INFORMASJONS- OG PERSONVERNSIKKERHETSHÅNDBOK

Transkript

1 INFORMASJONS- OG PERSONVERNSIKKERHETSHÅNDBOK Håndhevelse i kommunen av personopplysninger i henhold til personopplysningsloven POF 2-4 og 2-5 Utkast

2 1 INNLEDNING 1.1 Lover - Personopplysningsloven inklusive dens forskrift og forordning- GDPR - Helseregisterloven - eforvaltningsforskriften - Sikkerhetsloven - Arkivlov og forskrift - Offentlighets- og forvaltningsloven - Ulike særlover og bestemmelser for informasjonssikkerhet er retningsgivende for behandling av personopplysninger og taushetsplikt i det offentlige. Håndtering av personopplysninger gjelder både ved - Elektronisk databehandling - Papirdokumenter - Muntlig tale Personopplysningsloven setter klare og strenge krav til kommunens oversikt og forvaltning av personopplysninger, og ikke minst rettes det et spesielt fokus på ansvaret til ledelsen. I denne håndboka klargjøres også ansvaret til den enkelte medarbeider. Formålet med personopplysningsloven er å beskytte den enkelte mot at personvernet blir krenket gjennombehandling av personopplysninger. Loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn og at opplysningenes integritet, konfidensialitet og tilgjengelighet beskyttes. Definisjoner fra personopplysningsloven, se vedlegg Kommunale oppgaver Personopplysningsloven pålegger kommunene klare oppgaver og rammer for behandling av personopplysninger. Loven forutsetter at den behandlingsansvarlige dvs kommunene skal ha en sikkerhetsstrategi. Dette gjøres ved at kommunene etablerer internkontroll for å oppfylle kravene i lov, forskrift og forordning. Videre skal det gis god informasjon om hvilke opplysninger kommunen samler, muligheter for innsyn og retting og sletting av opplysninger. Datatilsynet har utarbeidet retningslinjer for data- og informasjonssikkerhet i kommunene knyttet opp mot bestemmelsene i ny Personopplysningslov. Denne håndboka bygger på disse retningslinjene; (for mer info se:

3 2 ANSVAR 2.1 Ansvarsfordeling. Følgende ansvarsfordeling gjelder: Kommunestyret/formannskap Fastsetter de overordnede mål. Rådmannen Har ansvaret for at det utarbeides en helhetlig sikkerhetsplan for kommunen og at planen etterleves. Sørge for at alle lover og retningslinjer i forbindelse med informasjonssikkerhet overholdes Har ansvaret for at personvernombud og egen informasjonssikkerhetsansvarlig er oppnevnt Har overordnet behandlingsansvar Underskriver alle avdelingsovergripende fagapplikasjonsavtaler og databehandleravtaler Sender avtaler til journalføring Avdelingssjef Iverksetter nødvendige informasjonssikkerhetstiltak i forhold til elektronisk databehandling, papirdokumenter og muntlig tale i avdelingen Ansvarlig for avdelingens registre og utarbeidelse av rutiner Er behandlingsansvarlig på sitt område, og bestemmer derfor formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes Er systemeier og avtalepart for avdelingsvise fagapplikasjoner Sender inngåtte avtaler til journalføring Gir i fullmakt systemansvar til fagapplikasjonsansvarlig Tjenesteenhetsleder og registeransvarlig Skal legge forholdene til rette slik at tilsatte i enheten får nødvendig sikkerhetsforståelse og kunnskap. Skal påse at nytilsatte umiddelbart få nødvendig IKT innføring og opplæring Vurdere og iverksette nødvendige tiltak for å sikre håndteringen av personopplysninger i sin enhet Systemansvarlig Hvert dataprogram/ fagsystem har en systemansvarlig som: Skal påse at det blir utarbeidet og lagret databehandleravtale for fagsystemet Skal påse at opplæringstilbudet og dokumentasjon er tilfredsstillende Er ansvarlig for kvaliteten på de informasjoner som behandles av systemet Er ansvarlig for at systemet følger de lover og forskrifter som gjelder for fagområdet Initierer DPIA -vurdering av personvernkonsekvenser -ved oppstart av nye fagprogram og ROS- risikoog sårbarhetsanalyser Bestemmer sammen med avdelingssjef hvilke rettigheter den enkelte person skal ha Sørger for at personopplysningene ikke blir ødelagt, går tapt eller blir endret, og at slette og retteforespørsler blir lagret og besvart Informasjonssikkerhetsansvarlig Har ansvaret for at rutiner for håndtering av personvern/datasikkerhet blir fulgt Har ansvar for at personvernerklæring og informasjon om behandling av personopplysninger er utarbeidet og er å finne på kommunens hjemmeside (og som vedlegg til denne håndboka) Har ansvar for at egenkontroll gjennomføres Planlegger og organiserer informasjons- og personvernsikkerhetsarbeidet Skal utarbeide retningslinjer for informasjonssikkerhet i tråd med lovverket Er leder i kommunens informasjonssikkerhetsutvalg og inngår i det interkommunale informasjonssikkerhetsutvalget

4 Fagansvarlig IKT Har ansvar for forvaltning og drift av teknisk informasjonssikkerhet og infrastruktur og at det utarbeides databehandleravtaler med alle leverandører Har ansvaret for drift av systemer i henhold til teknisk sikkerhet Inngår i det interkommunale informasjonssikkerhetsutvalget Skal når IKT er databehandleransvarlig inngå databehandleravtaler Initierer statusmøter for systemansvarlige Databehandleransvarlig Er den som behandler personopplysninger på vegne av en kunde (systemeier/ leverandør) Har ansvar for: Beskrive kategoriene av behandling utført på vegne av kommunen Beskrivelse de tekniske og organisatoriske sikkerhetstiltakene som er etablert Følge opp sikkerheten i egen fagapplikasjon Utarbeide databrukeravtale Personvernombud Har ansvar for informere og gi råd til behandlingsansvarlige og databehandlere kontrollere overholdelsen av personvernregler gi råd om vurderingen av personvernkonsekvenser samarbeide med tilsynsmyndigheten fungere som kontaktpunkt for henvendelser om behandlinger Arkivleder Har ansvar for å sikre rett lovhjemmel for personopplysninger som journalføres å beskrive hvor personopplysninger lagres utarbeidelse av bevaring og kassasjonsplan Ansatte Skal underskrive taushetserklæring og databrukeravtale og deretter overholde og etterleve vedtatte instrukser og bestemmelser om sikring av informasjon Følge opp brukernes krav om innsyn, retting eller sletting innen en måned Forstå konsekvensene ved eventuell brudd på sikkerhetsbestemmelsene Rapportere eventuelle sikkerhetsbrudd til nærmeste leder og i EQS

