Utredning: Bruk innkjøpsmakt, gi føringer om vekting av personvern i anskaffelser

Offentlig sektor bør bruke sin innkjøpsmakt for å stimulere til fremveksten av personvernvennlige produkter og tjenester, anbefaler Personvernkommisjonen som nylig la frem resultatet av sin utredning. Det tas til orde for føringer om hvordan personvern bør vektes i anskaffelser. Kommisjonen er bekymret over at lærere bruker egenvalgte «gratisverktøy» i undervisningen og at gratisapper benyttes i noe grad for å bøte på manglende ressurser til å betale for læringsverktøy. Disse verktøyene går ikke gjennom kommunens anskaffelsesbudsjett og personvernrisiko vurderes ofte ikke før verktøyet tas i bruk.

Rapporten «Ditt personvern – vårt felles ansvar Tid for en personvernpolitikk» fra Personvernkommisjonen ble nylig overlevert til oppdragsgiver, Kommunal- og distriktsdepartementet. Det foreslås ca. 140 forskjellige tiltak for å ivareta personvern i Norge i fremtiden.

Myndighetene har en rolle å spille i å stimulere til utvikling og bruk av norsk personvernvennlig teknologi, både gjennom innkjøpsordninger og anskaffelser. Men det vil medføre kostnader, slår kommisjonen fast, bl.a. knyttet til å stille anskaffelseskrav i offentlig sektor, f.eks. når det gjelder prioritering av IKT-sikkerhet og innebygd personvern ved bestilling og utvikling av løsninger. Imidlertid vil dette kunne være kostnadsbesparende på sikt ved å redusere risikoen for kostbare personvernbrudd.

Standardkrav til leverandører

Kommisjonen peker også på muligheten for at offentlig sektor stiller krav om at programvare de gjør bruk av, skal tilfredsstille visse standard krav om innebygd personvern. Ved å publisere slike standard krav og la kravene bli et konkurranseelement ved offentlige anskaffelser, vil man trolig kunne påvirke kommersiell sektor – både innlands og utenlands, heter det.

Bruken av private leverandører for personverninngripende teknologi i justissektoren kan skape grunnleggende utfordringer i tilfeller der det mangler åpenhet rundt anskaffelser og konsekvensutredninger. Det er derfor etter Personvernkommisjonens syn særlig viktig med åpenhet for å sikre forsvarlig bruk av IT-leverandører i justissektoren.

«Gratisverktøy» i skolen

Personvernkommisjonen har inntrykk av at det ikke er uvanlig at det er lærerne som velger ut hvilke «gratisverktøy» de ønsker å benytte seg av i undervisningen og at gratisapper benyttes i noe grad for å bøte på manglende ressurser til å betale for læringsverktøy. Disse verktøyene går ikke gjennom kommunens anskaffelsesbudsjett og det foretas ofte ikke vurderinger av personvernrisiko før verktøyet tas i bruk. En personvernvennlig anskaffelsespolitikk vil medføre økonomiske konsekvenser ved at skole- og barnehagesektoren i mindre grad vil kunne ta i bruk digitale «gratisløsninger» eller rimeligere alternativer hvor personopplysninger samles inn.

En personvernnorm for skole- og barnehagesektoren kan, fremholder kommisjonen bl.a., bidra til å forenkle kommunenes anskaffelsesprosesser ved å oppstille krav som leverandørene må etterleve og vil være kjent med.

Google, Microsoft, Apple …

Kommunenes forhandlingsmakt med de internasjonale selskapene Google, Microsoft og Apple er begrenset. I forhandlinger med leverandører, spesielt med de store teknologiselskapene, er det en fordel å selv være en stor aktør for å få gjennomslag for særskilte krav. For å styrke og profesjonalisere innkjøpsmakten sin, har enkelte kommuner gått sammen og sentralisert anskaffelse av digitale enheter og læringsressurser ved å opprette interkommunale selskap, fremgår det av utredningen til Personvernkommisjonen.

De som i det offentlige har ansvaret for behandling av personopplysninger, behøver veiledning både i forbindelse med anskaffelse av datasystemer og ved drift og bruk av disse. Spesielt viktig er anskaffelsessituasjonen, fordi uheldige valg av systemer vil kunne føre til anskaffelser og investeringer som det kan være vanskelig eller dyrt å korrigere senere, slår Personvernkommisjonen fast.