Vår referanse (bes oppgitt ved svar)

Transkript

1 Scanstat Norway AS avdeling CATI Sjøfartsgata STEINKJER Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/ /MHN 29. august 2011 Vedtak - Endelig kontrollrapport for Scanstat i Steinkjer Det vises til Datatilsynets kontroll Scanstat AS, avdeling Steinkjer, i samarbeid med Arbeidstilsynet den 28. juni 2011 og Datatilsynets varsel om vedtak av 7. juli Vurdering av tilsvar Datatilsynet har i brev av 18. august 2011 mottatt virksomhetens merknader til varselet, og vil i det følgende komme med kommentarer til tilsvaret. Varslet vedtak nr. 1: Datatilsynet noterer at virksomheten har oversendt en oversikt over hvilke personopplysninger som behandles. Det bemerkes at oversikten kan forbedres med hensyn til hva som anses som behandlingsgrunnlag for behandlingen. Tilsynet forutsetter at det foretas en kvalitetssikring av dokumentet. På bakgrunn av det ovennevnte bortfaller varslet vedtak nr. 1. Varslet vedtak nr. 2: Datatilsynet merker seg at virksomheten har påbegynt arbeidet med å etablere et internkontrollsystem i samsvar med personopplysningsloven 14. Det forventes at dette arbeidet skal være klart i løpet av desember Varslet vedtak nr. 3: Virksomheten har utarbeidet utkast til rutiner som sikrer at informasjonsplikten overfor den registrerte ivaretas, jf. personopplysningsloven 19 og 20, jf. personopplysningsloven 14. Det forutsettes at dokumentet kvalitetssikres. På bakgrunn av dette bortfaller varslet vedtak nr. 3. Varslet vedtak nr. 4: Det fremgår av brevet at: Loggføring av individuell internettbruk blir ikke foretatt. Dette har blitt klargjort og våre ansatte har blitt/blir informert om dette. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 Datatilsynet legger virksomhetens merknader til grunn og frafaller varslet vedtak nr. 4. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Virksomheten må etablere et internkontrollsystem i samsvar med personopplysningsloven 14. Det vises til rapportens punkt I tråd med fremdriftsplanen gir Datatilsynet frist for gjennomføring av pålegget til 31. desember Scanstat AS må innen nevnte dato bekrefte skriftlig overfor Datatilsynet at pålegget er gjennomført. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningsloven kapittel VI. Eventuell klage må fremsettes for Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at virksomheten har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å omgjøre vedtaket. Med hilsen Leif T. Aanensen avdelingsdirektør Mari Hersoug Nedberg rådgiver Kopi: Arbeidstilsynet, region Midt-Norge, Jan Norman Bjørkmo, Postboks 4720 Sluppen, 7468 Trondheim Vedlegg: Endelig kontrollrapport 2

3 Saksnummer: 11/00720 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Scanstat AS, avdeling Steinkjer Sted: Steinkjer Utarbeidet av: Mari Hersoug Nedberg 1 Innledning Datatilsynet gjennomførte kontroll hos Scanstat AS i Steinkjer, 28. juni Kontrollen ble foretatt i medhold av personopplysningsloven 44 jf. 42, 3. ledd. Temaet for tilsynet var virksomhetens behandling av personopplysninger, særlig i forbindelse med gjennomføring av kontrolltiltak. Kontrollen ble utført hos virksomhetens avdeling i Steinkjer. I det følgende beskrives de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Til stede under kontrollen 2.1 Fra virksomheten: - Peter Pålsson, avdelingsleder - Per Smith, CATI-ansatt - Anders Grut, IT-konsulent - Lillian Sjømaling, prosjektmedarbeider - Elin Gipling, prosjektmedarbeider - May Shirin Høe, prosjektmedarbeider - Einar Holder, prosjektmedarbeider - Cathrine Sæther, prosjektmedarbeider 2.2 Fra Arbeidstilsynet: - Jan Norman Bjørkmo, seniorinspektør/prosjektleder, region Midt-Norge - Mette Bakkerud, seniorrådgiver (jurist), region øst - Magnus Melhus Overå, jurist, Direktoratet for Arbeidstilsynet 2.3 Fra Datatilsynet: - Aslaug Bendiksen, seniorrådgiver - Mari Hersoug Nedberg, rådgiver 3 Generelt Scanstat AS jobber med meningsmålinger og ringer opp privatpersoner og virksomheter for å gjennomføre bestilte oppdrag. Oppdragene besettes med prosjektmedarbeidere. Scanstats hovedkontor ligger i Oslo, og driver primært med salg. Hovedkontoret består av daglig leder og tre fast ansatte. Telefonintervjuavdelingen er plassert i Steinkjer og består av tre fast ansatte samt prosjektmedarbeidere, som avlønnes etter faste satser. 1 av 5

