Kommunenes besvarelse. I Datatilsynets gjennomgang av brevkontrollen har vi undersøkt hvorvidt kommunene har en overordnet oversikt, om de ulike rollene er beskrevet, om de har delegeringsrutiner og om det delegerte ansvaret er tydelig beskrevet. Videre har vi sett på om oppgavene som er delegert har en klar forankring i ledelsen hos den behandlingsansvarlige, blant annet gjennom rapportering, og hvorvidt det delegerte ansvaret er underlagt en god systematikk. Et flertall av kommunene har sendt oversiktlige beskrivelser av hvordan ansvar og oppgaver for etterlevelse av personvern er ivaretatt, og det er også vedlagt konkrete rutiner for fordeling av ansvar. De fleste som har sendt en oversikt over ansvarsforhold har også besvart tilstrekkelig eller delvis tilstrekkelig på spørsmålet om styringssystem.
Kommunenes besvarelse. I gjennomgangen av besvarelsene har Datatilsynet vurdert om kommunene har demonstrert at de har et bevisst forhold til sitt styringssystem som verktøy for etterlevelse, og om det fremstår som om slikt system er etablert og i bruk i praksis. Vi har vurdert hvorvidt kommunene har vist til konkret dokumentasjon, men tatt forbehold om at vårt spørsmål ikke la opp til at dette skulle sendes. Flere kommuner har vist til hva styringssystemet kan inneholde, men ikke hvordan de har fylt systematikken med innhold. Det har ikke vært mulig å gjøre noen kvalitative vurderinger av om systematikken er velegnede. De aller fleste kommunene har etablerte styringssystemer, av de som har besvart brevkontrollen er det under 10 som kan sies å ikke ha et styringssystem. De aller fleste benytter verktøy for styringssystem som er levert av eksterne leverandører. Flere viser til at de har fulgt veiledningen KS har utarbeidet for internkontroll; Orden i eget hus. Datatilsynet har også observert at det er mange av kommunene som beskriver at de er i pågående prosesser hvor de utbedrer eller endrer sitt styringssystem.
Kommunenes besvarelse. I gjennomgangen av besvarelsene har vi vurdert om kommunene har sendt oss en overordnet retningslinje for gjennomføring av risiko og sårbarhetsanalyser (ROS). Vi har vurdert om retningslinjen inneholder informasjon om hvem som har ansvaret for risiko og sårbarhetsanalyser, når slike analyser skal gjennomføres, samt hvor ofte disse revideres. Vi har videre undersøkt om retningslinjen inneholdt beskrivelser av kontrollaktiviteter som rapportering og oppfølging. Fylkeskommunene har utmerket seg med god dokumentasjon og gode beskrivelser av sine retningslinjer. Litt over en tredjedel av kommunene har sendt oss dokumentasjon som viser at de har gode retningslinjer for gjennomføring av risiko- og sårbarhetsanalyser. I kommunenes besvarelser ser vi likevel at mange av de innsendte retningslinjene er svært fragmentert og beskrevet i ulike dokumenter. Dette gjør at retningslinjene fremstår som lite tilgjengelige, uoversiktlige og vanskelige å navigere i. Dette til tross for at mange kommuner benytter kvalitetssystemer fra levert av eksterne for å holde oversikten over risiko- og sårbarhetsanalyser. En tredjedel av kommunene har sendt oss mangelfulle retningslinjer (og rutiner) for risiko- og sårbarhetsanalyser. Vi har mottatt mange overordnede beskrivelser av hvordan arbeidet med ROS- analysene er tenkt gjennomført, men uten at de har noen referanser til egen dokumentasjon. Beskrivelsene fremstår som lite forpliktende og er ikke egnet som retningslinjer eller rutiner for å sette organisasjonen i stand til å ivareta sine forpliktelser. Noen kommuner har sendt oss styrende retningslinjer i tråd med vårt krav i brevkontrollen, andre har sendt gjennomførende rutiner som skjemaer, sjekklister og annet malverk for hvordan risiko- og sårbarhetsanalysene skjematisk skal settes opp. Den siste tredjedelen av kommunene har helt manglende eller svært utilstrekkelige retningslinjer.
