Nye personvernregler i Norge EUs personvernforordning - General Data Protection Regulation (GDPR) Maren Magnus Jegersberg Seniorrådgiver IT-direktørens.

Presentasjon om: "Nye personvernregler i Norge EUs personvernforordning - General Data Protection Regulation (GDPR) Maren Magnus Jegersberg Seniorrådgiver IT-direktørens."— Utskrift av presentasjonen:

1 Nye personvernregler i Norge EUs personvernforordning - General Data Protection Regulation (GDPR)
Maren Magnus Jegersberg Seniorrådgiver IT-direktørens stab

2 Nytt regelverk Trer i kraft 25. mai 2018
Felles regelverk for personvern i EU og EØS Skal styrke den europeiske borgers rettigheter Skal styrke tilliten til digitale tjenester Skal gjøre det lettere å utveksle personopplysninger over landegrenser Men stort og tungt regelverk med vanskelig språk

3 Kilde: Datatilsynet

4 Prosess frem mot mai 2018 Norge må ta regelverket inn i norsk lov via EØS-avtalen Lovforslag med norsk oversettelse av personvernforordninger har vært på høring Proposisjon fremmes mars 2018 Særlovgivning må gjennomgås Kan lage noen nasjonale tilpasninger

5 Hovedtrekk i nytt regelverk
Personvernrutiner får økt fokus og skal være ­­inn­ført­ i virksomheten Virksomhetene skal gjennomføre ­selv­stendige­ vurderinger av personvernkonsekvenser ­ ­­for­hånds­drøftelser med Datatilsynet i særlige tilfeller jevnlige ­risiko­vurderinger bruke prinsippene for innebygd personvern Personvernombud blir obligatorisk for alle ­offentlige virksomheter Personvernerklæringer skal oppfylle nye krav, være på et forståelig språk og gi økt åpenhet Samtykke skal skilles tydelig fra øvrige brukervilkår

6 Hovedtrekk i nytt regelverk fortsettelse
Sikkerhetsbrudd skal varsles til ­Datatilsynet innen 72 timer Virksomheter som opererer i flere land behøver bare å forholde seg til datatilsynsmyndighetene i ett land Forbrukere får nye rettigheter: Data­portabilitet Retten til å bli glemt - sletterett Mulighet til å nekte profilering Overtredelsesgebyr øker Nytt EU-organ ("European Data Protection Board") skal opprettes skal avsi tolkningsuttalelser sørge for en enhetlig håndhevelse av det nye regelverket

7 Økt dokumentasjonskrav
Hovedregelen om at alle behandlinger må meldes faller bort Erstattes av et krav om at vi som virksomhet må kunne dokumentere behandlingene vi har ansvar for Virksomheten må klare å dokumentere at tekniske og organisatoriske tiltak fungerer Dokumentere at alle vurderinger er gjort Formålsvurdering Hjemmelsvurdering Risiko- og sårbarhetsvurderinger Personvernkonsekvenser Innebygd personvern

8 Håndtering ved UiO Utdannings- og forskningsinstitusjon som behandler mye personopplysninger i mange ulike varianter Har vist seg utfordrende å ha en komplett oversikt Vi har mange og gode rutiner på plass og det har vært stort fokus på både personvern og IT-sikkerhet lenge Mange av kravene i GDPR finner vi allerede i gjeldene personvernregler

9 Prosjekt for innføring av nytt regelverk
Organisert som et UiO-prosjekt under IT-direktøren Tverrfaglig sammensatt prosjektgruppe Avdeling for fagstøtte Avdeling for administrativ støtte USIT Personvernombudet Det medisinske fakultet Stort omfang av interessenter Følger allerede etablerte nettverk og møtefora Beslutninger og oppfølging skal følge linjen

10 Gjennomgå UiOs personvernsstrategi og foreslå revisjon som er i tråd med GDPR, herunder gjennomgå:
Klassifisering av data Oversikt dataflyt Oversikt over type registrerte Internkontroll inkludert datasikkerhet

11 Gjennomgå UiOs prosedyrer for etterlevelse av GDPR og foreslå endringer og /eller nye prosedyrer for håndtering av personopplysninger som sikrer at prosedyrene er i tråd med GDPR Personvernerklæring Samtykke Tilgangsprosedyrer Databrudd Overføring av personopplysninger

12 Overlevere revidert personvernsstrategi med tilhørende rutiner til UiOs ledelse og systemeiere ved UiO Informere om kravene etter ny forordning og nye, vedtatte, retningslinjer ved UiO. Følge opp systemeierne i etterkant for å sikre at nye retningslinjer blir implementert og at eierskap er riktig plassert.

13 Personvernkonsekvensanalyse
Foreta personvernkonsekvensanalyse av UiOs personopplysninger. Utarbeide retningslinjer for når og hvordan slike analyser skal gjennomføres. Personvernombud Gjennomgå UiOs ordning for personvernombud og sikre at den er i tråd med GDPRs krav til DPO. Foreslå eventuelle nødvendige endringer.

14 Forutsetninger for vellykket prosjekt
Forankring Involvering Informasjon Opplæring

15 Ønske/bestilling til Nettverk for administrative studieledere
Gjennomgang av behandlinger av personopplysninger ved fakultetene Ny meldeapplikasjon: personvernsidene melde behandling Endringer i Nettskjema Bidra til svarene i den årlige internkontrollen Kartlegging til prosjektet

16

17