Hvilke oppgaver har Datatilsynet?

Hvilke oppgaver har Datatilsynet?: Gebyrer opp til 20M euro

Å forstå hvilke oppgaver har datatilsynet er avgjørende for virksomheter som behandler personopplysninger for å unngå strenge økonomiske konsekvenser. Korrekt håndtering av sikkerhetsavvik beskytter bedriften mot alvorlige sanksjoner. Sett deg inn i de sentrale prosedyrene for varsling for å sikre etterlevelse.

Hva er Datatilsynets viktigste oppgaver?

Datatilsynet overvåker at personvernlovgivningen følges gjennom kontroll, klagebehandling og aktiv veiledning overfor norske virksomheter (2). Rollen deres kan imidlertid være knyttet til mange ulike faktorer i krysningen mellom juss, teknologi og samfunnsutvikling (2).

Oppgavene til tilsynet strekker seg langt utover det å bare være et kontrollorgan som deler ut sanksjoner (2). For mange virksomheter oppleves de kanskje mest som en streng vaktbikkje, men de fungerer i vel så stor grad som en rådgivende førerhund.

Som uavhengig forvaltningsorgan kan verken departementet eller regjeringen instruere Datatilsynet i faglige spørsmål eller enkeltsaker. Det gir dem den nødvendige autoriteten til å gripe inn overalt hvor personopplysninger behandles ulovlig (2).

Tre grunnpilarer: Tilsyn, veiledning og saksbehandling

Kjerneaktivitetene til det norske Datatilsynet er delt inn i tre tydelige hovedområder som balanserer sanksjonsmyndighet med proaktiv hjelp (2): Tilsyn og kontroll: De gjennomfører planlagte eller hendelsesbaserte kontroller hos både private bedrifter og offentlige etater for å sjekke om systemene tilfredsstiller personvernreglene. Veiledning og rådgivning: De driver aktiv formidling for å heve kompetansen om personvern i samfunnet, blant annet gjennom en egen regulatorisk sandkasse for kunstig intelligens. Klager og saksbehandling: De behandler tusenvis av unike henvendelser og formelle klager fra privatpersoner som opplever at rettighetene deres blir tråkket på.

Saksbehandlingen har eksplodert de siste årene. Bare i løpet av kort tid har mengden klager skutt i været, noe som har presset ressurssituasjonen og ført til lengre ventetider. For å unngå langtekkelige prosesser har tilsynet i økende grad måttet avslutte mindre saker uten formelle realitetsvedtak.

Når må en virksomhet innrapportere avvik?

En av de mest kritiske pliktene norske virksomheter har overfor Datatilsynet, oppstår når sikkerheten brytes og personopplysninger havner på avveie. Regelverket krever lynrask handling. Men det er en utbredt misforståelse at absolutt alt må rapporteres inn.

Dersom et databrudd eller et sikkerhetsavvik medfører hvem fører tilsyn med personvern i norge en risiko for enkeltpersoners rettigheter, må Datatilsynet varsles uten ugrunnet opphold, og senest innen 72 timer.^[1] Hvis risikoen vurderes som usannsynlig, kan man loggføre avviket internt i stedet for å sende melding. Men her trår mange feil.

I min tid som rådgiver har jeg sett ledere få fullstendig panikk når en ansatt feilsender en e-post med sensitive personalmapper. Den umiddelbare refleksjonen er ofte å skjule det, eller tvert imot kaste bort verdifulle dager på interne diskusjoner før man melder fra. Det er en farlig strategi.

Tidsfristen på 72 timer tikker uansett. Men det finnes en utvei. Dersom du ikke har alle fakta på bordet umiddelbart, tillater regelverket at informasjon sendes inn trinnvis. Det viktigste er å etablere den første kontakten i tide.

Sanksjoner og gebyrer: Vaktbikkjas skarpeste verktøy

Når veiledning ikke strekker til, har Datatilsynet myndighet til å bruke kraftige sanksjoner og reaksjonsformer for å tvinge frem etterlevelse. De kan gi formelle pålegg om retting, forby spesifikke behandlinger, eller i verste fall ilegge massive overtredelsesgebyrer.

