Personopplysningsloven særlig om behandling av studentopplysninger. Mari Hersoug Nedberg Høgskulen i Sogn og Fjordane, 6.

Transkript

1 Personopplysningsloven særlig om behandling av studentopplysninger Mari Hersoug Nedberg Høgskulen i Sogn og Fjordane, 6. juni 2011

2 Disposisjon - Generelt om personopplysningsloven - Konkrete problemstillinger, herunder: - Hvilke opplysninger kan utleveres fra utdanningsinstitusjonen til ulike formål? - Utlevering av opplysninger om enkeltpersoner - Forespørsel om å bekrefte personopplysninger - Personopplysninger i læringsplattformer - Publisering av personopplysninger på Internett - Adgang til å utlevere bilder av personer? Side 2

3 Hva er person(opplysnings)vern? Den enkeltes rett til å ha kontroll med egne personopplysninger Selvbestemmelse rett til selv å bestemme hvilke opplysninger som skal brukes, av hvem, til hvilke formål osv. Informasjon hvis man ikke har rett til å samtykke, har man i det minste rett til å vite hvilke opplysninger som brukes, av hvem, til hvilke formål osv. Personvern er noe mer enn informasjonssikkerhet Side 3

4 Personvernretten - Europeiske menneskerettighetskonvensjon artikkel 8 - rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse - EUs personverndirektiv (direktiv 95/46/EF) - Lov om behandling av personopplysninger av 14. april 2000 (personopplysningsloven) - Forskrift til personopplysningsloven Side 4

5 Personopplysningsloven: Behandling av personopplysninger Formål: å beskytte den enkelte mot at personvernet blir krenket gjennom en behandling av personopplysninger Behandling av personopplysninger: enhver bruk av personopplysninger, herunder innsamling, sammenstilling, lagring og utlevering. Sensitive personopplysninger: Rasemessig eller etnisk bakgrunn Politisk, filosofisk, eller religiøs oppfatning Mistenkt, siktet, tiltalt eller dømt for straffbar handling Helseforhold Seksuelle forhold Fagforeningsmedlemskap Side 5

6 Grunnkrav til behandling av personopplysninger, 11 Personopplysningene som behandles skal: bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, med mindre den registrerte samtykker. er tilstrekkelige og relevante for formålet med behandlingen. er korrekte og oppdaterte, og ikke lagres lenger enn nødvendig for å gjennomføre formålet med behandlingen Side 6

7 Krav om behandlingsgrunnlag Ved all behandling av personopplysninger kreves et behandlingsgrunnlag, jf. 8. Tilleggskrav ved behandling av sensitive personopplysninger, jf. 9. Tre alternative grunnlag: Samtykke Lovhjemmel for behandlingen Behandlingen er nødvendig holdt opp mot nærmere angitte formål Side 7

8 Samtykke Sikrer den enkeltes kontroll med egne opplysninger Lovgiverintensjon MEN utfordringer i en avhengighetssituasjon, for eksempel arbeidsrelasjon Krav til et gyldig samtykke: fritt uttrykkelig informert Side 8

9 Rettigheter for den registrerte Innsyn Unntak, 23 Informasjon Unntak, 23 Retting Sletting Side 9

10 Innsyn i opplysninger Enhver Grunninformasjon om behandlingen Den registrerte Hva er registrert om meg? Unntak: dagers frist jf. 16 Kan kreves skriftlig, jf Side 10

11 Informasjon, Informasjonsplikten gjelder når det samles inn opplysninger: fra den registrerte selv fra andre enn den registrerte Det skal gis opplysninger om: den behandlingsansvarlige, formålet med behandlingen, opplysningene vil bli utlevert, ev. til hvem, det er frivillig å gi fra seg opplysningene, og annet som gjør den registrerte i stand til å ivareta sine rettigheter etter loven, for eksempel krav om innsyn, sletting Side 11

