Utarbeidet av Rikstrygdeverket Generelt kontor 15.01.01
Endret 12.03.2010 av NAV Drift og utvikling, Seksjon for personvern, informasjonssikkerhet og beredskap
Dokumentets innhold er oppdatert til bruk for NAV. Det er ikke gjort vesentlige faglige endringer i innhold, og endringene er derfor ikke markert i teksten
1. januar 2001 trådte lov om behandling av personopplysninger av 14. april 2000 nr. 31 i kraft. Loven bygger på EU direktivet om personvern 95/46 og avløste personregisterloven av 1978. Loven gjelder for alle offentlige og private virksomheter som behandler personopplysninger. Formålet med loven er å beskytte den enkelte borger mot at personvernet blir krenket når vi behandler personopplysninger. Med behandling menes enhver bruk av personopplysninger, som for eksempel innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter.
En person eier opplysninger om seg selv, og må derfor gi tillatelse (samtykke) til registrering og bruk av opplysningene. Samtykke fra den registrerte er ikke nødvendig dersom behandlingen har hjemmel i lov. Personopplysningsloven pålegger imidlertid den som behandler opplysninger å informere den registrerte om hvordan opplysninger behandles og plikter å gi den registrerte rett til innsyn i hvilke opplysninger som behandles, hvordan de behandles og hvordan sikkerheten er ivaretatt.
Den behandlingsansvarlige må, for å ivareta sine plikter, utarbeide en beskrivelse av formålet med behandlingen, hvilke opplysninger som behandles, lagres og utleveres.
Dette rundskrivet vil spesielt skissere hvilke deler av loven som direkte berører de deler av NAV som mottar, behandler, lagrer og utleverer personopplysninger. Hvilke forpliktelser de enkelte enhetene blir pålagt og hvordan forpliktelsene skal innfris både internt og i forhold til den enkelte bruker. Krav og plikter er også nærmere beskrevet i NAVs sikkerhetsdokumentasjon.
Loven regulerer kun opplysninger om fysiske personer, ikke opplysninger om juridiske personer (selskap/stiftelser og lignende). Det innebærer at loven ikke vil gjelde overfor NAVs tjenesteleverandører, som for eksempel ortopediske verksteder. Opplysninger om disse vil verken være melde- eller konsesjonspliktige, og verkstedene har ikke de samme rettighetene som privatpersoner. Dersom det ortopediske verkstedet drives som et enkeltmannsforetak, vil imidlertid personopplysningsloven kunne komme til anvendelse. Opplysningene som behandles om verkstedet vil da kunne knyttes til en bestemt person.
Grunnkravene til behandling
Personopplysningsloven setter en rekke grunn- og kvalitetskrav for å kunne behandle personopplysninger.
Vilkårene for å behandle personopplysninger, er først og fremst knyttet til samtykke fra den registrerte eller hjemmel i lov. Det er satt strengere krav til behandling av sensitive personopplysninger, så som helseopplysninger.
Krav til et gyldig behandlingsgrunnlag følger av lovens §§ 8 og 9, der det listes opp hvilke alternative hjemmelsgrunnlag som kan anvendes. I tillegg må behandlingen av opplysningene være i tråd med grunnkravene i § 11, som blant annet setter krav til formålsavgrensning.
Nærmere om kravene til samtykke
Kravet til samtykke er et grunnleggende element i personvernsammenheng. Hva som ligger i begrepet samtykke er nærmere definert i lovens § 2 nr. 7. Det skal være en frivillig, uttrykkelig og informert erklæring om at han eller hun godtar behandling av opplysninger om seg selv.
Stort sett har NAV lovhjemmel for de behandlinger vi foretar. Det forekommer imidlertid noen unntak der lovhjemmel mangler helt eller delvis og derfor må suppleres med et samtykke. Dette gjelder først og fremst i tilfeller der NAV gjennomfører brukerundersøkelser eller bidrar til forskningsprosjekter. Det vil også være tilfellet ved f.eks. kjøp av helsetjenester. Samtykke kan gis i forbindelse med utfylling av ulike skjema og blanketter eller på direkte forespørsel til medlemmet.
Bruk av opplysningene - formålsavgrensing
Selv om grunnvilkåret for å behandle opplysninger er oppfylt, kan det fortsatt være begrensninger i hvordan vi kan bruke opplysningene. Opplysningene skal være samlet inn til et uttrykkelig angitt formål, og ikke brukes til senere formål som er uforenelige med det opprinnelige formålet. Det innebærer at man må være nøye med å definere formålet med innsamling av opplysninger, slik at det ikke er tvil om hva opplysningene skal brukes til.
