saksframlegg Dato: Referanse: Vår saksbehandlar: 07.04.2017 15088/2017 Martin Hauge Saksnr Utval Møtedato Hsamu-12/17 Hovudsamarbeidsutvalet 18.04.2017 Orientering om teknisk innretning og bruk av videokonferanse-utstyret i fylkeskommunen spørsmål frå Fagforbundet Bakgrunn Med bakgrunn i spørsmål frå, HTV i Fagforbundet, vil det i møtet bli gitt ei orientering om teknisk innretning og bruk av videokonferanseutstyret i fylkeskommunen, her også nye løysingar innafor samordna kommunikasjon (Jabber). Personopplysningslova sitt regelverk med tilhøyrande forskrift og dei spørsmål Jordahl reiser om kameraovervåking m.m. vil vere utgangspunkt for gjennomgangen. I dette saksframlegget har administrasjonen vidare føretatt ei vurdering av dei forhold Jordahl tek opp og det er desse vurderingane som legg rammer for administrasjonen sin orientering i møtet. Under følgjer ei kronologisk framstilling av epost-korresondansen mellom Fagforbundet og administrasjonen: Epost frå Viggo Jordal 17. mars 2017: Hei, i HSAMU sak 10/15 fikk utvalget en orientering om revidert IT-strategi. Der ble det orientert om videokonferansesystemet som var under oppbygging. Etter orienteringa spurte jeg om et slikt videokonferansesystem er vurdert opp mot personopplysningsloven og retningslinjene fra Datatilsynet. Den gangen ble det forklart at sikkerheten skulle det tas hensyn til på en lovlig måte. Nå er Cisco Jabber etablert og mange videokonferanserom på arbeidsplassene kan nås fra både PC, ipad og mobiltelefoner. Under lunsjen på AGP-konferansen i går ble jeg vist og orientert om at en mobiltelefon kan logge inn på et videokonferanserom (som også brukes til andre gjøremål) og at rommet med lyd og bilde kan vises og dermed taes opp fra mobiltelefonen uten at brukere av rommet nødvendigvis vet om dette. Kan virkelig systemet virke slik at kamera og mikrofon er online uten at brukere på konferanserommet aktivt må slå utstyret på før bruk (og da selvfølgelig slåes av etter bruk)? Er det slik jeg har registrert og oppfattes at videorommene IKKE er merket slik det jf regelverket skal gjøres? Er det avklart om systemet krever konsesjon eller bare som melding til Datatilsynet? Fagforbundet v/ HTV ønsker svar på dette og en kopi av melding til datatilsynet eller event. en kopi av svar på konsesjonssøknad om systemet.
http://mrfylke.no/intranett/stoetteseksjonar/it/it-loeysingar/jabber https://melding.datatilsynet.no/melding/ Svar frå 17. mars 2017: Hei! Flere av de spørsmålene du reiser må besvares av andre enn personalsjefen. Jeg har ikke forutsetning for å svare på alle de tekniske spørsmålene og adresserer dette derfor videre til ITsjefen og Eirik Jenssen. Jenssen som både jobber med informasjonssikkerhetsspørsmål og har innsyn i den innkjøpsfaglige sidene kan nok sammen med Grønvik bistå med å besvare dette. Uavhengig av svarene på de tekniske spørsmålene er vi avhengig av menneskene som skal bruke teknologien, deres holdninger og atferd, jf. etikk og det som nå har vært tema på AGP-konferansen. Om noe er teknisk mulig betyr ikke at det er lov. Uavhengig av Jabber eller videokonferanseløsningene kan jeg når som helst ta med meg min mobiltelefon inn på et møterom eller et pauserom. Jeg kan sette denne på lydopptak og jeg kan også filme uten at de andre er klar over dette. Selv om dette er teknisk mulig betyr det ikke at det er greit. Vi må selvsagt utvise normal dømmekraft og forholde oss til de spilleregler som gjelder. Svar frå Eirik Jenssen 28. mars 2017: Jeg viser til din henvendelse, og svaret fra personalsjefen. På vegne av IT-sjef og meg selv har vi følgende kommentar: Personopplysningsloven definerer kameraovervåking som en regelmessig overvåking av personer ved hjelp av et