Melde- og konsesjonsplikt for etatens behandlinger av personopplysninger

Transkript

1 Melde- og konsesjonsplikt for etatens behandlinger av personopplysninger Operativ sikkerhetsdokumentasjon Fokusområde Personvern og taushetsplikt. Dette dokumentet gjelder retningslinjer for ivaretakelse av melde- og konsesjonsplikt. INNHOLDSFORTEGNELSE 1. HENSIKT HVA ER BEHANDLINGSOMRÅDER FORVALTNING OG UTFØRING AV RETNINGSLINJEN BESKRIVELSE AV RETNINGSLINJEN KONSESJON ELLER MELDEPLIKT Meldeplikt Konsesjonsplikt Innføring av nye prosjekter eller endring i prosjekter, fagområder og IKT systemer Spesielt om kameraovervåking i NAVs lokaler KRAV TIL DOKUMENTASJON DAGENS BEHANDLINGSOMRÅDER OG MELDINGER I NAV VEDLEGG OVERSIKT OVER DAGENS BEHANDLINGSOMRÅDER OG TILHØRENDE MELDINGER:... 6 Fokusområde Personvern og taushetsplikt Side 1

2 1. HENSIKT Hensikten med dokumentet er å gi en beskrivelse av personopplysningslovens krav til melde- og konsesjonsplikt, ansvarsdeling, krav til dokumentasjon og en oversikt over dagens behandlingsområder og tilhørende meldinger under Arbeids- og 1.1 Hva er behandlingsområder Arbeids- og velferdsforvaltningen skal sikre korrekt behandling av informasjon. Det betyr blant annet at våre informasjonssystemer skal ha tilfredsstillende kvalitet på informasjonen og at det foreligger et gyldig behandlingsgrunnlag som er i samsvar med de formål opplysningene er samlet inn for. Behandlingsgrunnlaget vil i all hovedsak være enten hjemlet i lov eller ved samtykke. I en vurdering av hva som er et gyldig behandlingsgrunnlag må det tas det utgangspunkt i: hva er formålet med behandlingen hvilken informasjon er det som skal behandles hva er hjemmelsgrunnlaget (samtykke, hjemmel i lov eller nødvendighetsgrunn i personopplysningsloven 8 annet ledd a-f og 9 c-h) For å sikre en formålstjent behandling skal etatens behandling av personopplysninger og formål deles inn i behandlingsområder. Behandlingsområdene skal ta utgangspunkt i faglige områder som logisk sett hører sammen ut fra formålet med den aktuelle behandlingen. Med behandling menes all bruk som foretas med de aktuelle personopplysninger (omfatter opplysninger og vurderinger som kan knyttes til en enkeltperson), dvs. alt fra innsamling, fordeling, registrering, vurdering, lagring, gjenbruk og utlevering av personopplysninger osv. Det er behandlingsområdene som er underlagt melde- eller konsesjonsplikt, og ikke de enkelte IKT- systemene. 2. FORVALTNING OG UTFØRING AV RETNINGSLINJEN Fagavdelingene i Arbeids- og velferdsdirektoratet Fagavdelingene, ved fagansvarlig, skal sikre at etaten til enhver tid har gyldig behandlingsgrunnlag og dekkende meldinger ev. konsesjoner for de behandlinger som er nødvendige på de aktuelle fagområdene i etatens virksomhet. Lokale kontorer, forvaltningsenheter og spesialenheter Fokusområde Personvern og taushetsplikt Side 2

