4.1 Vekst i antall ansatte, men fortsatt en liten virksomhet

Datatilsynet har hatt en vekst i antall ansatte siden 2001, og spesielt etter innføringen av GDPR. Fra 2019 til 2023 økte antallet med 14 ansatte. Per desember 2023 er det 59 ansatte i Datatilsynet, og i tillegg studenter i deltidsstillinger. Til sammen utgjorde det 68 medarbeidere.

Tabell 5 Utviklingen i antall ansatte i Datatilsynet (kilde: årsrapporter fra Datatilsynet)

* Fra 2021 er årsverk til den regulatoriske sandkassen inkludert (6 årsverk i 2021)

Datatilsynet er likevel fortsatt en liten virksomhet. Sammenligner vi antall ansatte, ser vi at Norge har et lavere antall ansatte enn Sverige og Danmark. Medianen i EU/EØS landene samlet var 56 medarbeidere i 2022⁴.

Veksten i antall ansatte vises også i veksten i Datatilsynets budsjett/utgifter (jf. figur 5). Datatilsynet har hatt en økning i utgiftene i tråd med økt oppgavemengde og flere ansatte.

4.2 Høy, men sårbar kompetanse

Det er bred enighet blant informantene i Datatilsynet om at kompetansen i virksomheten er høy. Datatilsynet tiltrekker seg flinke jurister som er opptatt av personvern, og det er ikke vanskelig å få gode søkere. Samtidig er juristene ettertraktet av blant annet advokatfirmaene, slik at det er behov for nyrekruttering jevnlig.

Det er også enighet om at teknologikompetansen i Datatilsynet er god, men at denne er mer sårbar enn juristkompetansen. Dels er det langt vanskeligere å rekruttere teknologikompetanse, og det er større behov for å oppdatere seg faglig mer kontinuerlig fordi den teknologiske utviklingen skjer så raskt.

Kompetansesammensetningen i de europeiske datatilsynene varierer mellom landene.⁵ Andel jurister var i 2021 55 prosent i Norge, mens Sverige og Danmark ligger på hhv. 66 og 68 prosent. Vi har ikke oppdaterte tall fra Sverige, men i Norge er andelen jurister 54 prosent per 2024 og i Danmark 65 prosent per desember 2023.

Sammenlignet med de andre europeiske datatilsynene, har Norge relativt mange medarbeidere med teknologikompetanse. I en undersøkelse i regi av EDPB i 2021, oppga Datatilsynet å ha 14 teknologer/IT-utdannede, noe som var betydelig flere enn Danmark og Sverige og medianen i EU/EØS.

På spørsmål til Datatilsynet om hva som lå bak tallet på 14 teknologer sier de at dette kan være noe misvisende fordi det trolig omfattet både de som jobber med intern IKT og medarbeiderne i Avdeling for teknologi, analyse og sikkerhet (TAS).  I dag har TAS 8 medarbeidere som jobber med teknologispørsmål, hvorav 6 er teknologiutdannet. Vi har ikke opplysninger om antallet teknologiutdannede i Sverige, men det danske Datatilsynet oppgir å ha 7 it-sikkerhetskonsulenter per desember 2023.

De aller fleste er opptatt av at det er nødvendig at Datatilsynet både har gode jurister og gode teknologer, og at de må jobbe godt sammen og utfylle hverandre. Det er også enighet om at samfunnsviterne i TAS representerer kompetanse som er viktig i Datatilsynet.

Datatilsynets målgruppe er svært heterogen. De skal forholde seg til enkeltpersoner, små private virksomheter, offentlige aktører og store, kommersielle selskaper. Det krever ikke bare teknologisk eller juridisk kompetanse, men også en viss sektorkompetanse. Inntrykket er at sektorkompetansen er best når det gjelder offentlig sektor, både stat og kommune. Privat sektor er langt mer heterogen, så her er det mer krevende for Datatilsynet å til enhver tid ha oppdatert sektor- eller markedskompetanse.

Eksterne informanter har overveiende et godt inntrykk av den juridiske kompetanse i Datatilsynet, men som vi viste til i kapittel 3.6 er det noen som etterlyser mer dialog i tilsynsrollen. De viser til eksempler på manglende kommunikasjon som ikke alltid er i tråd med det de mener er god forvaltningsskikk.

Når det gjelder sektorkompetansen er det blant våre eksterne informanter forståelse for at dette er krevende for Datatilsynet. Samtidig er de opptatt av at en viss sektorkompetanse er helt avgjørende for at Datatilsynet skal kunne gi dem den type hjelp de har behov for - mer konkret og mer løsningsorientert veiledning.

4.3 Alle roser arbeidsmiljøet

Det er en gjennomgående tilbakemelding fra informantene i Datatilsynet at arbeidsmiljøet er svært godt. Mange peker på at det er en sjenerøsitet og vilje til å dele, og at alle vil hverandre vel. Flere viser også til at lederne er svært støttende, og at det tas hensyn til medarbeidernes ulike livssituasjoner. Det er også mye frihet for den enkelte, jf. kapittel 4.5.

Arbeidsmiljøundersøkelsen fra 2023 bekrefter inntrykket fra intervjuene. De høyest vurderte temaene er «støttende ledelse» og «kollegastøtte», og disse områdene går også frem sammenlignet med undersøkelsen i 2019.

Arbeidsmiljøundersøkelsen viser at medarbeiderne mener at egen leder gir dem handlingsrom til å løse oppgaver, at vedkommende støtter dem når de trenger det og legger til rette for gode faglige diskusjoner. Likeledes gir medarbeiderne uttrykk for at man hjelper og støtter hverandre i egen enhet, at man anerkjenner hverandres arbeid og kompetanse og at det er takhøyde og rom for å komme med nye ideer.

Samfunnsoppdraget til Datatilsynet motiverer mange. Mange «brenner» for personvern og dette kommer frem både i intervjuene og medarbeiderundersøkelsen. De er stolte av arbeidsplassen og synes at jobben er interessant og motiverende i seg selv.

Medarbeiderundersøkelsen viser imidlertid også at mange opplever en stor arbeidsbelastning. 56 prosent gir uttrykk for at de vanligvis ikke har tid til å utføre arbeidsoppgavene med god kvalitet og 44 prosent mener de vanligvis ikke har en passende balanse mellom arbeidsliv og familie/fritid. Dette er områder med en negativ utvikling siden forrige arbeidsmiljøundersøkelse, og et uttrykk for den økte arbeidsmengden i Datatilsynet.

4.4 Digitale støttesystemer utnyttes ikke godt nok

Som nevnt tidligere (kapittel 3.2), så mottar Datatilsynet et stort – og økende – antall tips og klager om brudd på personvernregelverket, og saksbehandlingstiden er svært lang. Det gjelder først og fremst klagesakene, men også i noen grad avviksmeldingene.

I intervjuene med ledere og medarbeidere i Datatilsynet fremkommer det at den store saksmengden oppleves frustrerende for mange. Mange opplever høy arbeidsbelastning. Et hovedinntrykk fra intervjuene er at Datatilsynet mangler et godt styringssystem som kan bidra til bedre fordeling og oppfølging av saker. Inntrykket er at Datatilsynet er en tradisjonell saksbehandlingsorganisasjon med begrenset bruk av IT-verktøy som kan effektivisere arbeidet.

Dette bekreftes også i resultatene fra medarbeiderundersøkelsen fra 2023⁶. På spørsmålet om «min virksomhet utnytter potensialet som ligger i digitale løsninger og verktøy», er det 73 prosent som er uenige i dette. Og selv om det er et flertall (61 prosent) som mener egen enhet løser sine oppgaver med effektiv ressursbruk, så er det kun 12 prosent som er helt enige i dette. Her er det også en negativ tendens sammenlignet med 2019.

Flere medarbeidere gir uttrykk for frustrasjon over et saksbehandlingssystem de mener ikke fungerer – eller brukes – godt nok, samt manglende maler og standardiserte tekster. Medarbeidere opplever at saksbehandlingssystemet ikke gir god nok oversikt over egne saker. I intervjuene er det også flere som trekker frem at maler og felles rutiner kunne gjort at oppgaver ble løst likere og også mer effektivt. Av den grunn er det nedsatt en effektiviseringsgruppe som ser på hvordan rutiner kan forbedres, og det jobbes også med å få på plass flere og bedre maler.

Datatilsynet har lenge planlagt nytt styringssystem, men dette har tatt tid. Flere peker på at det skyldes at Datatilsynet må «leve som de lærer», og velge et IT-system som tilfredsstiller alle krav til personvern og informasjonssikkerhet. Det vises også til at virksomheten har hatt en liten administrasjonsavdeling og dermed hatt begrenset kapasitet til å planlegge og utvikle et nytt styringssystem. Fra 2021 har Datatilsynet opprettet egen enhet med ansvar for den interne IKT-virksomheten, og nytt styringssystem skal etter planen være i drift i løpet av 2024.

4.5 Lite oppmerksomhet om ledelse og virksomhetsstyring

Flere etterlyser bedre rutiner for prioritering av saker

På et overordnet nivå er ledelsen i Datatilsynet tydelige på at de er opptatt av å prioritere de de store, prinsipielle sakene som berører mange. Samtidig er inntrykket at det ikke er gode rutiner for prioritering, fordeling og oppfølging av oppgaver overfor medarbeiderne. Dels skyldes dette manglende støttesystemer som gjør det enklere å følge opp medarbeidere, men inntrykket fra intervjuene er også at det har vært lite oppmerksomhet om ledelse som fag og behovet for virksomhetsstyring i Datatilsynet. 

