FORVALTNINGSDAG KOMPETENT ÅPEN PÅLITELIG SAMFUNNSENGASJERT

Transkript

1 FORVALTNINGSDAG KOMPETENT ÅPEN PÅLITELIG SAMFUNNSENGASJERT

2 HVORFOR HAR VI VALGT DETTE TEMAET? Et område som blir stadig mer aktuelt Fremvekst av informasjonssamfunnet Teknologiutviklingen åpner opp for mer avanserte former for innhenting og behandling av personopplysninger Personopplysninger behandles i stadig større omfang Nytt regelverk som vi må kjenne til

3 HVOR BEFINNER VI OSS I DET RETTSLIGE LANDSKAPET? PERSONVERN PERSONOPPLYSNINGS VERN

4 REGLENE OM PERSONVERN HANDLER OM: Personlig integritet Privatlivets fred For eksempel grunnlovens 102, 1. ledd «Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon» Grl ledd: «Statens myndigheter skal sikre vern om den personlige integritet» Eksempel her er bestemmelser i straffeloven. Vern mot drap og vold.

5 KUNNSKAPSMÅL: 1. Å GI DERE EN INNFØRING I PERSONREGELVERKET 2. GJØRE DERE BEDRE I STAND TIL Å HÅNDTERE PERSONVERNSPØRSMÅL I SKOLEN

6 HVORFOR MÅ DE ANSATTE I SKOLENE HA KUNNSKAP OM PERSONVERNREGLENE?

7 FORDI: En rekke av de oppgavene skolene utfører til daglig innbefatter håndtering av personopplysninger

8 Eksempel på personopplysninger som behandles i skolen?

9 Skolen innhenter og registrerer informasjon om enkeltelever, foreldre og ansatte elektronisk Skolen legger ut bilder av elever på internett Skolen registrerer elevopplysninger i skolens læringsplattform Skolen utveksler informasjon med foresatte per e-post og sms Skolen utveksler informasjon om elever til skoleeier, barnevern og Fylkesmann

10 Ulike eksempler på personopplysninger i skolen Navn, alder og fødselsnummer Adresse Telefonnummer og e-postadresse Opplysninger om elevenes underveis- og sluttevalueringer Fravær og anmerkninger Faglig progresjon Spesielle undervisningsbehov Atferdsmønstre og sosiale evner Kommunikasjon mellom elever Kommunikasjon mellom lærer og elev Informasjon om allergier Logg fra elevenes bruk av skolens nettverk Bilder, videoer eller lydfiler av elever

11 HVORFOR ER DET VIKTIG Å VITE HVILKE OPPLYSNINGER SOM REGNES SOM PERSONOPPLYSNINGER? Med en gang en skole har å gjøre med en personopplysning, skal personopplysningene behandles i tråd med EUs personvernforordning (GDPR). Forordningen har et sett med regler som gjelder for alle EU/EØS-land. I 2018 har Norge fått en ny personopplysningslov. Loven består av nasjonale regler og EUs personvernforordning. Reglene for hvordan vi behandler personopplysninger finnes derfor i personopplysningsloven.

12 NÅR GJELDER PERSONOPPLYSNINGSLOVEN? Når virksomheter foretar automatisk (typisk elektronisk) behandling av personopplysninger Når virksomheten foretar ikke-automatisk behandling av personopplysningene, men personopplysningene skal inngå i et register Loven gjelder IKKE behandling av personopplysninger som utføres av fysiske personer som ledd i rent private eller familiemessige aktiviteter ( for eksempel kameraovervåkning av eget hus)

13 HVA ER EN PERSONOPPLYSNING? En personopplysning er er en opplysning som kan knyttes til en bestemt person. Det sentrale er om en enkeltperson kan identifiseres på bakgrunn av opplysningene, jamfør EU- direktivet artikkel 4.

14 I vurderingen av om en enkeltperson kan identifiseres, skal det tas i betraktning alle hjelpemidler noen kan ta i bruk for å oppnå dette.