3 Dersom etaten skal utføre behandling av personopplysninger som ikke faller inn under behandlingsområdene, må det søkes melding eller konsesjon for den enkelte behandling. Sikkerhetsseksjonen Seksjonen bistår med råd og veiledning til de fagansvarlige, prosjekter, NAV kontor, forvaltningsenheter og spesialenheter når det gjelder vurderinger av om det foreligger meldeeller konsesjonsplikt og bistand til utfylling og krav til dokumentasjon. Alle behov for eventuelle endringer i dagens behandlingsområder og meldinger, og behov for nye meldinger og konsesjoner skal meldes til Sikkerhetsseksjonen i IKT avdelingen. 3. BESKRIVELSE AV RETNINGSLINJEN 3.1 Konsesjon eller meldeplikt Behandling av personopplysninger er etter hovedregelen meldepliktig, mens behandling av sensitive personopplysninger er konsesjonspliktig. Hvorvidt Arbeids- og velferdsetaten har melde- eller konsesjonsplikt er avhengig hva som er behandlingsgrunnlaget og hvilke personopplysninger som skal behandles. Dersom behandlingen av personopplysninger i NAV har hjemmel i lov, så er det ingen konsesjonsplikt men en meldeplikt. Unntaket fra konsesjonsplikten gjelder så lenge behandlingen ligger innenfor rammen av lovhjemlene Meldeplikt 1. Meldingen skal sendes senest 30 dager før behandlingen tar til. En melding er kun en beskjed til Datatilsynet og blir ikke uten videre gjennomgått. En innsendt melding kan derfor ikke anses som noen godkjenning. Meldingen vil imidlertid kunne benyttes som grunnlag for Datatilsynets etterfølgende kontrollvirksomhet. 2. Meldingene kan fylles ut enten på papir eller elektronisk. Datatilsynet har en tjeneste for nedlasting av søknadsskjema og innsending av elektronisk meldeskjema. 3. Alle innsendte meldinger er offentlig tilgjengelig i Datatilsynets meldingsdatabase på deres nettsider ( 4. En melding er gyldig i tre år, og må enten fornyes eller meldes på nytt etter tre år hvis behandlingen fortsatt finner sted. Etter tre år fjernes meldingen automatisk fra Datatilsynets meldingsdatabase. 5. En melding må fornyes dersom formål med behandlingen endrer seg eller behandlingen får en ny behandlingsansvarlig Konsesjonsplikt 1. Det kreves konsesjon for behandling av sensitive personopplysninger. Fokusområde Personvern og taushetsplikt Side 3

4 2. Det er flere unntak fra konsesjonsplikten. Behandlinger av personopplysninger i organ for stat eller kommune er unntatt konsesjonsplikt når behandlingen har hjemmel i lov. Den vil likevel være meldepliktig, ref. punkt Øvrige unntak fra konsesjonsplikten følger av personopplysningsforskriften kapittel 7, og eventuell særlovgivning. 4. En konsesjon gitt av Datatilsynet betyr at tilsynet har forhåndsgodkjent den behandling av personopplysninger som er regulert i konsesjonen. Datatilsynet kan sette vilkår for behandling av personopplysningene. En konsesjon gitt fra Datatilsynet må foreligge før behandlingen kan starte opp og behandlingen er lovlig så lenge konsesjonen har gyldighet Innføring av nye prosjekter eller endring i prosjekter, fagområder og IKT systemer 1. Fagansvarlig skal vurdere egne lovhjemler og eventuelt om vilkårene for unntak fra melde eller konsesjonsplikt er oppfylt for sine egne behandlinger. 2. Fagansvarlig har ansvar for at det til enhver tid er dekkende meldinger og konsesjoner for behandling av personopplysninger innenfor sine fagområder, og har ansvar for å fornye meldinger eller konsesjoner. 3. Fagansvarlige skal forberede meldinger og konsesjonssøknader. Sikkerhetsseksjonen kan bistå med veiledning i utfylling av meldinger og konsesjonssøknad. 4. Skjema for melding og konsesjon med veiledning finnes tilgjengelig på Datatilsynets hjemmesider ( 5. Meldinger og konsesjonssøknader skal sendes til Sikkerhetsseksjonen, som sender melding eller konsesjon på vegne av etaten til Datatilsynet. 6. Sikkerhetsseksjonen har ansvaret for å vedlikeholde oversikten over etatens behandlingsområder med tilhørende meldinger og eventuelle konsesjoner Spesielt om kameraovervåking i NAVs lokaler 1. Leder ved den enkelte enhet er i slike tilfeller ansvarlig for at det foretas tilstrekkelige vurderinger av om det foreligger berettiget interesse for bruk av kameraovervåking. Vi viser her til bestemmelsene i personopplysningsloven kap. VII. 2. Behovsvuderingen skal dokumenteres, jf. punkt Enheten er ansvarlig for at bruk av overvåkingskamera er lovlig. 4. Nærmere veiledning og skjema for melding og konsesjon om kameraovervåking finnes tilgjengelig på Datatilsynets nettsider ( I de fleste tilfeller vil melding være tilstrekkelig. 5. Enheten er ansvarlig for at det foreligger melding eller konsesjoner før kameraovervåking tas i bruk. 3.2 Krav til dokumentasjon 1. Dokumentasjon skal foreligge i forkant av melding og konsesjonssøknad. o Dokumentasjonen skal vedlegges ved konsesjonssøknad Fokusområde Personvern og taushetsplikt Side 4

