Referat af tilsynsbesøg hos Odense Kommune. Flakhaven 2, 5000 Odense C

Transkript

1 SK Referat af tilsynsbesøg hos Odense Kommune Tilsynet udført på følgende adresse: Odense Rådhus, Flakhaven 2, 5000 Odense C Dato for tilsynsbesøget: 24. maj 2016 Deltagere Fra kommunen: Fra Datatilsynet: It-sikkerhedsleder, John Bonnerup Kontorchef, Kristian Buhl Hansen Chef, Tinna Madsen Chefkonsulent, Lise Merrild Konsulent, Jacob Hempler-Mikkelsen Konsulent, Susanne Lumby Christensen Analysekonsulent, Line Hansen Projektmedarbejder, Susanne Egeskov-Jepsen Lena Andersen, Kontorchef, leder af tilsynsenheden Sissel Michelle Kristensen, fuldmægtig Mikkel Brandenborg Stenalt, fuldmægtig Datatilsynet orienterede om inspektionen Datatilsynet orienterede indledningsvis om tilsynsindsatsen efter persondataloven, og at formålet med tilsynet er at kontrollere overholdelsen af persondataloven, men at der også er mulighed for dialog. Datatilsynet oplyste, at tilsynet var målrettet følgende emner: 1) Offentliggørelse af personoplysninger på internettet 2) Sikkerhedsbekendtgørelsen, herunder særligt a. Kommunens uddybende sikkerhedsregler b. Kommunens eget tilsyn med behandlinger hos kommunen

2 2 c. Instruktion af medarbejdere d. Hjemmearbejdspladser og fjernadgang e. Autorisation og adgangskontrol f. Databehandlere (instruktion, aftaler og kontrol) 3) Besigtigelse Dette tilsynsbesøg er således ikke en all-round gennemgang af kommunens efterlevelse af persondataloven. Tilsynsbesøget omfatter ikke overholdelse af anden lovgivning, idet Datatilsynets kompetenceområde er persondataloven. Om kommunen Kommunen oplyste, at der er cirka medarbejdere i kommunen, som behandler personoplysninger, fordelt på cirka 400 lokaliteter. 1. Offentliggørelse af personoplysninger på internettet 1.1. Billeder på internettet Datatilsynet orienterede om sin praksis om billeder på internettet. Forespurgt om kommunens brug af billeder på internettet, oplyste kommunen, at medarbejdere med adgang til at offentliggøre oplysninger på internettet (web-redaktører) bliver orienteret om, at situationsbilleder i udgangspunktet kan offentliggøres uden indhentning af samtykke, mens offentliggørelse af portrætbilleder kræver forudgående samtykke. Kommunen oplyste, at kommunen undersøger offentliggørelser i tilfælde af konkrete hændelser Oplysninger på internettet Anden form for offentliggørelse af oplysninger på internettet blev drøftet, og Datatilsynet orienterede om sin praksis. Odense Kommune oplyste, at kommunen sikrer sig mod offentliggørelse af ovenstående oplysninger ved at oplyse medarbejdere om kommunens retningslinjer om behandling af personoplysninger, samt ved efterfølgende maskinel kontrol for personnumre. 2.a. Kommunens uddybende sikkerhedsregler Datatilsynet orienterede om reglerne for kommunens uddybende sikkerhedsregler efter sikkerhedsbekendtgørelsens 5, stk. 1 og 2, herunder at sikkerhedsreglerne skal gennemgås mindst én gang hvert år med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i kommunen. Kommunen oplyste, at kommunens sikkerhedsregler senest er gennemgået den 22. januar Datatilsynet opfordrede i denne forbindelse til, at dateringen på de uddybende sikkerhedsregler ændres, så det fremgår, hvornår disse er blevet gennemgået eller opdateret. 2.b. Kommunens eget tilsyn med behandlinger hos kommunen Datatilsynet orienterede om, at der efter sikkerhedsbekendtgørelsens 5, stk. 1, skal fastsættes retningslinjer for kommunens eget tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat for kommunen.

