Rammer for ombudsrollen

Heltid eller deltid?

Virksomheter har forskjellige behov for hvor mye tid personvernombudene bruker i ombudsrollen. Omfang og type personopplysninger, samt kompleksiteten som for eksempel type behandlinger eller antall IT-systemer, kan være førende for hvor mye ressurser virksomheten bruker på ombudsrollen.

Vi spurte ombudene om hvor stor andel av full stilling de har benyttet i rollen.

Svarene viser at:

• 23 prosent jobber som ombud på fulltid. Det er en økning på 6 prosent siden 2020.
• Halvparten (49 prosent) har jobbet mindre enn 20 prosent eller har i realiteten ikke brukt tid i rollen som ombud det siste året.

Økningen i ombud som jobber fulltid, kan tolkes i lys av en profesjonalisering av rollen i noen virksomheter, og særlig i store virksomheter. Det er imidlertid interessant å se på det store bildet, og vi merker oss at halvparten av ombudene jobber mindre enn 20 prosent eller bruker i realiteten nesten ikke tid som ombud. I praksis betyr det at arbeidshverdagen til veldig mange ombud består av andre oppgaver og roller enn som personvernombud.

Vi har sett litt nærmere på hva som kjennetegner de ombudene som jobber fulltid. Personvern­ombud i store virksomheter, jobber i større grad heltid (41 prosent), sammenlignet med gjennomsnittet (23 prosent). Vi ser også at ombud med jusbakgrunn i større grad jobber fulltid, sammenlignet med ombud med andre utdanningsbakgrunner. Blant de som jobber fulltid som ombud har 69 prosent fått rollen gjennom ekstern eller intern utlysning. Hvilken sektor ombudet jobber i ser også ut til å ha en sammenheng med størrelsen på stillingen.

Svarene viser at:

• Sektorene med størst andel fulltidsansatte ombud, er forskning og høyere utdanning (32 prosent), telekom- eller IT-bedrifter (28 prosent), kommuner og fylkeskommuner og statlig administrasjon (27 prosent).
• Sektorene med størst andel ombud som i realiteten ikke bruker tid på stillingen, er frivillige organisasjoner og helse og omsorg.

De som jobber mindre enn 20 prosent, jobber hovedsakelig i små virksomheter (79 prosent). Frivillige organisasjoner ser ut til å ha den største andelen ombud som i realiteten ikke bruker tid på rollen, og har den minste andelen av fulltidsstillinger.

De fleste ombudene med lav stillingsprosent blir i liten grad rekruttert ved utlysning internt eller eksternt, og de fleste av dem (66 prosent) ble spurt av ledelsen om de kunne påta seg rollen. Blant de som ble utpekt til rollen uten egentlig å ha blitt spurt, er det en langt større andel (29 prosent) som i realiteten ikke bruker tid på rollen enn blant dem som har fått rollen på andre måter.

Får ombudene nødvendig med tid og ressurser?

For at ombudene skal kunne ivareta oppgavene sine på en god måte, må de ha tilstrekkelig med tid og ressurser. Opplever ombudene at ledelsen sørger for at de har det?

Svarene viser at:

• 41 prosent opplever at de får satt av tilstrekkelig med tid og ressurser.
• Hele 30 prosent svarer at de ikke opplever å få avsatt tilstrekkelig med tid og ressurser, og like mange svarer verken eller.
• Det er lite endring fra 2020.

At tre av ti ombud opplever at de ikke får satt av nok tid og ressurser, er bekymringsverdig. Konsekvensen av å ikke ha de nødvendige rammebetingelsene, er at ombudene ikke får gjennomført oppgavene sine,  eller at kvaliteten på det de gjør ikke blir god nok.

Blant dem som ikke opplever å få tilstrekkelig med tid og ressurser, skiller ombudene i helse og omsorgsektoren seg negativt ut fra de andre sektorene. Hele 43 prosent svarer dette. En noe lavere andel (39 prosent) av ombudene i kommuner og fylkeskommuner, sier også at de ikke har tilstrekkelig tid og ressurser. I den andre enden av skalaen har vi forsikring og finanssektoren der kun 17 prosent sier det samme.

Vi ser også at de som sier de har nok tid og ressurser i større grad jobber fulltid enn de som har dette som deltidsrolle. Det er en større andel av ombud i store virksomheter som svarer at de ikke har fått tilstrekkelig med tid og ressurser enn blant ombud i små virksomheter.

Med ombudenes egne ord

Ombudene i fokusgruppen bekreftet Datatilsynets inntrykk av at personvernombudene ofte ikke har eget budsjett. Dette er ikke et regelverkskrav eller nødvendigvis en forutsetning for lykkes som ombud. Samtidig erfarte ombudene i fokusgruppen at det kunne være utfordrende å få finansiert kompetansehevende tiltak fordi de konkurrerer med andre kollegaer om slike midler. Slike ressurser kan også gjelde tilgang til faglige ressurser innen for eksempel juss eller teknologi.

