Kommunale bedrifter som omfattes av forvaltningsloven vil være forpliktet etter GDPR artikkel 37 til å utpeke personvernombud. Personvernreglene åpner likevel for at bedrifter kan dele personvernombud med andre selskap eller kommuner.

Fra 1. juli 2018 trådte nye personvernregler i kraft i Norge. EUs personvernforordning (GDPR) ble i sin helhet tatt inn i norsk rett. Dette medførte at staten, fylkeskommuner, kommuner og de aller fleste virksomheter ble omfattet av nye og strengere krav til behandling av data og personopplysninger for å sikre borgernes personvern.

Mange aktører fikk også plikt til å utpeke personvernombud med et særlig ansvar for å påse at personvernreglene blir fulgt i virksomheten. Artikkel 37 i personvernforordningen sier at virksomheten skal utpeke et personvernombud dersom:

databehandlingen utføres av en offentlig myndighet eller et offentlig organ,

hovedvirksomheten består av aktiviteter som krever regelmessig og systematisk overvåkning i stor skala av personer, eller

hovedvirksomheten besår av behandling av sensitive personopplysninger i stor skala, eller opplysninger om straffbare forhold.

Da GDPR ble innført, la man til grunn at mange kommunale bedrifter trolig ikke måtte utpeke personvernombud. Bakgrunnen for dette standpunktet var at mange av dem ikke driver forvaltningsvirksomhet og saksbehandling i tradisjonell forstand, men i hovedsak organiserer og produserer kommunale fellestjenester.

Når gjelder forvaltningsloven for en kommunal bedrift/virksomhet?

Synet på når forvaltningsloven gjelder for kommunale bedrifter kan ha endret seg noe de siste årene. I et brev av 7. mai 2021 til Forum for kontroll og tilsyn la det tidligere Kommunal- moderniseringsdepartementet til grunn at et kontrollutvalgssekretariat organisert som et IKS var å regne som et «organ for ... kommune» etter forvaltningsloven § 1 andre punktum, og dermed var omfattet av plikten til å utpeke personvernombud.

Kontrollutvalgssekretariatet utførte utredningsoppgaver for kommunale kontrollutvalg, men hadde ingen vedtaksmyndighet og drev ikke offentlig myndighetsutøvelse. Likevel mente Kommunal- og moderniseringsdepartementet at blant annet det kommunale eierskapet, graden av offentlig styring og kontroll, og oppgavene i virksomheten tilsa at selskapet måtte betraktes som et forvaltningsorgan etter forvaltningsloven. Da måtte selskapet også ha personvernombud, jf. forordningen artikkel 37.

Dersom en tilsvarende (streng) vurdering skal legges til grunn i andre saker, kan det bety at forholdsvis mange kommunalt eide selskaper som i hovedsak utfører lovpålagte kommunale oppgaver er omfattet av forvaltningsloven, og må utpeke personvernombud. Dette selv om de i hovedsak produserer tjenester, og i mindre grad driver saksbehandling eller utøver offentlig myndighet.

Plikten til å utpeke personvernombud i kommunale bedrifter

Samfunnsbedriftene og NKRF sendte 23. mars 2022 et brev til Justis- og beredskapsdepartementet der vi ba om en nærmere vurdering av forholdet mellom personvernreglene og forvaltningsloven. Vi pekte på at mange kommuner legger ulike tjenester i egne og interkommunale selskap, og at det fremstod som uhensiktsmessig og lite forholdsmessig hvis mindre kommunalt eide virksomheter måtte ha eget personvernombud. Vi ønsket også en nærmere vurdering av muligheten for at virksomheter kunne dele personvernombud.

JD svarte på vår henvendelse 30. juni 2022. Departementet bekreftet at det må gjøres en konkret og selvstendig vurdering av om det selvstendige rettssubjektet/selskapet omfattes av forvaltningsloven. Er man først omfattet av forvaltningsloven, vil virksomheten etter dagens regelverk også være forpliktet til å utpeke personvernombud.

JD pekte videre på at personvernforordningen artikkel 37 nr. 3 åpner for at det kan utpekes ett personvernombud for flere myndigheter eller organer. Da må det gjøres en konkret vurdering av om det er «grunnlag for å utpeke et felles ombud», og det skal i denne sammenheng «tas hensyn til deres organisasjonsstruktur og størrelse»

Samfunnsbedriftene legger til grunn at organisering av kommunale tjenester i henholdsvis egne og interkommunale selskap er vanlig i den norske kommuneforvaltningen.

Det bør på denne bakgrunn, og etter en konkret vurdering av virksomhetenes størrelse og omfang, være adgang til å dele personvernombud mellom for eksempel kommunale selskaper som driver likeartet virksomhet eller mellom selskap og eierkommuner.

