Brønnøy kommune Rådmannen Rådhuset 8905 BRØNNØYSUND Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00452-7/KBK 3. september 2013 Vedtak om pålegg - Endelig kontrollrapport - Brønnøy kommune Det vises til Datatilsynets kontroll hos Brønnøy kommune den 6. juni 2013 og Datatilsynets varsel om vedtak 13. juni 2013. Vurdering av tilsvar Datatilsynet har i e-post av 16. august 2013 mottatt kommunens merknaderr til varselet, og har ingen kommentarer til det som fremkommer. Se imdlertid angitte frister for lukking av avik. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Kommunen må utarbeide en oversikt over behandlinger av personopplysninger som tydeligere viser hvilke personopplysninger som behandles, formålet med behandlingen og lovgrunnlaget, jf 13 og 14, jf forskriften 2-4, 1. ledd. Det vises til kontrollrapportens 6.1.3. 2. Virksomheten må gjennomføre risikovurdering for behandling av personopplysningerr i egen organisasjon og i forhold til de kommuner de er databehandler for (vertskommune), jf 13, jf. forskriften 2-4 og 2-15. 3. Virksomheten må etablere tilfredsstillende informasjonssikkerhet ved at nødvendige sikkerhetstiltak etableres og dokumenteres etter gjennomført risikovurdering jf 13, og forskriften 2-1, 2-4 og 2-14.. 4. Virksomheten må etablere system for sikkerhetsrevisjon i samsvar med 13, jf. forskriften 2-5. 5. Kommunen må etablere og oppdatere avtaler med sine databehandlere slik at de oppfyller kravene til en databehandleravtale i 15 og 13, samt forskriften 2-15. Det vises til kontrollrapporten 6.3. Datatilsynet gir frist for gjennomføring av påleggene 1) og 5) til 1. desember 2013. For gjennomføring av påleggenee 2), 3) og 4) innen 15. februar 2014. Kommunen må innen nevnte dato bekrefte skriftlig overfor Datatilsynet at pålegget er gjennomført. Med mindre annet er særskilt angitt kreves det ikke ytterligere dokumentasjon på at pålegget er Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 0034 OSLO Hjemmeside: www.datatilsynet.no
gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at kommunen har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med vennlig hilsen Knut B. Kaspersen fagdirektør Knut-Brede Kaspersen fagdirektør Vedlegg: Endelig kontrollrapport 2
Saksnummer: 13/00452 Dato for kontroll: 06.06.2013 Rapportdato: 03.09.2013 Endelig kontrollrapport Kontrollobjekt: Brønnøy kommune Sted: Brønnøysund Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet gjennomførte kontroll hos Brønnøy kommune 6. juni 2013. Kontrollen ble utført med hjemmel i personopplysningsloven 42, 3. ledd, jf. 44. Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med plikt til å innføre internkontroll og å sørge for tilfredsstillende informasjonssikkerhet i henhold til gjeldene lover og forskrifter. Kontrollenn ble gjennomført på virksomhetens faste forretningsadresse. For ansatte i Datatilsynet, som utfører tjeneste for tilsynsmyndigheten, gjelder bestemmelsene om taushetsplikt i forvaltningsloven 13 flg. Taushetsplikten omfatter også opplysninger om sikkerhetstiltak jf. 13. Alle henvisninger til lovhjemler i denne rapporten vil, med mindre annet eksplisitt oppgis, være knyttet til personopplysningsloven og dens forskrifter. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: Gunwald Eilertsen, fung. rådmann Karl-Inge Bogen, personalsjef Sigurd Ellingsen, IT-leder Ole Inge Jenssen, leder fagstab Tove Solli, områdesjef Brønnøy sykehjem - 2.2 Fra Datatilsynet: Hallstein Husand, seniorrådgiver Knut B. Kaspersen, fagdirektør Ted Tøraasen, overingeniør 1 av 10
3 Generelt Brønnøy kommune har ca. 7.800 innbyggere. Kommunen er et handels- og servicesenter for by og omland. 749 personer er ansatt i kommunen. Kommunen baserer seg på 2-nivå modellen. 4 Oversendelse av dokumentasjon Datatilsynet ba i varselet av 22. april 2013 om at kommunen oversendte følgende dokumentasjon: a) oversikt over virksomhetens organisering, eksempelvis i form av organisasjonskart, b) styrende dokumenter for internkontroll og informasjonssikkerhet, jf. 13 og 14, og forskriften kapittel 2 og 3, c) oversikt over personopplysninger som behandles, jf. forskriften 2-4, d) oversikt over informasjonssystemets utforming, eksempelvis i form av konfigurasjonseller systemkart, e) risikovurderinger av informasjonssystemet, jf. forskriften 2-4, f) avviksrutiner, jf. forskriften 2-6, g) navn og funksjon på de som deltar fra virksomheten under kontrollen, dersom dette er avklart. Dokumentasjonen ble sendt Datatilsynet i forkant. Andre relevante dokumenter ble utlevert på møtet, eller ettersendt. En detaljert agenda ble oversendt virksomheten før kontrollen. 