Personvernerklæring for ansatte

Høgskolen i Moldes personvernerklæring for jobbsøkere, ansatte og tidligere ansatte

Som en offentlig institusjon føler vi et ekstra ansvar for å beskytte personopplysningene dine. Uansett om du er en jobbsøker, er ansatt hos oss i dag eller har vært det tidligere, kan du være trygg på at vi setter personvernet ditt høyt og at vi har tatt nødvendige steg for å innrette oss etter personopplysningsloven, inkl. personvernforordningen (GDPR). 

For behandling av personopplysninger for søkere, studenter og tidligere studenter, se egen personvernerklæring her. 

Behandlingsansvarlig 

Høgskolen i Molde er behandlingsansvarlig for all behandling av personopplysninger der vi selv bestemmer formålet med denne behandlingen og virkemidlene som benyttes. Administrerende direktør har det overordnede ansvaret for personvernet ved administrative behandlinger ved Høgskolen i Molde, og Rektor har det overordnede ansvaret for personvernet knyttet til forskning. Den daglige ansvaret er videre delegert til nøkkelpersoner i organisasjonen. Merk at delegeringen kun omfatter oppgavene og ikke ansvaret. 

Hvem kan du kontakte hvis du lurer på noe? 

Les først nøye gjennom denne personvernerklæringen og spesielt om personvernrettighetene dine i avsnittet Dine rettigheter nedenfor. Hvis du fortsatt er usikker på hvordan vi tar vare på personvernet ditt, eller du har andre spørsmål til rettighetene dine, vil vi oppfordre deg til å kontakte oss på personvernombud@himolde.no.  

Hvis du mener at vi har brutt noen av rettighetene dine, eller du føler deg urettmessig behandlet på personvernområdet, kan du også kontakte personvernombudet for råd og veiledning. Personvernombudet har taushetsplikt dersom du ønsker å si fra om noe i fortrolighet. 

Ditt personvern – kort oppsummert 

Vi behandler personopplysninger om deg på ulike stadier i «ansattreisen» din: 

  • Når du er i dialog med oss om en stilling du er interessert i 
  • Når du søker på en stilling (jobbsøker) 
  • Når du har fått jobb hos oss (er ansatt) 
  • Når du er en tidligere ansatt  

Vi behandler (samler inn, bruker, lagrer, registrerer m.m.) ulike typer personopplysninger om deg avhengig av hvor du er i ansattreisen hos oss.  

Per i dag behandles ikke personopplysningene dine automatisk (ingen automatisert saksbehandling). 

Formål og rettslig grunnlag for behandling 

Overordnet er vårt viktigste formål å oppfylle pliktene våre som en offentlig utdanningsinstitusjon, og det vanligste rettslige grunnlaget vårt for å behandle personopplysningene dine er i personvernforordningen artikkel 6-1 bokstav e): nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, med lovhjemmel i universitets- og høyskoleloven, og artikkel 6-1 bokstav b): nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse. 

For ansatte plikter vi også å behandle personopplysningene dine med lovhjemmel i arbeidsmiljøloven, statsansatteloven, skatteforvaltningsloven, regnskapsloven, offentleglova, forvaltningsloven og arkivlova. Vi vil uansett kun behandle personopplysninger om deg som vi mener er nødvendig for å være i stand til å oppfylle formålet. 

Noen ganger er det rettslige grunnlaget ditt samtykke, men typisk for behandlinger av mindre betydning, f.eks. påmelding til høgskolens sosiale arrangementer, eller bruk av bildet ditt i høgskolens nettsider. 

Les utfyllende om behandlinger, formål og rettslige grunnlag nedenfor.  

Dine rettigheter 

Med personopplysningsloven, og spesielt ny personvernforordning (GDPR), står personvern sterkere enn noen gang før. Husk at hvis du har noen spørsmål eller bekymringer rundt behandlingen av personvernet ditt ved Høgskolen i Molde, kan du når som helst kontakte personvernombudet vårt.  

Hvor lenge må du vente på svar? 