3 3 Retningslinjer Kommunen oplyste, at der ikke er fastsat retningslinjer for kommunens eget tilsyn med overholdelse af de sikkerhedsforanstaltninger, der er fastsat for kommunen, men at IT-sikkerhed drøftes på møder i IT Forum, som er startet i Kommunen oplyste endvidere, at IT-sikkerhed drøftes internt mindst en gang om måneden i IT og Digitalisering, samt at IT-sikkerhed drøftes med ledelsen i Borgmesterforvaltningen mindst en gang om måneden. I tilfælde af en hændelse vil det blive overvejet, hvilke ændringer hændelsen kan give anledning til. Det aftaltes at, kommunen i medfør af sikkerhedsbekendtgørelsens 5, stk. 1, fastsætter interne retningslinjer for kommunens eget tilsyn med overholdelse af de sikkerhedsforanstaltninger, der er fastsat for kommunen. Kontrol af autorisationer Forespurgt om kommunens eget tilsyn med sikkerhedsbekendtgørelsens 17 om kontrol af autorisationer mindst hvert halve år oplyste kommunen, at der i forhold til de autoriserede brugere i sundhedsplejen sker sammenholdelse mellem listen over sundhedspersonale og medarbejdere i systemet to gange årligt. Forespurgt om hvem der sammenholder ovenstående oplysninger oplyste kommunen, at sammenholdningen foretages i den enkelte fagforvaltning. Kontrol af logning Datatilsynet forespurgte kommunen, om der føres tilsyn med sikkerhedsbekendtgørelsens 19 om logning, og specificerede, at tilsynet ønsker en besvarelse af, om der sker kontrol af, at der rent faktisk sker logning som påkrævet i sikkerhedsbekendtgørelsens 19. Kommunen oplyste, at det i forbindelse med systemleverancer og udbud undersøges, om der er mulighed for logning. Der sker ikke en efterfølgende kontrol heraf. Datatilsynet bemærkede, at det er hensigtsmæssigt at foretage stikprøvekontroller af kommunens log, og opfordrede kommunen til at fastsætte en procedure herom. 2.c. Instruktion af medarbejdere Datatilsynet orienterede om reglerne i sikkerhedsbekendtgørelsens 6. Følgende blev særligt drøftet vedrørende instruktion af medarbejdere: instruktion i reglerne for, hvad der må registreres, videregives og på anden vis behandles, instruktion i brug af , sikker og digital post, instruktion til medarbejdere, der offentliggør dokumenter mv. på internettet instruktion om brug af IT-systemer og orientering om logning i den forbindelse Om kommunens instruktion af medarbejdere, der håndterer personoplysninger, oplyste kommunen, at de uddybende sikkerhedsregler er at finde på medarbejderportalen (intranet), samt at kommunen har gennemført en kampagne om IT-sikkerhed (awareness). Endvidere oplyste kommunen, at der er udarbejdet en informationsvideo om IT-sikkerhed, som ligger på forsiden af kommunens intranet, og som den enkelte leder er ansvarlig for, at medarbejderne får set. Den enkelte fagforvaltning har ansvaret for at instruere medarbejderne om reglerne for behandling af personoplysninger.