5 2.2 Sikkerhetsorganisasjon Internkontroll gjennomføres av et informasjonssikkerhetsutvalg oppnevnt av rådmennene i kommunene i Inn-Trøndelag i tråd med vedtatte rutiner.(se vedlegg 9) Rutiner for avviksmelding og håndtering av disse skal innarbeides i kommunens overordnede kvalitetssystem EQS. 3 SIKKERHETSMÅL Det er fastsatt følgende mål for informasjonssikkerhet: Kommunens innbyggere skal være trygge for at kommunes ansatte til enhver tid håndterer taushetsbelagte opplysninger på en forsvarlig måte. Kommunens ledelse skal gi de ansatte god opplæring i personvern og hvordan man behandler temaet i hverdagen. Ved elektronisk behandling av personopplysninger skal opplysningene sikres tilstrekkelig: slik at opplysningene ikke blir kjent for uvedkommende, (konfidensialitet), slik at ansatte kan utføre pålagte oppgaver, (tilgjengelighet) slik at opplysningene ikke utilsiktet eller tilsiktet endres ved behandlingen, (integritet) Kommunen skal sikre: Kvalitet: dvs at personopplysninger skal være nøyaktige og holdes oppdatert Begrenset lagringstid: Data skal kun lagres så lenge som det er påkrevet Integritet og konfidensialitet: Tilgang og bruk av persondata skal være begrenset Ansvarlighet: Organisasjonen skal kunne vise at det finnes dokumentasjon for å etterleve Personvernerklæring: Kommunens personvernerklæring skal være kjent for ansatte og publisert på kommunens hjemmeside. 4 SIKKERHETSSTRATEGI OG RUTINER 4.1 Ansvarsforhold Alle ledere sørger for at ansvarsfordelingen presentert i pkt 2.1 er kjent i organisasjonen Oversikt over personopplysninger/personregister Hver tjenesteenhet skal ha oversikt over sine personopplysninger/-register. Formålet, lovhjemmel, omfanget og langringsperiode/ slettebestemmelser må være avklart. En helhetlig bevaring og kassasjonsplan skal være del av kommunens arkivplan.

6 4.3 Risikovurdering Det skal årlig i sikkerhetsmåneden oktober foretas en gjennomgang av sikkerhet ut fra en fastsatt plan. Det skal foretas DPIA -vurdering av personvernkonsekvenser -ved oppstart av alle nye fagprogram og minimum hvert tredje år gjennomføres ROS- risiko- og sårbarhetsanalyser for å kartlegging av uønskede hendelser og vurdering av konsekvensene hvis slike hendelser oppstår. Risiko er et resultat av sannsynligheten for og konsekvensene av uønskede hendelser. Sårbarhet er et uttrykk for et systems evne til å fungere og oppnå sine mål når det utsettes for påkjenninger. Resultatet av DIPA og ROS-analysen skal tas vare på, og kan ved forespørsel forelegges den administrative ledelsen i kommunen. 4.4 Rutinebeskrivelser Avdelingene/enhetene skal ha rutinebeskrivelser for alle sårbare rutiner inklusive håndtering av taushetsbelagte opplysninger. Disse skal presenteres i EQS. 4.5 Egenkontroll Gjennom den sektorovergripende internkontrollen formidler rådmannen sine forventninger til organisasjonen. Avdelingssjef og enhetsleder skal årlig melde status på eget skjema i EQS. 4.6 Fysisk sikkerhet Kommunen skal: - I arkivplanen beskrive de fysiske områder av virksomheten og/eller hele bygninger som skal beskyttes som følge av behandling av personopplysninger - Ha rutiner og tekniske tiltak for adgangskontroll til beskyttede områder - Følge opp med ettersyn og tekniske tiltak for å forhindre og redusere eventuelle skader ved innbrudd, vanninntrenging og brann - Bruke låst skjerm på påslått pc når kontor forlates og stenging av pc ved dagens slutt - Ha låste kontor der det oppbevares sensitive data 4.7 Innsyn og kontroll Kommunen skal: - Daglig gjennomføre sjekk av journalføring og publisering - Senest innen en måned skal den som ber om det gis orientering om hvordan behandling av personopplysninger foretas - På kommunens hjemmeside opplyses om innsyn, sikkerhet og kvalitet på informasjon i offentlige dokumenter og register 4.8 Sletting og retting Kommunen skal påse at rutinen for sletting og retting (se vedlegg 8) følges. 5 ROLLER 5.1 Behandlingsansvarlig Behandlingsansvarlig skal blant annet å sørge for tilstrekkelig og forholdsmessig sikkerhet, at personopplysningene er sikret mot uautorisert eller ulovlig behandling eller utilsiktet tap, ødeleggelse eller skade.

7 Dette er nedfelt i artikkel 5 i det nye regelverket. Den behandlingsansvarlige skal ha oversikt over 1. navn og kontaktinformasjon til den behandlingsansvarlige, og, dersom det er relevant, den felles behandlingsansvarlige, den behandlingsansvarliges representant og personvernombudet 2. formålene med behandlingen 3. en beskrivelse av kategoriene av registrerte og kategoriene av personopplysninger 4. kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, som mottakere i tredjestater eller internasjonale organisasjoner 5. hvilke tredjestater eller internasjonale organisasjoner opplysningene skal overføres til og dokumentasjon på nødvendige garantier (hvis relevant). 6. dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger. 7. dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene som er etablert. Den behandlingsansvarlige har følgende plikter ovenfor de registrerte: Utforme samtykkeerklæring (art. 7, 8 ) Utforme informasjonsskriv (art. 12 ) Informere den registrerte om tiltak truffet på anmodning (art ,12(3) Informere om behandlingen av personopplysninger (art. 13, 14) Gi innsyn (art 15) Rette unøyaktige eller supplere ufullstendige opplysninger (art. 16) Slette (art. 17, meldeplikt art 19 ) Begrense behandlingen av personopplysninger (art. 18) Overføre opplysninger til den registrerte etter art. (dataportabilitet),og hvis teknisk mulig, direkte til en eventuell ny behandlingsansvarlig (art. 20) Iverksette tiltak for å ivareta retten til å motsette seg behandling av personopplysninger (art. 6 (e) og (f), art. 21) Ivareta forbudet mot automatiserte avgjørelser basert på personprofiler (art 22) Melde avvik til de registrerte (art. 34) 5.2 Databehandler Den som behandler behandlingsopplysninger på vegne kommunen skal ha oversikt over: 1. navn og kontaktinformasjon til databehandleren eller databehandlerne og til hver behandlingsansvarlig som databehandleren opptrer på vegne av 2. navn og kontaktinformasjon til, den behandlingsansvarliges eller databehandlerens representant og personvernombud (hvis relevant) 3. kategoriene av behandling utført på vegne av hver behandlingsansvarlig, 4. hvilke tredjestater eller internasjonale organisasjoner opplysningene skal overføres til og dokumentasjon på nødvendige garantier (hvis relevant) 5. dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene som er etablert. Behandlingsansvarlige må inngå databehandleravtale med hver databehandler.