5 Kort om bruk av personopplysninger samt formålet med behandlingene Hovedtema for kontrollen var ivaretakelsen av kommunens plikter til å føre internkontroll og ivaretakelse av tilfredsstillende informasjonssikkerhet for virksomhetens behandling av personopplysninger. Internkontroll danner en viktig basis i behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. Internkontroll er et ledelsesansvar. Under kontrollen ble kommunens internkontrollsystem, sikkerhetsarbeid og -tiltak gjennomgått på overordnet nivå. Tilsynet hadde fokus på den behandlingsansvarliges arbeid etterlevelse av gjeldende lover og forskrifter. 6 og avvik fra lovbestemte krav til behandling av personopplysninger 6.1 Internkontroll 6.1.1 Generelt om personopplysningsloven 14 Kommunen har etter 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne lov. Bestemmelsen er utdypet i forskriften kapittel 3. 2 av 10
Internkontrollsystemet omfatter også nødvendig sikkerhetsdokumentasjon. Dette er nærmere omtalt i kapittel 6.2. Tilsynet ønsket innledningsvis en redegjørelse for hvilke systematiske tiltak kommunen hadde satt i verk for å sikre etterlevelse av lovens krav. I henhold til 14, 2. ledd skal behandlingsansvarlig dokumentere tiltakene. Dokumentasjonen skal blant annet være tilgjengelig for medarbeiderne hos den behandlingsansvarlige samt for Datatilsynet. Internkontrollen omfatter styrende, gjennomførende og kontrollerende dokumenter. 6.1.2 Ansvarsforhold etter loven - behandlingsansvarlig Behandlingsansvarlig defineres i 2 nr. 4 som: den som bestemmer formålet med behandlingen av personopplysninger og hvilke virkemiddel som skal brukes. Det er den behandlingsansvarlige som reglene i personopplysningsloven retter seg mot. Forskriften 2-3 (sikkerhetsledelse) understreker at den som har den daglige ledelsen av virksomheten som den behandlingsansvarlige driver har ansvaret for å ivareta informasjonssikkerhet. Dette er nærmere omtalt i kapittel 6.2. Behandlingsansvaret som tilligger rådmannen er synliggjort i organisasjonen Ansvaret er synliggjort på en tilfredsstillende måte, men tilsynet ønsker å poengtere at dette også hør framkomme av internkontrollen, jf forskriften 2-16. Ingen avvik. 6.1.3 Oversikt over behandlinger og behandlingsgrunnlag For at den behandlingsansvarlige skal ha oversikt over omfanget av sitt ansvar må virksomheten ha en oversikt over hvilke behandlinger av personopplysninger som foretas og hvilke opplysninger som inngår i disse. Oversikten er nødvendig for å sikre at grunnvilkårene i 11 er oppfylt. Videre danner oversikten grunnlag for utarbeidelse av virksomhetens sikkerhetsmål og sikkerhetsstrategi og vil være underlag ved virksomhetens risikovurderinger. Kravet til oversikt over behandlinger følger derfor også av forskriften 2-4. Oversikten over behandlinger må blant annet omfatte den enkelte behandlingens behandlingsgrunnlag ( 8 og 9) samt formålet med behandlingen ( 11). Alternativt må angivelse av behandlingsgrunnlag og formål fremkomme et annet sted i dokumentasjonen. Kravene til oversikt over behandlinger og behandlingsgrunnlag er utdypet i kapittel 3.5 i veilederen Internkontroll og informasjonssikkerhet som Datatilsynet refererte til under kontrollen. Her fremkommer blant annet et eksempel på hvordan oversikten kan utformes. Kommunen hadde utferdiget en oversikt over behandling av personopplysninger. 3 av 10
