Datatilsynet viser til gjennomført kontroll hos kommunen den 30. april 2009 og til varsel om vedtak gitt i vårt brev av 25. mai 2009.

Save this PDF as:
 WORD  PNG  TXT  JPG

Størrelse: px
Begynne med side:

Download "Datatilsynet viser til gjennomført kontroll hos kommunen den 30. april 2009 og til varsel om vedtak gitt i vårt brev av 25. mai 2009."

Transkript

1 Deres referanse Vår referanse (bes oppgitt ved svar) Dato 09/ /RTH 30. juni 2009 Vedtak om pålegg - endelig kontrollrapport for kommune Datatilsynet viser til gjennomført kontroll hos kommunen den 30. april 2009 og til varsel om vedtak gitt i vårt brev av 25. mai Vurdering av tilsvar Datatilsynet har i brev mottatt i Datatilsynet 15. mai 2009 og i brev av 17. juni 2009 mottatt kommunens merknader til varselet. Vi har justert rapportens punkt og i tråd med kommunens merknader. Endelig kontrollrapport vedlegges. Datatilsynet gjør for ordens skyld oppmerksom på at rapporten skal gi uttrykk for det som faktisk skjedde under kontrollen. Vi har for øvrig følgende kommentarer til kommunens tilsvar: Internkontroll, jf. punkt 1 i vårt varsel om vedtak Datatilsynet er positiv til at kommunen umiddelbart vil starte arbeidet med å utarbeide og implementerer tiltak i henhold til vedtak nr.1 a, etablere skriftlige rutiner for publisering av personopplysninger på Internett og 1b etablere skriftlige rutiner for ivaretakelse av personopplysningslovens krav til innsyn og sletting. Det vises til kontrollrapportens punkt og Kommunen har for øvrig bekreftet at avvik som dannet grunnlag for varsel om vedtak er planlagt brakt til opphør høsten Datatilsynet legger dette til grunn og fastsetter frist for gjennomføring av vedtak i henhold til dette. Informasjonssikkerheten, jf. punkt 2 i vårt varsel om vedtak Datatilsynet har vurdert tiltakene som er beskrevet i deres brev av 17. juni og i henhold til vedtak 2 a, gjennomføre sikkerhetsrevisjon i samsvar med personopplysningsforskriftens 2-5. Det vises til tilsynsrapportens pkt Datatilsynet er tilfreds med at kommunen skal gjennomføre sikkerhetsrevisjon i samsvar med kommunes rutiner, sikring av personopplysninger i kommunen 2009 v5 og kap sikkerhetsrevisjon. Kommune har imidlertid ikke oppgitt noen tidsplan for gjennomføring av de varslede vedtaket utover at tiltak skal gjennomføres årlig. Det vil dermed bli fattet vedtak i tråd med varselet på dette området. Databehandleravtaler jf. punkt 3 i vårt varsel om vedtak Datatilsynet har blant annet mottatt kopi av vedlikeholdsavtale for IT-systemer i Helse- og sosialetaten. Det oversendte materialet er en god dokumentasjon på hvordan taushetsplikten ivaretas for utenforstående og eventuelle databehandlere. Datatilsynet kan imidlertid ikke ut fra det oversendte materialet se om det er behov for databehandleravtaler i tillegg til taushetserklæringen. Detter er blant annet tilfellet der utenforstående får ekstern tilgang til kommunen sitt nett. En slik databehandleravtale må oppfylle kravene i Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt OSLO

2 personopplysningslovens 15 jf. 13. Datatilsynet har utarbeidet et veiledningsmateriale for utarbeidelse av datatbehandleravtaler, jf aspx. Som følge av uklarheten på dette punket vil det bli fattet vedtak i tråd med varselet på dette området. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Kommunen må etablere og dokumentere tilfredstillende internkontroll i samsvar med personopplysningslovens 14, personopplysningsforskriftens kapittel 3 og kontrollrapportens punkt og Dette innebærer blant annet at kommunen må: a. etablere skriftlige rutiner for publisering av personopplysninger på Internett. b. etablere skriftlige rutiner for ivaretakelse av personopplysningslovens krav til innsyn ( 18) og sletting ( 28). 2. Kommunen må etablere og dokumentere tilfredstillende informasjonssikkerhet i samsvar med personopplysningslovens 13, jf. personopplysningsforskriftens kapittel 2. Dette innebærer at kommunen må: a. gjennomføre sikkerhetsrevisjon i samsvar med personopplysningsforskriftens 2-5. Det vises til tilsynsrapportens pkt Kommunen må etablere databehandleravtale med sine leverandører slik at de oppfyller kravene til databehandleravtale i personopplysningslovens 15 og 13. Databehandleravtalen oversendes til Datatilsynet. Det vises til tilsynsrapportens punkt 5.2 og Datatilsynet legger kommunens egne frister til grunn for lukking av avvik 1. jf. brev fra kommunen av 17. juni Vedrørende punkt. 2 og gjennomføring av sikkerhetsrevisjon skal avviket lukkes innen 1. oktober For at Datatilsynet skal kunne avslutte saken kreves det at kommunen innen nevnte dato bekrefter at avvik er gjennomført og brakt til opphør. Med mindre annet er angitt kreves ikke ytterligere dokumentasjon på lukking av avvik. Det gjøres oppmerksom på at virksomheten kan bli gjenstand for etterkontroll. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen fire uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at kommunen har rett til innsyn i sakens dokumenter, jf. forvaltningslovens 18. Datatilsynet ber om tilbakemelding innen 13. juli 2009 på om kommunen på grunn av ferieavvikling har behov for en noe lengre klagefrist. Med hilsen 2

3 Leif T. Aanensen avdelingsdirektør Renate Thoreid senioringeniør Vedlegg: Endelig kontrollrapport 3

4 Saksnummer: 09/ Dato for kontroll: Rapportdato: 29. juni 2009 Endelig kontrollrapport Kontrollobjekt: Sted: Utarbeidet av: Renate Thoreid Aslaug Bendiksen 1 Innledning Datatilsynet gjennomførte kontroll hos kommunen 30. april Kontrollen ble gjennomført i medhold av personopplysningslovens 44, jf. 42, 3. ledd. Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med kommunens plikter til å føre internkontroll og sørge for tilfredsstillende informasjonssikkerhet. Kontrollen ble gjennomført ved virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra Datatilsynet: - Renate Thoreid, senioringeniør - Aslaug Bendiksen, seniorrådgiver 3 Generelt Kommunen er organisert etter en tradisjonell hierarkisk struktur, med fire etater, i tillegg til sentraladministrasjon. Rådmannen er kommunens øverste administrative leder. Skole- og barnehageetaten er organisert i fire seksjoner inkl. Seksjon barnehage og en seksjon med blant annet Barnehagemyndigheten og stabsfunksjoner. Kommunen hadde på kontrolltidspunktet ca innbyggere. Det var ca 2500 årsverk eller ca 3000 ansatte i kommunen. Kommunen oppga at de hadde 52 barnehager, hvorav 15 av disse er kommunale. Kommunen hadde på kontrolltidspunktet ca 140 ledige barnehageplasser. Kommunen hadde et samarbeid med andre kommuner i Vestfold. 12k er et interkommunalt samarbeid mellom 12 Vestfoldkommuner. Formålet med samarbeidet er blant annet å utvikle tjenestetilbudet, samordne kommunens plan-, areal- og næringspolitikk samt være talerør for kommunale fellesinteresser i Vestfold. 12k har et styre bestående av samtlige ordførere og rådmenn. Organisasjonen har ingen formell beslutningsmyndighet. 1 av 12

5 12k-samarbeidet har gjennomført omtrent 60 prosjekter innenfor en rekke fagområder, blant annet bredbåndsutbygging (fiber), felles driftssentral for sensitive fagsystemer, kommunale hjemmesider (felles struktur for kommunenes hemmesider). Ni kommuner har tatt felles struktur i bruk. Videre var det samarbeid om Sak/arkiv (felles innkjøp, implementering og opplæring av sak/arkivsystem for 10 kommuner). 12k har under arbeid et prosjekt om nytt tjenestenett basert på fiberteknologi. Dette skal legge til rette for bedre interkommunalt samarbeid. Kommunen opplyste at de har påbegynt et prosjekt med å innføre nytt intranett for kommunens ansatte og at arbeidet med overføring av styrende dokumenter var et prioritert område. Kommunen kunne også opplyste om at de hadde mye av sin dokumentasjon av internkontroll i permer som var tilgjengelig på etater og seksjoner. 4 Kort om bruk av personopplysninger samt formålet med behandlingene Hovedtema for kontrollen var ivaretakelsen av kommunens plikter til å føre internkontroll samt å sørge for tilfredsstillende informasjonssikkerhet for virksomhetens behandling av personopplysninger. Internkontroll danner en viktig basis i behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. Internkontroll er et ledelsesansvar. Kommuner har en omfattende behandling av personopplysninger. Personopplysningenes sensitivitet og omfang varierer i de ulike ansvarsområdene og på ulike lokasjoner til kommunen. Dette er nærmere beskrevet i dokumentasjon Sikring av personopplysninger i kommunen 2009 v5. Under kontrollen ble kommunens internkontrollsystem og sikkerhetsdokumentasjon gjennomgått på overordnet nivå. Tilsynet hadde spesielt fokus på behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. I tillegg ble det undersøkt hvordan internkontrollbestemmelsene var implementert ved søknad om opptak i barnehage. Datatilsynet hadde oversendt en detaljert agenda for tilsynsbesøket i forkant. Denne var ikke kjent for deltakerne av kontrollen. Manglende agenda kan etter Datatilsynets vurdering ha hatt betydning for kommunens forberedelse av kontrollen, samt Datatilsynets gjennomføring av denne. Det blir derfor ekstra viktig for kommunen å kommentere den foreløpige rapporten. 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Internkontroll Generelt om personopplysningslovens 14 Virksomheten har etter personopplysningslovens 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i personopplysningsloven og i regelverk gitt i medhold av denne. Bestemmelsen er utdypet i personopplysningsforskriftens kapittel 3. Internkontrollsystemet omfatter også nødvendig sikkerhetsdokumentasjon. Dette er nærmere omtalt under av 12

