Sommarles

Sommarles registrerer omlag halvparten av alle skulebarn i Noreg. Det er difor svært viktig at du har gjort dei vurderingane som trengst og dokumentert behandlinga av desse barna sine personopplysingar. Databehandlar for Sommarles, Snuti, endra ved årsskiftet 2022/2023 mange av sine innstillingar slik at dei er betre tilpassa personvernreglane om minimering av personopplysingar. Her er òg endringar i tilgangsnivået slik at ikkje alle kan sjå alt, men berre det som er aktuelt for det einskilde biblioteket. Ny databehandlaravtale er sendt ut til alle bibliotek/kommunar for signering og difor bør ein gå gjennom eksisterande behandlingsprotokoll og vurdering av personvernkonsekvensar (DPIA) på nytt slik at dei samsvarar med den nye behandlinga.

Behandlingsprotokollen og DPIA skal lagast etter kommunen sin mal/i systemet kommunen har vald og lagrast der kommunen lagrar dokumenta som vedkjem personvern.

Finn gode samarbeidspartnarar og lag protokollen og DPIA saman med dei. Desse dokumenta blir grunnlaget for at du eller andre i kommunen kan godta databehandlaravtalen. Det er ikkje alltid det er biblioteksjefen som skal skriva under på databehandlaravtalen. Få greie på kven som skal skriva under, og send melding til Snuti AS om kven det er og kontaktinformasjonen til vedkommande.

Dersom det er ein annan i kommunen som skal skriva under, vil dei krevja å få behandlingsprotokollen og DPIA-en og gå gjennom den saman med deg før dei skriv under.

Prosessen 2023

• Les dokumenta frå Snuti AS
  • Brukarvilkår
  • Sommarles sin personvernerklæring
  • Tenesteavtale
  • Databehandlaravtale
• Skriv behandlingsprotokoll
• Skriv DPIA
• Diskuter med din leiar eller med andre med personvernansvar i kommunen.
• Rådfør deg eventuelt med personvernombodet
• Skriv under databehandlaravtalen
• Skriv under ny tenesteavtale med Sommarles.no

Frist for å returnera underskrivne dokument er 17.2.23

Døme på behandlingsprotokoll frå Klepp bibliotek (sjå vedlegg for nedlasting under)

