Vedtak om pålegg Endelig kontrollrapport for Statens Havarikommisjon for Transport Internkontroll og informasjonssikkerhet
|
|
- Toralf Slettebakk
- 8 år siden
- Visninger:
Transkript
1 Statens Havarikommisjon for Transport Postboks LILLESTRØM Deres referanse Vår referanse (bes oppgitt ved svar) 12/ / /HHU 28. februar 2013 Dato Vedtak om pålegg Endelig kontrollrapport for Statens Havarikommisjon for Transport Internkontroll og informasjonssikkerhet Det vises til Datatilsynets kontroll hos Statens Havarikommisjon for Transport (SHT) den og Datatilsynets varsel om vedtak av Kontrollen skjedde med hjemmel i lov om behandling av personopplysninger av 14. april 2000 nr. 31 (personopplysningsloven) sloven) 42 tredje ledd nr. 3. Datatilsynet har i brev mottatt bekreftelse på at virksomheten ikke har noen merknader til varslet. Det fattes derfor vedtak i samsvar med tidligere varsel. Vedtak om pålegg Med hjemmel i personopplysningslovens 46 gir Datatilsynet følgende pålegg: 1. Virksomheten må etablere internkontroll gjennom planlagte og systematiske tiltak i samsvar med personopplysningsloven 14. Se tilsynsrapportens avsnitt Virksomheten må opprette en oversikt over de enkelte behandlinger av personopplysninger som skjer i virksomheten, en, jf. personopplysningsloven 14, jf personopplysningsforskriftens 2-1, 1. ledd.. Det vises til kontrollrapportens rapportens avsnitt Virksomheten må etablere og dokumentere rutiner for innsyn til den registrerte, jf personopplysningsloven 14 og 18, 1. ledd og personopplysningsforskriftens 3-1, 3. ledd bokstav d). Det vises til kontrollrapportens avsnitt Virksomheten må etablere og dokumentere rutiner for å sikre tilstrekkelig informasjon til den registrerte, jf personopplysningsloven 14, ledd og 20, samt personopplysningsforskriftens 3-1, 3. ledd bokstav d). Det vises til kontrollrapportens avsnitt Virksomheten må etablere og dokumentere rutiner for å sikre sletting av personopplysninger som ikke lengre er nødvendige for formålet med behandlingen, jf personopplysningslovens 11, 14 og 28 samt personopplysningsforskriftens 3-1, bokstav c). Det vises til kontrollrapportens avsnitt Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside:
2 6. Virksomheten må danne rammer for sikkerhetsarbeidet ved at det etableres sikkerhetsmål og sikkerhetsstrategi i samsvar med personopplysningsloven 13, jf. personopplysningsforskriften 2-3. Det vises til kontrollrapportens avsnitt Virksomheten må etablere en sikkerhetsorganisasjon i samsvar med personopplysningsloven 13, jf. personopplysningsforskriften 2-3 og 2-7. Det vises til kontrollrapportens avsnitt Virksomheten må gjennomføre risikovurderinger i samsvar med personopplysningsloven 13, jf. personopplysningsforskriften 2-4. Det vises til kontrollrapportens avsnitt Virksomheten må etablere system for sikkerhetsrevisjon i samsvar med personopplysningsloven 13, jf. personopplysningsforskriften 2-5. Det vises til kontrollrapportens avsnitt Virksomheten må etablere og dokumentere tilfredsstillende informasjonssikkerhet bl.a. ved å benytte resultatene fra egne risikovurderinger jf pkt 8 ovenfor, slik at personopplysningslovens 13, jf. personopplysningsforskriftens 2-11, 2-12 og 2-13 oppfylles. Det vises til kontrollrapportens avsnitt Datatilsynet gir frist for gjennomføring av påleggene til 1. juli Virksomheten må innen nevnte dato bekrefte skriftlig overfor Datatilsynet at påleggene er gjennomført. Med mindre annet er særskilt angitt kreves det ikke ytterligere dokumentasjon på at pålegget er gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at dere har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med vennlig hilsen Helge Veum avdelingsdirektør Vedlegg: Endelig kontrollrapport Hallstein Husand seniorrådgiver 2
3 Saksnummer: 12/01022 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Statens Utarbeidet av: Havarikommisjon for Hallstein Husand transport Sted: Lillestrøm 1 Innledning Datatilsynet gjennomførte kontroll hos Statens Havarikommisjon for transport (SHT) 27. november Kontrollen ble utført med hjemmel i personopplysningsloven 44, jf. 42, 3. ledd. Temaet for kontrollen var SHTs behandling av personopplysninger, særlig i forbindelse med plikt til å innføre internkontroll og å sørge for tilfredsstillende informasjonssikkerhet for behandling av personopplysninger.. Kontrollen ble gjennomført på virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - William Bertheussen, direktør - Kirsten Mulligan, avdelingsdirektør - Anne Marit Hanssen, førstekonsulent (arkiv) - Aksel Norbakken, rådgiver (IT) 2.2 Fra Datatilsynet: - Knut B. Kaspersen, fagdirektør, (jurist) - Hallstein Husand, seniorrådgiver - Marius Engh Pellerud, rådgiver Fra Riksarkivet: - Tor Anton Gaarder, arkivar 3 Generelt SHT er en offentlig undersøkelseskommisjon. Formålet med SHTs undersøkelser er å utrede forhold som antas å ha betydning for forebyggelsen av transportulykker. SHT skal ikke ta stilling til sivilrettslig eller er strafferettslig skyld og ansvar. SHT har i 20 år vært en fast, uavhengig undersøkelseskommisjon for transportulykker. Det startet med luftfart i 1989, og
4 har i løpet av 20 år blitt utvidet til også å omfatte jernbane (2002), veitrafikk (2005) og sjøfart (2008). SHT er underlagt Samferdselsdepartementet. Alle undersøkelsesrapporter som SHT utarbeider blir oversendt Samferdselsdepartementet. Personnavn er anonymisert/avidentifisert i rapportene. Det er ca. 45 personer ansatt i SHT. De ansatte er personer med teknisk utdanning, utdanning innen samfunnssikkerhet og mer praktisk rettet utdanning og erfaring. 4 Oversendelse av dokumentasjon Datatilsynet ba i varselet av 25. oktober 2012 om at SHT følgende dokumentasjon: a) oversikt over SHTs organisering, eksempelvis i form av organisasjonskart, b) styrende dokumenter for internkontroll og informasjonssikkerhet, jf. personopplysningsloven 13 og 14, og personopplysningsforskriftens kapittel 2 og 3, c) oversikt over personopplysninger som behandles, d) oversikt over informasjonssystemets utforming, eksempelvis i form av konfigurasjonseller systemkart, e) risikovurderinger av informasjonssystemet, jf. personopplysningsforskriftens 2-4, f) avviksrutiner, jf. personopplysningsforskriftens 2-6, g) navn og funksjon på de som deltar fra SHT under kontrollen, dersom dette er avklart. Dokumentasjonen ble sendt Datatilsynet i forkant av kontrollen. En detaljert agenda ble oversendt SHT før kontrollen. Følgende dokumentasjon ble overlevert på møtet: - Autorisasjon dokument som regulerer og viser tilganger til områder i WebSak Følgende dokumentasjon ble etterspurt for ettersendelse a) Rutine for lagring av lydfiler b) Databehandleravtaler c) Vurdering for bruk av ukrypterte minnepinner d) Nasjonal Sikkerhetsmyndighets (NSM) kontrollrapport e) SHTs handlingsplan for lukking av merknader fra NSM f) Rutine for hjemmekontorløsning Ettersendt dokumentasjon ble mottatt hos Datatilsynet 30. november Kort om bruk av personopplysninger samt formålet med behandlingene Hovedtema for kontrollen var ivaretakelsen av SHT sine plikter til å føre internkontroll samt å sørge for tilfredsstillende informasjonssikkerhet for SHTs behandling av personopplysninger. Internkontroll danner en viktig basis i behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. Internkontroll er et ledelsesansvar. 2 av 13
