Internkontroll

Personopplysingslova krev at verksemder som behandlar personopplysingar også skal etablere eit system for internkontroll. Dette inneber blant anna at den behandlingsansvarlege skal sørgje for å ha kjennskap til gjeldande reglar om behandling av personopplysingar samt ha tilstrekkeleg og oppdatert dokumentasjon for rutinar og tiltak som er sette i gong for å sikre at reglane blir etterlevde. Dokumentasjonen skal vere tilgjengeleg for tilsette i verksemda og Datatilsynet.

LEIINGA

Ansvar
Leiinga i verksemda har ansvaret for at behandlinga skjer slik lova krev. Blant anna skal det sikrast at opplysingane som behandlast skal vere oppdaterte, korrekte, tilstrekkelege og relevante sedde i forhold til formålet med behandlinga. Vidare skal ikkje opplysingane bli lagra lenger enn nødvendig.

Overordna mål og strategi
Leiinga har ansvar for å utarbeide mål og strategi for arbeidet med behandlinga av personopplysingar. Målet må minst tilfredsstille krava i personopplysingslova. Leiinga til verksemda skal utarbeide strategi for å oppnå måla.

Leiinga sin gjennomgang
Leiinga skal med jamne mellomrom gjennomgå mål, strategi og organisering. Dersom eigenkontrollen avdekkjer avvik skal dette behandlast i samsvar med rutinen for avviksbehandling.

INTERNREVISJON

I internrevisjonen skal det vurderast om den avgjorde strategien blir etterlevd. Ved slik revisjon skal verksemda sjølv kontrollere at:

• måla er tilstrekkelege til å oppfylle lova sine krav
• rutinane er tilstrekkelege til å oppfylle lova sine krav
• rutinane blir nytta og fungerer etter formålet sitt.

ORGANISERI NG AV ARBEIDET MED PERSONOPPLYSINGAR

Det skal utarbeidast oversikt over kva behandlingar verksemda gjennomfører. Ansvar og myndigheitsforhold i organisasjonen skal vere avklarte.

Rutinar
Verksemda må ha rutinar som sikrar at pliktene etter lova blir oppfylte, samt at dei registrerte kan handheve rettane sine. Ei oversikt over nokre av rutinane som er nødvendige er lista opp i forskrifta § 3-1.

Avviksbehandling
Avvik oppstår når det ikkje er samsvar mellom rutinane og den praktiske gjennomføringa. Avvik skal handterast etter ein rutine for avviksbehandling. Eit eksempel på avvik kan vere at krav om innsyn ikkje blir teke til følgje i tilfelle der rutinen tilseier at innsyn skal bli gitt.

DOKUMENTASJON

Internkontrollsystemet skal dokumenterast for den eigne bruken til verksemda. Dokumentasjonen skal vere tilgjengeleg for tilsette og Datatilsynet.

INFORMASJONSTRYGGLEIK

Personopplysingslova (§ 13) og forskrifta (kap. 2) beskriv dei delane av internkontrollsystemet som skal ha som mål å oppnå tilfredsstillande informasjonstryggleik.