6 Tilsynet ønsket innledningsvis en redegjørelse for hvilke systematiske tiltak kommunen hadde satt i verk for å sikre etterlevelse av lovens krav. I henhold til personopplysningslovens 14 skal behandlingsansvarlig dokumentere tiltakene. Dokumentasjonen skal blant annet være tilgjengelig for medarbeiderne hos den behandlingsansvarlige samt for Datatilsynet. Internkontrollen omfatter styrende, gjennomførende og kontrollerende dokumenter. Gitt kommunenes kompleksitet vil enkelte deler av internkontrollen være mer aktuelle på noen områder enn andre; rutiner for innhenting av samtykke vil for eksempel kun være aktuelt på områder der det er aktuelt å innhente slikt samtykke. Videre vil implementering av de enkelte kravene i loven kunne variere fra saksområde til saksområde, og det kan derfor være hensiktsmessig å spesialtilpasse enkelte gjennomførende dokumenter til det enkelte saksområdet. Bestemmelsene om sletting av elektroniske søknadsskjema til barnehagene vil for eksempel se annerledes ut enn sletting av informasjon i personalmapper Ansvarsforhold etter loven Behandlingsansvar defineres i personopplysningslovens 2 nr. 4 som : den som bestemmer formålet med behandlingen av personopplysninger og hvilke virkemiddel som skal brukes. Det er den behandlingsansvarlige som er pliktsubjekt etter personopplysningsloven. Det er derfor av avgjørende betydning for enhver virksomhet hvor behandlingsansvaret er lagt. Personopplysningsforskriften 2-3 Sikkerhetsledelse understreker at det er den behandlingsansvarlige som skal sørge for tilfredstillende informasjonssikkerhet ved at det blant annet opprettes en sikkerhetsorganisering med klare roller, ansvar og myndighet. Dette er nærmere omtalt i kapittel 5.3. Kommunen opplyste om at rådmannen er å anse som behandlingsansvarlig. Rådmannen har delegert myndighet om internkontroll og informasjonssikkerhet til etatsledere. Dette innbefattet plikten til å vurdere om en behandling var lovlig, om den var omfattet av konsesjons- eller meldeplikten og plikt til å søke om konsesjon eller sende melding til Datatilsynet. Kommunen har utnevnt systemeiere og systemansvarlige for de ulike fagsystemer. Assisterende rådmann var kommunens sikkerhetsansvarlig - administrativt organisert direkte underlagt rådmannen. Dette er nærmere beskrevet i dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5 og kap.1.3 kommunens sikkerhetsorganisasjon. Datatilsynet fikk opplyst under tilsynet at dokumentasjonen ikke var tilgjengelig på kommunens intranett. Videre benytter kommunen databehandlere, jf. personopplysningslovens 2 nr. 5. Delkonklusjon: Behandlingsansvarlig og organisering av sikkerhetsarbeidet fremkommer av de styrende dokumentene, men var ikke tilgjengelig på kommunens intranett for ansatte i kommunen. Datatilsynet anbefaler at internkontroll og informasjonssikkerhet, slik det er dokumentert, inngår i arbeidet med kommunens intranett. Informasjonen blir da tilgjengelig 3 av 12

7 for alle ansatte i kommunen og lett å oppdatere for koordinerende enhet. Videre bør øvrige ansvarsforhold (delegasjon og databehandleravtaler) fremgå av de styrende dokumentene Oversikt over behandlinger og behandlingsgrunnlag For at den behandlingsansvarlige skal ha oversikt over omfanget av sitt ansvar, må kommunen ha en oversikt over hvilke behandlinger av personopplysninger som foretas og hvilke opplysninger som inngår i disse. Oversikten er nødvendig for å sikre at grunnvilkårene i personopplysningslovens 11 er oppfylt og danner grunnlag for utarbeidelse av virksomhetens sikkerhetsmål og sikkerhetsstrategi og vil være underlag ved risikovurderinger. Kravet til oversikt over behandlinger følger også av personopplysningsforskriftens 2-4. Oversikten må blant annet omfatte den enkelte behandlingens behandlingsgrunnlag (personopplysningslovens 8 og 9) samt formålet med behandlingen ( 11). Alternativt må angivelse av behandlingsgrunnlag og formål fremkommet et annet sted i dokumentasjonen. Kravene til oversikt over behandlinger og behandlingsgrunnlag er utdypet i kapittel 3.5 i veilederen Internkontroll og informasjonssikkerhet som Datatilsynet overleverte på kontrollen. Her fremkommer blant annet et eksempel på hvordan oversikten kan utformes. Oversikten skal foreligge på overordnet nivå i de styrende dokumentene. Disse skal være tilgjengelig for de ansatte. I og med at etatene og seksjonene best kjenner til sine behandlinger av personopplysninger, anbefales det at oversikten også foreligger der. Kommunen hadde utarbeidet en detaljert oversikt over hvilke system kommunen hadde. Oversikten omfatter alle etater og seksjoner med oversikt over blant annet formål- kategori, behandling/type opplysning, hjemmel, unntak, konsesjon/meldeplikt, internt behandlingsansvar med flere. Dette er nærmere beskrevet i dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5. De ansatte i kommunen hadde tilgang til oversikten over hvilke behandlinger som ble gjort i deres avdeling. Oversikten hadde noe til dels upresis og feilaktig henvisning til lover og forskrifter. Dette kan for eksempel føre til at det ikke sendes melding for noe som er meldepliktig eller omvendt. Det kan også føre til at kommunen foretar ulovlige behandlinger. Datatilsynet understreker at det innenfor hvert system kan være flere typer behandlinger og at oversikten danner grunnlag for fastsetting av kriterier for akseptabel risiko med behandlingen av personopplysningene. Risikovurderinger skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Delkonklusjon: Datatilsynet anser i hovedsak oversikten over behandlinger i kommunen for tilfredsstillende. Tilsynet anser det imidlertid som nødvendig at behandlingsansvarlig tar en gjennomgang for å kvalitetssikre hjemmelsgrunnlagene og om de oppgitte behandlingene er konsesjonspliktig, meldepliktig eller unntatt fra både melde- og konsesjonsplikten. Datatilsynet anbefaler at denne kvalitetssikringen skjer i samarbeid med juridisk avdeling. 4 av 12

8 5.1.4 Øvrige plikter etter personopplysningslovens 14 jf. personopplysningsforskriftens 3-1 Behandlingsansvarlige må generelt kartlegge de plikter i personopplysningsloven som er knyttet til behandlingene i kommunen. Denne kartleggingen vil være nødvendig for å kunne oppfylle regelverkets krav. Aktuelle plikter vil blant annet omfatte plikt til å gi innsyn etter 18, informasjonsplikt etter 19 og 20, retteplikt etter 27 og sletteplikt etter 28. Oversikten over plikter vil være en del av den styrende internkontrollen. Etter at kartleggingen er gjennomført, må det utarbeides rutiner for ivaretakelse av de kartlagte pliktene. Dette er en del av den gjennomførende internkontrollen. Slike rutiner kan for eksempel omfatte prosedyrer for innhenting av samtykke og retningslinjer for utlegging av postlister og saksdokumenter på Internett. I veilederen Internkontroll og informasjonssikkerhet er kravene til identifisering av plikter og utarbeidelse av rutiner blant annet omtalt i kapitlene 3.8 og 4. Datatilsynet fikk generelt inntrykk av at kommunen hadde et bevisst forhold til pliktene etter personopplysningsloven, men at det manglet dokumentasjon for ivaretakelse av lovens krav. På kontrollen ble i hovedsak retten til innsyn etter 18 gjennomgått. Det var ikke utarbeidet rutiner for å ivareta den allmenne retten til innsyn ( 18 første ledd) og den registrertes rett til innsyn ( 18 annet ledd). Datatilsynet ba videre om retningslinjene for publisering på Internett. Det ble redegjort muntlig for disse på tilsynet, og Datatilsynet fant rutinene for tilfredsstillende. Kommunen har imidlertid ikke utarbeidet skriftlige rutiner for publiseringen, jf. personopplysningslovens og -forskriftens krav. Delkonklusjon: Kommunen må dokumentere sine plikter etter personopplysningsloven. Kommunen må videre ha tilstrekkelig og oppdatert dokumentasjon for ivaretakelse av disse pliktene tilgjengelig for de aktuelle ansatte. Konkret plikter kommunen å etablere og bekjentgjøre for de ansatte rutiner for etterlevelse av bestemmelsen om rett til innsyn etter personopplysningslovens 18 og for publisering av personopplysninger på Internett. Kontrollen ga ikke grunnlag for å konstatere om øvrige plikter var ivaretatt, for eksempel plikten til retting, sletting og informasjon. Dersom dette ikke er tilfellet, understreker Datatilsynet at det også for disse pliktene må etableres og bekjentgjøres rutiner slik at lovens krav blir ivaretatt Konklusjon Kommunen har ikke fullstendig etablert internkontrollsystem etter personopplysningslovens 14 jf. personopplysningsforskriftens kapittel 3. Datatilsynet ser behov for at kommunen på generelt grunnlag gjennomfører en revisjon av sitt internkontrollsystem. Konkret må det etableres skriftlige rutiner for ivaretakelse av retten til innsyn etter personopplysningslovens 18 og for publisering av personopplysninger på Internett. Datatilsynet understreker dessuten at sentral del av etableringen av et internkontrollsystem er å gjøre dette kjent for de ansatte, jf. 14 annet ledd. Kommunen må følgelig etter etableringen av internkontrollsystemet 5 av 12

