Bindal kommune - Rådmannenn Oldervikveien 5 7980 TERRÅK Deres referanse Vår referanse (bes oppgitt ved svar) 2010/2733-11 13/00455-6/KBK 28. august 2013 Dato Vedtak om pålegg - Endelig kontrollrapport for Bindal kommune Det vises til Datatilsynets kontroll hos Bindal kommune den 17.juni.2013 og Datatilsynets varsel om vedtak 21. juni 2013. Vurdering av tilsvar Datatilsynet har i brev 19.august 2013 mottatt virksomhetens merknader til varselet. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Kommunen må utarbeide en oversikt over behandlinger av personopplysninger som tydeligere viser hvilke personopplysninger som behandles, formålet med behandlingen og lovgrunnlaget, jf 13 og 14, jf forskriften 2-4, 1. ledd. Det vises til kontrollrapportens 6.1.3. 2. Kommunen må utarbeide og dokumentere rutiner for ivaretakelse av den registrertes og borgerens rettigheter etter personopplysningsloven 18, 19 og 20. Det vises til kontrollrapportens 6.1.4.3 3. Kommunen må utarbeide dokumentasjon om hvordan kommunen ivaretar den registrertes rettigheter etter personopplysningsloven 27 og 28. jf forskriften 3-1, 3. ledd bokstav c). Det vises til kontrollrapportens 6.1.5. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 0034 OSLO Hjemmeside: www.datatilsynet.no
4. Kommunen må etablere en sikkerhetsorganisasjon i samsvar med personopplysningsloven 13, jf. forskriften 2-3 og 2-7. Det vises til kontrollrapportens 6.2.3. 5. Kommunen må danne rammer for sikkerhetsarbeidet ved at det etableres sikkerhetsmål og sikkerhetsstrategi i samsvar med personopplysningsloven 13, jf. forskriften 2-3. Det vises til kontrollrapportens 6.2.2. 6. Kommunen må dokumentere tilfredsstillende informasjonssikkerhet ved at det utarbeides risikovurdering i samsvar med personopplysningsloven 13, jf. forskriften 2-4. Det vises til kontrollrapportens 6.2.4. 7. Kommunen må etablere system for sikkerhetsrevisjon i samsvar med personopplysningsloven 13, jf. forskriften 2-5. Det vises til kontrollrapportens 6.2.5. 8. Kommunen må etablere et system for håndtering av avvik og/eller sikkerhetsbrudd, jf. personopplysningsloven 13, jf. forskriften 2-6. Det vises til kontrollrapportens 6.2.6. 9. Kommunen må etablere og oppdatere avtaler med sine databehandlere slik at de oppfyller kravene til en databehandleravtale i personopplysningsloven 15 og 13, samt forskriften 2-15. Det vises til kontrollrapporten 6.3. Datatilsynet gir frist for gjennomføring av påleggene nr. 1,2 og 3 innen utgangen av 2013, påleggene 4 og 5 innen 1. oktober 2013 og påleggene 6,7,8 og 9 innen 1. mars 2014. Bindal kommune må innen nevnte dato bekrefte skriftlig overfor Datatilsynet at pålegget er gjennomført. Med mindre annet er særskilt angitt kreves det ikke ytterligere dokumentasjon på at pålegget er gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. 2
Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at virksomheten har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med vennlig hilsen Knut-Brede Kaspersen fagdirektør Hallstein Husand fagdirektør Vedlegg: Endelig kontrollrapport 3
Saksnummer: 13/00455 Dato for kontroll: 17.06.2013 Rapportdato: 28.08.2013 Endelig kontrollrapport Kontrollobjekt: Bindal kommune Sted: Terråk Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet gjennomførte kontroll hos Bindal kommune 17. juni 2013. Kontrollen ble utført med hjemmel i personopplysningsloven 42, 3. ledd, jf. 44. Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med plikt til å innføre internkontroll og å sørge for tilfredsstillende informasjonssikkerhet i henhold til gjeldene lover og forskrifter. Kontrollenn ble gjennomført på virksomhetens faste forretningsadresse. For ansatte i Datatilsynet, som utfører tjeneste for tilsynsmyndigheten, gjelder bestemmelsene om taushetsplikt i forvaltningsloven 13 flg. Taushetsplikten omfatter også opplysninger om sikkerhetstiltak jf. 13. Alle henvisninger til lovhjemler i denne rapporten vil, med mindre annet eksplisitt oppgis, være knyttet til personopplysningsloven og dens forskrifter. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: Gudrun Fossem, helse- og sosialsjef/rådmann Jens Christian Berg, kultur- og informasjonskonsulent Hallgeir Lian, kontor- og personalleder Øystein V. Trøan, IT-konsulent - 2.2 Fra Datatilsynet: Hallstein Husand, seniorrådgiver Knut B. Kaspersen, fagdirektør 3 Generelt Bindal kommune har ca. 1530 innbyggere. 1 av 10
