Målet med denne strategien er å peke ut en klar retning for arbeidet vårt. Vi har store ambisjoner for å sikre norske borgere et godt personvern. Samtidig er det svært viktig at virksomhetene forstår verdien av godt personvern og ønsker å følge regelverket. Her har vi en viktig rolle å spille.

Datatilsynet vil jobbe målrettet for å styrke personvernprinsippene og -rettighetene til den enkelte, blant annet ved å prioritere prinsippsaker som kan sette presedens for rettighetene til den enkelte, og ved å håndheve regelverket for å sikre bedre etterlevelse blant aktører som har en forretningsmodell som utfordrer personvernet i særlig grad.

Større ansvar til virksomhetene, mer makt til enkeltindividet

Vi har besluttet seks overordnede, strategiske mål som skal være styrende for vårt arbeid framover. Jeg vil si at det er to røde tråder i strategien.

Den første er at større ansvar for å etterleve regelverket legges på virksomhetene. Dette springer ut av ansvarlighetsprinsippet i den nye regelverket. Konsekvensen av det er at Datatilsynets oppgaver i stor grad endres fra forhåndsgodkjenning (konsesjon, melding til Datatilsynet) til etterkontroll. Virksomhetene må utrede personvernkonsekvenser av alle tiltak og jobbe etter prinsippene for innebygd personvern. Det setter store krav til at virksomheten selv har kunnskap og evne til å forstå og følge regelverket. Her har Datatilsynet en viktig rolle med å hjelpe virksomhetene med å ta dette ansvaret, for eksempel ved å være pådrivere for bransjenormer og ved å samarbeide med sentrale aktører for å nå flest mulig virksomheter.

Den andre røde tråden er mer makt til enkeltindividet for å sikre større kontroll over egne personopplysninger. Store kommersielle selskap og offentlige myndigheter sitter på store mengder data om enkeltindivider. For hvert enkelt individ er det vanskelig å ha kontroll over egne opplysninger. Datatilsynet vil jobbe målrettet for å styrke personvernprinsippene og -rettighetene til den enkelte, blant annet ved å prioritere prinsippsaker som kan sette presedens for rettighetene til den enkelte, og ved å aktivt håndheve regelverket for å sikre bedre etterlevelse blant aktører som har en forretningsmodell som utfordrer personvernet i særlig grad.

6 strategiske mål

De følgende målene skal være styrende for Datatilsynets arbeid i tre år fra og med 1. januar 2018:

1. Datatilsynet skal arbeide for en mer rettferdig maktbalanse mellom individet på den ene siden, og kommersielle aktører og det offentlige på den andre.
2. Datatilsynet skal arbeide for å fremme personvernvennlig digitalisering, innovasjon og utvikling.
3. Datatilsynet skal arbeide for at virksomheter blir kompetente, forstår viktigheten av godt personvern og etterlever regelverket.
4. Datatilsynet skal bidra til at individet i større grad kan ivareta sitt eget personvern.
5. Datatilsynet skal påvirke og ta lederrollen i noen utvalgte internasjonale prosesser for å fremme bedre personvern.
6. Datatilsynet skal være et kompetent og fremtidsrettet tilsyn.

Du kan lese hele strategien som blant annet inneholder en beskrivelse av personvernprinsippene og en omverdensanalyse her. 

Ved dagens markering av den internasjonale personverndagen er det umulig å komme utenom Edward Snowden. Hans avsløringer om hvordan amerikanske National Security Agency jobber, gir oss et omfattende bilde av hvilke utfordringer personvernet står overfor akkurat nå. Vi vil oppsummere det i fire punkter:

 1. Overvåking har blitt billig

NSA samler inn nærmere 200 millioner tekstmeldinger daglig, og gjør nærmere fem milliarder registreringer fra basestasjoner i mobilnett over hele verden. Fremveksten av Internett, smarttelefoner og skytjenester gjør slik masseovervåkning mulig, enkelt og billig. Tidligere var teknologien og økonomien med på å begrense hva etterretningsbransjen kunne gjøre. Nå er disse barrierene i ferd med å viskes ut. Når forskjellen på hva etterretningstjenester har lov til å gjøre og hva de faktisk er i stand til å gjøre blir stadig større, gjør det personvernet mer sårbart.