Hvis du ønsker å benytte deg av en av dine rettigheter, har du krav på svar så snart som mulig, og senest innen én måned. Hvis vi får mange henvendelser og/eller de er komplekse i natur, kan vi forlenge denne fristen med ytterligere to måneder, og vi skal informere deg om en slik utsettelse innen én måned.  

Nedenfor kan du lese om hvilke personvernrettigheter du har ved Høgskolen i Molde, med lenker til utfyllende informasjon hos Datatilsynet. 

Innsyn i egne opplysninger 

Du kan be om innsyn i alle opplysninger vi behandler om deg, og, om nødvendig, en kopi av disse. 
Les mer om retten din til innsyn 

Korrigering av personopplysninger 

Du kan be oss rette eller supplere opplysninger som er feilaktige eller misvisende.  
Les mer om retten din til å få rettet opplysninger 

Sletting av personopplysninger 

I noen situasjoner kan du be oss slette opplysninger om deg selv (men ikke alltid).  
Les mer om retten din til sletting 

Begrensning av behandling av personopplysninger 

I noen situasjoner kan du også be oss begrense behandlingen av opplysninger om deg. 
Les mer om retten din til begrensning 

Protestere mot en behandling av personopplysninger 

Hvis vi behandler opplysninger om deg med grunnlag i våre oppgaver eller på bakgrunn av en interesseavveining, har du rett til å protestere på vår behandling av opplysninger om deg.  
Les mer om retten din til å protestere 

Dataportabilitet 

Hvis vi behandler opplysninger om deg med grunnlag i samtykke eller en kontrakt, kan du be oss om å overføre personopplysningene dine direkte til deg, eller til en annen behandlingsansvarlig.  
Les mer om retten din til å få overført opplysninger 

Du kan klage på behandlingen vår av personopplysningene dine 

Vi håper du vil si ifra direkte til oss hvis du føler vi ikke overholder reglene i personopplysningsloven. Du kan også klage til Datatilsynet, som vil behandle saken videre. Les om hvordan du gjør det, her. Vi håper likevel at du vil kontakte oss først, så vi kan prøve å løse saken på en god måte for deg. 

Slik behandler vi personopplysningene dine 

Ut fra hvor du er i ansattreisen kan det være store variasjoner i hvordan vi behandler personopplysningene dine. Det kan være forskjellige: 

  • typer personopplysninger 
  • formål 
  • rettslige grunnlag 
  • systemer
  • tider for oppbevaring og sletting 

Nedenfor kan du lese mer om behandlingene vi gjør på disse punktene. 

Før du søker på en stilling eller blir ansatt

Hvis du ikke har søkt på en stilling hos oss ennå, kan det likevel være at vi behandler personopplysninger om deg. Det kan være om du sender oss en e-post for å spørre om en stilling du er nysgjerrig på eller ringer oss direkte. Du opplyser da kanskje navn, telefonnummer, e-postadresse og annet.  

Formålet med å behandle disse opplysningene om deg er å kunne svare på henvendelsen din, og det rettslige grunnlaget er personvernforordningen artikkel 6-1 bokstav b); for å gjennomføre tiltak på jobbsøkers anmodning før en avtale inngås. Alt etter som hvor du kontakter oss, behandles opplysningene dine f.eks. i høgskolens e-postinnbokser eller telefonsystem, og vi har etablert rutiner for å gå gjennom og slette slike personopplysninger.

Når du søker på en stilling - før du blir ansatt

Hvis du vil søke jobb hos oss må vi behandle personopplysningene dine for å kunne vurdere søknaden. Rekrutteringsprosessen innebærer at vi behandler alle opplysninger du gir oss i denne forbindelsen, enten i dokumenter som søknad, CV, vitnemål og attester, og eventuelt i intervjuer. Vi snakker også ofte med referanser du oppgir, eller gjør egne undersøkelser av attester du har sendt oss.  

For faglige og vitenskapelige stillinger behandles i tillegg personopplysningene dine i ulike råd og utvalg, f.eks. i bedømmelseskomiteer. Her vil særlig kompetansen din vurderes, og det kan hende at du blir bedt om å levere en prøveforelesning. 

