Persondata og IT-sikkerhed Vejledning i sikker anvendelse og opbevaring af persondata December 2015
Indledning Denne vejledning har til formål, at hjælpe ansatte på IT-Center Fyns partnerskoler med at forstå den komplicerede persondatalovgivning i forbindelse med behandling af personoplysninger. Vejledningen giver skolerne et redskab til at kunne arbejde sikkert med persondata og kommunikere dette til medarbejderne. Vejledningen giver mulighed for at vurdere om skolen har behov for at ændre på de rutiner der anvendes i arbejdet med persondata. Persondataloven regulerer al behandling af personoplysninger. Behandling er eksempelvis indsamling, registrering, systematisering, opbevaring, søgning, videregivelse eller sletning af personoplysninger, enten elektronisk (PC, USB-stik, mobiltelefon mv.) eller ikke-elektronisk (fysisk papir med noter, arkiver mv.). Når der behandles personoplysninger skal man først gøre sig klart, om man må behandle disse. For at disse må personoplysninger må behandles, skal der være et udtrykkeligt angivet og sagligt formål. Oplysningerne skal desuden være relevante og må ikke indeholde mere end hvad der er nødvendigt for formålet. Jo mere følsom en oplysning er, jo mere tungtvejende skal begrundelsen for behandlingen være. Det er vigtigt at pointere, at oplysninger altid skal fremstå korrekte. Reglerne om personoplysninger reguleres i Persondataloven og Sikkerhedsbekendtgørelsen. Denne vejledning er udarbejdet af direktør Jens Ole Henriksen og stud.jur. Michella Kronberg i samarbejde med Gymnasiefællesskabet i Roskilde. Vigtige begreber Personoplysninger er delt op i to kategorier, alt efter hvor følsomme de er. Der er følsomme og fortrolige personoplysninger, som kræver den største forsigtighed. Endelig er der de almindelige personoplysninger. Her vil de vigtigste begreber blive gennemgået. Personoplysninger Personoplysninger er enhver form for information om en person (elev, kursist, pårørende mv.) uanset om personen kan identificeres direkte eller indirekte, f.eks. ved hjælp af elevnummer eller andre oplysninger, der er særlige for den givne elev. Oversigt over personoplysninger Almindelige personoplysninger Klassiske stamoplysninger, dvs. navn, køn, adresse og telefonnummer, fødselsdato, nær familie, oplysning om status vedr. hemmeligt nummer/ adresse og, foto-id. Oplysninger om uddannelse, udtalelser, karakterer, kursusbeviser, beskæftigelser, arbejdsopgaver. Almindelige elevklager. Oplysninger om løn, skat, pension og lønkontonummer, kørekort. Fortrolige og følsomme personoplysninger Personnummer/CPR-nummer Registrering af snyd til eksamen Logning af internetbrug. Strafbare forhold. Helbredsoplysninger (selve diagnosen og behandling), evt. misbrug af eksempelvis alkohol eller stoffer. Væsentlige sociale problemer, interne familieforhold, resultater af personlighedstest, bortvisningsgrund. 2 december 2015
Almindelige personoplysninger Tilknytning til en eller flere institutioner Nationalitet. Systembrugeroplysninger. Oplysninger om fravær, dog ikke begrundelsen for fraværet. For elever: Karakterer, deltagelse i hold/fag/grupper og fagniveauer. Fortrolige og følsomme personoplysninger Referater af personlige samtaler, hvis disse indeholder oplysninger af følsom art. Andre særligt sårbare forhold om privatlivet. Oplysninger, der aldrig må behandles, medmindre personen har givet udtrykkeligt samtykke: Oplysninger om racemæssig eller etnisk baggrund Politisk, religiøs eller filosofisk overbevisning. Elevers indstillinger til enkeltstående samfundsproblemer er ikke nødvendigvis at betragte som følsom oplysning Fagforeningsmæssige tilhørsforhold. Seksuel orientering Følsomme og fortrolige personoplysninger Følsomme og fortrolige personoplysninger kræver særlige forholdsregler. Eksempelvis skal der bruges sikker e-mail, hvis man sender disse oplysninger med e-mail over det åbne internet. Nogle følsomme og fortrolige personoplysninger må gerne behandles, såfremt der er en saglig grund og det er nødvendigt for skolen, men ellers må de ikke behandles uden udtrykkeligt samtykke. Det er vigtigt at understrege, at følsomme og fortrolige personoplysninger ikke må behandles eller gemmes i diverse cloud-tjenester/skyer, heller ikke Microsoft OneDrive. De må heller ikke lægges på skolens fælles undervisningsnetværksdrev, hvor