Den enkelte saksbehandler har ansvar for et stort antall saker, og inntrykket som gis er at prioriteringen mellom ulike saker i stor grad er opp til den enkelte. Det stilles få – om noen – krav fra ledere til hvor omfattende behandlingen av den enkelte sak skal være.

Medarbeiderne i Datatilsynet setter stor pris på den friheten de har i eget arbeid og at ledelsen gir dem handlingsrom. Mange gir uttrykk for at de verdsetter at de ikke blir kontrollert eller detaljstyrt. Samtidig er det de som synes det er befriende når ledere gir klare føringer for hva som skal prioriteres.

Det er også flere som på ulike måter gir uttrykk for at arbeidsbelastningen mellom enheter eller personer er skjev, og at noen har tid til å holde foredrag når det er et stort etterslep i saksbehandlingen. Det er også de som mener at enkelte saker behandles grundigere enn de strengt tatt er nødt til å behandles, både klagesaker og avviksmeldinger. Datatilsynet har imidlertid begrenset oversikt over tidsbruken på de ulike oppgavene. Med unntak av et nylig innført prøveprosjekt med tidsregistrering på behandling av blant annet innsynsbegjæringer, er det ingen tidsregistrering på oppgavetyper i Datatilsynet. Selv om lederne har en overordnet oversikt over tidsbruken i egen seksjon, har de ikke et digitalt verktøy til å vurdere tidsbruken på ulike oppgaver ut over Wintid som er stemplingssystemet tilsynet benytter.  

Ledelse har i begrenset grad vært tema

Et inntrykk fra intervjuene i Datatilsynet er at ledelse i liten grad har vært tema i organisasjonen, selv om medarbeiderne gir uttrykk for at ledelsen er støttende (jf. kap. 4.3). Noen gir uttrykk for at ledelsen i Datatilsynet er litt utydelig og at de vet lite om hva ledergruppen holder på med. Andre mener ledergruppa er synlig og gir tydelig retning. Ledermøtene og beslutninger formidles gjennom nyhetsbrev på intranett fra ledelsen som publiseres hver måned.

Resultatene fra medarbeiderundersøkelsen understøtter inntrykket fra våre intervjuer. Påstandene «Jeg har inntrykk av at toppledergruppen i min virksomhet jobber effektivt sammen» og «Jeg har inntrykk av at ledere blir fulgt opp dersom resultater uteblir», er blant de ti lavest vurderte spørsmålene i undersøkelsen.

Mange av lederne i Datatilsynet er rekruttert internt. Det innebærer at de kjenner virksomheten, medarbeiderne og kulturen godt. Samtidig er inntrykket fra intervjuene at det har vært lagt lite vekt på lederutvikling eller lederutdanning. Lederne har vokst inn i lederjobben. I intervjuene er det derfor flere som har gitt uttrykk for at det nå er større behov for ledelsesfaglig kompetanse og mer oppmerksomhet om hvordan ledelse skal utøves i Datatilsynet.

Ønske om mer administrativ støtte

Et gjennomgående synspunkt fra intervjuene er at Datatilsynet har for lite administrativ støtte. Administrasjonsavdelingen består i dag av 10 ansatte. Sammenlignet med andre europeiske datatilsyn har det norske Datatilsynet en liten administrativ stab (EDPB 2021)⁷. Det danske Datatilsynet hadde 20 ansatte i stabs- og støttefunksjoner (inkludert kommunikasjon) per desember 2023.

Administrasjonen har vært tilpasset en liten organisasjon, og har derfor ikke hatt kapasitet eller kompetanse til å ivareta behovet en større virksomhet har både for lederstøtte og organisasjonsutvikling. Det er bred enighet blant informantene i Datatilsynet om at det er viktig å styrke administrasjonsavdelingen, og flere peker særlig på behovet for å styrke HR-siden og intern IKT.

Flere forbedringstiltak på gang

Vi har tidligere i dette kapitlet, og i kapittel 3, nevnt ulike utviklingstiltak som er satt i gang den siste tiden. En effektiviseringsgruppe har arbeidet med å få på plass felles rutiner og maler for saksbehandlingen, og et nytt styringssystem skal etter planen være i drift i løpet av 2024. I forbindelse med utvikling av ny strategi, satte Datatilsynet i gang Prosjekt Kvist, som handlet om hvordan Datatilsynet kan «bevege seg lenger ut på kvisten» i sin rådgivning og veiledning. I dette arbeidet ble det, som beskrevet i kapittel 3, gjort et stort arbeid i å innhente innspill fra Datatilsynets brukere og samarbeidspartnere. Datatilsynet er nå i ferd med å se på hvordan de kan videreutvikle veiledningsvirksomheten i tråd med disse innspillene.  