4 Oversendelse av dokumentasjon Datatilsynet ba i varselet av 22. april 2013 om at kommunen oversendte følgende dokumentasjon: a) oversikt over virksomhetens organisering, eksempelvis i form av organisasjonskart, b) styrende dokumenter for internkontroll og informasjonssikkerhet, jf. 13 og 14, og forskriften kapittel 2 og 3, c) oversikt over personopplysninger som behandles, jf. forskriften 2-4, d) oversikt over informasjonssystemets utforming, eksempelvis i form av konfigurasjonseller systemkart, e) risikovurderinger av informasjonssystemet, jf. forskriften 2-4, f) avviksrutiner, jf. forskriften 2-6, g) navn og funksjon på de som deltar fra virksomheten under kontrollen, dersom dette er avklart. Dokumentasjonen ble sendt Datatilsynet i forkant. Andre relevante dokumenter ble utlevert på møtet, eller ettersendt. En detaljert agenda ble oversendt virksomheten før kontrollen. 5 Kort om bruk av personopplysninger samt formålet med behandlingene Hovedtema for kontrollen var ivaretakelsen av kommunens plikter til å føre internkontroll og ivaretakelse av tilfredsstillende informasjonssikkerhet for virksomhetens behandling av personopplysninger. Internkontroll danner en viktig basis i behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. Internkontroll er et ledelsesansvar. Under kontrollen ble kommunens internkontrollsystem, sikkerhetsarbeid og -tiltak gjennomgått på overordnet nivå. Tilsynet hadde fokus på den behandlingsansvarliges arbeid etterlevelse av gjeldende lover og forskrifter. 6 og avvik fra lovbestemte krav til behandling av personopplysninger 6.1 Internkontroll 6.1.1 Generelt om personopplysningsloven 14 Kommunen har etter 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne lov. Bestemmelsen er utdypet i forskriften kapittel 3. Internkontrollsystemet omfatter også nødvendig sikkerhetsdokumentasjon. Dette er nærmere omtalt i kapittel 6.2. Tilsynet ønsket innledningsvis en redegjørelse for hvilke systematiske tiltak kommunen hadde satt i verk for å sikre etterlevelse av lovens krav. I henhold til 14, 2. ledd skal 2 av 10
behandlingsansvarlig dokumentere tiltakene. Dokumentasjonen skal blant annet være tilgjengelig for medarbeiderne hos den behandlingsansvarlige samt for Datatilsynet. Internkontrollen omfatter styrende, gjennomførende og kontrollerende dokumenter. 6.1.2 Ansvarsforhold etter loven - behandlingsansvarlig Behandlingsansvarlig defineres i 2 nr. 4 som: den som bestemmer formålet med behandlingen av personopplysninger og hvilke virkemiddel som skal brukes. Det er den behandlingsansvarlige som reglene i personopplysningsloven retter seg mot. Forskriften 2-3 (sikkerhetsledelse) understreker at den som har den daglige ledelsen av virksomheten som den behandlingsansvarlige driver har ansvaret for å ivareta informasjonssikkerhet. Dette er nærmere omtalt i kapittel 6.2. Behandlingsansvaret som tilligger rådmannen er synliggjort i organisasjonen Ansvaret er synliggjort på en tilfredsstillende måte, men tilsynet ønsker å poengtere at dette også hør framkomme av internkontrollen, jf forskriften 2-16. Ingen avvik. 6.1.3 Oversikt over behandlinger og behandlingsgrunnlag For at den behandlingsansvarlige skal ha oversikt over omfanget av sitt ansvar må virksomheten ha en oversikt over hvilke behandlinger av personopplysninger som foretas og hvilke opplysninger som inngår i disse. Oversikten er nødvendig for å sikre at grunnvilkårene i 11 er oppfylt. Videre danner oversikten grunnlag for utarbeidelse av virksomhetens sikkerhetsmål og sikkerhetsstrategi og vil være underlag ved virksomhetens risikovurderinger. Kravet til oversikt over behandlinger følger derfor også av forskriften 2-4. Oversikten over behandlinger må blant annet omfatte den enkelte behandlingens behandlingsgrunnlag ( 8 og 9) samt formålet med behandlingen ( 11). Alternativt må angivelse av behandlingsgrunnlag og formål fremkomme et annet sted i dokumentasjonen. Kravene til oversikt over behandlinger og behandlingsgrunnlag er utdypet i kapittel 3.5 i veilederen Internkontroll og informasjonssikkerhet som Datatilsynet refererte til under kontrollen. Her fremkommer blant annet et eksempel på hvordan oversikten kan utformes. Kommunen har nylig kjøpt et internkontrollsystem fra Kvalitetslosen. Arbeidet med denne starter umiddelbart. Det er således ikke utferdiget noen oversikt over behandlinger i kommunen. Datatilsynet viste til veilederen («En veiledning om internkontroll og informasjonssikkerhet») side 13 som gjengir et eksempel på en slik oversikt. 