– Selv om Datatilsynet «sitter i glasshus» og må være særlig oppmerksomme på personvern og informasjonssikkerhet når IT-systemer skal anskaffes, har virksomheten etter vår vurdering vært i overkant risikoavers, fremhever Direktoratet for forvaltning og økonomistyring (DFØ) i en evalueringsrapport.
DFØ har på oppdrag for Digitaliserings- og forvaltningsdepartementet evaluert Datatilsynet. Resultatet foreligger nå, i rapporten «DFØ-rapport 2024:8 Både vaktbikkje og førerhund? En evaluering av Datatilsynet».
Personvernet
Bakgrunnen er at siden sist DFØ gjorde en liknende evaluering, har personvernfeltet gjennomgått en betydelig utvikling. I 2018 ble personvernforordningen (GDPR) gjennomført i norsk rett. Regelverket har hatt stor betydning for hvilken rolle personvern har i samfunnet og hvordan private og offentlige virksomheter jobber med etterlevelse av regelverket, heter det i evalueringsrapporten.
I et avsnitt i rapporten omtales nytt styringssystem og gode maler. Det er, skriver DFØ, er en viktig forutsetning for at Datatilsynet skal kunne jobbe mer effektivt, og:
Tatt lang tid anskaffelse
– Det har tatt lang tid for Datatilsynet å anskaffe et styringssystem. Vi oppfatter at dette dels skyldes at Datatilsynet har en liten administrasjonsavdeling som ikke har vært rigget for å kunne gjennomføre en krevende anskaffelse, men også en viss risikoaversjon som har ført til at beslutninger om valg av digitale løsninger tar uforholdsmessig lang tid.
– Selv om Datatilsynet «sitter i glasshus» og må være særlig oppmerksomme på personvern og informasjonssikkerhet når IT-systemer skal anskaffes, fremholder DFØ i rapporten, så har virksomheten etter vår vurdering vært i overkant risikoavers. Å gjøre en risikovurdering kan også bety å akseptere en viss risiko, så lenge konsekvensene ikke er alvorlige. Denne typen avveininger må alle virksomheter gjøre, og for en privat virksomhet som opererer i et marked vil det neppe være mulig å oppnå nullrisiko ved anskaffelse av et IT-system. Det bør også være en tankevekker for Datatilsynet, både når det gjelder egne IT-løsninger og i tilsynsvirksomheten overfor andre virksomheter.
Bli den første til å kommentere på "DFØ-rapport: Datatilsynet viste i overkant risikoaversjon ved anskaffelse"