Annonse
digitalisering og offentlig it
Politiets IT-tjeneste har fått streng beskjed om å rydde opp i egne rutiner
Politidirektoratet har bedt Politiets IT-enhet (PIT) om å rydde opp i sikkerheten internt etter at varsler kontaktet Datatilsynet.
Direktoratet har bedt PIT om å rydde opp i personopplysnings-sikkerheten. Samtlige ansatte – inkludert konsulenter og ledere – har måtte gjennomføre kursing i innrapportering av avvik.
– Alle ansatte skal ha et bevisst forhold til personvern, og skal kunne gjeldende regelverk. Dette vil vi ha fokus på i tiden fremover, sier seksjonssjef for sikkerhet, Nicolay Nakstad til Digi.
I et brev fra desember i fjor skriver Politidirektoratet at de har merket seg at Politiets IT-tjeneste bare har meldt inn ti avvik siden nytt regelverk tredde i kraft i mai 2021.
Varslet i 2020
Det mener de er for lave tall, og de har derfor bedt PIT bli sitt ansvar bevisst for dataene som behandles.
Det var PIT-ansatt, Alexander Karlsen, som i 2020 varslet Datatilsynet om at sensitive opplysninger kunne bli tilgjengelige for uvedkommende.
Da Datatilsynet var på besøk i PITs lokaler i februar 2022, fant de to avvik: Det var ikke gode nok rutiner for sletting av data, og rutinene for sporbarhet var for dårlige.
Med denne historikken i bakhodet ba Datatilsynet om en redegjørelse fra Politidirektoratet om hvordan avvikshåndteringen internt i PIT foregikk.
Annonse
Jobber kontinuerlig
I desember i fjor ba direktoratet PIT om å følge opp, og de ble nødt til å iverksette tiltak for å bli bedre.
«Direktoratet ser derfor behov for at det i PIT, med sitt ansvar
knyttet til systemutvikling og -forvaltning i politiet, iverksettes tiltak for økt bevissthet og kompetanse knyttet til avvikshåndtering», heter det i brevet.
Nakstad sier at politiet jobber kontinuerlig med å styrke egen evne til å ivareta datasikkerheten.
Ifølge ham har PIT etablert en teknologisk juridisk stab for å styrke samhandlingen mellom jus og teknologi.
Annonse
– De skal i 2024 fokusere på etterlevelse av personvern i alle våre systemer, sier Nakstad.
Permittert fra jobb
Varsler Alexander Karlsen sier til Digi at han i dag er permittert fra jobb. Han kjenner dermed ikke til nåværende rutiner hos PIT.
– Jeg varslet for at disse tingene skulle bli bedre. Om denne opplæringen fører til en positiv endring, så er det veldig bra, sier Karlsen.
IT-rådgiveren påpeker at han varslet om den slepphendte avvikshåndteringen i PIT i flere instanser før han til slutt sendte varslet til Datatilsynet.
– Man varsler jo fordi man ønsker at kritikkverdige forhold skal opphøre. Jeg håper også at de som mottar varsler i fremtiden, håndterer varslene på en god måte, sier han og referer til saken hvor han trakk egen arbeidsgiver for retten.
Annonse
I brevet fra Politidirektoratet påpekes det at alle ansatte i PIT har ansvar for å melde inn avvik. Det bemerkes at tiltaket er viktig for å overholde 72-timers-meldeplikten i GDPR.
72 timers meldeplikt
Direktoratet ba om at opplæringen skulle være gjennomført innen midten av februar.
De ba også om tilbakemelding om hvor mange ansatte som hadde gjennomført opplæringen innen fristen.
Om ikke alle ansatte gjennomførte opplæringen, ba de om en fremdriftsplan for resterende opplæringstiltak.
Seksjonssjef for sikkerhet, Nicolay Nakstad, sier til Digi at de har gått igjennom de interne rutinene for avviksrapporteringen, og at de ansatte har fått nødvendig opplæring.
Annonse
– Politiet har videre igangsatt arbeid med rutine for innsyn i arbeidstakeres e-post, sier han.
