Verksamhetsberättelse 2024
Dataombudsmannens byrå tryggar rättigheter och friheter i behandlingen av personuppgifter
Dataombudsmannens byrå är en självständig och oberoende myndighet som övervakar efterlevnaden av dataskyddslagstiftningen och andra lagar som gäller behandling av personuppgifter.
Under 2024 var Anu Talus dataombudsmannen och Heljä-Tuulia Pihamaa och Annina Hautala biträdande dataombudsmän. Dataombudsmannen och de biträdande dataombudsmännen är självständiga och oberoende i sitt uppdrag.
Läs verksamhetsberättelsen: Dataombudsmannens byrås verksamhetsberättelse 2024 (pdf)
På den här sidan kan du läsa huvudpunkterna i verksamhetsberättelsen:
- Dataombudsmannen Anu Talus: Bekanta teman i en föränderlig miljö
- Biträdande dataombudsman Heljä-Tuulia Pihamaa: Ett mångsidigt år för dataskyddet i ärenden inom den privata sektorn
- Biträdande dataombudsman Annina Hautala: År 2024 har varit ett år med stora frågor
- Dataombudsmannens byrås år 2024 i siffror
- Översikt över antalet ärenden, utvecklingsåtgärder och uppgifter som förnyas
Dataombudsmannen Anu Talus: Bekanta teman i en föränderlig miljö
Diskussionen om artificiell intelligens har dominerat såväl seminarierna om dataskydd som den offentliga debatten. EU godkände på våren förordningen om artificiell intelligens och den trädde i kraft i augusti 2024. Modeller för artificiell intelligens bygger ofta på behandling av personuppgifter, eller en AI-lösning behandlar personuppgifter. Dataskyddsmyndigheten är i dessa situationer alltid behörig att övervaka behandlingen av personuppgifter. Även det nationella arbetet för att verkställa förordningen om artificiell intelligens inleddes. I beredningen är det viktigt att säkerställa att till de delar den nya regleringen överlappar med den allmänna dataskyddsförordningen, hör tillsynsansvaret till dataombudsmannen – med lämpliga resurser. Europeiska dataskyddsstyrelsen gav för sin del ett utlåtande om artificiell intelligens, där den bland annat ansåg att användningen av personuppgifter för att lära upp AI-modeller i vissa situationer kan grunda sig på ett berättigat intresse. Genom utlåtandet säkerställs att dataskyddsförordningen tolkas på samma sätt vid bedömningen av AI-lösningar.
År 2024 godkändes nya regler för transparens och inriktning när det gäller politisk reklam. Även dataombudsmannen får i och med dem nytt att övervaka. Även många andra lagberedningsprojekt slutfördes och nya projekt inleddes. När regeringsperioden närmade sig mitten av perioden började det synas som ett större antal begäranden om utlåtande än tidigare. Under året gav dataombudsmannens byrå 55 utlåtanden om lagstiftningsprojekt till ministerierna och 35 skriftliga expertutlåtanden till riksdagens utskott.
En av de frågor som starkt påverkade dataskyddets värld var Europaparlamentsvalet och den nya kommissionen som bildades genom det. Den nya kommissionen har berättat att den lättar på regleringen, delvis utifrån rekommendationerna i den s.k. Draghi-rapporten. I rapporten föreslås olika åtgärder för att förbättra Europas konkurrenskraft. Målet är att underlätta små och medelstora företags ställning och skapa bättre förutsättningar för innovation.
Europeiska dataskyddsstyrelsen fortsatte sitt arbete med att utveckla anvisningarna och främja ett enhetligt genomförande av bestämmelserna. Handboken för små och medelstora företag, som styrelsen lanserade, översattes till 18 olika språk, även finska och svenska. Dataskyddsstyrelsen började också göra korta visuella sammanfattningar på en sida av sina långa anvisningar. Dessutom har styrelsen fäst uppmärksamhet vid ett annat centralt delområde, harmoniseringen av genomförandet, eftersom en fungerande inre marknad förutsätter en enhetlig tillämpning av regleringen inom hela EU-området.
