Datatilsynet: Mottar 790 prosent flere avviksmeldinger enn i 2017

Digi har tidligere omtalt at Datatilsynet har kapasitetsproblemer, blant annet som følge av treg saksbehandling og teknisk gjeld.

Samtidig øker arbeidsmengden tilsynet har for hvert år.

Antall avviksmeldinger økte med 25 prosent fra 2022 til 2023, og fra 2017 til 2023 var økningen hele 790 prosent, ifølge Datatilsynets årsrapport for 2023 (PDF).

I hele 2017 mottok Datatilsynet 349 avviksmeldinger. I januar 2024 alene var tallet 372.

Totalt for hele 2022 var det 2250, og året etterpå steg det til 2822.

Samtidig gikk antall årsverk i Datatilsynet ned med 4,7 prosent, fra 64 i 2022 til 61 i 2023.

Oppfordrer til å melde fra

Likevel oppfordrer Datatilsynet til å sende avviksmelding, selv om man er i tvil om det strengt tatt er nødvendig.

– Rundt 80 prosent av avviksmeldingene vi mottar, avsluttes med en gang, sier Datatilsynets Fredrik Christensen til Digi. Han er seniorrådgiver innen teknologi, sikkerhet og tilsyn.

Det betyr at man bare i første kvartal i 2024 avsluttet rundt regnet 780 avvik med en gang. Da gjenstår det likevel nesten 200 saker som tilsynet må behandle.

Tilbyr veiledning

Ikke alle gjør som Datatilsynet oppfordrer til.

I noen tilfeller unnlater en aktør å melde fra om personopplysninger på avveie, selv om man har meldeplikt bare det foreligger mistanke om mulighet for at så kan ha skjedd. Da vil Datatilsynet åpne sak på eget initiativ, slik som i denne saken som Digi omtalte.

Det er svært sjelden Datatilsynet tyr til overtredelsesgebyr som reaksjon. Det har kun skjedd i to tilfeller siden 2023.

Opplæring, informasjon og advarsel er langt mer vanlige reaksjonsformer, og fokuset er i hovedsak ikke på å fordele skyld og tildele straff.

– Vi tilbyr i tillegg veiledningstjeneste for privatpersoner, bedrifter og organisasjoner som måtte ha spørsmål om meldeplikten, sier Christensen.

25 prosent av alle henvendelser til tilsynets veiledningstjeneste i 2023 handlet om personvern i arbeidslivet.

Ikke versting

Hvorfor noen enheter sender flere avviksmeldinger enn andre, kan ha flere årsaker.

For eksempel, jo større enhet, jo flere avviksmeldinger er det naturlig at de sender. Det samme gjelder når noen behandler store mengder informasjon som kan være personlig. Eller er svært oppmerksomme på problematikken, slik at de i større grad enn andre sender avviksmeldinger «bare i tilfelle».

Å sende mange avviksmeldinger er med andre ord ikke en indikasjon på et problem i seg selv – kanskje snarere tvert imot.

For eksempel var DNB Bank i første kvartal 2024 den klart største privateide innsenderen av avviksmeldinger, med 28 stykker på de tre månedene. Det er nesten 2,9 prosent av totalen.

– DNB er den desidert største banken i Norge, og derfor er det ikke unaturlig at vi vil ha flere avviksmeldinger enn mindre banker, sier DNBs sikkerhetsdirektør Anders Hardangen når Digi spør.

– DNB har i tillegg en rekke komplekse systemer, og en del av avvikene vi rapporterer har nok sin forklaring i kompleksiteten.

Offentlig sektor

Økningen fra første kvartal 2023 til ditto 2024 er ekstra markant innen offentlig sektor. 233 i første kvartal 2023 ble til 438 i samme periode i år.

Av disse stod Politidirektoratet for 32, Oslo kommune for 29, og Bergen kommune endte på 23.

– Forklaringen ligger i at vi har fått en god kultur for å melde avvik i Bergen kommune, sier personvernombud Knut Schjerven Roald.

