GDPR Konkrete problemstillinger fra institusjonene. Ingrid Olsen Fossum og Sadia Zaka Jurister ved Unit FS-Brukerforum 2018

Transkript

1 GDPR Konkrete problemstillinger fra institusjonene Ingrid Olsen Fossum og Sadia Zaka Jurister ved Unit FS-Brukerforum

2 Lovisenberg Diakonale høgskole Rapporter i FS og forhåndsvalgte verdier. - Det er x antall rapporter i FS. Mange brukes mye og andre bruke i mindre grad. Det flere av rapportene har til felles er at de har forhåndsvalgte verdier/defaulte verdier. Er det f.eks. hensiktsmessig at merknadsfelt er forhåndsvalgt i rapport FS Studenter i studiekull? 2

3 Lovisenberg Diakonale høgskole Saksbehandler har et selvstendig ansvar Tjenestelig behov Hvilke personopplysninger trenger jeg for å gjøre denne behandlingen? Hvilken rapport? Hvilke avkrysninger? Dette vil forenkle bruken av rapporten, mer oversiktlig, i tillegg til at man ivaretar hensynet til personvern. 3

4 Norges Idrettshøgskole - Fagansatte som ønsker klasselister og kull/emnelister på papir - Lister over studenter til medstudenter (tillitsvalgte ol) - Navn på foreleser/student i timeplan som ligger offentlig på web (vi har ikke studentinfo ute, men vet andre har det) Institusjonen som er behandlingsansvarlig, og som må lage retningslinjer for behandling av personopplysninger i sine systemer. Ikke generelt forbud i GDPR Er denne type behandling nødvendig for å oppnå formålet med behandlingen? 4

5 Norges Idrettshøgskole - Lagring av sensitiv informasjon på hjemmeområder i pågående saker. Reguleres i stor grad av institusjonenes eget IT-regelverk. - Pårørende som er bekymret eller publikum som ønsker å få tak i enkeltstudenter. Pårørenderegister? Hvorfor tar vedkommende kontakt, hvilke opplysninger ønsker vedkommende? 5

6 Universitetet i Stavanger (og NLA Høgskolen) - Utlevering av informasjon om studenter til offentlige institusjoner (eksempelvis NAV, politi o.l.). Hvordan bør dette håndteres? Skriftlig Den som ber om å få opplysningene utlevert må vise til rettslig grunnlag. Ulike lovverk, be om konkret henvisning. Ta kontakt med personvernombud. 6

7 Høgskulen på Vestlandet -GDPR sett i forhold til å ta ut data fra FS-basen og bruke andre steder, lagre lokalt på PC osv. Det kan gjelder studentlister med navn og adresse, resultatlister, statistikk osv. Konkret vurdering. Innenfor formålet? Nødvendig for å oppfylle formålet? Hvilke opplysninger? Ulik grad av sensitivitet. Statistikk, ikke personopplysninger. Unngå e-post, se eget IT-regelverk. 7

8 HVL forts. -Hvilke opplysninger har studentene krav på å få utlevert og hvordan gjør vi ev. Det? GDPR styker den registrertes rettigheter Studenten har i utgangspunktet rett til å få innsyn i alle opplysninger Henvise til studentweb -Hva har studenten krav på å få slettet og hvordan gjør vi ev. det? Konkret vurdering i hvert tilfelle, dersom opplysningene er feil. 8

9 Høgskulen i Vestlandet - GDPR ift offentleglova når det gjelder utlevering av personopplysninger til tredjeparter som tar kontakt med oss. Vi må skille mellom: 1) Utlevering av personopplysninger etter GDPR Må foreligge et rettslig grunnlag for behandling/utlevering, jf. GDPR art. 6 Det må foretas en konkret vurdering Ved tvil be om bistand fra personvernombud eller jurist med personvernkompetanse 2) Innsyn i dokumenter som inneholder personopplysninger Offentleglova Vi gir ikke ut kontaktinformasjonen til søkere Det kan være søkere som har krav eller behov for beskyttelse Kontaktinformasjonen til slike personer er taushetsbelagt, og det er altfor arbeidskrevende å kartlegge dette Man kan vurdere å gi innsyn i navnelister, som ikke inneholder kontaktinformasjon, jf. tidligere sak med Rekruttering AS hvor KD ga innsyn i navnelister på uteksaminerte studenter 9

