GDPR - Ny personopplysningslov - betydning for arkivsektoren? 18.april Seniorrådgiver Linda Svendsrud

Transkript

1 GDPR - Ny personopplysningslov - betydning for arkivsektoren? 18.april 2018 Seniorrådgiver Linda Svendsrud

2 Presentasjon av KS-Konsulent as Visjon Kompetente kommuner lokale løsninger Verdier Utfordrende og dedikert

3 Kort om Linda Sykepleier med tilleggsutdanning i helserett, personvern, digital sikkerhetskultur, coaching og ledelse Erfaring som leder i helse- og omsorgstjeneste, HR-rådgiver og teamleder for rådgivere i ITselskap Jobber i KS-K med organisasjons- og lederutvikling, digitalisering, personvern og lederveiledning

4

5 EUs personvernforordning bakgrunn Vedtatt i 2016 trer i kraft 25.mai 2018, arbeidet startet i 2012 Alle norske virksomheter får nye regler å forholde seg til Felles regelverk for personvern i Europa Skal styrke den europeiske borgers rettigheter Gjøre det lettere å utveksle personopplysninger over landegrenser Styrke tilliten til digitale tjenester Sikre samarbeid mellom personvernmyndigheter Fjerne unødvendige administrative byrder for bedrifter

6 Personvern på dagsorden 87 millioner brukere berørt Personopplysningene er tilgjengeliggjort av Facebook overfor tredjepartsutviklere mot betaling Hvilken påvirkning har vi blitt utsatt for? Facebook og Cambridge Analytics granskes av det britiske datatilsynet og EU-parlamentet krever svar fra FB.

7 Personvernutfordringer i skolen - og resten av kommunen? Manglende kunnskap og misforståelser om hva personopplysninger er? Mangelfull internkontroll og informasjonssikkerhet? Uoversiktlig informasjonsflyt og uklare ansvarsforhold? Deling av personopplysninger med tredjepart? Bruk av kartleggingsverktøy? Logging av elevers bruk av IKT?

8 Personvern vs informasjonssikkerhet Personvern et viktig demokratisk prinsipp: "Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse.» Informasjonssikkerhet - handler om å beskytte informasjonsverdiene: Tilgjengelighet Konfidensialitet Integritet

9 Personvernprinsippene - står seg fortsatt Privatlivets fred og personlig integritet Samtykke/lovhjemmel Proporsjonalitet ikke urimelig belastning Formålsbestemthet Relevans og minst mulig Fullstendighet og kvalitet Informasjon og innsyn Informasjonssikkerhet Sensitive opplysninger trenger særlig vern Anonymitet og sporfri ferdsel

10 Noen viktige begrep Behandling av personopplysninger = enhver bruk av personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter Behandlingsansvarlig = den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes Databehandler = den som behandler personopplysninger på vegne av den behandlingsansvarlige Personvernombud = ressursperson i virksomheten som bistår behandlingsansvarlig i å overholde regelverket, kan være ekstern eller intern

11 Lovforslaget lagt fram Fra departementets side tas det sikte på å sette loven i kraft samtidig som eller så snart som mulig etter at forordningen får anvendelse i EU-statene 25. mai Loven kan ikke tre i kraft før forordningen er innlemmet i EØS-avtalen gjennom en beslutning i EØS-komiteen. Slik beslutning er ennå ikke truffet. Inkorporeres i norsk lov

12 Spesielt om arkiv Hjemmel gjelder fortsatt som behandlingsgrunnlag - må være samme behandlingsansvarlig Særlov gjelder over forordningen, men der særlov ikke har bestemmelser gjelder forordningen

13 Kommunene sikrer ikke viktig informasjon om innbyggerne?

14 GDPR - kort oppsummert Alle virksomheter som behandler personopplysninger må ha et fungerende styringssystem for informasjonssikkerhet Må ha en dokumentert oversikt over hvilke personopplysninger dere behandler. Meldeplikten bortfaller Personvernerklæringer må på plass Rutiner for varsling til Datatilsynet innen 72 timer Databehandleravtaler enda viktigere Personvernombud (Data Protection Officer) Dataportabilitet - få med egne data i lesbart format(!) Innebygd personvern - viktig helt innledningsvis i alle prosjekter

15 Minstekrav til innhold i styringssystem Sikkerhetsstrategi Sikkerhetsmål Oversikt over hvilke opplysninger som behandles Definisjon av roller og ansvar for sikkerhetsarbeid Rutine for risikovurdering Akseptabelt nivå for risiko Rutiner for tilgangsstyring Informasjon til de registrerte

16 Oversikt over behandlinger - behandlingsansvarlig Type informasjon Formål Hjemmel/ samtykke Lagring og deling Rutiner for sletting Omfang Klassifikasjon Sikringstiltak Systemeier

17 Bransjenormer blir viktigere Som f.eks Normen fra helse- og omsorgssektoren. Juridisk bindende ved avtale med Norsk Helsenett SF (NHN) Utarbeidet av sektoren, etablert i 2006 Samler krav i lov og forskrift Normen Faktaark Veiledere Bransjenormer antas å bli viktigere etter ny forordning Datatilsynet skal godkjenne bransjenormer Aktuelt også for arkiv - eller allerede på plass?

18 Om personvernombudsordningen etter mai 2018 Hovedoppgave; gi råd slik at behandlingsansvarlig best mulig kan ivareta personverninteressene. Skal ha rutiner som sikrer at ombudet involveres Skal være i regelmessig dialog med topp- og mellomledelse Være tilstede og bli hørt når avgjørelser med mulige personvernkonsekvenser blir tatt Tilstrekkelig tid og ressurser.

19 Hvordan forberede seg? Sørg for å ha oversikt over hvilke personopplysninger dere behandler og hvordan disse behandles Sørg for å oppfylle dagens lovkrav, som f.eks krav til styringssystem for informasjonssikkerhet Sett dere inn i nytt regelverket og lag en plan over nødvendige tiltak Lag rutiner for å følge de nye reglene

20 Betydning for arkivsektoren Personvern - forutsetning for digitalisering Hjemmel - til alt? Kompetansebærere Viktig samarbeidspartner for personvernombudene

21 Oppsummert Vårt forhold til personopplysninger endres Personvern er en grunnleggende verdi for demokratiet Handler om kontinuerlig forbedring og fokus på kvalitet Holdninger og kultur er avgjørende

22 Takk for meg Linda Svendsrud KS-Konsulent Mob: E-post: