Endelig kontrollrapport

Transkript

1 Saksnummer: 13/00937 Dato for kontroll: Foreløpig rapport: Endelig rapport: Endelig kontrollrapport Kontrollobjekt: Randaberg kommune, Harestad skole Sted: Randaberg Utarbeidet av: Martha Eike Andreas Hobæk 1 Innledning Datatilsynet gjennomførte kontroll hos Randaberg kommune ved Harestad skole den 17. oktober Kontrollen ble utført med hjemmel i personopplysningsloven 44, jf. 42, tredje ledd. Temaet for kontrollen var kommunens behandling av personopplysninger ut fra de krav som personopplysningsloven med forskrifter oppstiller. Under kontrollen var det spesiell oppmerksomhet omkring skolens plikter til å ha oversikt over og internkontroll knyttet til elevopplysninger som behandles i skoleadministrativt system, læringsplattform og andre digitale læringsressurser, samt informasjonssikkerheten rundt disse behandlingene. Kontrollen fant sted ved Borgen ungdomsskole. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Petter Hagen, rektor ved skolen - Jenny E. Nilsen, skolesjef i kommunen - Odin Nøsen, rådgiver skolekontor - Jan-Kåre Ruud, rådgiver/personvernombud - Anne K. Munch-Ellingsen, skolekonsulent 2.2 Fra Datatilsynet: - Andreas Hobæk, rådgiver - Martha Eike, overingeniør 3 Kort om systemportefølje i Randaberg kommune og Harestad skole Harestad skole har eget IKT-system som er løsrevet fra kommunens øvrige systemer. Skoleadministrativt system Visma FLYT Skole (VFS) Læringsplattform Google Apps for Education (GAE) IOP-tjener for arbeid med sensitive opplysninger i forbindelse saker som gjelder individuell opplæringsplan (IOP) eget dedikert system lokalt på skolen 1 av 9

2 Læringsressurser: Cappelen Dam undervisning, Kor Arti, Lokus, Multi, Duolingo, Lucidchart for Education, Aviary Design Suite for Education 4 Oversendelse av informasjon Datatilsynet ba i varselet om at Randaberg kommune skulle oversende følgende dokumentasjon: a) styrende dokumenter for internkontroll og informasjonssikkerhet, jf. personopplysningsloven 13 og 14, og personopplysningsforskriften kapittel 2 og 3, b) oversikt over informasjonssystemets utforming, eksempelvis i form av konfigurasjonseller systemkart, c) risikovurderinger av informasjonssystemet, jf. personopplysningsforskriften 2-4, d) Beskrivelse av dataflyt mellom systemer e) Oversikt over hvor elevopplysninger blir utlevert f) Databehandleravtaler g) navn og funksjon på de som deltar fra virksomheten under kontrollen, dersom dette er avklart. Dokumentasjon ble sendt Datatilsynet i e-post datert 7. oktober Noe dokumentasjon ble oversendt etter kontrollen. Agenda ble oversendt Randaberg kommune på e-post før kontrollen. 5 Kort om kontrollen Hovedtema for kontrollen var ivaretakelsen av plikt til å etablere og holde i hevd internkontroll samt å sørge for tilfredsstillende informasjonssikkerhet for virksomhetens behandling av personopplysninger. Internkontroll danner en viktig basis i behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. Internkontroll er et ledelsesansvar. Under kontrollen kom det frem at kommunen og skolen selv, i forbindelse med varselet om kontroll, hadde avdekket mangelfull internkontrolldokumentasjon. Varselet om kontroll medførte at kommunen og skolen igangsatte arbeid med å etablere nødvendig og tilfredsstillende internkontroll, herunder internkontroll hva gjelder informasjonssikkerhet. Vesentlige deler av dokumentene som var oversendt i forkant av kontrollen var utarbeidet etter varselet. På selve kontrolltidspunktet var således Randaberg kommune og skolen i en prosess med å etablere og forbedre sin internkontroll. Hovedinntrykket fra kontrollen var at kommunen og skolen i praksis har et noenlunde bevisst forhold til grunnleggende personverninteresser i forbindelse med behandling av personopplysninger, men at det er mangler ved det systematiske arbeidet som personopplysningslovens bestemmelser om internkontroll og informasjonssikkerhet krever. 2 av 9