5 o Ved melding er det tilstrekkelig at etaten oppbevarer dokumentasjonen, både til eget bruk og at den er tilgjengelig ved eventuelle tilsyn fra Datatilsynet. 2. Det er krav om følgende dokumentasjon: o Informasjon om hvem som er behandlingsansvarlig og hvem som har daglig ansvarlig o Informasjon om den behandlingsansvarliges virksomhet o Om formålet med behandling av personopplysningene, rettslig lovhjemmelsgrunnlag, type personopplysninger (eksempel sensitive personopplysninger) o Oversikt over ev. databehandlere og samhandlere o Internkontrollsystem o Sikkerhetsdokumentasjon o Ev. personvernkonsekvensvurdering o Risikovurdering o Konfigurasjonskart 3.3 Dagens behandlingsområder og meldinger i NAV Arbeids- og velferdsetaten har lovhjemmelsgrunnlag for våre behandlingsområder. Etaten baserer seg derfor på meldeplikt for etatens behandling av personopplysninger. Personopplysningsloven gir ikke anvisning på hvor generelle eller hvor konkrete behandlingsområdene skal være. For å unngå for mange og hyppige endringsmeldinger har etaten valgt, tidligere i samråd med Datatilsynet, en robust meldingsbruk som skal ivareta brukerens rettigheter og de øvrige lovmessige rammer. Inndelingen i behandlingsområder skal gi en god ivaretakelse av personvernet samtidig som det er administrerbart for etaten. Inndelingen i meldinger etter personopplysningsloven skal treffe både i forhold til lovmessige rammer og den faktiske organiseringen i NAV. Behandlingsområder skal revideres av de fagansvarlige i samsvar med de endringer som skjer i organisasjonen. Alle meldinger på sentralt nivå som Arbeids- og velferdsdirektoratet har oversendt til Datatilsynet er offentlig tilgjengelig i Datatilsynets meldingsdatabase.. For å kunne søke opp meldingene i denne databasen må du i søkefeltet oppgi enten meldingsnummer, virksomhetens navn, Arbeids- og velferdsdirektoratet, eller organisasjonsnummer som er Oversikt over dagens behandlingsområder og meldinger finner du i vedlegg 1 som følger dokumentet. Fokusområde Personvern og taushetsplikt Side 5