12 Informasjonsplikt - 19 og 20 Formålet er å gjøre den enkelte i stand til å benytte sine rettigheter etter loven Før innhenting fra den registrerte selv ( 19) Etter innhenting fra andre enn den registrerte selv eller eventuelt før utlevering til andre ( 20) Uansett: Samtykke ved bruk som er uforenelig med det opprinnelige formålet jf. 11 c Og: Et samtykke er bare gyldig dersom det er informert Side 12

13 Sletting, 28 Personopplysninger skal ikke lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Ulike formål = ulike frister for sletting. Unntak: lagring av opplysninger er regulert i annet regelverk, eksempelvis arkivloven, regnskapslovgivningen Rutiner for gjennomgang av lagret informasjon: Hva er nødvendig? Hvor lenge? (Fjernarkivering tilgjengelighet) Side 13

14 Hvilke opplysninger kan behandles? Personopplysningslovens 8 særlig Samtykke Lovhjemmel a. Oppfylle avtale med den registrerte f. Interesseavveining Personopplysningslovens 9 særlig a. Samtykke b. Lovhjemmel Side 14

15 Fødselsnummer - 12 Ikke en sensitiv personopplysning Kan bare nyttes når det er: 1. Saklig behov for sikker identifisering og 2. Metoden er nødvendig for å oppnå slik identifisering Må ikke fremkomme av postsendinger eller telekommunikasjon slik at det er tilgjengelig for andre enn adressaten (POF 10-2) ikke utenpå konvolutt eller i åpent kort fortrinnsvis ikke som KID eller medlemsnummer på regning kryptering ved bruk i Internettløsninger/e-post sladding av dokumenter før de legges ut på Internett Side 15

16 Fødselsnummer - fortsettelse Offentleglovforskrifta 7 Utgangspunkt: dokumenter kan offentliggjøres på Internett Unntak: Opplysninger som er underlagt taushetsplikt i medhold av lov Opplysninger som nevnt i personopplysningsloven 2 nr. 8 (sensitive personopplysninger) Fødselsnummer, personnummer og nummer med tilsvarende funksjon Side 16

17 Hvem skal ha tilgang? Hovedregel: personopplysninger skal kun være tilgjengelig for personer med tjenstlig behov for slik tilgang. Eksempler på tiltak mot uautorisert innsyn: Tilgangsstyring Taushetsplikt Logging Revisjon/kontroll av logger Side 17

18 1) Utlevering av opplysninger fra utdanningsinstitusjon Utlevering av opplysninger krever et behandlingsgrunnlag, - Samtykke - Interesseavveining ( 8 bokstav f) vs. videreformidling - Relevansvurdering hva ligger innenfor utdanningsinstitusjonens oppgave å gi informasjon om? - Hvilken forventning har man som student? Eventuelt: informasjon på nettsider/portal/læringsplattform Side 18

19 1) Fortsettelse Generelle henvendelser til studenter vs. forespørsler om utlevering av opplysninger om enkeltpersoner. Eksempler på forespørsler: - tidligere studenter klassefest - medstudenter - respondenter til masteroppgave - klage på eksamensoppgave - firmaer som vil sende informasjon til studenter - kunnskapsdepartementet - for eksempel info til lærerstudenter - Studentorganisasjoner egne medlemslister - studentsamskipnaden - aviser omtale av uteksaminerte studenter - samtykke Side 19

20 2) Utsendelse av e-poster til flere mottakere Er utsending av felles e-poster til flere grupper personer i strid med personopplysningsloven? Nei! Men mottakere skal/bør skjules, for eksempel ved bruk av funksjonen blindkopi Side 20

21 3) Forespørsler om å bekrefte opplysninger Utlevering av opplysninger om hvorvidt en person er/har vært student ved institusjonen, på bestemt semester, studium, emne, samt utlevering av adresse, telefonnummer mv. Til hvem, hvorfor? - Behandlingsgrunnlag? - Formål - Relevans Bekrefte opplysninger fra potensiell arbeidsgiver/rekrutteringsfirma - søker gir selv aktuelle opplysninger - forutsetning om fremleggelse av dokumentasjon, sml. Politiattest - andre mer egnede virkemidler? Fremleggelse av originaler? Side 21