Hva er formålet med behandlingen?	Formålet med behandlinger av personopplysninger som er omfattet av denne DPIA er: Øke leselyst blant barn og unge gjennom deltakelse i lesekampanjen, eksempel: o Registrere leste bøker og vurdering om bøker o Få poeng og nivå for lesing (tilpasse vanskelighetsgrad) o Få trofeer og premier for lesing ü Inspirere til lystlesing, eksempel: o Få tilpassede anbefalinger av bøker basert på lesemønster o Se hva venner leser ü Administrere kampanjen, eksempel: o Kontrollere innhold lagt inn av registrerte (bøker, bokomtaler) o Dele ut premier for registrert lesing ü Statistikk for videreutvikling, forskning og allmenn interesse
Hvilken lovgivning kommer til anvendelse på behandlingen?	Ny Personopplysningslov (25.mai 2018)
Spesifiser
Unntak fra personopplysningsloven
Begrunn unntaksadgang
Hvilke kategorier av registrerte håndteres?	Ansatte; Andre; Medlemmer; Elever
Spesifiser	Barn 1. til 7. trinn (5 – 12 år )kan opprette konto hos Sommerles (bli medlem) med foreldres samtykke.
Hvilke identitetsopplysninger behandles?	Navn; Fødselsdato; Kundenummer
Spesifiser
Behandles nasjonalt identifikasjonsnummer?	Nei
Begrunn
Hvilke kontaktopplysninger behandles?	Privat e-postadresse  ; E-postadresse på arbeid
Begrunn behandling av bostedsadresse
Hvilke andre sårbare personopplysninger behandles?	Annet
Spesifiser opplysninger	ü Opplysninger spesifisert i databehandleravtale for Sommerles.no av den registrerte: o Navn, foresattes e-post, kjønn, klassetrinn, lånernummer, osv. o Bibliotektilhørighet o Lokasjonsdata (kun på klient, ikke sendt til server eller lagret) o Kontoinnstillinger, e-postpreferanser, språk, osv. o Kontoaktivitet med revisjonslogg for endringer. o Bøker og sider lest, vurdering, omtaler, lesemønster, osv. o Vennetilknytning o Spillelementer, poeng, troféer, diplomer, oppgaver, premier, osv. o Meldinger, kommunikasjon med bibliotek-administrator o Aggregering av lesestatistikk, tilpassede bokanbefalinger, spørreundersøkelser, osv. ü Kundestøtte via e-post til Snuti AS fra registrerte og bibliotek-administratorer ü Driftskontakt hos Snuti AS
Legg ved liste med kategorier av personopplysninger:	epost fra Snuti AS 160123 vedr personvern
Behandles sensitive personopplysninger?	Nei
Begrunn
Hvilke typer sensitive opplysninger er registrert?
Behandles opplysninger om lovbrudd?	Nei
Begrunn
Benyttes fritekstfelt ved behandlingen?	Nei
Beskriv bruken
Legg ved retningslinjene her:
Registreres personopplysninger om barn?	Ja
Begrunn	Er målgruppen og deltakere i Sommerles.
Tilbys ”informasjonssamfunnstjenester” til barn?	Nei
Hvordan sikres samtykke fra foresatte?	Ved registrering av deltakelse i Sommerles gir foresatte sitt samtykke.
Benyttes opplysninger til profilering eller andre automatiserte avgjørelser?	Ja
Forklar	o Lesemengde registreres og generer  poeng, troféer, diplomer, oppgaver, premier, osv. o Aggregering av lesestatistikk, tilpassede bokanbefalinger, spørreundersøkelser, osv.
Hvilke behandlingsgrunnlag benyttes?	Samtykke; Avtale
Begrunn valgt behandlingsgrunnlag	Innhentes samtykke fra brukernes foresatte ved registrering. Ved registrering skal foresattes epostadresse angis. Nettsida genererer en epost til den foresatte der de blir bedt om å samtykke til brukervilkår. Ansattes personopplysninger innhentes ved tjenesteavtale ved deltakelse i Sommerles
Last opp eller link til behandlingsgrunnlag:	tjenesteavtale
Dersom samtykke har blitt benyttet besvar:
Hvordan ble samtykke innhentet?	Via e-post
Spesifiser
Kan det dokumenteres at samtykke er innhentet fra hver enkelt registrert?	Ja
Hvilke av registrertes rettigheter oppfylles?	Informasjon; Innsyn; Retting/korrigering; Sletting (å bli glemt); Blokkering/begrensning; Dataportabilitet; Innsigelsesrett
Om rettigheter ikke oppfylles, har dere tillatelse til dette?	Nei
Legg ved rutiner som sikrer rettighetene	personvernerklæring; Personvernerklæring Jærbiblioteka – versjon 071022
Har dere mottat klager eller henvendelser fra registrerte i forbindelse med behandlingen?	Nei
Forklar
Hvilke kilder hentes personopplysningene fra?	Den registrerte
Spesifiser fra hvem
På hvilken måte har de registrerte fått informasjon?	I avtaletekst eller godkjente brukervilkår
Forklar
Kommer unntak fra informasjonsplikten til anvendelse?	Nei
Begrunn unntaksadgang