5 Under kontrollen ble SHTs internkontrollsystem og sikkerhetsdokumentasjon gjennomgått på overordnet nivå. Kontrollen hadde fokus på behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. 6 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 6.1 Internkontroll Generelt om personopplysningslovens 14 Virksomheten har etter personopplysningslovens 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i personopplysningslovens regelverk gitt i medhold av denne. Bestemmelsen er utdypet i personopplysningsforskriftens kapittel 3. Internkontrollsystemet omfatter også nødvendig sikkerhetsdokumentasjon. Dette er nærmere omtalt i kapittel 6.2. Datatilsynet ønsket innledningsvis en redegjørelse for hvilke systematiske tiltak SHT hadde satt i verk for å sikre etterlevelse av lovens krav. I henhold til personopplysningslovens 14 skal behandlingsansvarlig dokumentere tiltakene. Dokumentasjonen skal blant annet være tilgjengelig for medarbeiderne hos den behandlingsansvarlige samt for Datatilsynet. Internkontrollen omfatter styrende, gjennomførende og kontrollerende dokumenter Planlagte og systematiske tiltak for internkontroll - internkontrollsystem Virksomheten har etter personopplysningslovens 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i personopplysningslovens regelverk gitt i medhold av denne. Bestemmelsen er utdypet i personopplysningsforskriftens kapittel 3. Det var ikke igangsatt noe systematisk arbeid for å etablere og holde ved like planlagte og systematiske tiltak som er nødvendig for å oppfylle kravene i personopplysningsloven. Planer som var etablert var knyttet opp mot annen lovgivning, for eksempel arkivloven. Vurdering og konklusjon Manglende eller mangelfull internkontroll er et avvik fra personopplysningsloven Ansvarsforhold etter loven - behandlingsansvarlig Behandlingsansvar defineres i personopplysningslovens 2 nr. 4 som : den som bestemmer formålet med behandlingen av personopplysninger og hvilke virkemiddel som skal brukes. Det er den behandlingsansvarlige som er pliktsubjekt etter personopplysningsloven. Det er derfor av avgjørende betydning for enhver virksomhet hvor behandlingsansvaret er lagt. 3 av 13
6 Personopplysningsforskriftens 2-3 Sikkerhetsledelse understreker at det er den behandlingsansvarlige som skal sørge for tilfredsstillende informasjonssikkerhet ved at det blant annet opprettes en sikkerhetsorganisering med klare roller, ansvar og myndighet. Dette er nærmere omtalt i kapittel 6.2. Behandlingsansvaret som tilligger direktør er synliggjort i organisasjonen, og tilstrekkelig dokumentert. Et viktig element i SHTs datafangst er tilgang til taleregistratoren ( black box). For eksempel gjelder dette ved flyulykker. Når en ulykke inntreffer har SHT første prioritet på tilgang på taleregistrator (black box). SHT sender så taleregistratoren til et laboratorium i Storbritannia for å tilgang på informasjonen i klartekst. Når dette er gjort vil taleregistratoren bli tilbakelevert den opprinnelige eier, eller etter avtale med denne, destruert. Vurdering og konklusjon Datatilsynet påpeker at det ikke er dokumentert hvem som er behandlingsansvarlig for personopplysningene i taleregistratoren, og at dette forholdet må avklares. Mye tyder imidlertid på at behandlingsansvaret er hos SHT for slike personopplysninger. Med denne bakgrunn mener vi det i slike sammenhenger ikke er nødvendig med egne databehandleravtaler. Avvik er ikke konstatert Oversikt over behandlinger og behandlingsgrunnlag For at den behandlingsansvarlige skal ha oversikt over omfanget av sitt ansvar må SHT ha en oversikt over hvilke behandlinger av personopplysninger som foretas og hvilke opplysninger som inngår i disse. Oversikten er nødvendig for å sikre at grunnvilkårene i personopplysningslovens 11 er oppfylt. Videre danner oversikten grunnlag for utarbeidelse av virksomhetens sikkerhetsmål og sikkerhetsstrategi og vil være underlag ved virksomhetens risikovurderinger. Kravet til oversikt over behandlinger følger derfor også av personopplysningsforskriftens 2-4. Oversikten over behandlinger må blant annet omfatte den enkelte behandlingens behandlingsgrunnlag (personopplysningslovens 8 og 9) samt formålet med behandlingen ( 11). Alternativt må angivelse av behandlingsgrunnlag og formål fremkomme et annet sted i dokumentasjonen. Kravene til oversikt over behandlinger og behandlingsgrunnlag er utdypet i kapittel 3.5 i veilederen Internkontroll og informasjonssikkerhet som Datatilsynet refererte til under kontrollen. Her fremkommer blant annet et eksempel på hvordan oversikten kan utformes. Havarikommisjonen har ikke opprettet noen oversikt over behandlinger. 4 av 13
7 Manglende oversikt over den enkelte behandling av personopplysninger er et avvik fra personopplysningslovens 14, jf. personopplysningsforskriftens 2-4, 1. ledd Øvrige plikter etter personopplysningslovens 14 jf. personopplysningsforskriftens 3-1 Behandlingsansvarlige må i henhold til personopplysningslovens 14 kartlegge relevante plikter i personopplysningsloven. Aktuelle plikter vil blant annet omfatte plikt til å gi innsyn etter 18, informasjonsplikt etter 19 og 20, samt sletteplikt etter 28. Oversikten over plikter vil være en del av den styrende internkontrollen. Etter at kartleggingen er gjennomført må det utarbeides rutiner for ivaretakelse av de kartlagte pliktene. Dette er en del av den gjennomførende internkontrollen. Slike rutiner kan for eksempel omfatte prosedyrer for innhenting av samtykke og retningslinjer for utlegging av postlister og saksdokumenter på Internett Rett til innsyn Regelverkets krav Det følger av personopplysningsloven 18, 1. ledd at enhver som ber om det skal få vite hva slags behandling av opplysninger behandlingsansvarlig foretar. Den registrertes rett til innsyn følger også av bestemmelsens andre ledd. Virksomheten skal etter personopplysningsloven 3-1, tredje ledd bokstav d) ha rutiner for å sikre at innsyn foretas i samsvar med bestemmelsene i loven. Unntak fra retten til innsyn følger av personopplysningsloven 18 siste ledd og 23. : Dokumentasjon på rutiner for å sikre innsyn til den registrerte er ikke utferdiget. Delkonklusjon Manglende dokumenterte rutiner for å sikre innsyn til den registrerte er å regne som et avvik fra personopplysningslovens 14, jf. personopplysningsforskriftens 3-1 bokstav d) Informasjonsplikt når det samles inn opplysninger fra den registrerte selv og fra andre Regelverkets krav Det følger av personopplysningsloven 19 første ledd at når det samles inn opplysninger fra den registrerte selv skal den behandlingsansvarlige av eget tiltak først informere den registrerte om a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) formålet med behandlingen, c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker, d) det er frivillig å gi fra seg opplysningene, og e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på en best mulig måte, som for eksempel informasjon om retten til å kreve innsyn, jf 18, og retten til å kreve retting, jf. 27 og av 13
