Lov om behandling av personopplysningar

Transkript

1 Lov om behandling av personopplysningar - dei vidaregåande skolane i fylket si oppfølging av lova - 1 Personopplysningslov a 8 Vilkår 9 Behandling 11 Grunnkrav osb. FYLKESREVISJONEN Møre og Romsdal fylkeskommune 1 RAPPORT. FORVALTNINGSREVISJONSPROSJEKT NR

2 OPPFØLGING AV LOV OM BEHANDLING AV PERSONOPPLYSNINGAR VED DEI VIDAREGÅANDE SKOLANE 1 INNLEIING 1.0 Heimel Kontrollutvalet vedtok i sak 15/01 A at fylkesrevisjonen skulle undersøke fylkeskommunen si oppfølging av dei nye reglane i Lov om behandling av personopplysningar 1. Fylkesrevisjonen sitt arbeid er gjennomført som eit forvaltningsrevisjonsprosjekt, med heimel i Forskrift om revisjon 8 om forvaltningsrevisjon. 1.1 Bakgrunn Lov om behandling av personopplysningar (personopplysningslova (POL)) av 14. april 2000 nr. 31 og Forskrift til personopplysningslova (personopplysningsforskrifta) tok til å gjelde 1. januar Lova m/forskrift avløyser den tidlegare Personregisterlova (Pregl) av 9.juni 1978 nr. 48 og gjeld med få unntak all behandling av personopplysningar i offentlege og private verksemder. I den nye lova som byggjer på EUs persondirektiv EF/95/46/EF, er det tatt inn ei rekkje viktige endringar. I korte trekk kan vi seie at den nye lova har gjeve den registrerte 2 fleire rettar og den som registrerer fleire plikter. POL 47, 48 og 49 inneheld sanksjonar som tvangsmulkt, straff (bøter eller fengsel) og erstatning dersom føresegnene i lova ikkje vert overhaldne. 1.2 Formål Formålet med prosjektet er å sjå om formålet i Personopplysningslova 1 om "å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger og loven skal bidra til at personopplysninger 3 blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger " vert følgt opp i fylkeskommunen. Av metodemessige omsyn er undersøkinga avgrensa til dei vidaregåande skolane, jf. kap Problemstillingar Med bakgrunn i formålet med prosjektet er det valt å fokusere på følgjande problemstillingar: 1 2. Definisjonar nr. 2) behandling av personopplysninger: Enhver bruk av personopplysninger, som f.eks innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter Definisjonar nr. 6) registrert: den som en personopplysning kan knyttes til 3 2. Definisjonar nr. 1) personopplysning: opplysninger og vurderinger som kan knyttes til en enkeltperson 2

3 Har behandlingsansvarleg 4 ved den enkelte vidaregåande skole det nødvendige kjennskap til Personopplysningslova med forskrift for å kunne ivareta lova sine krav på områda: 1. Grunnkrav og vilkår for behandling av personopplysningar. Er det ved den enkelte skole etablert tiltak for å tilfredsstille lova sine krav på områda 2. Informasjonstryggleik, 3. Intern kontroll, 4. Bruk av fødselsnummer og liknande identifikasjonsmiddel. 1.4 Metode og datagrunnlag Som datagrunnlag for prosjektet er det i tillegg til Personopplysningslova og forskrifta til denne brukt: Lov om personregister m.m. (Personregisterlova) av 9. juni 1978 nr. 48 Handbok i informasjonstryggleik Møre og Romsdal fylkeskommune Nivå 1 Versjon og Nivå 2 For skole/institusjon Versjon Diverse artiklar om emnet Personopplysningslova frå Datatilsynet sine Web. sider på Internett. Opplysningar frå orienteringsmøte med fylkesutdanningssjefen Innhenta opplysningar frå m.a. fylkeskommunen sin It-sjef. Svar på spørjeskjema. Spørjeskjemaet vart sendt til dei behandlingsansvarlege (rektorane) ved 26 vidaregåande skolar og mottok svar frå 23 av dei. Opplysningane frå returnerte spørjeskjema og intervju ligg til grunn for revisjonen sine analysar og vurderingar opp i mot krava i lov/forskrift. 1.5 Avgrensing Prosjektet er avgrensa til å gjelde dei vidaregåande skolane i fylket, dels for å avgrense undersøkinga, dels for å få eit eintydig datagrunnlag. Prosjektet er vidare avgrensa til å omfatte dei paragrafane i lova som omhandlar dei punkta som er lista opp i kap. 1.3 ovanfor. Fylkesrevisjonen har dermed ikkje undersøkt om behandlinga av personopplysningar ved skolane etter lova er meldepliktig eller konsesjonspliktig til Datatilsynet. Reglane for behandling av personopplysningar går fram av lovas 3. Undersøkinga gjeld 3, første ledd, punkt b, men vil dersom dette fell naturleg og til ein viss grad ta med punkt a. Paragraf 3, første ledd lyder slik: "Loven gjelder for a) behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler, og 4 2. Definisjonar nr. 4) Behandlingsansvarlig: den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes. Revisors kommentar: Ved dei vidaregåande skolane er den behandlingsansvarlege rektor. 3

