GDPR-BØTER: Det har hele tiden vært sånn at advokatene har snakket og snakket om bøter, mens vi har prøvd å snakke bøtene ned. Men så ser vi jo nå at bøtene begynner å komme, og vi har også utstedt vårt første varsel om overtredelsesgebyr, sa Bjørn Erik Thon på Personverndagen. (Foto: Teknologirådet/skjermbilde fra overføring)

1275 GDPR-avvik i 2018

Det var en voldsom økning i avviksmeldinger etter den nye personopplysningsloven i fjor. Av de 1275 innmeldte avvikene tar Datatilsynet 344 av dem opp til formell behandling.

Publisert Sist oppdatert

Den 20 juli 2018 trådte den nye personopplysningsloven basert i EU-forordningen GDPR i kraft i Norge. Fra den datoen mottok Datatilsynet 821 avviksmeldinger ut året, og totalt fikk tilsynet 1275 avviksmeldinger i løpet av hele fjoråret. Det er en voldsom oppgang i forhold til tidligere.

Av disse sakene blir 73 prosent avsluttet med en irettesettelse i brevs form, mens de resterende 27 prosent av sakene blir åpnet for en formell behandling, opplyser Datatilsynet.

Kraftig økning

Den var på Personverndagen den 28. januar at direktøren i Datatilsynet, Bjørn Erik Thon, oppsummerte tilsynets virksomhet etter et halvt år med ny personopplysningslov. Den aller tydeligste tendensen i andre halvår i fjor var altså mengden av avviksmeldinger som kom inn til Datatilsynet.

– Det mest påfallende av alt etter disse månedene har vært avviksmeldinger. Tallene taler egentlig for seg selv, sa Thon mens han viste fram en graf over utviklingen de siste årene.

– Det er jo slik at det har vært mulig å sende avviksmeldinger hele veien. Hvis vi går tilbake til den spede begynnelsen i 2015, så var det 84 meldinger totalt. Så begynte GDPR å røre på seg i 2017, og da så vi en ganske kraftig økning i antall, utdypet han.

Grafen viser en kraftig økning i avviksmeldinger, fra 84 i 2015, via 206 i 2016 og 349 i 2017. Så eksploderte det med totalt 1275 avviksmeldinger i 2018.

344 saker til behandling

Det er klart at det vil være et stort spekter av alvorlighetsgrad og konsekvenser i et så stort antall saker. Alle avviksmeldinger må likevel behandles av Datatilsynet, som må rigge seg for å ta unna et snitt på 130-140 avviksmeldinger i måneden, fortalte Thon.

Saksbehandlingen av majoriteten av de innkomne avviksmeldingene vil avsluttes med et brev til de ansvarlige for avviket, som vel kan betraktes som en skriftlig smekk over fingrene og en klar beskjed om å forbedre seg. Dette vil være tilfellet for 73 prosent av sakene, fortalte Thon.

– 27 prosent av sakene tas opp til formell behandling, fortalte han videre.

Det betyr at hele spekteret av tilgjengelige reaksjoner for Datatilsynet kan komme i bruk i disse sakene: Det kan være pålegg om rettelser, varsel om overtredelsesgebyr, og det kan være dagbøter som kommer til bruk i disse sakene.

Datatilsynets første og hittil eneste vedtak i denne sammenhengen er varsel om overtredelsesgebyr på 1,6 millioner kroner til Bergen kommune. Denne saken er imidlertid ikke avsluttet ennå, og Bergen kommune har gjort kjent at de vil bestride vedtaket.