9 iverksette tiltak for å gjøre dette kjent blant de ansatte i kommunen. Dette kan for eksempel gjøres ved publisering på kommunens intranett. 5.2 Kommunens databehandlere En databehandler er i personopplysningslovens 2 nr 5 definert som den som behandler personopplysninger på vegne av den behandlingsansvarlige. Dersom utenforstående får tilgang til kommunens personopplysninger, må det inngås en skriftlig databehandleravtale med virksomheten, jf. personopplysningslovens 15. I avtalen skal det fremgå at databehandleren plikter å gjennomføre tiltak for å ivareta tilfredsstillende informasjonssikkerhet, jf. personopplysningslovens 13. Kommunen opplyste om at de hadde serviceavtaler, SLA, med ulike leverandører. Da kommunen ikke hadde disse dokumentene tilgjengelig under kontrollen, ba Datatilsynet om at disse skulle ettersendes. Datatilsynet har på tidspunktet for rapport ikke mottatt de etterspurte avtaler. Det legges derfor til grunn at det ikke foreligger tilstrekkelig databehandleravtaler jf. personopplysningslovens 15. Datatilsynet har utarbeidet en mal for inngåelse av databehandleravtaler. Denne vil innen kort tid bli lagt ut på Datatilsynets hjemmesider Konklusjon Kommunen har ikke dokumentert tilfredsstillende databehandleravtaler med sine leverandører. Mangelfulle avtaler er i strid med kravene i personopplysningslovens 15 jf Krav om informasjonssikkerhet Regelverkets krav I henhold til personopplysningslovens 13 skal virksomheten gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Tiltakene skal være dokumenterte. Kravene til informasjonssikkerhet er utdypet i personopplysningsforskriftens kapittel 2. For øvrig vises det til Datatilsynets hjemmeside, og veiledningsmateriale som ble overrakt under kontrollen Krav til sikkerhetsledelse I henhold til personopplysningsforskriften 2-3 skal formålet med behandling av personopplysninger og overordnede føringer for bruk av informasjonsteknologi beskrives i sikkerhetsmål. Valg og prioriteringer skal beskrives i en sikkerhetsstrategi. Bruk av informasjonssystemet skal jevnlig gjennomgås for å kartlegge om den er hensiktsmessig i forhold til virksomhetens behov og om sikkerhetsstrategien gir tilfredsstillende 6 av 12

10 informasjonssikkerhet som resultat. Sikkerhetsstrategier vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet i virksomheten. Bestemmelsene innebærer blant annet at behandlingsansvarlig skal etablere en sikkerhetsorganisasjon i virksomheten. Datatilsynet konstaterte at kommunen hadde etablert tilfredstillende sikkerhetsorganisasjon. Assisterende rådmann var kommunens sikkerhetsansvarlig og administrativt organisert direkte underlagt rådmannen. Kommunen har videre delegert myndighet om internkontroll og informasjonssikkerhet til etatsledere. I tillegg har kommunen utnevnt systemeiere og systemansvarlige for de ulike fagsystemer. Dette er nærmere beskrevet i dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5 og kap.1.3 kommunens sikkerhetsorganisasjon. Det var tilsynets oppfattning at sikkerhetsorganiseringen var kjent blant ansatte i kommunen. Dokumentasjonen var ikke tilgjengelig på kommunens intranett. Tilsynets oppfattning var at det var opprettet klare ansvarsforhold knyttet til organisering og gjennomføring av sikkerhetsarbeidet i kommunen. Tilsynet anbefaler at dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5 i sin helhet gjøres tilgjengelig på kommunens intranett Risikovurdering I henhold til personopplysningsforskriftens 2-4 skal det føres en oversikt over hvilke personopplysninger som behandles. Det skal fastsette kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. På bakgrunn av dette skal den behandlingsansvarlige foreta risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Resultatet av risikovurderingen skal sammenlignes med de fastlagte kriterier for akseptabel risiko. Resultatet av risikovurderingen skal dokumenteres. Kommunen opplyste under kontrollen at de var kjent med risikovurderinger og metode for gjennomføring av dette. Spesielt for barnehagemyndighetene lå malene for gjennomføring av risikovurderinger tilgjengelig elektronisk. Datatilsynet fikk overlevert risikovurdering for systemsvikt, korrupsjon av data, serversvikt i opptakssystemet knyttet til opptak i barnehage. På tilsynet ble det også framvist en detaljert liste over hva som ble ansett som eksempler på avvik. I tilsendt dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5, er ikke risikovurderinger omtalt. Datatilsynets kontroll gav derfor grunnlag for å minne om at nevnte bestemmelse i 2-4 og understreker viktigheten av at den behandlingsansvarlig skal gjennomføre risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd både på overordnet nivå og av etater innenfor sine ansvarsområder. 7 av 12

11 5.3.4 Sikkerhetsrevisjoner Virksomheten plikter i henhold til personopplysningsforskriftens 2-5 å gjennomføre sikkerhetsrevisjon jevnlig, eksempelvis årlig. Sikkerhetsrevisjon skal omfatte vurdering av organisering og at sikkerhetstiltak som er besluttet etablert faktisk er iverksatt og fungerer etter sin hensikt. Sikkerhetsrevisjon er et viktig grunnlag for kontinuerlig forbedring av informasjonssikkerhet i virksomheten. Resultatet fra sikkerhetsrevisjonen vil være en del av grunnlaget for ledelsens gjennomgang. Det fremkom av tilsendt dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5 og kap sikkerhetsrevisjon, at rutinen er etablert. Kommunen erkjente imidlertid under kontrollen at det ikke forelå etterlevelse av bestemmelsene. Kravene i 2-5 kan dermed ikke anses som oppfylt Avvikshåndtering/sikkerhetsbrudd Det følger av personopplysningsforskriftens 2-6 at virksomheten skal ha rutiner for avvikshåndtering. Resultatet fra avviksbehandling skal dokumenteres. Etter personopplysningslovens 2-8, andre ledd skal medarbeidere ha nødvendig kunnskap for å bruke informasjonssystemet i tråd med de rutiner som er fastlagt. Det er således et krav til at de foreliggende rutiner må implementeres i virksomheten. For de tilfeller der avvik har avdekket uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig, skal Datatilsynet meddeleses resultatet. Det fremlå av tilsendt dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5 og kapittel 1.4 System for behandling av avvik at rutinene er etablert. Datatilsynet ba i tilsynet om en redegjørelse knyttet til rutinen og til håndtering av avvik i kommunen. Tilsynet ble opplyst om at skjema for rapportering av avvik ikke ble brukt i særlig grad og at det er en muntlig tradisjon i kommunen - selv om telefon og e-post også ble brukt til å melde avvik. Kommunen mener selv at de har gode rutiner. I følge assisterende rådmann har de ikke sett behov for å ta i bruk skjema. Kommunen viste for øvrig til at det ble utført en skjønnsmessig vurdering av hvert enkelt avvik og hvor høyt i organisasjonen avviket skulle rapporteres. Datatilsynet anbefaler kommunen å benytte seg av de etablerere rutiner og skjema som er beskrevet i dokumentasjon, Sikring av personopplysninger i kommunen 2009 v5 og kap. 1.4 System for behandling av avvik. Tilsynet anser rutinene som tilfredstillende med hensyn til å oppfylle krav i personopplysningsforskriftens Spesielt om konfidensialitet, integritet og tilgjengelighet Tilgang til personopplysninger i sensitive fagsystemer i kommunes sikker sone vil gjennomgående inneholde opplysninger som må behandles spesielt. Det er blant annet av stor viktighet at det opprettes klare skriftlige rutiner for hvem som skal ha tilgang på opplysningene, knyttet opp mot et tjenestelig behov og at disse gjeving revideres. Videre ser 8 av 12