alle medarbejdere kan få adgang til at se dem. CPR-numre er en fortrolig personoplysning og skal som udgangspunkt behandles med samme påpasselighed som andre følsomme oplysninger. Da reglerne for CPR-numre er lidt anderledes, må de eksempelvis godt lægges i Microsofts OneDrive og på netværksdrev. Almindelige personoplysninger Almindelige oplysninger om en elev kan f.eks. være navn, adresse, fraværsprocenter (dog ikke årsagen til fravær) mm. Selvom kravene til beskyttelse af almindelige personoplysninger ikke er lige så omfattende som følsomme personoplysninger, så skal de alligevel behandles og benyttes med omhu og forsigtighed. Eksempelvis må almindelige personoplysninger godt lægges i Microsofts sky, men de må ikke lægges i Dropbox. Opbevaring og behandling af personoplysninger Reglerne i loven omhandler registre med personoplysninger, hvilket vil sige alle former for strukturerede samlinger som er tilgængelige efter bestemte kriterier er personoplysninger. Det 3 december 2015
gælder uanset om det er elektronisk eller fysisk. Almindelig tekstbehandling, som slettes efter senest en måned, er ikke omfattet af loven. Hvem må behandle personoplysninger om eleverne? Efter reglerne i sikkerhedsbekendtgørelsen, må kun de ansatte, som er beskæftigede med de opgaver, som er formålet med den givne behandling/opbevaring, autoriseres til at have adgang til personoplysningerne. Det betyder også, at andre ansatte, for hvem oplysningerne er uvedkommende, ikke må have adgang til disse. Af samme grund må personoplysninger heller ikke lægges ukritisk ud på undervisningsfællesdrevet. Hvordan må personoplysninger behandles og opbevares? Som skrevet ovenfor, er der forskellige regler for de forskellige typer af personoplysninger. Ligeledes er der forskellige regler for hvilke måder man må gemme eller transmittere personoplysninger. Nedenfor uddybes mulighederne: Almindelige personoplysninger ESDH-system Ja E-mail Ja. Skal slettes efter senest 30 dage. Personnummer Ja Ja, skal krypteres (brug SEPO) Følsomme og andre fortrolige personoplysninger Logning kræves Logning af adgang, ændringer og søgninger samt sikring imod forvanskning Ja Ja, skal krypteres (brug SEPO) Mobilt udstyr, PC og USB-stik Personligt netværksdrev Fælles undervisningsnetværksdrev Fælles administrationsnetværksdrev Studieadministrative systemer (Lectio/Ludus/EASY) Microsofts cloud - OneDrive eller Google Apps * Andre cloudtjenester ** Nej Ja Ja Ja Ja Ja Nej Nej Ja Ja Ja Ja Ja Nej Nej Nej Nej Frarådes Frarådes Nej Nej Ja Nej Nej Nej Nej Nej Nej Nej Nej Back-up Ja Ja Nej Ja Ja Ja Ja Ja Måske Genskabelse af data Ja Ja Måske Ja Ja Ja Ja Ja Måske * Såfremt skolen har en databehandleraftale med WizKids, må Google Apps benyttes på samme vis som Microsoft OneDrive. ** Andre cloud-tjenester, herunder Google Apps ved manglende databehandleraftale, samt Dropbox mv. 4 december 2015
ESDH-system (Elektronisk sags- og dokumenthåndteringssystem) Et ESDH-system indeholder mulighed for sikker kommunikation og lever op til alle sikkerhedskrav i loven, herunder kravet om logning, mulighed for autorisation til dokumenter og sikkerhed imod at der kan ændres i dokumenterne. Det anbefales således at benytte disse systemer for at sikre højst mulig beskyttelse af personoplysninger. IT-Center Fyn tilbyder to ESDH-løsninger helholdsvis IMS Arkiv og DocuNote. E-mail Når der modtages en e-mail er der ikke sikkerhed er for hvem afsender reelt er, og man derfor bør man ikke åbne eller svare på e-mails med ukendt eller mistænkeligt indhold og afsender. Almindelige personoplysninger må sendes som almindelig e-mail, men de bør overføres til ESDH/personalearkivet senest 30 dage efter og derefter slettes. Skal der transmitteres følsomme eller fortrolige personoplysninger over det åbne net, skal e-mailen sendes krypteret og oplysningerne skal slettes senest 30 dage efter og evt. overføres til ESDH. IT- Center Fyn tilbyder en løsning til krypteret e-mail, der hedder SEPO. Mobilt udstyr, Pc ens harddisk og USB-stik Der foretages ikke automatisk backup af dokumenter. Såfremt udstyret går i stykker er der risiko for at data går tabt. Almindelige arbejdsdokumenter uden personoplysninger må gerne gemmes på Pc ens eget drev eller USB, men husk at foretage backup. Ingen personoplysninger må gemmes på Pc ens eget drev eller diverse mobilt