Kontrollkommisjonene er selvstendig juridiske enheter, og har selvstendig dataansvar for egen behandling av personopplysninger. Helsedirektoratet vurderer at det er behov for oppnevning av personvernombud for kontrollkommisjonene i psykisk helsevern fram til mulig avvikling av dagens ordning. Det vises til
personvernforordningen artikkel 37 jf
. forvaltningsloven § 1. Ut fra deres oppgaver og organisering anser Helsedirektoratet som det mest hensiktsmessig å oppnevne ett felles ombud for kontrollkommisjonene, jf. forordningen artikkel 37 nr. 3.
Felles personvernombud for kontrollkommisjonene skal utføre følgende oppgaver:
- informere og gi råd om hvordan personopplysninger skal håndteres av kommisjonene
- bidra til at det gjennomføres holdningsskapende tiltak og opplæring av kontrollkommisjonens medlemmer, herunder delta og bidra faglig på to årlige samlinger som Helsedirektoratet avholder for kommisjonene
- bidra til at veiledninger og rutiner for kommisjonenes saksbehandling og øvrig oppgaver er i samsvar med personvernlovgivningen
- sørge for at det gjennomføres kontroller for å se om behandling av personopplysninger skjer i tråd med lovgivning
- på anmodning gi råd om vurderingen av personvernkonsekvenser (DPIA) og gi innspill i gjennomføringen av øvrige risikovurderinger
- jevnlig rapportere status på området til kontrollkommisjonsledere
- samarbeide og eventuelt rådføre seg med Datatilsynet ved behov
- være kontaktpunkt for de registrerte ved spørsmål om behandling av deres personopplysninger, og om utøvelsen av de rettigheter de har etter personvernregelverket
- fungere som kontaktpunkt for Datatilsynet ved spørsmål, herunder være kontaktpunkt ved eventuell forhåndsdrøfting, jf. personvernforordningen artikkel 36
- bistå i håndtering av avvik og hendelser som gjelder brudd på personopplysningssikkerheten
- gi Helsedirektoratet halvårlige rapporter om arbeidet og vurdering av status for ivaretagelse av personvern i kommisjonenes arbeid
Høsten 2021 er det viktig å sørge for opplæring av kontrollkommisjonene i personvern, og å bidra til at veiledninger og rutiner for kommisjonenes saksbehandling og øvrig oppgaver er i samsvar med personvernlovgivningen.
Oppdraget utføres i tett dialog med avdeling helserett og rettsaker, som er ansvarlig i Helsedirektoratet for oppfølgning av kommisjonene. Konsulenten kan samarbeide med direktoratets personvernombud, og kan benytte seg av skriftlige ressurser internt for å utføre arbeidet (for eksempel fra direktoratets internkontroll, opplæringsmateriale o.l.).
Krav til kompetanseLeverandøren skal ha erfaring fra levering av tjeneste som personvernombud. Konsulenten som skal utføre oppdraget, skal være jurist, og må ha erfaring som personvernombud eller fra rådgivning i saker om personvern. Leverandør og konsulent har god kjennskap til helsesektorens organisering og regelverk.