3 6 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 6.1 Internkontroll Kort om regelverkets krav Virksomheten har etter personopplysningsloven 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene fastsatt i eller i medhold av personopplysningsloven. Bestemmelsen er utdypet i personopplysningsforskriften kapittel 3. Internkontrollsystem omfatter normalt styrende, gjennomførende og kontrollerende dokumenter. På har Datatilsynet lagt ut veileder for interkontroll og informasjonssikkerhet. Denne gir nærmere beskrivelse av etablering og oppbygging av internkontrollsystem. og vurdering Randaberg kommune og Harestad skole har ikke etablert tilfredsstillende internkontrollsystem etter personopplysningsloven, men arbeidet med dette er i gang. Ved etablering av internkontrollsystem er det viktig å huske på skal være et verktøy for de ansatte fra ledelsen i kommunen til de ansatte på skolen. Det manglet blant annet følgende: En samlet og helhetlig oversikt over behandlinger og behandlingsgrunnlag. Dette er en del av de styrende dokumenter i et internkontrollsystem, og skal angi blant hvilke type opplysninger som behandles, til hvilket formål og på hvilket rettslige grunnlag. Konkrete og skriftlige rutiner for å behandle innsynskrav fra elev/foresatt etter personopplysningsloven 18. Konkrete og skriftlige rutiner for å sikre at plikten til å gi informasjon om behandlingen av personopplysninger etter personopplysningsloven 19 og 20 etterleves. Dette kan gjøres ved at kommunen utarbeider et standard informasjonsskriv med generell redegjørelse om hvordan skolen behandler personopplysninger, herunder hva slags type opplysninger om elevene skolen behandler, til hvilke formål og om det er frivillig. Videre kan det gis informasjon om retten til innsyn, sletting mv, og hvor man henvender seg dersom man ønsker å gjøre gjeldende denne retten. Rutinene bør utarbeides slik at man sikrer at alle foresatte og/eller elever får informasjonen typisk når eleven begynner ved skolen. Kommunens nettsider kan også brukes til å gi informasjon. Konkrete og skriftlige rutiner for sletting av personopplysninger. Det følger av personopplysningsloven 28 første ledd at hovedregelen er at personopplysninger ikke skal lagres lenger enn det som er nødvendig med formålet med behandlingen. Rutiner for sletting fordrer at man har oversikt over hvilke opplysninger som behandles til hvilke formål, og hvor lenge det er nødvendig å lagre dem. Kommunen har arkiveringsplikt etter arkivloven, og rutiner for sletting bør da identifisere hva som skal arkiveres og hva som skal slettes. Rutinene bør også beskrive når sletting skal foregå, hvem som har ansvaret og hvordan man sikrer at det blir gjort. 3 av 9

4 Rutiner for implementering av interkontrollen. Det følger av personopplysningsforskriften 3-1 at internkontrolldokumentasjonen må være tilgjengelig for dem som trenger det. De ansatte må gjøres kjent med de rutiner og retningslinjer som gjelder for dem, og kommunen må derfor etablere rutiner som sørger for at internkontrollen faktisk blir implementert og fulgt i virksomheten. Datatilsynet vil anbefale at kommunen tar en gjennomgang med de ansatte når arbeidet med å etablere internkontroll er i mål. Datatilsynet går ikke her nærmere inn internkontrollsystemet og oppbyggingen av denne. Det anbefales at kommunen aktivt bruker Datatilsynets veiledningsmateriale som ligger tilgjengelig på våre nettsider under etableringen av internkontrollen. Manglende internkontrollsystem er et avvik etter personopplysningsloven 14 jf. personopplysningsforskriften Krav til informasjonssikkerhet I henhold til personopplysningsloven 13 skal virksomheten gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Tiltakene skal være dokumenterte. Kravene til informasjonssikkerhet er utdypet i personopplysningsforskriften kapittel 2. For øvrig vises det til veiledningsmateriale på Datatilsynets hjemmeside, under sikkerhet og internkontroll Sikkerhetsledelse I henhold til personopplysningsforskriften 2-3 skal formålet med behandling av personopplysninger og overordnede føringer for bruk av informasjonsteknologi beskrives i sikkerhetsmål. Valg og prioriteringer skal beskrives i en sikkerhetsstrategi. Bruk av informasjonssystemet skal jevnlig, eksempelvis årlig, gjennomgås for å kartlegge om den er hensiktsmessig for virksomhetens behov og om sikkerhetsstrategien gir tilfredsstillende informasjonssikkerhet som resultat. Sikkerhetsstrategier vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet i virksomheten. Bestemmelsene innebærer blant annet at behandlingsansvarlig skal etablere en sikkerhetsorganisasjon i virksomheten. 4 av 9