15 Personopplysninger kan være: 1)opplysninger som alene identifiserer en bestemt person = direkte identifisering 2)opplysninger som sammen med annen informasjon kan knyttes til en bestemt person = indirekte identifisering.

16 Identifikasjon av en enkeltperson trenger ikke være navn. Det kan også være for eksempel fødselsnummer, IP-adresse eller fingeravtrykk. Er opplysningene anonyme, dvs. at de ikke kan knyttes til en bestemt person, er det ikke snakk om personopplysninger.

17 2 TYPER PERSONOPPLYSNINGER: 1. ALMINNELIGE PERSONOPPLYSNINGER 2. SENSITIVE PERSONOPPLYSNINGER

18 VILKÅR FOR Å BEHANDLE PERSONOPPLYSNINGER Lovens utgangspunkt: Det er FORBUDT å behandle personopplysninger Unntak: I de tilfellene det foreligger et rettslig grunnlag. Her er det 3 hovedkategorier: 1. Lov 2. Samtykke 3. Nødvendighetsgrunner, det vil si der det er nødvendig for å kunne utøve offentlig myndighet

19 LOV SOM RETTSLIG GRUNNLAG FOR Å BEHANDLE PERSONOPPLYSNINGER 1)Lovhjemmel kan være et selvstendig rettsgrunnlag 2) Lovhjemmel kan være et supplerende rettslig grunnlag knyttet til nødvendighetsgrunnene

20 Eksempel på lov som rettslig grunnlag for å behandle personopplysninger Opplæringsloven: For eksempel: Bestemmelsene om spesialundervisning i opplæringsloven kapittel 5 Bestemmelsene om elevene sitt skolemiljø i opplæringsloven kapittel 9A

21 Kommunen har et rettslig grunnlag for behandling av sine personopplysninger knyttet til de foresatte til skolebarna våre. Hjemmelen er forskrift til opplæringsloven 22-A. Forskriften er fattet med hjemmel i opplæringsloven. «Når det er nødvendig for å utføre oppgåver etter opplæringslova, kan offentlege myndigheiter utan hinder av teieplikt innhente opplysningar frå Folkeregisteret om: a) kven som er foreldra til barn som mottar, eller skal motta, tenester etter opplæringslova b) kven som har foreldreansvaret for barn som mottar, eller skal motta, tenester etter opplæringslova c) andre barn av foreldra som er nemnde i bokstav a d) ektefelle eller registrert partnar til foreldra som er nemnde i bokstav a.» For at Bergen kommune skal kunne oppfylle sine tjenester etter opplæringsloven trenger kommunen å innhente opplysninger om blant annet hvem som er foreldrene til barn som mottar eller skal motta tjenester etter opplæringsloven.

22 Praktisk oppgave

23 HAR LILLEVIK SKOLE HANDLET I STRID MED PERSONVERNREGLENE? Peder Ås er elev ved Lillevik skole. Peder sine foreldre har sendt klage til Fylkesmannen fordi Peder ikke opplever å ha et trygt og godt skolemiljø ved Lillevik skole. Bakgrunnen for dette er at han stadig blir krenket av medeleven Marte Kirkerud. Fylkesmannen sender brev til skolen og ber om at skolen redegjør for hva skolen gjør for å oppfylle retten til et trygt og godt skolemiljø for Peder. Skolen starter å undersøke saken. De er tett på elevene og følger nøye med på hva som skjer. Skolen ønsker å hjelpe Peder og som et ledd i dette noterer de daglig hva som skjer mellom disse to elevene og hvordan skolen forholder seg til dette. Dokumentasjonen lagres i elevmappen til eleven i saksbehandlingssystemet BK360. Peder Ås sine foresatte blir svært opprørte når de får høre om dette. De hevder at skolen ikke har lov til å skrive ned daglige observasjoner da dette vil stride mot personvernet til Peder. Når foresatte ikke har samtykket til dette har ikke skolen lov til å skrive disse notatene. Har skolen brutt loven ved loggføringen? Hvorfor? Hvorfor ikke?

