Hjemmel for behandling av personopplysninger

I henhold til personopplysningsloven kan kommunen opprette personalregistre for behandling av personopplysninger. Hjemmel og vilkår for å behandle personopplysninger er iht. § 8: ‘’Personopplysninger (jfr. § 2 nr. 1) kan bare behandler derom den registrerte har samtykket, eller der er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for..’’ Dersom bestemmelsene i personopplysningsforskriften § 7-16 følger, er behandlingene unntatt konsesjonsplikt og meldeplikt.

Offentlighetsvurdering

Offentlighet i personalarkivet skal vurderes etter bestemmelse i Lov om rett til innsyn i dokumentasjon i offentlig verksemd (offentleglova).
Offentledlovas § 11 pålegger kommunen å vurdere meroffentlighet i forhold til opplysninger som kan unntas.

Innsyn

Krav om innsyn i personalsak behandles etter reglene for partsinnsyn i forvaltningslovens §§ 18-20, og etter innsynsbestemmelse i personopplysningslovens § 18. Ansatte har som hovedregel rett egne saker. Innsynet skal gis sammen med virksomhetsleder, evt. med annet kvalifisert personell. Det gis en oversikt over hvilke saker/journalposter som finnes. Den som begjærer innsyn, gir beskjed om hvilke saker man ønsker innsyn i.

Sikkerhet

Sikkerhet for personopplysninger reguleres av personopplysningslovens §§ 13 og 14 om informasjonssikkerhet og internkontroll. Personopplysningsforskriften kap. 2 inneholder lovens sikkerhetsbestemmelser. Bestemmelsene gjelder for behandlinger av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler.
Ved behandling av sensitive personopplysninger er det strengere krav til behandling enn om man behandler andre personopplysninger.
Sensitive personopplysninger er definert i § 2 i loven som:
a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning
b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling
c) helseforhold
d) seksuelle forhold
e) medlemskap i fagforeninger

Sikkerhetsrutiner:

-          Personopplysninger og saksdokumenter skal ikke produseres eller lagres på private datamaskiner eller flyttbare medier

-          Alle dokumenter skal registreres og produseres i sak-/arkiv systemet

-          Opplysninger som er unntatt offentlighet skal ikke sendes på e-post

-          Maskiner med tilgang til sak-/arkivsystemet skal aldri forlates uten at tilgangen låses

-          Ved bruk av hjemmekontor skal de tekniske sikkerhetsløsningene være tilfredsstillende

-          Ved bruk av hjemmekontor må saksbehandler være bevisst på faren for uautorisert tilgang til opplysninger i systemet.

-          Ved utskrift skal man være bevisst ved valg av skriver og utskriftene skal hentes umiddelbart.

I henhold til personopplysningsloven skal vi gjennomføre følgende:

-          Utarbeide sikkerhetsmål og sikkerhetsstrategi

• Organisasjonens egne strategidokumenter

-          Foreta risikovurdering. Listen under er ikke utfyllende og inneholder eksempler på risikomomenter

• Får man tilgang til systemet/sakene i eksternt nett? Er det mulighet for uautorisert tilgang til systemet?
• Gis det uautorisert tilgang/rolle?
• Lånes det ut bruker id/passord og maskin til andre?
• Lagres det dokumenter på andre medier (screen print, USB, laptop osv.)?
• Står maskiner åpne/forlatt for innsyn?
• Hvem har tilgang til skanner område (mapper, maskin)?
• Er det mulighet for uautorisert tilgang via klientmaskiner?
• Blir dokumenter av sensitiv/taushetsbelagt art utvekslet på e-post?
• Er nedlastning av program/websider klarert med IT-tjenesten?
• Er nettverksløsning klarert for rettmessige brukere, og er innstillingene sikkerhetsklarert?
• Sendes utskrift til skrivere i egen virksomhet?

-          Sammenligne resultat fra risikovurdering med akseptabelt risikonivå

• Det forutsettes at alle saksbehandlere følger sikkerhetsrutinene som er utarbeidet og vedtatt.

-          Iverksette sikkerhetstiltak

• Tilgang til systemet/sakene skal kun være mulig i internt nettverk bak brannmur
• Autorisasjon skal gis av leder
• Systemansvarlig tildeler autorisasjon i sak-/arkivsystem
• Tilgang til personregistre i systemet skal begrenses. Autorisasjonen styres av tjenstlige behov
• Alltid Sign on pålogging av autoriserte personer inklusive kursmaskiner
• Dokumenter unntatt offentlighet skal stoppes automatisk med varsling i systemet ved forsøk på elektronisk ekspedering
• Tilgang til skanner og skannermapper gis av arkivtjenesten/arkivleder
• Nettverksinnstillingen skal være satt opp slik at det ikke er mulig å velge skrivere utenfor egen virksomhet

-          Følgende sikkerhetsrutiner skal følges av saksbehandler

• Utlån av bruker id/passord skal ikke forekomme

• Ikke gå fra åpen maskin

• Lagring av dokumenter på andre medier skal ikke forekomme

• Personopplysninger i personalarkivet skal kun lagres i sak-/arkivsystemet

• Ikke la utskrifter ligge igjen på skriveren

-          Dokumentere informasjonssystemet og informasjonssikkerheten

• Kommunen må ha et system som sikrer at de krav som blir pålagt i personopplysningsloven blir ivaretatt
• Ansatte som behandler personopplysninger skal ha kjennskap til gjeldende behandlingsregler, ha tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutinene og ha denne dokumentasjonen tilgjengelig for innsyn.