Håndtering av personopplysninger
Iverksettelse eller opphør av behandling
Når ny behandling iverksettes eller endres og når en behandling opphører, skal dette registreres i behandlingsprotokollen.
Systemeier og/eller prosesseier er ansvarlig for at dette blir gjort.
Informasjon til de registrerte
Informasjon gis gjennom personvernerklæringer for studenter og ansatte, samt et informasjonsskriv til registrerte i forskningsprosjekt/studentoppgaver.
Henvendelser fra registrerte (innsyn, retting og sletting)
Denne rutinen er utarbeidet i samsvar med personvernforordningen artikkel 15, artikkel 16, artikkel 17 og artikkel 19, og beskriver HiMoldes rutiner for registrertes rettigheter knyttet til innsyn, retting og eventuell sletting av sine personopplysninger. Rutinen skal sikre at vi besvarer alle slike henvendelser innen fristen, på riktig måte og at de blir loggført.
I henhold til artikkel 12 skal vi, uten ugrunnet opphold, og senest én måned etter vi har mottatt en slik henvendelse, svare den registrerte.
Fristen kan forlenges med ytterligere to måneder hvis det kommer svært mange henvendelser samtidig og/eller henvendelsen(e) er særlig komplekse. Personvernombudet skal informere den registrerte om enhver slik forlengelse senest én måned etter mottak av henvendelsen, sammen med en begrunnelse for forsinkelsen.
Det opprettes sak i P360, og alle dokumenter lagres her.
Rutinebeskrivelse
-
Hvem er ansvarlig og hva skal utføres av de ulike ansvarlige
- Alle ansatte skal umiddelbart videresende henvendelser fra registrerte til personvernombudet.
- Personvernombudet, som mottar henvendelser fra registrerte, enten direkte eller fra en annen ansatt, skal etter skjønn involvere andre personer ved høgskolen, f.eks. CSO, jurist og/eller IT-sjef.
- Personvernombudet skal registrere og dokumentere alle henvendelser, og sørge for at oppfølgende tiltak iverksettes, og at den registrerte får svar på henvendelsen innen fristen.
- Personvernombudet skal sørge for at identiteten til den registrerte bekreftes, før personopplysninger deles med den registrerte.
NB! Vi skal fortrinnsvis informere om hva slags personopplysninger vi behandler, og kun sende kopi av personopplysningene dersom den registrerte spesifikt ber om dette.
-
Hvordan skal aktivitetene utføres?
-
Ved forespørsel om innsyn
-
Bekreft identiteten til den registrerte: ved ikke-sensitive personopplysninger (inkludert særlige kategorier) kan identiteten bekreftes med e-postadressen vedkommende sender henvendelsen fra, dersom det er samme adresse vi har registrert i våre systemer. I tvilstilfeller må den registrerte vise frem gyldig ID; personlig eller f.eks. via en videosamtale. Alternativt kan den registrerte laste opp kopi av ID til en sikker, delt mappe vi har opprettet, som slettes umiddelbart etter at den registrerte har fått svar på henvendelsen sin. NB! Vi skal unngå å be om at ekstra personopplysninger (og i alle fall særlige kategorier / sensitive) sendes til oss for slik identifikasjon.
-
Sjekk hvilken kategori av registrerte vedkommende tilhører. Still kontrollspørsmål for å se om vedkommende tilhører flere kategorier. En ansatt kan f.eks. samtidig være student ved skolen. Se liste over alle kategorier her.
-
Sjekk i relevant kolonne i behandlingsprotokollen for hvilke opplysninger vi behandler for de aktuelle kategoriene av registrerte.
-
Sjekk aktuelle systemer for personopplysninger vi behandler om den registrerte.
-
Sammenstill informasjonen om personopplysningene vi behandler for den registrerte.
-
Informer den registrerte via e-post om hvilke personopplysninger vi behandler om vedkommende. Sett relevante ansatte på kopi, f.eks. personvernombud, IT-sjef, jurist og andre, jfr. ansvarsfordeling i punkt 1.3.1 og ev. personvernkontakter i punkt 2.2.1. Hvis den registrerte ønsker/krever de konkrete opplysningene (fremfor kun informasjon om type opplysninger vi behandler), kan disse deles i en sikker, delt mappe, som den registrerte får tilgang til med passord sendt på SMS. Innholdet i mappen slettes sikkert/permanent etter at den registrerte har bekreftet mottak av opplysningene.
-
Merk henvendelsen som fullført på sak,
-
Ved forespørsel om retting
-
Bekreft identiteten til den registrerte (se over).
-
Oppdater aktuelle systemer med de nye opplysningene. Ved større endringer, f.eks. navnebytte, må den registrerte vise frem / sende inn nødvendig dokumentasjon.
-
Informer den registrerte om at opplysningene er oppdatert.
-
Merk henvendelsen som fullført på sak.