I 2019 trampet Bergen kommune solid i personvernklaveret. Brukernavn og passord til over 35.000 personer – i hovedsak barn – ble liggende tilgjengelig på nett for elever og ansatte i grunnskolen. Saken endte til slutt med et gebyr fra Datatilsynet på 1,6 millioner kroner.

– Etter dette gjennomførte vi en grundig gjennomgang av personvern og informasjonssikkerhet i kommunen. Det har gjort de ansatte mer bevisst og vi har fått et tydelig styringssystem.

Kommunen har også bygd opp et godt fagmiljø for personvern og informasjonssikkerhet, forteller personvernombudet.

– I hver byrådsavdeling har vi egne personvern- og informasjons­sikkerhets­koordinatorer. Dette bidrar til at vi er skjerpet på personvern og informasjonssikkerhet og er med på å bygge en kultur for å melde avvik.

God meldekultur

Slik er det for mange, bekrefter Datatilsynet.

– Det er riktig som du sier at kategorien offentlig administrasjon står for brorparten av avviksmeldinger, er svaret fra Fredrik Christensen i Datatilsynet.

Nesten 45 prosent hører hjemme i denne kategorien, viser statistikken.

– Først og fremst har offentlig administrasjon i en årrekke hatt en veldig god meldekultur. Vi opplever at eksempelvis kommuner og helseforetak har et solid fundament for sine ansatte når det kommer til opplæring, melding og håndtering av avvik som gjelder personvern- og informasjonssikkerhet. Flere av aktørene i offentlig administrasjon behandler også store mengder «særlig kategori» personopplysninger, som potensielt senker deres terskel for melding av avvik.

En annen grunn han trekker frem, er teknisk gjeld. Mange har en IKT-portefølje som består av nye og gamle systemer som er basert på ulik teknologi.

– Dette kom tydelig frem av fjorårets kommunetilsyn Datatilsynet gjennomførte, og vi ser også at det gjenspeiles i meldte avvik. Vi opplever at aktørene selv er bevisst på dette.

Helse og omsorg

Ulike helseforetak stod for 36 avviksmeldinger i de første tre månedene av 2024, og samlet sett bidro kategorien «helse, omsorg og sosial» med 110 stykker. Det er 11,3 prosent, og nok til å gjøre sektoren til tredje største i perioden.

Men teknisk gjeld som en hovedårsak, det kjenner ikke Helsedirektoratet seg igjen i.

– Innmeldte avvik kan ha ulike årsaker, men vi ser ikke at teknisk gjeld er en hovedårsak til avvikene som meldes hos oss, sier divisjonsdirektør Jan Arild Lyngstad.

– Helsedirektoratet jobber løpende med å modernisere og å redusere teknisk gjeld i sine utviklingsløp. Vi har over lang tid jobbet med å utvikle en god og positiv meldekultur der vi også jobber systematisk med å lukke de avvikene som identifiseres.

Skatteetaten

En annen offentlig etat som trekker frem effekten av systematisk arbeid på feltet, er Skatteetaten, som i første kvartal 2024 leverte 18 avviksmeldinger til Datatilsynet – oppunder to prosent av totalen.

– Skatteetaten har jobbet veldig mye for å få høy oppmerksomhet i organisasjon rundt avvik, svarer Øystein Schønberg-Grevbo, direktør for virksomhetsstyring i Skatteetaten.

Etaten har som utgangspunkt at alt som kan meldes, skal meldes.

– Vi har også jobbet med å ufarliggjøre prosessen om å melde avvik og ser på avviksinnmelding som en mulighet til å forbedre oss og ikke fokusere på at noen har gjort feil.

Tiltak som obligatorisk opplæring og faste ansvarlige for oppfølging av avvik, både lokalt og sentralt, har gjort sitt. Det samme har et nytt kvalitetssystem og det direktøren karakteriserer som gode prosesser for innmelding og oppfølging av avvik.

God avvikshåndtering er en del av det kontinuerlige forbedringsarbeidet Skatteetaten jobber med, påpeker han.

– Vi opplever at det er høy oppmerksomhet i Skatteetaten for melding av avvik, og at vi håndterer disse både raskt og godt, avslutter Schønberg-Grevbo.