8 5.3 Ansattes oppgaver Alle nytilsatte, vikarer skal ha nødvendig opplæring før de får bruke kommunens datautstyr. Nytilsatte med behov for tilgang til servere får slik tilgang (passord etc.) av IKT Inn-Trøndelag. Når tilsatte slutter, skal Inn-Trøndelag IKT ha melding om dette slik at tilganger/passord etc. slettes. Ved de ytre enheter vil enhetsleder ha tilsvarende ansvar. Databrukeravtalen skal undertegnes av tilsatte og ledere. Alle tilsatte er forpliktet til å etterleve vedtatte bestemmelser. Brudd på disse bestemmelsene kan få alvorlige konsekvenser for tilsettingsforholdet i kommunen. 5.4 Behandling av personregister Vedlegg 3 inneholder et skjema for personregister. Hver avdeling skal fylle ut vedlagte skjema for å ha kontroll. For hvert register skal det gis følgende opplysninger: - begrunnelse og lovhjemmel - klassifikasjon: personopplysninger, sensitive opplysninger - sikringstiltak - lagringssted fysikk eller data - registerets omfang antall personer i registeret - formålet med registeret - sletting av personopplysninger 5.4 Risikovurdering DPIA(Data Protection Impact Assessment DPIA) Når personvernkonsekvenser i et fagsystem skal vurderes brukes utarbeidet skjema. Kommunens personvernombud skal på anmodning gi råd om vurderingen av personvernkonsekvenser. Det som skal besvares er : Hvilke type personopplysninger behandles POF 2-4 Behandles sensitive opplysninger POL 9 POFO art 9 Hvem er de registrerte POF 2-4 Hva er rettslig grunnlag for behandlingen POL 8 og ) POFO art 6 Utleveres opplysningene til ekterne myndigheter POL 11,8 og 9 ROS Risiko- og sårbarhetsanalyser skal beskrivelse vurdering av hvilke uønskede hendelser og trusler som kan inntre på tjenestestedet. I tillegg skal det beskrives hvilke tiltak som bør iverksettes for å redusere og unngå nevnte hendelser. Virksomheten må derfor fastlegge kriterier for akseptabel risiko det er forbundet med behandlingen av personopplysninger. Risikobegrepet rommer to størrelser; sannsynlighet for at noe skal skje, og hvilke konsekvenser denne hendelsen kan få.

9 Innenfor hver enhet skal følgende analyser gjennomføres: Type trussel Ved vurdering av hvilke trusler informasjonssystemet er utsatt for kan det være en fordel å besvare følgende spørsmål: Hvilke trusler eksisterer som kan gjøre at informasjon tilflyter personer som ikke skulle hatt tilgang til den? Hvilke trusler eksisterer som kan gjøre at informasjon forsvinner, endre eller feilregistreres? Hvilke trusler eksisterer som kan gjøre at informasjon blir utilgjengelig for kortere eller lengre tidsrom? Ved vurdering av frekvens tas det utgangspunkt i følgende klassifiseringer: Sannsynlighet (hyppighet): Angir hvor ofte trusselen kan inntreffe: Svært sjelden: Sjelden: Ofte: Svært ofte: Ca. 1 pr. 5. år Ca.1 pr. år Ca. 1 pr. måned Flere ganger pr. måned Konsekvens Ved vurdering av konsekvenser skal en sette opp hva slags følger trusselen kan ha om den skulle inntreffe. Sammen med en beskrivelse av konsekvensene skal den graderes etter hvor alvorlig den ansees å være: Konsekvenser: Liten - Moderat Stor Katastrofal Vedlegg 4 inneholder et skjema for utfylling og gjennomgang av en risikovurdering Tiltak For hver trussel skal det beskrives hvilke tiltak som er nødvendig for å redusere eller unngå de uønskede hendelsene. 5.5 Rutiner/prosedyrer Kommunen skal ha gode rutiner for alle oppgavene innen informasjon- og personvernsvirksomheten. Av aktuelle rutiner kan nevnes (lista er ikke uttømmende): - opplæring/veiledning av nytilsatte - kompetansekontroll av tilsatte - skjerming av sensitive opplysninger, personlige data og andre saker unntatt offentlighet f.eks: - rutiner for postmottak - rutiner for outlookbruk - rutiner for at pasient/klient/kardex ikke er tilgjengelig for uvedkommende - rutiner for karakterprotokoller - rutiner for rapporter om ekstra oppfølging av barn i barnehage - rutiner for avviksmeldinger

10 - rutine for risikovurdering - rutiner for sletting av personopplysninger - rutiner for innsyn Hver enhets rutinebeskrivelser legges inn i fagsystem og EQS. 6 TEKNISKE FORHOLD Kommunen skal ha tilfredsstillende opplegg og rutiner for teknisk informasjonssikkerhet. Kort beskrevet skal følgende hovedtiltak gjennomføres: Områder hvor sensitiv informasjon behandles, skal sikres mot uautorisert tilgang og innsyn. Servere og kommunikasjonsutstyr skal stå i sikrede rom. Systemteknisk sikkerhet omhandler krav til maskinvare, kommunikasjonsenheter, programvare og hvordan disse samhandler. Det skal forefinnes konfigurasjonsskisse som også beskriver soneinndeling, tilgangskontroll. Videre skal det forefinnes rutiner backup rutiner etc. 7 MELDINGER TIL DATATILSYNET Kommunene har selv ansvar for å holde oversikt over hvilke personopplysninger som behandles, rettslig grunnlag på disse og hvem vi deler dem videre med. Når nye registere opprettes, kan det være behov for en forhåndsdrøfting med Datatilsynet. Kommunens personvernombud skal samarbeide med datatilsynsmyndigheten og fungere som et kontaktpunkt for tilsynet ved spørsmål. Den behandlingsansvarlige (avdelingssjef) skal gi melding til Datatilsynet om avvik. Sikkerhetsbrudd skal meldes innen 72 timer. Databehandlere skal varsle behandlingsansvarlige dersom de oppdager avvik. Dersom virksomheten ikke har full oversikt over sikkerhetsbruddet, kan avviksmeldingen sendes inn trinnvis. Avvikshåndteringen skal dokumenteres gjennom journalføring, i avvikssystemet i EQS og i Datatilsynets digitale skjema Kravene knyttet til avvik er omtalt i personvernforordningens artikkel 33, mens definisjonen på et sikkerhetsbrudd står i artikkel 4. 8 PERSONVERNOMBUD I forordningens artikkel 39 gis en oversikt over hvilke oppgaver kommunens personvernombud skal ha: Informere og gi råd Personvernombudet skal gi råd til den behandlingsansvarlige eller databehandleren og til de ansatte som utfører behandlingen av personopplysninger om de forpliktelsene virksomheten har etter personvernlovgivningen.

