Retningslinjer for handsaming av personopplysningar

Retningslinjer for behandling av personopplysningar

Behandling av personopplysningar i kommunen blir regulert av lov om personopplysningar som trådde i kraft 1.1. 2001 og erstatta personregisterlova frå 1978. Lova gjeld for behandling av personopplysningar som heilt eller delvis skjer med elektroniske hjelpemiddel, og anna behandling av personopplysningar når desse inngår eller skal inngå i eit personregister (jfr. § 3).

Det følgjande kapittelet er ein presentasjon av viktige punkt i personopplysningslova og omfattar definisjonar, vilkår for å behandle personopplysningar, reglar om informasjon og innsyn i personopplysningar og bevaring av personopplysningar.

Denne presentasjonen erstattar ikkje dokumentasjonen av informasjonstrygging og internkontroll som forskrift til personopplysingslova krev. Dette inneber mellom anna dokumentasjon av tryggingsmål- og midlar, risikovurdering, oversikt over kva slags personopplysningar som behandlast i kommunen, etablering av systematiske internkontrolltiltak. Sjå forskrift til personopplysningslova.

Definisjon av personopplysningar

Lova definerer personopplysningar som opplysningar som kan knytast til ein enkeltperson.

Sensitive personopplysningar er definert som opplysningar om

• rasemessig eller etnisk      bakgrunn, eller politisk, filosofisk eller religiøs oppfatning,
• at ein person har vore      mistenkt, sikta, tiltalt eller dømt for ei straffbar handling,
• helseforhold,
• seksuelle forhold,
• medlemskap i fagforeiningar.

Behandlingsansvarleg

Ei verksemd som behandlar personopplysningar skal ha ein behandlingsansvarleg, som er ansvarleg for at behandlinga skjer i samsvar med føresegnene i personopplysningslova med forskrifter. I kommunen ligg behandlingsansvaret hos rådmannen, men dette kan delegerast til t.d. leiar for administrative einingar som behandlar personopplysningar.

Behandlingsansvarleg skal sørgje for at personopplysningar

• berre blir behandla når dette      er lovleg etter § 8 og § 9 i personopplysningslova,
• berre blir nytta til      uttrykkjeleg fastsette formål som er sakleg grunngjeve i den behandlingsansvarlege      si verksemd
• ikkje seinare blir brukt til      formål som er uforeinlege med det opphavlege formålet, med mindre den      registrerte samtykkjer,
• er tilstrekkelege og      relevante for formålet med behandlinga
• er korrekte og oppdaterte, og      ikkje blir lagra lenger enn nødvendig ut frå formålet med behandlinga.

Behandlingsansvarleg er vidare ansvarleg for å oppfylle lova sine krav om informasjonsplikt, innsyn, retting og sletting av opplysningar, informasjonstryggleik og internkontroll.

Vilkår for å behandle personopplysningar

Behandling av personopplysningar er etter § 8 i personopplysningslova lovleg når det ligg føre anten samtykke frå den registrerte (eller den registrerte sine føresette) eller heimel i lov, og når behandlinga er nødvendig for å oppfylle bestemte formål fastsett i lova (m.a. oppfylle ein avtale med den registrerte, oppfylle ei rettsleg plikt, ta vare på den registrerte sine vitale interesser, og utøve offentleg myndigheit).

For å behandle sensitive personopplysningar krev personopplysningslovas § 9 at det ligg føre samtykke eller heimel i lov, når opplysningane er friviljug gjort kjent av personen, eller at behandlinga er nødvendig for

• å verne ein person sine      vitale interesser og denne ikkje kan samtykke,
• å fastsetje, gjere gjeldande      eller forsvare eit rettskrav,
• å gjennomføre      arbeidsrettslege pliktar og rettar,
• førebyggjande eller kurativ      sjukdomsbehandling.

Behandling for historiske og statistiske formål er lovleg når samfunnet si interesse i at dette skjer klart overstig ulempene for den registerte.

Samtykke

Samtykke skal vere ei friviljug, uttrykkjeleg og informert erklæring om at ein person (eller personen sine føresette) godtar behandling av opplysningar om vedkommande.

• Friviljug samtykke er eit      samtykke som ikkje er avgitt under tvang, korkje frå den      behandlingsansvarlege eller frå andre.
• Uttrykkjeleg samtykke vil      seie at personen føretar seg noko aktivt for å samtykke, som å sende inn ein      svarslipp e.l.
• Informert samtykke vil seie      at personen får tilstrekkeleg informasjon til å forstå kva behandlinga      gjeld og kva konsekvensar det kan få. Informasjonen skal minst omfatte:      kven som er behandlingsansvarleg, kva opplysningane skal brukast til, om      opplysningane vil bli utlevert til andre og kven som er mottakar, om det er      friviljug å gi frå seg opplysningane, kor lenge opplysningane vil bli      behandla eller oppbevart, og anna informasjon som gjer den registrerte i      stand til å bruke sine rettar etter lova på best muleg måte, som t.d. om      retten til å krevje innsyn, retting og sletting.