8 Det følger av personopplysningsloven 20 at en behandlingsansvarlig som samler inn personopplysninger fra andre enn den registrerte selv, av eget tiltak skal gi informasjon som nevnt i 19. Virksomheten skal etter personopplysningsloven 3-1, tredje ledd bokstav d) ha rutiner for å sikre at informasjonsplikten foretas i samsvar med bestemmelsene i loven. Unntak fra informasjonsplikten følger av personopplysningsloven 19 siste ledd og personopplysningsloven 23. Dokumentasjon på rutiner for å sikre informasjon til den registrerte er ikke utferdiget. Delkonklusjon Manglende dokumenterte rutiner for å sikre informasjon til den registrerte er å regne som et avvik fra personopplysningslovens 19, jf. personopplysningsforskriftens 3-1 bokstav d) Sletting Regelverkets krav I henhold til personopplysningsloven 11 e, jf 28, skal personopplysninger slettes når de ikke lenger er nødvendige for formålet med behandlingen. 1 Virksomheten skal etter personopplysningsforskriften 3-1, bokstav c) ha rutiner for å sikre at sletting foretas i samsvar med bestemmelsene i loven. og vurdering Det er laget en arkivplan. Dette er ikke å regne som dokumenterte rutiner for sletting iht. personopplysningsforskriftenes 3-1 bokstav c). Delkonklusjon Manglende dokumenterte rutiner for å sikre at sletting foretas er å regne som et avvik fra personopplysningslovens 11 e), jf 28 og jf personopplysningsforskriftens 3-1 bokstav c) Manglende dokumentasjon på rutiner for innsynsbegjæringer etter personopplysningsloven 18, informasjonsplikt etter personopplysningslovens 19 og 20, samt sletting etter personopplysningslovens 27 og 28 regnes som et avvik fra personopplysningslovens 14, jf personopplysningsforskriftens Krav om informasjonssikkerhet Regelverkets krav I henhold til personopplysningslovens 13 skal virksomheten gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til 1 Personopplysningsloven 11 bokstav e krever at den behandlingsansvarlige skal rette eller slette, ufullstendige eller overflødige opplysninger. Bestemmelsen presiserer at disse pliktene ikke bare er rettigheter som tilkommer den registrerte, men selvstendige plikter som påhviler den behandlingsansvarlige uavhengig av om den registrete krever det. Det vises i den sammenheng også til Ot.prp. nr. 92 ( ) side av 13
9 konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Tiltakene skal være dokumenterte. Kravene til informasjonssikkerhet er utdypet i personopplysningsforskriftens kapittel 2. For øvrig vises det til Datatilsynets hjemmeside, og veiledningsmateriale som ble overrakt under kontrollen Sikkerhetsledelse I henhold til personopplysningslovens 13 jf personopplysningsforskriften 2-3 skal formålet med behandling av personopplysninger og overordnede føringer for bruk av informasjonsteknologi beskrives i sikkerhetsmål. Valg og prioriteringer skal beskrives i en sikkerhetsstrategi. Bruk av informasjonssystemet skal jevnlig, eksempelvis årlig, gjennomgås for å kartlegge om den er hensiktsmessig for virksomhetens behov og om sikkerhetsstrategien gir tilfredsstillende informasjonssikkerhet som resultat. Sikkerhetsstrategier vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet i virksomheten. Bestemmelsene innebærer blant annet at behandlingsansvarlig skal etablere en sikkerhetsorganisasjon i virksomheten. Sikkerhetsmål og sikkerhetsstrategi SHT har ingen klar nedfelt sikkerhetspolicy som inneholder sikkerhetsmål og sikkerhetsstrategi. Imidlertid ble det i kontrollen erfart at SHT jobber med sikkerhetspolicy i det daglige, men at dette ikke er tilstrekkelig dokumentert. Sentralt her, noe som også ble trukket fram under den stedlige kontrollen, er at formål skal være klart definert og at nødvendighetsvurderinger alltid skal gjennomføres. SHTs sikkerhetsmål og sikkerhetsstrategi er ikke tilstrekkelig dokumentet og gjør det ikke mulig å kontrollere etterlevelsen i virksomheten. Dette er et avvik fra personopplysningslovens 13, jf personopplysningsforskriftens 2-3. Sikkerhetsorganisasjon Basert på tilsendt dokumentasjon og stedlig kontroll framstår ansvar og roller for sikkerhetsledelse ikke eksplisitt dokumentert noen steder. Like fullt gir kontrollen inntrykk av at det arbeides med å etablere en sikkerhetskultur i SHT. Det kan imidlertid framstå som om fordelingen av arbeidet ikke er godt fundert og at ansvarsområder ikke er klart definerte. Det mangler dokumentasjon både på hvordan arbeidet med sikkerhetskultur gjennomføres og på hvordan sikkerhetsorganisasjonen er etablert, fungerer og ansvarslinjer i denne. 7 av 13
10 Det er ikke etablert en sikkerhetsorganisasjon med definerte ansvars og myndighetsforhold. Dette er et avvik fra personopplysningslovens 13, jf personopplysningsforskriften 2-3 og Risikovurdering I henhold til personopplysningslovens 13 jf personopplysningsforskriftens 2-4 skal det føres en oversikt over hvilke personopplysninger som behandles. Det skal fastsette kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. På bakgrunn av dette skal den behandlingsansvarlige foreta risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Resultatet av risikovurderingen skal sammenlignes med de fastlagte kriterier for akseptabel risiko. Resultatet av risikovurderingen skal dokumenteres. Verken tilsendt dokumentasjon eller stedlig kontroll verifiserer at det gjøres systematiske og jevnlige risikovurderinger forbundet med behandlingen av personopplysninger. Manglende dokumenterte risikovurderinger er et avvik fra personopplysningslovens 13, jf personopplysningsforskriftens Sikkerhetsrevisjon Virksomheten plikter i henhold til personopplysningslovens 13 jf personopplysningsforskriftens 2-5 å gjennomføre sikkerhetsrevisjon jevnlig, eksempelvis årlig. Sikkerhetsrevisjon skal omfatte vurdering av organisering og at sikkerhetstiltak som er besluttet etablert faktisk er iverksatt og fungerer etter sin hensikt. Resultatet av sikkerhetsrevisjon skal dokumenteres. Sikkerhetsrevisjon er et viktig grunnlag for kontinuerlig forbedring av informasjonssikkerhet i virksomheten. Resultatet fra sikkerhetsrevisjonen vil være en del av grunnlaget for ledelsens gjennomgang, jf. personopplysningsforskriftens 2-3. På oppdrag fra SHT har NSM gjennomført en sikkerhetsrevisjon hos SHT i Dette er dokumentert i en rapport fra NSM med en tilhørende tiltaksliste fra SHT med tiltak for å lukke de avvik som ble avdekket i gjennomgangen. Rapporten ble ikke gjennomgått av Datatilsynet. Tiltakslisten er mottatt av Datatilsynet og gjennomgått. De fleste avvik som er listet opp på denne er lukket, men det gjenstår ennå noen punkter. Datatilsynets inntrykk under kontrollen var at dette var et engangstilfelle, og ikke et element i en jevnlig sikkerhetsrevisjon. 8 av 13
11 Manglende gjennomføring av jevnlige sikkerhetsrevisjoner er et avvik fra personopplysningslovens 13, jf personopplysningsforskriftens Avvikshåndtering/sikkerhetsbrudd Det følger av personopplysningslovens 13, jf personopplysningsforskriftens 2-6 at virksomheten skal ha rutiner for avvikshåndtering. Resultatet fra avviksbehandling skal dokumenteres. Etter personopplysningslovens 2-8, andre ledd skal medarbeidere ha nødvendig kunnskap for å bruke informasjonssystemet i tråd med de rutiner som er fastlagt. Det er således et krav til at de foreliggende rutiner må implementeres i virksomheten. For de tilfeller der avvik har avdekket uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig, skal Datatilsynet orienteres. SHT har avvikshåndtering med egen avviksrutine. Her ligger også skjema for melding av avvik. Alle avvik behandles både i ledergruppen, i arbeidsmiljøutvalg, i IA-råd og i andre møter med personalorganisasjonene. Det lages anonymiserte oversikter over avvik, som publiseres på intranettet. Avviksrutinen inneholder ikke henvisning til bestemmelsene om avvik i personopplysningsloven. Avvik fra regelverkets krav ble ikke konstatert. Det bemerkes at en henvisning til bestemmelsene om avvik i personopplysningslovens 13, jf personopplysningsforskriftens 2-6 bør innarbeides i rutinen Sikkerhetstiltak Personopplysningslovens 13, jf. personopplysningsforskriftens 2-11, 2-12 og 2-13 stiller som krav til den behandlingsansvarlige at det gjennomføres tiltak som sørger for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet. Personopplysningsforskriftens 2-14 pålegger at det skal innføres sikkerhetstiltak som skal hindre uautorisert bruk av informasjonssystemet og gjøre det mulig å oppdage forsøk på slik bruk. Videre pålegger personopplysningsforskriftens 2-8 tredje ledd og 2-14 annet ledd at henholdsvis autorisert og uautorisert bruk av informasjonssystemet skal registreres. Kravene til informasjonssikkerhet er forholdsmessige, og skal tilpasses opplysningenes beskyttelsesbehov og sannsynlighet for sikkerhetsbrudd. Dette følger av forskriftens 2-1. Forholdsmessighet vurderes gjennom risikovurderinger etter av 13
