Vedtak om pålegg - Endelig kontrollrapport for Sømna kommune

Sømna kommune - Rådmannen Vik 8920 SØMNA Deres referanse Vår referanse (bes oppgitt ved svar) Dato 13/00454-7/KBK 3. september 2013 Vedtak om pålegg - Endelig kontrollrapport for Sømna kommune Det vises til Datatilsynets kontroll hos Sømna kommune den 5. juni 2013 og Datatilsynets varsel om vedtak av 13. juni 2013. Vurdering av tilsvar Datatilsynet har i brev av 13. august 2013 mottatt virksomhetens merknader til varselet, og har ingen kommentarer til det som fremkommer der: Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Kommunen må utarbeide en oversikt over behandlinger av personopplysninger som tydeligere viser hvilke personopplysninger som behandles, formålet med behandlingen og lovgrunnlaget, jf 13 og 14, jf forskriften 2-4, 1. ledd. Det vises til kontrollrapportens 6.1.3. 2. Kommunen må utarbeide og dokumentere rutiner for ivaretakelse av den registrertes og borgerens rettigheter etter personopplysningsloven 18, 19 og 20. Det vises til tilsynsrapportens 6.1.4.3 3. Kommunen må utarbeide dokumentasjon om hvordan virksomheten ivaretar den registrertes rettigheter etter personopplysningsloven 27 og 28. jf forskriften 3-1, 3. ledd bokstav c). Det vises til kontrollrapportens 6.1.5. Datatilsynet gir frist for gjennomføring av pålegget/ene til 31. desember 2013. Kommunen må innen nevnte dato bekreftee skriftlig overfor Datatilsynet at pålegget er gjennomført. Med mindre annet er særskilt angittt kreves det ikke ytterligere dokumentasjon på at pålegget er gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 0034 OSLO Hjemmeside: www.datatilsynet.no

Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at kommunen har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med vennlig hilsen Knut B. Kaspersen fagdirektør Knut-Brede Kaspersen fagdirektør Vedlegg: Endelig kontrollrapport 2

Saksnummer: 13/00454 Dato for kontroll: 05.06.2013 Rapportdato: 03.09.2013 Endelig kontrollrapport Kontrollobjekt: Sømna kommune Sted: Vik Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet gjennomførte kontroll hos Sømna kommune 5. juni 2013. Kontrollen ble utført med hjemmel i personopplysningsloven 42, 3. ledd, jf. 44. Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med plikt til å innføre internkontroll og å sørge for tilfredsstillende informasjonssikkerhet i henhold til gjeldene lover og forskrifter. Kontrollenn ble gjennomført på virksomhetens faste forretningsadresse. For ansatte i Datatilsynet, som utfører tjeneste for tilsynsmyndigheten, gjelder bestemmelsene om taushetsplikt i forvaltningsloven 13 flg. Taushetsplikten omfatter også opplysninger om sikkerhetstiltak jf. 13. Alle henvisninger til lovhjemler i denne rapporten vil, med mindre annet eksplisitt oppgis, være knyttet til personopplysningsloven og dens forskrifter. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: Signar Kristoffersen, rådmann Dag Nilsen, IKT-konsulent (Brønnøy kommune) Tor Ottesen, beredskapsansvarlig/ingeniør Ann-Helen Vedal Westerberg - 2.2 Fra Datatilsynet: Hallstein Husand, seniorrådgiver Knut B. Kaspersen, fagdirektør Ted Tøraasen, overingeniør 1 av 10

3 Generelt Sømna kommune har 2100 innbyggere. Det er en landbrukskommune hvor bl.a. Tine Meierier (med produksjon av Norvegia-ost) holder til. 4 Oversendelse av dokumentasjon Datatilsynet ba i varselet av 22. april 2013 om at kommunen oversendte følgende dokumentasjon: a) oversikt over virksomhetens organisering, eksempelvis i form av organisasjonskart, b) styrende dokumenter for internkontroll og informasjonssikkerhet, jf. 13 og 14, og forskriften kapittel 2 og 3, c) oversikt over personopplysninger som behandles, jf. forskriften 2-4, d) oversikt over informasjonssystemets utforming, eksempelvis i form av konfigurasjonseller systemkart, e) risikovurderinger av informasjonssystemet, jf. forskriften 2-4, f) avviksrutiner, jf. forskriften 2-6, g) navn og funksjon på de som deltar fra virksomheten under kontrollen, dersom dette er avklart. Dokumentasjonen ble sendt Datatilsynet i forkant. Andre relevante dokumenter ble utlevert på møtet, eller ettersendt. En detaljert agenda ble oversendt virksomheten før kontrollen. 5 Kort om bruk av personopplysninger samt formålet med behandlingene Hovedtema for kontrollen var ivaretakelsen av kommunens plikter til å føre internkontroll og ivaretakelse av tilfredsstillende informasjonssikkerhet for virksomhetens behandling av personopplysninger. Internkontroll danner en viktig basis i behandlingsansvarliges arbeid med å sørge for etterlevelse av gjeldende lover og forskrifter. Internkontroll er et ledelsesansvar. Under kontrollen ble kommunens internkontrollsystem, sikkerhetsarbeid og -tiltak gjennomgått på overordnet nivå. Tilsynet hadde fokus på den behandlingsansvarliges arbeid etterlevelse av gjeldende lover og forskrifter. 6 og avvik fra lovbestemte krav til behandling av personopplysninger 6.1 Internkontroll 6.1.1 Generelt om personopplysningsloven 14 Kommunen har etter 14 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne lov. Bestemmelsen er utdypet i forskriften kapittel 3. 2 av 10