Søknader på ledige stillinger administreres i jobbsøkeportalen JobbNorge. Søknadene slettes innen 210 dager og søknader med status ansatt eller intervju slettes innen 300 dager. Søkerlister og innstillinger overføres til og arkiveres i saks- og arkivsystemet vårt og lagres i tråd med arkivlova. 

Formålet med behandlingene nevnt over er å administrere jobbsøknaden din, og det rettslige grunnlaget personvernforordningen artikkel 6-1 bokstav b); for å gjennomføre tiltak på jobbsøkers anmodning før en avtale inngås. Noen ganger vil vi også sjekke opp attester du har gitt oss, og det rettslige grunnlaget er da personvernforordningen artikkel 6-1 bokstav f), der den berettigede interessen er å finne rett kandidat til stillingen, og der hensynet til personvernet i akkurat denne situasjonen veier mindre enn vår interesse i å kvalitetssikre attester.  

Når du søker på jobb hos oss trenger du ikke å oppgi særlige kategorier personopplysninger (f.eks. helseopplysninger, les mer på Datatilsynets nettsider). Du kan likevel velge å gjøre det, f.eks. hvis du har en funksjonsnedsettelse som krever tilrettelegging på arbeidsplassen eller i arbeidsforholdet. Rettslig grunnlag for særlige kategorier personopplysninger er personvernforordningen artikkel 6-1 bokstav c); behandlingen er nødvendig for å etterleve en rettslig forpliktelse, jfr. artikkel 9-2 bokstav b); behandlingen er nødvendig for å oppfylle forpliktelsene våre på området arbeidsrett i tråd med loven.  

Når du er ansatt hos oss

Hvis du blir ansatt ved høgskolen må vi behandle flere personopplysninger om deg, men likevel ikke flere enn det vi mener er nødvendig for å oppfylle formålene våre.  

Våre kjernesystemer for ansatte 

Høgskolen bruker særlig fire kjernesystemer til å behandle personopplysninger om ansatte.  

Til lønns- og personaladministrasjon bruker vi SAP (og i tillegg DFØ-app). Typiske personopplysninger som behandles er navn, fødselsnummer, ansattnummer, kontaktinformasjon og informasjon om lønn, skatt, kontonummer, arbeidstid, sykefravær, avspasering, ferie, permisjon, reise- og refusjonskrav, nærmeste pårørende, fagforeningstilhørighet og hovedtariffavtale. Opplysningene i SAP slettes ikke. 

Videre bruker vi et system, «MIM/BAS» (Microsoft Management Identity / BrukerAdministrasjonsSystem), som kildesystem for andre IT-systemer med informasjon om brukernavn, passord, e-postadresser og gruppeinformasjon. Feide-kontoen din opprettes her, samt alle tilgangene du skal ha til andre systemer. MIM/BAS gjør f.eks. at du kan logge inn i Outlook eller Canvas med HiMolde-brukeren din. MIM/BAS henter data fra SAP, og alle endringer om deg i SAP endres automatisk i MIM/BAS, og videre i alle tilknyttede systemer (som Outlook, Egencia, P360 og FS (som igjen endrer data i Fagpersonweb, Inspera, Canvas, Leganto m.fl., jfr. neste avsnitt)). 

Felles Studentssystem, «FS», er et komplekst studieadministrativt system for universiteter og høgskoler i Norge og inkluderer en rekke applikasjoner og tjenester, som EpN, Nomination og Fagpersonweb (se illustrasjon her). Mange personopplysninger både for ansatte og studenter behandles i FS. Data fra FS går videre til mange av høgskolens systemer, f.eks. Canvas, TimeEdit, Leganto og Inspera. Vi oppfordrer deg derfor til å lese systemets utfyllende personvernerklæring her. 

Høgskolen bruker per i dag Public360 som elektronisk saksbehandlings- og arkivsystem, der blant annet personalmapper lagres. Personalmappen inneholder typisk dokumenter vi har fått eller utarbeidet i forbindelse med ansettelsen din (søknad, CV osv.) og gjennom ansettelsesforholdet (lønnsendringer, permisjoner, personalsaker og mer). Personalmappen slettes ikke pga. lovpålagt arkivering for offentlig sektor i Norge. Du kan lese mer om personalmappe hos Datatilsynet.  

