1. Eierskap og behandling av data

Dette reglementet dekker ikke logger ol. som er institusjonens eiendom.

Utgangspunkt:

HINE forholder seg til en fil sin eier som en indikasjon på hvem som eier data. Om eierskapet er korrekt eller ikke skal ikke dette på noe vis endre det reelle eierskapet til data.

Eierskap til data

Institusjonen forholder seg til at den som er oppført som eier av en fil er denne datas eier. Dette uansett hvor filen skulle befinne seg. HINE vil kun utlevere filen til den som er oppført som eier med mindre det ved beslutning av norsk domstol bestemmes noe annet.

Konflikt om eierskap til data mellom to 3. parter

Hvor to parter begge hevder å være eier til data vil HINE i utgangspunktet utlevere data til parten som er oppført som eier av filen. Hvor en part varsler rettslige skritt for å få fastslått eierskapet kan HINE allikevel i en kortere periode avvente utleveringen.

Hvis ikke en avgjørelse fattes, får ingen utlevert noe?

Hvor det ikke er mulig å sannsynliggjøre hvem som eier data, og flere hevder å ha eiendomsretten til nevnte data, vil det ikke bli utlevert noe før det foreligger en avgjørelse fra norsk domstol omkring eierskapet til dataene.

Utlevering av data ved brukerforholdets opphør

Brukerforholdets opphør grunnet brukerens tilknytning til institusjonen

Hvor brukerens forhold til HINE opphører, f.eks. ved endt studium eller avsluttet arbeidsforhold skal brukeren selv besørge å fjerne sine data fra HINEs IT-ressurser, herunder å ta kopier av de data brukeren ønsker å beholde. Brukeren skal derfor ha tilgang til sine data i tre måneder etter at rollen som begrunnet brukerforholdet opphørte.

At brukeren skal ha tilgang til sine data betyr ikke at andre tjenester skal være tilgjengelige.

Brukerforholdets opphør grunnet brukerens død

Hvor en bruker dør, vil dennes arvinger (dødsboet) tre inn i dennes sted hva angår rettigheter knyttet til såvel fysiske som immaterielle goder og objekter. Retten til innholdet av dennes hjemmeområde er et slikt.

Det som må fastlegges er at den eller de som ønsker å få utlevert innholdet av hjemmeområdet er rett arving. Dette gjøres ved fremleggelse av en skifteattest, hvor det fremgår hvem arvingene er.

Personlig innhold skal lagres på hjemmeområde. Materiale som lagres på arbeidsplassmaskin vil uten gjennomgåelse av hva det inneholder bli slettet ved en brukers død.

Prosedyre for utlevering av data

Utfylling av erklæring

Utlevering skjer mot utfylling av en erklæring hvor mottaker av data underskriver på at denne

• Har mottatt data
• Erkjenner at overleveringen ikke medfører noen endring i faktiske eierforhold
• Lover å utlevere data som tilhører andre til riktig mottaker

Arkivering

En kort redegjørelse (f.eks en logg) for utleveringen, samt en kopi av dokumenter som identifiserer rett mottaker (f.eks skifteattest), erklæring og andre relevante dokumenter skal arkiveres.

Utlevering

Utlevering skjer på egnet medium som kan deles ut i bytte mot erklæring

2. Utlevering av opplysninger

Utlevering av opplysninger

Det vil med jevne mellomrom kunne komme klager eller henvendelser rettet til HINE hvis mål er å få utlevert logger eller informasjon (identitet) om en bruker. Dette er i utgangspunktet ikke noe man skal gi ut. Mange av opplysningene er belagt med taushetsplikt, men også andre regler, f.eks. etter personopplysningsloven tilsier at stor forsiktighet skal utvises i forhold til utlevering av informasjon om enkeltpersoner eller om deres bruk av IT-ressurser.

Spesielt om utlevering til politi eller påtalemyndighet

Etter Ekomlovens §2-9 kan politi eller påtalemyndighet kreve å få identifisert en bruker av et ip-nummer. Andre data, f.eks. logger av trafikkdata eller innholdet i kommunikasjoner krever beslutning av en domstol.

Utlevering til andre

Utlevering av opplysninger, logger eller likende til andre enn politi eller påtalemyndigheter krever beslutning fra norsk domstol.

Utlevering til brukeren selv

En bruker som ønsker utlevert seg opplysninger, logger eller likende som omhandler denne selv kan få dette ved vanlig henvendelse til IT-avdelingen. Retten til dette følger bl.a av personopplysningsloven.