Kommunenes besvarelse. I vår gjennomgang av besvarelsene har vi vurdert om kommunene har en overordnet sikkerhetsstrategi, og om denne inneholdt en beskrivelse av roller og ansvar, rutiner for kvalitetssikring og revisjon, samt ledelsens gjennomgang. Vi presiserer at regelverket ikke pålegger konkrete plikter til å ha en slik strategi, noe vi tar høyde for når vi vurderer kommunenes samlede modenhet på dette punktet. Resultatet av gjennomgangen viser at hele 60 av 94 kommuner har svært mangelfulle eller helt mangler en overordnet sikkerhetsstrategi. Dokumentasjonen som er sendt oss inneholder i mange tilfeller generelle beskrivelser, uten at de ser ut til å være innarbeidede og spesifikke for kommunen. Beskrivelsene er i mange tilfeller lite forpliktende, korte og overordnede og inneholder lite relevant informasjon om hva som skal gjøres. I mange tilfeller refereres det til dokumenter som ikke er vedlagt eller som i liten grad gir ytterligere detaljer. Disse dokumentene bærer i mange tilfeller preg av å være gamle og utdaterte. Det er gjennomgående at strategiene mangler beskrivelser av ansvarsfordeling og rutiner for gjennomføring av revisjoner og ledelsens gjennomgang. I de tilfellene denne informasjonen fremgår er det en tendens at beskrivelsene er overfladiske og kortfattede. Vi ser eksempler på at kommunen beskriver behovet for, men ikke de faktiske retningslinjene for revisjon og ledelsens gjennomgang. Slike beskrivelser fremstår som lite håndfaste og konkrete.
Kommunenes besvarelse. Et flertall av kommunene skrev at de deltok i et formelt IKT-samarbeid, men har valgt ulike løsninger for dette. Vi kan lese av kommunenes besvarelser at flere samarbeidsformer er representert i denne gruppen: • Samarbeid som er formalisert gjennom en samarbeidsavtale med en vertskommune etter kommunelovens kapittel 20. Disse formaliserte interkommunale samarbeidene har fokus på å etablere felles IKT strategier og løsninger som ofte omfatter etablering og modernisering av driftsmiljøer, informasjonsforvaltning, infrastruktur og i noen tilfeller driftssentre. • Samarbeid ved å ha eierinteresser i interkommunale selskap (IKS) eller felleseide aksjeselskaper gjennom en formell skriftlig avtale. Disse selskapene har ofte som oppgave å bidra til å sentralisere, effektivisere og profesjonalisere IKT-driften for kommunene. Omfanget av selskapets oppgaver varierer fra samarbeid til samarbeid. Alle fylkeskommunene som tok del i brevkontrollen svarte at de hadde valgt denne samarbeidsformen. • Samarbeid ved deltakelse i kommunalt oppgavefellesskap etter kommunelovens kapittel 19. Når slike fellesskap opprettes skal det inngås en skriftlig samarbeidsavtale mellom alle deltakerne i oppgavefellesskapet. Denne samarbeidsformen er tilpasset samarbeid om felles kommunale oppgaver, som for eksempel IKT-tjenester. Et mindretall av kommunene oppga å ikke delta i et formalisert samarbeid. Ofte har disse allikevel inngått enkelte avtaler direkte med andre nærliggende kommuner i forhold til anskaffelser, felles personvernombud og felles kompetansehevende tiltak. Noen av kommunene i denne gruppen oppgir at fremtidige IKT-samarbeid med andre nærliggende kommuner er under utredning. Mange kommuner og fylkeskommuner engasjerer seg frivillig i regionale digitaliseringsnettverk. Disse beskrives ofte som et partnerskap mellom kommunene og fylkeskommunen, der målet er gode digitale løsninger for kommunale tjenesteytere og kommunenes innbyggere. Digitaliseringsnettverkene kan bidra til å sette en felles strategisk retning på digitaliseringsarbeidet og tilrettelegge for samarbeid mellom medlemmene.