3 av 10
Manglende oversikt over den enkelte behandling av personopplysninger er et avvik fra 14, og 13, jf. forskriften 2-4, 1. ledd. 6.1.4 Innsyn og informasjon Den behandlingsansvarlige plikter å gi innsyn i sin behandling, jf. 18, og informasjon om sin praksis, jf. 19 og 20. 6.1.4.1 Rett til innsyn Det følger av 18, 1. ledd at enhver som ber om det skal få vite hva slags behandling av opplysninger behandlingsansvarlig foretar. Den registrertes rett til innsyn i personopplysninger om seg selv følger også av bestemmelsens andre ledd. Virksomheten skal etter forskriften 3-1, 3. ledd bokstav d) ha rutiner for å sikre at innsyn foretas i samsvar med bestemmelsene i loven. Unntak fra retten til innsyn følger av 18 siste ledd og 23. Kommunen har ikke utferdiget noe dokument om den registrertes rett til innsyn. Vurdering og delkonklusjon Manglende dokumenter rutiner for ivaretakelse av den registrertes rettigheter etter 18 er et avvik etter forskriften 3-1, tredje ledd bokstav d). 6.1.4.2 Informasjonsplikt når det samles inn opplysninger fra den registrerte selv, eller fra andre enn den registrerte Det følger av 19, 1. ledd at når det samles inn opplysninger fra den registrerte selv skal den behandlingsansvarlige av eget tiltak først informere den registrerte om a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) formålet med behandlingen, c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker, d) det er frivillig å gi fra seg opplysningene, og e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på en best mulig måte, som for eksempel informasjon om retten til å kreve innsyn, jf 18, og retten til å kreve retting, jf. 27 og 28. Det følger av 20 at en behandlingsansvarlig som samler inn personopplysninger fra andre enn den registrerte selv, av eget tiltak skal gi informasjon som nevnt i 19. Virksomheten skal etter forskriften 3-1, 1. ledd bokstav d) ha rutiner for å sikre at informasjonsplikten foretas i samsvar med bestemmelsene i loven. Unntak fra informasjonsplikten følger av 19 siste ledd og 23. 4 av 10
Det er ikke utferdiget dokumentasjon for ivaretakelse av den registrertes rettigheter etter 19 og 20. Vurdering og delkonklusjon Manglende dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 19 og 20 er et avvik etter forskriften 3-1, tredje ledd bokstav d).. 6.1.4.3 Hovedkonklusjon Det ble konstatert avvik fra krav om internkontroll etter 14, jf. forskriften 3-1 bokstav d) for ivaretakelse av 18, 19 og 20. 6.1.5 Opplysningskvalitet og sletting I henhold til 11 e, jf 28, skal personopplysninger slettes når de ikke lenger er nødvendige for formålet med behandlingen. 1 Etter 27 skal personopplysninger som er uriktige, ufullstendige eller som det ikke er adgang til å behandle rettes. Virksomheten skal etter forskriften 3-1, bokstav c ha rutiner for å sikre at personopplysningenes kvalitet foretas i samsvar med bestemmelsene i loven. Det er ikke utarbeidet dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 27 og 28. Manglende dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 27 og 28 er et avvik etter forskriften 3-1, tredje ledd bokstav c). 6.2 Krav om informasjonssikkerhet 6.2.1 - generelt I henhold til 13 skal virksomheten gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Tiltakene skal være dokumenterte. Kravene til informasjonssikkerhet er utdypet i forskriften kapittel 2. For øvrig vises det til Datatilsynets hjemmeside, www.datatilsynet.no og veiledningsmateriale som ble overrakt under kontrollen. 1 Personopplysningsloven 11 bokstav e krever at den behandlingsansvarlige skal rette eller slette, ufullstendige eller overflødige opplysninger. Bestemmelsen presiserer at disse pliktene ikke bare er rettigheter som tilkommer den registrerte, men selvstendige plikter som påhviler den behandlingsansvarlige uavhengig av om den registrerte krever det. Det vises i den sammenheng også til Ot.prp. nr. 92 (1998-1999) side 114. 5 av 10