Andre personopplysninger vi typisk behandler for ansatte 

I tillegg behandler vi personopplysningene dine: 

  • Når vi opprette en bruker for deg i våre administrative systemer, som Microsoft 365, f.eks. ansattnummer, navn og e-postadresse. 
  • Når du skal hente ansattkortet ditt ved oppstart, f.eks. gyldig legitimasjon, ansattnummer og bilde. 
  • Når du skal på reise i regi av høgskolen oppretter vi en bruker for deg i reisesystemet vårt Egencia, og ved utenlandsreiser registrerer vi også passinformasjonen din. 
  • Når du kobler deg til høgskolens trådløse nett: IP-adressen din. 
  • Når vi kommuniserer digitalt med deg, f.eks. navn, kontaktinformasjon og innholdet i meldingene du sender. 
  • Når du får tilgang til og bruker (f.eks. legger inn forelesningnotater, pensumlister, emneplaner osv. i) systemer knyttet til undervisningen, som læringsplattform (Canvas), TimeEdit (timeplansystem), Leganto (biblioteksystem) og eksamensplattform (Inspera), f.eks. ansattnummer, navn, e-postadresse, SIS ID (identifikasjonsnummer fra FS), bilde/lyd/video, lånenummer, lånehistorikk, purringer/varsler/erstatningskrav og meldinger du sender. 
  • Når du selv samtykker til at vi behandler personopplysningene dine, f.eks. ved å dele bilder fra arrangementer du deltar på, f.eks. på høgskolens nettside og/eller sosiale medier-kontoer. 
  • Når vi, i samråd med deg, publiserer streaming og opptak av forelesninger på HiMoldeX. 
  • Når du blir syk og må levere egenmelding eller sykemelding, f.eks. navn, ansattnummer og innhold i meldingen. 
  • Når du søker om ferie, fravær, permisjon, lønnsøkning eller tilrettelegging, f.eks. navn, ansattnummer, kontaktinformasjon og årsak til slike søknader eller tilrettelegging. 
  • Når du søker om og er på utveksling ved en institusjon i utlandet, f.eks. navn, ansattnummer, kontaktinformasjon, passnummer, kontaktinformasjon til pårørende og annen informasjon relatert til utvekslingen. 
  • Når du eventuelt melder deg på sosiale og faglige arrangementer ved høgskolen eller våre samarbeidspartnere, f.eks. navn og e-postadresse. 
  • Når vi logger aktiviteten din i IT-systemer og adgangskontrollen. 
  • I alle tilfeller vi ellers administrerer ansettelsesforholdet ditt, knyttet til f.eks. timeføring, lønn, reiseregninger, kursing, medarbeidersamtaler, rapportering til offentlige myndigheter og lignende. 
  • Når vi lager en attest etter endt arbeidsforhold, f.eks. navn, tittel, arbeidsoppgaver og vurdering av hvordan du oppfylte rollen din som ansatt.  

Hvis du i tillegg er student ved høgskolen vil vi behandle andre typer personopplysninger, som beskrevet i denne personvernerklæringen. 

Når du er ferdig å jobbe hos oss (tidligere ansatt)

Når du slutter i jobben din ved høgskolen trenger vi ikke lenger å behandle så mange personopplysninger om deg. F.eks. sletter vi brukeren din i Canvas og Microsoft 365 etter 180 dager. 

En del personopplysninger er vi likevel pliktig til å behandle, f.eks. ved lovpålagt arkivering etter arkivlova, jfr. beskrivelsen av kjernesystemene våre i avsnittet over. Alle arbeidsgivere som er underlagt arkivloven, som høgskolen, må følge kravene som stilles der til arkivering og lagring. Arkiveringsplikten går foran sletteplikten i personopplysningsloven. Hvis du vil vite mer kan du kontakte personvernombudet vårt. 

