Personopplysninger uten kontroll

En kartlegging Datatilsynet har gjort i kommunene, viser at bare halvparten sier de har innført internkontroll i tråd med kravene i personopplysningsloven – ti år etter at loven ble innført.

Ifølge kontrollspørsmålene Datatilsynet har stilt, er det bare 7 prosent av kommunene som faktisk har en fullverdig internkontroll.

– Kan komme på avveie

Direktør Bjørn Erik Thon i Datatilsynet er klar i sin kommentar:

– Dette er ikke bra nok og øker faren for at personopplysninger kommer på avveie. Det virker ikke som om kommunene tar dette veldig alvorlig. Tallene er ikke oppløftende. Det positive er at en del jobber godt for å forbedre seg, sier han til Kommunal Rapport.

God internkontroll er blant annet viktig for å sikre at data blir behandlet riktig, og at borgerne har mulighet til innsyn i hvilke opplysninger kommunen sitter på om den enkelte.

– Kommunene er storbehandlere av opplysninger, og mye faller på plass om de har gode rutiner, planer og systemer. Personvern har en verdi i seg selv, men årsaken til reglene er at opplysninger ikke skal komme på avveie, og at borgernes rettigheter skal ivaretas.

Risikerer bøter

En rekke kommuner risikerer nå sanksjoner. 18 kommuner og én fylkeskommune har overhodet ikke svart på tilsynets undersøkelse. I verste fall vil disse få en tvangsmulkt.

37 har svart at de ikke akter å gjøre noe med saken.

– Det er nesten enda verre enn ikke å svare. Det er ganske alvorlig å forvalte et lovbrudd man ikke har tenkt å gjøre noe med.

Disse kommunene er blant de som kan få stedlig tilsyn fra Datatilsynet, når etaten nå skal følge opp resultatene.

Thon understreker at Datatilsynet ikke har noen glede av å henge ut kommuner som ikke følger regelverket.

– Vi ønsker å finne færre feil ved neste undersøkelse.

Personvernombud

Tilsynet anbefaler blant annet at kommuner kan gå sammen og opprette et personvernombud, noe 53 kommuner og fylkeskommuner har i dag.

– Vi gir gjerne råd og tips til kommuner som ønsker bistand til å opprette et personvernombud.

Direktøren er dessuten åpen for å diskutere om regelverket er for komplisert. Dette kan være en årsak til at mange kommuner opplyser at de har internkontroll, uten at den er på det nivået Datatilsynet krever for at kontrollen skal være god nok.

Tilsynet sender nå resultatene av undersøkelsen ut til kommunene, og har også invitert Kommunaldepartementet og KS til et møte om saken.

– Vi vil se om vi kan gjøre noe sammen for å følge opp kommunene bedre. En annen mulighet er å gjøre som i helsevesenet og innføre en bransjenorm – et hjelpedokument for hvordan man skal følge loven, sier Thon.

Ny rapport til KS

Fredag denne uka får også KS en rapport om internkontroll på sitt bord. Firmaet KPMG gjør en undersøkelse på oppdrag fra KS om internkontroll.

Kommunaldepartementets 85 tilrådinger for egenkontroll i kommunene viste at internkontroll er et svakt punkt, mener spesialrådgiver Morten Strand i KS.

– Vi må gjøre noe i fellesskap for å forbedre internkontrollen i Kommune-Norge. KS vil lage en veileder som skal gi rådmennene mulighet til å sette i verk tiltak og få bedre internkontroll. Vi må få fram enkle tiltak kommunene kan starte med. Dealler fleste har noe, men det er ikke satt så godt i system.

Strand, som selv har lang fartstid som ordfører i Asker, mener en forklaring på tilstanden er at det er saker som har havnet på dagsordenen som blir prioritert av rådmennene.

– Det er mange ting man skal være god på. Kommunestyrene har vel heller ikke vært særlig gode bestillere av internkontroll. Da blir det ikke prioritert i forhold til alt det andre man spør etter hver dag. Samtidig er det kanskje ikke så rart at folkevalgte ikke er mest opptatt av internkontroll, sier han.

Listen under viser kommuner, som på tross av gjentatte henvendelser, ikke så seg i stand til å besvare tilsynets henvendelse. Disse vil bli fulgt opp i løpet av 2011.