För närvarande utgör regelverket för dataskydd en komplicerad helhet där de nationella myndigheterna och Europeiska unionens organ har sina egna roller. Vi måste få dessa funktioner att fungera tillsammans. I nationella lagberedningsprojekt har man fäst särskild uppmärksamhet vid detta.
Slutligen en kort översikt över framtiden. Justitieministeriet har tillsatt en arbetsgrupp för att bearbeta införandet av administrativa påföljdsavgifter som riktas till den offentliga sektorn i enlighet med regeringsprogrammet. Detta har varit dataombudsmannens fleråriga mål. Det är viktigt att åtgärda luckan i påföljdssystemet för att säkerställa att systemet är konsekvent, effektivt, rättvist och avskräckande. Ett annat projekt som handlar om en grundläggande fråga gäller användningen av fingeravtryck i passregistret under brottsutredningar.
Förenta staternas president har i början av sin mandatperiod redan upphävt flera förordningar från den förra regeringen. Ramverket för dataskydd som Europeiska kommissionen har förhandlat fram gäller dock fortfarande. Med hjälp av den kan personuppgifter överföras från EU-länder till Förenta staterna. I somras publicerade kommissionen sin första årliga utvärdering av hur ramverket för dataskydd fungerar och Europeiska dataskyddsstyrelsen publicerade sin egen rapport i november.
Det är också intressant att följa upp vad kommissionens projekt för avveckling av normer slutligen leder till. Räcker det med de s.k. omnibus-paketet som kommissionen planerar, där några bestämmelser i dataskyddsförordningen korrigeras något, eller vill man ha en mer omfattande granskning? Omnibus-paketet är omfattande helheter av författningar där flera olika initiativ samlas i ett lagstiftningspaket. Som en del av dessa kan också dataskyddsförordningen förenklas.
Det är säkert att dataskydd aldrig blir tråkigt.
Anu Talus
Dataombudsman
Biträdande dataombudsman Heljä-Tuulia Pihamaa: Ett mångsidigt år för dataskyddet i ärenden inom den privata sektorn
Verksamhetsåret omfattade också styrning av personuppgiftsansvariga, en inspektion av en biobank i samarbete med Fimea samt den första ackrediteringen av ett övervakningsorgan av uppförandekoden. Vid förvaltningsdomstolen fick vi betydande beslut om till exempel försäkringsbolagens behandling av hälsouppgifter och samtycke till kakor.
Även om frågor som gäller artificiell intelligens väckte diskussion på verksamhetsfältet, syntes ämnet knappt alls i den privata sektorns övervakningsärenden. Vi förväntar oss en ändring i detta senast när den stegvisa tillämpningen av EU:s förordning om artificiell intelligens, som trädde i kraft i augusti 2024, inleds under 2025. Därmed får även dataombudsmannens byrå nya uppgifter.
Liksom tidigare år var finanssektorn den största ärendegruppen inom den privata sektorn. Inom finanssektorn, där man vanligtvis i stor utsträckning behandlar information som hör till en människas privatliv, betonas skyldigheten att behandla personuppgifter omsorgsfullt. I nätbrottsligheten söker och utnyttjar man kontinuerligt olika sårbarheter i informationssystemen, och därför är det kritiskt viktigt att regelbundet utvärdera informationssäkerheten och dataskyddet i synnerhet inom finansbranschen.
Som ett varnande exempel på otillräcklig informationssäkerhet kan man lyfta fram ett fall där ett företag som tillhandahåller jämförelsetjänster för lån påfördes en påföljdsavgift för brott mot plikten att skydda personuppgifter. I samband med samma ärende användes tills vidare sällan utnyttjade befogenheter när biträdande dataombudsmannen förbjöd företaget att behandla uppgifter om lånesökande i tjänsten efter att informationssäkerhetsbrister uppdagades.
Inom finansbranschen skedde en betydande förändring när det positiva kreditupplysningsregistret togs i användning våren 2024. I och med reformen ska kreditgivarna anmäla uppgifter till det positiva kreditupplysningsregistret om alla krediter som de beviljat privatpersoner och kontrollera uppgifterna i registret när de bedömer konsumentens kreditvärdighet. Dataombudsmannen har i samband med lagberedningen i anslutning till det positiva kreditupplysningsregistret betonat betydelsen av att uppgifterna är korrekta. Det är fråga om betydande beslut som påverkar människors liv och därför ska riktiga och tillräckliga uppgifter användas som grund för besluten.