11 Kontrollere overholdelsen av personvernregelverket Ombudet skal kontrollere overholdelsen av forordningen og andre relevante regelverk med personvernbestemmelser, samt virksomhetens egne interne retningslinjer for personvern. Som en del av dette kan ombudet ha følgende oppgaver: 1samle inn informasjon for å identifisere behandlingsaktiviteter 2analysere og sjekke at behandlingsaktivitetene er i tråd med regelverket 3informere, gi råd og anbefalinger for å sikre regelverketterlevelse 4foreslå ansvarsfordeling for oppgaver knyttet til ivaretakelse av personvernet i virksomheten 5gjennomføre holdningsskapende arbeid i virksomheten og opplæring av medarbeidere Selv om personvernombudet har en rolle i å kontrollere etterlevelse etter regelverket, er det fremdeles den behandlingsansvarlige eller databehandleren som er ansvarlig for at personvernlovgivningen følges. Gi råd om vurdering av personvernkonsekvenser (DPIA) Personvernombudet skal på anmodning gi råd om vurderingen av personvernkonsekvenser (Data Protection Impact Assessment DPIA) og kontrollere gjennomføringen av konsekvensvurderingene. Det er den behandlingsansvarlige, ikke personvernombudet, som har ansvaret for at slike vurderinger gjennomføres. Ombudet kan imidlertid ha en viktig rolle med å bistå den behandlingsansvarlige i disse vurderingene. Artikkel 35 i forordningen pålegger behandlingsansvarlige å be om råd fra ombudet når man skal utføre en konsekvensvurdering. Den behandlingsansvarlige kan be om råd om følgende tema: 1 om det er behov for å utføre en vurdering av personvernkonsekvenser 2 hvilken metode som skal benyttes 3 om konsekvensvurderingen skal gjøres internt eller ved hjelp av eksterne krefter 4 hvilke sikkerhetstiltak (tekniske og organisatoriske) som bør tas for å minimere risiko 5 hvorvidt konsekvensvurderingene er blitt gjennomført på riktig måte, og om konklusjonene er i tråd med regelverket Samarbeide med Datatilsynet og fungere som kontaktpunkt Personvernombudet skal samarbeide med datatilsynsmyndigheten og fungere som et kontaktpunkt for tilsynet ved spørsmål. Ved behov skal ombudet også kunne rådføre seg med tilsynet. Disse oppgavene understreker ombudets rolle som kontaktpunkt mellom virksomheten og tilsynsmyndigheten. Ombudet skal legge til rette for at tilsynet får den informasjonen det trenger for å utføre sine oppgaver og plikter, for eksempel i forbindelse med sin kontrollvirksomhet. De registrerte skal på sin side kunne kontakte personvernombudet om alle spørsmål knyttet til behandling av deres opplysninger, og om utøvelsen av rettighetene de har i henhold til personvernforordningen. Innsatsen fra personvernombudet skal rettes mot områder hvor risikoen for personvernet

12 vurderes å være høyest. 9. INFORMASJON OG VARSLING TIL BERØRTE Kommunen informerer på sin hjemmeside om: Kontakt til behandlingsansvarlige Kontakt til personvernombud. Hva som er formålet med behandlingen av personopplysninger. Hva slags personopplysninger som behandles. Grunnlaget for behandlingen av personopplysningene. Hvem personopplysningene eventuelt skal utleveres til. Hvor lenge opplysningene skal oppbevares. Retten til innsyn, retting, sletting, dataportabilitet, å kreve at behandlingen av personopplysninger begrenses, og å motsette seg visse former for behandling. Retten til å klage til Datatilsynet på behandling i strid med reglene. Reglene i denne sammenhengen følger av forordningen artikkel 13 og 14. Varsling skal skje når det er sannsynlig at avviket vil medføre en høy risiko for personvernet til de som er berørt. Varsel skal gis så fort som mulig. Det skal ha et klart og forståelig språk tilpasset leserens nivå. Varselet skal som et minimum inneholde: en beskrivelse av avvikets natur kontaktinformasjon til personvernombudet eller annet kontaktpunkt i virksomheten en beskrivelse av mulige konsekvenser av avviket en beskrivelse av tiltak som er (planlagt) iverksatt for å lukke avviket og begrense konsekvensene Virksomheten kan imidlertid la være å varsle de berørte under følgende vilkår: Dersom det er iverksatt beskyttelsestiltak for personopplysningene som er omfattet av sikkerhetsbruddet, særlig dersom tiltakene gjør opplysningene uleselige for uvedkommende, for eksempel ved kryptering. Dersom det er iverksatt etterfølgende tiltak som gjør at risikoen sannsynligvis ikke lenger er reell. Hvis det er uforholdsmessig vanskelig å varsle hver enkelt av de berørte. I slike tilfeller skal informasjonen i stedet offentliggjøres eller deles på annen måte, slik at de berørte likevel underrettes på en effektiv måte.

13 10 EGENKONTROLL Formålet med egen kontroll er å sikre at kommunens sikkerhetsmål, strategi og rutiner etterleves i hele virksomheten. På sikt vil egenkontrollen danne grunnlag for vurderingene av fastsatte sikkerhetsmål etc. Ved gjennomføring av kontrollen skal bl.a følgende elementer gjennomgås: - ansvars- og myndighetsforhold (i samsvar med virkeligheten) - sikkerhetstiltak, herunder utprøving av tekniske sikkerhetsløsninger - gjennomgang av risikovurderinger og eventuelle nye tiltak - gjennomgang av eventuelle avvik - gjennomgang av rutiner Vedlegg Vedlegg 1: Definisjoner Vedlegg 2: Personvernerklæring Vedlegg 3: Systemoversikt og behandlingsoversikt Vedlegg 4: ROS-analyse-skjema (gjennomføre i EQS) Vedlegg 5: IKT reglement Vedlegg 6: Databrukeravtale Vedlegg 7: Taushetserklæring Vedlegg 8: Rutine for innsyn, retting og sletting Vedlegg 9: Informasjon- og personvernsikkerhetsutvalget i Inn-Trøndelagsamarbeidet Vedlegg 10: Oversikt over rådmannen i den enkelte kommune sitt internkontrollarbeid

14 Vedlegg 1 Definisjoner Behandlingsansvarlig Registrerte Personopplysninger Sikkerhetsbrudd Behandling Databehandler Pseudonymisering Underleverandør Den parten som alene eller i felleskap med andre bestemmer formålene og virkemidlene for behandling av personopplysninger; Betyr en identifisert eller identifiserbar fysisk person Betyr enhver opplysning om en identifisert eller identifiserbar fysisk person; en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en online-identifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet; Betyr et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet; Betyr enhver operasjon eller rekke av operasjoner som gjøres med Personopplysninger, enten automatisert eller ikke, som f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsulering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring; IKT eller selskap som er part i avtale og som behandler personopplysninger på vegne av den behandlingsansvarlige. Betyr behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person. Betyr et selskap som er tilsatt av databehandleren for å bistå i behandlingen av personopplysninger på vegne av den behandlingsansvarlige.