12 Datatilsynet kan stille krav til sikring av personopplysninger, herunder fastsette kriterier for hvilken risiko som aksepteres. Tilgangskontroll Tilgang til IT-systemene hos SHT er regulert i vanlig Active Directory (AD) med brukernavn og passord. Passordrutinene er skjerpet etter råd fra NSM i forbindelse med deres kontroll. All tilgang er regulert gjennom vanlig AD. Det var vurdert en egen løsning for autentisering mot WebSak, men det ble konkludert med at man ønsket å ha en single sign on for alle systemer. Tilgang til områdene på WebSak er regulert i en egen rutine Autorisasjon, der ansatte gis tilgang knyttet til avdeling, stilling og behov. Det er kun arkivansvarlig som kan gi og slette tilganger til WebSak. Vurdering og konklusjon Datatilsynet mener dagens modell der alle typer løsninger og opplysninger behandles med samme sikkerhetsnivå må risikovurderes. Virksomheten må selv gjøre denne risikovurderingen jf denne rapportens kap 6.2.3, og vurdere hva som er godt nok i henhold til personopplysningslovens 13 jf, personopplysningsforskriftens 2-11og Virksomheten må etablere og innføre et tilfredsstillende informasjonssikkerhetssystem for personopplysninger. Det ble imidlertid ikke konstatert avvik fra regelverkets krav. Hjemmekontorløsning Ansatte i SHT har mulighet for å ha hjemmekontor med bærbar PC, eller andre mobile enheter. Dette er regulert i dokumentet Rutine for bruk av ekstern tilgang til SHTs systemer. I rutinen sies det, Denne løsningen gir deg tilgang til å brukes PC som om du befinner deg på kontoret. Dette må forstås slik at man med hjemmekontor har de samme tilganger og rettigheter som man har når man er fysisk tilstede og innlogget på arbeidsplassen. Både mobile enheter og bærbare PC er er krypterte og må åpnes med passord for at noen skal få tilgang. Tilgang til løsninger på servere, som arkiv med mer, er løst med VPN-tunnel eller ved en terminalserverløsning. Til e-post brukes Outlook anywhere med SSL sertifikat eller Webmail.Webmail kan brukes fra hvilken som helst PC eller mobil enhet som har internettforbindelse. Autentisering skjer med vanlig AD brukernavn og passord. Det var ikke etablerte sterkere autentisering av brukeren ved fjernaksess enn brukernavn og passord. Vurdering og konklusjon Manglende sikkerhet ved autentisering med en tofaktor autentiseringsløsning, eller tilsvarende løsning med samme sikkerhet må risikovurderes., Virksomheten må selv gjøre denne 10 av 13
13 risikovurderingen jf denne rapportens kap 6.2.3, og vurdere hva som er godt nok i henhold til personopplysningslovens 13 jf, personopplysningsforskriftens 2-11og Datatilsynets vurdering her gjelder der det behandles sensitive personopplysninger eller større mengder personopplysninger. Virksomheten må etablere og innføre et tilfredsstillende informasjonssikkerhetssystem for personopplysninger, også når det gjelder bruk av hjemmekontorløsning. Bruk av minnepinner SHT har en utstrakt bruk av minnepinner for lagring og mellomlagring av notater, dokumenter og annet materiale som er nødvendig i inspeksjonsarbeidet. Dette gjøres for å forenkle tilgangen til nødvendig informasjon og til nødvendige dokumenter. Det ble i kontrollen opplyst at det er gjort en vurdering vedrørende bruk av krypterte minnepinner, men er konkludert med at dette ble en for upraktisk løsning. Denne vurderingen er ikke skriftlig dokumentert. Vurdering og konklusjon Datatilsynet vurderer det slik at gitt den faktiske muligheten for å legge hvilke som helst dokumenter fra arkivsystemet over på en minnepinne, så innebærer den måten minnepinner brukes på i dag en reell risiko for at personopplysninger kan komme på avveier. Bruk av minnepinner som ikke er krypterte må risikovurderes. Virksomheten må selv gjøre denne risikovurderingen jf denne rapportens kap 6.2.3, og vurdere hva som er godt nok i henhold til personopplysningslovens 13 jf, personopplysningsforskriftens 2-11og Virksomheten må etablere og innføre et tilfredsstillende informasjonssikkerhetssystem for personopplysninger også for det som transporteres på minnepinner. Bruk av e-post Verken tilsendt dokumentasjon eller kontrollen tilsier at det sendes personopplysninger via e- post. Det er muligheter både kopi, klipp og lim direkte fra arkivløsningen. Dette gjør at det er mulig å både laste over og sende hele eller deler av dokumenter med personopplysninger via e-post. Vurdering og konklusjon Det var ikke etablert sikkerhetsløsninger som hindret uønsket eller overlagt forsendelse av sensitive personopplysninger, som for eksempel nettverksmessige skiller eller innholdsmarkering i kombinasjon med antilekkasjeprogramvare. Bruk av klipp- og limfunksjonalitet til og fra e-post må risikovurderes. Virksomheten må selv gjøre denne risikovurderingen jf denne rapportens kap 6.2.3, og vurdere hva som er godt nok i henhold til personopplysningslovens 13 jf, personopplysningsforskriftens 2-11og av 13
14 Virksomheten må etablere og innføre et tilfredsstillende informasjonssikkerhetssystem for personopplysninger også når det gjelder e-post Opplæring I henhold til personopplysningslovens 13 jf personopplysningsforskriftens 2-8 skal medarbeideren ha nødvendig kunnskap for å bruke informasjonssystemet i samsvar med fastlagte rutiner. Dette medfører at de rutiner som utformes med bakgrunn i de øvrige bestemmelser må implementeres i virksomheten, og at de ansatte må gis den opplæring som er nødvendig for å kunne følge dem. SHT deltok på NorSIS sin sikkerhetskampanje og har sikkerhet på agenda både i ledermøter, i fellesmøter og i møter med personalorganisasjonene. Det er også utviklet et eget reglement for bruk av IT-systemene ved SHT. Det jobbes kontinuerlig med bevisstgjøring om sikkerhet, og hvor viktig dette er for å opprettholde SHTs tillit hos både myndigheter, samarbeidspartnere og i befolkningene generelt. SHT jobber med opplæring og bevisstgjøring av ansatte og samarbeidsparter innen informasjonssikkerhet. Avvik er ikke konstatert. 6.3 Databehandlere En databehandler er i personopplysningslovens 2 nr 5 definert som den som behandler personopplysninger på vegne av den behandlingsansvarlige. Dersom andre virksomheter behandler personopplysninger på vegne av SHT må det inngås en skriftlig databehandleravtale med virksomheten, jf. personopplysningslovens 15. I avtalen skal det fremgå at databehandleren plikter å gjennomføre tiltak for å ivareta tilfredsstillende informasjonssikkerhet, jf. personopplysningslovens 13. Databehandler har et selvstendig ansvar for å ha tilfredsstillende informasjonssikkerhet, for å verne personopplysningene som behandles på vegne av virksomheten, jf. personopplysningsloven 13. Databehandler kan bare behandle opplysninger i henhold til en avtale med virksomheten. SHT eier sin egen tilgangskontroll til bygget, DFØ kjører lønns- og personalsystemet og SHT behandler i noen tilfelle personopplysninger fra svarte bokser, taleregistratorer med mer fra fartøy som har havarert. Det er opprettet databehandleravtale med DFØ i forbindelse med kjøring av lønns- og personalsystemet. Det er ikke databehandleravtaler i forbindelse med behandling av svarte bokser, taleregistratorer med mer. 12 av 13
15 Databehandleravtalen med DFØ er dokumentert og inneholder rettigheter og plikter knyttet til behandlingen av opplysningene. Avvik er ikke konstatert. 13 av 13
Kontrollrapport. Kontrollobjekt: Fylkesmannen i Nord- Trøndelag Sted: Steinkjer