Kommunale bedrifter omfattet av forvaltningsloven må ha personvernombud

GDPR og personvernombud:

Da personvernforordningen fra EU (GDPR – General Data Protection Regulation) ble gjort til norsk lov i 2018, var dette et tiltak for å styrke personvernet. Særlig det siste tiåret har teknologien utviklet seg raskt. Når innhenting, lagring og systematisering av data er blitt enkelt tilgjengelig, må virksomheter forholde seg mer aktivt og aktsomt til sammenhengen mellom digitalisering og personvern enn før. Dersom man ikke gjør det, løper det risiko for å bli ilagt overtredelsesgebyr fra datatilsynet.

ilagt et overtredelsesgebyr på 3 millioner kroner

«hadde gjennomført tekniske og organisatoriske tiltak for å oppnå eit godt nok sikkerheitsnivå, og for ikkje å ha sikra vedvarande konfidensialitet og integritet.»

Eksemplet viser at det kan få betydelige konsekvenser for virksomheten dersom man ikke er bevisst de digitale risiko – og sårbarhetselementer ved virksomheten sin og de pliktene man er pålagt i kraft av å være databehandler.

Behandler man f.eks. personopplysninger - som ofte vil være tilfellet for stat, kommune eller et organ for disse, følger det med forholdsvis omfattende plikter. Én av flere plikter kan være å oppnevne et personvernombud.

Plikten til å utnevne personvernombud for offentlige virksomheter er hjemlet i personvernforordningen avsnitt 4, art. 37 (her avgrenset til bokstav a):

«Den behandlingsansvarlige og databehandleren skal utpeke et personvernombud når:

Behandlingen utføres av en offentlig myndighet eller et offentlig organ, bortsett fra domstoler som opptrer innenfor rammen av sin domsmyndighet.»

 eller «databehandler» kan eksempelvis være alt fra et enkeltpersonsforetak, et konsern, til en offentlig eller privat virksomhet. Definisjonene av disse er nærmere gjengitt i personvernforordningen art.7 nr. 7 og nr. 8. Det sentrale en skal merke seg er at man ikke kan fraskrive seg plikten til å oppnevne et personvernombud grunnet organisasjonsform.

Dette stadfestes også tydelig i forarbeidene:

«[a]rtikkel 37 nr. 1 pålegger den behandlingsansvarlige og databehandleren en plikt til å utpeke personvernombud når vilkårene i bokstav a til c er oppfylt, det vil si når behandlingen utføres av en offentlig myndighet eller et offentlig organ, jf. bokstav a

Videre i forarbeidene står det at et offentlig organ

vil være de organer som er omfattet av forvaltningsloven § 1 annet punktum, som etter artikkel 37 nr.1 bokstav a plikter å ha personvernombud. Forvaltningsloven § 1 annet punktum definerer forvaltningsorganer som et hvert organ for stat eller kommune.

Hvorvidt virksomheten er ansett som et forvaltningsorgan vurderes blant annet etter: graden av offentlig eierskap og kontroll, finansieringen av virksomheten samt hvilke oppgaver som utføres.

Det må gjøres en bred og helhetlig vurdering av disse forholdene. Daglig leder vil ha det formelle, overordnede ansvaret for at pliktene knyttet til GDPR overholdes.

Samfunnsbedriftene har hjulpet medlemmer med vurderinger knyttet til overnevnte og andre problemstillinger knyttet til GDPR.

Informasjon om personvernregelverket hos Datatilsynet

Dersom dere har spørsmål om plikten til å ha personvernombud, eller andre personvernspørsmål knyttet til virksomheten, så ta gjerne kontakt med oss.

Behandling av personopplysninger kan kreve personvernombud

Hvem må ha personvernombud?

Et eksempel kan være at et interkommunalt renovasjonsselskap sender en oversikt over personer som ikke har betalt renovasjonsgebyr til kommunen, fordi det er eierkommunene som krever inn gebyrene. Oversendelsen vil da trolig ha et lovlig formål og behandlingsgrunnlag.

Spørsmålet er hvordan bedriften sender personopplysningene på en mest mulig sikker måte og i samsvar med personvernreglene.

Datatilsynet er ikke positive til å sende personopplysninger over e-post, og spesielt ikke fødselsnummer (11 siffer). Dette fordi e-post er en «åpen» løsning og faren for feilsendelse i tillegg er stor.

Det man i det minste må gjøre ved slike utsendelser er å legge personopplysningene i vedlegg, og kryptere vedlegget som oversendes. Dette skal være mulig ved å passordbeskytte dokumentet eller regnearket.

Fortsatt må man likevel være oppmerksom på faren for feilsendelse og at passord/koder kan knekkes, slik at personopplysningene kan komme på avveie.

Alternativet kan være å sende personopplysningene med vanlig post, og der er det ingen bestemte regler (foruten for enkelte helseopplysninger).

Hvis det er mulig å anonymisere personopplysningene til saksnummer eller ved oversendelse per e-post eller post, så kan dette bidra til at risikoen for brudd på personvernet blir redusert.