Internkontrollsystemet omfatter også nødvendig sikkerhetsdokumentasjon. Dette er nærmere omtalt i kapittel 6.2. Tilsynet ønsket innledningsvis en redegjørelse for hvilke systematiske tiltak kommunen hadde satt i verk for å sikre etterlevelse av lovens krav. I henhold til 14, 2. ledd skal behandlingsansvarlig dokumentere tiltakene. Dokumentasjonen skal blant annet være tilgjengelig for medarbeiderne hos den behandlingsansvarlige samt for Datatilsynet. Internkontrollen omfatter styrende, gjennomførende og kontrollerende dokumenter. 6.1.2 Ansvarsforhold etter loven - behandlingsansvarlig Behandlingsansvarlig defineres i 2 nr. 4 som: den som bestemmer formålet med behandlingen av personopplysninger og hvilke virkemiddel som skal brukes. Det er den behandlingsansvarlige som reglene i personopplysningsloven retter seg mot. Forskriften 2-3 (sikkerhetsledelse) understreker at den som har den daglige ledelsen av virksomheten som den behandlingsansvarlige driver har ansvaret for å ivareta informasjonssikkerhet. Dette er nærmere omtalt i kapittel 6.2. Behandlingsansvaret som tilligger rådmannen er synliggjort i organisasjonen Ansvaret er synliggjort på en tilfredsstillende måte, men tilsynet ønsker å poengtere at dette også hør framkomme av internkontrollen, jf forskriften 2-16. Ingen avvik. 6.1.3 Oversikt over behandlinger og behandlingsgrunnlag For at den behandlingsansvarlige skal ha oversikt over omfanget av sitt ansvar må virksomheten ha en oversikt over hvilke behandlinger av personopplysninger som foretas og hvilke opplysninger som inngår i disse. Oversikten er nødvendig for å sikre at grunnvilkårene i 11 er oppfylt. Videre danner oversikten grunnlag for utarbeidelse av virksomhetens sikkerhetsmål og sikkerhetsstrategi og vil være underlag ved virksomhetens risikovurderinger. Kravet til oversikt over behandlinger følger derfor også av forskriften 2-4. Oversikten over behandlinger må blant annet omfatte den enkelte behandlingens behandlingsgrunnlag ( 8 og 9) samt formålet med behandlingen ( 11). Alternativt må angivelse av behandlingsgrunnlag og formål fremkomme et annet sted i dokumentasjonen. Kravene til oversikt over behandlinger og behandlingsgrunnlag er utdypet i kapittel 3.5 i veilederen Internkontroll og informasjonssikkerhet som Datatilsynet refererte til under kontrollen. Her fremkommer blant annet et eksempel på hvordan oversikten kan utformes. Kommunen hadde utferdiget en oversikt over behandling av personopplysninger. 3 av 10