Denne oversikten er mangelfull. For det første har matrisen en overskrift som hentyder at bare behandling av sensitive opplysninger er av betydning «Bruk av sensitivt register». Dernest er oversikten noe kortfattet, og gir dermed liten oversikt over hvilke opplysninger som behandles. Skjemaet kan med fordel videreutvikles. Det er en mangel at det ikke kommer tydeligere fram hvilke personopplysninger som behandles. Og de mangler som er påpekt i forrige avsnitt må ferdigstilles. Kvalitetslosen har levert et internkontrollprodukt som på dette punkt er noe upresist. Overskriften må endres fra «Bruk av sensitivt register» til «Bruk av personopplysninger i kommunen». Det understrekes likevel at det er kommunens ansvar å påse at det produkt som Kvalitetslosen har levert er i samsvar med eksisterende regelverk. En slik videreutvikling av matrisen vil gjøre det lettere å etterkomme borgerens forespørsel om innsyn etter 18, 1. ledd. Datatilsynet ønsker å påpeke at det er viktig at kommunen går aktivt inn i det produkt som Kvalitetslosen har levert, slik at kommunen får et eierforhold til produktet. Manglende oversikt over den enkelte behandling av personopplysninger er et avvik fra 14, og 13, jf. forskriften 2-4, 1. ledd. 6.1.4 Innsyn og informasjon Den behandlingsansvarlige plikter å gi innsyn i sin behandling, jf. 18, og informasjon om sin praksis, jf. 19 og 20. 6.1.4.1 Rett til innsyn Det følger av 18, 1. ledd at enhver som ber om det skal få vite hva slags behandling av opplysninger behandlingsansvarlig foretar. Den registrertes rett til innsyn i personopplysninger om seg selv følger også av bestemmelsens andre ledd. Virksomheten skal etter forskriften 3-1, 3. ledd bokstav d) ha rutiner for å sikre at innsyn foretas i samsvar med bestemmelsene i loven. Unntak fra retten til innsyn følger av 18 siste ledd og 23. Kommunen har utferdiget et dokument om den registrertes rett til innsyn, se kommunens internkontroll dokument id.: POL/IK/04. Vurdering og delkonklusjon Ingen avvik. 4 av 10
6.1.4.2 Informasjonsplikt når det samles inn opplysninger fra den registrerte selv, eller fra andre enn den registrerte Det følger av 19, 1. ledd at når det samles inn opplysninger fra den registrerte selv skal den behandlingsansvarlige av eget tiltak først informere den registrerte om a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) formålet med behandlingen, c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker, d) det er frivillig å gi fra seg opplysningene, og e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på en best mulig måte, som for eksempel informasjon om retten til å kreve innsyn, jf 18, og retten til å kreve retting, jf. 27 og 28. Det følger av 20 at en behandlingsansvarlig som samler inn personopplysninger fra andre enn den registrerte selv, av eget tiltak skal gi informasjon som nevnt i 19. Virksomheten skal etter forskriften 3-1, 1. ledd bokstav d) ha rutiner for å sikre at informasjonsplikten foretas i samsvar med bestemmelsene i loven. Unntak fra informasjonsplikten følger av 19 siste ledd og 23. Det er utferdiget et dokumentasjon for ivaretakelse av den registrertes rettigheter etter 19 og 20, se kommunens internkontroll dokument ID: POL/IK/03. Vurdering og delkonklusjon Ingen avvik.. 6.1.4.1 Hovedkonklusjon Ingen avvik. 6.1.5 Opplysningskvalitet og sletting I henhold til 11 e, jf 28, skal personopplysninger slettes når de ikke lenger er nødvendige for formålet med behandlingen. 1 Etter 27 skal personopplysninger som er uriktige, ufullstendige eller som det ikke er adgang til å behandle rettes. Virksomheten skal etter forskriften 3-1, bokstav c ha rutiner for å sikre at personopplysningenes kvalitet foretas i samsvar med bestemmelsene i loven. 1 Personopplysningsloven 11 bokstav e krever at den behandlingsansvarlige skal rette eller slette, ufullstendige eller overflødige opplysninger. Bestemmelsen presiserer at disse pliktene ikke bare er rettigheter som tilkommer den registrerte, men selvstendige plikter som påhviler den behandlingsansvarlige uavhengig av om den registrerte krever det. Det vises i den sammenheng også til Ot.prp. nr. 92 (1998-1999) side 114. 5 av 10