12 tilsynet behov for at kommunen går gjennom tilgangene til de ulike ansatte og sørger for at disse er korrekte. Datatilsynet minner om bestemmelsene i personopplysningsforskriftens 2-10 om fysisk sikring, 2-11 om konfidensialitet, 2-12 om tilgjengelighet, 2-13 om integritet og 2-14 om sikkerhetstiltak. 5.5 Internkontroll knyttet til samordnet opptak i barnehage Om søknadsprosessen I 2007 ble kommunens ansvar som barnehagemyndighet og som barnehageeier skilt i to organisatoriske enheter. Eierskapet forvaltes av barnehageseksjonen, som består av seksjonsleder og to saksbehandlere. Søknad om plass i barnehage sendes kommunen innen gitte frister. Søknaden kan entes fylles ut elektronisk eller på et papirskjema, men det oppfordres til å søke over internett. Kommunen benytter seg av Lotus Notes(sak/arkiv) ved registrering av elektroniske søknader. Søkerlisten og søknadene blir synlig i de barnehagene det er søkt om plass i. Etter at plass er akseptert og registrert i systemet, sendes det ut en kontrakt til foresatte. Administrasjonen sitter med en liste over de som ikke har fått tilbud om en av de to høyeste prioriterte barnehagene. Listen blir blant annet benyttet ved eventuelle klager. For øvrig har IT-avdelingen, barnehagemyndigheten, seksjon barnehage og de aktuelle barnehagene tilgang til den enkelte søknad. Kommunen journalfører ikke barnehagesøknadene. Etter en evaluering i fjor ønsker kommunen å utarbeide et nytt søknadsskjema. Dette skal etter planen implementeres i løpet av høsten. Barnehagemyndigheten gjennomførte tilsyn i barnehagene. I den sammenheng hadde barnehagemyndigheten utarbeidet en egenerklæring som skulle fulles ut i forkant av tilsynet. Enkelte av temaene har relevans for etterfølgelse av personopplysningslovens krav. Dette gjelder for eksempel spørsmål 6.8 og 6.9 om det er utarbeidet rutiner for innhenting av henholdsvis politiattest og taushetserklæring for nytilsatte. Videre ble det bedt om tilbakemelding på om barnehagen følger rutinene for å gi opplysninger til kommunen om kontantstøtte og om barnehagen har arkiv for personopplysninger over barn i barnehagen. Dersom sistnevnte var tilfellet, ble det bedt om en beskrivelse av innhold samt rutiner knyttet til arkivering, innsyn og makulering. Det ble dessuten spurt om barnehagen har et innarbeidet internkontrollsystem som blant annet skal sørge for at personopplysningsloven blir ivaretatt Innholdet i søknadsskjemaet Det ble bedt om de samme opplysningene ved søknad på papir eller elektronisk søknad. I søknadsskjemaet bes det om følgende opplysninger: Barnets personalia: Barnets navn, adresse, fødselsnummer, morsmål og kjønn. 9 av 12

13 Om barnehagen mv: Barnehagen(e) det søkes på, ønsket oppholdstid i angivelse av antall ukedager. Foresatte 1 og 2: Navn, adresse, telefon (privat/arbeid/mobil), fødselsnummer og e- postadresse. Andre opplysninger: Mulighet for avkrysning for - barn med prioritet til opptak - barn med minoritetsspråklig bakgrunn - barn med anbefalt opptak Søsken: Om barnet har søsken med plass i barnehage, navn, om det søkes for søsken, søskens barnehage og ønsket barnehage. Annen informasjon: Fritekstfelt. Det opplyses om at det ikke bør sendes sensitiv informasjon i søknaden Datatilsynets vurdering og delkonklusjon I henhold til personopplysningslovens 11 første ledd d) skal det kun bes om relevante personopplysninger. Dette innebærer at opplysningene det bes om må være nødvendige for å vurdere om barnet skal gis plass eller ikke og eventuelt hvilken barnehage barnet gis plass i og hvilken oppholdstid barnet skal få. Kommunen må gjennomgå søknadsskjemat med tanke på hvilke personopplysninger som er nødvendig i opptaksprosessen. Alle opplysningene som kommunen ber om må være relevante. For bruk av fødselsnummer stilles det ytterligere krav i personopplysningslovens 12: Fødselsnummer skal bare benyttes når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering. Dette innebærer at barnets fødselsnummer neppe kan innhentes for barn over kontantstøttealder. Opplysninger som ikke er nødvendig i opptaksprosessen, men som er nødvendig for tilrettelegging og oppfølging av barnet i barnehagen, bør som hovedregel ikke innhentes i opptaksprosessen. En slik etterfølgende innhenting vil også begrense muligheten for at andre enn dem som har behov for opplysningene får tilgang til disse. For å få prioritert plass må det opplyses om enkelte sensitive og taushetsbelagte opplysninger. Slik søknadsskjemaet er utformet fremkommer det imidlertid ikke om prioritet skyldes funksjonshemming eller vedtak etter barnevernloven. Innhenting av disse opplysningene gjør at skjemaet ligger i grensesonen for at det må iverksettes særskilte sikkerhetstiltak. Etter Datatilsynets vurdering vil det trolig være tilstrekkelig at det kun gis mulighet for å krysse av på om det finnes andre opplysninger eller ikke, og at det fremkommer av ettersendte vedlegg hvilket forhold det vises til (barn med prioritet til opptak, minoritetsspråklig bakgrunn eller anbefalt opptak). 10 av 12

14 Bruk av fritekstfelt kan lett føre til at kommunen samler inn personopplysninger som ikke er relevante. Dette vil særlig være tilfellet der det ikke spesifiseres nærmere hva kommunen ønsker i feltet. Datatilsynet viser til at selv om kommunen har full barnehagedekning vil trolig foresatte lett komme til å informere om irrelevante forhold for å maksimere sjansene for å få tildelt en bestemt barnehageplass. Det å legge til rette for en slik løsning vil lett komme i konflikt med personopplysningslovens 11 om relevans. Bruken av fritekstfelt også kan komme i konflikt med personopplysningslovens sikkerhetsbestemmelser. Selv om det opplyses om at det ikke skal oppgis sensitiv informasjon, innformerers det ikke nærmere om hva som ligger i dette. Videre gis det ingen informasjon om at også taushetsbelagte opplysninger krever egne sikkerhetstiltak. Hva som er taushetsbelagt og hva som er sensitivt vil ofte men ikke alltid være sammenfallende. En løsning med åpne felt vil følgelig lett kunne føre til at sensitive og taushetsbelagte personopplysninger kan bli sendt uten tilstrekkelig sikkerhet. En slik oversendelse vil være i strid med personopplysningsforskriftens 2-11 om sikring av konfidensialitet og eforvaltningsforskriftens 5, første ledd. Datatilsynet siterer fra sistnevnte bestemmelse: Når et forvaltningsorgan legger til rette for bruk av elektronisk kommunikasjon for mottak av opplysninger som på forvaltningens hånd kan være underlagt taushetsplikt, eller som kan være underlagt krav til sikring etter reglene om behandling av personopplysninger eller tilsvarende regler, skal risiko for uberettiget innsyn i opplysningene være forebygget på tilfredsstillende måte. Datatilsynet understreker imidlertid at sikkerhet av løsningen ikke var tema på kontrollen, og tilsynet begrenser seg følgelig til å påpeke at kommunen må undersøke dette punktet nærmere Tilgangsstyring Barnehagemyndigheten og seksjon barnehage hadde i tillegg til styrerne i de aktuelle barnehagene tilgang til barnehagesøknadene. Vedlegg med sensitive personopplysninger ble oppbevart i låsbart skap hos barnehagemyndighetene. Det var kun denne enheten som hadde tilgang til disse. Vedleggene ble ikke scannet. Delkonklusjon: Gitt at organiseringen av kommunens ansvar som barnehagemyndighet og som barnehageeier er skilt i to organisatoriske enheter samt kommunens organisering av opptaksprosessen anser Datatilsynet tilgangsstyringen til søkerne til barnehage som tilfredsstillende Sletting Opplysninger som ikke lenger er nødvendig etter sitt formål skal slettes, jf. personopplysningslovens 28. Kommunen har i motsetning til andre kommuner ikke ansett søknadene med vedlegg for arkiveringspliktige. Opplysningene må følgelig slettes etter personopplysningslovens 28 når de ikke lengre er nødvendig. Kommunen har ikke slettet noen opplysninger fra sitt elektroniske system så lenge dette har vært i bruk i to til tre år. 11 av 12

15 Kommunen har ettersendt rutiner for sletting av barnehagesøknader mv. Søknadsskjema fra barn født 1., 11 og 21 oppbevares i forhold til statistikk og blir levert til Skole- og barnehagekontoret. Andre barn som slutter får med seg de offisielle papirene. Der barn blir overført til ny barnehage følger disse papirene med. Enkelte opplysninger slik som lister over barnegruppene med navn, adresse, fødselsdato og plasstørrelse samt dagbøker med oppmøte og fravær arkiveres. For barn der det har vært et samarbeid med andre instanser mv. ser kommunen behovet for å utarbeide felles rutiner for hva som skal slettes og hva som skal oppbevares. Slik Datatilsynet leser henvendelsen er rutinene ikke skriftlig nedfelt. Sletting av papirbaserte søknader ble ikke berørt på kontrollen. Delkonklusjon: Rutinene for sletting og oppbevaring av barnehagesøknader må nedfelles skriftlig. Skriftlige rutiner bør minimum inneholde informasjon om når sletting skal foretas og hvem som har ansvaret for dette. Kommunen må deretter slette informasjon (elektronisk og papirbasert) i henhold til rutinene. Personopplysninger som oppbevares for statistiske formål må anonymiseres når det ikke lenger er nødvendig å ha disse personidentifiserbare Konklusjon Kommunen må vurdere hvilke opplysninger de har behov for i opptaksprosessen og tilpasse søknadsskjemaet til dette. Det må foretas en risikovurdering av sannsynligheten for å få inn irrelevant informasjon dersom kommunen ønsker å beholde åpne felt. Sletterutinene må nedfelles skriftlig. 5.6 Avslutning Vedtak som følge av kontrollen følger i brev. 12 av 12

Datatilsynet viser til gjennomført kontroll hos kommunen den 22. april 2009 og til varsel om vedtak gitt i vårt brev av 14. mai 2009.