22 4) Læringsplattformer Kan en undervisningsinstitusjon kreve at elevers/studenters arbeider/opptak/bilder publiseres åpent på nettet og brukes som læringsressurs av andre? Skille mellom publisering på åpen nettside og lukket forum, eksempelvis Fronter/It s learning. Forutsatt som obligatorisk del av undervisningsopplegg? Nødvendig? For eksempel: prosessorientert skriving nødvendig med tilbakemeldinger fra medstudenter. Ofte integrert del av undervisningsopplegg Side 22

23 4) Fortsettelse Hvilken informasjon kan deles om deltakerne? Vurderingstema: hva er nødvendig å dele? Formål. - Kontaktopplysninger: forutsetning om kommunikasjon mellom studentene? Behov for deling av navn og e-postadresse - Telefonnummer: neppe - Besvarelser: som del av læringsprosess, forutsetning for oppfyllelse av læringskrav - ja - Kommentarer fra lærer/veileder mv.: som over. - Oversikt over hvem som har levert: skille mellom vanlige innleveringer og obligatorisk oppgave/eksamen? NB! Viktig med informasjon til studentene Side 23

24 4) Fortsettelse Lagring av personopplysninger i forbindelse med digitalt tilrettelagt undervisning opplysninger om elevers/studenters aktiviteter i læringsplattformer. Hvilke opplysninger lagres? til hvilke formål? Logging av sikkerhetsmessige årsaker? Hvor lenge lagres opplysningene? Maksimalt ett studieår, student må aktivt lagre relevant materiale Side 24

25 4) Tilgang/innsyn privat kommunikasjon Digitale læringsplattformer inneholder ofte funksjoner som e-post og chatting. Privat kommunikasjon korrespondanse, ytringsfrihet Sml. Innsyn i arbeidstakers e-postkasse, jf. personopplysningsforskriften kapittel 9. Gjelder så langt de passer for universiteters og høyskolers innsyn i studenters e-postkasse. Høy terskel Særlige prosedyrer, krav på informasjon Side 25

26 5) Publisering på Internett Adgang til å publisere opplysninger om studentene på Internett? - Navn og e-postadresser: samtykke - sml. arbeidsforhold - Særlige hensyn? For eksempel kontaktperson til ulike foreninger/utvalg mv. Del av arbeidsbeskrivelse/forutsetning for å kunne ivareta verv? Side 26

27 6) Adgang til å utlevere bilder? Hovedregel: må baseres på et samtykke fra den registrerte - Behandlingsgrunnlag i pol. 8 Sml. Åndsverksloven 45c: samtykke av den avbildede, unntatt når: aktuell og allmenn interesse, person = mindre viktig enn hovedinnholdet, bilde av forsamlinger, folketog i friluft, forhold/hendelser av allmenn interesse, Side 27

28 E-post Kan knyttes til enkeltperson - Innholdet - Opplysningene i systemet om avsender og mottaker - Rt s postkasse@virksomhet.no Ola.normann@hotmail.com Ola.nordmann@virksomhet.no Side 28

29 Nye regler om innsyn i e-post mv. Nytt kapittel 9 i personopplysningsforskriften vedtatt 29. januar i kraft 1. mars 2009 Formål: klargjøre arbeidsgivers adgang til å gjøre innsyn, samtidig som den ansatte vernes mot urimelig kontroll I stor grad kodifikasjon av tidligere praksis skillet privat/virksomhetsrelatert e-post varsling Klargjør forbudet mot kontinuerlig overvåking ( 7-11) aktivitetslogg kan ikke benyttes for å overvåke eller kontrollere den enkelte Side 29