Den som skal registrerast kan samtykke munnleg eller skriftleg, elektronisk eller på papir. Det må gå klart og utvetydig fram at den registrerte samtykker, kva behandlingar samtykket omfattar, og kva behandlingsansvarleg samtykket er retta til. Behandlingsansvarlege skal kunne sannsynleggjere at samtykket er gitt. Dette er lettare dersom samtykket er gitt skriftleg.

Verje må samtykke for mindreårige og umyndiggjorde.

Krav om informasjon

Når det blir samla inn personopplysningar frå ein person, skal denne bli informert om kven som er behandlingsansvarleg, formålet med behandlinga, om opplysningane vil bli utlevert og kven som eventuelt er mottakar, om det er friviljug å gi frå seg opplysningane og anna som gjer den registrerte i stand til å bruke sine rettar på best mulig måte. Dette er ikkje nødvendig dersom det er på det reine at den registrerte alt kjenner til denne informasjonen.

Ein registrert har same rett til informasjon når det blir samla inn personopplysningar frå andre, i tillegg til informasjon om kva slags opplysningar som blir samla inn. Den registerte skal informerast så snart opplysningane er innhenta.

Dersom formålet med innsamling av opplysningane er å gi dei vidare til andre, kan behandlingsansvarleg vente med å varsle til utleveringa skjer.

Ein person har ikkje krav på varsel når innsamling eller formidling av opplysningane er uttrykkjeleg fastsett i lov, når varsling er umuleg eller uforholdsmessig vanskeleg, eller det er på det reine at den registrerte alt kjenner til informasjonen varslet skal innehalde.

Informasjon kan krevjast skriftleg.

Melde- og konsesjonsplikt

Hovudregelen i lova er at behandling av personopplysningar er meldepliktig, medan behandling av sensitive opplysningar er konsesjonspliktig.

Behandling av personopplysningar i organ for stat eller kommune er unntatt konsesjonsplikt når behandlinga har heimel i eiga lov. Slike behandlingar vil vera meldepliktige. For behandling av sensitive personopplysningar som ikkje har heimel i lov vil det vera konsesjonsplikt.

Det skal sendast melding til Datatilsynet på eige skjema seinast 30 dagar før behandlinga tar til. Datatilsynet skal gi den behandlingsansvarlege kvittering for at meldinga er mottatt, som dokumentasjon for at meldeplikta er oppfylt. Kvitteringa skal ikkje oppfattast som ei godkjenning av at behandlinga tilfredsstiller dei andre føresegnene i personopplysningslova. Meldingane skal være offentleg tilgjengelege. Det skal sendast ny melding etter tre år, eller ein ny juridisk person blir ansvarleg for behandlinga eller formålet med behandlinga blir endra. Ved endring av andre forhold enn juridisk behandlaransvar og formålet med behandlinga skal ein sende endringsmelding.

Informasjonstryggleik og internkontroll

Den behandlingsansvarlege skal gjennom planlagte og systematiske tiltak sørgje for tilfredsstillande informasjonstryggleik med omsyn til

• sikring av konfidensialitet,      dvs. vern mot at uvedkommande får innsyn i opplysningane.
• sikring av integritet, dvs.      vern mot utilsikta endring av opplysningane.
• sikring av tilgang, dvs.      sørgje for at tilstrekkelege og relevante opplysningar er til stades
• ved behandling av      personopplysningar.

For å oppnå tilfredsstillande informasjonstryggleik skal den behandlingsansvarlege dokumentere informasjonssystemet og sikringstiltaka. Tryggingssystemet skal byggje på kjende teknikkar og anerkjende system for kvalitetsstyring, internkontroll og informasjonstryggleik. Dokumentasjonen skal omfatte organisering, rutinar for bruk av systemet og registrering av hendingar, og skal være tilgjengeleg for medarbeidarane.

Tryggingstiltaka skal etablerast etter ei konkret vurdering av dei personopplysningane som blir behandla i høve til dei truslane mot informasjonstryggleiken som er til stades.

Krava til informasjonstryggleik er behandla i § 13 i personopplysningslova og i kapittel 2 i forskrifta. Forskrifta fastset detaljerte krav for personopplysningar som heilt eller delvis blir behandla med elektroniske verktøy, medan lovparagrafen regulerer anna behandling av personopplysningar. Krava til internkontroll er behandla i § 14 i lova og kapittel 3 i forskrifta. Krava til internkontroll er behandla i § 14 i lova.

Informasjon og innsyn

Behandlingsansvarleg har plikt til å gi informasjon om kva slags behandling av personopplysningar som skjer og til å gi partsinnsyn til registrerte. Alle har rett til å få vite kven som er behandlingsansvarleg, formålet med behandlinga og kva slags personopplysningar denne omfattar, kor opplysningane er henta frå og kven dei evt. vil bli utlevert til.

Dersom vedkommande er registrert, skal han/ho få innsyn i kva slags opplysningar om seg sjølv som blir behandla og om kva tryggingstiltak som er sett i verk for å sikre opplysningane. Denne informasjonen skal ikkje vera så utfyllande at tryggingstiltaka blir svekkja. 

