Personvernombud i Norge og databeskyttelsesansvarlig i EU-Kommisjonens forslag til forordning om databeskyttelse

Transkript

1 Personvernombud i Norge og databeskyttelsesansvarlig i EU-Kommisjonens forslag til forordning om databeskyttelse Stian D. Kringlebotn Seniorrådgiver, Datatilsynet (Norge)

2 Temaer i foredraget - Hvorfor er personvernombud nyttig? - Data protection officer personvernombud i Norge Regelverk Personvernombudets oppgaver Om personvernombudene og deres virksomheter Datatilsynets arbeid og kontakt med personvernombudene Erfaringer med ordningen - Datatilsynets vurdering av forordningen muligheter og utfordringer Side 2

3 Hvorfor er personvernombud nyttig? Dårlig ivaretakelse av personvernet er ofte ikke et resultat av vond vilje Virksomheter behøver virkemidler som hjelper til med bevissthet, fokus og kunnskap. At noen har rollen som kunnskapsperson, rådgiver, vakthund og talsmann er nyttig. Å oppnevne personvernombud er hjelp til selvhjelp Side 3

4 Hva er personvernombud i Norge? Personvernombud er den norske varianten av personverndirektivets (databeskyttelsesdirektivets) data protection officer. Bestemmelsen om personvernombud er nesten gjemt i personopplysningsforskriften sammen med unntak fra hovedreglene om konsesjons- og meldeplikt Personvernombud Datatilsynet kan samtykke i at det gjøres unntak fra meldeplikt etter personopplysningsloven 31 første ledd, dersom den behandlingsansvarlige utpeker et uavhengig personvernombud som har i oppgave å sikre at den behandlingsansvarlige følger personopplysningsloven med forskrift. Personvernombudet skal også føre en oversikt over opplysningene som nevnt i personopplysningsloven 32. NB: Frivillig ordning Side 4

5 Hvilke oppgaver har personvernombudet? Virksomheten søker Datatilsynet om fritak fra alminnelig meldeplikt. I skjemaet oppgis hvem som skal være personvernombudet. Datatilsynet fatter vedtak. Sammen med samtykket til fritak fra meldeplikten gis det noen vilkår til både virksomhet og personvernombudet. Personvernombudets oppgaver fremgår av vedtaket. (Virksomheten og personvernombudet kan avtale ut over hva som står i vedtaket.) NB: Personvernombudets oppgaver har mange likhetstrekk og noen forskjeller fra utkastet til forordning Side 5

6 I vedtaket står personvernombudets oppgaver Personvernombudet skal a. påse at behandlinger av personopplysninger blir meldt til ombudet, og at meldingene inneholder korrekte og tilstrekkelige opplysninger, b. føre en systematisk og offentlig tilgjengelig fortegnelse over behandlingene, c. påse at behandlingsansvarlig har et system for internkontroll som tilfredsstiller personopplysningslovens 14, jf. personopplysningsforskriftens kapittel 3, d. bistå de registrerte med å ivareta deres rettigheter etter reglene om behandling av personopplysninger, e. påpeke brudd på personopplysningsloven overfor behandlingsansvarlig, f. gi Datatilsynet opplysninger dersom tilsynet ber om det, herunder foreta undersøkelser i konkrete saker, g. holde seg orientert om utviklingen innen personvern, og h. gi råd og veiledning til behandlingsansvarlig om behandling av personopplysninger og reglene for dette Side 6

7 Om personvernombudene og deres virksomheter Ca 210 personvernombud og 380 virksomheter. Bredt spekter av virksomheter store og små offentlige og private. Den vanligste løsningen er at personvernombudet er en ansatt i virksomheten. Det er svært få som er personvernombud på heltid. Det finnes noen få virksomheter/ personer som har det å være personvernombud som næring. Innenfor utdanning, forskning og helse finnes en rekke virksomheter som har et profesjonelt personvernombud for en avgrenset del, eksempelvis forskning og studentoppgaver. (Hovedforklaringen til differansen mellom tallene 210 og 380 øverst.) Side 7

8 Om personvernombudene og deres virksomheter Personvernombudenes bakgrunn og utdanning er forskjellig, men mange er jurister eller har bakgrunn fra arbeid med informasjonssikkerhet. Datatilsynet har primært anbefalt løsning med en internt ansatt som personvernombud der dette er mulig. Løsningen må gi en tilstrekkelig uavhengighet for personvernombudet, men for øvrig må virksomheten stå fritt til å finne ut hva som passer for dem (hvem og i hvilken del av organisasjonen) Side 8

9 Datatilsynets arbeid og kontakt med personvernombudene Personvernombudene bruker en egen e-postkasse til Datatilsynet og har en egen kontaktperson. Det er meningen å lage tersklene for å kontakte Datatilsynet litt lavere, og våre svar skal være gode. Tilbud kun for personvernombud: Årlig konferanse for alle personvernombud Kurs (totalt fem dagskurs): Grunnkurs for nye personvernombud Juridisk påbygning del 1 og del 2 Informasjonssikkerhet og internkontroll del 1 og del 2 Nyhetsbrev til personvernombudene. Veiledning over telefon og e-post. Alt er gratis. Datatilsynet bruker rundt ett årsverk på arbeidet (fordelt på flere personer). Og noen penger Side 9

10 Datatilsynets erfaringer Generelt gode erfaringer. Vi både tror og erfarer at personvernombud styrker virksomhetens bevissthet og kunnskap om regelverk og praksis. Lave terskler for å søke råd er positivt, for begge parter. Å oppnevne personvernombud (når det er frivillig) viser vilje til å ivareta personvernet. Nettverk mellom personvernombud lære av hverandre. Mulighet for å kanalisere viktige beslutninger eller veiledningsmateriell til rett person i virksomheten. NB: At virksomheten har personvernombud er igjen garanti for at personvernet ivaretas godt. Undersøkelse blant personvernombud og deres virksomhet viser også generelt gode resultater for ordningen Side 10

11 Datatilsynets høringssvar om personvernforordningen (EU-Kommisjonens forslag til forordning om databeskyttelse) Datatilsynet har gjennom flere år erfart hvilken positiv kraft dedikerte personvernombud kan spille, og er derfor positiv til å gjøre personvernombudsordningen obligatorisk. Datatilsynet mener det bør være behandlingens karakter som avgjør hvilke plikter som påhviler den behandlingsansvarlige, ikke antallet ansatte i virksomheten. (Et mer generelt poeng i forbindelse med kapittel 4. Kun 0,13 prosent av virksomhetene i Norge har flere enn 250 ansatte.) Forordningsforslaget er forskjellig fra ordningen med personvernombud i Norge i dag. Det vil føre til betydelige endringer. Datatilsynet vil ikke klare å gi samme tilbud som nå til en mye større gruppe (uten nye ressurser) Side 11

12 Egne vurderinger og råd forordning om databeskyttelse Muligheter og utfordringer: Behov for et stort antall personer med riktig kompetanse. Hvordan løse dette? Lett tilgjengelig kompetanse for virksomheten. Internt ansatte eller profesjonelle? Data protection officer gjør det mulig for datatilsynet å nå virksomhetene med relevant informasjon (etter bransjer, temaer, osv). Hvordan legge opp til samarbeid mellom databeskyttelsesansvarlige? Er databeskyttelsesansvarlig ( ansvarlig ) et godt valg av ord? Forsiktig med for mye administrative oppgaver for Datatilsynet Side 12

13 Takk for oppmerksomheten! Side 13