Endeleg kontrollrapport

Transkript

1 Saksnummer: 13/00938 Dato for kontroll: Førebels rapport: Endeleg rapport: Endeleg kontrollrapport Kontrollobjekt: Eid kommune, Nordfjordeid skule Sted: Nordfjordeid Utarbeidd av: Andreas Hobæk Martha Eike 1 Innleiing Datatilsynet gjennomførde kontroll hos Nordfjordeid skule i Eid kommune den 19. november Kontrollen blei utførd med heimel i personopplysningslova 44, jf. 42, tredje ledd. Temaet for kontrollen var kommunen si behandling av personopplysningar ut frå krava i personopplysningslova med forskrifter. Under kontrollen var det spesiell merksemd kring skulen sin plikt til å ha oversikt over elevopplysningar som blir behandla i skuleadministrative system, læringsplattformar og andre digitale læringsressursar, samt informasjonssikringa rundt desse behandlingane. Datatilsynet vil her skildre dei tilhøva som blei avdekte under kontrollen. Kontrollrapporten dannar grunnlag for Datatilsynets vurderingar og eventuelle pålegg. 2 Tilstades under kontrollen 2.1 Frå verksemda: - Nils Petter Nes, rektor - Harald Sivertsen, kommunalsjef - Oskar Haraldsen, spesped.koordinator - Anne-Grete Eikås, rådgjevar Eid kommune - Frode Vik, IKT-koordinator Nordfjord - Bjørn Bakke, inspektør Nordfjordeid skule - Laila Espe Jakobsen, systemansvarleg skule i Eid kommune - Anita Sørland Aase, konsulent Eid kommune - Lars Helge Lillebø Hopland, IKT-ansvarleg Nordfjordeid skule 2.2 Frå Datatilsynet: - Andreas Hobæk, rådgjevar - Martha Eike, overingeniør 3 Kort om systemportefølje i Eid kommune og Nordfjordeid skule Arbeidsverktøy er saksbehandlingssystemet Acos. Skuleadministrativt system - Oppad Læringsplattform - Oppad CLG Kartleggings- og rådgjevingsverktøy - Kartleggeren (Fagbokforlaget) 1 av 9

2 4 Oversending av informasjon Datatilsynet bad i varselet om kontroll Eid kommune sende følgjande dokumentasjon: a) oversikt over verksemda si organisering, til dømes eit organisasjonskart b) styrande dokument for internkontroll og informasjonssikring, jf. personopplysningslova 13 og 14, og personopplysningsforskrifta kapittel 2 og 3, c) oversikt over kva for nokre personopplysningar som blir behandla d) oversikt over utforminga av informasjonssystemet, til dømes konfigurasjons- eller systemkart e) risikovurderingar av informasjonssystemet, jf. personopplysningsforskrifta 2-4, f) avviksrutinar, jf. personopplysningsforskrifta 2-6, g) namn og funksjon på dei som deltek frå verksemda under kontrollen, dersom det er avklart. Dokumentasjon blei sendt til Datatilsynet i e-post 8. november Noko dokumentasjon blei ettersendt 15. november, 20. november og 3. desember Ein detaljert dagsorden blei sendt til Eid kommune på e-post før kontrollen. 5 Kort om bruk av personopplysningar, samt formålet med behandlingane Internkontroll dannar ein viktig basis i den behandlingsansvarlege sitt arbeid med å sørgje for at gjeldande lover og forskrifter vert følgt. Internkontroll er eit leiingsansvar. Under kontrollen blei internkontrollsystemet i Eid kommune og dokumentasjon på sikkerheit gjennomgått på overordna nivå. Vidare blei det ført kontroll med om skulen er kjent med kommunen sine overordna rutinar, og på kva måte desse er implementert. 6 Funn og avvik frå lovbestemte krav til behandling av personopplysningar 6.1 Internkontroll Generelt om personopplysningslova 14 Verksemda har plikt til å etablere og halde ved like systematiske tiltak som er nødvendige for å oppfylle krava fastsett i eller i medhald av personopplysningslova. Dette er utdjupa i personopplysningsforskrifta kapittel 3. Internkontrollen omfattar styrande, gjennomførande og kontrollerande dokument Ansvarshøve etter lova - behandlingsansvarleg Behandlingsansvarleg blir definert i personopplysningslova 2 nr. 4 som: den som fastset formålet med behandlinga av personopplysningar og kva verkemiddel som skal nyttast. Det er den behandlingsansvarlege som er pliktsubjekt etter personopplysningslova. Det er difor viktig for einkvar verksemd å vere tydelege på kor behandlingsansvaret er lagt. 2 av 9