Hva har registrerte mottatt informasjon om?	Behandlingsansvarlig virksomhet; Kontaktinformasjon virksomhet; Kontaktopplysninger personvernrådgiver; Formålet med behandlingen; Behandlingsgrunnlaget; Avveining når berettiget interesse dersom dette påberopes; Hvilke opplysninger som inngår i behandlingen; Utlevering av opplysninger og mottakere; Overføring til tredjeland eller internasjonal organisasjon; Om overføring gjøres på bakgrunn av adekvat beskyttelsesnivå hvilke tiltak som er iverksatt for å sikre beskyttelse; Kilde(r) personopplysningene samles inn fra; Kriterier for oppbevaring og sletting av opplysningene; Begrunnelse ved registrering av personnummer; registrertes rettigheter; Om det treffes automatiserte beslutninger inkludert profilering og logikken bak disse beslutningene og betydningen for individet; Nye formål som har oppstått etter tidligere informasjon om behandling; Om behandling er frivillig; Om opplysninger benyttes til profilering; Klageadgang til tilsynsmyndighet
Spesifiser
Oppfyller dere informasjonsplikten for behandlingen?	Ja
Legg ved informasjonstekster
Hvilken tidsfrist finns for sletting?	Personopplysninger slettes etter 15 mnd inaktivitet.
Finnes det skritflige rutiner for sletting?	Ja
Når ble de sist oppdatert?	Mottatt på mail 16.1.2023
Legg ved rutiner for lagring og sletting:	personvernerklæring
Benytter dere databehandlere?	Ja
Spesifiser tjenesten	Snuti AS i samarbeid med Vestfold Telemark fylkesbibliotek
Hvem er databehandlere?	SNUTI AS
Er det inngått en skriftlig databehandleravtale?	Ja
Legg ved avtaleteksten om mulig.	databehandleravtale
Er det implementert rutiner for kontroll og revisjon av databehandlere?	JA
Legg ved instruksjoner eller rutiner:
Angi underleverandører til databehandler	Terrahost AS; Proton AG; Sendinblue; Vercom S.A.
Kommentarer	Underleverandøren Terrahost AS, Norge, er serverleverandør og leverer backupløsninger. Proton AS, Sveits, leverer systemer for kundestøtte og administrative eposter. Sendinblue, Frankrike og Vercom S.A., Polen leverer tjenester for sending av system-eposter. (Eks.: tilbakestill passord, ny bruker, epost endret)
Utleveres personopplysninger til tredjepart?	Ja
Angi mottaker og hvordan utlevering foregår	Se DPIA s. 6 og databehandleravtale for mer informasjon
Hva er formålet med utleveringen?	Server og hovedtjeneste: Behandlingen skjer i henhold til bransjenorm, der serverleverandør ikke har direkte tilgang til lagrede personopplysninger, da server administreres av Snuti AS. System-e-poster og kundestøtte: Behandlingen skjer i henhold til bransjenorm, der e-postleverandør sender e-poster som forespurt av Snuti AS og lagrer minimalt med personopplysninger kun for nødvendig historikk.
Publiseres opplysninger?	Nei
Beskriv hvor
Overføres personopplysninger til tredjeland eller internasjonal organisasjon?	Nei
Angi tredjeland og mottaker eller internasjonal organisasjon
Hva er overføringsgrunnlaget?
Spesifiser overføringsgrunnlag
Her kan du laste opp overføringsgrunnlag
Finnes det en allmenn beskrivelse av tekniske og organisatoriske sikkerhetstiltak?	Ja
Når ble den sist oppdatert?	Januar 2023 – se DPIA av 16.1.23
Legg ved beskrivelsen om mulig:
Hvilke enheter har tilgang til opplysningene?	Annet
Angi enhet	Alle med publikumstjeneste i biblioteket har tilgang. 10 personer
Logges brukere i et system?	Ja
Spesifiser formål og system
Legg ved loggføringsrutiner om mulig:
Hvor mange er registrert i behandlingen?	1 001-10 000
Er det gjennomført sikkerhetsanalyser?	Ja, analyse av personvernkonsekvenser (DPIA)
Har dere gjennomført personvernsertifiseringer?	Nei
Legg ved dokumentasjon
Hvilke organisatoriske sikkerhetstiltak er implementert?	Ansvarlig for informasjonssikkerhet utpekt; Systemansvarlig utpekt; testing; Utdanning; Kriseplaner; Kontinuetsplan; Revisjoner
Spesifiser
Legg ved organisatoriske sikkerhetstiltak:
Hvilke tekniske sikkerhetstiltak er utført?	Tilgangsbegrensning; Innebygd personvern; Personvern som standard; Kryptering; Pseudonymisering; back-up
Spesifiser tiltak
Legg ved tekniske sikkerhetsrutiner:
Oppfylles grunnleggende personvernprinsipper?	Lovglighet, korrekthet og transparens; Formålsbegrensning; Dataminimering; Korrekthet; Lagringsminimering; Integritet og konfidensialitet; Ansvarlighet
Har det forekommet noen avvik i forbindelse med behandlingen?	Nei
Forklar
Her kan du laste opp relevante dokumenter:
Notater
Er du ferdig med skjemabesvarelsen?	Ja, jeg har oppgitt all nødvendig informasjon