Behandlingsansvarleg kan krevje at krav om innsyn blir lagt fram skriftleg.

Unntatt frå innsyn er opplysningar som

• ein må rekne at det er      utilrådeleg at den registrerte får kjennskap til, av omsyn til eiga helse      eller forholdet til personer som står vedkommande nær. Slike opplysningar      kan gjerast kjent for ein representant for den registrerte når ikkje      særlege grunnar talar mot det.
• det gjeld lovbestemt gjelder      teieplikt for
• berre finst i tekst som er      utarbeida for den interne saksførebuinga og heller ikkje er utlevert til      andre
• det vil vera i strid med      openbare og grunnleggjande private eller offentlege interesser å informere      om, m.a. omsynet til den registrerte sjølv.

Opplysningar som kan skade riket sin tryggleik m.v. og opplysningar som må haldast hemmelege på grunn av etterforsking m.v. av straffbare handlingar, er også unntatt frå innsyn.

Avslag på krav om innsyn skal grunngjevast med presis referanse til unntaksheimelen.

Behandling av opplysningar til statistiske og historiske formål gir ikkje grunnlag for partsinnsyn.

Bevaring av personopplysningar

Personopplysningar med administrativ, rettsleg, kulturell eller forskingsmessig dokumentasjonsverdi skal takast vare på for ettertida når dei ikkje lenger vert nytta for sitt opphavlege formål.

Det er vedtekter gjevne i eller i medhald av arkivlova som avgjer om personopplysningar som har gått ut av bruk skal bevarast for ettertida eller ikkje. Oppbevaring for ettertida skjer ved avlevering etter faste rutinar og tidsfristar til arkivdepot (sjå retningsliner for avlevering av arkiv i kapittel 3 og arkivoversynet i kapittel 2).

I einskilde høve kan personopplysningar rettast eller slettast (sjå etterfølgjande punkt), men då berre etter heilt særskilde retningsliner. Legg merke til at vedtektene både i arkivlova og personopplysningslova legg til grunn at ein ikkje kan slette feilaktige eller mangelfulle opplysningar dersom dei har dokumentasjonsverdi.

Retting av personopplysningar

Hovudregelen for retting av personopplysningar er nedfelt i personopplysningslova § 27.

Det går her fram at behandlingsansvarleg har plikt til å rette personopplysningar som er urette, ufullstendige eller som det ikkje er høve til å behandle. Dette skal skje på eige initiativ eller etter krav frå den registrerte.

Men merk at rettinga av urette eller ufullstendige opplysningar som kan ha verdi som dokumentasjon, skal skje ved at opplysningane vert markerte og supplerte med korrekte opplysningar. Dette er heilt i tråd med arkivlova § 9 bokstav d der heiter at arkivmateriale ikkje kan ”rettast på ein slik måte at tidlegare urette eller ufullstendige opplysningar vert sletta, dersom desse har hatt noko å seia for saksførebuinga, vedtak eller anna som etter føremålet med denne lova bør kunne dokumenterast”. 

Dersom tungtvegande personvernomsyn tilseier det kan Datatilsynet gjera unntak frå kravet om dokumentert retting. I slike tilfelle kan Datatilsynet bestemma at retting av mangelfulle personopplysningar skal skje ved at dei vert sletta. Slike vedtak går framfor vedtektene i arkivlova, men Riksarkivaren skal høyrast dersom slettinga strir imot bevaringsvedtektene.

(Jfr. personopplysningslova §27 for meir utfyllande reglar).

Sletting av personopplysningar

Den som personopplysningane omhandlar kan krevja at opplysningar som kjennest tyngjande vert sletta. Dersom eit slikt krav strir mot vedtekter gjevne i medhald andre lover, til dømes arkivlova, kan ikkje kravet gjerast gjeldande. I slike tilfeller kan Datatilsynet – etter at Riksarkivaren er høyrd – vedta at personopplysningar skal slettast dersom tungtvegande personvernomsyn tilseier det. Dette vedtaket går då framom bevaringsreglane i arkivlova. (Jfr. personopplysningslova §28 for meir utfyllande reglar).

Klagerett på Datatilsynet sitt vedtak om sletting

ersom Datatilsynet fattar vedtak om sletting av personopplysningar etter §§ 27 og 28 i personopplysningslova kan vedtaket klagast inn for Personvernnemnda av Riksarkivaren eller andre involverte instansar. Dersom klaga til Personvernnemnda ikkje fører fram, kan avgjersla påklagast vidare til Kongen. (Jfr. personopplysningslova §§ 43 og 42 siste ledd for meir utfyllande reglar).  Denne doble klageretten må forståast utifrå at lovgjevar ønskjer ei særleg grundig behandling før opplysningar som moglegvis kan vera bevaringsverdige vert sletta. Det er med andre ord personvernomsynet som skal særleg nøye vegast mot omsynet til bevaring av historiske data for ettertida.