4 b) annen behandling av personopplysningar når disse inngår eller skal inngå i et personregister 5." Undersøkinga omfattar ikkje personregister og it-system som er i bruk ved sentrale etatar i fylkeskommunen og som inneheld data over tilsette ved dei vidaregåande skolane. Som døme nemner ein eventuelle personregister ved økonomiavdelinga sin lønsseksjon. 1.6 Revisjonskriterium Med revisjonskriterium er meint krav/standardar som ein måler resultata frå undersøkinga opp i mot. I denne undersøkinga er dette: Lov om behandling av personopplysningar (Personopplysningslova) av 14. april 2000 nr. 31og Forskrift til personopplysningslova (Personopplysningsforskrifta) av 15. desember 2000 nr PROBLEMSTILLINGAR 2.0 Innleiing For å gje svar på problemstillingane i kap. 1.3 er spørsmåla i spørjeskjemaet knytta til lovteksten (POL) og analysert svara opp mot krava i lova/forskrifta. Det er vidare gjeve ei vurdering frå revisors side av resultatet av analysen. 2.1 Problemstilling Kjennskap til grunnkrav og vilkår for behandling av personopplysningar Grunnkrava og vilkåra for behandling av personopplysningar er fastsett i POL 8, 9 og 11. I grunnkrava ( 11) er det m.a. krav om sakleg grunngjeving og relevans for behandling av personopplysningar, om samtykke frå den registrerte og om lagring. Utanom grunnkrava inneheld paragrafane nærare reglar om vilkår for og samtykke til behandling av personopplysningar ( 8), og for behandling av sensitive personopplysningar ( 9). I motsetning til tidlegare lovtekst (Pregl.) skal verksemdene etter den nye lova (POL) sørgje for at behandling av personopplysningar har eit heimelsgrunnlag uavhengig av ein konsesjon frå Datatilsynet. Dette kravet er ei viktig endring frå tidlegare lov (Pregl.). Spørsmåla til den behandlingsansvarlege gjaldt derfor i kor stor grad vedkomande var kjent med grunnkrava og vilkåra for behandling av personopplysningar. Svaralternativa var: I stor grad - i noko grad - i liten grad - kjente ikkje til POL 8, 9 og 11. Ut frå svara er dei fleste i stor grad/noko grad kjende med grunnkrava og vilkåra i POL 8 og 11. Når det gjeld vilkåra for behandling av sensitive opplysningar, POL 9, svarar og dei fleste dei hadde stor eller noko kjennskap til vilkåra. 5 2 Definisjonar nr. 3) personregister: register, fortegnelser m.v. der personopplysninger er lagret systematisk slik at opplysninger om den enkelte kan finnes igjen. 4