Saksnummer: 15/00436 Dato for kontroll: 15.06.2015 Rapportdato: 29.06.2015 Kontrollrapport Kontrollobjekt: Fylkesmannen i Nord- Trøndelag Sted: Steinkjer Utarbeidet av: Knut-Brede Kaspersen og Hallstein
DetaljerEndelig kontrollrapport
Saksnummer: 14/01059 Dato for kontroll: 26.11.2014 Rapportdato: 26.11.2014 Endelig kontrollrapport Kontrollobjekt: Sortland kommune Sted: Sortland Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand
DetaljerEndelig kontrollrapport
Saksnummer: 14/00257 Dato for kontroll: 09.04.2014 Rapportdato: 06.08.2014 Endelig kontrollrapport Kontrollobjekt: Leikanger kommune Sted: Leikanger Utarbeidet av: Ted Tøraasen Knut-Brede Kaspersen 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Våler kommune Sted: Våler
Saksnummer: 15/00500 Dato for kontroll: 28.05.2015 Rapportdato: 28.07.2015 Kontrollrapport Kontrollobjekt: Våler kommune Sted: Våler Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Nittedal kommune Sted: Nittedal
Saksnummer: 15/01666 Dato for kontroll: 24.11.2015 Rapportdato: 05.01.2016 Kontrollrapport Kontrollobjekt: Nittedal kommune Sted: Nittedal Utarbeidet av: Knut Kaspersen og Hallstein Husand 1 Innledning
DetaljerEndelig kontrollrapport
Saksnummer: 14/01060 Dato for kontroll: 09.10.2014 Rapportdato: 16.12.2014 Endelig kontrollrapport Kontrollobjekt: Hadsel kommune Sted: Stokmarknes Utarbeidet av: Knut-Brede Kaspersen Hallstein Husand
DetaljerKontrollrapport. Kontrollobjekt: Østfold fylkeskommune Sted: Sarpsborg
Saksnummer: 15/00501 Dato for kontroll: 28.05.2015 Rapportdato: 03.07.2015 Kontrollrapport Kontrollobjekt: Østfold fylkeskommune Sted: Sarpsborg Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand
DetaljerKontrollrapport. Kontrollobjekt: Øksnes kommune Sted: Myre
Saksnummer: 14/01055 Dato for kontroll: 09.10.2014 Rapportdato: 20.01.2015 Kontrollrapport Kontrollobjekt: Øksnes kommune Sted: Myre Utarbeidet av: Knut-Brede Kaspersen 1 Innledning Datatilsynet gjennomførte
DetaljerVedtak om pålegg - Endelig kontrollrapport for Bindal kommune
Bindal kommune - Rådmannenn Oldervikveien 5 7980 TERRÅK Deres referanse Vår referanse (bes oppgitt ved svar) 2010/2733-11 13/00455-6/KBK 28. august 2013 Dato Vedtak om pålegg - Endelig kontrollrapport
DetaljerEndelig kontrollrapport
Saksnummer: 14/00490 Dato for kontroll: 27.05.2014 Rapportdato: 30.04.2015 Endelig kontrollrapport Kontrollobjekt: Vardø kommune Sted: Vardø Utarbeidet av: Knut-Brede Kaspersen, Hallstein Husand og Rannveig
DetaljerEndelig Kontrollrapport
Saksnummer: 14/00258 Dato for kontroll: 09.04.2014 Rapportdato: 28.07.2014 Endelig Kontrollrapport Kontrollobjekt: Sogndal kommune Sted: Sogndal Utarbeidet av: Knut B. Kaspersen Ted Tøraasen 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Verdal kommune Sted: Levanger
Saksnummer: 16/00327 Dato for kontroll: 09.11.2015 Rapportdato: 13.04.2016 Kontrollrapport Kontrollobjekt: Verdal kommune Sted: Levanger Utarbeidet av: Knut Kaspersen, Hallstein Husand og Gullik Gundersen
DetaljerKontrollrapport. Kontrollobjekt: Kongsvinger kommune Sted: Kongsvinger
Saksnummer: 15/00499 Dato for kontroll: 18.05.2015 Rapportdato: 24.06.2015 Kontrollrapport Kontrollobjekt: Kongsvinger kommune Sted: Kongsvinger Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand
DetaljerKontrollrapport. Kontrollobjekt: Horten kommune Sted: Horten
Saksnummer: 15/00322 Dato for kontroll: 24.04.2015 Rapportdato: 08.06.2015 Kontrollrapport Kontrollobjekt: Horten kommune Sted: Horten Utarbeidet av: Knut-Brede Kaspersen, Hallstein Husand 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Svelvik kommune Sted: Svelvik
Saksnummer: 16/00074 Dato for kontroll: 14.01.2016 Rapportdato: 08.03.2016 Kontrollrapport Kontrollobjekt: Svelvik kommune Sted: Svelvik Utarbeidet av: Knut Kaspersen, Alf Ole Synstad og Hallstein Husand
DetaljerVedtak om pålegg - Endelig kontrollrapport for Kristiansund kommune Internkontroll og informasjonssikkerhet
Kristiansund kommune Rådhuset, Kaibakken 2 6509 KRISTIANSUND N Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00906-5/HHU 5. desember 2013 Vedtak om pålegg - Endelig kontrollrapport for Kristiansund
DetaljerEndelig kontrollrapport
Saksnummer: 12/00178 Dato for kontroll: 28.03.2012 Rapportdato: 23.08.2012 Endelig kontrollrapport Kontrollobjekt: Lyngen kommune Sted: Lyngseidet Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet
DetaljerKontrollrapport. Kontrollobjekt: Vestby kommune Sted: Vestby
Saksnummer: 15/01603 Dato for kontroll: 04.11.2015 Rapportdato: 06.01.2016 Kontrollrapport Kontrollobjekt: Vestby kommune Sted: Vestby Utarbeidet av: Knut Kaspersen og Hallstein Husand 1 Innledning Datatilsynet
DetaljerEndelig kontrollrapport
Saksnummer: 14/00478 Dato for kontroll: 17.06.2014 Rapportdato: 21.10.2014 Endelig kontrollrapport Kontrollobjekt: Den katolske kirke Oslo Katolske Bispedømme Utarbeidet av: Hallstein Husand og Henok Tesfazghi
DetaljerVedtak om pålegg - Endelig kontrollrapport for Averøy kommune Internkontroll og informasjonssikkerhet
Averøy kommune - Rådmannen Bruhagen Postboks 152 6538 AVERØY Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00904-6/HHU 5. desember 2013 Vedtak om pålegg - Endelig kontrollrapport for Averøy
DetaljerKontrollrapport. Kontrollobjekt: Eigersund kommune Sted: Egersund
Saksnummer: 14/00406 Dato for kontroll: 30.04.2014 Rapportdato: 30.04.2015 Kontrollrapport Kontrollobjekt: Eigersund kommune Sted: Egersund Utarbeidet av: Knut-Brede Kaspersen og Ted Tøraasen 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Steinkjer kommune Sted: Steinkjer
Saksnummer: 15/00437 Dato for kontroll: 15.06.2015 Rapportdato: 03.07.2015 Kontrollrapport Kontrollobjekt: Steinkjer kommune Sted: Steinkjer Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Flekkefjord kommune Sted: Flekkefjord
Saksnummer: 14/00404 Dato for kontroll: 29.04.2014 Rapportdato: 30.04.2015 Kontrollrapport Kontrollobjekt: Flekkefjord kommune Sted: Flekkefjord Utarbeidet av: Knut-Brede Kaspersen og Ted Tøraasen 1 Innledning
DetaljerKontrollrapport. Kontrollobjekt: Hovedredningssentralen Nord-Norge Sted: Bodø
Saksnummer: 14/00492 Dato for kontroll: 28.05.2014 Rapportdato: 30.04.2015 1 Innledning Kontrollrapport Kontrollobjekt: Hovedredningssentralen Nord-Norge Sted: Bodø Utarbeidet av: Knut-Brede Kaspersen
DetaljerVedtak om pålegg - Endelig kontrollrapport for Vega kommune
Vega kommune - Rådmannen Gladstad 8980 VEGA Deres referanse Vår referanse (bes oppgitt ved svar) 2013/1601-4 13/00451-8/KBK 28. august 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for Vega kommune
DetaljerVedtak om pålegg - Endelig kontrollrapport for Sømna kommune
Sømna kommune - Rådmannen Vik 8920 SØMNA Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00454-7/KBK 3. september 2013 Vedtak om pålegg - Endelig kontrollrapport for Sømna kommune Det vises
DetaljerEndelig kontrollrapport
Saksnummer: 12/00321 Dato for kontroll: 29.05.2012 Rapportdato: 10.12.2012 Endelig kontrollrapport Kontrollobjekt: Fremskrittspartiet Sted: Karl Johans gate 25 Utarbeidet av: Knut-Brede Kaspersen 1 Innledning
DetaljerForeløpig kontrollrapport
Saksnummer: 14/00129 Dato for kontroll: 17.03.2014 Rapportdato: 23.06.2014 Foreløpig kontrollrapport Kontrollobjekt: Statens sivilrettsforvaltning Sted: Møllergata 1, Oslo Utarbeidet av: Hallstein Husand
DetaljerVedtak om pålegg - Endelig kontrollrapport for Fiskeridirektoratet Internkontroll og informasjonssikkerhet
Fiskeridirektoratet Postboks 185 Sentrum 5804 BERGEN Deres referanse Vår referanse (bes oppgitt ved svar) 11/7937 13/00201-8/HHU 26. juni 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for Fiskeridirektoratet
DetaljerDet vises til Datatilsynets kontroll hos Brønnøy kommune den 6. juni 2013 varsel om vedtak 13. juni 2013.