Datatilsynet kan datatilsynet rolle og myndighet utstede overtredelsesgebyrer på inntil 20 millioner euro, eller opptil 4 prosent av en virksomhets globale årsomsetning.^[2] Disse økonomiske rammene er ment å avskrekke, og de rammer både gigantiske internasjonale plattformer og mindre norske aktører.

Tilsynspraksis viser at manglende internkontroll eller feil organisering av personvernombudsordningen straffes hardt, selv uten at data nødvendigvis har lekket ut på det mørke nettet. Likevel opplever mange at det største problemet ikke er selve summen, men saksbehandlingstiden.

Lang saksbehandlingstid kan i enkelte tilfeller gi grunnlag for reduksjon i gebyrstørrelsen. Hvis prosessen trekker ut i flere år uten fremdrift, kan det representere et brudd på menneskerettighetene, noe som tvinger frem en moderering av den økonomiske straffen.

Skillet mellom Datatilsynet og interne personvernombud

Et vanlig forvirringspunkt er relasjonen mellom den statlige kontrolløren og bedriftens eget personvernombud (DPO). Mange tror ombudet er Datatilsynets forlengede arm på innsiden av kontoret. Men det stemmer ikke i det hele tatt.

Personvernombudet datatilsynet myndighet gebyr er en uavhengig rådgiver for den behandlingsansvarlige virksomheten, ikke en ekstern inspektør. Ombudet skal hjelpe bedriften med å gjøre ting riktig, mens Datatilsynet vurderer utenfra om bedriften faktisk har lykkes (2). Forskjellene blir tydeligere når vi ser på mandatene deres.

Hvem gjør hva i personvernarbeidet?

Det er avgjørende å skille mellom den statlige tilsynsmyndigheten og rollene som eksisterer innad i en organisasjon eller i klagekjeden.

Datatilsynet

- Ekstern statlig kontrollør, vaktbikkje og uavhengig tilsynsmyndighet

- Gjennomføre tilsyn, behandle klager og ilegge overtredelsesgebyrer

- Kan ilegge sanksjoner og påby stans i ulovlig databehandling

Internt personvernombud (DPO)

- Intern og uavhengig rådgiver for ledelsen og de ansatte

- Informere om forpliktelser, gi råd om DPIA og fungere som kontaktpunkt

- Har ingen sanksjonsrett og kan ikke instruere virksomheten direkte

Personvernnemnda

- Uavhengig klageorgan og særdomstol for personvernsaker

- Overprøve og behandle klager på Datatilsynets formelle enkeltvedtak

- Kan opprettholde, endre eller fullstendig oppheve tilsynets vedtak

Avvikshåndtering i praksis: Da loggfilene glapp for nettbutikken

Håvard, IT-sjef i en voksende norsk nettbutikk basert i Bergen, oppdaget en kveld at en feilkonfigurert database hadde ligget åpen mot internett i en lengre periode. Systemfeilen gjorde at kundelister med kjøpshistorikk og adresser potensielt var synlige for uvedkommende, og frykten for sanksjoner lammet ham de første timene.

Første innskytelse var å feie det under teppet til feilen var rettet, for å unngå dårlig PR. Han brukte to verdifulle dager på å krangle med eksterne utviklere, noe som spiste opp nesten hele tidsfristen før Datatilsynet måtte varsles.

Han innså raskt at å skjule avviket ville gjøre vondt verre hvis loggene ble lekket. Håvard snudde strategien, logget inn på tilsynets portal og sendte en foreløpig avviksmelding med den informasjonen han hadde tilgjengelig der og da.

Selv om etterarbeidet tok to uker med tweaking og sikring av systemet, unngikk selskapet gebyr fordi de handlet transparent, dokumenterte alle avbøtende tiltak, og overholdt den kritiske tidsrammen.