automatisk (eller fjernbetjent) kamera. Løsningen er satt opp i møterom der personkretsen er tilfeldig og tidsbegrenset til hvert enkelt møte. Kamera og lyd slås på kun ved gjennomføring av videomøter. Det gjøres ikke bilde- og/eller lydopptak av møter. Videkonferanseløsningen vi benytter er altså ikke kamerovervåking, og følgelig gjelder ikke personopplysningslovens regler om kameraovervåking kap VII med forskrift. Det er ikke krav til merking av rommene, eller melding/konsesjon slik det vises til i nedenfor. I forkant av etableringen av videokonferanseløsningen så ble spørsmål om opptak vurdert. Med begrunnelse om at det ville føre til mye administrasjon bl.a. for å oppfylle personopplyningslovens krav, valgte man å ikke sette opp løsningen med mulighet for opptak. Det vil selvfølgelig logges opplysninger om bruken av systemet knyttet til enkeltbrukere (hvis jeg f.eks ringer opp et rom med min bruker), og dette er vi pålagt å gjøre etter personopplysningsforskriftens 2-14. Som for alle andre it-systemer som er i bruk. Dette er også unntatt meldeplikt, jf. personopplysningsforskriftens 7-11, så lenge det brukes til administrasjon eller oppklaring av sikkerhetsbrudd. For å gjøre videokonferanserommene mest mulig brukervennlige er de satt opp med automatisk oppkobling av video når man ringer opp et videorom. Lyden er derimot slått av i det rommet man ringer opp. Det er
imidlertid mulig å sette videorommet til «opptatt» ved å velge «ikke forstyrr» på videopanelet. Man vil da ikke kunne ringe opp rommet. Mvh Eirik Jenssen Svar frå 28. mars 2017: Hei, ønsker en orientering/drøfting på problemstillingen om videokonferansesystemet på møte 18.04 slik Fagforbundet spurte om i epost til personalsjefen 17.03 Svar frå 28. mars 2017: Viser til din e-poster av 17. og 28.03. der du stiller spørsmål om videokonferansesystemet i fylkeskommunen og ønsker orientering/drøfting av problemstillinger tilknyttet dette på OD-møte den 18.04.17. Arbeidsgiver har i dag besvart din henvendelse av 17.03. gjennom e-post fra Eirik Jenssen i dag og anser derfor dine spørsmål/problemstillingen som avklart. Uavhengig av dette mener vi videre at dette ikke er en sak for et OD-møte for utdanningssektoren da dette handler om løsninger/system som gjelder hele fylkeskommunen. HSAMU ville derfor være rette organ for å evt ta opp dette, men som sagt vi anser dine spørsmål som avklart gjennom dagens besvarelse. Svar frå 30. mars 2017: Jeg ønsker at problemstillingen som jeg (Fagforbundet) i eposten under med arbeidsgives redegjørelse blir tatt opp i neste HSAMU 18.04. Ut i fra de opplysninger som jeg har redegjort for så finner jeg svaret fra arbeidsgiver (Erik Jenssens epost) utilstrekkelig. I følge datatilsynet og 36 i personopplysningsloven defineres begrepet kameraovervåking slik: "Med kameraovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert. Som kameraovervåking anses både overvåking med og uten mulighet for opptak av lydog bildemateriale. Det samme gjelder utstyr som lett kan forveksles med en ekte kameraløsning." I 2012 kom det endringer i loven som blant annet medfører at bruk av såkalte "dummy-kameraer" også omfattes av regelverket. At ordet "fastmontert" brukes i definisjonen, tydeliggjør at håndholdte kameraer ikke defineres som kameraovervåking. og ikke slik Erik Jenssen sin definisjon som står slik i svaret : "Personopplysningsloven definerer kameraovervåking som en regelmessig overvåking av personer ved hjelp av et automatisk (eller fjernbetjent) kamera." Erik Jenssen sier videre: "Kamera og lyd slås på kun ved gjennomføring av videomøter." Det stemmer ikke, da systemet er slik at de fleste kameraer på konferanserommene er på eller kan være slått på uten at de er i bruk.