Eftersom anmälningar om personuppgiftsincidenter är den klart största ärendegruppen vid vår byrå har man velat fästa särskild uppmärksamhet vid behandlingsprocessen för anmälningar. För att påskynda behandlingen av anmälningar och svara på den kontinuerliga ökningen av antalet anmälningar inledde vi ett utvecklingsprojekt som fokuserar på personuppgiftsincidenter. Ett centralt mål är att utreda hur automatiseringen kan utnyttjas vid behandlingen av anmälningar. Arbetet fortsätter intensivt även under 2025.
Under verksamhetsåret fick vi nya uppgifter att sköta när EU:s rättsakt om digitala tjänster började tillämpas fullt ut i februari 2024. Rättsakten innehåller bestämmelser om skyldigheter för tillhandahållare av digitala tjänster att förbättra tjänsternas transparens och säkerhet. Till dataombudsmannens uppgifter hör att övervaka identifieringen av ideell och social reklam, transparensen i onlinereklam och rekommendationssystem och skyddet av minderåriga på webbplattformar. I Finland har övervakningen av iakttagandet av rättsakten fördelats mellan Transport- och kommunikationsverket Traficom, dataombudsmannen och konsumentombudsmannen. Detta betonar sedan tidigare ett smidigt samarbete mellan tillsynsmyndigheterna, vilket enligt min mening har kommit igång mycket bra.
Dataombudsmannens byrås och TIEKE Utvecklingscentralen för Informationssamhälle rf:s tvååriga EU-finansierade projekt GDPR4CHLDRN – Dataskydd inom hobbyverksamhet slutfördes i slutet av året. Som resultat skapades webbplatsen tietosuojaharrastuksissa.fi, där föreningar som bedriver hobbyverksamhet hittar hjälp med att följa dataskyddslagstiftningen på flera olika språk. Även om materialet fokuserar särskilt på hobbyverksamhet är det till nytta vid behandlingen av barns och ungas personuppgifter även i andra situationer.
Även dataskyddsombudens viktiga betydelse och resursernas tillräcklighet diskuterades när vi kompletterade anvisningarna på vår webbsida utifrån Europeiska dataskyddsstyrelsens rapport om dataskyddsombudens ställning, som publicerades i januari 2024. Vi påminde organisationerna om dataskyddsombudets oberoende och resursbehov samt om att dataskyddsombudet inte får avskedas eller straffas för skötseln av sina uppgifter. En klok organisation förstår att dataskyddsombudet eller dennes team alltid tas med i behandlingen av alla dataskyddsfrågor i ett så tidigt skede som möjligt.
Heljä-Tuulia Pihamaa
Biträdande dataombudsman
Biträdande dataombudsman Annina Hautala: År 2024 har varit ett år med stora frågor
Listan kunde fortsätta med många andra frågor, såsom hur man kontinuerligt kan säkerställa säkerheten i behandlingen av personuppgifter. I anslutning till detta har det tyvärr under året förekommit utmaningar även inom den offentliga sektorn. Ett betydande fall var Helsingfors stads dataintrång på våren. I den förändrade säkerhets- och verksamhetsmiljön är det allt viktigare att beakta att personuppgifter kan missbrukas på sätt som allvarligt äventyrar både individernas och hela samhällets säkerhet. Dessutom måste man fundera på hur man säkerställer att organisationens information faktiskt kan utnyttjas. Informationens värde försämras om den inte är tillräckligt strukturerad, tillförlitlig eller aktuell.
Liksom tidigare år utgjorde social- och hälsovården under 2024 det största verksamhetsområdet för dataombudsmannens byrå mätt i antalet anhängiggjorda ärenden. År 2024 gällde cirka en fjärdedel av de anhängiggjorda ärendena denna bransch. Största delen av ärendena som gällde den offentliga förvaltningen gällde personuppgiftsincidenter och användning av individers dataskyddsrättigheter, såsom granskning, rättelse eller radering av uppgifter. Under året gavs till exempel ett beslut om inkluderande av personuppgifter i textmeddelanden som skickas automatiskt till patienter.
