Organisering av roller og ansvar ved behandling av personopplysninger som involverer både stat og kommune

Abstract

Bakteppet for oppgaven er IKT-politikken i Norge og Europa, der det er et uttrykt mål at flere oppgaver skal løses digitalt, som sammenhengende tjenester. Det er også et mål at statlige virksomheter skal ta ansvar for at det utvikles digitale løsninger som dekker både statlig og kommunal sektors behov. En av utfordringene knyttet til politikkmålet om sammenhengende digitale tjenester er å fastsette roller og ansvar i samsvar med Personvernforordningen for virksomhetene som behandler personopplysninger i den sammenhengende tjenesten. Særlig gjelder dette for sammenhengende digitale tjenester som involverer både statlige og kommunale virksomheter. De utfordringene som IKT-politikken fører med seg på dette området, kan sammenfattes i en overordnet problemstilling: Hvordan kan roller og ansvar i behandling av personopplysninger som involverer både stat og kommune organiseres? I denne oppgaven har jeg etablert et teoretisk fundament og en metodikk for å kunne gjennomføre en systematisk og strukturert analyse av hvordan roller og ansvar i behandling av personopplysninger som involverer både stat og kommune kan organiseres. I det teoretiske fundamentet har jeg også undersøkt om en statlig systemeier også vil ha en rolle som behandlingsansvarlig gjennom sitt systemeierskap. Det teoretiske fundamentet har jeg brukt til å analysere selve forskningsspørsmålet: "Hvordan kan rollefordeling mellom Statens vegvesen og kommunal sektor for behandling av personopplysninger i Vegdirektoratets register over parkeringstillatelser for forflytningshemmede organiseres?" Jeg har skaffet meg domenekompetanse gjennom å kartlegge det rettslige grunnlaget for opprettelse og bruk av HC-registeret, og jeg har intervjuet informanter i Statens vegvesen og Bymiljøetaten i Oslo kommune. Jeg har vist at metodikken gir en strukturert og systematisk måte for å fastsette organisering av roller og ansvar ved behandling av personopplysninger som involverer stat og kommune. En forutsetning for at metodikken skal være anvendelig, er at det er gjennomført en kartlegging av alle virksomheter og IKT-system som er involvert i behandlingen og en kartlegging av det rettslige grunnlaget for behandlingen hos den enkelte virksomhet.