Fellestjenester i sektoren

For fellestjenester i sektoren, herunder en brukers utnyttelse av andre institusjoners IT-ressurser vil eventuelt misbruk enten bli tatt hånd om av brukerens vertsinstitusjon ved klage på denne fra institusjonen hvis ressurser er misbrukt, eller institusjonen hvis ressurser er misbrukt kan forfølge saken i rettsvesenet og dermed få identifisert brukeren etter reglene over.

3. Ressursbruk

Utgangspunkt.

Bruk av HINEs IT-ressurser skal hovedsakelig forekomme for å fremme institusjonens formål.

Det er ikke tillatt å bruke HINEs IT-ressurser på en måte som opptar større ressurser enn nødvendig, tatt de tilgjengelige ressursene i betraktning. Bruk som ikke er begrunnet i institusjonens formål skal ikke oppta annet enn ubetydelige ressurser.

Tillatt bruk etter HINEs formål.

Formålet til HINE er utdanning, forskning og formidling.

Bruk som er direkte relatert til HINEs formål er grunnlaget for de ressursene som er tilgjengelige og er derfor tillatt så lenge som det ikke opptar for store ressurser slik at bruken blir til fortrengsel for annen tillatt bruk.

Bruk som ikke er direkte relatert til HINEs formål er kun tillatt i den utstrekning det opptar ubetydelige ressurser. Bruk som ikke har noen beskyttelsesverdig interesse kan forbys av IT-avdelingen.

Privat bruk

IT-tjenestene ved HINE er hovedsakelig til bruk for å oppfylle formålet til HINE. Imidlertid er det fullt ut akseptabelt at brukere anvender IT-ressursene til private gjøremål så lenge som de ikke

• opptar IT-ressurser på bekostning av annet bruk
• bryter lisenser, avtalevilkår eller andre forutsetninger
• bidrar til å svekke sikkerhet eller stabilitet
• er forbudt av IT-avdelingen

Kommersiell bruk

Bruk av HINES IT-ressurser til kommersielle formål (enhver form for kjøp, salg, utleie, annonsering mot betaling eller liknende) er forbudt med mindre det foreligger skriftlig tillatelse til slik bruk i forkant.

Om e-post og e-postlister

Høgskolen e-postsystem har en del adresselister som omfatter mange personer. Listene skal bare brukes til spredning av meldinger som er relevante ut fra høgskolens administrative eller faglige hensyn.

En må være svært tilbakeholden med å sende e-postmeldinger med vedlegg til adresselister. Hvis filer skal gjøres tilgjengelig for mange, skal dette skje ved hjelp av felles dataområder på disk, bruk av www, eller andre metoder der alle får tilgang til samme kopi av filen.

Det er ikke lov å sende e-postmeldinger fra HiNes nettverk til adresselister, eller andre massedistribusjonsmekanismer, ved andre institusjoner, uten samtykke fra den mottakende institusjon.

Meldinger av sosial karakter, invitasjoner til sosialt samvær, fester arrangementer ol, kan sendes ut til adresselister der mottaker gruppen er relevant for det aktuelle arrangement. Hvis det er tvil, avgjør informasjonssjefen hvilke lister som er relevante i et konkret tilfelle.

E-postlistene skal ikke brukes til å påtvinge andre politiske, religiøse eller andre private meningsytringer. Høgskolens nettverk er åpent for slikt stoff, men en skal bruke konferanser, diskusjonsgrupper ol. til dette.

Det er ikke lov å bruke høgskolens e-postsystem til å påtvinge andre salgs- og markedsføringsmateriale.

Det er ikke lov å bruke høgskolens e-postsystem til å bombardere andre med meldinger via e-post, eller på nyhetsgrupper (spamming). Det er heller ikke lov å fungere som rele for, eller på annen måte å støtte slik virksomhet. En skal heller ikke gi utenforstående som driver slik virksomhet, informasjon om e-postlister o.l ved HiNe.