5 Revisors vurdering: Undersøkinga viser at dei fleste rektorane ved dei vidaregåande skolane i fylkeskommunen har hatt ein viss kjennskap til grunnkrava og vilkåra i Personopplysningslova før dei mottok spørjeskjemaet frå fylkesrevisjonen. Svara gjev likevel slik revisor ser det ingen tryggleik for at dei grunnkrav og vilkår som lova set, blir følgde. 2.2 Problemstilling Tiltak i høve til lovas krav til informasjonstryggleik Dei generelle krava om informasjonstryggleik går fram av POL 13 og ivaretek omsyna til konfidensialitet, integritet, dokumentasjon og tilgjenge ved all behandling av personopplysningar. For opplysningar som blir behandla elektronisk er det i forskrifta kap. 2 gjeve utfyllande retningslinjer. Undersøkinga omfattar berre dei behandlingane som POL 13 rettar seg mot. Det ligg til den behandlingsansvarlege å sørgje for tilfredsstillande informasjonstryggleik. Dette gjeld uavhengig av om behandlinga er konsesjonspliktig eller meldepliktig. Teieplikt er ein del av informasjonstryggleiken. Personopplysningslova har ikkje reglar om teieplikt, men for skolane gjeld reglane om teieplikt i Opplæringslova 15-1 og Forvaltningslovas e. Dei vidaregåande skolane i fylket (bortsett frå ein skole) er brukarar av det skoleadministrative datasystemet IST som inneheld m.a. personopplysningar om dei tilsette og elevane ved skolen. I undersøkinga vart skolane bedne om å opplyse om dei har andre register med personopplysningar, manuelle eller elektroniske, og i tilfelle opplyse om - kva tiltak som er sett i verk for å ha ein tilfredsstillande informasjonstryggleik, - informasjonssystema og tryggingstiltaka er dokumenterte, - dokumentasjonen er tilgjengeleg for personalet og elevane ved skolen og elevane sine pårørande. Av skolane svarer 17 at dei har elektroniske eller manuelle personopplysningsregister i tillegg til det skoleadministrative systemet IST. Her er nemnt - personalmapper som inneheld m.a. opplysningar om utdanning, kopi av vitnemål, lønsforhold, tilsettingsforhold, og om andre tilhøve som er direkte knytt til personar. - elevmapper som inneheld m.a. vurderings- karakter- og fråversopplysningar om den enkelte elev, elevlister med fødselsnummer, helseopplysningar om enkeltelevar, opplysningar om elevar søkt inn på særskilt grunnlag, hybeladresse, mobiltelefonnummer og telefonnummer til næraste pårørande. Av svara om informasjonstryggleiken nemner dei fleste å ha iverksett tiltak som sikrar at samt at - elevmapper og personalmapper blir oppbevarte i låste skåp, - tilgjenget er avgrensa, 5

6 - det fins generelle reglar om varsemd, - dei har skjema for underskriving av teieplikt. Ingen har likevel skriftleg dokumentasjon over rutinane for informasjonstryggleik. Skolane kan dermed ikkje dokumentere tiltaka som er sett i verk for å sikre informasjonstryggleiken overfor personalet, elevar og pårørande, som alle kan krevje å få sjå skolen sin dokumentasjon for dette. Revisors vurdering: Vi viser til det som går fram over under problemstilling 2, kap : Tiltak i høve til lovas krav til informasjonstryggleik. Revisors vurdering gjeld rutinar kring manuelle personregister ved dei vidaregåande skolane. Storparten av skolane har sett i verk tiltak som syter for tilfredsstillande informasjonstryggleik ved at personal- og elevmapper som inneheld personopplysningar blir oppbevart i låste skap, og at berre personell som det fell naturleg for innanfor sitt arbeidsfelt har tilgang til mappene. Dokumentasjon av rutinane ser likevel ut til å mangle i dei fleste høve Tiltak i høve lovas krav til intern kontroll Krava til intern kontroll er regulert i POL 14. Her går det fram at den behandlingsansvarlege har ansvar for å etablere og halde vedlike systematiske tiltak som er nødvendige for å oppfylle krava i eller i medhald av lova, inkludert å sikre personopplysningane sin kvalitet. Dette inneber m.a. at den behandlingsansvarlege må sørgje for å ha kjennskap til gjeldande reglar om behandling av personopplysningar samt ha tilstrekkjeleg og oppdatert dokumentasjon for rutinar og tiltak som er sett i verk for å sikre at reglane blir etterlevde. Dokumentasjonen skal vere tilgjengeleg for tilsette i verksemda og Datatilsynet. Intern kontrollen skal m.a. omfatte rutinar knytta til: a) Samtykke 6 POL 8 og 9 set krav om at det skal innhentast samtykke frå den registrerte ved behandling av personopplysningar. Datatilsynet har utdjupa definisjonen av omgrepet med å seie at Et frivillig samtykke er et samtykke som ikke er avgitt under tvang, verken fra den behandlingsansvarlige eller fra andre. Samtykket skal vere uttrykkelig. Når virksomheten ønsker å behandle opplysninger om en person, må personen foreta seg noe aktivt for å samtykke, som å sende inn en svarslipp eller liknende. Samtykket skal være informert. Den som skal registreres må få tilstrekkelig informasjon til å forstå hva samtykket gjelder og hvilke konsekvenser det kan få. Hovudregelen er at berre myndige personar kan gje samtykke. Verja må gje samtykke for mindreårige og umyndiggjorte. I dei høve samtykke ikkje gjeld sensitive opplysningar er det gjeve opning for at samtykke frå mindreårige kan godkjennast. Som krav vert stilt at den behandlingsansvarlege i slike høve må kunne forvente at den registrerte viser seg tilstrekkjeleg moden til å forstå kva eit samtykke inneber. 6 2 Definisjonar: 7) samtykke: en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv 6

