Vi tar personvern og informasjonssikkerhet på alvor, og vi vil alltid forsøke å sikre systemer og rutiner så godt som mulig. Avvik kan likevel oppstå, og derfor er det viktig at vi vet hva vi gjør da, både internt i høgskolen, men også i forhold til eksterne parter som Datatilsynet og berørte registrerte.
- Ved middels til høy risiko skal avviket meldes til Datatilsynet snarest, og senest innen 72 timer.
- Ved høy risiko skal berørte registrerte få beskjed umiddelbart.
For å vurdere grad av risiko, se Datatilsynets nettsider her.
Uansett risikonivå skal avviket håndteres og dokumenteres internt på høgskolen, og dersom det vurderes at Datatilsynet og/eller berørte registrerte ikke trenger å bli informert, skal dette begrunnes i en intern avviksrapport.
Relevante dokumenter:
- Mappe for informasjonssikkerhet
- Avvikslogg
- Mappe for avviksrapporter
- Avviksrapporter
Rutinebeskrivelse
-
Hvem er ansvarlig for å utføre de ulike aktivitetene?
Alle ansatte er ansvarlig for å melde inn avvik, om det er brudd på informasjonssikkerheten (f.eks. ved virus, hacket PC eller lignende) eller brudd på personopplysningssikkerheten (f.eks. personopplysninger på avveie, utlevert til feil person eller lignende).
Høgskolen plikter å informere alle ansatte om gjeldende rutiner, særlig nyansatte. IT-sjefen er overordnet ansvarlig for at ansatte er godt informert.
CSO er videre overordnet ansvarlig for å håndtere og følge opp avvik, og sørge for at relevante ansatte og parter involveres.
2. Hva skal utføres av de ulike ansvarlige?
-
Alle ansatte er ansvarlig for å rapportere avvik som oppdages, umiddelbart til personvernombudet, og be om en bekreftelse på at avviksmeldingen er mottatt. Beskjed om avvik skal rapporteres på e-post. Om mulig skal avviket korrigeres med en gang.
-
Personvernombudet skal registrere og dokumentere alle avvik, og sørge for at korrigerende tiltak iverksettes umiddelbart.
-
CSO skal, i samråd med relevante ansatte, snarest vurdere (og dokumentere) risikoen knyttet til avviket:
- Er det nødvendig å melde inn avviket til Datatilsynet (middels/høy risiko)?
- Er det nødvendig å informere berørte registrerte (høy risiko)?
3. Hvordan skal aktivitetene utføres?
CSO skal umiddelbart iverksette nødvendige tiltak, ut fra risikovurderingen som er gjort i steg 2. I tilfelle avviksmelding må sendes til Datatilsynet, benyttes malen nedenfor. I tilfelle berørte registrerte må informeres, skal høgskolen vurdere hvordan dette mest hensiktsmessig kan gjøres, ut fra hvilken kategori registrerte som er berørt. Dette kan eventuelt diskuteres direkte med Datatilsynet.
4. Når skal de ulike aktivitetene utføres, eller under hvilke betingelser?
Alle avvik skal håndteres umiddelbart, uavhengig av risikonivå, men jo høyere risiko, jo mer kritisk er det at avviket følges opp raskt, og da i tett dialog med Datatilsynet.
5. Hva er forventet resultat ved utførelse av rutinen?
Å få raskt oversikt over og kontroll på avviket, eventuelle konsekvenser for ulike parter (høgskolen selv og eventuelle berørte parter), og få iverksatt nødvendige tiltak så snart som mulig.