 2. E-tjenestene har gått fra harpun til trål

I tradisjonell etterretning har man hentet inn informasjon om personer som er under mistanke. Snowden har avdekket at etterretningen nå samler inn informasjon om et stort antall mennesker som ikke er mistenkt for noe kriminelt. NSA har fått anledning til å samle inn, lagre og analysere telefoni-metadata, ikke bare til én mistenkt, men også kontakter i tre ledd. Hvis hver person har 40 kontakter, betyr det at over 2,5 millioner mennesker kan trekkes inn i én enkelt sak. 

3. Metadata er den nye oljen

Metadata er «data om data», og en forutsetning for at denne typen masseovervåking kan skje. Det omfatter informasjon om hvem som er avsender og mottaker av f.eks. en e-post, klokkeslett, tid og sted. Slike data er et nødvendig biprodukt av våre digitale liv og virker kanskje uskyldige alene. Satt i riktig sammenheng kan de imidlertid tegne et svært detaljert bilde av hvem du er, hva du gjør og hvem du omgås. Metadata avslører ikke innholdet i en telefonsamtale, men kan vise at du ringte gynekologen din, pratet i 23 minutter og like etter ringte en abortklinikk. Eller de kan avsløre hvem som mest sannsynlig er kilden til journalist Per Anders Johansens siste artikkel i Aftenposten.

 4. Persondata lever farlig utenlands

De fleste land har lovbestemmelser som skal beskytte innbyggerne mot overvåking fra sine egne myndigheter, men vi er nærmest rettsløse når våre data kommer i hendene på andre lands etterretning. I USA har de største overskriftene naturlig nok dreid seg om overvåkingen av amerikanere, ikke oss andre.

 Vi ser klare tegn på en nedkjølingseffekt

I en fersk undersøkelse har vi spurt folk om de har latt være å gjøre noe fordi de er usikre på hvordan opplysningene vil bli brukt senere. Her svarer èn av fire nordmenn at de har unnlatt å skrive under på et opprop, og like mange har heller tatt en muntlig samtale enn å kommunisere elektronisk. 16 prosent har latt være å gjøre et søk på nett. Dette peker klart i retning av en nedkjølingseffekt som kan true kildevernet for varslere og ytringsfriheten, og begrense folks frie kommunikasjon. Den dagen folk ikke tør å ringe for å bestille time hos psykologen, eller ringe en gammel venn som har sittet i fengsel, har vi mistet en vesentlig samfunnsverdi. Da kan det være for sent å snu utviklingen.

 Ved et veiskille?

Mye tyder på at vi nå står ved et veiskille for personvernet. Dette gir grunn til bekymring, men også optimisme. Aldri har vi sett så sterke reaksjoner på et overvåkningstiltak som det Snowden avslørte. Obama har varslet innstramminger i NSAs praksis. Konkurrentene Google og Microsoft, har gått sammen i et søksmål mot amerikanske myndigheter for å få vise større åpenhet om hva slags data de må utlevere til sikkerhetsmyndighetene. Beregninger viser at amerikanske skyselskaper kan tape opp mot 35 milliarder fordi virksomheter ikke lenger ønsker å lagre data i USA. Personvernundersøkelsen viser dessuten at folk bryr seg om personvern. Nesten halvparten er mer opptatt av personvern enn for to-tre år siden, og hele 88 prosent ser godt personvern som en forutsetning for et fritt og demokratisk samfunn.

En ny personvernpolitikk

 Dette gir et godt utgangspunkt for en debatt om norsk personvernpolitikk. Etter vår mening står disse spørsmålene sentralt:

 – Er kontrollen med de hemmelige tjenestene god nok? Det bør vurderes om EOS-utvalget trenger utvidede fullmakter, mer ressurser, nye metoder og større teknologisk kompetanse.

 – Bør det opprettes internasjonale kontrollorganer for hemmelige tjenester? På samme måte som etterretningsmyndighetene samarbeider og utveksler informasjon, bør også kontrollorganene gjøre det.

 – Når Datalagringsdirektivet trer i kraft, vil metadata kunne samles inn i stort omfang også i Norge. Er det tatt høyde for hvor potente disse dataene er?

 – Bør norske data lagres på norske servere, fremfor utenlandske? For å sikre innbyggerne mot overvåkning utenfra, utforsker nå flere land mulighetene for å utvikle mer nasjonale internettløsninger. Brasil vurderer å pålegge aktører som Facebook å lagre data om brasilianske brukere lokalt. Vi kan stille tydeligere krav til markedsaktørene for å sørge for at data om norske borgere er sikret gjennom norsk personvernlovgivning.

 – Det må gjøres grundige vurderinger av personvernvernkonsekvenser ved alle lovforslag, også med tanke på hva det vil bety for totaliteten av personverninngripende tiltak.