Brønnøy kommune Rådmannen Rådhuset 8905 BRØNNØYSUND Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00452-7/KBK 3. september 2013 Vedtak om pålegg - Endelig kontrollrapport - Brønnøy kommune
DetaljerVedtak om pålegg - Endelig kontrollrapport for Utdanningsdirektoratet - internkontroll og informasjonssikkerhet
Utdanningsdirektoratet Postboks 2924 Tøyen 0608 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 2012/6050 12/00973-10/KBK 27. februar 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for
DetaljerEndelig kontrollrapport
Saksnummer: 14/00491 Dato for kontroll: 27.05.2014 Rapportdato: 20.08.2014 Endelig kontrollrapport Kontrollobjekt: Kontoret for voldsoffererstatning Sted: Vardø Utarbeidet av: Knut-Brede Kaspersen Rannveig
DetaljerEndelig kontrollrapport
Saksnummer: 12/00319 Dato for kontroll: 02.05.2012 Rapportdato: 10.12.2012 Endelig kontrollrapport Kontrollobjekt: Sosialistisk Venstreparti Sted: Akersgata 35, Oslo Utarbeidet av: Knut-Bredee Kaspersen
DetaljerVedtak om pålegg - Endelig kontrollrapport for Direktoratet for naturforvaltning - Internkontroll og informasjonssikkerhet
Direktoratet for naturforvaltning Postboks 5672 Sluppen 7485 TRONDHEIM Deres referanse 2012/15619 org-itev Vår referanse (bes oppgitt ved svar) Dato 12/01045-8/KBK 18. februar 2013 Vedtak om pålegg - Endelig
DetaljerKontrollrapport. Kontrollobjekt: Justis- og beredskapsdepartementet Sted: Oslo
Saksnummer: 14/00130 Dato for kontroll: 05.05.2014 Rapportdato: 30.04.2015 Kontrollrapport Kontrollobjekt: Justis- og beredskapsdepartementet Sted: Oslo Utarbeidet av: Hallstein Husand, Knut B. Kaspersen
DetaljerVedtak om pålegg - endelig kontrollrapport kontroll hos Direktoratet for arbeidstilsynet
Direktoratet for arbeidstilsynet Postboks 4720 Sluppen 7468 TRONDHEIM Deres referanse Vår referanse (bes oppgitt ved svar) 2012/30431 12/01044-8/MEI 5. mars 2013 Dato Vedtak om pålegg - endelig kontrollrapport
DetaljerEndelig kontrollrapport
Saksnummer: 12/00320 Dato for kontroll: 05.06.2012 Rapportdato: 10.12.2012 Endelig kontrollrapport Kontrollobjekt: Høyre Utarbeidet av: Knut-Bredee Kaspersen Sted: Oslo 1 Innledning Datatilsynet gjennomførte
DetaljerEndelig kontrollrapport
Saksnummer: 12/00157 Dato for kontroll: 26.03.2012 Rapportdato: 23.08.2012 Endelig kontrollrapport Kontrollobjekt: Kvænangen kommune Sted: Burfjord Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet
DetaljerEndelig kontrollrapport
Saksnummer: 12/00173 Dato for kontroll: 27.03.2012 Rapportdato: 22.08.2012 Endelig kontrollrapport Kontrollobjekt: Nordreisa kommune Sted: Storslett Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet
DetaljerEndelig kontrollrapport
Saksnummer: 14/01434 Dato for kontroll: 13.02.2015 Foreløpig rapport: 19.02.2015 Rapportdato: 27.03.2015 Endelig kontrollrapport Kontrollobjekt: Ving Norge AS Sted: Oslo Utarbeidet av: Martha Eike Knut
DetaljerEndelig kontrollrapport
Saksnummer: 12/00179 Dato for kontroll: 28.03.2012 Rapportdato: 21.08.2012 Endelig kontrollrapport Kontrollobjekt: Storfjord kommune Sted: Storfjord Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet
DetaljerEndelig kontrollrapport
Saksnummer: 14/01426 Dato for kontroll: 27.01.2015 Rapportdato: 07.04.2015 Endelig kontrollrapport Kontrollobjekt: Troms fylkeskommune Sted: Tromsø Utarbeidet av: Knut-Brede Kaspersen og Martha Eike 1
DetaljerDatatilsynet viser til gjennomført kontroll hos Fell kommune den 24. november 2010 og til varsel om vedtak gitt i vårt brev av 13. desember 2010.
Fjell kommune Postboks 184 5342 STRAUME Deres referanse Vår referanse (bes oppgitt ved svar) Dato 10/01137-9/RTH 27. februar 2012 Avslutning av sak - kontroll hos Fjell kommune- Internkontroll og informasjonssikkerhet
DetaljerEndelig kontrollrapport
Saksnummer: 14/01433 Dato for kontroll: 26.01.2015 Foreløpig rapport: 02.02.2015 Endelig rapport: 08.04.2015 Endelig kontrollrapport Kontrollobjekt: Hurtigruten ASA Sted: Tromsø Utarbeidet av: Martha Eike
DetaljerKontrollrapport. Kontrollobjekt: Stjørdal kommune Sted: Stjørdal
Saksnummer: 16/00326 Dato for kontroll: 10.11.2015 Rapportdato: 13.04.2016 Kontrollrapport Kontrollobjekt: Stjørdal kommune Sted: Stjørdal Utarbeidet av: Knut Kaspersen, Hallstein Husand og Gullik Gundersen
DetaljerKontrollobjekt: Østfold fylkeskommune, Malakoff videregående skole Sted: Moss
Saksnummer: 13/00933 Dato for kontroll: 15.10.2013 Foreløpig rapport: 19.12.2013 Endelig rapport: 07.07.2014 Kontrollobjekt: Østfold fylkeskommune, Malakoff videregående skole Sted: Moss Utarbeidet av:
DetaljerEndelig kontrollrapport
Saksnummer: 14/01435 Dato for kontroll: 13.01.2015 Foreløpig rapport: 02.02.2015 Endelig rapport: 06.03.2015 Endelig kontrollrapport Kontrollobjekt: TUI Norway Holding AS Sted: Stabekk Utarbeidet av: Knut
DetaljerDeres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00939-9/MEI 11. juli 2014
Elverum kommune Postboks 403 2418 ELVERUM Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00939-9/MEI 11. juli 2014 Vedtak om pålegg og endelig kontrollrapport Vi viser til Datatilsynets kontroll
DetaljerVedtak om pålegg - endelig kontrollrapport - Kontroll hos Utlendingsnemnda Internkontroll og informasjonssikkerhet
Utlendingsnemnda Postboks 8175 Dep 0034 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 12/00685-8 12/00994-9/MEP 19. februar 2013 Dato Vedtak om pålegg - endelig kontrollrapport - Kontroll hos
DetaljerEndelig kontrollrapport
Saksnummer: 13/00933 Dato for kontroll: 11.10.2013 Foreløpig rapport: 06.12.2013 Endelig rapport: 01.07.2014 1 Innledning Endelig kontrollrapport Kontrollobjekt: Asker kommune, Borgen ungdomsskole Sted:
DetaljerEndelig kontrollrapport
Saksnummer: 12/00176 Dato for kontroll: 27.03.2012 Rapportdato: 05.09.2012 Endelig kontrollrapport Kontrollobjekt: Kåfjord kommune Sted: Kåfjord Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet
DetaljerEndelig kontrollrapport
Saksnummer: 14/00120 Dato for kontroll: 3.3.2014 Foreløpig rapport: 22.4.2014 Endelig rapport: 08.08.14 Endelig kontrollrapport Kontrollobjekt: Rosenlund barnehage Sted:Ski Utarbeidet av: Eirin Oda Lauvset
DetaljerEndelig kontrollrapport
Saksnummer: 13/00937 Dato for kontroll: 17.10.2013 Foreløpig rapport: 13.01.2014 Endelig rapport: 13.08.2014 Endelig kontrollrapport Kontrollobjekt: Randaberg kommune, Harestad skole Sted: Randaberg Utarbeidet
DetaljerEndelig kontrollrapport
Saksnummer: 13/00934 Dato for kontroll: 25.10.2013 Foreløpig rapport: 20.12.2013 Endelig rapport: 07.08.2014 Endelig kontrollrapport Kontrollobjekt: Oslo kommune Sted: Bygdøy skole Utarbeidet av: Martha
DetaljerEndelig kontrollrapport
Saksnummer: 13/00940 Dato for kontroll: 07.11.2013 Rapportdato: 11.03.2014 Endelig kontrollrapport Kontrollobjekt: Rudolf Steinerskolen i Oslo Sted: Oslo Utarbeidet av: Andreas Hobæk Martha Eike 1 Innledning
DetaljerDeres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00137-12/MEI 5. november 2014
Vestfold fylkeskommune Svend Foynsgt 9 3126 TØNSBERG Deres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00137-12/MEI 5. november 2014 Vedtak om pålegg og endelig kontrollrapport Vi viser til
Detaljer14/00406-11/KBK 30.04.2015. Vedtak - Endelig kontrollrapport - Eigersund kommune - Internkontroll og informasjonssikkerhet
Eigersund kommune 4370 EGERSUND Deres referanse Vår referanse Dato 15/8889 / 14/605 /FE-060, Ti-&58 14/00406-11/KBK 30.04.2015 Vedtak - Endelig kontrollrapport - Eigersund kommune - Internkontroll og informasjonssikkerhet
DetaljerDatatilsynet viser til gjennomført kontroll hos kommunen den 22. april 2009 og til varsel om vedtak gitt i vårt brev av 14. mai 2009.