Døme på behandlingsprotokoll for Sommarles frå Klepp bibliotek (pdf)

Døme på behandlingsprotokoll for Sommarles frå Klepp bibliotek (excel)

Vurdering av personvernkonsekvenser DPIA

Som tidlegare nemnd har ein fyrst ein innleiande runde der ein svarar på spørsmål. Svara ein gir, kan føra til at ein må gjera ein «full DPIA».

Døme på DPIA frå Klepp bibliotek (sjå vedlegg for nedlasting under)

Resultatet etter svar på innleiande spørsmål var at ein full DPIA måtte gjerast. Årsakane var følgjande:

• Ingen DPIA er foretatt for lignende behandlingsaktivitet
• Evaluering og poengvurdering av den registrerte utføres
• Data behandles i stor skala
• Datasett matches og kombineres
• Opplysninger om særbare registrerte behandles
• Behandlingen omfatter aktiviteter som ifølge tilsynsmyndigheten krever en DPIA

Risikoanalyse

Grunnleggende

Er noen utpekt til å et overordnet ansvar for personvern? Ja
Er det utpekt et personvernombud? Ja
Har dere identifisert om behandlingen også aktualiserer nasjonal lovgivning? N/A
Har dere identifisert hvilken myndighet som er autorisert tilsynsmyndighet? Ja
Har personalet som behandler personopplysninger fått egnet opplæring og informasjon om hvilke begrensninger som gjelder for behandlingen? Ja

Anvendes alle personvernrelaterte retningslinjer, instruksjoner og rutiner på behandlingen? Ja
Finnes det rutiner for å sikre at alle innsamlede personopplysninger er relevante, pålitelige og korrekte? Ja
Har behandlingen av personopplysninger blitt dokumentert på en egnet måte? Ja
Slettes opplysninger på egnet måte? Ja

Formål og rettslig grunnlag

Er formålet med behandlingen spesifikt, uttrykkelig angitt og berettiget? Ja
Behandles bare de personopplysningene som er nødvendige for formålet? Ja
Har dere sikret at det finnes et rettslig grunnlag for behandlingen? Ja
Hvis du bruker samtykke som rettslig grunnlag, har du sikret at samtykket er gyldig og følger lovkravene? Ja
Hvis du tilbyr informasjonssamfunnstjenester, har du kontroll over det som gjelder for aldersgrenser for samtykke? N/A
Hvis du bruker berettiget interesse som rettslig grunnlag, har du sikret at dine formål virkelig er berettiget og dokumentert interesseavveiningen? N/A

Type personopplysninger

Har dere vurdert hvor følsomme personopplysningene er? Ja
Er behandlingen av nasjonale identifikasjonsnumre under kontroll? N/A
Er behandlingen av særlige kategorier av personopplysninger under kontroll? N/A
Er behandlingen av personopplysninger om barn under kontroll? Ja

Informasjon til de registrerte

Er informasjonen dere gir om behandling av personopplysninger fullstendig? Ja
Er informasjonen til allmennheten og de registrerte forståelig og åpen? Ja
Gir dere informasjon om behandlingen i tide? Ja
Er informasjonen tilgjengelig og lett å finne for de registrerte? Ja
Gjør dere de registrerte oppmerksom på endringer som gjøres i behandlingen av personopplysninger? Ja

Registrertes rettigheter

Kan de registrerte kreve innsyn og da få tilgang til alle sine personopplysninger? Ja
Kan de registrerte kreve retting av personopplysninger? Ja
Kan de registrerte kreve sletting av personopplysninger? Ja
Kan de registrerte protestere på behandlingen? Ja
Ved automatiserte avgjørelser, kan de registrerte motsette seg beslutningen og få den omprøvd? Ja
Kan de registrerte kreve begrensning av behandlingen? Ja
Kan dere etterkomme ønsker om dataportabilitet? Ja
Har dere rutiner for å håndtere forespørsler og klager fra registrerte? Ja
Håndteres forespørsler fra de registrerte innen tidsrammene? Ja
Verifiserer du personers identitet gjennom tilstrekkelig sikker identifisering før noen gis tilgang til personopplysninger? Ja

Overføring og mottakere

Er overføringen av informasjon til databehandlere under kontroll? Ja
Har dere foretatt et kontrollert, bevisst valg av databehandler(e)? Ja
Er eventuell utlevering av personopplysninger til tredjepart under kontroll? Ja
Hvis personopplysninger er gitt ut til tredjepart, informerer dere dem om eventuelle endringer? Ja
Hvis dere overfører personopplysninger til tredjeland, har dere sørget for at overføringen er lovlig? Ikke relevant