15 Tilsynsmyndighet Betyr en uavhengig offentlig myndighet som er opprettet i henhold til GDPR artikkel 51 som for eksempel Datatilsynet i Danmark, Datainspektionen i Sverige, og Datatilsynet i Norge. Formålsbegrensning: Dataminimering: Opplysningene skal brukes til uttrykkelig angitte og legitime formål, og ikke (senere) til uforenlige formål. Personopplysningene skal være tilstrekkelige,relevante og begrenset til hva som er nødvendig. Integritet og konfidensialitet:personopplysninger sikres mot uautorisert tilgang og mot tap, ødeleggelse eller skade. DPIA: Dataportabilitet: Vurdere personvernkonsekvensene i et register. Skal gjennomføres av databehandler, registrerte (ved utplukkede representanter) og personvernombud i tillegg til behandlingsansvarlig. Mulighet til å ta med seg opplysninger som en selv har gitt

16 Vedlegg 2 Personvernerklæring Rådmannen er behandlingsansvarlig for behandling av personopplysninger i kommunens enheter. Det daglige ansvaret er delegert til informasjonssikkerhetsansvarlig. Denne erklæringen gir informasjon til brukere av kommunens tjenester om generell behandling av personopplysninger og informasjon om besøkende på (jfr. personopplysningsloven). Webanalyse Kommunen bruker Google Analytics som statistikkverktøy på våre nettsider. Det benyttes til å gi informasjon om besøkstall og trafikk slik at vi kan forbedre vår tjenester. Eksempelvis gir det informasjon om hvor mange besøkende det er på ulike sider, hvilke nettsider de besøkende kommer fra og hvilke nettlesere som brukes. Kommunen benytter statistikkverktøyet med IP-maskering aktivert slik at besøkende ikke kan identifiseres ved hjelp av IP-adresse. Det betyr at den siste gruppen av siffer i IP-adressen blir satt til 0. Det vil si at dersom IP-adressen består av nummergruppene ', brukes bare Google Analytics sine prinsipper for sikkerhet og personvern Cookies Informasjonskapsler (cookies) er små tekstfiler som plasseres på din datamaskin når du laster ned en nettside, slik som steinkjer.kommune.no. Lagring av disse er ikke tillatt med mindre brukeren er informert og har samtykket. Besøkende på våre nettsider får et varsel om dette og må samtykke til at informasjonskapsler blir lagret. Nettstedet steinkjer.kommune.no bruker cookies til å generere statistikk. Statistikkverktøyet som benyttes er Google Analytics. Nettstedet bruker også informasjonskapsler for å ta vare på visningsalternativ på nettsiden, for eksempel kontrastfarge og språk. Denne informasjonen blir ikke samlet inn av nettstedet men er kun lagret i den enkeltes nettleser. Dersom du ikke ønsker å bruke cookies kan du endre innstillingene i nettleseren din slik at du enten blokkerer informasjonskapsler fra å bli lastet ned automatisk, eller at du får et valg om å laste ned hver enkelt informasjonskapsel. Vi gjør imidlertid oppmerksom på at dette kan medføre at tjenestene på våre nettsider ikke fungerer optimalt.

17 Saksbehandling og arkiv Kommunen behandler personopplysninger for å utføre lovpålagte kommunale oppgaver etter bl.a. personopplysningslov, helseregisterlov, forvaltningslov, offentlighetslov og arkivlov. Saksbehandlingssystemene våre inneholder derfor sensitive personopplysninger. Disse er beskyttet av etablerte rutiner og særlige sikkerhetstiltak. Hvis du ønsker innsyn i de opplysninger som kommunen har laget om deg, kan du henvende deg til kommunen. Du kan be om at opplysninger endres, rettes eller slettes. Ved krav om innsyn utleveres personopplysninger i henhold til offentlighetsloven og forvaltningsloven. Henvendelser om krav om innsyn skal sendes postmottak@xxx.kommune.no Epost Kommunen benytter epost i kommunikasjon med innbyggere. Eposthenvendelser som sendes til vårt postmottak eller en saksbehandler blir vurdert om de skal journalføres og blir da registrert i vårt arkivsystem. Vi ber alle som ønsker å kommunisere med kommunen via epost om å vurdere innholdet i eposten. Epost er i utgangspunktet ikke en sikker kommunikasjonskanal og informasjonen er ikke kryptert. Taushetsbelagte, sensitive eller andre fortrolige opplysninger må ikke sendes med epost. Sosiale medier Kommunen har en åpen profil på Facebook. Kommentarer og diskusjoner her er synlige for andre besøkende på siden, og det som deles må anses som offentlig tilgjengelig informasjon. Vi ber derfor om at det ikke deles sensitiv informasjon på profilen og at det utvises høflighet og respekt. Facebooks grunnleggende personverninnstillinger- og verktøy. Del/tips-tjenesten Delingstjenesten kan brukes til å videresende tips eller dele artikler fra nettstedet. Opplysninger om deling logges ikke, men brukes kun der og da til å legge inn tipset hos nettsamfunnet du velger. Hvordan det aktuelle nettsamfunnet håndterer dataene videre reguleres av din avtale med nettsamfunnet. Om du bruker funksjonen til å sende lenke via e-post, bruker vi bare de oppgitte e- postadressene til å sende meldingen videre. E-postadressene lagres ikke og dette foregår automatisk.

18 Elektroniske skjema Kommunen benytter elektroniske skjema for flere av våre tjenester og løsningen er levert av Kommuneforlaget AS. Personvernerklæring for elektroniske skjema fra Kommuneforlaget AS må aksepteres av brukere som benytter elektroniske skjema. Kommunen har også skjema i word/pdf-format liggende på sine nettsider som kan sendes inn som papir eller som vedlegg til epost. Opplysninger som sendes inn via disse behandles som personopplysninger for øvrig. Vi ønsker å minne om at det ikke må sendes inn skjema med sensitive opplysninger jfr. det som står skrevet under epost i denne artikkelen.

