Bookbites og GDPR
Korleis du kan låna ut ebøker og elydbøker og likevel etterleva reglane om vern av personopplysingar.
I denne leksjonen går me gjennom kva vurderingar du må gjera og kva dokumentasjon du treng for at denne behandlinga blir i samsvar med regelverket. Du får døme på behandlingsprotokoll og risikovurdering.
Arbeidet er gjort på oppdrag frå Rogaland fylkesbibliotek i samarbeid med Helge Risvand på Sølvberget bibliotek og Bjørn Kjetil Fredriksen ved Rogaland fylkesbibliotek.
Du kan velgja å lesa denne leksjonen for seg, men viktige omgrep, prosessar og naudsynt dokumentasjon er nærare forklart andre stader i kurset.
Opptak av kurs
Du kan sjå opptak frå kurset som blei halde då Rogaland byrja med Bookbites, 21. mars 2023.
Formål
Behandlingane har som formål å stilla ebøker og elydbøker gratis til disposisjon for innbyggjarane gjennom appen Bookbites: låna ut ebøker og elydbøker. Det andre formålet er ein følgje av det første og gjeld interne tilhøve: å administrera innkjøp og samling av ebøker og elydbøker, og henta ut statistikk.
Det er viktig at formålet er lovleg og er gjort kjent. Hos oss har formålet eit rettsleg grunnlag (heimel i biblioteklova der det mellom anna er nemnd at me skal «stille bøker og andre medier gratis til disposisjon […].»
For fag- og forskningsbibliotek gjeld ikkje denne heimelen.
Formålsavgrensing (at innsamling og bruk av personopplysingar berre skal brukast til eit bestemt formål) er eitt av dei grunnleggjande prinsippa i personvernforordninga (Artikkel 5) Les meir om desse prinsippa i ein annan del av dette kurset.
Behandlingane
Behandling I: Låna ut e-bøker og e-lydbøker via appen Bookbites.
Behandling II: Kjøpa inn og administrera samling av e-bøker og e-lydbøker, henta ut statistikk om bruk og lånere og legga inn utlånsreglar om til dømes tal på lån på brukar og lånetid.
Behandling III: Laga personlege tips basert på alder (barn/ungdom/vaksne), låne- og søkehistorikk og brukaradferd.
Desse tre behandlingene er såpass ulike at me har vald å laga tre innføringar i behandlingsprotokollen. Mellom anna velger me ulikt behandlingsgrunnlag.
Kategoriar av registrerte (lånarar/brukarar)
For behandling I: lånar/brukar, vaksen, barn, elev
For behandling II: tilsette ved folkebibliotek, fylkesbibliotek og skolebibliotek
Personopplysingar
Brukar/lånar: Namn, fødselsdato (frivillig), kjønn (mann/kvinne/annet), epostadresse (brukarnamn), språk
Tilsett: namn, brukarnamn, rolle, epost (arbeid)
Behandlingsgrunnlag
For at en behandling skal vera lovleg, må det vera eit behandlingsgrunnlag. Behandlingsgrunnlaget vil for behandling I og II vera «b) behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse,[…]» Artikkel 6 b
Behandlingsgrunnlaget for behandling III bør ha «samtykke» som grunnlag. Her er det Bookbites som organiserer det gjennom appen. Bookbites ber om samtykke for å «samle inn data om lånene dine og brukeratferden din. Vi bruker bare dataene dine for å ta vare på de lånte bøkene dine og lage personlige anbefalinger til deg.» Tekst fra appen: innstillinger/annet/
Dersom du vel å fjerna samtykket, får du denne advarselen: «Viktig! Denne handlingen kan ikke angres etter at du har trykket på bekreft! Du er i ferd med å fjerne ditt samtykke til å lagre låne- og søkehistorikk, som brukes til følgende funksjoner: Tidligere søk, Min huskeliste, Bøker jeg har åpnet og Bøker jeg er ferdig med. Når du bekrefter dette, sletter Bookbites data som allerede er samlet inn for bruk av disse funksjonene. Kommende funksjonalitet som bruker slike data vil heller ikke fungere. Progresjonsdata ved lesing blir fortsatt lagret og påvirkes ikke av at du fjerner samtykke til lagring av låne-og søkehistorikk.» Tekst fra appen: innstillingar/anna/popup advarsel når ein vil fjerna samtykket.