Utöver övervaknings- och beslutsverksamheten stöder dataombudsmannens byrå både individer och organisationer genom att ge handledning både på sin webbsida, skriftligen, per telefon och genom att delta i olika evenemang och diskussioner. Under 2024 besvarades cirka 2 300 rådgivningssamtal, drygt 1 200 skriftliga rådgivande svar gavs och över 180 anföranden, mediekontakter och meddelanden sköttes. Som en del av detta handledningsarbete förnyades innehållet på webbsidan för social- och hälsovårdssektorn. På webbsidan har man nu beaktat den förnyade kunduppgiftslagen inom social- och hälsovården samt aktuell besluts- och rättspraxis.
I vår tillsynsverksamhet utnyttjade vi också inspektioner av organisationer under 2024. Vid inspektionerna strävar man efter att upptäcka utvecklingsobjekt innan riskerna för personuppgifterna har realiserats. Under verksamhetsåret fokuserade inspektionsverksamheten särskilt på hur organisationerna sköter hanteringen av åtkomsträttigheter och övervakar behandlingen av personuppgifter. Under året genomfördes den första gemensamma inspektionen av dataombudsmannens byrå och underrättelsetillsynsombudsmannen och inspektionsverksamheten utvidgades till social- och hälsovårdssektorn. Utifrån observationerna vid inspektionerna fick organisationerna anvisningar och rekommendationer.
En anmärkningsvärd sak om verksamhetsåret är att antalet utlåtanden till åklagare eller förundersökningsmyndigheter ökade betydligt från 54 stycken föregående år till 110 stycken. Största delen av utlåtandena gällde dataskyddsbrott, dataintrång och kränkningar av kommunikationshemligheten. Utifrån den helhetsbild som dessa s.k. utlåtanden om brottmål och anmälningar om personuppgiftsincidenter bildar är det oroväckande hur många fall av olovligt snokande som ännu sker med beaktande av att många av dessa fall fortfarande förblir dolda.
Användningen av artificiell intelligens och digitala verktyg har under året varit ett centralt tema även inom den offentliga sektorn. Till exempel inom småbarnspedagogiken och undervisningssektorn syntes detta genom flera begärda utlåtanden. Dataombudsmannens byrå gav till exempel ett utlåtande om utkastet till guide om användningen av AI-applikationer vid behandlingen av elevers personuppgifter. I det ovan nämnda utlåtandet lyfte man också fram att det är viktigt att lära eleverna som en medborgarfärdighet förståelse för hur deras personuppgifter vanligtvis behandlas i webbaserade tjänster för artificiell intelligens och vilka rättigheter de har.
Jag inledde min text med stora frågor som diskuterades år 2024. Ett centralt frågepar som inte ställdes i början är hur artificiell intelligens kommer att påverka framtiden och hur man vid användningen av den kan säkerställa att dataskyddet förverkligas. Dessa två frågor lyftes fram redan 2024, men både de här frågorna och de frågor som ställdes i början behåller sin betydelse även under de kommande åren.
Annina Hautala
Biträdande dataombudsman
Dataombudsmannens byrås år 2024 i siffror
Vår verksamhet i siffror
- 13 284 anhängiggjorda ärenden
- 13 291 behandlade ärenden
- 7 152 anhängiggjorda anmälningar om personuppgiftsincidenter
- 2 289 besvarade samtal vid telefonrådgivningen
- 9 inledda och genomförda inspektioner
- 55 utlåtanden om lagstiftningsprojekt
- 110 utlåtanden till åklagare eller förundersökningsmyndigheter
- 7 gränsöverskridande ärenden där dataombudsmannens byrå fastställdes som den ledande tillsynsmyndigheten
- 252 gränsöverskridande ärenden där dataombudsmannens byrå fastställdes som deltagande tillsynsmyndighet
Under 2024 påförde dataombudsmannens byrå
- 3 administrativa påföljdsavgifter för dataskyddsförseelser
- 18 anmärkningar om behandlingsåtgärder i strid med dataskyddslagstiftningen
- 9 förordnanden att ändra behandlingsåtgärderna för personuppgifter så att de motsvarar dataskyddsförordningen
- 5 förordnanden att tillgodose den registrerades rättigheter
- 42 förordnanden att underrätta den registrerade om en personuppgiftsincident
- 2 varningar om att de planerade behandlingsåtgärderna sannolikt skulle strida mot dataskyddsförordningen
Översikt över antalet ärenden, utvecklingsåtgärder och uppgifter som förnyas
Antalet inledda ärenden fortsätter att öka
Antalet ärenden som inletts vid dataombudsmannens byrå var på samma höga nivå som föregående år och ökade ytterligare. År 2024 inleddes sammanlagt 13 284 ärenden. Sammanlagt 13 291 ärenden avgjordes, dvs. över 200 fler än året innan.
