Personvernvilkår

1. Innledning

EUs nye personvernforordning (GDPR) trådte i kraft og ble en del av den norske lovgivningen 20. juli 2018. Hovedformålet med det nye lovverket er å ivareta personvernet til den enkelte ved elektronisk behandling av personopplysninger.

For kommunen vil forordningen ha betydning for hvordan kommunen behandler og sikrer personopplysninger. Hovedsakelig medfører den nye personvernlovgivningen:

• Nye rettigheter for de registrerte
• Nye og strengere krav til kommunen
• Ved overtredelse av bestemmelsene i forordningen kan den behandlingsansvarlige (kommunen) bli gjenstand for ulike typer sanksjoner, for eksempel bøter eller tvangsmulkt.

2. Sentrale begreper i forordningen

Personvern er en menneskerettighet, og handler om:

Personvern

• Retten til privatliv
• Retten til å bestemme over egne opplysninger

Personopplysninger

Personopplysninger defineres som alle opplysninger eller vurderinger som indirekte eller direkte kan knyttes til en bestemt person. Eksempelvis navn, adresse, alder, telefonnummer, e-postadresse, bankkontonummer og fødselsnummer. Slike vurderinger eller opplysninger regnes som personopplysninger, uavhengig av om de foreligger som tekst, bilder, lyd- eller videoopptak.

Sensitive personopplysninger

I forordningen defineres sensitive personopplysninger som særlige kategorier av personopplysninger . Dette er opplysninger som krever ekstra vern. Det kan være opplysninger om helse og helserelaterte forhold, genetikk, etnisk eller rasemessig bakgrunn, politiske eller religiøse oppfatninger og livssyn, seksuell forhold og – legning, samt fagforeningsmedlemskap.

Behandling av personopplysninger

Med behandling av personopplysninger menes alle former for bruk av personopplysninger, for eksempel registrering, lagring, sammenstilling, overføring, publisering eller sletting.

De registrerte

De registrerte henviser til personer (elever, foresatte, ansatte, osv.) som personopplysningene kan knyttes til.

Behandlingsansvarlig

Behandlingsansvarlig (kommunen) defineres som den som bestemmer formålet med behandlingen av personopplysninger og hvilke elektroniske hjelpemidler som skal anvendes til å behandle opplysningene.

Databehandler

Databehandler er den eller de som behandler personopplysninger på vegne av den behandlingsansvarlige, som oftest leverandører til kommunens fagsystemer som Evry og Visma. Forholdet mellom behandlingsansvarlig og databehandleren skal være regulert i en databehandleravtale.

3. Sentrale krav i forordningen

De registrertes rettigheter De registrerte har i forordningen følgende definerte rettigheter:

• Innsyn og informasjon Rett til innsyn i personopplysninger om seg selv.
• Retting og sletting.
• Rett til å få supplert eller korrigert personopplysninger som er feil eller unøyaktige.

Plikten til å slette personopplysninger er i noen tilfeller begrenset av annet lovverk (f.eks. regnskapsloven og arkivloven) og det kan også gjøres unntak fra sletteplikten for data som lagres for historisk, vitenskapelig eller statistisk formål. Det betyr at opplysninger som er arkivert i godkjente arkiv/fagsystemer ikke kan slettes, med mindre det har særlige gode grunner for det.

• Begrensning og innsigelse mot behandling I tilfeller hvor opplysninger er feilaktige eller unøyaktige kan den registrerte be om at behandlingene av personopplysningene begrenses eller opphører.
• Dataportabilitet: Retten til dataportabilitet handler om de registrertes rettigheter til å flytte data mellom forskjellige systemer og tjenester.
• Automatiserte avgjørelser og profilering Personvernforordningen forbyr automatiserte individuelle avgjørelser som både er helautomatiske og/eller har rettsvirkning for eller innvirkning på deg. Avgjørelser tatt på bakgrunn av dataprogram, eks. lånesøknader på nett.

Personvernprinsippene

Personvernforordningen inneholder rettigheter og pikter knyttet til behandling av personopplysninger. Felles for alle reglene i forordningen er at de bygger på noen grunnleggende prinsipper for personopplysningsvern – de såkalte personvernprinsippene som all behandling av personopplysninger skal være i samsvar med.

Lovlig, rettferdig og gjennomsiktig Behandling av personopplysninger skal være lovlig. Det kreves et rettslig behandlingsgrunnlag.

Formålsbegrensing

Personopplysninger skal kun behandles for klart definerte formål.

Dataminimering

Personopplysninger skal være tilstrekkelig, relevante og begrenset til det som er nødvendig for å realisere formålet med behandlingen.