7 Lova set ikkje noko formkrav til korleis samtykke skal innhentast. Samtykke kan såleis både vere skriftleg, munnleg og elektronisk. Det er likevel ei føresetnad at den registrerte som gjev samtykke fullt ut har forståing av kva han/ho samtykker i. Skolane vart bedne om å opplyse om dei hadde rutinar for innhenting og kontroll av dei registrerte sitt samtykke. Til dette svara 18 skolar at dei ikkje hadde rutinar medan 5 skolar svarte at dei hadde rutinar på dette. b) Behandling av personopplysningar Etter POL 11 b plikter den behandlingsansvarlege å ha eit uttrykkeleg, sakleg grunngjeve og avgrensa formål for si behandling av personopplysningar. Skolane vart beden om å opplyse om dei har rutinar for vurdering av formålet med behandling av personopplysningar i samsvar med POL 11 b. Av svara går det fram at 13 skolar ikkje har rutinar, medan 9 har rutinar for slik vurdering. c) Retting og sletting av personopplysningar Etter POL 11 d, 27 og 28 skal den behandlingsansvarlege sjå til at dei personopplysningane som er innhenta er tilstrekkelege, relevante, korrekte og oppdaterte. Den behandlingsansvarlege plikter og å rette eller slette personopplysningar av eige tiltak eller på oppmodning frå den registrerte, dersom det viser seg at personopplysningane som er registrert er feilaktige eller mangelfulle. Regelen om retting skal følgjast sjølv om personopplysningane ikkje har noko verd for den registrerte. Som hovudregel skal personopplysningar slettast når formålet er oppfylt. Det er viktig å merke seg at retting eller sletting likevel berre kan skje dersom det ikkje er hinder for dette i Arkivlova eller anna lovgjeving. I undersøkinga vart skolane bedne om å opplyse om dei har rutinar for oppfølging av eventuelle avvik på området retting og sletting av personopplysningar. Av dei 23 svara har 14 opplyst at dei ikkje har rutinar, og 9 svart at dei har rutinar for retting og sletting av personopplysningar. d) Lagring av personopplysningar Etter POL 11 e skal den behandlingsansvarlege sørgje for at personopplysningar ikkje vert lagra lenger enn det som er nødvendig ut frå formålet med behandlinga. Etter ledd kan den behandlingsansvarlege likevel lagre opplysningar for historiske, statistiske eller vitskaplege formål, dersom samfunnet si interesse av opplysningane klart overgår dei ulempene dette medfører for den enkelte registrerte. Opplysningar som er sterkt belastande for den registrerte kan den registrerte likevel be om blir sperra eller sletta dersom dette ikkje strir mot anna lov og er forsvarleg ut frå ei samla vurdering av m.a. andre sitt behov for dokumentasjon og omsynet til den registrerte. Skolane vart bedne om å opplyse om dei har rutinar for vurdering av personopplysningane sin aktualitet i høve til det definerte formålet med behandling av opplysningane. Her svarer 17 skolar at dei ikkje har rutinar, og 6 skolar at dei har rutinar for kva personopplysningar som skal lagrast. 7

