Personopplysningsloven særlig om behandling av studentopplysninger Mari Hersoug Nedberg Høgskulen i Sogn og Fjordane, 6. juni 2011
Disposisjon - Generelt om personopplysningsloven - Konkrete problemstillinger, herunder: - Hvilke opplysninger kan utleveres fra utdanningsinstitusjonen til ulike formål? - Utlevering av opplysninger om enkeltpersoner - Forespørsel om å bekrefte personopplysninger - Personopplysninger i læringsplattformer - Publisering av personopplysninger på Internett - Adgang til å utlevere bilder av personer? 08.06.2011 Side 2
Hva er person(opplysnings)vern? Den enkeltes rett til å ha kontroll med egne personopplysninger Selvbestemmelse rett til selv å bestemme hvilke opplysninger som skal brukes, av hvem, til hvilke formål osv. Informasjon hvis man ikke har rett til å samtykke, har man i det minste rett til å vite hvilke opplysninger som brukes, av hvem, til hvilke formål osv. Personvern er noe mer enn informasjonssikkerhet. 08.06.2011 Side 3
Personvernretten - Europeiske menneskerettighetskonvensjon artikkel 8 - rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse - EUs personverndirektiv (direktiv 95/46/EF) - Lov om behandling av personopplysninger av 14. april 2000 (personopplysningsloven) - Forskrift til personopplysningsloven 08.06.2011 Side 4
Personopplysningsloven: Behandling av personopplysninger Formål: å beskytte den enkelte mot at personvernet blir krenket gjennom en behandling av personopplysninger Behandling av personopplysninger: enhver bruk av personopplysninger, herunder innsamling, sammenstilling, lagring og utlevering. Sensitive personopplysninger: Rasemessig eller etnisk bakgrunn Politisk, filosofisk, eller religiøs oppfatning Mistenkt, siktet, tiltalt eller dømt for straffbar handling Helseforhold Seksuelle forhold Fagforeningsmedlemskap 08.06.2011 Side 5
Grunnkrav til behandling av personopplysninger, 11 Personopplysningene som behandles skal: bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, med mindre den registrerte samtykker. er tilstrekkelige og relevante for formålet med behandlingen. er korrekte og oppdaterte, og ikke lagres lenger enn nødvendig for å gjennomføre formålet med behandlingen. 08.06.2011 Side 6
Krav om behandlingsgrunnlag Ved all behandling av personopplysninger kreves et behandlingsgrunnlag, jf. 8. Tilleggskrav ved behandling av sensitive personopplysninger, jf. 9. Tre alternative grunnlag: Samtykke Lovhjemmel for behandlingen Behandlingen er nødvendig holdt opp mot nærmere angitte formål 08.06.2011 Side 7
Samtykke Sikrer den enkeltes kontroll med egne opplysninger Lovgiverintensjon MEN utfordringer i en avhengighetssituasjon, for eksempel arbeidsrelasjon Krav til et gyldig samtykke: fritt uttrykkelig informert 08.06.2011 Side 8
Rettigheter for den registrerte Innsyn Unntak, 23 Informasjon Unntak, 23 Retting Sletting 08.06.2011 Side 9
Innsyn i opplysninger Enhver Grunninformasjon om behandlingen Den registrerte Hva er registrert om meg? Unntak: 23 30 dagers frist jf. 16 Kan kreves skriftlig, jf. 24 08.06.2011 Side 10
Informasjon, 19-20 Informasjonsplikten gjelder når det samles inn opplysninger: fra den registrerte selv fra andre enn den registrerte Det skal gis opplysninger om: den behandlingsansvarlige, formålet med behandlingen, opplysningene vil bli utlevert, ev. til hvem, det er frivillig å gi fra seg opplysningene, og annet som gjør den registrerte i stand til å ivareta sine rettigheter etter loven, for eksempel krav om innsyn, sletting. 08.06.2011 Side 11