6.2.2 Sikkerhetsledelse, sikkerhetsmål og sikkerhetsstrategi I henhold til forskriften 2-3 skal formålet med behandling av personopplysninger og overordnede føringer for bruk av informasjonsteknologi beskrives i sikkerhetsmål. Valg og prioriteringer skal beskrives i en sikkerhetsstrategi. Bruk av informasjonssystemet skal jevnlig, eksempelvis årlig, gjennomgås for å kartlegge om den er hensiktsmessig for virksomhetens behov og om sikkerhetsstrategien gir tilfredsstillende informasjonssikkerhet som resultat. Sikkerhetsstrategier vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet i virksomheten. Den behandlingsansvarlige skal etablere en sikkerhetsorganisasjon i virksomheten, jf. forskriften 2-7. Bindal kommunes har ikke en sikkerhetsstrategi sikkerhetsmål eller i noen særlig grad dokumentert sikkerhetsledelse. Kommunen hadde et opplegg i 1999/2000, der dette ble sett på, men det framstår som fragmentert, utdatert og lite forankret. At Bindal kommune ikke har dokumentert sikkerhetsmål, sikkerhetsstrategi eller sikkerhetsledelse er et avvik etter forskriften 2-3. 6.2.1 Sikkerhetsorganisasjon I henhold til forskriften 2-7 skal det etableres klare ansvars- og myndighetsforhold for bruk av informasjonssystemet. Bindal kommune har ikke en definert sikkerhetsorganisasjon, men ved sikkerhetshendelser benyttes den vanlige linjeorganisasjonen som sikkerhetsorganisasjon.. Basert på tilgjengelig dokumentasjon og stedlig kontroll framstår det som om Bindal kommune har et forhold til sikkerhetsorganisering og at det ved innføring av Kvalitetslosen vil bli etablert en sikkerhetsorganisasjon. Dette rokker imidlertid ikke ved at det på kontrolltidspunktet ikke var etablert en tydelig sikkerhetsorganisasjon. At Bindal kommune ikke har etablert og kan dokumentere en tydelig sikkerhetsorganisasjon er et avvik etter forskriften 2-7. 6 av 10
6.2.2 Risikovurdering I henhold til forskriften 2-4 skal det føres en oversikt over hvilke personopplysninger som behandles. Den behandlingsansvarlige skal fastsette kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. På bakgrunn av dette skal den behandlingsansvarlige foreta risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Resultatet av risikovurderingen skal sammenlignes med de fastlagte kriterier for akseptabel risiko. Resultatet av risikovurderingen skal dokumenteres. Verken tilsendt materiale eller den stedlige kontrollen avdekket at det er gjennomført risikovurderinger. Imidlertid er det gjennomført en del risikovurderinger innenfor helsesektoren. Kommunen bekrefter at det er igangsatt arbeid med innføring av Kvalitetslosen og at i den sammenheng vil det bli gjennomført risikovurderinger for alle deler av organisasjonen. At Bindal kommune ikke har gjennomført risikovurderinger, ikke har rutiner for gjennomføring av risikovurderinger og mangler dokumentasjon for risikovurderinger er et avvik fra 2-4 i forskriften. 6.2.3 Sikkerhetsrevisjon Virksomheten plikter å gjennomføre sikkerhetsrevisjon jevnlig, eksempelvis årlig, jf. forskriften 2-5. Sikkerhetsrevisjon skal omfatte vurdering av organisering og at sikkerhetstiltak som er besluttet etablert faktisk er iverksatt og fungerer etter sin hensikt. Resultatet av sikkerhetsrevisjon skal dokumenteres. Sikkerhetsrevisjon er et viktig grunnlag for kontinuerlig forbedring av informasjonssikkerhet i virksomheten. Resultatet fra sikkerhetsrevisjonen vil være en del av grunnlaget for ledelsens gjennomgang jf. forskriften 2-3. Bindal kommune har ingen rutine for å gjennomføre jevnlige sikkerhetsrevisjoner og ingen dokumentasjon på at slike er gjennomført. Kommunen bekrefter at det er igangsatt arbeid med innføring av Kvalitetslosen og at i den sammenheng så vil sikkerhetsrevisjoner bli en del av årshjulet for kommunen. At det ikke er gjennomført sikkerhetsrevisjoner og at det ikke finnes en rutine for slike, er et avvik fra 2-5 i forskriften. 7 av 10