Det er utarbeidet dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 27 og 28, se kommunens internkontroll prosedyre for ivaretakelse av personopplysningenes kvalitet. Ingen avvik. 6.2 Krav om informasjonssikkerhet 6.2.1 - generelt I henhold til 13 skal virksomheten gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Tiltakene skal være dokumenterte. Kravene til informasjonssikkerhet er utdypet i forskriften kapittel 2. For øvrig vises det til Datatilsynets hjemmeside, www.datatilsynet.no og veiledningsmateriale som ble overrakt under kontrollen. 6.2.2 Sikkerhetsledelse, sikkerhetsmål og sikkerhetsstrategi I henhold til forskriften 2-3 skal formålet med behandling av personopplysninger og overordnede føringer for bruk av informasjonsteknologi beskrives i sikkerhetsmål. Valg og prioriteringer skal beskrives i en sikkerhetsstrategi. Bruk av informasjonssystemet skal jevnlig, eksempelvis årlig, gjennomgås for å kartlegge om den er hensiktsmessig for virksomhetens behov og om sikkerhetsstrategien gir tilfredsstillende informasjonssikkerhet som resultat. Sikkerhetsstrategier vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet i virksomheten. Den behandlingsansvarlige skal etablere en sikkerhetsorganisasjon i virksomheten, jf. forskriften 2-7. Brønnøy kommunes sikkerhetsstrategi er dokumentert i Overordnet informasjonssikkerhetspolicy Brønnøy kommune. Dette dokumentet beskriver Brønnøy kommune sine sikkerhetsmål, sikkerhetsstrategi og i noen grad også kommunens sikkerhetsledelse. Sikkerhetsmålene som er definert er tilstrekkelige ut fra kommunens behov og målsettinger. Dette er et dokument fra 2010 og det kan framstå som om dette ikke er godt kjent i organisasjonen og heller ikke har hatt prioritet hos nåværende ledelse. Dette er likevel kun en betraktning fra Datatilsynets side. 6 av 10
Ingen avvik konstatert. 6.2.1 Sikkerhetsorganisasjon I henhold til forskriften 2-7 skal det etableres klare ansvars- og myndighetsforhold for bruk av informasjonssystemet. Ansvar og roller for sikkerhetsledelse er hovedsakelig dokumentert i dokumentet Overordnet informasjonssikkerhetspolicy Brønnøy kommune. Basert på tilgjengelig dokumentasjon og stedlig kontroll framstår det som om Brønnøy kommune tidligere (2010) har arbeidet godt med å etablere en sikkerhetsorganisasjon. Det kan imidlertid framstå som om dette ikke er godt kjent i organisasjonen og heller ikke har hatt prioritet hos nåværende ledelse. Dette er likevel kun en betraktning fra Datatilsynets side. Sikkerhetsorganisasjon er etablert. Ingen avvik konstatert. 6.2.2 Risikovurdering I henhold til forskriften 2-4 skal det føres en oversikt over hvilke personopplysninger som behandles. Den behandlingsansvarlige skal fastsette kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. På bakgrunn av dette skal den behandlingsansvarlige foreta risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Resultatet av risikovurderingen skal sammenlignes med de fastlagte kriterier for akseptabel risiko. Resultatet av risikovurderingen skal dokumenteres. Verken tilsendt materiale eller den stedlige kontrollen avdekket at det er gjennomført risikovurderinger. At Brønnøy kommune er vertskommune for løsninger som samarbeidskommuner benytter, gjør mangelen på risikogjennomganger og dokumenterte risikovurderinger ytterligere bekymringsfullt. At Brønnøy kommune ikke har gjennomført risikovurderinger, ikke har rutiner for gjennomføring av risikovurderinger og mangler dokumentasjon for risikovurderinger er et alvorlig avvik fra 2-4 i forskriften. 7 av 10
6.2.3 Sikkerhetsrevisjon Virksomheten plikter å å gjennomføre sikkerhetsrevisjon jevnlig, eksempelvis årlig, jf. forskriften 2-5. Sikkerhetsrevisjon skal omfatte vurdering av organisering og at sikkerhetstiltak som er besluttet etablert faktisk er iverksatt og fungerer etter sin hensikt. Resultatet av sikkerhetsrevisjon skal dokumenteres. Sikkerhetsrevisjon er et viktig grunnlag for kontinuerlig forbedring av informasjonssikkerhet i virksomheten. Resultatet fra sikkerhetsrevisjonen vil være en del av grunnlaget for ledelsens gjennomgang jf. forskriften 2-3. Brønnøy kommune har ingen rutine for å gjennomføre jevnlige sikkerhetsrevisjoner og ingen dokumentasjon på at slike er gjennomført. At det ikke er gjennomført sikkerhetsrevisjoner og at det ikke finnes en rutine for slike, er et avvik fra 2-5 i forskriften. 