8 e) Innsynsrett og informasjonsplikt, behandlingsmåte, melde-/konsesjonsplikt, dispensasjon POL omhandlar den registrerte sin rett til innsyn og informasjon, både om kva opplysningar som er registrert, korleis desse blir behandla, tryggingstiltak, bruk m.v. POL 25 omhandlar avgjerder som vedkjem den registrerte og er fatta ved ein automatisk prosess. I slike høve kan den registrerte i spesielle høve krevje at avgjerda blir overprøvd av ein fysisk person. POL kap. VI omhandlar reglane for meldeplikt, meldinga sitt innhald, konsesjonsplikt, avgjerd om konsesjon skal gjevast og vilkår i konsesjon. I høve til den tidlegare Personregisterlova er reglane om meldeplikt i 31 og 32 nye. I Personopplysningsforskrifta 3-2 går det fram at Datatilsynet kan dispensere frå heile eller delar av reglane om internkontroll når særlege forhold tilseier det. Skolane vart bedne om å opplyse om dei har rutinar som stettar krava til intern kontroll på dei områda som er nemnt ovanfor. Dersom så ikkje var tilfelle, vart skolane bedne om å opplyse om det var søkt Datatilsynet om dispensasjon frå krava. Av svara går det fram at gjennomsnittleg 17 av 23 har svart at dei ikkje har rutinar på områda, og 19 har svara at dei ikkje har søkt Datatilsynet om dispensasjon frå heile eller delar av reglane om intern kontroll. Revisors vurdering: Vi viser til det som går fram over under problemstilling 2, kap : Tiltak i høve til lovas krav om intern kontroll pkt. a-e. Resultatet viser at i dei fleste høve (17 av 23) manglar det interne rutinar slik POL legg opp til. Revisor vil peike på at i dei tilfelle det blir behandla personopplysningar, må det etablerast interne rutinar som ivaretek krava som er knytta til slik behandling. Etter revisors syn bør det om mogleg lagast felles rutinar for dette som sikrar ei eins behandling ved alle skolane Tiltak i høve lovas krav om bruk av fødselsnummer o.l identifikasjonsmiddel Elevar I POL 12 går det fram at fødselsnummer og andre eintydige identifikasjonsmiddel berre kan nyttast når det er sakleg behov for det og når det er umogleg på anna vis å oppnå tilfredsstillande identifikasjon ved bruk av andre metodar, som t.d. namn, adresse, fødselsdato, medlems- eller kundenummer. Ein elev kan nekte å opplyse fødselsnummeret sitt dersom behandlingsansvarleg ikkje kan vise til ein lovheimel, eller eit sakleg behov for å bruke eleven sitt fødselsnummer. Dette gjeld både om registeret blir ført manuelt eller ved edb. Dersom fødselsnummer blir registrert berre fordi systemet er lagt opp slik, er ikkje kriteriet om sakleg behov oppfylt. 8