-
Ved forespørsel om sletting
-
Ved alle forespørsler om sletting skal personvernombud, jurist og IT-sjef involveres.
-
Følg samme prosedyre som ved innsyn for følgende:
-
Bekreft identiteten.
-
Sjekk aktuelle kategori(er) av registrerte vedkommende tilhører.
-
Sjekk behandlingsprotokollen for aktuelle personopplysninger.
-
Sjekk relevante systemer for personopplysningene.
-
Sjekk det rettslige grunnlaget vi har for å behandle personopplysningene den registrerte ber om å få slettet.
-
Personvernombud, i samråd med jurist og IT-sjef, vurderer om opplysningene kan slettes, og hvordan dette i så fall skal utføres.
-
Informer den registrerte om vurdering og beslutning, med begrunnelse i tilfelle personopplysninger ikke kan slettes, samt retten deres til å klage en avvisning om sletting inn til Datatilsynet.
-
Merk henvendelsen som fullført på sak.
4. Når skal de ulike aktivitetene utføres, eller under hvilke betingelser
-
Alle henvendelser skal besvares så snart som mulig, og senest innen én måned etter at den er mottatt.
-
Hvis vi har mottatt svært mange henvendelser samtidig, eller spesielt kompliserte henvendelser, kan vi forlenge svarfristen med opptil to måneder. I slike tilfeller skal den registrerte informeres senest én måned etter mottatt henvendelse, og vi skal begrunne forsinkelsen.
5. Hva er forventet resultat ved utførelse av rutinen?
Å være i stand til å innfri registrertes rettigheter etter kravene i personvernforordningen.
Tilsynskontroll fra Datatilsynet
Denne rutinen er utarbeidet for å bidra til generell god etterlevelse av personvernforordningen. Den beskriver høgskolens rutiner for å håndtere en tilsynskontroll fra Datatilsynet på en tilfredsstillende måte.
Tilsynskontroll opprettes som sak i P360.
Rutinebeskrivelse
-
Hvem er ansvarlig for å utføre de ulike aktivitetene?
Personvernombudet skal samarbeide med Datatilsynet og fungere som et kontaktpunkt for tilsynet ved eventuelle spørsmål. Personvernombudet skal legge til rette for at Datatilsynet får den informasjonen det trenger for å utføre sine oppgaver og plikter, for eksempel i forbindelse med tilsynskontroll.
-
Hva skal utføres av de ulike ansvarlige?
CSO skal registrere og besvare henvendelser, samt sørge for at nødvendige/eventuelle oppfølgende tiltak iverksettes. CSO delegerer oppgaver etter behov.
-
Hvordan skal aktivitetene utføres?
-
Besvare henvendelsen
CSO besvarer henvendelsen så snart som mulig; bekrefter mottatt henvendelse og redegjør kort for videre oppfølging fra høgskolens side. Ledelsen og personvernombud settes på kopi.
-
Sammenstille nødvendig dokumentasjon
CSO sørger for å sammenstille nødvendig dokumentasjon, f.eks. behandlingsprotokoll, rutinebeskrivelser, risikovurdering, personvernerklæringer m.m. GDPR-relatert dokumentasjon skal ligge i inneværende års GDPR-mappe.
-
Overlevere/tilgjengeliggjøre nødvendig dokumentasjon
CSO sørger for å overlevere/tilgjengeliggjøre nødvendig dokumentasjon til Datatilsynets kontaktperson(er), samt å følge opp ytterligere forespørsler.
-
Når skal de ulike aktivitetene utføres, eller under hvilke betingelser?
Alle henvendelser skal besvares så snart som mulig og senest innen én uke.
-
Hva er forventet resultat ved utførelse av rutinen?
Å være i stand til å svare tilfredsstillende på henvendelser fra Datatilsynet innen kort tid.
Sletting (på eget initiativ)
Denne rutinen er utarbeidet for å bidra til god etterlevelse av personvernforordningen, jfr. fortalens punkt 39 og artikkel 5, 17 og 30. Den beskriver hvordan høgskolen skal etterleve et viktig prinsipp i lovverket, nemlig at en ikke skal behandle personopplysninger lenger enn det som er nødvendig. Sletting av personopplysninger skal gjøres når vi ikke lenger har et formål og et rettslig grunnlag for behandling.
Rutinebeskrivelse
Alle våre behandlinger er beskrevet i behandlingsprotokollen. Her fremgår også hvem som er ansvarlig for den enkelte behandling. Vedkommende er også ansvarlig for eventuell sletting knyttet til denne behandlingen.
Den ansvarlige, og systemeier, skal i forkant av den årlige ledelsens gjennomgang gå gjennom disse for å sikre at relevant data slettes i henhold til aktuelle rutiner.
Som hovedregel skal slettingen beskrives og oversendes til personvernombud. Personvernombudet loggfører opplysningene som sak i arkivsystemet.