3 Personopplysningsforskrifta 2-3 understrekar til dømes at det er den behandlingsansvarlege som skal sørgje for tilfredsstillande informasjonssikkerheit ved at det mellom anna blir oppretta ei organisering med klare roller, ansvar og myndigheit. Eid kommune har etablert eitt internkontrollsystem som er utarbeidd som ein del av eit interkommunalt prosjekt med seks andre kommunar i Nordfjordregionen (Bremanger, Vågsøy, Selje, Gloppen, Hornindal og Stryn). Systemet ber preg av at rutinar og dokumentasjon er utarbeidde på tvers av kommunane, mens noko er utarbeidd internt i kommunen. Rutinar for internkontroll vert skildra i «Rutinehandbok. Sikker sone - felles administrative rutinar for skular og barnehagar i Nordfjordregionen 2013», «Handtering av personopplysningar - rutinehefte for Nordfjordregionen» og «Nordfjordeid skule Handsaming av personopplysningar». I dokumentet «Rutinehandbok Sikker sone» er det skildra at det overordna ansvaret i Eid kommune ligg hos rådmannen, men at dei har valt å organisere oppgåvene sine etter linjeansvar. Dei har eit skjematisk oppsett slik at den einskilde medarbeidar ikkje skal vere i tvil om kva rutinar vedkomande har ansvar for. Behandlingsansvaret etter personopplysningslova består fyrst og fremst i å ha oversikt over kva behandlingar av personopplysningar som skjer i verksemda, samt sørgje for at pliktene etter personopplysningslova blir overhaldne. Eid kommune står sjølvsagt fritt til å velje korleis dei vil organisere oppgåvene sine, men det å organisere oppgåver etter linjeansvar fritek ikkje kommuneleiinga for ansvar etter personopplysningslova. Dersom leiinga ved Nordfjordeid skule er gitt i oppgåve å sørgje for at pliktene etter personopplysningslova skal oppfyllast, så har kommuneleiinga framleis ansvaret for å leggje til rette for at leiinga ved skulen kan utarbeide naudsynte rutinar. Eid kommune er tydelege på kven som er behandlingsansvarleg Oversikt over behandlingar og behandlingsgrunnlag For at den behandlingsansvarlege skal kjenne til omfanget av ansvaret sitt må verksemda ha ei oversikt over kva for nokre behandlingar av personopplysningar som vert gjort, og kva for nokre opplysningar som inngår i desse. Oversikta er nødvendig for å sikre at grunnvilkåra i personopplysningslova 11 er oppfylt. Vidare dannar oversikta grunnlag for utarbeiding av verksemda sine sikkerheitsmål og -strategi, og vil vere underlag når verksemda gjer risikovurderingar. Kravet til oversikt over behandlingar følgjer difor også av personopplysningsforskrifta av 9