Det betyr at kameraet kan "se" for de som er logget på. Og det kan være et møte der som ingen andre har tilgang på, det kan være en reingjøringsbetjent som vasker rommet (som ikke vet at kameraet "ser" eller det kan være en annen person som har andre ærend i rommet og som ikke vet at kameraet går og mange kan logge på. Og dette uten at det er merking på alle rom. I Erik Jenssens svar sies det " ikke krav til merking av rommene, eller melding/konsesjon..." I og med at M&RFK sin definsjonen av kameraovervåkning avviker noe fra Datatilsynets definisjon så ønsker Fagforbundet dette som sak i HSAMU. Svar frå 30. mars 2017: Ja da får vi sette opp saken i neste HSAMU-møte selv om det er helt tydelig at vi har grunnleggende ulik forståelse av problematikken du reiser. Svar frå Eirik Jenssen 3. april 2017: Hei. Jeg viser til ditt svar vedrørende redegjørelsen vi ga om videkonferansesystemet og kameraovervåking. Jeg registerer at du mener den ikke er tilstrekkelig, og at dette nå blir en sak på HSAMU den 18. april. I den anledning skal jeg forberede en redegjørelse til HSAMU. Det er noe overraskende at du konkluderer med at Møre og Romsdal fylkeskommune sin definisjon av kameraovervåking avviker fra Datatilsynets definisjon. For at jeg skal klare å gi et fullgodt svar til HSAMU ønsker jeg at du presiserer hva det er som gjør at vårt videokonferansesystem er å anse som kameraovervåking, med den følge at reglene om kameraovervåking i personopplysningslovens kapittel VII, med forskrift, kommer til anvendelse. Jeg ber om tilbakemelding innen fredag 7. april slik at jeg rekker å forberede en redegjørelse til møtet den 18. april. Mvh Eirik Jenssen Svar frå 07. april 2017: Hei, Fagforbundet ønsker å drøfte dette fordi videokonferansesystemet har mulighet til å la kameraene stå på (uten at de er i drift i en videokonferanse), slik at alle brukere av systemet har mulighet til å logge seg på og la kameraet "se" aktiviteten i rommet uten at brukere av rommet gis anledning til å vite at de er "online" og hvem som kan se de. Mange av rommene brukes til andre aktiviteter enn videokonferanser som feks møter, reinhold og annen aktivitet fra blant annet vaktmestere og kanskje også innleid teknisk personell. Uavhengig om dette systemet er innenfor personvernlovgivningen eller Datatilsynets definisjoner av kameraovervåkning eller ikke, så ønsker Fagforbundet en teknisk løsning som krevet en manuell aktivisering av rommets kamera fra bruker at videokonferansen (slås på før videokonferanse og slås av etter avsluttet videokonferanse) og at bruker plikter til å slå av kameraet etter bruk eller at kameraet automatisk slås av etter bruk.
I tillegg så bør rommet merkes med at kamera går så lenge den lille røde lampen på kameraet lyser. hovedtillitsvalgt for Fagforbundet Mobil: 90947649 Møre og Romsdal fylkeskommune Vurdering Det blei som utgangspunkt reist spørsmål om videokonferanseløysinga, og hevda at denne ville vere omfatta av reglane om kameraovervaking i personopplysningslova med forskrift. Det blei forsøkt å svare på dette i e-post av 28. mars 2017 frå Eirik Jenssen. Svaret blei av Jordahl vurdert som utilstrekkeleg, og ikkje i tråd med definisjonen av kameraovervaking. Dei sentrale momenta i vurderinga av bruken av utstyret kan vere å sjå som kameraovervaking er om kamerabruken er "vedvarende eller gjentatt regelmessig" og "personovervåking", jf. personopplysningslovas 36. Med "vedvarende eller gjentatt regelmessig" vil det vere eit krav om at kamerabruken føregår systematisk. Sjølv om kamerabruken skulle strekke seg over noko tid, t.d. ved bestemte hendingar som eit møte, vil ikkje dette ha karakter av å vere overvaking. I slike tilfelle vil ikkje reglane om kameraovervaking gjelde. Videokonferanseløysinga til fylkeskommunen er satt opp slik at kamerabruken er avgrensa til gjennomføring av einskilde møter, med ein tilfeldig og varierande krets av enkeltpersoner til stade. Kamera aktiverast frå møteromspanel, eller ved at andre deltakarar koplar seg opp til møterommet. Lyd må aktiverast separat. Ved avslutting av møtet så deaktiverast kamera, og det går tilbake til utgangsposisjon (vekk frå sjølve rommet). Kamerabruken, slik løysinga er satt opp, kan såleis ikkje seiast å vere "vedvarende eller gjentatt regelmessig". Om eit kamera blir aktivert av ein utanforståande vil kameraet rotere i posisjon for filming av rommet, og eit bilde vil kome opp på skjermen. Lyd vil ikkje vere aktivert. Om nokon skulle vere i rommet vil dette vere meir eller mindre tilfeldig, og er ikkje egna til å falle inn under omgrepet "personovervåking". Det er uansett mogleg ved gjennomføring av eit møte å sette rommet som utilgjengeleg, slik at forsøk på å kople seg opp mot rommet vil blir automatisk avvist. På bakgrunn av dette vil personopplysningslovens regler om kameraovervaking ikkje gjelde videokonferanseløysinga vår. Dette inneber mellom anna at det ikkje har vore krav om krav om å melde løysinga til Datatilsynet, eller søkje om konsesjon. Vidare er det då heller ikkje krav om varsling/skilting av romma. Spørsmål om korleis løysinga reint teknisk er satt opp vil såleis måtte gjerast på eit anna grunnlag enn personopplysningslova sine regler om kameraovervaking, og blir ikkje vurdert her.
Forslag til vedtak: Hovudsamarbeidsutvalet tek orienteringa til vitande. personalsjef Martin Hauge seniorrådgivar