Ny personvernlov ett år hva har det betydd? Bjørn Erik Thon direktør

Transkript

1 Ny personvernlov ett år hva har det betydd? Bjørn Erik Thon direktør

2 Et personvern i endring

3 Teknologi og internasjonalisering Alt er digitalt, alt kan deles og alt kan gjenbrukes 3,5 millioner Google-søk per minutt, 1,8 millioner snaps og timer film på Netflix Mennesker fases ut av beslutninger Algoritmer, kunstig intelligens, automatiserte avgjørelser Kunstig intelligens = ett sekund menneskelig hjerneaktivitet Personvernverdenen er internasjonal Facebook, Google, Amazon, Uber, og Telenor, Schibsted og Helse Sør-Øst 3

4 4

5 Den gamle måten å tenke personvern på Konsesjoner og forhåndstillatelser fra Datatilsynet Minst mulig registrering av data Ingen deling av data Personvern og informasjonssikkerhet er noe virksomhetene tar med «helt på slutten» av en utviklingsprosess, hvis de husker det Personvern er noe datafolk holder på med 4

6 Den nye måten å tenke personvern på Folk forventer at dataene deres blir brukt Fra ingen bruk av data, til riktig bruk av data Personvern må bygges inn helt fra starten av Godt informerte innbyggere med stor selvbestemmelse og bedre rettigheter balanserer makt 6

7 Personvern har blitt storpolitikk 7

8 8

9 9

10 Personvern er del av nesten enhver diskusjon

11 Personvern og pasientsikkerhet

12

13

14 Satelittbasert veiprising 14

15 15

16 Satellittbasert veiprising Vi støtter forslaget satellittbasert veiprising som alternativ til dagens bompengemodell Forutsetninger: bygges etter prinsippene for innebygd personvern kjøredataene lagres lokalt i det enkelte kjøretøy. Dataene aggregeres før de sendes videre Klart formål for innsamlingen viktig å hindre formålsutglidning

17 Digitalt grenseforsvar

18 Ny lov om Etterretnings tjenesten

19 Centrum for Rettvisa v. Sweden, 2018 Big Brother Watch and Others v. UK, 2018

20 Vårt høringssvar Vi støtter en ny lov om e-tjenesten Vi er mot metoden «tilrettelagt innhenting» fordi inngrepet er for stort og slik det er skissert er det ikke i tråd med våre menneskerettslige forpliktelser Bør i alle fall avvente Personvernkommisjonens arbeid Hvis man går videre med forslaget- 29 konstruktive forslag til forbedringer

21 «Nei. Det er ikke aktuelt å legge den bort. Jeg mener også at Datatilsynet bør respektere at vi lever i et demokrati, og at det er på denne måten vi utvikler lovgivningen vår.» Forsvarsminister Frank Bakke-Jensen (H) Dagsrevyen,

22 Statistikk fra EU: tall fra det første halvåret med GDPR 22

23 Antallet mottatte klager øker fra måned til måned 23

24 Klagene gjelder i hovedsak 24

25 Stor oppmerksomhet om nytt regelverk 25

26 Norske forhold: avviksmeldinger

27 Kraftig vekst i antall avviksmeldinger etter 20. juli Siden 20. juli

28 Avviksmeldinger siden Juli August September 28 Oktober November Desember

29 Hvilke feil blir gjort tall i prosent 63 27% 73% 21 Saken avsluttes med et brev Saken tas opp til formell behandling 7 9 Menneskelig eller teknisk svikt og manglende rutiner Brudd på rutiner 29 Forsendelser borte i posten/bud Cyberangrep og fysiske innbrudd

30 270 Hvem melder avvik pr sektor 175 Privat 57 % Offentlig 43 %

31 Internasjonale saker, per 1. mars 747 saker der ledende eller berørt tilsynsmyndighet må identifiseres Vi er berørt myndighet i 330 av disse sakene 30 saker vi har ansvar for Ledende myndighet i seks saker 14 mutual assistance 10 saker om bindende virksomhetsregler (BCR) Engelsk oversettelse! 31

32 Store enkeltsaker

33 33

34 34

35 Bergen kommune Dårlig sikkerhet i innloggingssystemene til Bergen kommune Uvedkommende kunne få tilgang til brukernavn, passord, læringsplattformen It s learning og skoleadministrative systemer lærere og elever potensielt eksponert 35

36 Bergen kommune Kommunen reagerte ikke på varsler som kom inn til kommunen om at det var for dårlig sikkerhet i kommunens systemer. Kommunen reagerte ikke tross advarsler fra personvernombudet, tilbud fra leverandør og pålegg fra Datatilsynet om å innføre tofaktorautentisering. Vedtatt overtredelsesgebyr på kr 1,6 millioner kroner. 36

37 Eksempler Indre Akershus Blad Oppland Arbeiderblad Bergens Tidende Troms Folkeblad Stjørdalens Blad

38 Personvernombud

39 Some numbers and some cases 1 70o DPO Networks of DPOs Ministries and governmental bodies Municipalities Finance institutions Health sector We need a new strategy related to DPOs 39

40 Kontroll av personvernombud i offentlig sektor Vi tok for oss 671 virksomheter i offentlig sektor: Kommuner og fylkeskommuner Departement Første nivå av underliggende etater (direktorat, fylkesmenn, universiteter, høgskoler) 491 virksomheter hadde meldt inn ombud i vårt register 180 virksomheter hadde ikke meldt inn ombud og ble kontrollert 68 statlige virksomheter 112 kommuner 40

41 Hva kontrollerte vi? Har dere et personvernombud? Dersom dere ikke har et personvernombud, hvorfor har dere ikke det? Dersom dere har et personvernombud, hvorfor er ikke dette meldt til Datatilsynet? Hvor er kontaktinformasjonen til personvernombudet tilgjengeliggjort for publikum? 41

42 Har dere personvernombud? Resultat fra 180 kontrollerte virksomheter Ja, og registrert Ja, men ikke registrert Ikke svart, men har registrert Nei, men er i 42 prosess Nei, mener de ikke behøver Nei, ikke oppgitt grunn Ikke svart og ikke registrert

43 Reaksjon Ingen reaksjon overfor det store flertallet av de 180 kontrollerte virksomhetene. 8 % En liten andel kan forvente en reaksjon i form av: Varsel om pålegg, irettesettelse eller Dagbøter 92 % Ingen reaksjon Videre oppfølging 43

44 Konklusjon etter vårt første tilsyn Den store majoriteten av offentlige virksomheter oppfyller den lovpålagte plikten om å ha personvernombud 44

45 Øvrige erfaringer så langt Økning i klager Særlig forbrukerrettslige problemstillinger (innsyn, sletting) og arbeidsliv Kraftig økning i henvendelser til veiledningstjenesten Forespørsler om godkjenning av atferdsnormer - 10 utkast til godkjenning Tre forespørsler fra virksomheter som spør om de bør be om forhåndsdrøftelser

46 Hva betyr dette for Datatilsynet?

47 Mange flere saker enn tidligere, og nye sakstyper Mer forpliktende, og betydelig mer ressurskrevende internasjonalt samarbeid Mer kompliserte saker, og større «motstand» bl.a. fordi overtredelsesgebyrene er blitt større Større behov for å analysere avvik, tilsyn, veiledningshenvendelser osv Behov for ny arbeidsmetodikk Behov for digitalisering og effektivisering