Ingen beskyttelsesverdig interesse

Handlinger som anvender IT-ressurser men ikke er begrunnet utifra beskyttelsesverdige interesser slik som HINEs formål eller alment aksepterte interesser kan forbys av IT-avdelingen. Hvor det er grunn til å klandre brukeren for handlingen kan sanksjoner iverksettes. Avveigningen skal foretas etter momentene gjengitt under:

En handling har ikke beskyttelsesverdige interesser i denne konteksten hvor den ikke har en særlig nærhet til HINEs formål og heller ikke har en særlig nærhet til alminnelig anerkjente rettigheter eller formål slik som:

• demokrati
• grunnleggende rettigheter
• samfunnsøkonomisk nytte
• tekniske eller andre vitenskapelige fremskritt

Handlingen vil kunne være i strid med dette reglementet hvor den samtidig anvender HINEs IT-ressurser.

IT-avdelingen kan iverksette sanksjoner mot en bruker som har foretatt en slik handling hvor:

• En vanlig oppegående bruker forsto eller burde ha forstått at handlingen ikke var tillatt bruk av IT-ressursene

og

• Handlingen ikke utelukkende eksisterte i brukerens privatsfære.

Håndheving av ressursutnyttelse.

Enhver enhet og hver enkelt bruker har et selvstendig ansvar for å selv påse at eget bruk er innenfor grensene av tillatt bruk. IT-avdelingen kan og skal gi generelle retningslinjer om hvilket bruk som tillates.

I spesielle tilfeller hvor IT-avdelingen blir oppmerksom på bruk som, etter en konkret vurdering basert på nærheten til HINEs formål eller andre beskyttelsesverdige interesser og mengden ressurser bruken opptar ikke bør tillates, skal IT-avdelingen sørge for at denne stoppes. Hvis det er grunn til å klandre en bruker for opptreden i forbindelse med slik bruk kan sanksjoner fra IT-avdelingen iverksettes mot brukeren.

4. Brukerens plikt til å identifisere seg

Korrekt identifikasjon

Alle brukere plikter å til enhver tid identifisere seg selv på en korrekt måte ovenfor HINE hvor det er lagt opp til dette. Det er forbudt å identifisere seg eller å forsøke å identifisere seg som en annen enn den man er.

Riktig brukernavn

For alle tjenester hos HINE hvor en skal identifisere seg selv skal kun ens eget brukernavn anvendes.

Riktig avsenderadresse

Det er forbudt å forsøke å modifisere eller skjule noen felt eller informasjon i noen kommunikasjon med sikte på å skjule hvor den kommer fra, eller gi et feilaktig bilde av dette.

Riktig maskinnavn/ip- adresse

Det er forbudt å forsøke å endre en innstilling, aksessere tjenester via omveier eller på andre måter forsøke å skjule hvilken maskin en sitter ved eller gi et feilaktig inntrykk av dette ovenfor HINE eller andre brukere tilknyttet HINE

Hemmeligholdelse av nøkkel

Det er svært viktig å holde sin nøkkel hemmelig. Denne eksistere ofte i form av et passord eller en pinkode. Det er forbudt å dele denne med noen. Hvor det går frem at en nøkkel er blitt kjent vil brukerkonto bli sperret og brukeren vil bli ansvarliggjort.

Rett til anonymitet

Det er ikke opp til HINE å bestemme hvorvidt brukerne identifiserer seg ovenfor 3. mann ved bruk av åpne tjenester utenfor institusjonen. Dog vil brudd på norsk eller internasjonal lovgivning utført via eller ved hjelp av HINEs IT-ressurser rammes av IT-reglementet.

5. Sanksjoner

Sanksjoner

En sanksjon er en reaksjon iverksatt for å straffe en bruker for klanderverdig adferd fra dennes side. Handlingen iverksatt for å oppnå andre resultater, f.eks. stabilitet og sikkerhet blant IT-ressursene er ikke en sanksjon.

Sanksjoner i forhold til opptreden relatert til IT-ressurser skal håndteres av IT-organisasjonen. Sanksjoner relatert til annen opptreden skal håndteres av brukerens ansvarlige enhet.

Omfang av sanksjoner og kompetanse til å iverksette disse

Styret

En total sperring av en brukerkonto er en bortvisning etter universitetslovens §11.

Styret er tillagt kompetansen til å bortvise en bruker. Saksbehandlingen og prosedyren for å gjøre dette er bestemt av lovverket. Disse må følges i slike tilfeller.

Retten til å ha en operativ brukerkonto som gir tilgang til administrative tjenester, undervisning og tilhørende innleveringer eksamener mv. kan ikke som en sanksjon fratas brukere uten at dette er å anse som en bortvisning. Det samme gjelder retten til å kunne motta kommunikasjon fra HINE eller noen av dens organer.