Sikkerhet og avvikshåndtering

Iverksetter dere tiltak for å ivareta sikkerheten til personopplysningene som behandles? Ja
Arbeider du ut fra prinsippene om innebygd personvern og personvern som standardinnstilling? Ja
Styrer dere systembrukeres tilgang til personopplysninger med egnede rettigheter? Ja
Er aktiviteter i dine IT-systemer sporbare? Ja
Har dere en prosess for hendelseshåndtering på stedet? Ja
Har databehandlerne rutiner for hendelseshåndtering på stedet? Ja
Hvis personopplysningene skulle slettes, har dere innført rutiner for å begrense risikoene for de registrerte? Ja
Tar dere høyde og planlegger for det verste mulige scenariet? Ja
Utfører dere interne sikkerhetsrevisjoner? Ja

Egne risikoer

Feil personopplysninger ved registrering av bruker –Risikostatus – Minimert

Anbefalt risikobegrensning:
Etter registrering går en systemepost til brukerens foresatte der man ber om samtykke fra den foresatte. Feil som oppdages da, kan rettes opp av bruker/foresatte. Underveis i behandlingen kan brukeren når som helst endre kontoinformasjon.

Tiltak/minimering strategi:
Riktig epost er avgjørende for å få aktivert kontoen. Foresatt skal samtykke ved å returnere tilsendt epost..

Foresattes epost er feil – risikostatus minimert

Anbefalt risikobegrensning: Viser til brukervilkår for Sommerles.no (lastet opp) der det står at «for å delta i kampanjen, må foresatte lese og godkjenne denne avtalen». Vi sikrer oss at foresatte leser denne ved at brukervilkårene i tillegg deles ut i papir før Sommerles begynner hvert år. Elevene får papirutgaven med hjem i «elevmappa». Skulle barnet likevel lure seg til å registrere egen epostadresse, vil de foresatte likevel få vite om dette og foreta riktig bekreftelse.

Bokomtaler inneholder støtende ord om andre registrerte – risikostatus minimert

Anbefalt risikobegrensning: En bibliotekar ved det valgte biblioteket godkjenner alle bokomtaler før publisering.

Vennefunksjon – risikostatus minimert

Vi anser ikke vennefunksjonen til å være en informasjonssamfunnstjeneste «sosialt medium» da det kun er utveksling av bokomtaler, «bøker lest» og bokanbefalinger. Det er ingen fritekstfelt eller chattefunksjon.

Uautorisert personell og uvedkommende får tilgang til personopplysninger – risikostatus minimert

Anbefalt risikobegresning: PC-en låses når personalet forlater skranken

Vanskelighetsgrad kan velges

Anbefalt risikobegrensning: Ingen ytterligere risikobegrensing er nødvendig. Deltakeren svarer subjektivt og det ligger ingen diagnoser eller vurderinger fra andre bak. Vi anser derfor ikke opplysningen til å være en særskilt kategori personopplysning. Denne opplysningen styrer algoritmer i systemet og er ikke tilgjengelig for administrator på det enkelte bibliotek, med mindre man uttrykkelig ber om det.

• Døme på DPIA for Sommarles frå Klepp bibliotek (pdf)

Proporsjonalitet (forholdsmessigheit)

For alle desse tilhøva som er risikoar knytta til behandling av personopplysingar kan ein vekta tryggingstiltak opp mot tiltaket og nytta brukaren har av det. Det er, som det framgår av sitatet under, eit rom for skjønn. Det viktige er at risikoane er skrivne ned i vurderingane og at de viser at de har

• vurdert risikoane
• minimert risiko så godt det lar seg gjera
• brukt skjønn og vekta nytta brukaren har av tiltaket opp mot alvorsgraden (konsekvensen) av desse risikoane

Virksomheten må sikre en forsvarlig behandling av personopplysninger ved at man ivaretar den registrertes rettigheter og friheter, samtidig som man ivaretar virksomhetens mål ved behandlingen. Etter personvernforordningen (artikkel 24) innebærer det en forholdsmessighet hvor man ser på behandlingens art, omfang, formål og sammenheng, samt risikoene for fysiske personers rettigheter og friheter, og ut fra det gjennomfører egnede tekniske og organisatoriske tiltak.

Datatilsynet

• Datatilsynet: Internkontroll – forholdsmessigheit

Eg gjer merksam på at høvet å vurdera risikoar etter forholdsmessigheit, gjeld alle typar behandlingar.