6 4. VEDLEGG 1 Oversikt over dagens behandlingsområder og tilhørende meldinger: Behandlingsområde Beskrivelse Meldingsnummer Arbeid og aktivitet Bistand for å kunne beholde arbeid, avklare og skaffe arbeid eller aktivitet. Arbeids- og velferdsforvaltningsloven 4, jf. arbeidsmarkedsloven og folketrygdloven. Henvisning til lokal kommune under punkt 5 henviser til felles kontor etablert i henhold til arbeids- og velferdsforvaltningsloven Familieområdet Bidragsområdet Pensjonsområdet Krigspensjonsområdet Daglig behandlingsansvarlig er Tjenestedirektør i Arbeids- og Behandling av personopplysninger i forbindelse med ytelser knyttet til familiesituasjonen. Arbeids- og velferdsforvaltningsloven 4, jf. folketrygdloven kapittel 9,14 og 15, lov om barnetrygd lov om kontantstøtte til småbarnsforeldre (kontantstøtteloven). Administrasjon av bidragsordningen. Arbeids- og velferdsforvaltningsloven, lov om bidragsforskott, lov om barn og foreldre kap. 8 og 9, lov om innkreving av underholdningsbidrag, lov om ekteskap kapitel 16 og lov om folketrygd 22-3a. Behandling av ytelser knyttet til livsløp. Arbeids- og velferdsforvaltningsloven 4,jf. lov om folketrygd kapittel 7, 16, 17, 18 og 19 jf. kapittel 3 og 20, lov om samordning av pensjons- og trygdeytelser, lov om statstilskott til ordninger for avtalefestet pensjon (AFP), lov om supplerende stønad ved kort butid, lov om pensjonstrygd til fiskere, lov om pensjonstrygd for sjømenn, lov om avtalefestet pensjon for medlemmer av Statens pensjonskasse. Behandling av personopplysninger i forbindelse med lov om krigspensjonering for militærpersoner og lov om hjelpestyrkepersonell og sivilpersoner Fokusområde Personvern og taushetsplikt Side 6

7 Gosys, Modia og Personkortet Aa-registeret Statistikkutlevering Brukerundersøkelser Kontroll Hjelpemidler og tilrettelegging Fagsystemene Gosys, Modia og Personkortet. Gir oversikt over informasjon på tvers av fagområder i NAV. Modia skal være den interne arbeidsflaten som gir oversikt over relevant informasjon på tvers av etatens fagsystemer. Gosys og Personkortet gir i dag informasjon på tvers, og skal gjøre det inntil Modia er videreutviklet og kan gi denne informasjonen. Arbeids- og velferdsforvaltningsloven 1 og 4, lov om sosiale tjenester i arbeids- og velferdsforvaltningen 18 og 19. Administrering av arbeidsgiver- og arbeidstakerregisteret som benyttes av etaten selv og andre offentlige etater. Arbeids- og velferdsforvaltningsloven 4, jf. folketrygdloven 25-1 og 25-3 med tilhørende forskrifter Utlevering av opplysninger fra NAV til Statistisk sentralbyrå (SSB) til statistikk og forskning, jf. statistikkloven. Daglig behandlingsansvarlig er Styringsdirektør i Arbeids- og Gjennomføring av brukerundersøkelser. Innsamlede data skal benyttes til brukerundersøkelser i NAV og som skal dekke etatens behov for kunnskap om brukeropplevelser, jf. forvaltningsloven 13 b nr. 4. Metode for kontakt og innsamling av opplysninger vil være ved telefonintervjuer, bruk av spørreskjemaer, personlig intervju av brukere og arbeidsgivere. Daglig behandlingsansvarlig er Tjenestedirektør i Arbeids- og Avdekke feilutbetaling og eventuelt trygdemisbruk. Arbeids- og velferdsforvaltningsloven 4, jf. lov om folketrygd 21-4, 21-4a, 21-4b, 21-4c, 21-4d, 25-6 og Behandling av personopplysninger i forbindelse med tilrettelegging ved uførhet eller redusert arbeidsevne i dagligliv og/eller arbeid. Arbeids- og velferdsforvaltningsloven 4,6, 8, 9, 10, 11 og 12 og folketrygdloven kap. 10 og 11. Daglig behandlingsansvarlig er Tjenestedirektør i Arbeids- og Fokusområde Personvern og taushetsplikt Side 7