Min hverdag som personvernombud. KiNS 6. juni 2019

Transkript

1 Min hverdag som personvernombud KiNS 6. juni 2019

2 Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune

3 Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune Bilde 3

4 Min hverdag som personvernombud Renate Bugge Bilde 4

5 Hvem er jeg/hvor arbeider jeg? Bakgrunn: Jurist Tidligere jobbet med helsejuss Tromsø kommune: Største kommunen i nord, niende største på landsbasis Ikke hatt personvernombud tidligere, men nå 100% stilling Bilde 5

6 Viktigste oppgaver og lærdom i året som gikk Viktigste oppgaver: Protokoller, registrertes rettigheter og meldeplikten til Datatilsynet. Oppdatering av rutiner på overordnet nivå Lite kontroll, mye rådgivning Lærdom: Ny rolle i ny virksomhet er utfordrende og tar tid Personvern har et stort nedslagsfelt og krever ressurser Man må "allierte" ute i avdelingene/seksjonene Kommunikasjon til kommunens ansatte er utfordrende Bilde 6

7 Hovedfokus året som kommer Opplæring: risikoanalyser og DPIA Kontroll databehandleravtaler Lagring og formidling av sensitive opplysninger Gjøre min rolle mer kjent i organisasjonen Bilde 7

8 Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune Bilde 8

9 Vår PVO-ordning Ansatt som personvernombud for Aust-Agder fylkeskommune, Vest-Agder fylkeskommune og Agder kollektivtransport. Oppstart aug 2018 ingen hadde PVO fra før. Full stilling, ingen andre oppgaver. Utgiftene deles på de tre virksomhetene. Formelt ansatt i Vest-Agder fk fylkene slås sammen januar Administrativt underlagt pers&org-sj i Vest- Agder. Rapporterer til rådmannen/direktøren. «Hovedkontor» på fylkeshuset i Kristiansand, men også tilstede på fylkeshuset i Arendal og kontoret til Agder kollektivtrafikk. Kort om meg Erfaring med personvernarbeid: Jobbet i Datatilsynet fra Forstår personvern - manglet gode kunnskaper om fylkeskommunen. Utdannet som samfunnsviter (sosiolog) Bilde 9

10 Erfaringer (Min vurdering av har du har nytte av.) Håndtering av innsynskrav Hvorfor får Vest-Agder fylkeskommune så mange innsynskrav? Håndtering er ressurskrevende og komplisert/mange ledd, med mulighet for feil. Finner vi alt? Klarer vi å skille partsinnsyn og personverninnsyn? Viktigste råd: Snakk med innsender. Alle: Vi må presse på for tekniske løsninger. Ikke bare vær kontaktbar vær der fysisk! Forventninger og PVO-rollen: PVO bestemmer ikke, PVO styrer ikke. GDPR har gitt enorm medvind Bilde 10

11 Hva må vi fokusere på videre? Hvordan sikre gode og ansvarlige valg + hvordan dokumentere ansvarlige valg og praksis? Særlig nye IT-systemer/ vesentlige endringer Organisering av personvernarbeidet og sikkerhet i ny fylkeskommune. Protokoller etter sammenslåing. Gi ansatte de rutiner og avklaringer de trenger. PVO-utfordring: Finne riktig balanse mellom rådgivning og overvåke regeletterlevelse. Hvilke ting vil jeg se på, uten at noen har spurt om det? Bilde 11

12 Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune Bilde 12

13 Personvernombud i Oslo kommune Morten Haug Frøyen Bilde 13

14 Bakgrunn Utdanning Historiker (UiO) Norsk Statsvitenskap Endringsledelse i offentlig sektor (BI) Jobberfaring : KUF: Arkivleder mm : Læringssenteret: Avdelingsdirektør Teknisk drift og informasjon : Utdanningsdirektoratet: Avdelingsdirektør, prosjektleder, personvernombud etc 2019: Personvernombud, Oslo kommune Bilde 14

15 Oslo kommune den gang da En koloss på leirføtter? Ressursene som ikke finner hverandre? Bilde 15

16 Oslo kommune 2020: Ressursene som finner hverandre! Samarbeid Samarbeid Samarbeid Bilde 16

17 Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune Bilde 17

18 PVO på heltid siden 1. mars 2018 Drammen, Svelvik og Nedre Eiker (Nye Drammen) Myndig rådgiver (artikkel 32) Undervist i personvernforordningen siden sept 2016 EU-rett Stillingsinstruks Plassering i dstab Rådmannen/fellestjenester Bilde 18

19 Bilde 19

20 Hva betyr artikkel 38 (3)? «Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet ikke mottar instrukser om utførelsen av nevnte oppgaver. Vedkommende skal ikke avsettes eller straffes av den behandlingsansvarlige eller databehandleren for å utføre sine oppgaver. Personvernombudet skal rapportere direkte til det høyeste ledelsesnivået hos den behandlingsansvarlige eller databehandleren.» Bilde 20

21 Forslag til stillingsinstruks Ansvar for ordningen Rådmannen fastsetter stillingsinstruks for personvernombudets virksomhet og kan inngå en ledelsesavtale. For øvrig utfører personvernombudet sin virksomhet selvstendig og uavhengig. Involvering av personvernombudet Personvernombudet skal, på riktig måte og til rett tid, involveres i spørsmål som gjelder vern av personopplysninger. Behandlingsansvarlig skal vurdere personvernombudets råd. Dersom kommunens behandlingsansvarlig ikke tar hensyn til rådene fra personvernombudet, skal uenigheten dokumenteres. Personvernombudet skal informeres om avvik og hendelser i kommunen, herunder hendelser som meldes til Datatilsynet Bilde 21

22 Bilde 22

23 Bilde 23

24 Innspill til panelet Forventningsavklaring med det øverste ledelsesnivå plassering i organisasjonskartet mandat stillingsinstruks rapportering/ledelsens gjennomgang Nettverksbygging i kommunen med andre personvernombud Bilde Bilde 24

25 Innspill til panelet Internkontroll og rutiner oppfølging av databehandleravtaler mulighet for revisjon hos databehandlere NAV, delt behandleransvar (artikkel 26) systematisk internrevisjon, tilsyn, årshjul Bilde Bilde 25