Informasjonsplikt – personvernerklæring
Dersom biblioteket har laga eigen, detaljert personvernerklæring, noko eg råder deg til, kan du legga denne teksten til i din:
Tillegg i personvernerklæringa
Bookbites
«Bookbites er plattformen biblioteket (NAVN) bruker for utlån av norske e-lydbøker og e-bøker. Når du registrerer deg, inngår du en avtale med Bookbites. Hvis du låner e- og lydbøker fra biblioteket i Bookbites-appen, vil Bookbites behandle følgende informasjon om deg: Dine aktive lån (bibliotek, bok og låneperiode), Lesehistorikk på aktive lån, Din lånehistorikk (avhengig av spesifikt samtykke), Lesehistorikk på avsluttede lån (avhengig av spesifikt samtykke).
Bookbites må videreformidle utlånsinformasjon til biblioteket om de e- og lydbøkene du låner, slik som navn, lånekortnummer og hvilken tidsperiode utlånet gjelder for. Biblioteket (NAVN) er behandlingsansvarlig for denne behandlingen av dine personopplysninger og formålet for behandlingen er administrasjon av dine lån. Behandlingen av disse personopplysningene baserer seg på den avtalen du har inngått da du registrerte deg som låner.»
Brukaren (den registrerte) sine rettar
Den registrerte sine rettar er godt tatt vare på når det gjeld Bookbites og nettsida til BS Ebok (administrasjonsverkty).
Innsyn, retting og sletting kan gjerast av brukaren sjølv i appen. I tillegg kan ein avgrensa kva informasjon ein vil dela ved å nekta samtykke for lagring av låne- og søkehistorikk.
Når det gjeld sletting skriv Bookbites (We do Books) at «det ikke er mulig å gi en generell tidsramme. […] flger grunnleggende retningslinjer for datalagring».
Databehandlar og underdatabehandlar
I dette høvet kjøper me tenesten frå ein annan leverandør. Det er BS Ebok som er databehandlaren og Bookbites er underdatabehandlar. I dette høvet er Bookbites den viktigaste underdatabehandlaren sidan det er dei som leverer appen og det er appen brukarane våre held seg til. BS E-bok si nettside har administrering og innkjøp av ebøker og elydbøker og er den plattformen dei tilsette i biblioteka vil bruka. Her hentar ein òg ut statistikk.
All lagring og behandling av personopplysingar skjer innanfor EU/EØS – noko som gjer dokumenteringa enklare. Det er ikkje forbode, men det er strengare å overføra personopplysingar til verksemder utanfor EU/EØS. Eg kjem ikkje inn på desse reglane i dette kurset.
Ei liste over underdatabehandlarar ligg i bilag B i databehandlaravtalen.
Risikoanalyse
For dei som har drive med ROS-analysar for HMS, arbeidsmiljø og personvern, kan det av og til verka som ei skrivebordsøving i å tenka worst case scenario om noko som eigenleg ikkje hender, for så å finna på tiltak som kan hindra at dette skjer. Men ein kan snu på det og tenka at det uansett bidrar til større merksemd og at ting som faktisk kan komma til å skje, kjem opp i dagen. Uansett vil ein risikoanalyse (Artikkel 32) gi deg eit høve til å lesa dokumenta som følgjer svært nøye – slik at du finn databehandlaren sine tiltak. Hugs at du òg kan krevja slik dokumentasjon frå databehandlar og underdatabehandlar (via databehandlaren). Ein risikoanalyse skal identifisera høve der:
- det blir gitt uautorisert eller utilsikta tilgang.
- ein kan risikera sletting eller tap av personopplysingar
- personopplysingar blir utlevert til andre
Risikoanalysen skal ha dette innhaldet:
- ei liste over typar risiko med vurdering av konsekvens, frå ikkje alvorleg til svært alvorleg, og kor sannsynleg det er at det hender (kor ofte det hender).
