Tilsyn med nærmere 100 norske kommuner

Behandlingsprotokollen, sikkerhets-strategien, og retningslinjer for alt fra risikoanalyser, og autentiseringsløsninger til gjenoppretting og sikkerhetskopiering av systemer. Dette er bare noen av punktene Datatilsynet nå krever innsyn i.

Nærmere hundre kommuner og fylkeskommuner har fått brev med pålegg om å svare ut en rekke spørsmål om eget arbeid med personvern.

Brevet ble sendt på kvelden den siste torsdagen før påske. Fristen for å svare? 28. april 2023.

Kommunene har med andre ord bare 3 uker på seg til å sammenstille informasjonen. Ville kommunen klage på pålegget om å sende informasjon, måtte det skje innen tre dager fra brevet var mottatt.

− Dette mener vi er rimelig all den tid vi etterspør dokumentasjon og opplysninger vi regner med at kommunene og fylkeskommunene har tilgjengelig, svarer Kristine Stenbro, fungerende seksjonssjef for teknologi, sikkerhet og tilsyn i Datatilsynet når Digi spør om det er aktuelt å utsette fristen.

Varsler stedlig tilsyn

− Tilsynsarbeidet vil gjennomføres i to faser. Den første fasen består av en bred brevkontroll hvor et større antall kommuner kontaktes med spørsmål om etterlevelse av konkrete plikter som følger av personvernregelverket, skriver Datatilsynet i brevet som er sendt til en lang rekke kommuner og fylkeskommuner.

Datatilsynet vil i denne omgang ikke skrive individuelle rapporter for kommunene. Materialet skal samles til én enkelt erfaringsrapport.

− Målet er å sørge for at personvern og informasjonssikkerhet blir ivaretatt i norske kommuner. Undersøkelsene vil i første omgang gi oss oversikt over noen viktige tema, som vi i neste omgang vil kunne undersøke videre. Vi har et mål om å oppsummere erfaringene fra brevkontrollen og informere om disse i egnede kanaler, med ønske om at dette kan bli et bidrag i norske kommuners arbeid med informasjonssikkerhet og personvern, sier Stenbro.

Men i neste fase vil Datatilsynet «på bakgrunn av svarene» fra brevkontrollen gjennomføre «et antall» stedlige tilsyn. Disse kan også komme til kommuner som ikke fikk brevet i første omgang.

Kort frist

Det er mye materiale som skal samles, og Agder fylkeskommune har allerede bedt om utsatt frist.

− En måned burde i utgangspunktet være tilstrekkelig. Vi synes imidlertid det er uheldig at Datatilsynet sendte ut henvendelsen rett før påskeferien, noe som bidro til å forkorte den reelle fristen. Flere velger også å forlenge påskeferien med noen dager, som medfører enda kortere tid til å organisere og gjennomføre arbeidet på en god måte, sier Knut Lindland, fylkesdirektør for innovasjon og organisasjonsutvikling i Agder fylkeskommune til Digi.

Han er usikker på hvor lang tid det vil ta å svare på spørsmålene fra Datatilsynet. Agder har nytt ISMS-system (information security management system). De har ikke rukket å samle all informasjon på ett sted, og må hente inn dokumentasjon fra ulike enheter i fylkeskommunen.

Likevel positiv

Lindland er likevel positiv til tilsynet.

− Det er positivt at Datatilsynet nå gjennomfører et omfattende tilsyn på området. Det er viktig å avdekke hvor en bør fokusere informasjonssikkerhets- og personvernarbeidet i kommunene. Vi har nok alle en del å gå på før vi kan si oss rimelig fornøyd med innsatsen, og tilsynet er med på å øke bevisstheten i hele organisasjonen, sier han.

Målet med tilsynet er nettopp å bidra til bedre personvern i kommunene.

− Norske kommuner er sammensatte organisasjoner som behandler store mengder opplysninger om den norske befolkningen. Ivaretakelse av personopplysningssikkerheten er viktigere enn noensinne. Gjennom tilsynene håper Datatilsynet å kunne bidra til at kommunene blir enda bedre rustet til å håndtere personvernet og informasjonssikkerheten rundt opplysningene til befolkningen, sier Stenbro.