30 Nye regler om innsyn i e-post mv. - fortsettelse Personopplysningsforskriften 9-1 Arbeidsgivers rett til innsyn i arbeidstakers e-postkasse arbeidsgiver = den behandlingsansvarlige databehandler: andre som utfører, eller har utført, arbeid for arbeidsgiver Konkretisering av interesseavveiningen i pol. 8 bokstav f Side 30

31 Nye regler om innsyn i e-post mv. - fortsettelse Reglene omfatter også: - Gjennomsøkning av og innsyn i arbeidstakers personlig område, andre elektroniske kommunikasjonsmedier og annet elektronisk utstyr etc. - Slettede elementer (rekonstruert materiale) Regelverket gjelder så langt det passer: - Universiteter og høyskoler studenter/elever - Organisasjoner og foreninger frivillige/tillitsvalgte Side 31

32 Vilkår for innsyn - 1 POF 9-2 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post: a) når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten Ivareta den daglige driften arbeidstakers fravær dersom det er god grunn til å tro at det er kommet virksomhetsrelaterte meldinger som arbeidsgiver trenger av driftshensyn. Berettigede interesser målestokken er hva man i alminnelighet anser som legitime hensyn ved en virksomhet Side 32

33 Vilkår for innsyn - 2 POF 9-2 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post : b) ved begrunnet mistanke om at arbeidstakerens bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed Brudd på konkurranseklausul Nedlastning av barneporno Side 33

34 Prosedyrer for innsyn POF 9-3 Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg Krav til varslets innhold: begrunnelse for hvorfor vilkår i 9-2 anses oppfylt orientere om arbeidstakers rettigheter etter bestemmelsen Arbeidstakeren skal så langt som mulig gis anledning til å være tilstede og har rett til å la seg bistå Side 34

35 Prosedyrer for innsyn - fortsettelse Innsyn uten forutgående varsel - arbeidstakeren skal gis skriftlig underretning så snart innsynet er gjennomført: - begrunnelse for hvorfor vilkår i 9-2 anses oppfylt - opplysninger om hvilken metode for innsyn som ble benyttet - hvilke e-poster/dokumenter ble åpnet? - resultatet av innsynet Unntak fra varsel og etterfølgende underretning pol Side 35

36 Unntak fra retten til informasjon Personopplysningsloven 23 - til skade for rikets sikkerhet, landets forsvar, forholdet til fremmede makter eller internasjonale organisasjoner - forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger - utilrådelig av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær - lovhjemlet taushetsplikt - intern saksforberedelse - i strid med åpenbare og grunnleggende private eller offentlige interesser

37 Hva kan man søke etter? Krav om relevans nødvendighet Hva leter man etter? Kvalitetssikring av søkestreng hotmailadresse navn på arbeidstaker kontrakt as Velge en metode som kan etterprøves notoritet, POF 2-16 protokoll hvem var til stede, hvilken metode ble brukt, søkestreng, hvilke dokumenter ble åpnet mv Side 37

38 Sletting mv. ved opphør av arbeidsforholdet POF 9-4 E-postkassen skal avsluttes og innhold som ikke er nødvendig for den daglige driften av virksomheten skal slettes innen rimelig tid Den ansatte bør: slette eventuelle private meldinger overføre/arkivere virksomhetsrelatert e-post etter avtale med ledelsen gi beskjed til sine kontakter om eventuell ny adresse for privat og virksomhetsrelatert e-post Side 38

39 Gjelder reglene i alle situasjoner? POF 9-5 Ikke adgang til å lage instruks eller avtale som fraviker bestemmelsene til ugunst for arbeidstaker Reglene gjelder for innsyn som har et kontrollaspekt Fortsatt behov for datainstruks Side 39

40 Sanksjoner Pålegg om endring eller opphør av ulovlige behandlinger, jf. 46 jf. 42, 3. ledd Overtredelsesgebyr, jf. 46 Tvangsmulkt, jf. 47 (Straff, jf. 48) Brudd på 19 og 20 Innspill til lovrevisjonen Side 40

41 Takk for meg! Tlf Side 41