24 SVAR: 1. Notatene som skrives om eleven er personopplysninger. Notatene forteller hva en konkret elev gjør og hvor han befinner seg store deler av skoledagen. 2. Notatene er lagret elektronisk. Det blir dermed en elektronisk behandling av personopplysningene. Personopplysningsloven gjelder. 3. Skolen må derfor ha et rettslig grunnlag for å kunne behandle disse personopplysningene 4. Har skolen et rettslig grunnlag når foresatte ikke har gitt samtykke? 5. Skolen har en aktivitetsplikt etter opplæringsloven 9A-4. Skolen har en aktivitetsplikt for å oppfylle kravene til et trygt og godt skolemiljø for elevene. De er blant annet forpliktet til å følge med og undersøke samt å dokumentere hva de gjør. Konklusjon: Skolen har et rettslig grunnlag som følger av lov. De har ikke brutt personvernlovgivningen selv om foresatte ikke har samtykket til loggføringen.

25 TILFELLENE HVOR DET IKKE FORELIGGER LOVHJEMMEL KAN MAN DA BEHANDLE PERSONOPPLYSNINGER?

26 DU EIER OPPLYSNINGEN OM DEG SELV DU KAN SAMTYKKE TIL AT NOEN BRUKER DINE PERSONOPPLYSNINGER

27 SAMTYKKE

28 Når foreligger det et rettslig bindende samtykke?

29 KRAV TIL SAMTYKKE, Jf EU-direktivet art. 4 Frivillig Det må fremgå spesifikt hva det er samtykket til Utvetydig Informert Samtykket må kunne dokumenteres Samtykkekompetanse Samtykket skal enkelt kunne trekkes tilbake

30 Utlevering av klasselister:

31 Halloweenfest for 6. trinn ved Lillevik skole

32 Oppgave: Klassekontaktene til 6. trinn ved Lillevik skole ønsker å arrangere Halloweenfest for alle barna på trinnet. De har lagt ut informasjonen om festen på foreldrenes facebookside, men siden ikke alle foreldrene har facebook kontakter de lærerne på trinnet og ber om å få utlevert følgende: 1) klasselistene med navn og adresse til alle elevene, samt telefonnummer til foreldrene 2) epost-adressene til foreldrene. Spørsmål: kan lærerne levere ut denne informasjonen? Hvorfor? Hvorfor ikke?

33 Svar: 1) Klasselister Lister over elever og barn i offentlige skoler og barnehager er offentlige dokumenter. Hovedregelen er da at så lenge listene bare inneholder navn, adresse, telefonnummer og eventuelt fødselsnummer, er hele listen offentlig og kan oppgis når noen ber om innsyn etter reglene i offentleglova. Skolen må imidlertid vurdere om noen av opplysningene er taushetsbelagt, for eksempel om et barn bor på en barnevernsinstitusjon eller har hemmelig adresse. Slike opplysninger skal ikke leveres ut.

34 I den enkelte klassen kan skolen levere ut elevlister med kontaktinfo til elevene i klassen slik at det blir lettere for foreldre og elever å ta kontakt med hverandre. Personopplysningsloven tillater at kontaktopplysninger utleveres på denne måten når det er saklig grunn til det. Læreren må ta forholdsregler for å ikke bryte taushetsplikten også når klasselister utleveres. Datatilsynet anbefaler at skolen har en dialog med foreldre før klasselister deles ut, for å sikre at taushetsbelagte opplysninger ikke blir delt.

35 Fra Datatilsynets nettsider «Skulane er ansvarlege På grunn av risikoen for at personopplysningane kan kome på avvegar, tilrår Datatilsynet at skulane syner stor varsemd ved kva personopplysningar dei leverer ut. Kommunen vil kunne vere erstatningspliktig dersom ein gløymer å sladde hemmelege adresser eller det skjer andre brot på teieplikta. Ikkje på nett Etter offentleglova kan offentlige dokument publiserast på internett. Opplysningar som er underlagt teieplikt, sensitive opplysningar og personnummer derimot skal ikkje publiserast. Datatilsynet meiner likevel at skulane av omsyn til personvernet ikkje bør publisere elevlister på nett.»