4 4 Datatilsynet fandt kommunens initiativer positive. Datatilsynet understregede at persondataloven ikke er begrænset til spørgsmål om IT-sikkerhed. 2.d. Hjemmearbejdspladser og fjernadgang Datatilsynet orienterede om reglerne i sikkerhedsbekendtgørelsens 7, stk. 2. Retningslinjer Kommunen oplyste, at kommunens uddybende sikkerhedsregler indeholder retningslinjer for behandling af personoplysninger på privat udstyr og på pc-arbejdspladser uden for den dataansvarlige myndigheds lokaliteter. Brug af egne computere og lignende Kommunen oplyste, at medarbejdere har mulighed for fjernadgang til kommunens systemer via en Citrixløsning. Der gives som udgangspunkt adgang til kommunens systemer fra kommunens eget IT-udstyr. Private aktører har adgang til kommunens systemer fra eget IT-udstyr via Citrix. Kommunen oplyste, at der er retningslinjer for, at der ikke må lagres oplysninger lokalt. Kommunen oplyste endvidere, at medarbejdere ved brug af PDA er skal anvende to faktor -login. 2.e. Autorisation og adgangskontrol Følgende blev drøftet: Kommunens procedurer for tildeling af autorisation (nye brugere, flytning, fratrædelse) Kommunen oplyste hertil, at kommunens brugeradministrationsteam håndterer alle brugeroprettelser på baggrund af anmodninger fra bemyndigede personer. I denne forbindelse kan brugeradministrationsteamet stille spørgsmål, herunder om nødvendigheden af en specifik tilgang. Kommunen oplyste endvidere, at brugeradministrationsteamet står for sletning af forældede autorisationer. I denne forbindelse oplyste kommunen, at det er en integreret del af kommunens organisation, at der er styr på hvilke medarbejdere, der hører til hvilke afdelinger. Fælles login Kommunen oplyste hertil, at der er oprettet gæstebrugere ved anvendelse af vikarer i syge- og ældreplejen, som ikke oprettes i systemet som sådan. Derimod er der udarbejdet en liste over gæstebrugere. Hvis en gæstebruger skal tilknyttes en ny vikar, bliver brugeren tildelt et nyt password. Der anvendes fælles login til medarbejderportalen på daginstitutionsområdet. Anvendelse af adgangskontrol med brugernavn og password Kommunen oplyste hertil, at brugernavn og password udgør den gængse adgang til kommunens systemer. Retningslinjer for udskiftning af password Kommunen oplyste hertil, at passwords bliver udskiftet hver tredje måned. Tildeling af rettigheder kun til de oplysninger i systemet, som vedrører de opgaver, som medarbejderen beskæftiger sig med, og ikke andet Kommunen oplyste hertil, at der foretages en vurdering af de enkelte medarbejdergrupper på baggrund af de forskellige sagstyper i kommunens ESDH-system (generel adgang), hvorefter adgang for individuelle medarbejdere kan begrænses yderligere (individuel adgang).

5 5 Skærmkontrol og automatisk log off Kommunen oplyste hertil, at kommunens PDA er automatisk logges af efter 10 minutters inaktivitet, mens kommunens computere logges af efter 30 minutters inaktivitet. 2.f. Databehandlere (instruktion, aftaler og kontrol) Forud for tilsynsbesøget har kommunen oplyst, at følgende databehandlere benyttes inden for beskæftigelsesområdet, pas og kørekort, børnepasning, sundhedspleje og ældrepleje: Dansk Flygtningehjælp Reden Odense Tietgenskolen VH Marselisborg ApS Karrierefinder ApS J.H. Schultz Information A/S Styrelsen for Arbejdsmarked og Rekruttering Konsulenthuset Ballisager A/S AS3 Emplyment KMD KOMBIT(A/S) (også anført som underdatabehandler) Knowledge Cube A/S (underdatabehandler) Assemble A/S IST Software Technology ApS Sekretariatet for Skolesundhed.dk TDC Hosting (underdatabehandler) Opus Consult ApS Sekoia Novax A/S IT Minds Kingo E-mergency Fyns Ejendomsservice Flenco Rengøring ApS Elite Miljø A/S Danren Hjemmeservice Svane Service Syd ApS Skibhus Rengøring Sejers Senior Hjælp Odense Hjemmeservice Fyns Service Cenama Hjælp til Hjemmet Jjs Rent af 1993 Kære Pleje Odense Databehandleraftaler Kommunen oplyste, at der er indgået databehandleraftaler med en del af kommunens databehandlere og underdatabehandlere.