Denne oversikten er mangelfull. For det første har matrisen en overskrift som hentyder at bare behandling av sensitive opplysninger er av betydning «Bruk av sensitivt register». Dernest er oversikten noe kortfattet, og gir dermed liten oversikt over hvilke opplysninger som behandles. Skjemaet kan med fordel videreutvikles. Det er en mangel at det ikke kommer tydeligere fram hvilke personopplysninger som behandles. Og de mangler som er påpekt i forrige avsnitt må ferdigstilles. Kvalitetslosen har levert et internkontrollprodukt som på dette punkt er noe upresist. Overskriften må endres fra «Bruk av sensitivt register» til «Bruk av personopplysninger i kommunen». Det understrekes likevel at det er kommunens ansvar å påse at det produkt som Kvalitetslosen har levert er i samsvar med eksisterende regelverk. En slik videreutvikling av matrisen vil gjøre det lettere å etterkomme borgerens forespørsel om innsyn etter 18, 1. ledd. Datatilsynet ønsker å påpeke at det er viktig at kommunen går aktivt inn i det produkt som Kvalitetslosen har levert, slik at kommunen får et eierforhold til produktet. Manglende oversikt over den enkelte behandling av personopplysninger er et avvik fra 14, og 13, jf. forskriften 2-4, 1. ledd. 6.1.4 Innsyn og informasjon Den behandlingsansvarlige plikter å gi innsyn i sin behandling, jf. 18, og informasjon om sin praksis, jf. 19 og 20. 6.1.4.1 Rett til innsyn Det følger av 18, 1. ledd at enhver som ber om det skal få vite hva slags behandling av opplysninger behandlingsansvarlig foretar. Den registrertes rett til innsyn i personopplysninger om seg selv følger også av bestemmelsens andre ledd. Virksomheten skal etter forskriften 3-1, 3. ledd bokstav d) ha rutiner for å sikre at innsyn foretas i samsvar med bestemmelsene i loven. Unntak fra retten til innsyn følger av 18 siste ledd og 23. Kommunen har utferdiget et dokument om den registrertes rett til innsyn. Dokumentet omhandler også den registrertes krav og rett på informasjon når personopplysninger behandles. Vurdering og delkonklusjon Dokumentet om den den registrertes rett til innsyn og informasjon er alt for generellt og mangelfullt til å kunne tilfredsstille lovens krav etter forskriften 3-1. Bl.a. mangler det en gjennomgang av administrative rutiner for hvordan innsyn/informasjon skal formidles, og i hvilke situasjoner informasjon skal gis borgeren. 4 av 10

Manglende dokumenter rutiner for ivaretakelse av den registrertes rettigheter etter 18 er et avvik etter forskriften 3-1, tredje ledd bokstav d). 6.1.4.2 Informasjonsplikt når det samles inn opplysninger fra den registrerte selv, eller fra andre enn den registrerte Det følger av 19, 1. ledd at når det samles inn opplysninger fra den registrerte selv skal den behandlingsansvarlige av eget tiltak først informere den registrerte om a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) formålet med behandlingen, c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker, d) det er frivillig å gi fra seg opplysningene, og e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på en best mulig måte, som for eksempel informasjon om retten til å kreve innsyn, jf 18, og retten til å kreve retting, jf. 27 og 28. Det følger av 20 at en behandlingsansvarlig som samler inn personopplysninger fra andre enn den registrerte selv, av eget tiltak skal gi informasjon som nevnt i 19. Virksomheten skal etter forskriften 3-1, 1. ledd bokstav d) ha rutiner for å sikre at informasjonsplikten foretas i samsvar med bestemmelsene i loven. Unntak fra informasjonsplikten følger av 19 siste ledd og 23. Det er utferdiget et dokumentasjon for ivaretakelse av den registrertes rettigheter etter 19 og 20, se pkt. 6.1.4.1. Vurdering og delkonklusjon Det vises til drøftelsen under 6.1.4.1. Manglende dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 19 og 20 er et avvik etter forskriften 3-1, tredje ledd bokstav d).. 6.1.4.3 Hovedkonklusjon Det ble konstatert avvik fra krav om internkontroll etter 14, jf. forskriften 3-1 bokstav d) for ivaretakelse av 18, 19 og 20. 5 av 10