4 Prosjektmedarbeiderne er verken representert gjennom verneombud, tillitsvalgt eller annen representant. 4 Kort om bruk av personopplysninger samt formålet med behandlingene Prosjektmedarbeiderne logger seg på en jobbkalender for å legge inn planlagte vakter i systemet. Navn og telefonnummer brukes som brukernavn og passord for slik innlogging. Gjennom systemet gis det en oversikt over hvilke andre ansatte som etter planen skal være på jobb. Systemet som benyttes for å gjennomføre telefonintervjuer registrerer en rekke opplysninger, herunder start- og stopptidspunkt for intervju, navn på intervjuer, og antall intervjuer per vakt. Datamaterialet brukes primært for å kvalitetssikre datafangsten. Det utleveres ikke opplysninger fra underlagsmaterialet til kunden. Verktøyet ComuniQuest benyttes av de tre fast ansatte i virksomheten for å følge opp det enkelte oppdrag. Opplysninger behandles på aggregert nivå. 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Innledende bemerkninger Datatilsynet vil under dette punktet gjennomgå de gjeldende bestemmelser etter personopplysningsloven vurdert opp mot de funn som ble avdekket under kontrollen, herunder vurdere om det foreligger brudd på personopplysningsloven, og eventuelt konsekvenser av slike brudd. 5.2 Generelle krav til behandling av personopplysninger Oversikt over behandlinger og behandlingsgrunnlag Etter personopplysningsloven 8 kreves et behandlingsgrunnlag ved behandling av personopplysninger. Ved en behandling av sensitive personopplysninger må i tillegg kravene oppstilt i personopplysningsloven 9 være oppfylt. Behandlingsgrunnlaget etter begge bestemmelsene kan være lovhjemmel, et samtykke fra den registrerte, eller at behandlingen fremstår som nødvendig holdt opp mot nærmere angitte formål. I medhold av personopplysningsforskriften 2-4 skal det føres en oversikt over hva slags personopplysninger som behandles. Virksomheten hadde ikke utarbeidet en oversikt over behandlinger av personopplysninger og tilhørende behandlingsansvar. Mangelen anses som et brudd på personopplysningsforskriften av 5

5 5.2.2 Melde- og konsesjonsplikt Behandling av personopplysninger er meldepliktig, jf. personopplysningsloven 31. En melding er gyldig i tre år. En behandling av sensitive personopplysninger vil som et utgangspunkt være konsesjonspliktig, jf. 33. Unntak finnes hovedsakelig i personopplysningsforskriften kapittel 7, og spesielt i 7-16 som regulerer arbeidsgivers behandling av personopplysninger. Scanstat AS står ikke registrert med noen meldinger i Datatilsynets meldedatabase. Det forutsettes at virksomheten i forbindelse med gjennomgangen av hvilke personopplysninger som behandles vurderer om behandlingene er meldepliktige, jf. punkt jf. personopplysningsloven Internkontroll Plikten til å etablere internkontroll følger av personopplysningsloven 14 jf. personopplysningsforskriften kapittel 3. Den behandlingsansvarlige pålegges å etablere og holde ved like planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av personopplysningsloven med forskrift. Tiltak skal dokumenteres. Bestemmelsen om internkontroll krever at den behandlingsansvarlige har kjennskap til gjeldende regler om behandling av personopplysninger, tilstrekkelig og oppdatert dokumentasjon som beskriver hvordan behandling av personopplysninger skal skje i virksomheten (rutiner), samt ha denne dokumentasjonen tilgjengelig for ansatte i virksomheten. Scanstat AS ble i varsel om tilsyn bedt om å sende inn etterspurt dokumentasjon. Dette ble ikke gjort i forkant av tilsynet. Det viste seg under tilsynet at virksomheten ikke har noen skriftlige rutiner for håndtering av personopplysninger. Mangelen på planlagte og systematiske tiltak anses som et brudd på personopplysningsloven Informasjon, innsyn og sletting Når det samles inn personopplysninger fra den registrerte selv, skal den behandlingsansvarlige av eget tiltak informere den registrerte om hvilke opplysninger som samles inn og gi informasjon i medhold av 19, 1. ledd. Når opplysninger innhentes fra andre enn den registrerte selv, skal tilsvarende informasjon gis så snart opplysningene er innhentet, jf. personopplysningsloven 20, 1. ledd. Datatilsynet etterspurte i varsel om tilsyn rutiner for å gi informasjon i medhold av personopplysningsloven 19 og 20 samt eventuelle informasjonsskriv knyttet til det enkelte kontrolltiltak. Etterspurt dokumentasjon ble ikke oversendt. Det ble opplyst at prosjektmedarbeiderne ble gitt informasjon i forbindelse med ansettelse, men de ansatte syntes ikke å kjenne til at slik informasjon var gitt. Slik informasjon var heller ikke tilgjengelig i systemer som ble brukt av prosjektmedarbeiderne. 3 av 5