Datatilsynet viser til gjennomført kontroll hos kommunen den 22. april 2009 og til varsel om vedtak gitt i vårt brev av 14. mai 2009. Avslutning av sak - kontroll hos kommune - Internkontroll og informasjonssikkerhet Datatilsynet viser til gjennomført kontroll hos kommunen den 22. april 2009 og til varsel om vedtak gitt i vårt brev av

Detaljer

Kontrollrapport. Kontrollobjekt: Fylkesmannen i Nord- Trøndelag Sted: Steinkjer

Kontrollrapport. Kontrollobjekt: Fylkesmannen i Nord- Trøndelag Sted: Steinkjer Saksnummer: 15/00436 Dato for kontroll: 15.06.2015 Rapportdato: 29.06.2015 Kontrollrapport Kontrollobjekt: Fylkesmannen i Nord- Trøndelag Sted: Steinkjer Utarbeidet av: Knut-Brede Kaspersen og Hallstein

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/01059 Dato for kontroll: 26.11.2014 Rapportdato: 26.11.2014 Endelig kontrollrapport Kontrollobjekt: Sortland kommune Sted: Sortland Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00257 Dato for kontroll: 09.04.2014 Rapportdato: 06.08.2014 Endelig kontrollrapport Kontrollobjekt: Leikanger kommune Sted: Leikanger Utarbeidet av: Ted Tøraasen Knut-Brede Kaspersen 1 Innledning

Detaljer

Kontrollrapport. Kontrollobjekt: Våler kommune Sted: Våler

Kontrollrapport. Kontrollobjekt: Våler kommune Sted: Våler Saksnummer: 15/00500 Dato for kontroll: 28.05.2015 Rapportdato: 28.07.2015 Kontrollrapport Kontrollobjekt: Våler kommune Sted: Våler Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand 1 Innledning

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00178 Dato for kontroll: 28.03.2012 Rapportdato: 23.08.2012 Endelig kontrollrapport Kontrollobjekt: Lyngen kommune Sted: Lyngseidet Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/01060 Dato for kontroll: 09.10.2014 Rapportdato: 16.12.2014 Endelig kontrollrapport Kontrollobjekt: Hadsel kommune Sted: Stokmarknes Utarbeidet av: Knut-Brede Kaspersen Hallstein Husand

Detaljer

Kontrollrapport. Kontrollobjekt: Østfold fylkeskommune Sted: Sarpsborg

Kontrollrapport. Kontrollobjekt: Østfold fylkeskommune Sted: Sarpsborg Saksnummer: 15/00501 Dato for kontroll: 28.05.2015 Rapportdato: 03.07.2015 Kontrollrapport Kontrollobjekt: Østfold fylkeskommune Sted: Sarpsborg Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand

Detaljer

Vedtak om pålegg - oversendelse av endelig kontrollrapport for kommune

Vedtak om pålegg - oversendelse av endelig kontrollrapport for kommune Deres referanse Vår referanse (bes oppgitt ved svar) Dato 09/858/09/5428 09/00171-8 /ABE 30. juni 2009 Vedtak om pålegg - oversendelse av endelig kontrollrapport for kommune Det vises til Datatilsynets

Detaljer

Kontrollrapport. Kontrollobjekt: Nittedal kommune Sted: Nittedal

Kontrollrapport. Kontrollobjekt: Nittedal kommune Sted: Nittedal Saksnummer: 15/01666 Dato for kontroll: 24.11.2015 Rapportdato: 05.01.2016 Kontrollrapport Kontrollobjekt: Nittedal kommune Sted: Nittedal Utarbeidet av: Knut Kaspersen og Hallstein Husand 1 Innledning

Detaljer

Det vises til Datatilsynets kontroll hos kommunen den 29. april 2009 og Datatilsynets varsel om vedtak av 25. mai 2009.

Det vises til Datatilsynets kontroll hos kommunen den 29. april 2009 og Datatilsynets varsel om vedtak av 25. mai 2009. Deres referanse Vår referanse (bes oppgitt ved svar) Dato 09/42637 09/00173-7 /RTH 11. september 2009 Vedtak om pålegg - endelig kontrollrapport fra kommune Det vises til Datatilsynets kontroll hos kommunen

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00490 Dato for kontroll: 27.05.2014 Rapportdato: 30.04.2015 Endelig kontrollrapport Kontrollobjekt: Vardø kommune Sted: Vardø Utarbeidet av: Knut-Brede Kaspersen, Hallstein Husand og Rannveig

Detaljer

Kontrollrapport. Kontrollobjekt: Horten kommune Sted: Horten

Kontrollrapport. Kontrollobjekt: Horten kommune Sted: Horten Saksnummer: 15/00322 Dato for kontroll: 24.04.2015 Rapportdato: 08.06.2015 Kontrollrapport Kontrollobjekt: Horten kommune Sted: Horten Utarbeidet av: Knut-Brede Kaspersen, Hallstein Husand 1 Innledning

Detaljer

Kontrollrapport. Kontrollobjekt: Øksnes kommune Sted: Myre

Kontrollrapport. Kontrollobjekt: Øksnes kommune Sted: Myre Saksnummer: 14/01055 Dato for kontroll: 09.10.2014 Rapportdato: 20.01.2015 Kontrollrapport Kontrollobjekt: Øksnes kommune Sted: Myre Utarbeidet av: Knut-Brede Kaspersen 1 Innledning Datatilsynet gjennomførte

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00478 Dato for kontroll: 17.06.2014 Rapportdato: 21.10.2014 Endelig kontrollrapport Kontrollobjekt: Den katolske kirke Oslo Katolske Bispedømme Utarbeidet av: Hallstein Husand og Henok Tesfazghi

Detaljer

Kontrollrapport. Kontrollobjekt: Kongsvinger kommune Sted: Kongsvinger

Kontrollrapport. Kontrollobjekt: Kongsvinger kommune Sted: Kongsvinger Saksnummer: 15/00499 Dato for kontroll: 18.05.2015 Rapportdato: 24.06.2015 Kontrollrapport Kontrollobjekt: Kongsvinger kommune Sted: Kongsvinger Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand

Detaljer

Endelig Kontrollrapport

Endelig Kontrollrapport Saksnummer: 14/00258 Dato for kontroll: 09.04.2014 Rapportdato: 28.07.2014 Endelig Kontrollrapport Kontrollobjekt: Sogndal kommune Sted: Sogndal Utarbeidet av: Knut B. Kaspersen Ted Tøraasen 1 Innledning

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Bindal kommune

Vedtak om pålegg - Endelig kontrollrapport for Bindal kommune Bindal kommune - Rådmannenn Oldervikveien 5 7980 TERRÅK Deres referanse Vår referanse (bes oppgitt ved svar) 2010/2733-11 13/00455-6/KBK 28. august 2013 Dato Vedtak om pålegg - Endelig kontrollrapport

Detaljer

Kontrollrapport. Kontrollobjekt: Vestby kommune Sted: Vestby

Kontrollrapport. Kontrollobjekt: Vestby kommune Sted: Vestby Saksnummer: 15/01603 Dato for kontroll: 04.11.2015 Rapportdato: 06.01.2016 Kontrollrapport Kontrollobjekt: Vestby kommune Sted: Vestby Utarbeidet av: Knut Kaspersen og Hallstein Husand 1 Innledning Datatilsynet

Detaljer

Kontrollrapport. Kontrollobjekt: Verdal kommune Sted: Levanger

Kontrollrapport. Kontrollobjekt: Verdal kommune Sted: Levanger Saksnummer: 16/00327 Dato for kontroll: 09.11.2015 Rapportdato: 13.04.2016 Kontrollrapport Kontrollobjekt: Verdal kommune Sted: Levanger Utarbeidet av: Knut Kaspersen, Hallstein Husand og Gullik Gundersen

Detaljer

Kontrollrapport. Kontrollobjekt: Eigersund kommune Sted: Egersund

Kontrollrapport. Kontrollobjekt: Eigersund kommune Sted: Egersund Saksnummer: 14/00406 Dato for kontroll: 30.04.2014 Rapportdato: 30.04.2015 Kontrollrapport Kontrollobjekt: Eigersund kommune Sted: Egersund Utarbeidet av: Knut-Brede Kaspersen og Ted Tøraasen 1 Innledning

Detaljer

Kontrollrapport. Kontrollobjekt: Svelvik kommune Sted: Svelvik

Kontrollrapport. Kontrollobjekt: Svelvik kommune Sted: Svelvik Saksnummer: 16/00074 Dato for kontroll: 14.01.2016 Rapportdato: 08.03.2016 Kontrollrapport Kontrollobjekt: Svelvik kommune Sted: Svelvik Utarbeidet av: Knut Kaspersen, Alf Ole Synstad og Hallstein Husand

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00173 Dato for kontroll: 27.03.2012 Rapportdato: 22.08.2012 Endelig kontrollrapport Kontrollobjekt: Nordreisa kommune Sted: Storslett Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00157 Dato for kontroll: 26.03.2012 Rapportdato: 23.08.2012 Endelig kontrollrapport Kontrollobjekt: Kvænangen kommune Sted: Burfjord Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet

Detaljer

Kontrollrapport. Kontrollobjekt: Steinkjer kommune Sted: Steinkjer

Kontrollrapport. Kontrollobjekt: Steinkjer kommune Sted: Steinkjer Saksnummer: 15/00437 Dato for kontroll: 15.06.2015 Rapportdato: 03.07.2015 Kontrollrapport Kontrollobjekt: Steinkjer kommune Sted: Steinkjer Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand 1 Innledning

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00179 Dato for kontroll: 28.03.2012 Rapportdato: 21.08.2012 Endelig kontrollrapport Kontrollobjekt: Storfjord kommune Sted: Storfjord Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet

Detaljer

Kontrollrapport. Kontrollobjekt: Flekkefjord kommune Sted: Flekkefjord

Kontrollrapport. Kontrollobjekt: Flekkefjord kommune Sted: Flekkefjord Saksnummer: 14/00404 Dato for kontroll: 29.04.2014 Rapportdato: 30.04.2015 Kontrollrapport Kontrollobjekt: Flekkefjord kommune Sted: Flekkefjord Utarbeidet av: Knut-Brede Kaspersen og Ted Tøraasen 1 Innledning

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00321 Dato for kontroll: 29.05.2012 Rapportdato: 10.12.2012 Endelig kontrollrapport Kontrollobjekt: Fremskrittspartiet Sted: Karl Johans gate 25 Utarbeidet av: Knut-Brede Kaspersen 1 Innledning

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Kristiansund kommune Internkontroll og informasjonssikkerhet

Vedtak om pålegg - Endelig kontrollrapport for Kristiansund kommune Internkontroll og informasjonssikkerhet Kristiansund kommune Rådhuset, Kaibakken 2 6509 KRISTIANSUND N Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00906-5/HHU 5. desember 2013 Vedtak om pålegg - Endelig kontrollrapport for Kristiansund

Detaljer

Datatilsynet viser til gjennomført kontroll hos Fell kommune den 24. november 2010 og til varsel om vedtak gitt i vårt brev av 13. desember 2010.