6.1.5 Opplysningskvalitet og sletting I henhold til 11 e, jf 28, skal personopplysninger slettes når de ikke lenger er nødvendige for formålet med behandlingen. 1 Etter 27 skal personopplysninger som er uriktige, ufullstendige eller som det ikke er adgang til å behandle rettes. Virksomheten skal etter forskriften 3-1, bokstav c ha rutiner for å sikre at personopplysningenes kvalitet foretas i samsvar med bestemmelsene i loven. Det er utarbeidet dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 27 og 28, for så vidt gjelder helse- og personopplysninger. Slike rutiner er ikke utarbeidet på andre enheter. Manglende dokumenterte rutiner for ivaretakelse av den registrertes rettigheter etter 27 og 28 er et avvik etter forskriften 3-1, tredje ledd bokstav c). 6.1 Krav om informasjonssikkerhet 6.1.1 - generelt I henhold til 13 skal virksomheten gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Tiltakene skal være dokumenterte. Kravene til informasjonssikkerhet er utdypet i forskriften kapittel 2. For øvrig vises det til Datatilsynets hjemmeside, www.datatilsynet.no og veiledningsmateriale som ble overrakt under kontrollen. 6.1.2 Sikkerhetsledelse, sikkerhetsmål og sikkerhetsstrategi I henhold til forskriften 2-3 skal formålet med behandling av personopplysninger og overordnede føringer for bruk av informasjonsteknologi beskrives i sikkerhetsmål. Valg og prioriteringer skal beskrives i en sikkerhetsstrategi. Bruk av informasjonssystemet skal jevnlig, eksempelvis årlig, gjennomgås for å kartlegge om den er hensiktsmessig for virksomhetens behov og om sikkerhetsstrategien gir tilfredsstillende informasjonssikkerhet som resultat. Sikkerhetsstrategier vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet i virksomheten. Den behandlingsansvarlige skal etablere en sikkerhetsorganisasjon i virksomheten, jf. forskriften 2-7. 1 Personopplysningsloven 11 bokstav e krever at den behandlingsansvarlige skal rette eller slette, ufullstendige eller overflødige opplysninger. Bestemmelsen presiserer at disse pliktene ikke bare er rettigheter som tilkommer den registrerte, men selvstendige plikter som påhviler den behandlingsansvarlige uavhengig av om den registrerte krever det. Det vises i den sammenheng også til Ot.prp. nr. 92 (1998-1999) side 114. 6 av 10

Sømna kommunes sikkerhetsmål og sikkerhetsstrategi er nedfelt prosedyre 327 Sikkerhetsmål og prosedyre 328 sikkerhetsstrategi i Kvalitetslosen. Sikkerhetsmålene som er definert er tilstrekkelige ut fra kommunens behov og målsettinger. Hele organisasjonen har deltatt i utarbeidelsen av mål og strategier. Ingen avvik konstatert. 6.1.3 Sikkerhetsorganisasjon I henhold til forskriften 2-7 skal det etableres klare ansvars- og myndighetsforhold for bruk av informasjonssystemet. Ansvar og roller for sikkerhetsledelse er dokumentert i prosedyre 329 Ansvarsmatrise og i prosedyre 393 organisasjonskart i Kvalitetslosen. Basert på tilsendt dokumentasjon og stedlig kontroll framstår det som om Sømna kommune har arbeidet godt med å etablere en sikkerhetsorganisasjon Sikkerhetsorganisasjon er etablert. Ingen avvik konstatert. 6.1.4 Risikovurdering I henhold til forskriften 2-4 skal det føres en oversikt over hvilke personopplysninger som behandles. Den behandlingsansvarlige skal fastsette kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. På bakgrunn av dette skal den behandlingsansvarlige foreta risikovurderinger for å kartlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten. Resultatet av risikovurderingen skal sammenlignes med de fastlagte kriterier for akseptabel risiko. Resultatet av risikovurderingen skal dokumenteres. Sømna kommune har gjennomført en ROS analyse for hele kommunens virksomhet knyttet opp mot internkontroll og informasjonssikkerhet. Dette er dokumentert i dokumentet «ROS analyse for Sømna kommune 2013». At det er gjennomført en ROS analyse for hele kommunens virksomhet, der hele kommunens ledelse og store deler av øvrige ansatte har deltatt framstår som en styrke i informasjonssikkerhetsarbeidet. Imidlertid vil Datatilsynet påpeke plikten til å vurdere og 7 av 10