19 Vedlegg 3: - Systemoversikt Register (fagsystem/l agringssted) Formål med registrering av opplysninger Kategori (personop plysninger, sensitive opplysninger) Rettslig grunnla g (lovhje mmel, samtyk ke, avtale) Behandlin gsansvarlig Databeh andler(e) (leveran dør av fagsyste m, saksbeha ndler) Databehan dleravtale Syste meier Systema nsvarlig Benyt tes hos (avdel ing i komm unen) Slett ing og bev arin g Lønns- og personalsyst em Agresso Personalforvaltni ng Utbetale lønn Tilgangsstyring Personopp lysninger Sensitive opplysning er GDPR art Arbeids avtalen Personalsj ef Evry Avtale med Evry Leder regns kap og lønn Steinkje r: Inderøy: Snåsa: Hele komm unen ephorte Sak og arkiv Visma Profil omsorg + mobil omsorg Visma velferd Visma HS Pro Visma samhandling arkiv Visma Flyktning System X Visma Flyr Sampro Visma Vismalink Informasjon om helse og omsorgstjenesten eog brukerne ov tjenestene. Mobilklient for bruk på nettbrett System for søknadsbehandlin g for sosialstønad. Brukes av alle som jobber i NAV Fagsystem for helsestasjonen Noark5 arkivtjenesten for arkivering av vedtak og saksbehandling Registrering, oppfølging og innrapportering av flyktningeinforma sjon Journalsystemer for legevakt og DMS som sender og mottar helsemeldinger Samhandlingsver ktøy for informasjon i individuell plan etter helse og omsorgstjenestel oven.skytjeneste Meldingsutveksli ng mellom helseforetak og kommune mot Profil, HsPro, Barnevernvakt, System X OppAd Skole Skoleadministrati v Løsning for lærere og elever for opplæringsplaner, oppgaver og

20 Ekasys MobilSkole Engage MyKid LCS Life Cycle identitetsser ver PPT HK GISLINE Guart Ecclesia VA Felt oppfølging. Skole bh og SFO Opptak i barnehage Voksenopplæring a og IMDI integrert for vedtak og rapportering av gjennomført undervisning Kommunikasjon mellom foreldre og lærere integrert med Oppad. SMS er kommunikasjonsv erktøyet Nasjonale og lokale kartlegginger på elever. Integrert til PppAd og benytter Feide Toveis kommunikasjon mellom barnehager og foresatte. Benyttes også til turnusplanlegging Integrasjon mellom Feide og de ulike systemene i skole JOURNALFØRING FOR ELEVER MED VEDTAK OM TILRETTELAGT UNDERVISNING. gis system for forvaltning av geografiske data Overvåker vann og avløpsanlegg Oversikt over kirkegårder og hvem som er gravd ned hvor. Integrert mot Agresso for fakturering. Skybasert Oppdatert info over ledningsnett, pumpestasjoner ol Under arbeid i den enkelte kommune

21 Vedlegg 4: - Eksempel på en Ros Analyse: Trussel Ikke autoriserte ansatte, uvedkommende kan få adgang til sensitive og personopplysninger samt saker unntatt offentlighet Besøkende kan få tilgang til sensitive opplysninger (Aktiv eller passiv utlevering) Tap av klientdata Andre trusler: Sannsynlighet/ hyppighet Letthet Svært ofte/lett Svært ofte Sjelden/ vanskelig Årsak Konsekvens Tiltak Maskiner blir stående pålogget uten skjermbeskytter med passordbeskyttelse mens ikke autoriserte ansatte utfører arbeid uten at autoriserte ansatte er til stede. Ikke-autoriserte ansatte med nøkkel skaffer seg tilgang selv om kontoret er låst Utilsiktet utlevering f eks e-post Stor. En risikerer at sensitive personopplysninger om en eller flere kommer ut og truer klientenes personvern Bevisstgjøring av de ansatte omkring nødvendigheten av benytte skjermsparer med passord når de forlater kontoret. Evt. kreve avlogging før man forlater kontoret Skjermbildet lett synlig for besøkende Stor. En risikerer at sensitive Prøve å sørge for at skjermen ikke er personopplysninger om synlig for besøkende en eller flere kommer ut og truer klientenes personvern Gå ut av dataprogrammet når man har besøk og når man forlater kontoret. Sammenbrudd i online lagrings- Katastrofal? system. Brann

22 Vedlegg 5: Databrukeravtale Databrukeravtale for kommunene Inderøy, Verran og Steinkjer Denne avtalen regulerer den enkelte ansattes ansvar og plikter ved bruk av arbeidsgiverens og Inn- Trøndelag IKT sine IT-tjenester bestående av maskinvare, programvare, fagapplikasjoner, nettverk og data. Avtalen ses i sammenheng med IKT-reglementet, informasjonssikkerhetshåndboka og gjeldende regelverk for behandling av personopplysninger. Leder Min underskrift på dette dokumentet bekrefter at jeg som leder har ansvaret for at informasjon om gjeldende regelverk er formidlet og at nødvendig opplæring er gitt. (dato og år): leder: Medarbeider Min underskrift på dette dokumentet bekrefter at jeg er gjort kjent med og har forstått IKTreglementet og er kjent med gjeldende regelverk ved behandling av personopplysninger. Jeg forplikter meg til å følge det som til enhver tid er gjeldende IKT-reglement og aksepterer at overtredelse vil kunne medføre sanksjoner fastsatt av arbeidsgiver. (dato og år): medarbeider:

23 Vedlegg 6: IKT reglement IKT-reglement Felles datanett for kommunene Inderøy, Verran og Steinkjer Inn-Trøndelag IKT Brukerstøtte: Tlf:

24 Innhold 1. Innledning Virkeområde Definisjoner Informasjonssikkerhet Akseptabel bruk av IT-ressurser Brukerens rettigheter Inngrep og sanksjoner Brukerkonto og passord Epost Lagring Innsyn og overvåking Avslutning av ansettelsesforhold... 21

