementet om innspill. Hva betyr nytt regelverk for norske virksomheter? Alle norske virksomheter som behandler person­­opplysninger enten om ansatte, kunder eller brukere får nye forpliktelser. For mange virksom­­heter vil behandling av person­opplys­ ninger også være inngangen til kundeinnsikt og en betydelig ressurs. Med gode forberedelser kan norske virksomheter dra fordeler av et nytt regel­ verket som i stor

30

nytt personvern

grad vil være harmonisert i hele Europa. Dette betyr at det blir enklere å drive virksomhet på tvers av landegrenser i EU og EØS. Det nye regelverket er bedre tilpasset en stadig økende digitalisering av produkter og tjenester. For eksempel får

faglig innspill

regelverket betydning for hvor­dan systemer for automatiserte beslutninger og kunstig intelligens utformes og tas i bruk. Et av de grunnleggende konseptene er kravene til inne­bygd personvern (privacy by design and default) som krever at personvern ivaretas og bygges inn i alle deler av et system. GDPR og forslaget til ny norsk lov er ikke bare en oppdatering av gjeldende regler. Det vil for mange være nødvendig å gjøre endringer i systemer og prosesser som følge av nye for­pliktelser og rettigheter for de registrerte. Dette arbeidet kan starte allerede nå, selv om det fort­s att er noen måneder igjen før ny lov trer i kraft. Her er noen tips for virksomheter som behandler personopplysninger: • Alle må ha oversikt over regelverket og hvilke forpliktelser som gjelder for virksomheten. Sørg for tilstrekkelig forankring og forståelse i ledelsen og berørte deler av organisasjonen. • Lag en oversikt over hvilke personopplysninger virksomheten skal ha – her kan du lese mer om hva oversikten skal inneholde (fra Datatilsynet). • Kartlegg systemer og prosesser. • Kartlegg og ta kontakt med partnere og under­leverandører. Sørg for å ha nødvendige avtaler på plass, og oppdater eksisterende om nødvendig. En underleverandør kan ikke behandle personopplysninger på annen måte enn det som er avtalt med den behandlings­ ansvarlige. Ansvar og risiko bør fremgå klart og tydelig for å unngå misforståelser og tvil om ansvar hvis uhellet er ute.

Alle norske virksomheter som behandler person­­ opplysninger enten om ansatte, kunder eller brukere får nye forpliktelser.

• Få oversikt over risikofaktorene ved å gjennom­­føre en risikovurdering. • Gjennomgå systemer, prosesser og behand­ linger for å kartlegge hvilke endringer som er nødvendig som følge av nytt regelverk. • Vurder personvernkonsekvenser av behand­ lingen om nødvendig. Vurderingen skal sikre at personvernet til de registrerte ivaretas. • Sørg for å ha et oppdatert system for intern­ kontroll og rutiner for behandling av avvik. • Sjekk om du må ha en personvernrådgiver. Alle virksomheter må sørge for at systemer og prosesser ivaretar kravene til informasjons­ sikker­­­het, den registrerte sitt personvern og andre krav i regelverket, for eksempel sletting av unødvendig eller gammel informasjon, retten til innsyn, retten til dataportabilitet osv. En viktig endring fra dagens regler at for­ ordningen i større grad legger opp til bruk av sertifiseringsordninger og adferdsnormer. Over­holdelse av slike normer kan brukes for å doku­mentere at virksomheten oppfyller regel­ verket.

Advokat Kari Gimmingsrud og advokatfullmektig Isak Mendoza.

Det nye personvernregelverket stiller store krav til den som behandler personopplysninger. Også små virksomheter vil være berørt av dette. Forordningen skiller i noen grad mellom store og små virksomheter. For eksempel vil virksom­ heter med færre enn 250 ansatte ikke være forpliktet til å føre en oversikt over behandlings­ aktivitetene. Dette unntaket gjelder imidlertid ikke hvis behandlingen trolig vil medføre en risiko for de registrertes rettigheter og friheter, behandlingen ikke skjer leilighetsvis eller behandlingen om­ fatter sensitive opplysninger. Datatilsynet vil i det kommende året publisere vei­ledninger for de nye kravene i GDPR og hvordan man oppfyller dem. Tilsynet har nylig lagt ut flere veiledninger, blant annet: • Informasjonssikkerhet etter nytt regelverk • Vurdering av personvernkonsekvenser • Personvernombud

nytt personvern

31

32

nytt personvern

Rutiner i praksis

Tror ikke på voldsom snuoperasjon i Nav Mette Asmyhr i Fagforbundets YKA-styret tror ikke den nye personvernforordningen betyr noen særlig snuoperasjon i Nav. – Vi har gode rutiner på personvern allerede, sier hun. Tekst: Linn Stalsberg Foto: Werner Juvik­