Avslutning av sak - kontroll hos kommune - Internkontroll og informasjonssikkerhet Datatilsynet viser til gjennomført kontroll hos kommunen den 22. april 2009 og til varsel om vedtak gitt i vårt brev av
DetaljerVår referanse (bes oppgitt ved svar)
Kripos - Internasjonal seksjon Postboks 8136 Dep 0034 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 2010/00638 10/00525-10/HVE 18. mai 2012 Dato Vedtak om pålegg - Endelig kontrollrapport for
DetaljerForeløpig kontrollrapport
Saksnummer: 14/00121 Dato for kontroll: 28.02.2014 Foreløpig rapport: 29.04.2014 Endelig rapport: 08.08.2014 Foreløpig kontrollrapport Kontrollobjekt: Nesodden kommune Sted: Heia barnehage Utarbeidet av:
DetaljerEndelig kontrollrapport
Saksnummer: 13/00933 Dato for kontroll: 30.10.2013 Foreløpig rapport: 20.12.2013 Endelig rapport: 07.08.2014 1 Innledning Endelig kontrollrapport Kontrollobjekt: Oslo kommune, Foss videregående skole Sted:
DetaljerVedtak om pålegg og endelig kontrollrapport - Kontroll hos Norsk Medisinaldepot AS 28092011
Norsk Medisinaldepot AS Postboks 183 Kalbakken 0903 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00939-8/SEV 28. februar 2012 Vedtak om pålegg og endelig kontrollrapport - Kontroll
DetaljerVi viser til Datatilsynets kontroll hos Lier kommune ved Høvik skole den 21. mars 2014 og vårt varsel om vedtak 27. juni 2014.
Lier kommune Postboks 205 3401 LIER Deres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00141-9/MEI 22. oktober 2014 Vedtak om pålegg og endelig kontrollrapport Vi viser til Datatilsynets kontroll
DetaljerVår referanse (bes oppgitt ved svar)
Bring Dialog Norge AS Drammensveien 145 a 0277 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 11/00589-10/ABE Dato 4. juli 2012 Vedtak - kontrollrapport for Bring Dialog Norge AS Det vises til
DetaljerEndelig kontrollrapport
Saksnummer: 14/00118 Dato for kontroll: 6.3.2014 Foreløpig rapport: 29.4.2014 Endelig rapport: 8.8.2014 Endelig kontrollrapport Kontrollobjekt: Bjerkås barnehage Sted: Vollen, Asker Utarbeidet av: Martha
DetaljerBrevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak
TVNorge AS Postboks 4800 Nydalen 0422 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00442-5/FUE 2. august 2011 Brevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak
DetaljerForeløpig kontrollrapport
Saksnummer: 14/00139 Dato for kontroll: 18.03.2014 Foreløpig rapport: 22.04.2014 Endelig rapport: 14.07.2014 Foreløpig kontrollrapport Kontrollobjekt: Kongsberg kommune, Skrim ungdomsskole Sted: Kongsberg
DetaljerInternkontroll og informasjonssikkerhet lover og standarder
Internkontroll og informasjonssikkerhet lover og standarder Renate Thoreid, senioringeniør Side 1 Internkontroll og Informasjonssikkerhet Krav i Personopplysningsloven 13 og 14 Krav i Personopplysningsforskriften
DetaljerVedtak - Endelig kontrollrapport for Hovedredningssentralen Nord-Norge Internkontroll og informasjonssikkerhet
Hovedredningssentralen for Nord-Norge Postbpoks 1016 8001 BODØ Deres referanse Vår referanse Dato 2014/01692-2 010 14/00492-7/KBK 30.04.2015 Vedtak - Endelig kontrollrapport for Hovedredningssentralen
DetaljerVedtak - Endelig kontrollrapport - Justis -og beredskapsdepartementet - Internkontroll og informasjonssikkerhet
Justis- og beredskapsdepartementet Postboks 8005 Dep 0030 OSLO Deres referanse Vår referanse Dato 14/7350-AHA 14/00130-7/HHU 30.04.2015 Vedtak - Endelig kontrollrapport - Justis -og beredskapsdepartementet
DetaljerDeres referanse Vår referanse Dato 201300056-69 13/01250-14/EOL 04.12.2014
Finnmark fylkeskommune Fylkeshuset 9815 VADSØ Deres referanse Vår referanse Dato 201300056-69 13/01250-14/EOL 04.12.2014 Vedtak om pålegg - Brevkontroll ved Alta videregående skole Vi viser til Datatilsynets
DetaljerVedtak om pålegg - oversendelse av endelig kontrollrapport for kommune
Deres referanse Vår referanse (bes oppgitt ved svar) Dato 09/858/09/5428 09/00171-8 /ABE 30. juni 2009 Vedtak om pålegg - oversendelse av endelig kontrollrapport for kommune Det vises til Datatilsynets
DetaljerVedtak - Endelig kontrollrapport - Flekkefjord kommune - Internkontroll og informasjonssikkerhet
Flekkefjord kommune Kirkegaten 50 4400 FLEKKEFJORD Deres referanse Vår referanse Dato 15/3356 14/00404-9/KBK 30.04.2015 Vedtak - Endelig kontrollrapport - Flekkefjord kommune - Internkontroll og informasjonssikkerhet
DetaljerPersonopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001
Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001 Personopplysningsforskriften Krav utledet av paragrafene i forskriften Tilsvarer krav og kontroller i ISO/IEC 27001 2-1 Forholdsmessige krav
DetaljerForeløpig kontrollrapport
Saksnummer: 14/00119 Dato for kontroll: 24.02.2014 Foreløpig rapport: 11.04.2014 Endelig rapport: 07.08.2014 Foreløpig kontrollrapport Kontrollobjekt: Norlandiabarnehagene, Myrertoppen barnehage Sted:
DetaljerDatabehandleravtaler
Databehandleravtaler etter personopplysningsloven og helseregisterloven Veileder 26.05.2009 Innholdsfortegnelse DEL I 5 Veileder - databehandleravtaler...6 Datatilsynet...6 Forutsetninger og avklaringer...7
DetaljerKommunens Internkontroll
Kommunens Internkontroll Verktøy for rådmenn Et redskap for å kontrollere kommunens etterlevelse av personopplysningsloven 2012 Innhold Til deg som er rådmann... 4 Hvordan dokumentet er bygd opp... 4 Oppfølging
DetaljerForeløpig kontrollrapport
Saksnummer: 14/00138 Dato for kontroll: 14.03.2014 Foreløpig rapport: 11.04.14 Endelig rapport: 15.07.2014 Foreløpig kontrollrapport Kontrollobjekt: Hamar kommune, Ajer ungdomsskole Sted: Hamar Utarbeidet
DetaljerLagring av personopplysninger. Øyvind Eilertsen UNINETT CERT. SUHS-konferansen Informasjonssikkerhet Behandling av personopplysninger:
Lagring av personopplysninger Øyvind Eilertsen UNINETT CERT SUHS-konferansen 2011 Dagens tekst Informasjonssikkerhet Behandling av personopplysninger: Organisatoriske krav Tekniske krav Informasjonssikkerhetsarbeidet
DetaljerEndelig kontrollrapport
Saksnummer: 14/00122 Dato for kontroll: 7.3.2014 Foreløpig rapport: 16.5.2014 Endelig rapport: 12.8.2014 Endelig kontrollrapport Kontrollobjekt: Espira Gruppen AS Sted: Blåveisbakken barnehage Utarbeidet
DetaljerDatatilsynet viser til gjennomført kontroll hos kommunen den 30. april 2009 og til varsel om vedtak gitt i vårt brev av 25. mai 2009.