36 Kan Lillevik skole dele ut epost-adressene til elevenes foresatte til klassekontaktene som ber om det? Hovedregel: skolen kan ikke utlevere epost-adressene til elevenes foresatte. Unntak: dersom de foresatte har gitt samtykke til utlevering av epostadressene kan disse leveres ut.

37 Hvorfor kan klasselister leveres ut mens epostadresser ikke kan leveres ut? Svar: Vi klør oss i hodene og lurer på det samme

38 Oppgave: Foresatt Sandra Salamander skal på møte med rektor, avdelingsleder og kontaktlæreren til sønnen Peder Ås som er elev ved Lillevik skole. Sandra Salamander er lei av at skolen aldri følger opp Peder slik de sier de skal gjøre. Hun ønsker derfor å gjøre lydopptak av møtet slik at hun lettere kan bevise hva som er blitt sagt i møtet og hva skolen har lovet at den skal gjøre for Peder. Kontaktlærer TomTastad ønsker ikke at det gjøres lydopptak på møtet. Han viser til eget personvern og sier til Sandra Salamander at han ikke gir sitt samtykke til lydopptak. Spørsmål: Kan Tom Tastad nekte Sandra Salamander å gjøre lydopptak av møtet? Hvorfor? Hvorfor ikke?

39 Svar: Lydopptak av samtaler innebærer registrering og lagring av personopplysninger. Det gjelder alle lydopptak som gjøres når en person prater Spørsmålet er om personopplysningsloven gjelder Personopplysningsloven gjelder ikke ved lydopptak som utføres av en person som ledd i rent personlige eller familiemessige aktiviteter Er lydopptak som en foresatt gjør i møte med skolen en personlig aktivitet? Dersom lydopptaket skal falle utenfor personregelverket så må både opptaket og sammenhengen opptaket skjer i anses som rent personlig aktivitet.

40 Dersom foreldre gjør lydopptak av eget barn og sender dette til besteforeldrene, så må det anses som rent personlig eller familiemessig aktivitet I situasjoner der det gjøres opptak av møter eller undervisning stiller det seg annerledes. Da vil sammenhengen opptaket skjer i og hensynet til de som er til stede og blir tatt opp, kunne trekke i retning av at det ikke er en rent personlig aktivitet i lovens forstand.

41 Konklusjon: Lærer Tom Tastad kan motsette seg at Sandra Salamander gjør lydopptak av møtet. Opptaket skjer på et møte i skolens regi. Sammenhengen opptaket skjer i og hensynet til læreren kan trekke i retning av at dette ikke er en personlig aktivitet. Sandra Salamander trenger et rettslig grunnlag for å kunne behandle personopplysningene. Det har hun ikke når hun ikke får samtykke til opptaket av kontaktlærer Tom Tastad.

42 NØDVENDIGHETSGRUNNER ARTIKKEL 9 Dersom man ikke har samtykke må det være et annet rettslig grunnlag Dette er tilfellet hvor det er nødvendig for å 1) Utføre en rettslig forpliktelse 2) Utføre en oppgave i allmennhetens interesse 3) Utøve offentlig myndighet

43 DEN REGISTRERTES RETTIGHETER, jf forordningens kapittel III NB: Denne listen er ikke uttømmende Den registrertes rett til innsyn, jamfør artikkel 15 Hvilke opplysninger behandles om vedkommende Virksomheten plikter å gi innsyn i sikkerhetstiltakene som virksomheten har etabler. Unntak: så lenge ikke innsynet svekker sikkerheten i virksomheten. Rett til retting av uriktige opplysninger, jamfør artikkel 16 Rett til sletting («rett til å bli glemt»), jamfør artikkel 17 Når personopplysningene ikke lenger er nødvendige for formålet Den registrerte trekker tilbake samtykket Unntak: arkivloven kan pålegge lagring utover det som følger av forordningen

