Min hverdag som personvernombud. KiNS 6. juni 2019

Min hverdag som personvernombud KiNS 6. juni 2019

Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune

Fire personvernombud Nils G. Indahl, Nye Drammen kommune Renate Bugge, Tromsø kommune Stian D. Kringlebotn, Agder fylkeskommune Morten Haug Frøyen, Oslo kommune 13.06.2019 Bilde 3

Min hverdag som personvernombud Renate Bugge 06.06.19 13.06.2019 Bilde 4

Hvem er jeg/hvor arbeider jeg? Bakgrunn: Jurist Tidligere jobbet med helsejuss Tromsø kommune: Største kommunen i nord, niende største på landsbasis Ikke hatt personvernombud tidligere, men nå 100% stilling 13.06.2019 Bilde 5

Viktigste oppgaver og lærdom i året som gikk Viktigste oppgaver: Protokoller, registrertes rettigheter og meldeplikten til Datatilsynet. Oppdatering av rutiner på overordnet nivå Lite kontroll, mye rådgivning Lærdom: Ny rolle i ny virksomhet er utfordrende og tar tid Personvern har et stort nedslagsfelt og krever ressurser Man må "allierte" ute i avdelingene/seksjonene Kommunikasjon til kommunens ansatte er utfordrende 13.06.2019 Bilde 6

Hovedfokus året som kommer Opplæring: risikoanalyser og DPIA Kontroll databehandleravtaler Lagring og formidling av sensitive opplysninger Gjøre min rolle mer kjent i organisasjonen. 13.06.2019 Bilde 7

Vår PVO-ordning Ansatt som personvernombud for Aust-Agder fylkeskommune, Vest-Agder fylkeskommune og Agder kollektivtransport. Oppstart aug 2018 ingen hadde PVO fra før. Full stilling, ingen andre oppgaver. Utgiftene deles på de tre virksomhetene. Formelt ansatt i Vest-Agder fk fylkene slås sammen januar 2020. Administrativt underlagt pers&org-sj i Vest- Agder. Rapporterer til rådmannen/direktøren. «Hovedkontor» på fylkeshuset i Kristiansand, men også tilstede på fylkeshuset i Arendal og kontoret til Agder kollektivtrafikk. Kort om meg Erfaring med personvernarbeid: Jobbet i Datatilsynet fra 2007-2018. Forstår personvern - manglet gode kunnskaper om fylkeskommunen. Utdannet som samfunnsviter (sosiolog) 13.06.2019 Bilde 9

Erfaringer (Min vurdering av har du har nytte av.) Håndtering av innsynskrav Hvorfor får Vest-Agder fylkeskommune så mange innsynskrav? Håndtering er ressurskrevende og komplisert/mange ledd, med mulighet for feil. Finner vi alt? Klarer vi å skille partsinnsyn og personverninnsyn? Viktigste råd: Snakk med innsender. Alle: Vi må presse på for tekniske løsninger. Ikke bare vær kontaktbar vær der fysisk! Forventninger og PVO-rollen: PVO bestemmer ikke, PVO styrer ikke. GDPR har gitt enorm medvind. 13.06.2019 Bilde 10

Hva må vi fokusere på videre? Hvordan sikre gode og ansvarlige valg + hvordan dokumentere ansvarlige valg og praksis? Særlig nye IT-systemer/ vesentlige endringer Organisering av personvernarbeidet og sikkerhet i ny fylkeskommune. Protokoller etter sammenslåing. Gi ansatte de rutiner og avklaringer de trenger. PVO-utfordring: Finne riktig balanse mellom rådgivning og overvåke regeletterlevelse. Hvilke ting vil jeg se på, uten at noen har spurt om det? 13.06.2019 Bilde 11

Personvernombud i Oslo kommune Morten Haug Frøyen 13.06.2019 Bilde 13

Bakgrunn Utdanning Historiker (UiO) Norsk Statsvitenskap Endringsledelse i offentlig sektor (BI) Jobberfaring 1996-2000: KUF: Arkivleder mm 2000-2004: Læringssenteret: Avdelingsdirektør Teknisk drift og informasjon 2004-2019: Utdanningsdirektoratet: Avdelingsdirektør, prosjektleder, personvernombud etc 2019: Personvernombud, Oslo kommune 13.06.2019 Bilde 14

Oslo kommune den gang da En koloss på leirføtter? Ressursene som ikke finner hverandre? 13.06.2019 Bilde 15

Oslo kommune 2020: Ressursene som finner hverandre! Samarbeid Samarbeid Samarbeid 13.06.2019 Bilde 16

PVO på heltid siden 1. mars 2018 Drammen, Svelvik og Nedre Eiker (Nye Drammen) Myndig rådgiver (artikkel 32) Undervist i personvernforordningen siden sept 2016 EU-rett Stillingsinstruks Plassering i dstab Rådmannen/fellestjenester 13.06.2019 Bilde 18

13.06.2019 Bilde 19

Hva betyr artikkel 38 (3)? «Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet ikke mottar instrukser om utførelsen av nevnte oppgaver. Vedkommende skal ikke avsettes eller straffes av den behandlingsansvarlige eller databehandleren for å utføre sine oppgaver. Personvernombudet skal rapportere direkte til det høyeste ledelsesnivået hos den behandlingsansvarlige eller databehandleren.» 13.06.2019 Bilde 20

Forslag til stillingsinstruks Ansvar for ordningen Rådmannen fastsetter stillingsinstruks for personvernombudets virksomhet og kan inngå en ledelsesavtale. For øvrig utfører personvernombudet sin virksomhet selvstendig og uavhengig. Involvering av personvernombudet Personvernombudet skal, på riktig måte og til rett tid, involveres i spørsmål som gjelder vern av personopplysninger. Behandlingsansvarlig skal vurdere personvernombudets råd. Dersom kommunens behandlingsansvarlig ikke tar hensyn til rådene fra personvernombudet, skal uenigheten dokumenteres. Personvernombudet skal informeres om avvik og hendelser i kommunen, herunder hendelser som meldes til Datatilsynet. 13.06.2019 Bilde 21

13.06.2019 Bilde 22

13.06.2019 Bilde 23

Innspill til panelet Forventningsavklaring med det øverste ledelsesnivå plassering i organisasjonskartet mandat stillingsinstruks rapportering/ledelsens gjennomgang Nettverksbygging i kommunen med andre personvernombud 13.06.2019 Bilde 24 13.06.2019 Bilde 24

Innspill til panelet Internkontroll og rutiner oppfølging av databehandleravtaler mulighet for revisjon hos databehandlere NAV, delt behandleransvar (artikkel 26) systematisk internrevisjon, tilsyn, årshjul 13.06.2019 Bilde 25 13.06.2019 Bilde 25