6 Manglende informasjon til den registrerte anses som et brudd på personopplysningsloven 19 og Registrering av personopplysninger om ansatte ( kontrolltiltak) Loggføring Det fremsto som uklart for de ansatte og Datatilsynet om virksomheten registrerer og logger hvilke hjemmesider den enkelte besøker. Det syntes videre som om de ansatte hadde fått ulike beskjeder om hva som var lov, herunder instrukser for bruk av Facebook, YouTube mv. Datatilsynet vil bemerke at registrering og logging av Internettrafikk ikke anses å være en del av autorisert og uautorisert bruk av et informasjonssystem. Det gjøres for ordens skyld oppmerksom på at loggføringsplikten etter personopplysningsforskriften 2-8, 3. ledd refererer seg til autorisert og uautorisert pålogging til informasjonssystemet og ikke registrering av den ansattes bruk av Internett. Loggføring av Internettrafikk kan ei heller hjemles i personopplysningsforskriften 2-14 og Dersom virksomheten vil hindre de ansatte i å besøke visse nettsider av hensyn til belastning av Internettlinjen kan dette gjøres ved å stenge for gitte nettsteder, i tillegg til at det utarbeides en retningslinje for hvordan de ansatte skal bruke systemet. Virksomhetens eventuelle loggføring av hvilke hjemmesider den enkelte har besøkt er å anse som et brudd på personopplysningsloven 11 jf Registrering i telefonsystem Virksomheten registrerte antall oppringte nummer, antall oppringninger som fører til samtaler, slåtte nummer, antall gjennomførte intervjuer, samt totale antall timer. Det fantes ingen skriftlige rutiner knyttet til bruken av disse opplysningene, ei heller informasjon til de ansatte om hva som ble registrert om dem. Datatilsynet forutsetter at de ansatte informeres om hvilke opplysninger som behandles i tråd med personopplysningsloven 19 og 20, jf. punkt Kamera Ved en gjennomgang av virksomhetens kontrolltiltak ble det på direkte spørsmål om kameraovervåking av lokalet avkreftet av virksomheten. Det fremkom imidlertid i intervju med arbeidstakerne at det var oppmontert flere kameraer over arbeidsstasjonene til to av de fast ansatte i virksomheten, som var plassert slik at de fanget opp store deler av lokalet hvor prosjektmedarbeiderne gjennomførte telefonintervjuer. Det viste seg senere at disse skulle ha blitt demontert i forkant av det stedlige tilsynet. Da arbeidsgiver ble konfrontert med dette ble det hevdet at man hadde montert opp sensorer knyttet til alarmsystemet for å få billigere forsikring, men at disse senere hadde blitt tatt ned. Datatilsynet ba om å få se de omtalte sensorene, som viste seg å være tre webkameraer som nå lå innpakket i emballasje. 4 av 5

7 Datatilsynet kunne ikke verifisere at kameraene faktisk var plassert over arbeidsstasjonene, men gjør for ordens skyld oppmerksom på at det er straffbart å unnlate å gi opplysninger etter personopplysningsloven 44, jf. personopplysningsloven Øvrige funn Informasjon hvor opplysninger er hentet fra I intervju med arbeidstakerne fremgikk det at de flere ganger hadde opplevd at personer de ringte opp spurte hvor opplysninger om dem var hentet fra, uten at de fast ansatte i virksomheten gjorde dem i stand til å svare på dette. Datatilsynet begrenser seg til å påpeke plikten til å gi informasjon til den registrerte, jf. personopplysningsloven 19 og 20 jf. personopplysningsloven Brukernavn og passord Det fremgikk under tilsynet at den ansattes brukernavn og passord for å logge seg inn på kalendersystemet var prosjektmedarbeiderens initialer og telefonnummer. I systemet for gjennomføring av telefonintervjuer var passordet felles for alle prosjektmedarbeidere. Selv om opplysningsomfanget som gjøres tilgjengelig gjennom systemene er beskjedent, minner Datatilsynet om plikten til å sørge for tilfredsstillende informasjonssikkerhet, jf. personopplysningsloven 13 jf. personopplysningsforskriften kapittel Håndtering av personopplysninger ved gjennomføring av markedsundersøkelser Prosjektmedarbeiderne som gjennomfører intervjuer ringer noen ganger etter navnelister, andre ganger er det kun telefonnummeret til husstanden eller mobiltelefonnummeret som kommer opp på skjermen. Som hovedregel vil det således være mulig å finne ut hvem man ringer. I en del spørreundersøkelser som gjennomføres behandles det sensitive personopplysninger, eksempelvis opplysninger om politisk tilhørighet. Det fremgikk av intervju med arbeidstakerne at virksomheten ikke hadde utarbeidet noen rutiner for håndtering av opplysninger som ble gjort tilgjengelig gjennom systemet som ble brukt til markedsundersøkelser. Datatilsynet avgrenser seg til å påpeke den behandlingsansvarliges plikt til å sørge for tilfredsstillende informasjonssikkerhet, jf. personopplysningsloven 13. Det vises særlig til de mer utfyllende bestemmelsene i personopplysningsforskriften kapittel 2 samt plikten til å etablere planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i personopplysningsloven, jf av 5