Datatilsynet viser til gjennomført kontroll hos Fell kommune den 24. november 2010 og til varsel om vedtak gitt i vårt brev av 13. desember 2010. Fjell kommune Postboks 184 5342 STRAUME Deres referanse Vår referanse (bes oppgitt ved svar) Dato 10/01137-9/RTH 27. februar 2012 Avslutning av sak - kontroll hos Fjell kommune- Internkontroll og informasjonssikkerhet

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Averøy kommune Internkontroll og informasjonssikkerhet

Vedtak om pålegg - Endelig kontrollrapport for Averøy kommune Internkontroll og informasjonssikkerhet Averøy kommune - Rådmannen Bruhagen Postboks 152 6538 AVERØY Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00904-6/HHU 5. desember 2013 Vedtak om pålegg - Endelig kontrollrapport for Averøy

Detaljer

Kontrollrapport. Kontrollobjekt: Hovedredningssentralen Nord-Norge Sted: Bodø

Kontrollrapport. Kontrollobjekt: Hovedredningssentralen Nord-Norge Sted: Bodø Saksnummer: 14/00492 Dato for kontroll: 28.05.2014 Rapportdato: 30.04.2015 1 Innledning Kontrollrapport Kontrollobjekt: Hovedredningssentralen Nord-Norge Sted: Bodø Utarbeidet av: Knut-Brede Kaspersen

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00176 Dato for kontroll: 27.03.2012 Rapportdato: 05.09.2012 Endelig kontrollrapport Kontrollobjekt: Kåfjord kommune Sted: Kåfjord Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Vega kommune

Vedtak om pålegg - Endelig kontrollrapport for Vega kommune Vega kommune - Rådmannen Gladstad 8980 VEGA Deres referanse Vår referanse (bes oppgitt ved svar) 2013/1601-4 13/00451-8/KBK 28. august 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for Vega kommune

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00319 Dato for kontroll: 02.05.2012 Rapportdato: 10.12.2012 Endelig kontrollrapport Kontrollobjekt: Sosialistisk Venstreparti Sted: Akersgata 35, Oslo Utarbeidet av: Knut-Bredee Kaspersen

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Sømna kommune

Vedtak om pålegg - Endelig kontrollrapport for Sømna kommune Sømna kommune - Rådmannen Vik 8920 SØMNA Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00454-7/KBK 3. september 2013 Vedtak om pålegg - Endelig kontrollrapport for Sømna kommune Det vises

Detaljer

Foreløpig kontrollrapport

Foreløpig kontrollrapport Saksnummer: 14/00129 Dato for kontroll: 17.03.2014 Rapportdato: 23.06.2014 Foreløpig kontrollrapport Kontrollobjekt: Statens sivilrettsforvaltning Sted: Møllergata 1, Oslo Utarbeidet av: Hallstein Husand

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00491 Dato for kontroll: 27.05.2014 Rapportdato: 20.08.2014 Endelig kontrollrapport Kontrollobjekt: Kontoret for voldsoffererstatning Sted: Vardø Utarbeidet av: Knut-Brede Kaspersen Rannveig

Detaljer

Det vises til Datatilsynets kontroll hos Brønnøy kommune den 6. juni 2013 varsel om vedtak 13. juni 2013.

Det vises til Datatilsynets kontroll hos Brønnøy kommune den 6. juni 2013 varsel om vedtak 13. juni 2013. Brønnøy kommune Rådmannen Rådhuset 8905 BRØNNØYSUND Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00452-7/KBK 3. september 2013 Vedtak om pålegg - Endelig kontrollrapport - Brønnøy kommune

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/01434 Dato for kontroll: 13.02.2015 Foreløpig rapport: 19.02.2015 Rapportdato: 27.03.2015 Endelig kontrollrapport Kontrollobjekt: Ving Norge AS Sted: Oslo Utarbeidet av: Martha Eike Knut

Detaljer

Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00939-9/MEI 11. juli 2014

Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00939-9/MEI 11. juli 2014 Elverum kommune Postboks 403 2418 ELVERUM Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00939-9/MEI 11. juli 2014 Vedtak om pålegg og endelig kontrollrapport Vi viser til Datatilsynets kontroll

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00320 Dato for kontroll: 05.06.2012 Rapportdato: 10.12.2012 Endelig kontrollrapport Kontrollobjekt: Høyre Utarbeidet av: Knut-Bredee Kaspersen Sted: Oslo 1 Innledning Datatilsynet gjennomførte

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Direktoratet for naturforvaltning - Internkontroll og informasjonssikkerhet

Vedtak om pålegg - Endelig kontrollrapport for Direktoratet for naturforvaltning - Internkontroll og informasjonssikkerhet Direktoratet for naturforvaltning Postboks 5672 Sluppen 7485 TRONDHEIM Deres referanse 2012/15619 org-itev Vår referanse (bes oppgitt ved svar) Dato 12/01045-8/KBK 18. februar 2013 Vedtak om pålegg - Endelig

Detaljer

Internkontroll og informasjonssikkerhet lover og standarder

Internkontroll og informasjonssikkerhet lover og standarder Internkontroll og informasjonssikkerhet lover og standarder Renate Thoreid, senioringeniør Side 1 Internkontroll og Informasjonssikkerhet Krav i Personopplysningsloven 13 og 14 Krav i Personopplysningsforskriften

Detaljer

Kontrollrapport. Kontrollobjekt: Justis- og beredskapsdepartementet Sted: Oslo

Kontrollrapport. Kontrollobjekt: Justis- og beredskapsdepartementet Sted: Oslo Saksnummer: 14/00130 Dato for kontroll: 05.05.2014 Rapportdato: 30.04.2015 Kontrollrapport Kontrollobjekt: Justis- og beredskapsdepartementet Sted: Oslo Utarbeidet av: Hallstein Husand, Knut B. Kaspersen

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/01433 Dato for kontroll: 26.01.2015 Foreløpig rapport: 02.02.2015 Endelig rapport: 08.04.2015 Endelig kontrollrapport Kontrollobjekt: Hurtigruten ASA Sted: Tromsø Utarbeidet av: Martha Eike

Detaljer

Deres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00137-12/MEI 5. november 2014

Deres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00137-12/MEI 5. november 2014 Vestfold fylkeskommune Svend Foynsgt 9 3126 TØNSBERG Deres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00137-12/MEI 5. november 2014 Vedtak om pålegg og endelig kontrollrapport Vi viser til

Detaljer

Vedtak om pålegg - endelig kontrollrapport kontroll hos Direktoratet for arbeidstilsynet

Vedtak om pålegg - endelig kontrollrapport kontroll hos Direktoratet for arbeidstilsynet Direktoratet for arbeidstilsynet Postboks 4720 Sluppen 7468 TRONDHEIM Deres referanse Vår referanse (bes oppgitt ved svar) 2012/30431 12/01044-8/MEI 5. mars 2013 Dato Vedtak om pålegg - endelig kontrollrapport

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Fiskeridirektoratet Internkontroll og informasjonssikkerhet

Vedtak om pålegg - Endelig kontrollrapport for Fiskeridirektoratet Internkontroll og informasjonssikkerhet Fiskeridirektoratet Postboks 185 Sentrum 5804 BERGEN Deres referanse Vår referanse (bes oppgitt ved svar) 11/7937 13/00201-8/HHU 26. juni 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for Fiskeridirektoratet

Detaljer

Vedtak om pålegg - Endelig kontrollrapport for Utdanningsdirektoratet - internkontroll og informasjonssikkerhet

Vedtak om pålegg - Endelig kontrollrapport for Utdanningsdirektoratet - internkontroll og informasjonssikkerhet Utdanningsdirektoratet Postboks 2924 Tøyen 0608 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 2012/6050 12/00973-10/KBK 27. februar 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/01435 Dato for kontroll: 13.01.2015 Foreløpig rapport: 02.02.2015 Endelig rapport: 06.03.2015 Endelig kontrollrapport Kontrollobjekt: TUI Norway Holding AS Sted: Stabekk Utarbeidet av: Knut

Detaljer

14/00406-11/KBK 30.04.2015. Vedtak - Endelig kontrollrapport - Eigersund kommune - Internkontroll og informasjonssikkerhet

14/00406-11/KBK 30.04.2015. Vedtak - Endelig kontrollrapport - Eigersund kommune - Internkontroll og informasjonssikkerhet Eigersund kommune 4370 EGERSUND Deres referanse Vår referanse Dato 15/8889 / 14/605 /FE-060, Ti-&58 14/00406-11/KBK 30.04.2015 Vedtak - Endelig kontrollrapport - Eigersund kommune - Internkontroll og informasjonssikkerhet