Informasjonsplikt - 19 og 20 Formålet er å gjøre den enkelte i stand til å benytte sine rettigheter etter loven Før innhenting fra den registrerte selv ( 19) Etter innhenting fra andre enn den registrerte selv eller eventuelt før utlevering til andre ( 20) Uansett: Samtykke ved bruk som er uforenelig med det opprinnelige formålet jf. 11 c Og: Et samtykke er bare gyldig dersom det er informert 08.06.2011 Side 12
Sletting, 28 Personopplysninger skal ikke lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Ulike formål = ulike frister for sletting. Unntak: lagring av opplysninger er regulert i annet regelverk, eksempelvis arkivloven, regnskapslovgivningen Rutiner for gjennomgang av lagret informasjon: Hva er nødvendig? Hvor lenge? (Fjernarkivering tilgjengelighet) 08.06.2011 Side 13
Hvilke opplysninger kan behandles? Personopplysningslovens 8 særlig Samtykke Lovhjemmel a. Oppfylle avtale med den registrerte f. Interesseavveining Personopplysningslovens 9 særlig a. Samtykke b. Lovhjemmel 08.06.2011 Side 14
Fødselsnummer - 12 Ikke en sensitiv personopplysning Kan bare nyttes når det er: 1. Saklig behov for sikker identifisering og 2. Metoden er nødvendig for å oppnå slik identifisering Må ikke fremkomme av postsendinger eller telekommunikasjon slik at det er tilgjengelig for andre enn adressaten (POF 10-2) ikke utenpå konvolutt eller i åpent kort fortrinnsvis ikke som KID eller medlemsnummer på regning kryptering ved bruk i Internettløsninger/e-post sladding av dokumenter før de legges ut på Internett 08.06.2011 Side 15
Fødselsnummer - fortsettelse Offentleglovforskrifta 7 Utgangspunkt: dokumenter kan offentliggjøres på Internett Unntak: Opplysninger som er underlagt taushetsplikt i medhold av lov Opplysninger som nevnt i personopplysningsloven 2 nr. 8 (sensitive personopplysninger) Fødselsnummer, personnummer og nummer med tilsvarende funksjon 08.06.2011 Side 16
Hvem skal ha tilgang? Hovedregel: personopplysninger skal kun være tilgjengelig for personer med tjenstlig behov for slik tilgang. Eksempler på tiltak mot uautorisert innsyn: Tilgangsstyring Taushetsplikt Logging Revisjon/kontroll av logger 08.06.2011 Side 17
1) Utlevering av opplysninger fra utdanningsinstitusjon Utlevering av opplysninger krever et behandlingsgrunnlag, - Samtykke - Interesseavveining ( 8 bokstav f) vs. videreformidling - Relevansvurdering hva ligger innenfor utdanningsinstitusjonens oppgave å gi informasjon om? - Hvilken forventning har man som student? Eventuelt: informasjon på nettsider/portal/læringsplattform 08.06.2011 Side 18
1) Fortsettelse Generelle henvendelser til studenter vs. forespørsler om utlevering av opplysninger om enkeltpersoner. Eksempler på forespørsler: - tidligere studenter klassefest - medstudenter - respondenter til masteroppgave - klage på eksamensoppgave - firmaer som vil sende informasjon til studenter - kunnskapsdepartementet - for eksempel info til lærerstudenter - Studentorganisasjoner egne medlemslister - studentsamskipnaden - aviser omtale av uteksaminerte studenter - samtykke 08.06.2011 Side 19
2) Utsendelse av e-poster til flere mottakere Er utsending av felles e-poster til flere grupper personer i strid med personopplysningsloven? Nei! Men mottakere skal/bør skjules, for eksempel ved bruk av funksjonen blindkopi. 08.06.2011 Side 20
3) Forespørsler om å bekrefte opplysninger Utlevering av opplysninger om hvorvidt en person er/har vært student ved institusjonen, på bestemt semester, studium, emne, samt utlevering av adresse, telefonnummer mv. Til hvem, hvorfor? - Behandlingsgrunnlag? - Formål - Relevans Bekrefte opplysninger fra potensiell arbeidsgiver/rekrutteringsfirma - søker gir selv aktuelle opplysninger - forutsetning om fremleggelse av dokumentasjon, sml. Politiattest - andre mer egnede virkemidler? Fremleggelse av originaler? 08.06.2011 Side 21