- åtgjerder (tiltak) som må til for at risikoen går ned til akseptabelt nivå.
NB! Risikoanalysen ligg til grunn for om det må gjerast ei vurdering av personvernkonsekvensar (DPIA). Dersom risikoen er høg, sjølv etter at tiltak er sette i verk, skal ei slik vurdering gjerast.
I Bookbites-høvet er det særleg to ting me har funne som risikabelt:
Bookbites tillet innlogging via Facebook-, Google- eller Apple-konto. Du kan altså velgja ein konto der du allereie er innlogga, slik at du slepp å laga ein ny konto hos Bookbites. Mange nettsider og appar gjer det, men likevel er det noko me kanskje bør fraråda brukarane å gjera. Det inneber ein risiko for at Meta, Google eller Apple vil bruka denne opplysinga (at brukaren loggar på ein eboklesar) til eigne formål og dimed til andre formål enn det brukaren/lånaren har gitt samtykke til. Det kan vera til tilpassa reklame (du får mange boktips?!), kor aktiv du er på nettenester (sekvens). Me veit eigenleg ikkje kva tech-gigantane brukar dette til. På den andre sida veit me heller ikkje kva det inneber dersom du velgjer å logga inn med epostadressa di. Kva informasjon som flyt vidare til techgigantane via din eposttenar veit me eigentleg heller ikkje.
Me har landa på at me i rettleiing om bruken av Bookbites og i personvernerklæringa tilrår brukaren å logga på med eigen konto som berre gjeld Bookbites. Det bør i tillegg vera eit utviklingsønskje frå biblioteka at det berre skal vera mogleg å laga seg ein eigen konto. Risikoen er likevel ikkje så stor at ein treng fleire tiltak.
Det andre er spørsmål om Bookbites nyttar Google Analysis til nettsida og appen? Bookbites/BS Ebok skriv at personopplysingar ikkje følgjer med over til Google Analytics sidan personopplysingane er psevdonymiserte. Me har bede om fleire opplysingar om korleis dette blir gjort, og Bookbites/BS Ebok si eiga risikovurdering av dette, men me har ikkje mottatt informasjon om det ennå. Google Analytics er i bruk på svært mange nettsider og det er vanskeleg å sjå kva innverknad det har på vernet av personopplysingar. Likevel meiner Datatilsynet at kvar verksemd har eit ansvar for å vurdera sikkerheita til slike analyseverkty.
Les meir om råd for val av analyseverkty.
Prosessen og dokumentasjonen
Prosessen og samarbeidspartnarar
Har du funne ein alliert i personvernarbeidet i din kommune?Det er kommunen som er behandlingsansvarlig og det er peika ut ein medarbeidar i kommunen som har det overordna ansvaret. Det kan vera IT-sjefen, digitaliseringssjefen eller nokon andre i leiinga. Mange av avgjerslene du må ta, er det vanskeleg å gjera aleine og i mange kommunar må du be leiinga om tillatelse for å kjøpa nye system der personopplysingar blir handsama.
For å sikra at leiinga har oversikt, er det ofte ein i leiinga som skal signera databehandlaravtalar. Frå eigen erfaring vil eg tipsa om at du kontaktar personvernombodet i din kommune og går gjennom dokumenta med hen.
Behandlingsprotokoll
Ein behandlingsprotokoll skal gjelda alle behandlingene samla i eitt dokument. For å ta ein ting om gongen og ikkje bli overvelda over at alt er i eitt dokument, er det lagt ved tre innførsler som gjeld Bookbites, jfr. dei tre behandlingene me har identifisert ovanfor. Du kan nytta desse tre innførslane eller nytta dokumentet i byrjinga av kurset som gjeld alle behandlingane som er omtala i dette kurset.
Eg minner òg om at kommunen kan ha sitt eige system der du skal legga inn desse opplysingane, til dømes Vista Draftit, Compilo.
Risikoanalyse
DPIA Vurdering av personvernkonsekvenser
I ROS-analysen har me ikkje funne høg risiko. Det er heller ikkje andre tilhøve som gjer det naudsynt å laga ein DPIA – vurdering av personvernkonsekvensar.
Databehandlaravtale