dokumentere hele kommunenes virksomhet og alle løsninger og systemer som benyttes, vi vil her nevne spesielt skole og løsningen «It s learning». Ingen avvik konstatert. 6.1.5 Sikkerhetsrevisjon Virksomheten plikter å å gjennomføre sikkerhetsrevisjon jevnlig, eksempelvis årlig, jf. forskriften 2-5. Sikkerhetsrevisjon skal omfatte vurdering av organisering og at sikkerhetstiltak som er besluttet etablert faktisk er iverksatt og fungerer etter sin hensikt. Resultatet av sikkerhetsrevisjon skal dokumenteres. Sikkerhetsrevisjon er et viktig grunnlag for kontinuerlig forbedring av informasjonssikkerhet i virksomheten. Resultatet fra sikkerhetsrevisjonen vil være en del av grunnlaget for ledelsens gjennomgang jf. forskriften 2-3. Sømna kommune har en egen rutine for årlige sikkerhetsrevisjoner som en del av kommunens årshjul. Som den del av kommunens ROS analyse arbeid er årlige sikkerhetsrevisjoner en del av innarbeidede rutiner. Ingen avvik konstatert. 6.1.6 Avvikshåndtering/sikkerhetsbrudd Virksomheten skal ha rutiner for avvikshåndtering, jf. forskriften 2-6. Resultatet fra avviksbehandling skal dokumenteres. For de tilfeller der avvik har avdekket uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig, skal Datatilsynet orienteres. Kvalitetslosen som Sømna kommune benytter har et eget system og en egen løsning for avvikshåndtering som tilfredsstiller de krav som finnes i forskriften 2-6. Sømna kommune har fullt ut implementert dette og benytter i dag dette som løsning for all avviksmelding og behandling. Det synes som om kommunen har en god kultur for avviksmelding og behandling. Løsningen som benyttes fungerer slik at alle avvik genererer en automatisk e-post til aktuell ansvarlig som denne plikter å respondere på og til å behandle. Datatilsynet vil anbefale at kommunen ytterligere tilpasser løsningen slik at den også inneholder et felt som sier om avviket skal meldes Datatilsynet eller ikke. 8 av 10

Ingen avvik konstatert. 6.1.7 Sikkerhetstiltak Den behandlingsansvarlige skal gjennomføre tiltak som sørger for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet, jf. 13, ref. forskriften 2-11, 2-12 og 2-13. Forskriften 2-14 pålegger at det skal innføres sikkerhetstiltak som skal hindre uautorisert bruk av informasjonssystemet og gjøre det mulig å oppdage forsøk på slik bruk. Videre pålegger forskriften 2-8, 3. ledd og 2-14, 2. ledd at henholdsvis autorisert og uautorisert bruk av informasjonssystemet skal registreres. Sømna kommune har en normal tilgangskontroll med pålogging til Active Directory (AD) som kun gir tilgang til desktop. Tilgang videre til saksbehandlingsløsninger krever nytt passord og tildeling av tilganger til disse løsningene styres av de enkelte systemansvarlige. Tilgangene er graderte etter tjenstlige behov. Det benyttes ikke hjemmekontorløsninger utover exchange løsning for e-post, det er heller ikke mulig å kopiere mellom åpen og sikker sone, dette gjelder ift alle typer medium. I kontrollen kom det fram at løsningen er konfigurert slik at det er mulig for ansatte med tilstrekkelig kompetanse til å ta i bruk såkalt Team viewer, som er en løsning der man kan sitte remote (f.eks. hjemme) og ta over sin egen desktop på jobb. Det ble bekreftet at dette ikke er en løsning som kommunen tilbyr sine ansatte. For de løsninger som Sømna kommune benytter som driftes hos Brønnøy kommune nås disse gjennom VPN tunnel med Citrix løsning. Mulighetene for bruk av Team viewer kan føre til brudd på forskriftens 2-14 og vil i så måte være et avvik på forskriften 2-14. Datatilsynet konstaterer at det ikke er et avvik når den ikke er tatt i bruk. 6.1.8 Opplæring Medarbeidere skal ha nødvendig kunnskap for å bruke informasjonssystemet i samsvar med fastlagte rutiner, jf forskriften 2-8. Dette medfører at de rutiner som utformes med bakgrunn i de øvrige bestemmelser må implementeres i virksomheten, og at de ansatte må gis den opplæring som er nødvendig for å kunne følge dem. Sømna kommune har opplæring for alle ansatte i bruk av Kvalitetslosen med fokus internkontroll og informasjonssikkerhet. Ansvaret for opplæringen er delegert til de enkelte enhetsledere. 9 av 10

Ingen avvik konstatert. 6.2 Databehandlere En databehandler er i 2 nr 5 definert som den som behandler personopplysninger på vegne av den behandlingsansvarlige. Dersom andre virksomheter behandler personopplysninger på vegne av virksomheten må det inngås en skriftlig databehandleravtale med virksomheten, jf. 15. I avtalen skal det fremgå at databehandleren plikter å gjennomføre tiltak for å ivareta tilfredsstillende informasjonssikkerhet, jf. 13. Databehandler har et selvstendig ansvar for å ha tilfredsstillende informasjonssikkerhet, jf. 13. Databehandler kan bare behandle opplysninger i henhold til en avtale med virksomheten. Sømna kommune hadde oversikt over databehandleravtaler kommune har. Imidlertid var det noe usikkerhet knyttet til om disse var fullt ut oppdaterte. Datatilsynet vil minne om kommunens plikt til å ha tilfredsstillende databehandleravtaler jf loven 15. Ingen avvik konstatert 10 av 10