Personvern og informasjonssikkerhet i Nannestad kommune
Romerike revisjon har gjennomført en forvaltningsrevisjon av personvern og informasjonssikkerhet i Nannestad kommune. Prosjektet ble bestilt av kontrollutvalget i Nannestad kommune 23.10.2025 i sak 37/25. Formålet med forvaltningsrevisjonen har vært å avdekke eventuelle svakheter i informasjonssikkerheten og ivaretakelsen av personvern i Nannestad kommune, slik at feil kan rettes og systemer kan gjøres sikrere.
Kommunen har etablert et styringssystem for informasjonssikkerhet blant annet gjennom arbeidet som gjennomføres i DGI-samarbeidet. Undersøkelsen viser imidlertid at roller og ansvar ikke er tilstrekkelig avklart på flere områder. Det gjennomføres ikke ledelsens gjennomgang av informasjonssikkerhet i kommunedirektørens ledergruppe årlig, noe som er anbefalt for å sikre en systematisk oppfølging av området.
Kommunen gjennomfører risikovurderinger av informasjonssikkerhet og personvern, og disse følges langt på vei opp. Kommunen har imidlertid et forbedringspotensial knyttet til dokumentasjonen av vurderinger av personvernkonsekvenser som gjennomføres, særlig knyttet til innhenting av vurderinger, informasjon om deltakere og tidspunkt for gjennomgangene samt aksept av restrisiko.
Det er opprettet en protokoll over behandlinger av personopplysninger, men denne er ikke ferdigstilt eller oppdatert etter at den ble etablert. Det er uklart hvem som har ansvar for å følge opp protokollen.
Kommunen har etter revisjonens syn ikke tilstrekkelig systematisert obligatorisk opplæring av ledere og ansatte i informasjonssikkerhet og personvern. Kommunen har noen opplæringstiltak, blant annet knyttet til nyansatte, men ut over dette er det revisjonens inntrykk at det er opp til den enkelte ansatte og den enkelte leder å holde seg oppdatert om informasjonssikkerhet og personvern.