I våre intervjuer var informantene fra Datatilsynet svært opptatt av disse ulike utviklingstiltakene og de effekter disse vil kunne gi for ledelse, virksomhetsstyring og måloppnåelse.

4.6 Organiseringen fungerer ikke optimalt

Selv om Datatilsynet har vokst betydelig de senere årene, så er det fortsatt en relativt liten virksomhet. I intervjuene er det flere som tar opp at organiseringen ikke fungerer godt nok. Det samme viser arbeidsmiljøundersøkelsen, der påstanden «den nåværende organiseringen oppfattes hensiktsmessig», er blant de ti lavest vurderte spørsmålene i undersøkelsen. Datatilsynet er derfor i gang med å vurdere endringer i strukturen.

Et hovedinntrykk fra intervjuene er at det er begrenset samarbeid mellom avdelingene og seksjonene i Datatilsynet. Dette vises også i medarbeiderundersøkelsen der påstanden «i vår virksomhet er det tilrettelagt for god samhandling på tvers», er blant de lavest vurderte spørsmålene. Det er imidlertid etablert enkelte tverrgående team, og mange er svært fornøyde med disse. Samarbeidet mellom avdelingene og seksjonene for øvrig er ofte personavhengig. I intervjuene er det derfor flere som tar til orde for å jobbe mer teambasert og ha en bedre kobling mellom jurister og teknologer.

Tidligere var jurister og teknologer organisert i samme enheter, men dette ble endret i 2019 for å sikre at teknologene var tilknyttet et bredere, teknologisk fagmiljø. Det er derfor høy bevissthet i Datatilsynet om at det er viktig at fremtidig organisering både sikrer godt samarbeid mellom ulike kompetanser, samtidig som betydningen av sterke fagmiljøer anerkjennes.

Et annet tema som flere har løftet og som er knyttet til organiseringen, er spørsmålet om hvem som er representert i direktørens ledergruppe. Helt konkret dreier dette seg om balansen mellom fagområdene er den rette. RIS er den største avdelingen og avdelingsdirektøren skal representere alt det juridiske arbeidet, både det som gjelder privat sektor, offentlig sektor og det internasjonale arbeidet. Dette utgjør en stor og tung del av Datatilsynets virksomhet. Det er derfor de som stiller spørsmål ved om organiseringen burde endres slik at disse fagområdene blir tydeligere representert i ledergruppen. Det vil bringe ledergruppen i nærmere kontakt med det operative.

Andre igjen er mer opptatt av at ledergruppen skal være på et strategisk nivå, og at det derfor ikke bør være for mange fagpersoner i ledergruppa. Snarere bør flere beslutninger delegeres til seksjonene enn at det blir flere medlemmer i ledergruppa.

Det store omfanget av saker som er lagt til RIS, innebærer også at svært mange saker må innom og godkjennes av avdelingsdirektøren. Dette gjelder alle de prinsipielle og store sakene, og dessuten alle høringsuttalelser med merknader og samtlige oversendelser til Personvernnemnda. I tillegg kommer veiledende uttalelser, som for eksempel sandkasserapportene, utredninger og tilsynsrapporter i prinsipielle saker m.m. Dette utgjør likevel et betydelig antall saker. Det fører til at enkelte oppfatter at beslutningslinjene i slike saker kan bli lange, og noen mener de er for lange.

Et spørsmål som ofte dukker opp i virksomheter som driver både tilsyn og veiledning, er spørsmålet om å skille rollene også organisatorisk. Dette er også noe som Personvernkommisjonen tok opp (NOU 2022:11). Datatilsynene i Norge, Sverige og Danmark har en ulik intern organisering, men ingen av dem er organisert primært med tanke på å oppnå et tydelig skille mellom tilsyns- og veiledningsaktivitet. I intervjuer fremhever alle tre tilsynene at de er opptatt av at det skal være tydelig når man fører kontroll og når man gir veiledning, men samtidig mener de at dette hensynet må ivaretas gjennom høy rollebevissthet og gode rutiner snarere enn organisering.  Som nevnt i kap. 3.7.2 oppleves det snarere som en fordel enn en ulempe at Datatilsynet både driver tilsyn og gir veiledning.

Fotnoter

⁴edpb_overviewresourcesmade_availablebymemberstatestosas2022_en.pdf (europa.eu) Norge hadde ikke rapportert inn tall for 2022 så her har vi brukt antall ansatte oppgitt i årsrapporten

⁵edpb_report_2021_overviewsaressourcesandenforcement_v3_en_0.pdf (europa.eu) s. 7

⁶Medarbeiderundersøkelsen 2023, Utarbeidet av Rambøll Management Consulting

⁷Tallene er hentet fra edpb_report_2021_overviewsaressourcesandenforcement_v3_en_0.pdf (europa.eu) side 7