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/01426 Dato for kontroll: 27.01.2015 Rapportdato: 07.04.2015 Endelig kontrollrapport Kontrollobjekt: Troms fylkeskommune Sted: Tromsø Utarbeidet av: Knut-Brede Kaspersen og Martha Eike 1

Detaljer

Kommunens Internkontroll

Kommunens Internkontroll Kommunens Internkontroll Verktøy for rådmenn Et redskap for å kontrollere kommunens etterlevelse av personopplysningsloven 2012 Innhold Til deg som er rådmann... 4 Hvordan dokumentet er bygd opp... 4 Oppfølging

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 13/00933 Dato for kontroll: 11.10.2013 Foreløpig rapport: 06.12.2013 Endelig rapport: 01.07.2014 1 Innledning Endelig kontrollrapport Kontrollobjekt: Asker kommune, Borgen ungdomsskole Sted:

Detaljer

Brevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak

Brevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak TVNorge AS Postboks 4800 Nydalen 0422 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00442-5/FUE 2. august 2011 Brevkontroll - TVNorge WebTV - Internettbaserte TV-tjenester - Vedtak

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 13/00937 Dato for kontroll: 17.10.2013 Foreløpig rapport: 13.01.2014 Endelig rapport: 13.08.2014 Endelig kontrollrapport Kontrollobjekt: Randaberg kommune, Harestad skole Sted: Randaberg Utarbeidet

Detaljer

Vi viser til Datatilsynets kontroll hos Lier kommune ved Høvik skole den 21. mars 2014 og vårt varsel om vedtak 27. juni 2014.

Vi viser til Datatilsynets kontroll hos Lier kommune ved Høvik skole den 21. mars 2014 og vårt varsel om vedtak 27. juni 2014. Lier kommune Postboks 205 3401 LIER Deres referanse Vår referanse (bes oppgitt ved svar) Dato 14/00141-9/MEI 22. oktober 2014 Vedtak om pålegg og endelig kontrollrapport Vi viser til Datatilsynets kontroll

Detaljer

Foreløpig kontrollrapport

Foreløpig kontrollrapport Saksnummer: 14/00121 Dato for kontroll: 28.02.2014 Foreløpig rapport: 29.04.2014 Endelig rapport: 08.08.2014 Foreløpig kontrollrapport Kontrollobjekt: Nesodden kommune Sted: Heia barnehage Utarbeidet av:

Detaljer

Kontrollobjekt: Østfold fylkeskommune, Malakoff videregående skole Sted: Moss

Kontrollobjekt: Østfold fylkeskommune, Malakoff videregående skole Sted: Moss Saksnummer: 13/00933 Dato for kontroll: 15.10.2013 Foreløpig rapport: 19.12.2013 Endelig rapport: 07.07.2014 Kontrollobjekt: Østfold fylkeskommune, Malakoff videregående skole Sted: Moss Utarbeidet av:

Detaljer

Vår referanse (bes oppgitt ved svar)

Vår referanse (bes oppgitt ved svar) Bring Dialog Norge AS Drammensveien 145 a 0277 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 11/00589-10/ABE Dato 4. juli 2012 Vedtak - kontrollrapport for Bring Dialog Norge AS Det vises til

Detaljer

Deres referanse Vår referanse Dato 201300056-69 13/01250-14/EOL 04.12.2014

Deres referanse Vår referanse Dato 201300056-69 13/01250-14/EOL 04.12.2014 Finnmark fylkeskommune Fylkeshuset 9815 VADSØ Deres referanse Vår referanse Dato 201300056-69 13/01250-14/EOL 04.12.2014 Vedtak om pålegg - Brevkontroll ved Alta videregående skole Vi viser til Datatilsynets

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00120 Dato for kontroll: 3.3.2014 Foreløpig rapport: 22.4.2014 Endelig rapport: 08.08.14 Endelig kontrollrapport Kontrollobjekt: Rosenlund barnehage Sted:Ski Utarbeidet av: Eirin Oda Lauvset

Detaljer

Kontrollrapport. Kontrollobjekt: Stjørdal kommune Sted: Stjørdal

Kontrollrapport. Kontrollobjekt: Stjørdal kommune Sted: Stjørdal Saksnummer: 16/00326 Dato for kontroll: 10.11.2015 Rapportdato: 13.04.2016 Kontrollrapport Kontrollobjekt: Stjørdal kommune Sted: Stjørdal Utarbeidet av: Knut Kaspersen, Hallstein Husand og Gullik Gundersen

Detaljer

Vedtak om pålegg og endelig kontrollrapport - Kontroll hos Norsk Medisinaldepot AS 28092011

Vedtak om pålegg og endelig kontrollrapport - Kontroll hos Norsk Medisinaldepot AS 28092011 Norsk Medisinaldepot AS Postboks 183 Kalbakken 0903 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00939-8/SEV 28. februar 2012 Vedtak om pålegg og endelig kontrollrapport - Kontroll

Detaljer

Vedtak om pålegg Endelig kontrollrapport for Statens Havarikommisjon for Transport Internkontroll og informasjonssikkerhet

Vedtak om pålegg Endelig kontrollrapport for Statens Havarikommisjon for Transport Internkontroll og informasjonssikkerhet Statens Havarikommisjon for Transport Postboks 213 2001 LILLESTRØM Deres referanse Vår referanse (bes oppgitt ved svar) 12/611-6 12/01022-8/HHU 28. februar 2013 Dato Vedtak om pålegg Endelig kontrollrapport

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 13/00934 Dato for kontroll: 25.10.2013 Foreløpig rapport: 20.12.2013 Endelig rapport: 07.08.2014 Endelig kontrollrapport Kontrollobjekt: Oslo kommune Sted: Bygdøy skole Utarbeidet av: Martha

Detaljer

Foreløpig kontrollrapport

Foreløpig kontrollrapport Saksnummer: 14/00139 Dato for kontroll: 18.03.2014 Foreløpig rapport: 22.04.2014 Endelig rapport: 14.07.2014 Foreløpig kontrollrapport Kontrollobjekt: Kongsberg kommune, Skrim ungdomsskole Sted: Kongsberg

Detaljer

Databehandleravtale. I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens kapittel 2. mellom

Databehandleravtale. I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens kapittel 2. mellom Databehandleravtale Databehandleravtale I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens kapittel 2. mellom Statens innkrevingssentral (SI) behandlingsansvarlig og (Inkassoselskapet)

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 13/00940 Dato for kontroll: 07.11.2013 Rapportdato: 11.03.2014 Endelig kontrollrapport Kontrollobjekt: Rudolf Steinerskolen i Oslo Sted: Oslo Utarbeidet av: Andreas Hobæk Martha Eike 1 Innledning

Detaljer

Vår referanse (bes oppgitt ved svar)

Vår referanse (bes oppgitt ved svar) Kripos - Internasjonal seksjon Postboks 8136 Dep 0034 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 2010/00638 10/00525-10/HVE 18. mai 2012 Dato Vedtak om pålegg - Endelig kontrollrapport for

Detaljer

Databehandleravtale. I henhold til helseregisterlovens 16, jf. 18 og personopplysningsforskriftens kapittel 2. mellom. Bærum kommune, Pleie- og omsorg

Databehandleravtale. I henhold til helseregisterlovens 16, jf. 18 og personopplysningsforskriftens kapittel 2. mellom. Bærum kommune, Pleie- og omsorg I henhold til helseregisterlovens 16, jf. 18 og personopplysningsforskriftens kapittel 2. mellom Bærum kommune, Pleie- og omsorg databehandlingsansvarlig og Leverandør databehandler Innholdsfortegnelse

Detaljer

Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001

Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001 Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001 Personopplysningsforskriften Krav utledet av paragrafene i forskriften Tilsvarer krav og kontroller i ISO/IEC 27001 2-1 Forholdsmessige krav

Detaljer

Vedtak - Endelig kontrollrapport - Flekkefjord kommune - Internkontroll og informasjonssikkerhet

Vedtak - Endelig kontrollrapport - Flekkefjord kommune - Internkontroll og informasjonssikkerhet Flekkefjord kommune Kirkegaten 50 4400 FLEKKEFJORD Deres referanse Vår referanse Dato 15/3356 14/00404-9/KBK 30.04.2015 Vedtak - Endelig kontrollrapport - Flekkefjord kommune - Internkontroll og informasjonssikkerhet

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00118 Dato for kontroll: 6.3.2014 Foreløpig rapport: 29.4.2014 Endelig rapport: 8.8.2014 Endelig kontrollrapport Kontrollobjekt: Bjerkås barnehage Sted: Vollen, Asker Utarbeidet av: Martha

Detaljer

Avslutning av sak og endelig kontrollrapport - Kontroll hos Blålys

Avslutning av sak og endelig kontrollrapport - Kontroll hos Blålys Blålys Postboks 70 7201 KYRKSÆTERØRA Deres referanse Vår referanse (bes oppgitt ved svar) Dato 12/01053-4/SEV 12. mars 2013 Avslutning av sak og endelig kontrollrapport - Kontroll hos Blålys Det vises

Detaljer

Vedtak - Endelig kontrollrapport for Hovedredningssentralen Nord-Norge Internkontroll og informasjonssikkerhet

Vedtak - Endelig kontrollrapport for Hovedredningssentralen Nord-Norge Internkontroll og informasjonssikkerhet Hovedredningssentralen for Nord-Norge Postbpoks 1016 8001 BODØ Deres referanse Vår referanse Dato 2014/01692-2 010 14/00492-7/KBK 30.04.2015 Vedtak - Endelig kontrollrapport for Hovedredningssentralen