Ansvarlig enhet

Den ansvarlige enheten skal ikke iverksette sanksjoner vha. endring av privilegier for bruk av IT.

IT-organisasjonen

IT-avdelingen kan iverksette sanksjoner ved å frata brukere visse begrensede privilegier i en begrenset tidsperiode.

Sanksjoner skal være et resultat av et misbruk og relatert til den misbrukte ressursen.

Førstelinje av IT-organisasjonen skal ikke iverksette sanksjoner mot brukere utover tilsnakk eller rapportering av dem til 2. linje.

Ved alvorlig misbruk skal IT-avdelingen eskalere en sak i linjen, via den ansvarlige enheten til Styret, for beslutning om bortvisning skal finne sted.

6. Inngrep

Inngrep

Et inngrep er en faktisk handling som er foretatt for å oppnå noe annet enn å straffe en bruker.

IT-avdelingen kan foreta inngrep når dette er nødvendig. Med nødvendig menes for å opprettholde integritet, konfidensialitet og tilgjengeligheten i IT-systemer, unngå tap av liv helse eller gods, hindre at HINE kommer i ansvar, eller opprettholdelse av HINEs rykte samt det å forhindre rettsbrudd.

Innsyn

Med innsyn menes et fysisk individ som gjennom en manuell prosess skaffer seg tilgang til data som tilhører andre brukere. Automatiske prosesser som foretar handlinger mot store grupper brukere bedriver ikke innsyn. Dette gjelder f.eks. virusscanning eller prosesser som generer rapporter som ikke identifiserer individer.

Filer, områder og logger

Brukerens private sfære strekker seg til kunnskap om eksistens av og innhold i filer. Hvilke prosesser en maskin har gående er informasjon som til enhver til skal være tilgjengelig for driftspersonale.

Logger som inneholder informasjon om prosesser, innlogginger, avvik eller andre hendelser er HINEs eiendom og skal være tilgjengelig for driftspersonale.

Det er et konkret skille mellom brukerens filer og områder, og den logging av diverse ting som en HINE foretar. Det er ikke et innsyn i så måte å gå gjennom disse, men det må til gjengjeld være slik at institusjonen ikke logger annet enn det som er forsvarlig, og at dette opplyses om.

Innsyn i data, filer eller områder tilhørende privat bruker

Det er i utgangspunktet kun brukeren selv som har tilgang til dennes data, filer eller private områder.

Samtykke

Som standard er samtykke det man skal be om hvis inngrep med innsyn er nødvendig.

I visse tilfeller kan det være nødvendig å skaffe seg dette uten samtykke.

Tillatelse fra overordnet

I en situasjon hvor tidsnød eller andre årsaker umuliggjør eller gjør det svært vanskelig eller uhensiktsmessig å innhente samtykke kan innsyn foretas med tillatelse av IT-leder eller den som opptrer i dennes sted.

Situasjoner med særlig tidsnød

I en situasjon hvor særlig tidsnød eller andre årsaker umuliggjør eller gjør det svært vanskelig eller uhensiktsmessig å innhente tillatelse av IT-leder eller den som opptrer i dennes sted, kan innsyn foretas av IT-personale

Informasjon i ettertid

Hvor noen har skaffet seg innsyn i en brukers personlige område uten forutgående samtykke fra brukeren selv skal brukeren straks varsles.

Varslet skal redegjøre for hvilket inngrep som har blitt foretatt, hvilken hjemmel dette hviler på og de særlige forhold som er påberopt.

Registreing av innsyn

At innsyn har vært foretatt skal registreres i saksbehandlingssystem.

Sperring/stengning av ressurser

Hvor det er nødvendig kan inngrep iverksettes ved å sperre, stenge eller på andre måter endre en ressurs.

Informasjon til brukere

Hvor en ressurs sperres skal brukeren ha beskjed. Dette skal skje så snart som mulig. Hvor ressurser som påvirker mange brukere er sperret kan innholdet i varsel være identisk. Hvis det er praktisk mulig bør informasjonen nå alle brukere individuelt. Beskjed skal gis gjennom et kommunikasjonsmiddel som ikke er sperret.

7. Brukerregistrering

Vilkår for å bli bruker

For å bli bruker ved HINE må man ha et formalisert forhold til HINE. Et formalisert forhold har den som er ansatt, opptatt til studier eller har en skriftlig avtale med HINE om sin tilstedeværelse.