udstyr. Personligt netværksdrev Der foretages automatisk backup 5 dage tilbage, således at dokumenter kan genskabes hvis de går tabt. Almindelige personoplysninger og CPR-numre må gemmes på det personlige netværksdrev. Følsomme og fortrolige personoplysninger må ikke gemmes her pga. manglende sikkerhed, bl.a. fordi der ikke foretages logning. Fælles undervisningsnetværksdrev Fælles netværksdrev som er tilgængeligt for alle ansatte på skolen. Back-uptiden er 5 dage tilbage. Da alle ansatte på skolen har adgang til dette netværksdrev, må kun de almindelige personoplysninger gemmes herpå. Følsomme og fortrolige personoplysninger må ikke gemmes på dette drev. Fælles administrationsnetværksdrev Fælles netværksdrev som kun er tilgængeligt for administrationen og hvor sikringen imod uvedkommende adgang er højere. Almindelige personoplysninger og CPR-numre må gerne gemmes herpå. Følsomme og andre fortrolige oplysninger frarådes at gemme her pga. manglende logning af adgang, registrering af ændringer, samt manglende sikring imod forvanskning af data. Det anbefales at anvende et ESDHsystem. 5 december 2015
Studieadministrative systemer (Lectio/Ludus/EASY) Studieadministrative systemer anvendes på skolerne til at gemme informationer om medarbejdere og elever/kursister. Almindelige personoplysninger og CPR-numre må gerne gemmes herpå. Følsomme og andre fortrolige oplysninger frarådes det at lagre her pga. manglende logning af adgang, registrering af ændringer og manglende sikring imod forvanskning af data. Det anbefales at anvende et ESDH-system. Microsoft OneDrive og Google Apps/WizKids Såfremt skolen har en databehandleraftale med WizKids, kan Google Apps benyttes på samme vis som Microsoft OneDrive. Almindelige personoplysninger og CPR-numre må opbevares i Microsofts OneDrive og Google Apps/WizKids. Følsomme og andre fortrolige personoplysninger må ikke gemmes her. Andre cloud systemer, eksempelvis Dropbox, Google Apps mv. Må kun bruges til almindelig data, som ikke er personhenførbar, hverken direkte eller indirekte. Det gælder både almindelige og følsomme oplysninger. 6 december 2015
IT-sikkerhed - hvad skal du selv gøre IT-Center Fyn sørger for at sikkerheden på skolens netværk er højt og at det samtidig et let at anvende IT i dagligdagen. Det gør vi gennem antivirus programmer centralt eller lokalt på Pc'erne og en opdateret Firewall mellem skolens net og Internettet. Alle brugere; elever, kursister og lærere godkendes i vores brugerdatabase før de får adgang til netværket. IT-Center Fyn sørger for at medarbejdernes Pc er altid er opdateret med de nyeste versioner. Vi foretager daglig backup af data på netværksdrev og af andre centrale systemer. Men sikkerheden er ikke større end at den kan brydes hos den enkelte bruger. Derfor skal du være opmærksom på følgende: Fortæl aldrig dit password til andre. Hvis du mener at nogen kender dit password, skal du ændre det til et nyt. Brug ikke et password på skolen som du bruger privat til fx Facebook eller AppleID. Hvis du har overgivet dit password til din lokale It-supporter bør du efterfølgende ændre dit password. Pas på med at bruge fremmede USB nøgler. De kan indeholde virus, malware og lignende. Bed hellere om at få tilsendt filer på e-mail. Brug ikke USB nøgler som sikkerhedsbackup. Husk at låse din skræm når du går fra din PC også selv om det kun er for en kort periode. På en Windows PC trykker du Windows knap + L. For MacBooks findes der ikke en enkel løsning, så spørg din lokale It-supporter. Lad være med at åbne og svare på e-mails med ukendt eller mistænkeligt indhold og afsender. Slet i stedet e-mailen eller kontakt IT-supporten. Sørg altid for at lave backup af værdifulde data på din PC eller tablet. Data på defekt udstyr kan være umulige at gendanne. Behandl virksomhedens data forsvarligt, og forhold dig kritisk til de netsteder du besøger. Lad være med at installere ukendte programmer på din PC. Lån ikke din PC ud til andre, da login informationer kan være lagret på PC en. Låneren kan dermed få mulighed for at tilgå personlige data, systemer og andre data de ikke har ret til. En Smartphone, du bruger i forbindelse med arbejdet, skal sikres med en adgangskode, pinkode eller lign. Og som i alle andre af livets forhold brug din sunde fornuft og spørg andre, hvis du er i tvivl. 7 december 2015