Personopplysningene dine kommer både fra deg og fra andre 

I hovedsak får vi personopplysninger direkte fra deg, uansett hvor i ansattreisen du befinner deg. Vi henter/får også personopplysninger fra: 

  • JobbNorge AS, samt fra referanser du oppgir og eventuelt via attester vi sjekker 
  • Tidligere arbeidsgivere 
  • Høgskolens kjernesystemer, som beskrevet over 
  • Folkeregisteret 
  • Fagpersonweb 
  • Kontakt- og reservasjonsregisteret (KRR) 
  • NAV 
  • Enhetsregisteret 
  • Skattedirektoratet 
  • Fagforeninger 

Vi behandler særlige kategorier personopplysninger 

Særlige kategorier er personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, gentiske og biometriske opplysninger, helseopplysninger eller opplysninger om seksuelle forhold. 

Behandling av slike personopplysninger er i utgangspunktet forbudt, men under personvernforordningen artikkel 9-2 er det likevel noen unntak. Høgskolen i Molde behandler i visse situasjoner slike opplysninger om deg, f.eks. hvis: 

  • Du har behov for tilrettelegging av helsemessige årsaker og eventuelt må dokumentere dette ved legeerklæring. Formålet med behandlingen er å kunne tilrettelegge arbeidshverdagen for deg. 
  • Du leverer egenmelding, sykemelding eller legeerklæring av ulike årsaker. Formålet med behandlingen er å kunne behandle og innvilge sykefraværet ditt, samt følge deg videre opp om nødvendig (f.eks. gjennom dialogmøter med NAV). 
  • Vi spør om allergier eller matintoleranser ved arrangementer, der formålet er å kunne tilrettelegge for trygg mat til deg. Noen ganger må vi dele denne informasjonen med tredjeparter, f.eks. ved ekstern catering eller om vi avholder arrangementet utenom skolen. Det er frivillig å gi fra seg slike opplysninger, og vi behandler de kun for å ivareta dine spesielle behov. 

Det rettslige grunnlaget vårt for å behandle særlige kategorier personopplysninger er personvernforordningen artikkel 9 nr 2 a) og b). 

Siden behandling av særlige kategorier personopplysninger i utgangspunktet er forbudt har vi innført ekstra sikkerhetstiltak for å beskytte de. Du kan være trygg på at vi tar personvernet ditt rundt slike opplysninger på alvor. 

Personopplysninger om straffedommer og lovovertredelser? 

Hva skjer med personopplysningene hvis noen dør? 

Hvis høgskolen mottar informasjon om at en person vi behandler personopplysningene til, er død, vil vi slette all informasjon om vedkommende. Personopplysninger vi er pålagt å lagre, f.eks. arkivverdig informasjon, må vi imidlertid fortsette å lagre. 

Hvem deler vi personopplysningene dine med?

Som hovedregel utleverer vi kun personopplysningene dine til andre når du har samtykket til det. I noen tilfeller blir opplysninger likevel utlevert uten samtykke, f.eks. når vi har hjemmel i lov, for å oppfylle en avtale med deg, eller når det er nødvendig for å utføre oppgaver vi er pålagt som behandlingsansvarlig. 

Personopplysningene dine behandles alltid for bruk til bestemte formål. Vi er samtidig lovpålagt å utlevere en del informasjon til andre offentlige instanser og myndigheter, som: 

  • Arbeids- og velferdsetaten (NAV) 
  • Arbeidstilsynet 
  • Direktoratet for økonomistyring (DFØ) 
  • Arkivverket  
  • Database for statistikk om høgre utdanning (DBH) 
  • Det sentrale folkeregisteret (Folkeregisteret)  
  • Direktoratet for IKT og fellestjenester i høyere utdanning og forskning (Unit) 
  • Helsedirektoratet 
  • Helsepersonellregisteret 
  • Molde kommune 
  • Nasjonalt organ for kvalitet i utdanningen (NOKUT) 
  • Politiet 
  • Statens pensjonskasse (SPK) 
  • Statistisk sentralbyrå (SSB) 

Vi kan også dele personopplysningene dine med parter som: 