Fra de åpne svarene i spørsmålet om hvilke utfordringer ombudene opplever, forteller enkelte at det legges for mye vekt på at ombudet skal løse alle de personvernrelaterte oppgavene i virksomheten, uten å sørge for at andre ansatte er innforstått med ansvaret sitt. Dette gjør det krevende for personvernombudet å få tid til å legge innsatsen der de selv mener er riktig, ut fra en selvstendig risikobasert tilnærming, som for eksempel kontroll av etterlevelse.

Opplever ombudene å ha tilstrekkelig kompetanse?

For at ombudene skal kunne utøve rollen sin på en god måte må de ha dybdekunnskap om personvernlovgivning og praksis på området til virksomheten. Vi har spurt ombudene om de føler at de har den kompetansen som er nødvendig for å ivareta personvernombudsrollen.

Svarene viser at:

• 66 prosent svarer at de i stor eller svært stor grad har nødvendig kompetanse. Dette ser ut til å være uavhengig av sektor.
• 12 prosent svarer at de i liten eller svært liten grad har tilstrekkelig kompetanse, noe som er en økning på fem prosent siden 2020.

Det er litt overraskende at ombudene ikke opplever at egen kompetanse har økt, fem år etter sist vi spurte. Vi ser heller motsatt tendens, nemlig at en større andel av ombudene sier de i liten grad har den nødvendige kompetansen. En mulig forklaring er at det skjer mye på personvernfeltet, både teknisk og juridisk, og at det kan være krevende å oppdatere seg i takt med utviklingen.  

De som har lengre erfaring opplever i større grad også å ha nødvendig kompetanse. 81 prosent av de som har jobbet mer enn fem år, sier at de i stor eller svært stor grad har kompetanse, mot 49 prosent av de som har jobbet to år eller mindre.

Vi ser også at personvernombud i store virksomheter i større grad (76 prosent) oppgir at de har nødvendig kompetanse enn de som jobber i små virksomheter (49 prosent). Dette sammenfaller også med at ombudene i større virksomheter i større grad jobber fulltid.

Vi ser dessuten forskjeller basert på hvordan ombudene ble rekruttert. Blant dem som fikk stillingen gjennom ekstern utlysning, er det 91 prosent som sier de i stor eller svært stor grad opplever å ha tilstrekkelig kompetanse, sammenlignet med snittet på 66 prosent. Blant de som ble utpekt til ombud uten egentlig å ha blitt spurt, er det derimot 35 prosent som opplever at de har tilstrekkelig kompetanse. Dette er en nedgang fra 2020 da 46 prosent av de som var utpekt til rollen, følte de hadde tilstrekkelig kompetanse.

Med ombudenes egne ord

Fra de åpne svarene på spørsmålet om hvilke utfordringer ombudene opplever, er det flere som peker på utfordringen ved å holde seg oppdatert på to så kompliserte og ulike fagområder som jus og teknologi. Når den teknologiske utviklingen går så raskt, er det vanskelig å henge med, noe som for eksempel går ut over kvaliteten på risikovurderingene.

Andre løfter frem ledelsens manglende kompetanse som en utfordring, noe som resulterer i mangelfull prioritering og planlegging av kompetansehevende tiltak i organisasjonen. Med mangelfulle og lite konkrete krav til kompetansebygging, forteller et ombud at vedkommende stadig må gjøre et større innsalg overfor ledelsen, for å sikre at det brukes tilstrekkelige ressurser på området.

I enkelte små virksomheter der personvernombudet har en liten deltidsstilling og mange oppgaver i andre roller, ser det det rett og slett ut til å kunne være vanskelig å få nok erfaring i rollen til å bygge kompetanse.

Et ombud i en liten kommune påpeker at hen er den eneste som har juridisk kompetanse i kommunen, noe som gjør det vanskelig å gjøre konkrete vurderinger som grunnlag for beslutninger og risikoaksept. Resultatet er at de sjelden blir gjort, eller blir av dårlig kvalitet. At ombudet har tilstrekkelig kompetanse er vel og bra, men hen etterlyser drahjelp fra flere.

Kompetanseheving

I forrige spørsmål så vi at mange opplever at det kan være krevende å henge med i utviklingen. Det skjer mye på personvernfeltet, både innen jus, teknologi og samfunn. Vi spurte derfor ombudene om de har deltatt på kompetansehevende aktiviteter i løpet av det siste året.

Svarene viser at:

• Rundt halvparten har deltatt på eksterne utdanningstilbud, kurs, seminarer eller nettverksmøter det siste året.
• Åtte prosent flere deltar på nettverksmøter sammenlignet med 2020.
• En av fire har ikke deltatt på kompetansehevende aktiviteter i løpet av det siste året.