Formålet med NAVs innsamling og behandling av opplysninger vil selvsagt variere fra behandling til behandling og må derfor vurderes konkret for hver behandling. Som eksempel kan nevnes at det å innhente opplysninger for å beregne, utbetale, kvalitetssikre og følge opp et vedtak om sykepenger kan være et formål — nærmere bestemt "forvaltning av sykepenger". Dersom vi senere benytter opplysningene ved behandling av en attføring- eller uføresak, anses dette ikke uforenelig med det opprinnelige formålet, da formålet med folketrygdloven er å gi stønad til livsopphold.
Loven krever at man ikke lagrer opplysningene lenger enn det som er nødvendig for å oppnå formålet. Man skal ikke ha opplysninger om noen lenger enn nødvendig, eller lenger enn hjemmelsgrunnlaget tilsier. Arkivlovens krav til lagring går generelt foran personopplysningsloven. Datatilsynet kan likevel pålegge sletting i konkrete tilfeller der registrerte opplysninger er særlig belastende for en personvernet til en enkeltperson. Regelverket for lagring og sletting av opplysninger skal være implementert i IKT‑systemene som behandler personopplysninger i etaten.
Den registrerte sine rettigheter
Generell informasjon
NAV er pålagt en informasjonsplikt overfor den registrerte, plikten er knyttet til både generell og individuell informasjon. Enhver som ber om det skal få generell informasjon om hvilke behandlinger NAV foretar, uavhengig av om de er registrert eller ikke.
Innsynsretten
Innsynsrett vil si at en person har krav på informasjon om bruk av opplysninger om seg selv i ulike sammenhenger. Rett til innsyn er utvidet og supplert med andre regler.
Medlemmenes rett til innsyn og kunnskap om hva NAV har av opplysninger om vedkommende, er avgjørende for de muligheter medlemmet har til å påvirke hvordan egne opplysninger behandles og eventuelt utøve andre rettigheter etter loven. Reglene i personopplysningsloven supplerer forvaltningsloven og offentlighetsloven og stiller spesielle krav til etaten.
Regelen åpner ikke for at man kan se opplysninger om andre enn seg selv. Opplysninger om andre personer som fremkommer i samme dokumentet må derfor anonymiseres.
Reglene om partsinnsyn etter forvaltningsloven vil ikke bli berørt av denne bestemmelsen. Kravene til hvem som kan kreve innsyn vil heller ikke bli berørt. Reglene om mindreåriges muligheter til innsyn vil derfor fortsatt følge de samme prinsipper som er lagt til grunn i rundskriv nr. 21 om forvaltningsloven § 13a nr. 1 og 2.
Det innebærer at dersom NAV får en forespørsel fra medlemmer om innsyn i hva NAV har registrert om dem, har NAV langvarig praksis for å gi innsyn i saksdokumentene etter bestemmelsene i forvaltningsloven. For også å imøtekomme retten til innsyn etter personopplysningslovens § 18 skal man automatisk spørre om det også er ønskelig med innsyn i det som eventuelt er registrert om vedkommende. En viktig systemstøtte for dette er rapporten G04 i Infotrygd.
NAV har utarbeidet et operativt sikkerhetsdokument som gir nærmere retningslinjer for håndtering av innsynsbegjæringer.
Krav om retting av personopplysningene
Den registrerte har krav på å få rettet opplysninger som er uriktige, ufullstendige eller som det ikke er adgang til å registrere. Dette kan skje når den registrerte ber om det eller etter NAVs eget tiltak. Når NAV oppdager mangler ved registrerte opplysninger, er de forpliktet til å varsle f.eks. mottaker av opplysningen om dette for å begrense eventuelle skadevirkninger.
Retting skal i all hovedsak skje ved markering og supplering av riktige opplysninger. Medlemmet kan klage NAVs vedtak om retting, eller avslag på retting, inn for Datatilsynet. Datatilsynet kan deretter pålegge NAV å rette, eventuelt slette eller sperre, opplysningene. Datatilsynets vedtak kan påklages til Personvernnemnda.