4 Oversikta over behandlingar må mellom anna omfatte behandlingsgrunnlaget for kvar einskild behandling (personopplysningslova 8 og 9), samt formålet med behandlinga ( 11). Alternativt må behandlingsgrunnlag og formål framkome ein annan stad i dokumentasjonen. Krava til oversikt over behandlingar og behandlingsgrunnlag er utdjupa i kapittel 3.5 i rettleiaren "Internkontroll og informasjonssikkerhet". Her finn ein mellom anna eit eksempel på korleis oversikta kan utformast. og vurdering Eid kommune har oversikt over rutinar som vert gjort innanfor kommuneverksemda og for skulen sin behandlingar av elevopplysningar. Det finst også ei skjematisk oversikt over kommunens overordna behandlingar av personopplysningar. Ei spesifisert oversikt over skulens behandlingar av elevopplysningar finst derimot ikkje. Datatilsynet har ikkje konstatert avvik på dette punktet. Vi tilrår likevel at kommunen eller skulen sjølv utarbeider ei oversikt over behandlingar av personopplysningar som er spesifikke for skulen Øvrige plikter etter personopplysningslova 14, jf. personopplysningsforskrifta 3-1 Den behandlingsansvarlege må etter personopplysningslova 14 kartleggje relevante plikter i personopplysningslova. Aktuelle plikter vil mellom anna vere plikt til å gi innsyn etter 18, informasjonsplikt etter 19 og 20, samt sletteplikt etter 28. Oversikta over plikter vil vere ein del av den styrande internkontrollen. Etter at kartlegginga er gjennomførd må det utarbeidast rutinar for å ivareta dei kartlagde pliktene. Dette er ein del av den gjennomførande internkontrollen. Slike rutinar kan til dømes omfatte prosedyrar for innhenting av samtykke, og retningslinjer for korleis ein skal gi informasjon til elevar og føresette Rett til innsyn Det følgjer av personopplysningslova 18, fyrste ledd, at einkvar som ber om det skal få vite kva slags behandling av opplysningar den behandlingsansvarleg utfører. Den registrertes rett til innsyn følgjer også av paragrafens andre ledd. Verksemda skal etter personopplysningsforskrifta 3-1, tredje ledd bokstav d) ha rutinar for å sikre at innsyn kan gjennomførast i samsvar med regelverket. Unnatak frå retten til innsyn følgjer av personopplysningslova 18 siste ledd og 23. : Eid kommune har ingen dokumenterte rutinar for innsynskrav. Skulen opplever sjeldan krav om innsyn i elevopplysningar. 4 av 9

5 Delkonklusjon Manglande dokumenterte rutinar for innsynskrav er eit avvik frå personopplysningslova 14, jf. personopplysningsforskrifta 3-1 bokstav d Informasjonsplikt når det blir samla inn opplysningar frå den registrerte sjølv, eller frå andre enn den registrerte Det følgjer av personopplysningslova 19 fyrste ledd at når det blir samla inn opplysningar frå den registrerte sjølv skal den behandlingsansvarlege av eige tiltak fyrst informere den registrerte om: a) namn og adresse til den behandlingsansvarlege og ein eventuell representant b) formålet med behandlinga c) opplysningane vil bli utleverte, og eventuelt kven som er mottakar d) det er frivillig å gi frå seg opplysningane, og e) anna som gjer den registrerte i stand til å bruke rettane sine etter lova på ein best mogeleg måte, slik som til dømes retten til å krevje innsyn, jf. 18, og retten til å krevje retting, jf. 27 og 28. Det følgjer av personopplysningslova 20 at ein behandlingsansvarleg som samlar inn personopplysningar frå andre enn den registrerte sjølv, av eige tiltak skal gi informasjon som nemnd i 19. Verksemda skal etter personopplysningsforskrifta 3-1, tredje ledd bokstav d ha rutinar for å sikre at informasjonsplikta vert gjennomført i samsvar med regelverket. Unnatak frå informasjonsplikta følgjer av personopplysningslova 19 siste ledd og personopplysningslova 23. Eid kommune har ingen dokumenterte rutinar for å gi informasjon til elevar og føresette om kor og korleis personopplysningar om elevane blir behandla. Nordfjordeid skule har eigne nettsider der dei kan leggje ut informasjon til elevar og føresette. Nettsidene inneheld ingen informasjon om kor og korleis skulen behandlar personopplysningar om elevane. Det er positivt at Nordfjordeid skule har etablert ein kanal for kommunikasjon til elevar og føresette. For å oppfylle informasjonsplikta hjelper det likevel ikkje å ha kanalane, når dei ikkje blir brukte til å gi informasjon om korleis personopplysningane om elevane blir behandla. 5 av 9

