Datatilsynet med smekk på fingrene til kriminalomsorgen

− Uklar ansvarsdeling og manglende internkontroll.

Det er konklusjonen etter at Datatilsynet har gjennomført stedlig tilsyn hos kriminalomsorgen.

Nå får Kriminalomsorgsdirektoratet (KDI) beskjed om å rydde opp. Det melder tilsynet selv i en pressemelding.

Stedig tilsyn

Fra november 2021 til april 2022 var Datatilsynet på besøk hos KDI, fengslene Ullersmo og Bredtveit, og Oslo friomsorgskontor.

Ved å invitere seg selv på besøk, vil Datatilsynet se nærmere på det systematiske personvernarbeidet, og hvordan virksomheter jobber med personvern fra dag til dag.

− I dette tilsynet har Datatilsynet særlig fokusert på behandling av personopplysninger i forbindelse med straffegjennomføring, sier Maren Vaagan, juridisk seniorrådgiver i Datatilsynet i meldingen.

Uklare ansvarsforhold

Kriminalomsorgen behandler persondata om mennesker i fengsel, pårørende som kommer på besøk, familiemedlemmer og fornærmede i straffesaker.

− Det vil ofte være opplysninger av sensitiv karakter, skriver Datatilsynet.

Tilsynet mener plasseringen av behandlingsansvaret har vært uklart.

Selv om KDI har skrevet en instruks som plasserer behandlingsansvaret for hele Kriminalomsorgen hos direktoratet, har den ikke blitt godt nok implementert, mener Datatilsynet.

Mangelfull internkontroll

Også internkontrollen, eller det interne systemet og rutinene for å følge opp personvernet, er for dårlig, mener Datatilsynet.

− Det meldes få avvik fra personvernregelverket i eksisterende avvikssystem, og vårt inntrykk er at dette kan skyldes manglende opplæring og kultur for personopplysningssikkerhet i organisasjonen, sier Vaagan.

KDI har nå seks måneder på seg til å sørge for klare ansvars- og myndighetsforhold, og å ta en gjennomgang av internkontrollsystemet for informasjonssikkerhet.