44 SÆRLIG OM VIDERE BRUK FOR NYE FORMÅL Hovedregel: personopplysninger samles inn for spesifikke, uttrykkelig angitte og berettigede formål, jamfør forordningen artikkel 5 nr.1 bokstav b) Det er ikke tillatt å bruke personopplysningene for et annet formål enn det de er innsamlet for med mindre den registrerte samtykker til dette, jamfør forordningens artikkel 6 nr. 4 Formålet må være forenlig

45 Vurderingen av om formålet er forenlig Se på om det er sammenheng eller forbindelse med formålene Sammenhengen personopplysningene er blitt samlet inn er opplysningene samlet inn i en annen sammenheng taler dette mot at formålene er forenlige Personopplysningenes art Mulige konsekvenser for den registrerte

46 Oppgave: SKOLEFOTOGRAFERING

47 Har Bergen kommune handlet i strid med personopplysningsloven? Skolene i Bergen kommune kontaktes hvert år av Ariel Foto i forbindelse med skolefotografering. Skolefotografering er en tradisjon som hvert år etterspørres av mange foresatte. For å kunne få til en praktisk gjennomføring av skolefotograferingen trenger Ariel Foto kontaktinfo til elevenes foresatte. Det er en etablert praksis i kommunen at skolene leverer ut denne informasjonen.

48 Drøft: Kan skolene videreformidle denne informasjonen til Ariel Foto? Hvorfor? Hvorfor ikke?

49 Min vurdering: Skolene kan ikke videreformidle denne informasjonen til Ariel Foto. Formålet med behandlingen av personopplysningene er ikke forenlig med det opprinnelige formålet for innhenting av personopplysningene. Opprinnelig formål: å være i stand til å tilby de tjenestene til innbyggerne som kommunen er forpliktet til i henhold til opplæringsloven. Dersom skolene i Bergen kommune skal videreformidle denne informasjonen til Ariel Foto må de foresatte ha gitt sitt samtykke til dette.

50 Hvor lenge lagrer skolen personopplysninger om en elev? Hvor lenge det er lov til å lagre opplysninger om elever i skolen er avhengig av om hva som er formålet med at opplysningene ble registrert, og om de er arkivpliktige. Arkivpliktige opplysninger blir lagret på ubestemt tid i kommunen/fylkeskommunens arkiv. Personopplysninger som ikke er arkivpliktige skal slettes når formålet med at de ble lagret er oppfylt. Dersom en elev for eksempel har fått merknader for orden som skal ligge til grunn for vurdering av ordenskarakter, og konklusjonen blir at ordenskarakteren ikke skal settes ned, så bør merknadene slettes. Formålet, nemlig å ha grunnlag for å vurdere ordenskarakteren, er da oppnådd.

51 Publisering av bilder av barn Hvordan er reglene for publisering av bilder av barn? Og hvordan skal barnebilder håndteres slik at barnas rett til personvern og integritet tas vare på? Datatilsynet har laget en veileder som vil være nyttig for alle som ønsker å ta eller dele bilder av barn - enten det er i privat eller offentlig regi.

52 Rettsvirkninger av brudd på personopplysningsloven / personverndirektivet? Avvik må meldes til Datatilsynet innen 72 timer etter at avviket ble oppdaget. Personvernombudet i kommunen sender avviksmeldinger på vegne av Bergen kommune. Datatilsynet kan gi pålegg om retting Datatilsynet skal vurdere konkret om det skal ilegges overtredelsesgebyr i hvert enkelt tilfelle, jamfør personopplysningsloven 26 jamfør forordningen artikkel 83 nr. 4 Tidligere var øvre gebyrgrense på kroner Forordningen har en øvre grense på 20 millioner euro (eller 4% av samlede globale årsomsetning i foregående regnskapsår for foretak dersom dette utgjør et høyere beløp).

53 Personvern og nettvett for barn og unge Personvern er en grunnleggende rettighet. Vet barn og unge hvilke lover og regler som gjelder for deres eget personvern? Hva med foreldrene? Se filmen dersom du er usikker. Sjekk også ut dubestemmer.no - en nettressurs der unge (og voksne) kan lære mer om personvern og nettvett. Les mer om Du bestemmer-prosjektet Forsiden til dubestemmer.no