9 Skolane vart bedne om å opplyse om fødselsnummer blir nytta som identifikasjonsmiddel. Svaret frå den behandlingsansvarlege skulle omfatte alle typar register, også dei som går inn under IST-systemet. Av 20 skolar svarte 18 at fødselsnummer vart brukt som identifikasjonsmiddel. Dette er grunngjeve med at det er eit lovpålagt krav om fødselsnummer på vitnemål/kompetansebevis og at det er det einaste sikre identifikasjonsmiddel som er unikt for kvar elev og som skil elevane frå kvarandre. Revisors vurdering: Revisor konstaterer at fødselsnummer blir nytta som identifikasjonsmiddel ved skolane. Det bør avklarast om bruken kan seiast å vere sakleg grunngjeve, jamvel om dette følgjer av lovkrav. Personalregister mv. Personalregister som inneheld sensitive personopplysningar er i utgangspunktet konsesjonspliktig, medan personalregister som ikkje inneheld sensitive opplysningar er i utgangspunktet meldepliktig. Personopplysningsforskrifta 7-16 gjev unntak frå melde- og konsesjonsplikta for personalregister. Dersom arbeidsgjevar ikkje fyller alle vilkåra i forskrifta sine unntaksføresegner, må det anten sendast melding eller søkjast om konsesjon i samsvar med POL 31 og 33. Unntak frå konsesjonsplikt gjeld berre dersom den registrerte har samtykka i behandlinga, opplysningane er knytt til arbeidsforholdet og personopplysningane vert behandla som ledd i personaladministrasjon. Unntak frå meldeplikt gjeld berre dersom dei sensitive opplysningane er avgrensa til opplysningar om medlemsskap i fagforeiningar, jfr. POL 2 nr. 8 e, nødvendige fråversopplysningar og opplysningar som er registreringspliktige, jfr. Lov om arbeidervern og arbeidsmiljø m.v. 20, og opplysningar som er nødvendige for å tilretteleggje arbeidssituasjonen på grunn av helseforhold. Skolane vart bedne om å opplyse om dei hadde innhenta samtykke frå den enkelte tilsette ved føring av personalopplysningar som elles ville vore melde- eller konsesjonspliktige. Her svara 22 at dei ikkje hadde innhenta slikt samtykke. Revisors vurdering: Slik spørsmålet er stilt går revisjonen ut i frå at den enkelte skole har registrert sensitive opplysningar i sitt personellregister som i utgangspunktet ville vore konsesjonspliktig. I slike høve er det særs viktig at det er innhenta samtykke frå den registrerte. 3. AVSLUTNING, REVISORS VURDERINGAR OG ANBEFALINGAR 3.0 Avslutning Som nemnt innleiingsvis er undersøkinga avgrensa til dei vidaregåande skolane i fylkeskommunen. Dette representerer elles ein stor del av fylkeskommunen si verksemd. Ein kan ikkje sjå bort i frå at det ville ha kome fram til tilnærma same resultat dersom prosjektet hadde omfatta andre typar verksemder i fylkeskommunen. 9

10 Etter fylkesrevisjonens syn framstår den nye lova med tilhøyrande forskrift som særs omfattande og til dels vanskeleg tilgjengeleg lovstoff. Fylkesrevisjonen kan av den grunn ha forståing for at fylkskommunale verksemder umedvite kan gjere utilsikta feil i behandlinga av personopplysningar. Det bør nemnast at Datatilsynet har fått ei utvida rolle ved at dei etter den nye lova skal føre tilsyn med at lova blir overhalde, jfr. POL Revisors vurderingar og anbefalingar Formålet med fylkesrevisjonens undersøking var å sjå om formålet i personopplysningslova 1 vart følgd opp i fylkeskommunen. Undersøkinga vart avgrensa til dei vidaregåande skolane. Problemstillingane som vart undersøkte knytta seg til om dei behandlingsansvarlege hadde kjennskap til grunnkrava og vilkåra for behandling av personalopplysningar etter lova, og om lovas krav til informasjonstryggleik, intern kontroll og bruk av fødselsnummer o.l vart ivareteke. Ei samla vurdering av materialet viser i hovudsak at kjennskapen til lova synest å vere til stades, men at det manglar rutinar og dokumentasjon av rutinane knytta til behandling av personopplysningar hos fleirtalet av dei 23 skolane som vart undersøkt. Både når det gjeld informasjonstryggleiken og intern kontrollen er det viktig at rutinane kjem på plass snarast og at dei er dokumenterte både med omsyn på skolane si informasjonsplikt og den enkelte sin innsynsrett. Fylkesrevisjonen ser det som nødvendig at rutinar blir utarbeidd og dokumentert av fylkesutdanningssjefen til bruk ved den enkelte skole. Dette for å spare tid og ressursar og for at ein skal unngå mistydingar av lovteksten som kan føre til ulike rutinar og dokumentasjonsmateriell på skolane. Fylkesrevisjonen meiner det er grunn til å tru at dei påpeikte mangelfulle tilhøva også kan gjelde andre verksemder enn skolane i fylkeskommunen. Etter revisjonens syn er ikkje formålet i personopplysningslova etter dette fullt ut oppfylt i fylkeskommunen, og det bør iverksetjast tiltak som sikrar dette. Molde, 10. januar 2002 Liv Midtbø spesialrevisor 10