Riktighet

Opplysningene skal til enhver tid være korrekte og oppdaterte.

Lagringsbegrensing

Personopplysninger skal slettes eller anonymiseres når de ikke lenger er nødvendige for formålet.

Integritet, konfidensialitet og tilgjengelighet

Personopplysninger skal behandles slik at opplysningens integritet, konfidensialitet og tilgjengelighet beskyttes.

4. Skjerpede krav til kommunen

Forordningen krever at kommunen (behandlingsansvarlige) iverksetter tiltak som sørger for og dokumenterer at forordningen og reglene i det nye personvernlovgivningen etterleves i det daglige arbeidet.

Avvikshåndtering

Den nye personvernforordningen medfører skjerpede krav til avvikshåndtering. Avvik er en hendelse eller en situasjon som bryter med lover, forskrifter eller gjeldende regler i Bodø kommune. Alle ansatte har ansvar for å melde avvik via avviksskjemaet som ligger i Compilo.

Personvernombud I følge den nye forordningen er kommunen pliktig til å utnevne et personvernombud. Personvernombudet skal være kommunens rådgiver innenfor personvern, og skal veilede behandlingsansvarlig og de ansatte som utfører behandlingen av personopplysninger om de forpliktelsene Bodø kommune har etter personvernlovgivningen. I tillegg skal personvernombudet være kontaktpunkt for de registrerte og bistå dem ved eventuelle spørsmål om personvern.

Compilo (Kvalitetslosen)

Bodø kommune bruker IT-systemet Compilo til å samle all kvalitetsdokumentasjon i kommunen, herunder alle gjeldende prosedyrer og annen styrende dokumentasjon.

5. De ansattes ansvar

Alle ansatte har en viktig rolle i å forebygge, avdekke og håndtere hendelser som kan føre til brudd på personopplysningens konfidensialitet, integritet og tilgjengelighet.

Konfidensialitet

Opplysninger skal ikke gjøres tilgjengelig for uvedkommende, det er kun autoriserte som skal ha tilgang til informasjon.

Integritet

Informasjon skal ikke bli endret utilsiktet eller av uautorisert personell.

Tilgjengelighet

Autoriserte brukere med tjenstlig behov skal ha tilgang til relevante informasjonssystemer, digitale tjenester, opplysninger og informasjon samt nødvendige ressurser. Det betyr i praksis at ingen ansatte skal ha mer tilgang enn de har tjenstlig behov for.

Alle ansatte skal kjenne til og forholde seg til gjeldende regler og interne retningslinjer for behandling av personopplysninger i Bodø kommune, herunder:

• de lover og regler for taushetsplikt som gjelder for stillingen/rollen/vervet de innehar
• kommunens retningslinjer for informasjonssikkerhet
• gjeldende regler for behandling av personopplysninger (personvernlovgivningen) og personvernprinsippene
• regler og rutiner for bruk av informasjons-/fagsystemer

Under mappen «GDPR – informasjonssikkerhet» i Compilo ligger prosedyrer for hvordan kommunen skal etterleve det nye regelverket.

Viktige hygieneregler for økt sikkerhet:

• Deling av personopplysninger skal som utgangspunkt foregå i aktuelle fagsystemer eller i kommunens sak/ arkiv-system (Ephorte/Elements) og sendes gjennom Svar Ut eller E-dialog.

• Saksbehandling i e-post eller andre usikrede elektroniske kommunikasjonsverktøy bør unngås.
• Lagring av personopplysninger, virksomhetssensitiv eller gradert informasjon utenfor tilgangsstyrte fagsystemer skal begrenses. Om dette ikke kan unngås, skal det foreligge skriftlige rutiner for sletting av disse opplysningene. Personopplysninger skal ikke oppbevares/ lagres lengre enn til formålet med behandlingen er oppnådd.
• Alle ansatte i Bodø kommune skal til enhver tid ha ID-kort som legitimerer hvem de er og hvilken tilhørighet den ansatte har til kommunen.
• IT-utstyr (PC/nettbrett/mobiltelefon osv.) skal alltid og aktivt låses av den ansatte når disse forlates.
• Særlige kategorier av personopplysninger, sensitiv personinformasjon (eksempelvis fødselsnummer), virksomhetssensitiv eller gradert informasjon skal ikke sendes ukryptert med e-post eller annen usikret elektronisk kommunikasjon
• Ved masseutsendelse av e-post til eksterne mottakere skal blindkopi benyttes.
• Passord skal ikke skrives ned eller deles med andre.
• Bruk av usikre trådløse nettverk bør unngås.