Anmälningar om personuppgiftsincidenter har redan i flera års tid varit den kvantitativt största ärendegruppen. Under året anmäldes sammanlagt 7 152 personuppgiftsincidenter till dataombudsmannens byrå.
Anhopningen av antalet inledda ärenden har åtgärdats vid dataombudsmannens byrå från och med 2020. Av de ärenden som inletts 2018–2022 och som var över två år gamla var cirka 1 200 oavgjorda vid utgången av 2024. En betydande andel av dem utgörs av ärenden som behandlas i gränsöverskridande samarbete där förfarandet leds av en tillsynsmyndighet i ett annat EES-land. Trots att antalet ärenden ökat har antalet anhängiga ärenden minskats genom åtgärder som avhjälper anhopningen av ärenden.
Behandlingen av ärenden effektiveras genom utvecklingsåtgärder
Centrala utvecklingsmål för byrån är att effektivera beslutsverksamheten och beredningen av ärenden som lämnas till påföljdskollegiet för behandling. Ändringen av dataskyddslagen som trädde i kraft vid ingången av 2024 ger dataombudsmannen rätt att överföra beslutanderätt i noggrant avgränsade situationer enligt arbetsordningen. Under hösten 2024 utnämndes två föredragande som avgör ärenden. Under året inleddes arbetet med att utveckla påföljdskollegiets verksamhet och vid byrån inrättades en uppgift som överinspektör som specialiserar sig på beredning av påföljdskollegiefall. Påföljdskollegiet ansvarar för behandlingen av ärenden som gäller påförande av administrativa påföljdsavgifter och meddelande av förbud mot behandling av personuppgifter.
Vid byrån inleddes under 2024 ett utvecklingsprojekt som syftar till att utveckla hanteringen av ärendeflödet i anslutning till anmälningar om personuppgiftsincidenter. Sedan den allmänna dataskyddsförordningen började tillämpas har över 30 000 personuppgiftsincidenter anmälts till dataombudsmannens byrå. I utvecklingsprojektet utreds bland annat hur automatisering kan utnyttjas vid behandlingen av anmälningar om personuppgiftsincidenter.
Det har konstaterats att sållningsförfarandet för anmälningar om personuppgiftsincidenter som infördes 2022 har effektiverat behandlingen av anmälningarna avsevärt. I sållningsförfarandet bedöms bland annat om ärendet kräver en noggrannare utredning med den personuppgiftsansvarige och om personuppgiftsincidenten kräver åtgärder av myndigheten. Processen vidareutvecklades under året.
Även sållningsförfarandet i ärenden som gäller den registrerades rättigheter fortsatte. Förfarandet har från och med 2022 tillämpats på frågor som gäller social- och hälsovårdssektorn och verksamhetssätten uppdaterades genom ändringar som stöder hanteringen av ärendeflödet i sektorn. I september 2024 utvidgades sållningsförfarandet till ärenden som gäller finanssektorn. Tack vare förfarandet kan ärenden som gäller den registrerades rättigheter till exempel börja utredas strax efter att de inletts. Målet är att bedöma sållningsförfarandet som utvidgats även till andra branscher.
Ett viktigt mål för de närmaste åren är också att utveckla informationshanteringen. Justitieförvaltningsmyndigheternas gemensamma ärendehanteringssystem som infördes hösten 2023 har effektiverat ärende- och informationshanteringen vid dataombudsmannens byrå. Systemet möjliggör till exempel bättre rapporterings- och uppföljningsmöjligheter än tidigare samt statistikuppgifter av högre kvalitet. Uppgifterna kan utnyttjas i resursplanering och annan ledning av verksamheten.
