Datatilsynet sliter med treg saksbehandling og teknisk gjeld

Datatilsynets arbeidsmengde har økt betydelig etter innføring av personvernforordningen (GDPR) i 2018.

– Tallet på klagesaker nærmest eksploderte ved overgang til nytt regelverk, forteller direktør Line Coll.

Selv har tilsynet lenge beklaget at de ikke rekker å behandle henvendelser innen fristen på én måned.

Kan ta over et år

Den gjennomsnittlige saksbehandlingstiden har vokst til et helt år.

– Det stemmer at gjennomsnittlig saksbehandlingstid ligger på cirka ett år. Slik har det vært de siste to-tre årene, sier Coll.

Så lang behandlingstid er på sett og vis også et demokratisk problem, medgir direktøren.

Coll forsikrer at alle som sender inn klager får svar med informasjon om videre gang for saken, relativt umiddelbart.

I den forbindelse blir det samtidig informert om at det kan ta over et år før saken behandles.

Svenske og danske datatilsyn nøyer seg til sammenligning med en snittid på henholdsvis 76 og 85 dager.

Sprengt kapasitet

Advokater i Norge har tidligere etterlyst en effektivisering med mål om å redusere saksbehandlingstiden.

– Vi har et kapasitetsproblem. Det er det verken vanskelig å se eller innrømme. Vi har for få ansatte sett opp mot ansvarsområdet vårt, sier Coll.

Hun viser til at den årlige saksmengden er mer enn doblet i tiden før GDPR ble innført i norsk lov til etterpå.

Tilbake i 2013 mottok Datatilsynet 1405 klagesaker. Ti år senere har tallet vokst til 4204.

– GDPR har definitivt økt bevisstheten om personvern, og det er jo bare positivt. Med den økte bevisstheten følger også flere klagesaker. Datatilsynet har i perioden fått økt de økonomiske rammene, men ikke helt i takt med veksten i saksbunken, mener Coll.

– Stolt av det vi får til

Datatilsynet oppgir at andre europeiske land har opplevd den samme trenden etter GDPR.

– Hvordan få ned saksbehandlingstiden har vært et tema mellom de europeiske personvernmyndighetene i noen år. Noen land har fått kraftige økninger i de økonomiske rammene. Norge er det tilsynet i Norden med færrest kroner/hoder til rådighet per innkommende klagesak.

Datatilsynet jobber med flere parallelle løp for å gjøre noe med den pressede situasjonen.

Det gjelder mot departementet, for å gjøre behovene tydelige, og internt, for å se hvordan de kan effektivisere prosesser, systemer og organisering av saksbehandlingen.

– Vi er stolt av det vi får til med de ressursene vi har, men ønsker for personvernets del å øke kapasiteten. Det er utrolig viktig, for personvernet er under press, sier Coll.

Må prioritere hardt

Datatilsynet har gått fra å være 45 ansatte i 2017, året før GDPR ble innført i norsk lov, til nå 59 ansatte. I tillegg får de bistand fra nærmere ti studenter.

Tilsynet kom nylig med sin årsrapport for 2023, som bekrefter at de fikk inn 4204 saker i fjor. Saksmengden er opp nesten 20 prosent.

De har valgt å prioritere store og prinsipielt viktige saker med effekt for mange, foran enkeltsaker som kun berører noen få.

Videre må de prioritere hardt hvilke avviksmeldinger som blir gjenstand for full vurdering og eventuelt vedtak, står det.

– I tillegg til alle klagesakene, som Datatilsynet er forpliktet til å behandle, har vi andre oppgaver for å styrke personvernet i landet. De siste 1-2 årene har vi gjort flere store tilsyn, og vi har hatt noen store og ganske ressurskrevende saker innom rettsapparatet, som spiser av kapasiteten, sier Coll og nevner sakene mot Meta og Grindr.

Når noe blir prioritert, går det på bekostning av andre ting.

– Det betyr at saker med tilsynelatende små personvernkonsekvenser for en eller få registrerte kanskje blir liggende lenger. Samtidig er vi klar over at hver enkelt sak sannsynligvis er viktig for den enkelte klager, og vi ønsker selvsagt å kunne gi alle langt raskere saksbehandlingstid.

Griper tak i teknisk gjeld

Antall innmeldte avvik er opp 25 prosent, men tilsynets antall fattede vedtak ligger på stedet hvil med rundt 300 flere år på rad, viser årsrapporten.

Datatilsynet har også en stor digital gjeld i form av gammelt utstyr og digitale arbeidsverktøy, går det fram av årsrapporten.

– Dette har vi tatt tak i, og det vil gi effekt på sikt, skriver de.

I fjor brukte tilsynet 2,5 millioner kroner på IT-konsulenter. Det er opp fra 800.000 kroner, ifølge statsregnskapet.

Etaten har også erfaring med å ta i bruk «skippertak», som metode for å redusere saksbunkene.

– En variant kan være skippertak i saksbehandlingen i form av ekstra ressurser og oppbemanning i ett budsjettår for å få «rydda pulten» for saker. Så må man sørge for tilstrekkelig bemanning i etterkant, så ikke saksbehandlingstiden spretter i været igjen, sier Coll.

IT-ministeren: Tilsynet skal evalueres

Tilsynet er et uavhengig forvaltningsorgan, som administrativt er lagt under Digitaliserings- og forvaltningsdepartementet.

Digi har spurt statsråden om etatens kapasitetsproblemer, om det er aktuelt å foreta seg noe, samt hvordan og når det kan skje.

– Datatilsynet gjør et viktig arbeid for å sikre personvernet til folk og veilede bedrifter. Når etterspørselen på disse tjenestene øker, går det også naturligvis ut over kapasiteten. Jeg tror ikke dette behovet blir noe mindre i årene framover, og jeg har derfor bedt DFØ gjennomføre en evaluering av Datatilsynet. På bakgrunn av denne vil jeg vurdere om det er behov for å styrke tilsynet ressursmessig, eller om det er andre tiltak som bedre løser de utfordringene som pekes på, sier digitaliserings- og forvaltningsminister Karianne Tung til Digi.