6 Delkonklusjon Mangelfullt dokumenterte rutinar for informasjon til elevar og føresette er eit avvik, jf. personopplysningslova 14, jf. personopplysningsforskrifta 3-1 bokstav d Sletting Etter personopplysningslova 11 e, jf. 28, skal personopplysningar slettast når dei ikkje lenger er nødvendige for formålet med behandlinga. 1 Verksemda skal etter personopplysningsforskrifta 3-1, bokstav c. ha rutinar for å sikre at sletting vert gjort i samsvar med regelverket. Nordfjordeid skule har rutinar for sletting av personopplysningar. Delkonklusjon Mangelfullt dokumenterte rutinar for innsynskrav og informasjon til den registrerte er avvik frå personopplysningslova 14, jf. personopplysningsforskrifta 3-1 bokstav d. 6.2 Krav til informasjonssikkerheit Etter personopplysningslova 13 skal verksemda gjennom planlagde og systematiske tiltak sørgje for tilfredsstillande informasjonssikkerheit med omsyn til konfidensialitet, integritet og tilgjenge ved behandling av personopplysningar. Tiltaka skal vere dokumenterte. Krava til informasjonssikkerheit er utdjupa i personopplysningsforskrifta kapittel 2. Vi viser ellers til Datatilsynets heimeside Sikkerheitsleiing Etter personopplysningsforskrifta 2-3 skal formålet med behandling av personopplysningar og overordna føringar for bruk av informasjonsteknologi skildrast i sikkerheitsmål. Val og prioriteringar skal skildrast i ein sikkerheitsstrategi. Bruken av informasjonssystemet skal jamleg, til dømes årleg, gjennomgåast for å kartleggje om den er formålstenleg for verksemda sine behov, og om sikkerheitsstrategien gir tilfredsstillande informasjonstryggleik som resultat. Sikkerheitsstrategiar vil omfatte grunnleggjande avgjerder om organisering og gjennomføring av arbeidet med sikkerheit i verksemda. Regelverket inneber mellom anna at den behandlingsansvarlege skal etablere ein sikkerheitsorganisasjon i verksemda. 1 Personopplysningsloven 11 bokstav e krev at den behandlingsansvarlege skal rette eller slette, ufullstendige eller overflødige opplysningar. I lova presiserast det at desse pliktene ikkje berre er rettar som tilkjem den registrerte, men sjølvstendige pliktar som hviler på den behandlingsansvarlege uavhengig av om den registrerte krev det. Det bli i den samanhengen også vist til Ot.prp. nr. 92 ( ) side av 9

7 Sikkerheitsmål og sikkerheitsstrategi I «Sikring av personsensitive opplysningar i Nordfjord-kommunane» kjem det fram at sikkerheitsmål og sikkerheitsstrategi er nedfelt i kapittel 1.2 om Sikkerheitsmål, strategi og akseptkriteria. Dokumentet er utarbeidd som ein del av samarbeidet i Nordfjord-regionen og skal behandlast i kommunestyret før jul Datatilsynet er tilfreds med at sikkerheitsmål og sikkerheitsstrategi er utarbeidd som ein del av det interkommunale samarbeidet. Datatilsynets kontroll gav ikkje tilstrekkeleg grunnlag for å kontrollere om val og prioriteringar av sikkerheitsarbeidet vert fulgt med omsyn til mål og strategi. Sikkerheitsorganisasjon Ansvaret for sikkerheitsarbeidet er tydeleg plassert i organisasjonen. Dette syner dokumentasjonen og det framgjekk under kontrollen. Datatilsynet understrekar at ein sentral del av den behandlingsansvarlege sitt ansvar er at organiseringa av arbeidet med sikkerheit blir kjend gjort for dei tilsette Risikovurdering Krav i regelerket Etter personopplysningsforskrifta 2-4 skal det førast ei oversikt over kva personopplysningar som blir behandla. Det skal fastsetjast kriteria for akseptabel risiko forbundet med behandlinga av personopplysningar. På bakgrunn av dette skal den behandlingsansvarlege gjere risikovurderingar for å kartleggje moglegheiten for, og konsekvensar av, brot på sikkerheita. Ei ny risikovurdering skal gjennomførast ved endringar som har tyding for informasjonssikkerheita. Resultatet av risikovurderinga skal samanliknast med dei fastlagde kriteria for akseptabel risiko. Resultatet av risikovurderinga skal dokumenterast. Eid kommune har sendt over risikovurderingar rundt flytting av driftssenteret frå Stryn til Vågsøy. Datatilsynet blei informert om at Eid kommune gjer risikoanalyse i kommunen, men ikkje på IKT Datatilsynet meiner at det er positivt at det blir gjennomført risikovurdering på flytting av driftssenteret. 7 av 9