25 1. Innledning 1.1 Dette dokumentet regulerer ansvar, plikter og rettigheter for alle som benytter IT-ressurser tilknyttet kommunene Inderøy, Verran og Steinkjer. IKT-reglementet skal bidra til å hindre uønsket bruk av de IT-ressursene det omfatter og til å styrke informasjonssikkerheten i kommunene. Alle brukere med tilgang til IT-ressursene skal gjennom å signere en databrukeravtale bekrefte at de har lest og forstått innholdet i dette reglementet. 2. Virkeområde 2.1 IT-ressursene består av alle fysiske komponenter (nettverk bestående av kabling, nettverkselektronikk og datamaskiner), programvare, og andre IT-baserte ressurser anskaffet av, eller som disponeres av kommunene. IT-ressursene inkluderer også tilgang og bruk av internett og epost. 3. Definisjoner 3.1 Bruker: Personer som har tilgang til kommunenes IT-ressurser. 3.2 Brukerkonto: En brukers definerte tilgang til IT-ressurser som datamaskiner, nettverk, fagapplikasjoner m.m. 3.3 Brukernavn: En unik symbolsk betegnelse som identifiserer en bruker/brukerkonto med tilgang til en IT-ressurs. 3.4 Passord: En sekvens av tegn som sammen med tilhørende brukernavn gir en autorisert bruker tilgang til en IT-ressurs. 3.5 Driftsansvarlig: Personer som er ansvarlig for driften av maskinvare, programvare eller nettverk. 4. Informasjonssikkerhet 4.1 Informasjonssikkerhet er tiltak og mekanismer for å ivareta konfidensialitet, tilgjengelighet og integritet for informasjon og systemer som behandler disse. Alle brukere plikter å sette seg inn i lover, regelverk og retningslinjer som har som formål å ivareta informasjonssikkerheten i deres daglige virke. 4.2 Brukere av IT-ressursene skal bidra til å opprettholde sikkerhetsnivået, for eksempel ved å forhindre uautorisert tilgang til IT-ressurser, forhindre krenking av personlig informasjon og være oppmerksom på trusler som skadelig programvare. Alle har et ansvar for informasjonssikkerheten. 4.3 Ved mistanker om hendelser som truer informasjonssikkerheten skal brukeren rapportere dette til leder eller Inn-Trøndelag IKT.

26 5. Akseptabel bruk av IT-ressurser 5.1 Bruk av kommunenes IT-ressurser skal være forenelig med institusjonenes formål. Det er ikke tillatt å bruke IT-ressurser til et formål som strider mot etiske og moralske normer eller som er i konflikt med norsk lov. 5.2 Det er ikke tillatt å bruke IT-ressurser på en måte som opptar unødvendig stor kapasitet. Det skal ikke installeres eller brukes programvare eller maskinvare som har et destruktivt bruksområde eller som legger beslag på unødige ressurser. 5.3 Maskinvare som ikke er godkjent og avklart med Inn-Trøndelag IKT skal ikke installeres eller tas i bruk som en del av datanettet. Dette gjelder både datamaskiner, nettverkskomponenter og andre perifere enheter. 5.4 Handlinger for å omgå sikkerhetsinnstillinger og mekanismer rundt dette er under ingen omstendigheter tillatt. 5.5 Vis nett-vett: 6. Brukerens rettigheter 6.1 Kommunene skal sette klare retningslinjer for bruk av IT-ressurser. Inn-Trøndelag IKT har utarbeidet IKT-reglementet for bruk av IT-ressurser og disse skal gjøres tilgjengelige i oppdatert versjon for alle brukere til enhver tid. 6.2 Brukere har krav på at deres personvern ikke blir krenket på noe vis gjennom deres tilgang til IT-ressursene. Det skal ikke utleveres opplysninger om brukere eller data tilhørende brukere der dette ikke er nødvendig som følge av vedtatte reglement eller norsk lov. 7. Inngrep og sanksjoner 7.1 Brudd på IKT-reglementet kan føre til sanksjoner fastsatt av kommunen brukeren er ansatt i. Forhold som vurderes som brudd på norsk lov vil bli politianmeldt. 7.2 Inn-Trøndelag IKT kan ved mistanke om brudd på IKT-reglementet eller andre årsaker som truer systemets integritet og funksjonalitet, gjøre nødvendige grep for å gjenopprette normal drift. Dette kan innebære stenging av brukerkontoer, maskinkontoer eller andre tiltak som kan føre til stopp i brukerens tilganger. Slike inngrep skal varsles brukeren så snart det er praktisk mulig. 8. Brukerkonto og passord 8.1 En brukerkonto er strengt personlig og skal ikke brukes av andre enn den personen den er tilknyttet, dette gjelder også tiltrodde personer som kolleger og familiemedlemmer. Det er ikke tillatt å utgi seg for å være en annen bruker ved bruk av IT-ressurser.

27 8.2 Et passord skal holdes hemmelig og ikke oppbevares slik at andre kan lære det, for eksempel nedskrevet på en lapp. Ved mistanke om at passordet er kjent for andre skal det endres umiddelbart. 8.3 I tilfeller der det eksisterer systembrukere hvor flere personer har kjennskap til brukernavn og passord, plikter de som har denne tilgangen å påse at ingen uautoriserte personer får kjennskap til passordet. 8.4 Det er viktig at passord ikke gjenbrukes, for eksempel at brukeren har samme passord i kommunens systemer som i andre tjenester. 8.5 Ved glemt passord, mistanke om at passord er på avveie eller andre påloggingsproblemer, ta kontakt med Inn-Trøndelag IKT sin helpdesk: Passordregime: - Passord skal endres hver 6.mnd - Passordet må oppfylle følgende krav til syntaks: o Være minst 8 tegn o Inneholde små bokstaver (a-z) o Inneholde store bokstaver (A-Z) o Inneholde tall (0-9) eller spesialtegn (. - _ +!? ( ) < > &.) - Passordet må være forskjellig fra de siste tre passordene dine. - Passordet bør ikke inneholde ord eller navn som kan knyttes til brukeren, for eksempel navn på familiemedlemmer, stedsnavn, titler, årstall etc. 9. Epost 9.1 Enhver som benytter eposttjenesten driftet av Inn-Trøndelag IKT skal utvise skjønn for fornuftig bruk. Dette inkluderer blant annet å begrense privat bruk av epostkontoen, samt å slette eposter som ikke lenger er aktuelle. Epostboksen er ikke et arkivsystem. 9.2 Epost anses ikke som et verktøy for sikker kommunikasjon med mindre den er kryptert. Sensitive personopplysninger skal derfor ikke forekomme i epost. Meldinger som inneholder sensitive opplysninger skal ikke sendes eller distribueres videre hvis den mottas 9.3 Ved mistanke om at epost inneholder skadelig programvare eller forsøk på svindel, skal eposten slettes umiddelbart. Linker eller vedlegg må ikke åpnes hvis avsenderen eller meldingen ikke kan tolkes som en seriøs henvendelse. 9.4 Det er ikke tillatt til å starte eller videresende kjedebrev. 9.5 Det må utvises varsomhet når epostadresser legges igjen på nettsider og registreringsskjema. Dette er for å forebygge at epostadressen blir inkludert i lister som brukes for spam. 9.6 Ved utsending av epost til mange mottakere som ikke er en distribusjonsliste, skal mottakere legges inn i feltet for blind-kopi. Dette er for å hindre uønsket spredning av epostadresser.