4) Læringsplattformer Kan en undervisningsinstitusjon kreve at elevers/studenters arbeider/opptak/bilder publiseres åpent på nettet og brukes som læringsressurs av andre? Skille mellom publisering på åpen nettside og lukket forum, eksempelvis Fronter/It s learning. Forutsatt som obligatorisk del av undervisningsopplegg? Nødvendig? For eksempel: prosessorientert skriving nødvendig med tilbakemeldinger fra medstudenter. Ofte integrert del av undervisningsopplegg. 08.06.2011 Side 22
4) Fortsettelse Hvilken informasjon kan deles om deltakerne? Vurderingstema: hva er nødvendig å dele? Formål. - Kontaktopplysninger: forutsetning om kommunikasjon mellom studentene? Behov for deling av navn og e-postadresse - Telefonnummer: neppe - Besvarelser: som del av læringsprosess, forutsetning for oppfyllelse av læringskrav - ja - Kommentarer fra lærer/veileder mv.: som over. - Oversikt over hvem som har levert: skille mellom vanlige innleveringer og obligatorisk oppgave/eksamen? NB! Viktig med informasjon til studentene. 08.06.2011 Side 23
4) Fortsettelse Lagring av personopplysninger i forbindelse med digitalt tilrettelagt undervisning opplysninger om elevers/studenters aktiviteter i læringsplattformer. Hvilke opplysninger lagres? til hvilke formål? Logging av sikkerhetsmessige årsaker? Hvor lenge lagres opplysningene? Maksimalt ett studieår, student må aktivt lagre relevant materiale. 08.06.2011 Side 24
4) Tilgang/innsyn privat kommunikasjon Digitale læringsplattformer inneholder ofte funksjoner som e-post og chatting. Privat kommunikasjon korrespondanse, ytringsfrihet Sml. Innsyn i arbeidstakers e-postkasse, jf. personopplysningsforskriften kapittel 9. Gjelder så langt de passer for universiteters og høyskolers innsyn i studenters e-postkasse. Høy terskel Særlige prosedyrer, krav på informasjon 08.06.2011 Side 25
5) Publisering på Internett Adgang til å publisere opplysninger om studentene på Internett? - Navn og e-postadresser: samtykke - sml. arbeidsforhold - Særlige hensyn? For eksempel kontaktperson til ulike foreninger/utvalg mv. Del av arbeidsbeskrivelse/forutsetning for å kunne ivareta verv? 08.06.2011 Side 26
6) Adgang til å utlevere bilder? Hovedregel: må baseres på et samtykke fra den registrerte - Behandlingsgrunnlag i pol. 8 Sml. Åndsverksloven 45c: samtykke av den avbildede, unntatt når: aktuell og allmenn interesse, person = mindre viktig enn hovedinnholdet, bilde av forsamlinger, folketog i friluft, forhold/hendelser av allmenn interesse, 08.06.2011 Side 27
E-post Kan knyttes til enkeltperson - Innholdet - Opplysningene i systemet om avsender og mottaker - Rt. 2002 s. 1500 postkasse@virksomhet.no Ola.normann@hotmail.com Ola.nordmann@virksomhet.no 08.06.2011 Side 28
Nye regler om innsyn i e-post mv. Nytt kapittel 9 i personopplysningsforskriften vedtatt 29. januar 2009 - i kraft 1. mars 2009 Formål: klargjøre arbeidsgivers adgang til å gjøre innsyn, samtidig som den ansatte vernes mot urimelig kontroll I stor grad kodifikasjon av tidligere praksis skillet privat/virksomhetsrelatert e-post varsling Klargjør forbudet mot kontinuerlig overvåking ( 7-11) aktivitetslogg kan ikke benyttes for å overvåke eller kontrollere den enkelte 08.06.2011 Side 29
Nye regler om innsyn i e-post mv. - fortsettelse Personopplysningsforskriften 9-1 Arbeidsgivers rett til innsyn i arbeidstakers e-postkasse arbeidsgiver = den behandlingsansvarlige databehandler: andre som utfører, eller har utført, arbeid for arbeidsgiver Konkretisering av interesseavveiningen i pol. 8 bokstav f 08.06.2011 Side 30