Klagebehandlingen er nærmere beskrevet nedenfor
Informasjon ved registrering
NAV skal informere om en rekke forhold når man innhenter opplysninger fra den registrerte. Dette skal gi den registrerte mulighet til å forstå hva som skjer med opplysningene om en selv. NAV anser den generelle informasjonen som er utarbeidet og gjort tilgjengelig for publikum, samt eksisterende informasjon på standardblankettene, i kombinasjon med publikums kunnskap om arbeids- og velferdsforvaltningsloven og særlovgivning som blant annet folketrygdloven, arbeidsmarkedsloven og lov om sosiale tjenester i NAV, som tilstrekkelig informasjon.
Varsel ved innhenting av opplysninger fra andre kilder
I utgangspunktet skal den registrerte varsles dersom man innhenter opplysninger fra andre kilder enn den registrerte selv. Det er imidlertid ikke nødvendig å varsle dersom innsamlingen er hjemlet i lov. NAV anser våre lovhjemler som tilstrekkelig i denne forbindelse
Rettigheter i forbindelse med automatiserte avgjørelser
Dersom en avgjørelse fullt ut er basert på en automatisk behandling av personopplysninger kan den registrerte kreve dokumentasjon av regelinnholdet i datamaskinprogrammene, samt kreve at avgjørelsen blir overprøvd av en fysisk person. I NAV gjelder dette utbetaling av ordinær barnetrygd.
Svarfrister - formkrav
NAV skal svare på henvendelser om innsyn eller generell informasjon så fort det lar seg gjøre, og senest innen 30 dager fra den dagen henvendelsen kom. Dersom dette er umulig skal det gis en tilbakemelding til vedkommende med en begrunnelse for forsinkelsen og et sannsynlig tidspunkt for når svar kan gis.
Den som henvender seg til etaten kan kreve at all informasjon skal skje skriftlig. NAV kan også kreve at den registrerte leverer inn en skriftlig og undertegnet begjæring om innsyn.
Internkontroll
Loven pålegger NAV å etablere planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i loven, samt for å sikre personopplysningenes kvalitet. NAV har etablert et internkontrollsystem. Internkontrollsystemet er et overordnet system som samler etatens policy for å ha kontroll på området. Internkontrollsystemet finnes på Navet, og er en viktig del av NAVs styrings- og kontrolltiltak.
”Felles sikkerhetsnormer for Arbeids- og velferdsforvaltningen”
Felles sikkerhetsnormer er utarbeidet for hele Arbeids- og velferdsforvaltningen og godkjent både i Arbeids- og velferdsetaten og KS. Alle ansatte, vikarer, konsulenter osv. skal bli informert om innholdet.. Linjeleder er ansvarlig.
Meldeplikt § 31 og konsesjonsplikt § 33
Loven har regler om når behandlinger er meldepliktige til Datatilsynet, og når man eventuelt også må søke om konsesjon.
NAV gir melding til Datatilsynet om hvordan vi generelt vil behandle personopplysninger før vi benytter personopplysninger i nye rutiner, IKT-systemer eller saksbehandlingsprosesser. Det er gitt unntak for enkelte områder i forskrift. For behandling av sensitive personopplysninger som ikke har konkret hjemmel i lov, kreves konsesjon (forhåndstillatelse fra Datatilsynet). Datatilsynet vil kontrollere at NAV følger lovens krav ved å komme på inspeksjoner.
Det er Arbeids- og velferdsdirektoratet som tar seg av meldinger og konsesjonssøknader for de sentrale systemene. Spørsmål rettes til Seksjon for personvern, informasjonssikkerhet og beredskap.
Klagemulighetene
De registrertes rettigheter følger av personopplysningsloven. Dersom rettighetene helt eller delvis ikke kan innfris skal dette fremgå skriftlig fra NAV kontoret. Dette blir å betrakte som et enkeltvedtak som kan påklages etter reglene i forvaltningsloven.
Klageinstansen kan omgjøre eller opprettholde vedtaket. I de tilfellene NAV kontoret ikke tar klagen til følge skal saken oversendes NAV fylke. Dersom fylkeskontoret mener at vedtaket må stadfestes skal saken oversendes Arbeids- og velferdsdirektoratet v/ Seksjon for personvern, informasjonssikkerhet og beredskap . Klagen skal i siste instans rettes til Datatilsynet, fordi Datatilsynet forvalter det aktuelle regelverket. Det er direktoratet som forbereder saken for klagebehandling i Datatilsynet.
Klage på saksbehandling og enkeltvedtak knyttet til andre lover skal rettes til NAV kontoret, på vanlig måte. I disse sakene er det NAV klage og anke som er klageinstans.