28 10. Lagring 10.1 Områder på filservere som er tilgjengelig for brukere skal kun brukes for tjenstlige formål. Dette gjelder også de private lagringsområdene (Q:). Det skal ikke forekomme private filer som bilder, applikasjoner eller multimediefiler (filmer, musikk, spill) på disse filområdene Lagring og sikkerhetskopiering er en begrenset ressurs, og filer som ikke lenger er aktuelle skal slettes Det er ikke tillatt å benytte private kontoer for skytjenester i tjenstlig formål eller synkronisering mellom kommunenes IT-ressurser og slike tjenester. Eksempler på disse er Dropbox, OneDrive og Jottacloud Informasjon som inneholder personopplysninger skal ikke lagres på eksterne lagringsmedier som eksterne harddisker eller minnepinner. 11. Innsyn og overvåking 11.1 Brukere kan selv gi ledere og andre ansatte innsyn i epost og filområder ved behov, for eksempel ved sykdom eller permisjon Beslutning om innsyn tas av leder ved vedkommende enhet eller IT-leder Det kan tas beslutning om innsyn i epostkasse eller filområde hvis det er behov for å ivareta daglig drift, kommunens ansvar eller omdømme Det kan tas beslutning om innsyn hvis det er mistanke om at epostkasse eller filområde inneholder materiale som er i strid med norsk lov eller ved brudd på bestemmelsene i IKTreglementet Brukeren skal varsles om innsynet på forhånd og få mulighet til å være tilstede hvis dette er praktisk og tidsmessig mulig og det ikke er fare for bevisødeleggelser Tiltak for innsyn skal dokumenteres i en rapport Inn-Trøndelag IKT benytter systemverktøy som overvåker IT-ressurser, og informasjon og logger fra disse brukes til driftsformål IKT-driftsansvarlige har taushetsplikt med hensyn til informasjon om brukeren og brukerens virksomhet som den IKT-driftsansvarlige får på denne måten. 12. Avslutning av ansettelsesforhold 12.1 Når et ansettelsesforhold avsluttes skal brukeren rydde i epostkasse og personlige filområder. Brukeren har selv ansvar for å ta vare på og videreformidle informasjon som skal bevares til rett person eller saksbehandlingssystem.

29 12.2 Epostkasse og personlig filområde vil bli bevart i 3 måneder etter endt ansettelsesforhold. Deretter vil informasjonen bli slettet Brukerkontoer til ansatte som slutter vil bli sperret når ansettelsesforholdet avsluttes Ved dødsfall vil epostkasse og personlig filområde bli slettet, med mindre det er sannsynlig at politiet vil ønske innsyn i opplysningene. Før sletting finner sted kan det foretas innsyn for å sortere ut virksomhetsrelatert e-post og filer i tråd med rutine for dette.

30 Vedlegg 7 - Taushetserklæring Det vises til forvaltningslovens 13 (taushetsplikt): Enhver som utfører tjeneste eller arbeid for et forvaltningsorgan, plikter å hindre at andre får adgang eller kjennskap til det han i forbindelse med tjenesten eller arbeidet får vite om: 1. noens personlige forhold, eller 2. tekniske innretninger og fremgangsmåter samt drifts- eller forretningsforhold som det vil være av konkurransemessig betydning å hemmeligholde av hensyn til den som opplysningen angår. Som personlige forhold regnes ikke fødested, fødselsdato og personnummer, statsborgerskap, sivilstand, yrke, bopel og adresse, med mindre slike opplysninger røper et klientforhold eller andre forhold som må anses som personlige. Kongen kan ellers gi nærmere forskrifter om hvilke opplysninger som skal reknes som personlige, om hvilke organer som kan gi privatpersoner opplysninger som nevnt i punktumet foran og opplysninger om den enkeltes personlige status for øvrig, samt om vilkårene for å gi slike opplysninger. Taushetsplikten gjelder også etter at vedkommende har avsluttet tjenesten eller arbeidet. Han kan heller ikke utnytte opplysninger som nevnt i denne paragraf i egen virksomhet eller i tjeneste eller arbeid for andre. I tillegg gjelder taushetsplikt i henhold til alle særlover. Erklæring: Jeg, født bekrefter at jeg i mitt arbeide overfor Steinkjer kommune vil respektere den taushetsplikt som følger av Forvaltningslovens 13 og særlover m.v., og ikke bringe videre opplysninger om noe forhold som strider mot nevnte bestemmelser. Steinkjer den

31 Vedlegg 8 Rutine for innsyn, retting og sletting Formål Hensikten med denne prosedyren er å sikre at de som er registrerte får innsyn i de personopplysningene de har krav på og at feilaktige helse- og personopplysninger blir rettet. Personopplysninger oppbevares og slettes i tråd med lover og forskrifter. Omfang Prosedyren omfatter krav til kontroll og regler som gjelder innsyn, retting og sletting av helseopplysninger og sensitive personopplysninger. Prosedyren gjelder for alle behandlinger i kommunen. Ansvar Sikkerhetsansvarlig i samarbeid med enhetslederne Innsyn i personopplysninger Rett til innsyn: Enhver som ber om det(og har en lovmessig rett til) skal få vite hva slags behandling av personopplysninger en behandlingsansvarlig foretar, og kan kreve å få følgende informasjon om en bestemt type behandling: - navn, adresse på den behandlingsansvarlige og dennes eventuelle representant, - hvem som har det daglige ansvaret for å oppfylle den behandlingsansvarliges plikter, - formålet med behandlingen, - beskrivelse av hvilke type personopplysninger som behandles, - hvor opplysningene er hentet fra, - om personopplysningene blir utlevert, og eventuelt hvem som er mottaker. Dersom den som ber om innsyn er registrert, skal den behandlingsansvarlige opplyse om: - hvilke opplysninger om den registrerte som skal behandles, og - sikkerhetstiltakene ved behandlingene, så langt innsyn ikke svekker sikkerheten. Den registrerte kan kreve at den behandlingsansvarlige utdyper informasjonen i den grad det er nødvendig for at den registrerte skal kunne ivareta egne interesser. Retten til informasjon gjelder ikke dersom personopplysningene behandles utelukkende for historiske, statistiske eller vitenskaplige formål og når behandlingen ikke får noen direkte betydning for den registrerte. Om innsynet: Frist for å svare den registrerte er 30 dager Når kravet gjelder innsyn i journal skal dette anmerkes i journalen. Innsyn etter personopplysningsloven og helseregisterloven er alltid gratis. Innsynet skal skje konkret etter en bestemt behandling. Barn over 16 år har selvstendig innsynsrett i sin journal på lik linje med myndige. Barn mellom 12 og 16 år har en viss grad av innsynsrett, men dette må vurderes nærmere ut fra barnets alder og modenhet og omstendighetene forøvrig. Vedkommende behøver ikke å begrunne sitt krav. Før innsyn kan gis må unntaksliste nedenfor konfereres. 31