Nye regler om innsyn i e-post mv. - fortsettelse Reglene omfatter også: - Gjennomsøkning av og innsyn i arbeidstakers personlig område, andre elektroniske kommunikasjonsmedier og annet elektronisk utstyr etc. - Slettede elementer (rekonstruert materiale) Regelverket gjelder så langt det passer: - Universiteter og høyskoler studenter/elever - Organisasjoner og foreninger frivillige/tillitsvalgte 08.06.2011 Side 31
Vilkår for innsyn - 1 POF 9-2 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post: a) når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten Ivareta den daglige driften arbeidstakers fravær dersom det er god grunn til å tro at det er kommet virksomhetsrelaterte meldinger som arbeidsgiver trenger av driftshensyn. Berettigede interesser målestokken er hva man i alminnelighet anser som legitime hensyn ved en virksomhet. 08.06.2011 Side 32
Vilkår for innsyn - 2 POF 9-2 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post : b) ved begrunnet mistanke om at arbeidstakerens bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed Brudd på konkurranseklausul Nedlastning av barneporno 08.06.2011 Side 33
Prosedyrer for innsyn POF 9-3 Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg Krav til varslets innhold: begrunnelse for hvorfor vilkår i 9-2 anses oppfylt orientere om arbeidstakers rettigheter etter bestemmelsen Arbeidstakeren skal så langt som mulig gis anledning til å være tilstede og har rett til å la seg bistå 08.06.2011 Side 34
Prosedyrer for innsyn - fortsettelse Innsyn uten forutgående varsel - arbeidstakeren skal gis skriftlig underretning så snart innsynet er gjennomført: - begrunnelse for hvorfor vilkår i 9-2 anses oppfylt - opplysninger om hvilken metode for innsyn som ble benyttet - hvilke e-poster/dokumenter ble åpnet? - resultatet av innsynet Unntak fra varsel og etterfølgende underretning pol. 23 08.06.2011 Side 35
Unntak fra retten til informasjon Personopplysningsloven 23 - til skade for rikets sikkerhet, landets forsvar, forholdet til fremmede makter eller internasjonale organisasjoner - forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger - utilrådelig av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær - lovhjemlet taushetsplikt - intern saksforberedelse - i strid med åpenbare og grunnleggende private eller offentlige interesser
Hva kan man søke etter? Krav om relevans nødvendighet Hva leter man etter? Kvalitetssikring av søkestreng hotmailadresse navn på arbeidstaker kontrakt as Velge en metode som kan etterprøves notoritet, POF 2-16 protokoll hvem var til stede, hvilken metode ble brukt, søkestreng, hvilke dokumenter ble åpnet mv. 08.06.2011 Side 37
Sletting mv. ved opphør av arbeidsforholdet POF 9-4 E-postkassen skal avsluttes og innhold som ikke er nødvendig for den daglige driften av virksomheten skal slettes innen rimelig tid Den ansatte bør: slette eventuelle private meldinger overføre/arkivere virksomhetsrelatert e-post etter avtale med ledelsen gi beskjed til sine kontakter om eventuell ny adresse for privat og virksomhetsrelatert e-post 08.06.2011 Side 38
Gjelder reglene i alle situasjoner? POF 9-5 Ikke adgang til å lage instruks eller avtale som fraviker bestemmelsene til ugunst for arbeidstaker Reglene gjelder for innsyn som har et kontrollaspekt Fortsatt behov for datainstruks 08.06.2011 Side 39
Sanksjoner Pålegg om endring eller opphør av ulovlige behandlinger, jf. 46 jf. 42, 3. ledd Overtredelsesgebyr, jf. 46 Tvangsmulkt, jf. 47 (Straff, jf. 48) Brudd på 19 og 20 Innspill til lovrevisjonen 08.06.2011 Side 40
Takk for meg! www.datatilsynet.no postkasse@datatilsynet.no Tlf. 22 39 69 00 mhn@datatilsynet.no 08.06.2011 Side 41