5 Sikkerhetsmål og sikkerhetsstrategi I oversendt dokumentasjon av «Internkontroll Randabergskolen Sikkerhetsmål og strategi» fremgår det at sikkerhetsmål og sikkerhetsstrategi er nedfelt i kapittel 2 og 3. Vurdering Datatilsynet er tilfreds med at sikkerhetsmål og sikkerhetsstrategi er utarbeidet. Datatilsynets kontroll ga ikke tilstrekkelig grunnlag for å kontrollere etterlevelse av valg og prioriteringer av sikkerhetsarbeidet med hensyn til sikkerhetsmål og sikkerhetsstrategi. Sikkerhetsorganisasjon Ansvaret for sikkerhetsarbeidet er tydelig plassert i organisasjonen. Dette vistes i dokumentasjonen og fremgikk under kontrollen. Vurdering Datatilsynet understreker at sentral del av behandlingsansvarliges ansvar er at sikkerhetsorganisasjonen gjøres kjent for de ansatte. Datatilsynet har ikke konstatert avvik Risikovurdering I henhold til personopplysningsforskriften 2-4 skal det føres en oversikt over hvilke personopplysninger som behandles. Det skal fastsettes kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. På bakgrunn av dette skal den behandlingsansvarlige foreta risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Resultatet av risikovurderingen skal sammenlignes med de fastlagte kriterier for akseptabel risiko. Resultatet av risikovurderingen skal dokumenteres. Randaberg kommune har oversendt risikovurderinger av Google Apps for Education, og skoleadministrativt system Visma Flyt, IOP-tjener, elevmapper, samt informasjonssikkerhet mer generelt. Vurdering Datatilsynet mener at de risikovurderingene som er oversendt bærer preg av å være overflatiske og vi fikk vite at de ble utført i forkant av kontrollen. Randaberg kommune har dessuten tatt i bruk andre tjenester (f.eks. Vokal) som behandler personopplysninger uten at disse er risikovurdert. Det kom frem under kontrollen at de vurderingene som ble oversendt var utarbeidet av én medarbeider alene. Tilsynsteamet anbefalte under kontrollen at risikovurderinger gjøres som 5 av 9