8 Det er mangelfullt at risikovurderingar ikkje er blitt gjort på skuleadministrativt system, læringsplattform og "Kartleggeren". Mangelfull gjennomføring og dokumentasjon av risikovurdering er eit avvik, jf. personopplysningslova 13, jf. forskrifta Sikkerheitsrevisjon Verksemda har plikt etter personopplysningsforskrifta 2-5 til å gjennomføre sikkerheitsrevisjon jamleg, til dømes årleg. Ein sikkerheitsrevisjon skal omfatte ei vurdering av organiseringa og av om sikkerheitstiltak som er vedteke faktisk er sett i verk og fungerer etter formålet. Resultatet av sikkerheitsrevisjonen skal dokumenterast. Sikkerheitsrevisjonen er eit viktig grunnlag for kontinuerleg forbetring av informasjonssikkerheit i verksemda. Resultatet frå sikkerheitsrevisjonen vil vere ein del av grunnlaget for gjennomgangen til leiinga, jf. personopplysningsforskrifta 2-3. Datatilsynet blei informert om at Eid kommune ikkje hadde gjennomført sikkerhetsrevisjon slik det står i personopplysningsforskrifta. Manglande gjennomføring og dokumentasjon av sikkerhetsrevisjon er eit avvik, jf. personopplysningslova 13, jf. forskrifta Sikkerheitstiltak Personopplysningslova 13, jf. personopplysningsforskrifta 2-11, 2-12 og 2-13 stiller som krav til den behandlingsansvarlege at det blir gjennomført tiltak som sørgjer for tilfredsstillande informasjonssikkerheit med omsyn til konfidensialitet, integritet og tilgjenge. Personopplysningsforskrifta 2-14 har pålegg om at det skal innførast sikkerheitstiltak som skal hindre uautorisert bruk av informasjonssystemet samt gjere det mogeleg å oppdage forsøk på slik bruk. Forskrifta 2-8 tredje ledd og 2-14 andre ledd pålegg dessutan at henholdsvis autorisert og uautorisert bruk av informasjonssystemet skal registrerast. Eid kommune bruker Active Directory til å styre autoriseringa. Brukarnamn og passord blir nytta for autentisering. For å få tilgang til eit system på skulen må rektor sende ei melding til systemansvarleg/drift om kva for nokre rettar ein brukar skal ha. Eid kommune og Kommunenett Nordfjord har tre soner; ei sikker sone, ei intern sone, og ei open sone (Internett). Alle elevopplysningar skal liggje på elevsak på sikker sone. Tilgangar er styrde på IP, tenester og AD sikkerheit. 8 av 9

9 Datatilsynet har sett på teknisk dokumentasjon, tilgangsstyring og konfigurasjonskart, og meiner at kommunen har tilfredsstillande informasjonssikkerheit rundt systema med elevopplysningar. 6.3 Databehandlarar Ein databehandlar er i personopplysningslova 2 nr. 5 definert som "den som behandlar personopplysningar på vegne av den behandlingsansvarlege". Dersom andre verksemder behandlar personopplysningar på vegne av verksemda, må det inngåast ein skriftleg databehandlaravtale med verksemda, jf. personopplysningslova 15. I avtalen skal det gå fram at databehandlaren har plikt til å gjennomføre tiltak for å vareta tilfredsstillande informasjonssikkerheit, jf. personopplysningslova 13. Databehandlaren har eit sjølvstendig ansvar for å ha tilfredsstillande informasjonssikkerheit, for å kunne verne personopplysningane som blir behandla på vegne av verksemda, jf. personopplysningslova 13. Databehandlaren kan berre behandle opplysningar ut i frå ein avtale med verksemda. Eid kommune v/ Nordfjordeid skule bruker følgjande databehandlarar: Vertskommunen for det interkommunale samarbeidet Fagbokforlaget (Kartleggeren) Mangelfull databehandlaravtale med Fagbokforlaget er eit avvik, jf. personopplysningslova 15, jf. personopplysningsforskrifta av 9