GDPR – risiko ved å sende personopplysninger på e-post

Ny personvernforordning:

Ofte finnes hjemmelen i lov og forskrift, eller en avtale. Når det ikke finnes hjemmel i lovverket eller i en avtale, kan bedriften få hjemmel gjennom samtykke fra den personen det gjelder. Det betyr at personen selv gir samtykke til at bedriften har bestemte opplysninger om ham, og bruker dem til bestemte formål.

Et eksempel kan være at du gir samtykke til at bedriften registrerer din bruk av en tjeneste, eller samtykke til at det tas bilder av barna dine i barnehage og skole som kan legges på nettsidene. Videre kan du gi samtykke til at en bedrift sender deg jevnlig tilbud og informasjon på e-post (tilpasset markedsføring), eller samtykke til at det hentes inn opplysninger om deg i forbindelse med søknad om nytt kredittkort eller ny helseforsikring.

For mange kommunalt eide bedrifter vil hjemmelen til å behandle personopplysninger være lov, forskrift eller avtale i forbindelse med den tjenesten som leveres. En avtale inneholder også en form for implisitt samtykke.

Men det kan tenkes tilfeller der det er behov for – eller ønskelig - å innhente konkret samtykke.

For eksempel kan renovasjonsbedriften trenge samtykke dersom det innføres detaljert registrering av personers bruk av ulike innsamlingsløsninger, og der opplysningene skal brukes aktivt i selskapsplanleggingen.

Det kan være nødvendig med samtykke dersom energibedriften skal overføre personopplysninger (navn, fødselsdato, forbruk, ol.) til andre aktører eller underleverandører.

Det kommunale krisesenteret kan ha behov for samtykke dersom personopplysninger skal brukes i kontakt med andre kommunale etater for å kunne gi et godt hjelpetilbud.

Samtykket fra personen det gjelder må være frivillig og uttrykkelig, og det må gå frem hva han/hun samtykker til. Samtykket må også fritt kunne kalles tilbake.

Rent praktisk kan dette ordnes ved en samtykkeerklæring, der den personen som bestiller eller mottar en tjeneste aktivt godtar at bestemte opplysninger om ham brukes i bedriften. Samtykkeerklæringen bør gi følgende informasjon:

navn og adresse på bedriften som er ansvarlig (behandlingsansvarlig)

om opplysningene skal leveres ut til andre, og i tilfelle til hvem

om/at det er frivillig å gi fra seg opplysningene

det personen trenger for å kunne bruke rettighetene sine, som å kreve innsyn i - eller få rettet eller slettet - opplysningene som er lagret

hvor lenge personopplysningene vil bli behandlet eller oppbevart

orientering om at personen når som helst kan trekke samtykket tilbake

Informasjon om samtykke på Datatilsynets nettsider

I praksis kan det være hensiktsmessig at bedriften utarbeider en personvernerklæring.

Eksempel på personvernerklæring fra NAV

Eksempel på personvernerklæring fra Hafslund

Den bør være lett tilgjengelig for brukere, kunder og avtaleparter, og informere om hvordan og hvorfor bedriften bruker personopplysninger i virksomheten (personvernpolicy). Samtykkeerklæringen bør i så fall vise til denne.

Har du spørsmål knyttet til samtykke eller til personvernreglene, ta gjerne kontakt med oss.

Samtykke til å bruke persondata

Personvern / GDPR:

Reglene skal sikre borgerne en viss kontroll og tilgang til opplysninger om seg selv, samtidig som virksomhetenes behov for slike opplysninger i sin hverdag skal ivaretas. Alle offentlige etater og svært mange offentlige og private virksomheter har og bruker personopplysninger. Det kan for eksempel være data om ansatte, kunder, brukere og leverandører.

Nye nasjonale regler om personvern trer i kraft i juli 2018. Bakgrunnen er en ny EU-forordning vedtatt 27. april 2016, og som vil gjelde for alle EU-landene.

De fleste kommunalt eide selskaper vil bli omfattet av de nye reglene.

Strengere krav til personvernrutiner i virksomheten (internkontroll, datasikkerhet, oppbevaring av opplysninger og dokumenter, rutiner for sletting, osv.)

Personvernombud blir obligatorisk for alle ­offentlige virksomheter og for mange private virksomheter som behandler person­opplysninger i stort  omfang.

Personvernerklæringer som benyttes i virksomheten skal oppfylle nye krav.

Forbrukere får nye rettigheter knyttet til registrerte opplysninger om seg selv.

Strengere sanksjoner og sanksjonsapparat: Datatilsynet kan etter de nye reglene ilegge overtredelsesgebyr­ for brudd på reglene opp til 20 millioner euro eller 4 prosent av global årlig omsetning.

Det er viktig å igangsette arbeidet internt i virksomheten allerede nå for å sikre at man oppfyller de nye kravene som gjelder fra juli 2018.

#personvern og GDPR

Kommunale bedrifter omfattet av forvaltningsloven må ha personvernombud

Behandling av personopplysninger kan kreve personvernombud

GDPR – risiko ved å sende personopplysninger på e-post

Samtykke til å bruke persondata

Hva er personvernreglene?

Les mer om ...

Hold deg oppdatert!