6.2.4 Avvikshåndtering/sikkerhetsbrudd Virksomheten skal ha rutiner for avvikshåndtering, jf. forskriften 2-6. Resultatet fra avviksbehandling skal dokumenteres. For de tilfeller der avvik har avdekket uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig, skal Datatilsynet orienteres. Kvalitetslosen som Brønnøy kommune er i ferd med å implementere har et eget system og en egen løsning for avvikshåndtering som tilfredsstiller de krav som finnes i forskriften 2-6. Brønnøy kommune har ikke fullt ut implementert dette og benytter i dag en mer manuell løsning. Det registreres, behandles og lukkes mange avvik pr år i kommunen. Det synes som om kommunen har en god kultur for avviksmelding og behandling. Dagens system er ikke en fullgod løsning, men er like fullt ikke et avvik å regne fra 2-6 i forskriften. Datatilsynet ønsker å påpek plikten kommunen har til å ha et oppdatert avvikssystem og anbefaler derfor kommunen å implementere og tilpasse løsningen som finnes i Kvalitetslosen. Ingen avvik konstatert. 8 av 10
6.2.5 Sikkerhetstiltak Den behandlingsansvarlige skal gjennomføre tiltak som sørger for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet, jf. 13, ref. forskriften 2-11, 2-12 og 2-13. Forskriften 2-14 pålegger at det skal innføres sikkerhetstiltak som skal hindre uautorisert bruk av informasjonssystemet og gjøre det mulig å oppdage forsøk på slik bruk. Videre pålegger forskriften 2-8, 3. ledd og 2-14, 2. ledd at henholdsvis autorisert og uautorisert bruk av informasjonssystemet skal registreres. Brønnøy kommune har en normal tilgangskontroll med pålogging til Active Directory (AD) som kun gir tilgang til desktop. Tilgang videre til saksbehandlingsløsninger krever nytt passord og tildeling av tilganger til disse løsningene styres av de enkelte systemansvarlige. Tilgangene er graderte etter tjenstlige behov. Det benyttes ikke hjemmekontorløsninger utover exchange løsning for e-post, det er heller ikke mulig å kopiere mellom åpen og sikker sone, dette gjelder ift alle typer medium. Brønnøy kommune har en rutine for sletting av konti når ansatte slutter, imidlertid oppleves det at ikke alle enhetsleder følger rutinen godt nok og at konti derfor kan bli stående åpne i for lang tid etter at noen har sluttet. For de løsninger der Brønnøy kommune er vertskommune for andre kommuner benytter som driftes hos Brønnøy kommune nås disse gjennom VPN tunnel med Citrix løsning. Brønnøy kommune har tilfredsstillende og god tilgangskontroll og gode rutiner for bruk av kommunens IT utstyr. Datatilsynet vil minne om plikten kommunen har til å påse at egne rutiner følges og konkret i dette tilfellet for oppfølging av sletterutiner når noen slutter i kommunen. Ingen avvik konstatert. 6.2.6 Opplæring Medarbeidere skal ha nødvendig kunnskap for å bruke informasjonssystemet i samsvar med fastlagte rutiner, jf forskriften 2-8. Dette medfører at de rutiner som utformes med bakgrunn i de øvrige bestemmelser må implementeres i virksomheten, og at de ansatte må gis den opplæring som er nødvendig for å kunne følge dem. Brønnøy kommune vil ved innføring av Kvalitetslosen opplæring for alle ansatte i bruk av denne med fokus internkontroll og informasjonssikkerhet. Imidlertid er ikke dette arbeidet påbegynt, men det må likevel understrekes at kommunen i dag foretar tilfredsstillende opplæring ift de rutiner som i dag gjelder. 9 av 10
Datatilsynet vil minne om plikten kommunen har etter forskriften 2-8 til å utarbeide rutiner for opplæring av alle ansatte og alle nyansatte. Ingen avvik konstatert. 6.3 Databehandlere En databehandler er i 2 nr 5 definert som den som behandler personopplysninger på vegne av den behandlingsansvarlige. Dersom andre virksomheter behandler personopplysninger på vegne av virksomheten må det inngås en skriftlig databehandleravtale med virksomheten, jf. 15. I avtalen skal det fremgå at databehandleren plikter å gjennomføre tiltak for å ivareta tilfredsstillende informasjonssikkerhet, jf. 13. Databehandler har et selvstendig ansvar for å ha tilfredsstillende informasjonssikkerhet, jf. 13. Databehandler kan bare behandle opplysninger i henhold til en avtale med virksomheten. Brønnøy kommune var usikre på om de fantes og i så fall med hvem man hadde tilfredsstillende databehandleravtaler. At kommunen ikke kunne gjøre rede for og dokumentere at man hadde tilfredsstillende databehandleravtaler er et avvik jf lovens 15. 10 av 10