Deres referanse Vår referanse (bes oppgitt ved svar) Dato 09/00172-7 /RTH 30. juni 2009 Vedtak om pålegg - endelig kontrollrapport for kommune Datatilsynet viser til gjennomført kontroll hos kommunen den
DetaljerForeløpig kontrollrapport
Saksnummer: 13/00939 Dato for kontroll: 05.11.2013 Foreløpig rapport: 26.02.2014 Endelig rapport: 11.07.2014 Foreløpig kontrollrapport Kontrollobjekt: Elverum kommune, Elverum ungdomsskole Sted: Elverum
DetaljerDet vises til Datatilsynets kontroll hos virksomheten den 28. september 2011 og Datatilsynets varsel om vedtak av 3.november 2011.
Sjøsiden v/senterleder Teatergaten 6 3187 HORTEN Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/01070-2/SEV 12. mars 2012 Vedtak om pålegg og endelig kontrollrapport Det vises til Datatilsynets
DetaljerDet vises til Datatilsynets kontroll hos kommunen den 29. april 2009 og Datatilsynets varsel om vedtak av 25. mai 2009.
Deres referanse Vår referanse (bes oppgitt ved svar) Dato 09/42637 09/00173-7 /RTH 11. september 2009 Vedtak om pålegg - endelig kontrollrapport fra kommune Det vises til Datatilsynets kontroll hos kommunen
DetaljerE-billetteringsnorm: Mal for databehandleravtale (bearbeidet utgave av Datatilsynets avtaleskisse)
Vedlegg 3 til Bransjenorm for behandling av personopplysninger i elektronisk billettering (Bransjenormen) E-billetteringsnorm: Mal for databehandleravtale (bearbeidet utgave av Datatilsynets avtaleskisse)
DetaljerAvslutning av sak og endelig kontrollrapport - Kontroll hos Blålys
Blålys Postboks 70 7201 KYRKSÆTERØRA Deres referanse Vår referanse (bes oppgitt ved svar) Dato 12/01053-4/SEV 12. mars 2013 Avslutning av sak og endelig kontrollrapport - Kontroll hos Blålys Det vises
DetaljerSLA for digitaliseringsalderen: Nettskyer, sikkerhetstjenester og multisourcing. Informasjonssikkerhet og personvern Renate Thoreid
SLA for digitaliseringsalderen: Nettskyer, sikkerhetstjenester og multisourcing Informasjonssikkerhet og personvern Renate Thoreid Formål Driftsavtalen Ved kjøp av driftstjenester knyttet til maskinvare,
DetaljerBilag 14 Databehandleravtale
Bilag 14 Databehandleravtale Telefoni- og sentralbordtjenester Bilag 12 Databehandleravtale Side 1 av 7 Databehandleravtale I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens
DetaljerDatabehandleravtale. I henhold til helseregisterlovens 16, jf. 18 og personopplysningsforskriftens kapittel 2. mellom. Bærum kommune, Pleie- og omsorg
I henhold til helseregisterlovens 16, jf. 18 og personopplysningsforskriftens kapittel 2. mellom Bærum kommune, Pleie- og omsorg databehandlingsansvarlig og Leverandør databehandler Innholdsfortegnelse
DetaljerVIRKE. 12. mars 2015
VIRKE 12. mars 2015 Agenda Internkontroll etter personopplysningsloven Typiske utfordringer i reiselivsbransjen Informasjonssikkerhet et ledelsesansvar Dokumentasjonskravet Kartlegge behandlingene Plikter
DetaljerDatabehandleravtale for NLF-medlemmer
Databehandleravtale for NLF-medlemmer I henhold til Europa parlamentets og Rådets forordning (EU) 2016/679 av 27. april 2016 (heretter GDPR) om vern av fysiske personer i forbindelse med behandling av
DetaljerVedtak om pålegg - endelig kontrollrapport for AS Scan Detect - privat etterforskningsvirksomhet
AS Scan Detect Postboks 54 1330 FORNEBU Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00327-14/MEP 12. november 2013 Vedtak om pålegg - endelig kontrollrapport for AS Scan Detect - privat
DetaljerKonkurranse om minibusstjenester. Vedlegg 8. Databehandleravtale
Versjon 1.0 14.06.2016 Minibuss Follo 2015 Kontrakt Konkurranse om minibusstjenester Vedlegg 8 Databehandleravtale Side 1 Databehandleravtale I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens
Detaljer13/01091-8/MEP 26. mars 2014. Vedtak om pålegg og endelig kontrollrapport - Interkommunal øyeblikkelig hjelp - Kongsvinger kommune
Kongsvinger kommune Fjellg 2 2226 KONGSVINGER Deres referanse Vår referanse (bes oppgitt ved svar) Dato ARI/14/4710/K2- G90, K3-&40/ 13/01091-8/MEP 26. mars 2014 Vedtak om pålegg og endelig kontrollrapport
DetaljerVår referanse (bes oppgitt ved svar)
Justis- og politidepartementet Postboks 8005 Dep 0030 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 201104681/MKJ 11/00706-2/CBR 14. september 2011 Dato Høringsuttalelse - Forslag til ny forskrift
DetaljerHvordan revidere etterlevelse av personvernregelverket? Presentasjon NIRF 16. april 2015
Hvordan revidere etterlevelse av personvernregelverket? Presentasjon NIRF 16. april 2015 Hva er personvern? Personvern: Retten til et privatliv og retten til å bestemme over egne personopplysninger Datatilsynets
DetaljerEndelig kontrollrapport
Saksnummer: 12/00754 Dato for kontroll: 08.10.2012 Rapportdato: 08.04.2013 Endelig kontrollrapport Kontrollobjekt: Toll- og avgiftsdirektoratet Sted: Oslo Utarbeidet av: Atle Årnes Cecilie Rønnevik 1 Innledning
DetaljerEndelig kontrollrapport
Saksnummer: 14/00259 Dato for kontroll: 08.04.2014 Rapportdato: 28.07.2014 Endelig kontrollrapport Kontrollobjekt: Sogn og Fjordane fylkeskommune Sted: Leikanger Utarbeidet av: Ted Tøraasen Knut-Brede
DetaljerVedtak om pålegg - Endelig kontrollrapport for Stavanger Taxi - Kameraovervåking av taxi
Stavanger Taxi Postboks 14 Forus 4064 STAVANGER Deres referanse Vår referanse (bes oppgitt ved svar) Dato 12/00716-13/SDK 17. oktober 2013 Vedtak om pålegg - Endelig kontrollrapport for Stavanger Taxi
DetaljerKan du legge personopplysninger i skyen?
Kan du legge personopplysninger i skyen? 05.05.2015 Datatilsynet Uavhengig forvaltningsorgan Tilsyn og ombud Forvalter personopplysningsloven og forskrifter 40 medarbeidere Faggruppe 1 (justis, bank/finans/forsikring,
Detaljer