10 HVL forts. - GDPR ift bruk av personopplysninger til egenreklame Kan vi bruke innsamlet kontaktinformasjon til å reklamere for egne studietilbud? Personopplysninger skal som hovedregel ikke brukes til et annet formål enn det de opprinnelig er samlet inn for. Kontaktinformasjonen til studenter og søkere --> Personopplysninger Formålet med behandlingen av personopplysninger i FS --> Uhl første ledd: Formålet med behandlingen er å ivareta studentens rettigheter, og oppfylle institusjonens oppgaver og plikter etter uhl. Markedsføring, henvendelser som bærer preg av å være markedsføring, oppsøkende henvendelser osv. er ikke en del av formålet med behandlingen av personopplysninger i FS Ved markedsføring Institusjonen MÅ innhente samtykke fra søkerne 10

11 HVL forts. - Kan sensitive personopplysninger lagres i Felles studentsystem? F. eks. helseopplysninger som en student har sendt inn ifm med søknad om tilrettelegging på eksamen. FS er per i dag ikke tilrettelagt for behandling eller lagring av sensitive personopplysninger eller sensitiv dokumentasjon Det rettslige grunnlaget er på plass, jf. Uhl tredje ledd, men behandling av sensitive personopplysninger forutsetter at nødvendige sikkerhetstiltak er på plass Per i dag: Institusjonene kan ikke lagre sensitive personopplysninger el. sensitiv dokumentasjon i FS Unit ønsker å tilby sektoren en løsning for behandling av sensitive personopplysninger om ikke så altfor lenge 11

12 Universitetet i Bergen - Kan FS-brukere laste ned data fra Felles studentsystem til interne mapper, minnepinner eller som vedlegg i e-poster? Hvor lenge kan vi lagre disse dataene? Er det forskjell på stasjonære datamaskiner vs. bærbare? Hva med lagring i skyen? Dere må følge institusjonens IT-reglement og retningslinjer for lagring Institusjonene er behandlingsansvarlig for sine FS-data, og må selv avgjøre hvordan disse dataene skal sikres når de behandles utenfor Felles studentsystem Dere bør ha på plass nødvendige sikkerhetstiltak, som for eksempel kryptering og tilgangskontroller Etablere sletterutiner - Når formålet er oppfylt skal dataene slettes 12

13 Universitetet i Bergen - Hva er intensjonen med GDPR? FS-brukere fra ulike institusjoner har kommet både langt og mindre langt når det gjelder implementering av GDPR. Intensjonen med GDPR er å ivareta personvernet og rettighetene til enkeltindividet Personopplysninger skal vernes og sikres ved elektronisk behandling Hovedtrekkene i GDPR: Webinar om GDPR er tilgjengelig her: 13

14 Universitetet i Oslo - Progresjonsrapporter til UDI og studenter med utestenging/eksamenskarantene. Kan vi opplyse til UDI at studenten har fått en sanksjon, og at dette er årsaken til manglende progresjon? Institusjonen kan ikke utlevere flere personopplysninger enn det er rettslig grunnlag for Institusjonen kan kun utlevere opplysninger UDI har hjemmel til å få utlevert, dvs. Opplysninger UDI etter deres regelverk har krav på å få utlevert, og som skal vektlegges ved deres behandling av vurdering av fornyet oppholdstillatelse. 14

15 Universitetet i Oslo Er det nødvendig med samtykke fra studenten for deling av personopplysninger med utenlandske partnerinstitusjoner hvor studenten drar på utveksling? En student som drar på utveksling til en utenlandsk utdanningsinstitusjon får rent formelt studentstatus ved denne institusjonen Dere må undersøke om den utenlandske institusjonen har et rettslig grunnlag for behandlingen. Uhl gjelder kun for norske institusjoner som er omfattet av universitets- og høyskoleloven. Vurder om det er forsvarlig å utlevere personopplysninger om en av deres studenter til den utenlandske institusjonen Utlevering til et EU/EØS-land? Utlevering til et tredjeland? GDPR stiller strengere krav ved utlevering til et tredjeland USA Har institusjonen godtatt Privacy Shield? For å unngå tvil om det rettslige grunnlaget Innhent samtykke fra den enkelte student, og sørg for å ha dokumentasjon på at samtykke ble innhentet før utlevering 15

16 16

17 17

18 18

19 19