  • Advokaten din 
  • Andre universiteter og høgskoler 
  • Råd, utvalg og komiteer 
  • Fagforeninger 
  • Institusjoner for utveksling 
  • Internasjonale samarbeidspartnere 
  • ISBN Norge 
  • JobbNorge AS 
  • Leverandører av administrative systemer (databehandlere, som Canvas, Inspera, TimeEdit m.fl.) 
  • Leverandører som leverer tjenester til skolen, f.eks. til Norsis og deres leverandør XtraMile ifm. sikkerhetsmåneden 
  • Nasjonalbiblioteket  
  • Transportøkonomisk institutt (TØI) 
  • EU-kommisjonen 
  • Norsk senter for forskningsdata (NSD) 
  • Universitetets senter for informasjonsteknologi (USIT) ved Universitetet i Oslo (UiO) (drifter FS og er leverandør av BAS/brukeradministrative systemer) 

Du kan være trygg på at vi aldri utleverer eller deler personopplysninger om deg uten at vi har et formål og et rettslig grunnlag for det. Vi deler også kun personopplysninger som er helt nødvendige og/eller som vi er lovpålagt å dele. Vi kvalitetssikrer alle databehandlere vi bruker, f.eks. ved å inngå databehandleravtaler. Der vi deler personopplysninger om deg som lagres utenfor EU/EØS innhenter vi også nødvendige garantier (f.eks. Privacy Shield for amerikanske databehandlere, og/eller EUs standardkontrakter). 

Sikkerhet og risikohåndtering 

Du skal føle deg trygg på at vi sikrer personopplysningene dine så godt som mulig. Høgskolen har kartlagt og vurdert alle behandlingene vi gjør av personopplysninger ved skolen, både for studenter, ansatte og andre, og gjennomført en omfattende risikovurdering.  

Basert på denne har vi gått gjennom og oppdatert både tekniske og organisatoriske sikkerhetstiltak, og forsøkt å redusere risiko for avvik (f.eks. databrudd, hacking, innbrudd o.l.) så godt som mulig. Tiltakene er tilpasset type behandling og personopplysninger. Særlige kategorier personopplysninger skal f.eks. sikres bedre.  

Sikkerhetstiltakene kan være av teknisk, fysisk eller organisatorisk natur, og du kan se noen eksempler på disse nedenfor. 

Tekniske og fysiske sikkerhetstiltak  

  • adgangskontroll (f.eks. automatisk lukking og låsing av dører, alarmsystem) 
  • tilgangskontroll (f.eks. inngangsstyring med personlige nøkkelkort) 
  • bruk av sterke passord og tofaktorautentisering 
  • kryptering av data 
  • sikkerhetskopiering av data 

Organisatoriske sikkerhetstiltak  

  • rutiner og retningslinjer til studenter og ansatte (f.eks. fra IT-avdelingen) 
  • risikovurderinger av nye systemer 
  • kvalitetssikring av databehandlere, inkludert innhenting av databehandleravtaler og eventuelt nødvendige garantier 
  • retningslinjer for hva databehandlere og leverandører får tilgang til av personopplysninger hos oss, f.eks. ved behov for ekstern IT-hjelp 
  • opplæring, kompetanse og kultur (f.eks. deltar høgskolen hvert år på NorSIS sikkerhetsmåned) 
  • beredskapsplaner 

Vurdering av personvernkonsekvenser (DPIA)

I personvernforordningen artikkel 35 nr. 1 står det: «Dersom det er sannsynlig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige før behandlingen foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for vernet av personopplysninger.»  

En vurdering av personvernkonsekvenser (Data Protection Impact Assessment - DPIA) er altså obligatorisk når behandling av personopplysninger vil medføre en høy risiko for rettighetene og frihetene til de vi behandler personopplysninger om. Eksempler på dette kan være omfattende behandling av særlige kategorier personopplysninger eller opplysninger av svært personlig karakter, eller behandling i stor skala, f.eks. ved videovervåking av kjøreatferd på motorveier.

Høgskolen har utarbeidet rutiner for å sikre at vi gjennomfører slike vurderinger når vi skal eller bør.  

 

Denne personvernerklæringen ble sist oppdatert: 22.04.2020 

Publisert 10. juni 2020 11:00 - Sist endret 10. juni 2020 11:15
Del på e-post