For å bli bruker skal et minimumssett av ens persondata finnes i et av de administrative systemene til HINE. Dette kan være studentsystemet eller personalsystemet. De opplysningene som må registreres er:

• navn
• personnummer
• tilknytning/rolle i forhold til institusjonen
• varighet på tilknytning
• plassering i institusjonen

Visse typer ansatte kan ha en tilknytning som ikke etter sitt formål behøver å bli bruker av IT-tjenestene. Dette skal i så fall være grunnet objektive kriterier og utvelgelse skal skje på grunnlag av formelle roller. Dette skal fremgå av registreringen i student eller personalsystemet.

Registrering av brukere

Ved registrering av nye individer i enten student eller personalsystem skal det automatisk bygges en bruker til vedkommende. Dette gjelder ikke hvis:

• det av vedkommendes registrering fremgår at denne ikke skal ha bruker
• det allerede finnes en bruker for et individ med den identifikatoren

Finnes det allerede en bruker og denne skal benyttes, må det sikres at de over nevnte pliktige personopplysninger er tilstede i oppdatert form.

Etter at bruker er bygget skal brukernavn og passord (eller annen autentiseringsinformasjon, f.eks. pin-kode) sendes bruker på sitt arbeids/studiested. Samtidig skal bruker få informasjon om IT-ressursene og reglene for bruk av disse.

IT-avdelingen skal som regel ikke bygge brukere som ikke finnes i enten student eller personalsystem. Unntak fra dette kan skje hvor tekniske forhold nødvendiggjør det. Ved manuell registrering skal også de over nevnte pliktige personopplysninger registreres . Manuelt opprettede brukere skal ikke være gyldige i mer enn ett år.

Det kan settes som vilkår at bruker ved første anvendelse / aktivering av brukerkonti selv velger et nytt passord/pinkode el.

Varighet av brukerforhold

En brukers konto ved HINE skal ha en like lang varighet som tilknytningen brukeren har tilHINE. I tillegg kan brukeren få tre måneder til å rydde opp i sine forhold før kontoen blir sperret.

Opphør av brukerforhold

Etter 3 måneder sperres brukerens konto.  Sikkerhetskopierte data slettes etter 5 år.

8. Saksbehandling

Alminnelige regler ved saksbehandling

IT-ansatte er underlagt de alminnelige saksbehandlingsreglene som gjelder i det offentlige hva angår utøvelse av myndighet som ansatt av forvaltningsorgan.

Taushetsplikt

IT-ansatte er underlagt taushetsplikt etter forvaltningslovens § 13. Taushetsplikten gjelder for alle taushetsbelagte opplysninger som en får kjennskap til gjennom utøvelse av sin stilling. Taushetsplikten gjelder også mot andre ansatte i IT-organisasjonen, unntatt oppover i linjen.

Arkiveringsplikt

Dokumenter tilhørende sak hvis behandling utgjør et enkeltvedtak etter forvaltningsloven §2b er arkivverdig og skal arkiveres i offentlig journal. Ved tvil om hvorvidt en sak er arkivverdig eller ei skal arkivpersonale rådføres.

Innsynsrett

Alle har rett til innsyn i offentlig journal jmf. offentlighetsloven § 2.

Alle som er part i en sak har innsyn i sakens dokumenter. Innsynet gjelder ikke dokumenter og kommunikasjon for intern saksforberedelse.

Svarplikt mm.

HINE plikter å besvare alle henvendelser rettet til det som forvaltningsorgan eller institusjon. Dette gjelder ikke masseutsendte kommunikasjoner i markedsføringsøyemed (SPAM).

Alle henvendelser skal besvares innen rimelig tid.

HINE plikter å gi alminnelig veiledning til brukerne som er relevant i forhold til mottatte henvendelser. Slik veiledning kan være henvisning til tilgjengelig informasjon. I saker hvor det utøves forvaltningsmyndighet skal det fremgå at brukerne har adgang til å klage på enkeltvedtak.

Gjentatte henvendelser i saker som er avgjort og hvor det ikke er videre klageadgang er ikke tillatt. Ei heller gjentatte meningsytringer til slike kanaler, hvor svar på slike allerede har blitt gitt. Det er ikke pliktig å besvare slike henvendelser annet enn med en standardisert avvisning.

Elektronisk kommunikasjon

Det skal fremgå tydelig, for eksempel på HINEs hjemmeside, hvilke kanaler og adresser som kan benyttes til å rette henvendelser til HINE ved hjelp av elektronisk kommunikasjon.