Utviklingen av framtidas elektroniske forvaltning hvor går grensen

Transkript

1 Utviklingen av framtidas elektroniske forvaltning hvor går grensen - eforvaltningskonferansen 15. februar 2012 Bjørn Erik Thon direktør Datatilsynet

2 Tema - Kort om Datatilsynet - Automatiserte forvaltningsavgjørelser - Ut i skyen - Informasjonssikkerhet (og sikker identifikasjon)

3 Datatilsynet Håndhever personopplysningsloven, helseregisterloven, helseforskningsloven+ annet lovverk Saksbehandling Tilsyn/kontroll Veiledning/informasjon Ombudsrollen tale personvernets sak 40 ansatte

4 Automatiserte forvaltningsavgjørelser (og automatisk innhenting av opplysninger på tvers av etater ) - Vi blir fra fødselen av registrert i en lang rekke offentlige registre - Nyfødtscreening, helsekontroll, barnehage, NAV, helseregistre, ligningsmyndigheter, Statens Lånekasse, strafferegistre, for å nevne noen - Et grunnleggende premiss: Et system basert på tillit. Jeg gir fra meg opplysninger frivillig og får de tjenestene jeg har krav på - Og jeg gir fra meg opplysninger i tillit til at etaten ivaretar taushetsplikten og at opplysningene ikke brukes til annet enn det de er ment for Side 4

5 Automatiserte forvaltningsavgjørelser borgernes forhold til forvaltningen - Det er mange positive sider ved selv å ha et aktivt forhold til den store forvaltningen; kjennskap til det offentlige systemet, aktiv holdning til egne rettigheter, valgfrihet overfor staten, kontroll med egne opplysninger og vern av egne sensitive opplysninger - Det offentlige behandler store mengde sensitive personopplysninger og hva enkelt etat har regler om taushetsplikt - Minner om: offentlige ansatte er bundet av taushetsplikten - Minner om: Tilgangsstyring internt kun de med tjenestelig Side 5 behov skal se opplysningene

6 Automatiserte forvaltningsavgjørelser/innhenting på tvers fire eksempler - Forhåndsutfylt selvangivelse - Automatisk frikortordning - NAVs mulighet til å innhente opplysninger fra andre registre for å avdekke trygdemisbruk - Forslag om rett til å innhente automatiske opplysning ved søknad om statsborgerskap Side 6

7 Automatiserte forvaltningsavgjørelser - problemer - Fra: Borgeren som opplyser sin egen sak - Til: Det offentlige opplyser saken på vegne av borgeren - Fri flyt av opplysninger på tvers av offentlige registre går vi mot det som i realiteten er ett statlig register? - Innhenting av informasjon fra all registre, uten hensyn til taushetsplikt Side 7

8 Automatiserte avgjørelser - problemer - Taushetsplikten uthules - Borgerne fratas valgfriheten - Borgerne pasifiseres vi trenger autonome og aktive borgere - Kjennskapet til offentlig forvaltning, egne rettigheter og plikter blir mindre - Tilliten til det offentlig kan svekkes Side 8

9 Automatiserte avgjørelser / innhenting på tvers - Automatiserte avgjørelser utfordrer viktige personvernprinsipper: - Retten til å bestemme over egne opplysninger - Retten til å bestemme om man skal motta en tjeneste - Prinsippet om formålsbestemthet: Opplysninger samlet inn til et formål skal ikke brukes til andre formål - Prinsippet om forholdsmessighet: Inngrepet i den enkeltes personvern skal stå i forhold til den interesse samfunnet har. Samfunnets interesse: rent økonomisk motivasjon? Side 9

10 Side 10

11 Automatiserte forvaltningsavgjørelser - Vi trenger en helhetlig strategi for bruk av automatiserte avgjørelser - Frivillighet og selvbestemmelser - I hvilke typer saker skal vi åpne for dette? - Saker uten skjønnsmargin? - Saker med skjønnsutøvelse? - Saker med sanksjonsadgang? - Opplysningsplikt når avgjørelsen er truffet automatisk Side 11

12 Nettskyen Side 12

13 Side 13

14 Nettskyen - Hva gjaldt saken - Narvik kommune inngikk avtale om bruk av Google apps kalenderfunksjonen - Personopplysningsloven stiller krav om: - Databehandleravtale - Risikovurderinger - Sikkerhetsrevisjoner - Separering av data - Tilgangskontroll til data - Avtalen Narvik inngikk med Google var en ren abonnementsavtale uten påvirkningsmulighet Side 14

15 Skytjenester hva sier egentlig avgjørelsen? - At Google App ikke kan brukes i Norge - Den sier ikke at skytjenester er forbudt - Den sier ikke at Google Apps ikke kan bli bragt i overensstemmelse med loven - Den kritiserer egentlig ikke Narvik kommune, men Googles tjeneste Side 15

16 Nettskyen hva skjer? - Nettskyen; nye tjenester, og en tjenester i startfasen - Fortsatt stor usikkerhet, også i IKT-bransjen - Mange initiativer, men få konkrete løsninger - Allikevel; skytjenester kan gi fleksible, billige og brukervennlige løsninger Side 16

17 Nettskyen hva må gjøres? - Narvik-saken har satt i gang en debatt om skytjenester det er vi svært fornøyd med - Svært sentrale aktører vil ha dialog med oss. Det er vi også fornøyd med - Datatilsynet sitter godt posisjonert i europeiske fora - Offentlig sektor trenger en overordnet strategi for skytjenester - Diskusjonen må ikke starte med et spørsmål om reglene er for strenge Side 17

18 Nettskyen hva må gjøres - Hva er den overordnede statlige strategien for bruk av skytjenester? - Hvordan skal offentlig sektor unngå flere Narvik-saker? - Vi trenger et felles press mot leverandørene av skytjenester slik at informasjonssikkerhet og personvern kan ivaretas Side 18

19 Informasjonssikkerhet helt kort Side 19

20 Informasjonssikkerhet helt kort - Personvern handler om mer enn informasjonssikkerhet, men er en forutsetning for et godt personvern - Datatilsynets kommuneundersøkelse: - Mangelfull internkontroll - ikke oversikt over regelverk - ikke oversikt over hvilke personopplysninger som ble behandlet - mangelfulle rutiner for innsyn - Mangelfulle rutiner for sletting - Hvordan er tilstanden i statlig sektor? Side 20