6 gruppearbeid. Dette for å sikre drøftelse av flest mulig scenarier. Det ble foreslått at en slik gruppe kunne bestå av rektor, IKT-ansvarlig, systemansvarlig og lærere. Kommunen må risikovurdere sikkerheten ved bruk av databehandlerne Visma og Google, samt sikkerhetstiltakene rundt logiske sikkerhetsbarrierer. Regelverket stiller krav til at ulike juridiske enheter holdes adskilt. Valg av skytjenester må også risikovurderes. Mangelfull gjennomføring og dokumentasjon av risikovurdering er et avvik, jf. personopplysningsloven 13, jf. personopplysningsforskriften 2-4 og Sikkerhetsrevisjon Virksomheten plikter i henhold til personopplysningsforskriften 2-5 å gjennomføre sikkerhetsrevisjon jevnlig, eksempelvis årlig. Sikkerhetsrevisjon skal omfatte vurdering av organisering og at sikkerhetstiltak som er besluttet etablert faktisk er iverksatt og fungerer etter sin hensikt. Resultatet av sikkerhetsrevisjon skal dokumenteres. Sikkerhetsrevisjon er et viktig grunnlag for kontinuerlig forbedring av informasjonssikkerhet i virksomheten. Resultatet fra sikkerhetsrevisjonen vil være en del av grunnlaget for ledelsens gjennomgang, jf. personopplysningsforskriften 2-3. Datatilsynet ble informert om at virksomheten ikke hadde gjennomført sikkerhetsrevisjon, slik det fremgår av kravene i personopplysningsforskriften. Manglende gjennomføring og dokumentasjon av sikkerhetsrevisjon er et avvik, jf. personopplysningsloven 13, jf. personopplysningsforskriften Sikkerhetstiltak Personopplysningsloven 13, jf. personopplysningsforskriften 2-11, 2-12 og 2-13 stiller som krav til den behandlingsansvarlige at det gjennomføres tiltak som sørger for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet. Personopplysningsforskriften 2-14 pålegger at det skal innføres sikkerhetstiltak som skal hindre uautorisert bruk av informasjonssystemet og gjøre det mulig å oppdage forsøk på slik bruk. Videre pålegger forskriften 2-8 tredje ledd og 2-14 andre ledd at henholdsvis autorisert og uautorisert bruk av informasjonssystemet skal registreres. Harestad skole har satt opp og drifter selv sin egen IT-løsning. De bruker efeide og LDAP for autentisering med brukernavn og passord for alle system. 6 av 9

7 Harestad skole har tre soner; en sikret sone, en intern sone, og en åpen sone (Internett). Det er ikke utført klassifisering av systemene som skolen bruker, slik at kommunen ikke med sikkerhet kan vite hvilke behandlinger som bør være på sikret, intern og åpen sone. Den sikrede sonen inneholder kun IOP-tjener. Ansatte på Harestad skole logger seg på Google Apps for Education med brukernavn og passord (svak autentisering). Det er ikke satt noen sperrer for pålogging utenfor skolens nettverk. I praksis er det derfor fullt mulig for ansatte å logge seg på læringsplattformen når og hvor som helst. Vurdering Datatilsynet bemerker at Randaberg kommune ved Harestad skole skal ha tilfredsstillende informasjonssikkerhet. Det kan for eksempel oppnås ved å utføre klassifisering av systemene som skolen bruker, og dersom det er system som behandler sensitive opplysninger, bør en vurdere om disse skal inn i sikker sone. Dersom et informasjonssystem, som inneholder personopplysninger om mange elever, skal gjøres tilgjengelig for ansatte fra utsiden av den ansvarlige virksomheten, er Datatilsynets vurdering at det kreves en sterkere autentisering enn brukernavn og passord. Med sterk autentisering mener vi for eksempel bruk av kodebrikke eller sikkerhetskode tilsendt på SMS. Dette kan også realiseres i en fjernarbeidsløsning med sterk autentisering, og påfølgende tilgang til fagapplikasjonen. Dette hindrer at noen som får tak i brukernavn og passord klarer å skaffe seg tilgang til informasjonssystemet. I læringsplattformen, som er tilgjengelig for ansatte, er det personopplysninger om mange elever som må beskyttes. Den er tilgjengelig for pålogging over Internett med svak autentisering. Dette er ikke tilfredsstillende. Svak autentisering for ansattes pålogging til læringsplattform over eksterne nett og på elevnett, gir ikke tilfredsstillende informasjonssikkerhet. Dette er et avvik fra personopplysningsloven 13, jf. personopplysningsforskriften 2-1, 2-2, 2-11 og Databehandlere En databehandler er i personopplysningsloven 2 nr. 5 definert som den som behandler personopplysninger på vegne av den behandlingsansvarlige. Dersom andre virksomheter behandler personopplysninger på vegne av virksomheten skal dette reguleres i en skriftlig avtale såkalt databehandleravtale, jf. personopplysningsloven 15. I avtalen skal det blant annet fremgå at databehandleren plikter å gjennomføre tiltak for å ivareta tilfredsstillende informasjonssikkerhet, jf. personopplysningsloven 13. Hensikten med avtalen er at den skal være et verktøy for å sikre at behandlingsansvarlig fremdeles har kontrollen på behandlingen 1 Teksten er endret noe fra varselet, men endringen består i hovedsak av en presisering og endrer således ikke innholdet i pålegget. 7 av 9