Det er positivt å se at mange ombud fremdeles er aktive med å ta etterutdanning, eller deltar i nettverk med andre personvernombud. Økningen i andelen ombud som deltar i nettverk kan være et resultat av at ulike nettverk har blitt tydeligere etablert siden 2020. Foreningen Personvernombudene er et eksempel på et formelt nettverk som har vokst de siste årene, og hvor det er mye aktivitet.

Det er hovedsakelig de som har en betydelig andel av stillingen som ombud, som deltar på kompetansehevende tiltak. 80 prosent av de som jobber fulltid har deltatt på kompetansehevende tiltak, mens 33 prosent av de som jobber mindre enn 20 prosent har gjort det samme.

Ett av fire ombud har ikke deltatt på noen av aktivitetene i løpet av det siste året. Blant disse er det 42 prosent som sier at de i stor eller svært stor grad opplever at de har tilstrekkelig kompetanse, sammenlignet med snittet på 66 prosent. Med andre ord ser vi en sterk sammenheng mellom å delta på slike aktiviteter, og hvorvidt ombudene oppfatter at de har kompetansen de trenger.

Det er en langt større andel ombud i små virksomheter som sier de ikke har deltatt på kompetansehevende tiltak i det hele tatt (38 prosent) enn i store virksomheter (14 prosent). Dette kan henge sammen med at det er flere ombud som jobber deltid i små virksomheter.

Ombud som jobber i kommuner og fylkeskommuner, i statlig administrasjon og forsikring og finans deltar i noe større grad på kompetansehevende tiltak enn snittet. Andelen i helse- og omsorgssektoren er noe lavere, der 38 prosent sier de ikke har deltatt på kompetansehevende aktiviteter, mot et gjennomsnitt på 24 prosent.

Rollebeskrivelse

Vi spurte ombudene om de har en rollebeskrivelse, instruks eller avtale som avklarer oppgavene og ansvaret deres. En slik beskrivelse kan være hensiktsmessig for å gi både personvernombudet og resten av virksomheten forutsigbarhet og klarhet om hvem som har ansvar for hva, når det kommer til behandling av personopplysninger og etterlevelse av personvernregelverket.

Svarene viser at:

• 62 prosent av personvernombudene har en beskrivelse av hvilke oppgaver og ansvar de har.
• Det er en liten økning (6 prosent) siden 2020 i ombud som oppgir at de har en rollebeskrivelse.
• I mellomstore virksomheter mangler over halvparten av ombudene en rollebeskrivelse/instruks eller avtale.

Ombud i store virksomheter har i større grad (70 prosent) en rollebeskrivelse sammenlignet med ombud i mellomstore virksomheter (49 prosent). I små virksomheter er det 62 prosent som svarer positivt på dette spørsmålet. De store og de små virksomhetene har altså i større grad rolleskrivelser enn virksomheter i mellomsjiktet.  

Det er også sektorvise forskjeller. 84 prosent av ombudene i forsikrings- og finansvirksomhetene, sier de har en slik beskrivelse. Til sammenligning er det 51 prosent innen helse og omsorg, og kommuner og fylkeskommuner, som svarer positivt på dette spørsmålet.

Jo lenger et ombud har vært i rollen, desto større sannsynlighet er det for at de har en slik beskrivelse. Tilsvarende ser vi at stillingsprosent til ombudene spiller inn. 80 prosent av de som jobber mer enn 40 prosent som personvernombud, sier de har en slik beskrivelse, mens kun halvparten av de som jobber mindre enn 20 prosent sier det samme. Det at personvernombud som bruker store deler av arbeidstiden sin på andre oppgaver i mindre grad har definert rollebeskrivelse, kan gjøre det krevende å unngå ressursskvis og rollekonflikt.

Med ombudenes egne ord

Er det viktig å ha en rollebeskrivelse i praksis? Da vi spurte fokusgruppen med ombud om dette, var svaret «Ja, veldig!». Ombudene fortalte at en rollebeskrivelse er nyttig i det daglige arbeidet fordi det gir konkrete føringer for hva ombudet skal gjøre og hva det ikke skal gjøre. Dette gjelder for eksempel når et ombud blir involvert i en prosess og blir bedt om å ta en utførende rolle. Da er det nyttig å ha en rollebeskrivelse som sikrer at ombudet er konsekvent i utøvelsen av rollen sin.

I de åpne svarene om hva ombudene opplever som utfordrende, peker et ombud på konsekvensene av manglende rollebeskrivelse. Dette fører til løse føringer for arbeidet, både med hensyn til hvor stor rollen skal være, men også for hva som kan forventes. Ett ombud opplever for eksempel at de ansatte tror at hen kan svare på spørsmål som går langt utover vedkommendes mandat og kompetanse, og utfordrer uavhengigheten i rollen.