6.2.4 Avvikshåndtering/sikkerhetsbrudd Virksomheten skal ha rutiner for avvikshåndtering, jf. forskriften 2-6. Resultatet fra avviksbehandling skal dokumenteres. For de tilfeller der avvik har avdekket uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig, skal Datatilsynet orienteres. Kvalitetslosen som Bindal kommune er i ferd med å implementere har et eget system og en egen løsning for avvikshåndtering som tilfredsstiller de krav som finnes i forskriften 2-6. Bindal kommune har ikke implementert dette og benytter i dag en mer manuell løsning innen helsesektoren. Det registreres, behandles og lukkes mange avvik pr år i denne sektoren i kommunen. Imidlertid er det ikke tilsvarende rutiner for de øvrige deler av kommunens virksomhet. Dagens system er ikke en fullgod løsning, ei heller for helsesektoren. Datatilsynet ønsker å påpek plikten kommunen har til å ha et oppdatert avvikssystem og anbefaler derfor kommunen å implementere og tilpasse løsningen som finnes i Kvalitetslosen. At kommunen kun har et system for avvikshåndtering i helsesektoren og ikke i de øvrige deler av kommunen er et avvik jf. forskriften 2-6.. 6.2.5 Sikkerhetstiltak Den behandlingsansvarlige skal gjennomføre tiltak som sørger for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet, jf. 13, ref. forskriften 2-11, 2-12 og 2-13. Forskriften 2-14 pålegger at det skal innføres sikkerhetstiltak som skal hindre uautorisert bruk av informasjonssystemet og gjøre det mulig å oppdage forsøk på slik bruk. Videre pålegger forskriften 2-8, 3. ledd og 2-14, 2. ledd at henholdsvis autorisert og uautorisert bruk av informasjonssystemet skal registreres. Bindal kommune har en normal tilgangskontroll med pålogging til Active Directory (AD) som kun gir tilgang til desktop. Tilgang videre til saksbehandlingsløsninger krever nytt passord og tildeling av tilganger til disse løsningene styres av de enkelte systemansvarlige. Tilgangene er graderte etter tjenstlige behov. Det benyttes ikke hjemmekontorløsninger utover exchange løsning for e-post, det er heller ikke mulig å kopiere mellom åpen og sikker sone, dette gjelder ift alle typer medium. Bindal kommune har en rutine for sletting av konti når ansatte slutter, der det går melding fra Personalleder til IT-ansvarlig. 8 av 10
Bindal kommune har tilfredsstillende og god tilgangskontroll og gode rutiner for bruk av kommunens IT utstyr. Ingen avvik konstatert. 6.2.6 Opplæring Medarbeidere skal ha nødvendig kunnskap for å bruke informasjonssystemet i samsvar med fastlagte rutiner, jf forskriften 2-8. Dette medfører at de rutiner som utformes med bakgrunn i de øvrige bestemmelser må implementeres i virksomheten, og at de ansatte må gis den opplæring som er nødvendig for å kunne følge dem. Bindal kommune vil ved innføring av Kvalitetslosen gjennomføre opplæring for alle ansatte i bruk av denne med fokus internkontroll og informasjonssikkerhet. Kommunen har i dag et eget introduksjonsprogram for nytilsatte. Datatilsynet vil minne om plikten kommunen har etter forskriften 2-8 til å utarbeide rutiner for opplæring av alle ansatte og alle nyansatte. Ingen avvik konstatert. 6.3 Databehandlere En databehandler er i 2 nr 5 definert som den som behandler personopplysninger på vegne av den behandlingsansvarlige. Dersom andre virksomheter behandler personopplysninger på vegne av virksomheten må det inngås en skriftlig databehandleravtale med virksomheten, jf. 15. I avtalen skal det fremgå at databehandleren plikter å gjennomføre tiltak for å ivareta tilfredsstillende informasjonssikkerhet, jf. 13. Databehandler har et selvstendig ansvar for å ha tilfredsstillende informasjonssikkerhet, jf. 13. Databehandler kan bare behandle opplysninger i henhold til en avtale med virksomheten. Bindal kommune var usikre på om de fantes og i så fall med hvem man hadde tilfredsstillende databehandleravtaler. At kommunen ikke kunne gjøre rede for og dokumentere at man hadde tilfredsstillende databehandleravtaler er et avvik jf lovens 15. 9 av 10
7 10 av 10