Kommunenes besvarelse. I Datatilsynets gjennomgang av brevkontrollen har vi undersøkt hvorvidt kommunene har styrende retningslinjer, fast revisjon, jevnlig revisjoner, oppfølging av revisjonsresultater, klart ansvar for gjennomføring, at det er ledelsesforankret, og om det finnes eksempler på om det er gjennomført tidligere. Det kommer tydelig frem at en større andel av kommunene, så mange som halvparten, har mangelfull eller svært mangelfull dokumentasjon tilknyttet sikkerhetsrevisjon. Det er flere årsaker til dette. Oppsummert mener vi at det er gjennomgående at de kontrollerte kommunene mangler konkret dokumentasjon, både styrende og gjennomførende. Vi observerer at det i mange tilfeller er manglende tidfesting for revisjon, manglende rutiner, eller at det kun vises til eksterne databehandlere. Flere kommuner har videre nevnt at dokumentasjonen per dags dato er under arbeid. Det er i underkant av én fjerdedel som har tilstrekkelig dokumentasjon tilknyttet sikkerhetsrevisjon. Det som kjennetegner disse er at de har helhetlig dokumentasjon med tydelige føringer på gjennomføring og revidering. Sikkerhetsrevisjonen i disse kommunene virker å være godt forankret i ledelsen, og det er konkretisert hvordan revisjonen skal gjøres og hvor ofte. Vi kan se eksempler på at flere av disse kommunene er del av kommunale samarbeid innenfor informasjonssikkerhet og personvern, eksempelvis interkommunale selskaper. Kun 1 av 5 fylkeskommuner har levert dokumentasjon som anses å være tilstrekkelig på dette punktet. Vi observerer at fylkeskommunene jevnt over mangler dokumentasjon for sikkerhetsrevisjoner. Sikkerhetsrevisjons nevnes i overordnede dokumenter, men konkret dokumentasjon og gjennomførende rutiner mangler.
Kommunenes besvarelse. De fleste kommunene har utarbeidet og tilgjengeliggjort informasjon til sine innbyggere gjennom personvernerklæringer. Det er kun 1 kommune som opplyser at de mangler en slik erklæring. Enkelte kommuner har generelle personvernerklæringer og i tillegg konkrete tilpasset definerte tjenesteområder som f. eks. skole. Enkelte personvernerklæringer ligger lett tilgjengelig på forsiden til hjemmesiden til kommunen, mens andre kan finnes ved å gjennomføre søk. Noen erklæringer er mangelfulle i forhold til forventningene til informasjonen en kommune må gi til sine innbyggere. Disse bærer preg av å være for overordnede og gir lite utfyllende informasjon. I vår gjennomgang opplevde vi også at enkelte lenker til personvernerklæringen ikke fungerte hensiktsmessig.
Kommunenes besvarelse. Av de som har besvart er det kun 1 kommune som ikke har etablert ordningen personvernombud. 1 kommune opplyser at stillingen som personvernombud for tiden er vakant. Det er store forskjeller mellom kommunenes organisering av personvernombudsordningen. Mange kommuner bruker egne ressurser som personvernombud. Stillingsprosenten som ombud varierer for disse fra 100 % til 3 %. Kommunens størrelse ser ut til å ha betydning for hvor stor stillingsprosent ombudene har. Flere kommuner deler personvernombud med andre kommuner, og besvarelsene gir inntrykk av at dette er ordninger som er regulert gjennom avtale. Hver av kommunene som deler ombud oppgir at ombudets arbeid utgjør mellom 10-20 % stilling. Det er også en betydelig andel av de mindre kommunene som kjøper denne tjenesten eksternt. Disse oppgir at tjenesten utgjør mellom 10-20 % stilling. Fylkeskommunene har alle egne personvernombud i 100 % stilling. De fleste kommunene har informasjon om personvernombudets rolle og oppgaver på sine hjemmesider, både i personvernerklæringen og som konkret informasjon. De fleste oppgir også kontaktinformasjonen til personvernombudet.