8 av personopplysninger - herunder til hvilke formål og på hvilke måter opplysningene behandles, og at informasjonssikkerhet og internkontroll hos databehandler er på plass. Databehandler har et selvstendig ansvar for å ha tilfredsstillende informasjonssikkerhet, for å verne personopplysningene som behandles på vegne av virksomheten, jf. personopplysningsloven 13. Databehandler kan bare behandle opplysninger i henhold til en avtale med virksomheten. Randaberg kommune har fremlagt databehandleravtaler med følgende databehandlere: Conexus AS Uninett AS (Feide) Google Inc. Identum AS Visma Unique AS Randaberg kommune har tatt i bruk følgende tjenester (digitale læringsressurser) uten å ha avklart om disse tjenestene forutsetter behandling av personopplysninger og inngåelse av databehandleravtale: Cappelen Dam undervisning, Kor Arti, Lokus, Multi, Duolingo, Lucidchart for Education, og Aviary Design Suite for Education. Vurdering - Generelt Som ledd i denne kontrollen vurderer ikke Datatilsynet nærmere innholdet i de fremlagte databehandleravtalene. Vi forutsetter at kommunen selv har nødvendig oversikt over behandlingen av personopplysninger ved hjelp av databehandler, og om avtalene gir tilfredsstillende rammeverk for kontroll over behandlingen. Datatilsynet kan stadfeste at databehandleravtaler er inngått der hvor disse er fremlagt, og det er ikke grunnlag for å konstatere avvik hva gjelder dette. Vurdering Google Inc. Når det gjelder avtalen med Google Inc. er Datatilsynet spørrende til om kommunen i tilstrekkelig grad sikrer at Google Inc. ikke bruker personopplysninger om brukerne (elever og ansatte) til egne formål. Dette ble ikke tilstrekkelig avklart under kontrollen. Med hensyn til de digitale læringsressurser som leveres gjennom Google Apps for Education (GAE) Lucidchart og Aviary Design, fremstår det som uklart om disse tjenestene leveres som en del av GAE, og faller innunder databehandleravtalen med Google Inc, eller om dette er frittstående applikasjoner som ikke er omfattet GAE og avtalen. I sistnevnte tilfelle må kommunen avklare hva dette innebærer når det gjelder behandling av personopplysninger på tjenesteleverandørens hånd og eventuelt fra Googles side, og om det krever en særskilt databehandleravtale. Vurdering Andre digitale læringsressurser Det er nødvendig at kommunen avklarer om bruk av øvrige digitale læringsressurser innebærer behandling av personopplysninger som gjør det påkrevd med en databehandleravtale, og inngår avtale der det er nødvendig. 8 av 9

9 Manglende vurdering og avklaring av om bruk av Cappelen Dam, Kor Arti, Lokus, Multi, Duolingo, Lucidchart, og Aviary Design Suite forutsetter behandling av personopplysninger og inngåelse av databehandleravtale, er et avvik, jf. personopplysningsloven 14, jf. personopplysningsforskriften 3-1 og personopplysningsloven 15, jf. personopplysningsforskriften Under kontrollen ble det ikke avklart om kommunen i tilstrekkelig grad gjennom avtalen sikrer at Google Inc. ikke behandler personopplysninger til egne formål, jf. personopplysningsloven 15 første ledd. I forbindelse med varsel om vedtak ble kommunen bedt om å gi nærmere redegjørelse for databehandleravtalen med Google, og om avtalen gjør det klart at Google ikke bruker personopplysninger til egne formål. I sitt tilsvar ga kommunen en lengre redegjørelse. Det vises til Datatilsynets merknader i vedtaksbrevet av 11. august av 9