Ändringarna i lagstiftningen medför nya uppgifter
Under de senaste åren har dataombudsmannens byrå fått flera nya uppgifter till följd av lagstiftningsreformerna och antalet uppgifter väntas öka ytterligare.
Reformerna av dataskyddslagen och dataskyddslagen för brottmål trädde i kraft vid ingången av 2024. Lagändringen innebär att dataombudsmannens byrå ska avgöra ett klagomålsärende eller meddela personen den uppskattade tidpunkten för avgörandet inom tre månader från att ärendet inletts. En person kan anföra besvär hos förvaltningsdomstolen om dataombudsmannen inte ger ett avgörande eller meddelar en uppskattad tidpunkt för behandlingen inom den utsatta tiden. Bestämmelsen gäller ärenden som inletts från och med början av 2024 och den tillämpas inte retroaktivt. Vid dataombudsmannens byrå inleddes 2024 sammanlagt cirka 3 130 ärenden på vilka bestämmelserna om detta passivitetsbesvär tillämpas. Ärendena gäller i regel angivelser, klagomål, begäran om råd och ärenden som gäller den registrerades rättigheter. I de flesta ärenden fattades beslut före tidsfristen på tre månader.
I och med att visselblåsarlagen trädde i kraft vid ingången av 2023 blev dataombudsmannens byrå behörig tillsynsmyndighet i fråga om anmälningar om integritetsskydd och skydd av personuppgifter samt säkerheten i nät- och informationssystem. De behöriga myndigheterna ska årligen rapportera anmälningar enligt visselblåsarlagen till justitiekanslersämbetet. Under året tog dataombudsmannen emot sex anmälningar som hör till dataombudsmannens behörighet. Även sex anmälningar bedömdes och avgjordes. En av de avgjorda anmälningarna hade gjorts 2023. I anmälningarna observerades ingen anledning att vidta åtgärder.
EU:s reglering om digitalisering och data förnyas och medför också uppgifter för dataombudsmannens byrå. Till författningarna om digitalisering och data hör bland annat förordningen om artificiell intelligens (AIA), rättsakten om digitala tjänster (DSA), rättsakten om digitala marknader (DMA), dataförordningen (DA) och dataförvaltningsakten (DGA).
EU:s rättsakt om digitala tjänster började tillämpas i full skala den 17 februari 2024. Förordningen innehåller bestämmelser om skyldigheter för leverantörer av digitala tjänster, såsom onlineplattformar, för att förbättra tjänsternas öppenhet och säkerhet. I Finland har tillsynen av förordningen fördelats mellan Transport- och kommunikationsverket Traficom, dataombudsmannens byrå och konsumentombudsmannen. Den huvudsakliga tillsynsmyndigheten är Traficom. Dataombudsmannen övervakar identifieringen av ideell och samhällelig reklam, transparensen i webbreklam och rekommendationssystem samt skyddet av minderåriga på onlineplattformar. Enligt rättsakten om digitala tjänster är det till exempel förbjudet att rikta reklam på onlineplattformar utifrån särskilda personuppgifter, till exempel politiska åsikter, religion eller etnicitet, och att rikta reklam som grundar sig på personuppgifter till minderåriga. De finska myndigheterna tog emot sammanlagt 78 klagomål enligt förordningen om digitala tjänster 2024. Tre av klagomålen lämnades till dataombudsmannen.
Verksamhetsmiljön präglades starkt av frågor med anknytning till artificiell intelligens. EU:s förordning om artificiell intelligens trädde i kraft i augusti 2024 och den börjar tillämpas stegvis. EU-länderna ska före den 2 augusti 2025 utse de nationella myndigheter som övervakar förordningen om artificiell intelligens. Under året gav Europeiska dataskyddsstyrelsen utlåtanden bland annat om utvecklingen av modeller för artificiell intelligens och dataskyddsmyndigheternas roll i övervakningen av system för artificiell intelligens med hög risk. I oktober gav G7-ländernas dataskyddsmyndigheter vid sitt möte en resolution där de betonade dataskyddsmyndigheternas centrala roll som övervakare av artificiell intelligens.