Detaljer

Databehandleravtaler

Databehandleravtaler Databehandleravtaler etter personopplysningsloven og helseregisterloven Veileder 26.05.2009 Innholdsfortegnelse DEL I 5 Veileder - databehandleravtaler...6 Datatilsynet...6 Forutsetninger og avklaringer...7

Detaljer

Foreløpig kontrollrapport

Foreløpig kontrollrapport Saksnummer: 12/00064 Dato for kontroll: 02.02.2012 Rapportdato: 23.05.2012 Foreløpig kontrollrapport Kontrollobjekt: Rekruttering AS Sted: Klokkeveien 9, 1440 Drøbak Utarbeidet av: Maria Bakke Andreas

Detaljer

Retningslinjer for databehandleravtaler

Retningslinjer for databehandleravtaler Retningslinjer for databehandleravtaler Operativ sikkerhetsdokumentasjon INNHOLDSFORTEGNELSE 1. HENSIKT... 2 2. BEHANDLINGSANSVAR OG DATABEHANDLERAVTALER... 2 2.1 SENTRALE BEGREPER... 2 2.2 HVORFOR ER

Detaljer

Vedtak om pålegg - endelig kontrollrapport - Kontroll hos Utlendingsnemnda Internkontroll og informasjonssikkerhet

Vedtak om pålegg - endelig kontrollrapport - Kontroll hos Utlendingsnemnda Internkontroll og informasjonssikkerhet Utlendingsnemnda Postboks 8175 Dep 0034 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 12/00685-8 12/00994-9/MEP 19. februar 2013 Dato Vedtak om pålegg - endelig kontrollrapport - Kontroll hos

Detaljer

Avslutning av sak og endelig kontrollrapport - Kontroll hos Boots Norge AS 26092011

Avslutning av sak og endelig kontrollrapport - Kontroll hos Boots Norge AS 26092011 Boots Norge AS Postboks 413 Skøyen 0213 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00938-7/SEV 28. februar 2012 Avslutning av sak og endelig kontrollrapport - Kontroll hos Boots

Detaljer

Foreløpig kontrollrapport

Foreløpig kontrollrapport Saksnummer: 14/00119 Dato for kontroll: 24.02.2014 Foreløpig rapport: 11.04.2014 Endelig rapport: 07.08.2014 Foreløpig kontrollrapport Kontrollobjekt: Norlandiabarnehagene, Myrertoppen barnehage Sted:

Detaljer

Kan du legge personopplysninger i skyen?

Kan du legge personopplysninger i skyen? Kan du legge personopplysninger i skyen? 05.05.2015 Datatilsynet Uavhengig forvaltningsorgan Tilsyn og ombud Forvalter personopplysningsloven og forskrifter 40 medarbeidere Faggruppe 1 (justis, bank/finans/forsikring,

Detaljer

Vedtak - Endelig kontrollrapport - Justis -og beredskapsdepartementet - Internkontroll og informasjonssikkerhet

Vedtak - Endelig kontrollrapport - Justis -og beredskapsdepartementet - Internkontroll og informasjonssikkerhet Justis- og beredskapsdepartementet Postboks 8005 Dep 0030 OSLO Deres referanse Vår referanse Dato 14/7350-AHA 14/00130-7/HHU 30.04.2015 Vedtak - Endelig kontrollrapport - Justis -og beredskapsdepartementet

Detaljer

Det vises til Datatilsynets kontroll hos NextGenTel AS 27. april 2011 og Datatilsynets varsel om vedtak av 3. juni 2011.

Det vises til Datatilsynets kontroll hos NextGenTel AS 27. april 2011 og Datatilsynets varsel om vedtak av 3. juni 2011. NextGenTel AS Postboks 3 Sandsli 5861 BERGEN Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00257-7/FUE 2. august 2011 Kontroll hos NextGenTel AS 27042011 - Vedtak Det vises til Datatilsynets

Detaljer

Vår referanse (bes oppgitt ved svar)

Vår referanse (bes oppgitt ved svar) Scanstat Norway AS avdeling CATI Sjøfartsgata 14 7725 STEINKJER Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00720-6/MHN 29. august 2011 Vedtak - Endelig kontrollrapport for Scanstat i

Detaljer

Hvordan revidere etterlevelse av personvernregelverket? Presentasjon NIRF 16. april 2015

Hvordan revidere etterlevelse av personvernregelverket? Presentasjon NIRF 16. april 2015 Hvordan revidere etterlevelse av personvernregelverket? Presentasjon NIRF 16. april 2015 Hva er personvern? Personvern: Retten til et privatliv og retten til å bestemme over egne personopplysninger Datatilsynets

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00754 Dato for kontroll: 08.10.2012 Rapportdato: 08.04.2013 Endelig kontrollrapport Kontrollobjekt: Toll- og avgiftsdirektoratet Sted: Oslo Utarbeidet av: Atle Årnes Cecilie Rønnevik 1 Innledning

Detaljer

E-billetteringsnorm: Mal for databehandleravtale (bearbeidet utgave av Datatilsynets avtaleskisse)

E-billetteringsnorm: Mal for databehandleravtale (bearbeidet utgave av Datatilsynets avtaleskisse) Vedlegg 3 til Bransjenorm for behandling av personopplysninger i elektronisk billettering (Bransjenormen) E-billetteringsnorm: Mal for databehandleravtale (bearbeidet utgave av Datatilsynets avtaleskisse)

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 13/00933 Dato for kontroll: 30.10.2013 Foreløpig rapport: 20.12.2013 Endelig rapport: 07.08.2014 1 Innledning Endelig kontrollrapport Kontrollobjekt: Oslo kommune, Foss videregående skole Sted:

Detaljer

Vedtak om pålegg - endelig kontrollrapport

Vedtak om pålegg - endelig kontrollrapport Justis- og politidepartementet Postboks 8005 Dep 0030 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 07/01455-9 /CBR 25. januar 2008 Vedtak om pålegg - endelig kontrollrapport Det vises

Detaljer

Personvernkrav ved behandling av kundeopplysninger utvalgte emner. Bård Soløy Ødegaard Juridisk rådgiver Datatilsynet

Personvernkrav ved behandling av kundeopplysninger utvalgte emner. Bård Soløy Ødegaard Juridisk rådgiver Datatilsynet Personvernkrav ved behandling av kundeopplysninger utvalgte emner Bård Soløy Ødegaard Juridisk rådgiver Datatilsynet Disposisjon Innledende bemerkninger om a) personvern b) personopplysning c) personopplysningslovens

Detaljer

VEDLEGG TIL HOVEDAVTALE DATABEHANDLERAVTALE

VEDLEGG TIL HOVEDAVTALE DATABEHANDLERAVTALE VEDLEGG TIL HOVEDAVTALE DATABEHANDLERAVTALE 1. Avtalens parter og bakgrunn Det vises til avtale ( Hovedavtalen ) mellom takstmann/takstfirma (Databehandler) og Crawford & Company (Norway) AS om at Databehandler

Detaljer

Det vises til Datatilsynets kontroll hos virksomheten den 28. september 2011 og Datatilsynets varsel om vedtak av 3.november 2011.

Det vises til Datatilsynets kontroll hos virksomheten den 28. september 2011 og Datatilsynets varsel om vedtak av 3.november 2011. Sjøsiden v/senterleder Teatergaten 6 3187 HORTEN Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/01070-2/SEV 12. mars 2012 Vedtak om pålegg og endelig kontrollrapport Det vises til Datatilsynets

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00122 Dato for kontroll: 7.3.2014 Foreløpig rapport: 16.5.2014 Endelig rapport: 12.8.2014 Endelig kontrollrapport Kontrollobjekt: Espira Gruppen AS Sted: Blåveisbakken barnehage Utarbeidet

Detaljer

Spesielt om personvern og krav til sikring av personopplysninger. Dag Wiese Schartum

Spesielt om personvern og krav til sikring av personopplysninger. Dag Wiese Schartum Spesielt om personvern og krav til sikring av personopplysninger Dag Wiese Schartum Personvern i forvaltningen - et problem! Generelt Forvaltningens IKT-bruk må alltid vurderes konkret i forhold til personopplysningslovens

Detaljer

Det vises til Datatilsynets kontroll hos Eniro Norge AS, avdeling Trondheim, den 27. juni 2011 og Datatilsynets varsel om vedtak av 5. juli 2011.

Det vises til Datatilsynets kontroll hos Eniro Norge AS, avdeling Trondheim, den 27. juni 2011 og Datatilsynets varsel om vedtak av 5. juli 2011. Eniro Norge AS avd Trondheim Postboks 2333 7004 TRONDHEIM Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00721-5/MHN 29. august 2011 Vedtak - endelig kontrollrapport for Eniro Norge AS Det

Detaljer

Bilag 14 Databehandleravtale

Bilag 14 Databehandleravtale Bilag 14 Databehandleravtale Telefoni- og sentralbordtjenester Bilag 12 Databehandleravtale Side 1 av 7 Databehandleravtale I henhold til personopplysningslovens 13, jf. 15 og personopplysningsforskriftens

Detaljer

VIRKE. 12. mars 2015

VIRKE. 12. mars 2015 VIRKE 12. mars 2015 Agenda Internkontroll etter personopplysningsloven Typiske utfordringer i reiselivsbransjen Informasjonssikkerhet et ledelsesansvar Dokumentasjonskravet Kartlegge behandlingene Plikter

Detaljer