Mette Asmyhr sitter i styret i Fagforbundets yrke­ s­eksjon for kontor og administrasjon og har mange­årig arbeidserfaring fra Nav. Når den nye personvernforordningen trer i kraft i mai neste år, er det lett å tenke seg at den vil kreve nye rutiner i Nav-systemet, som for­ valter store deler av privatlivet til brukerne i sine arkiver. Men litt overraskende kanskje, tar Asmyhr den nye for­ordningen med stor ro. – Nav har allerede svært gode rutiner på dette om­rådet. Vi er vant til å jobbe etter strenge krav når det gjelder taushetsplikt for eksempel. I det siste har vårt fagfelt også blitt flinkere til å tids­ begrense samtykke. Jeg klarer derfor ikke å se at den nye personvernforordningen betyr en vold­ som snuoperasjon i Nav, sier hun. Dette er nemlig satt i system i Nav allerede, ifølge Asmyhr.

Nytt personvernombud Det som imidlertid er nytt, er at vi neste år må ha et personvernombud. Det er en som skal ha et over­ordnet ansvar for å se at forordningen fungerer. – Jeg har ennå ikke funnet ut om dette betyr at kom­munen samlet skal ha et slikt overordnet om­bud, eller om alle Nav-kontorer må ha et om­ bud kun hos dem, sier Asmyhr. Hun ser fram til å få et kurs fra Fagakademiet, nettopp for å klargjøre dette. For det er enda mer komplisert: – Nav er både stat og kommune. Betyr dette at staten utnevner sitt ombud, i fylket, eller skal kom­­munen også ha ansvar for denne delen?

Eller er det todelt? For Nav er veldig kompli­ sert. Noen jobber i stat, andre i kommune, på samme kontor og har tilgang til ulike dokumenter, for­k larer Asmyhr.

– Klarer ikke å se så mye nytt I den nye forordningen går det klart frem av brukeren, eller «den registrerte» som han eller hun kalles, skal kunne sikres at opp­lys­ ninger man gir for eksem­ pel til Nav, ikke skal kunne gis videre, for eksempel til skolen. Men her har Nav allerede vanntette skott, mener Asmyhr, så sant det da ikke foreligger en lov­hjemmel om at opp­ lysninger skal formidles. – Vi jobber allerede etter loven om sosiale tjenester. Vi må også nå begrunne hensikten hvis vi skal dele infor­ masjon, og vi må innhente samtykke. Vi har riktignok rett til å innhente opp­lysninger hvis noen skal ha økonomisk sosial­hjelp, men bare

Bildetekst

nytt personvern

33

Rutiner i praksis

hvis det gagner brukeren. Jeg klarer ikke se så mye nytt. Arbeidshverdagen vil ikke påvirkes så mye av den nye for­ordningen, sier Asmyhr.

Bevisstgjøring i små kommuner

SMÅ KOMMUNER. Asmyhr tror det kan bli vanskelig for små kommuner å henge med i svingene.

34

Men, sier hun, det kan være vanskelig for små kommuner å henge med på alle nye regler. Asmyhr er derfor opptatt av å sikre at både inn­ byggere og ansatte over hele Norge blir kjent med sine rettigheter. Det samme gjelder eventu­ elle konsekvenser ved avvik. – Den nye konsekvensanalysen vi nå pålegges, vil hjelpe oss med å avdekke eventuelle huller i systemet, sier hun. Men fremdeles er det uklart hva brukeren har krav på dersom avvik oppdages, mener Asmyhr. – Små kommuner har sine egne utfordringer, der for eksempel at bare en saksbehandler jobber med ulike saker, og ting kan skli litt ut. Det nye regelverket kan være en bevisstgjøring særlig for disse, sier Asmyhr. Særlig må den digitale arki­ veringen styrkes, mener hun.

nytt personvern

ROLIG. Mette Asmyhr tar den nye personvern­for­ ordningen med stor ro.

FOTO: COLOURBOX.COM

Hva ønsker du å lese mer om innenfor ditt fagfelt? Send oss forslag til temaer tips@fagbladet.no

Vi tilbyr: Opplæring gjennom program, e-læring og hotellkurs for ledere/HR og personvernombud Nettbasert oppslagsverk med fagsupport, videoforklaringer og diskusjonsforum Kontinuerlig oppdatering og varsling ved endringer

Vi s Dat amarb e frem atils yne ider m ste adv t og N ed oka ter orges på G DP

GDPR

Vi viser deg veien fra jus til praksis infotjenester.no

Postboks 7003 St. Olavs plass, 0130 Oslo – tlf. 23 06 40 00 www.fagforbundet.no • www.fagbladet.no

Infotjenester har Norges beste fagspesialister, som årlig håndterer mer enn 60 000 problemstillinger omkring personal, lønn, regnskap og HMS. I tillegg til å være tilgjengelig for deg som kunde, holder de innholdet i produktene våre oppdatert og holder kurs for over 20 000 kursdeltakere hvert år.

R.