Ved første øjekast ligner det en stor saltvandsindsprøjtning: Regeringen lægger med sit finanslovsforslag op til at styrke Datatilsynet med 12,5 millioner kroner i 2018. Det er en budgetforøgelse på 52 procent, og antallet af årsværk vil stige fra 33 til 50 medarbejdere. Justitsminister Søren Pape Poulsen (K) skriver i en mail til Politiken, at det er »et stort økonomisk løft« til Datatilsynet, og udtryk for, at »beskyttelsen af borgere eller virksomheders personlige oplysninger er en høj prioritet for regeringen«.
Vi holder skindet på næsen. Men man skal ikke oversælge budskabet
Cristina Gulisano, direktør i Datatilsynet
Men den udlægning er erhvervslivet og Rådet for Digital Sikkerhed helt uenige med ministeren i. Heller ikke Datatilsynet selv, der hører under Justitsministeriet, er imponeret over tilførslen af midler.
»Det er vigtigt at være opmærksom på, at der – med den styrkelse, der her lægges op til – udelukkende er tale om, at Datatilsynet bliver tilført de midler, der er nødvendige, for at Danmark lever op til de nye EU-krav. Vi holder altså skindet på næsen, så vi lever op til EU-retten. Men man skal ikke oversælge budskabet«, siger Cristina Gulisano, direktør i Datatilsynet.
Underfinansieret i årevis
Trods den eksplosivt voksende digitalisering og tilhørende trussel fra cyberspace har Datatilsynet år for år modtaget stort set den samme bevilling. I 2017 lyder budgettet på 22,8 millioner kroner – det samme som for fire år siden. Erhvervslivet, organisationer og dataretlige eksperter har i årevis rejst kritik af, at Datatilsynet er voldsomt underfinansieret i forhold til samfundsudviklingen.
25. maj 2018 træder en ny databeskyttelsesforordning i kraft, og af den følger en lang række alvorligt skærpede krav til myndigheder og virksomheder. Blandt andet risikerer firmaer bøder på op mod 150 millioner kroner – en bøderamme, der er 6.000 gange højere end i de danske regler i dag. Der stilles også krav til en række firmaer og alle myndigheder om at udpege en databeskyttelsesrådgiver, der skal føre kontrol med, at alle de nye krav efterleves. Endelig skal virksomheder og myndigheder inden for 72 timer anmelde et brud på datasikkerheden – eksempelvis hvis en myndighed er kommet til at lække borgernes personnumre eller lønsedler til uvedkommende.
Cristina Gulisano forklarer, at med de 12,5 millioner vil Datatilsynet blive i stand til at behandle alle de nye anmeldelser og dermed leve op til EU-reglerne.
»Tilsynet får derimod ikke ressourcer til rent faktisk at bruge den konkrete viden, som tilsynet tilegner sig ved indberetninger af alle persondatasikkerhedsbrud i Danmark. Det bliver ikke muligt at få et overblik over tendenserne i indberetningerne og i videre omfang dele erfaringerne med myndigheder og virksomheder. Det ville ellers generelt fremme beskyttelsen af danskernes personoplysninger i overensstemmelse med regeringsgrundlaget«, siger Cristina Gulisano.
Rådet for Digital Sikkerhed, Forbrugerrådet Tænk, IT-Branchen og ti andre organisationer med fokus på it-sikkerhed og privatlivsbeskyttelse har lige lagt et åbent brev frem til justitsministeren. De peger på, at det er akut nødvendigt med minimum en fordobling af medarbejderantallet i Datatilsynet. En tilførsel på 12,5 millioner er derfor »slet ikke nok«, siger formanden for Rådet for Digital Sikkerhed:
»Med et svagt datatilsyn vil håndhævelsen og rådgivningen blive svag, og så træffer dataansvarlige myndigheder og virksomheder beslutninger i øst og vest. Det fører til en større risiko for borgernes data«, siger Henning Mortensen.
EU kræver styrket datatilsyn
Han peger desuden på, at det danske datatilsyn står til at få langt færre midler end sammenlignelige lande i forbindelse med de skærpede EU-krav.
EU-reglerne stiller krav om, at landene styrker deres datatilsyn. Og EU-Kommissionen har fremhævet, at det bør ske allerede nu i den kritiske transitionsfase, frem mod at de nye regler træder i kraft.
Men i Justitsministeriets og Finansministeriets optik får Datatilsynet ikke nye midler før 25. maj 2018 med de nye regler.