6 6 Det er imidlertid ikke er indgået databehandleraftaler med alle de databehandlere og underdatabehandlere, der behandler personoplysninger. Kommunen oplyste endvidere, at kommunen ikke har undersøgt, om deres databehandlere gør brug af underdatabehandlere. Kommunen oplyste herefter, at der i forhold til kommunens brug af databehandlere i forbindelse med fritvalgsområdet efter servicelovens 83, ikke er indgået selvstændige databehandleraftaler, men at kommunen har indgået en samlet kontrakt om udførelse af fritvalgsopgaven, der også omfatter omsorgssystemet og IT. Kommunen oplyste, at databehandlerne på fritvalgsområdet arbejder direkte i kommunens IT-system via fjernadgang. Kommunen har endvidere oplyst, at der er taget skridt til at revidere de nuværende kontrakter med private fritvalgsleverandører, og at de nye kontakter vil indeholde en databehandleraftale, der opfylder lovens krav, samt at der efterfølgende vil blive fulgt op på aftalen i forbindelse med et årligt kontroleftersyn. Det aftaltes, at kommunen fremsender kopi af databehandleraftalen for Karrierefinder ApS. Sikkerhed hos databehandlere Kommunen oplyste, at det ikke er fast procedure inden indgåelse af aftale om brug af en ekstern løsning, at sikkerheden i løsningen og hos den anvendte databehandler er tilstrækkelig, og lever op til reglerne i persondataloven og sikkerhedsbekendtgørelsen. Kommunen oplyste, at kommunen fremadrettet agter at sikre dette. Kontrol af sikkerhed hos databehandlere Kommunen oplyste, at der ikke er sket kontrol af sikkerheden hos alle anvendte databehandlere. Kommunen oplyste endvidere, at kontrollen sker ved, at der indhentes revisionserklæringer og afholdes statusmøder mellem kommunen og databehandlerne. Kommunen oplyste endvidere, at kommunen lægger revisionserklæring uden anmærkninger til grund som dokumentation for tilstrækkelig sikkerhed hos databehandlere. Kommunen oplyste herudover, at kommunen ved en del af besvarelserne af Oplysningsskema om databehandler i kommune (2016), pkt. 9 og 10, har anført faglige tilsyn som kontrol af sikkerhed hos de pågældende databehandlere. 3. Besigtigelse Datatilsynet foretog en fysisk besigtigelse i forbindelse med tilsynsbesøget. I forbindelse med besigtigelsen blev der foretaget stikprøver i kommunens ESDH-system. Stikprøven blev foretaget hos en medarbejder i afdelingen for økonomi og effektsystem. Datatilsynet foretog stikprøve ved søgning på anbringelse, magtanvendelse, vold, ansættelseskontrakt og CV. Datatilsynet fandt ikke uregelmæssigheder ved denne stikprøve. En medarbejder blev spurgt, om hun kunne fremfinde kommunens interne sikkerhedsregler. Medarbejderen var bevidst om, at de interne sikkerhedsregler var tilgængelige på kommunens medarbejderportal. Hun oplyste desuden, at kommunen havde gennemført en awareness-kampagne.

7 7 Aftalt Det blev aftalt, at kommunen fastsætter retningslinjer for kommunens eget tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat for kommunen, og i den forbindelse udarbejder en plan herfor, som til orientering sendes til Datatilsynet, og at kommunen indsender databehandleraftalen for Karrierefinder ApS til Datatilsynet. Datatilsynet orienterede afslutningsvis, at tilsynet snarest muligt vil sende udkast til referat til kommunen for kommunens eventuelle bemærkninger. Datatilsynet vil snarest herefter vende tilbage med sin udtalelse i sagen. Odense kommune bedes fremkomme med eventuelle bemærkninger til nærværende referat inden den 30. juni 2016.