Personvernerklæring for ansatte

Om personvernerklæringen:

Denne personvernerklæringen gir et overordnet innblikk i Sandnes kommunes behandling av personopplysninger om deg som ansatt. Det er viktig å merke seg at erklæringen er et resultat av en til tider krevende balansegang hvor man på den ene siden skal gi nødvendig og tilstrekkelig informasjon som på den andre siden skal være leservennlig og forståelig. Det vil være store forskjeller i hvilke behandlinger Sandnes kommune gjør av personopplysningene dine, alt etter hva du jobber med. Skulle vi ha laget en komplett erklæring som dekker alle eventualiteter, ville den for alle andre enn den spesielt interesserte gitt liten verdi.

Kontaktopplysninger:

Dersom du har spørsmål til Sandnes kommunes behandling av personopplysninger, kan du ta disse via din nærmeste leder som representant for behandlingsansvarlig.
Alternativt kan du kontakte personvernombudet direkte på: bjarte.aanestad@sandnes.kommune.no eller 45473049

Du kan også kontakte Datatilsynet direkte. Du finner mer informasjon om dette på nettsidene til Datatilsynet. Vær oppmerksom på at Datatilsynet anbefaler å kontakte personvernombudet i den aktuelle organisasjonen før man kontakter dem

Formål og rettslig grunnlag:

Som ansatt i Sandnes kommune, vil kommunen behandle en del personopplysninger om deg. Flere av disse behandlingene vil være nødvendige for å kunne oppfylle forpliktelsene i arbeidsavtalen, f.eks. knyttet til lønnsutbetaling (herunder lønnsfastsettelse og -forhandlinger) og den løpende personalforvaltningen.
Som ansatt vil du ha tilgang til en rekke digitale verktøy hvor det foregår behandlinger av personopplysninger. Du vil finne mer detaljert informasjon om dette i kulepunkt lenger nede. Kort sagt er behandlingene innenfor dette området langt på vei knyttet opp en sikker og stabil drift, forebygging og håndtering av feilbruk og misbruk, etterlevelse av lov- og avtaleverk (herunder personvernforordningens artikkel 32) samt mulighet til å ettergå sikkerhetshendelser.

Sandnes kommune er gjennom arkivlovgivningen forpliktet til å behandle personopplysninger om deg også utover arbeidsforholdet. Dette dreier seg ikke bare om opplysningene som er knyttet til selve ansettelsesforholdet, men også sporene du legger igjen i saksbehandlingen og gjennom journalføringen. Det vil være stor variasjon på hva som arkiveres for ettertiden. Etter enkelte ansatte vil det gjerne bare ligge en engasjementsavtale igjen. I andre tilfeller kan mappen bestå av søknad, arbeidsavtale og oppsigelse. Dersom du har vært gjennom et svangerskap og påfølgende permisjon, kan det ligge dokumentasjon fra både permisjonen, eventuell sykefraværsoppfølging og annen dokumentasjon fra dette i mappa. Dersom du har vært involvert i en personalsak, finnes det også regler for hva som skal dokumenteres av dette.

Som offentlig instans er kommunen underlagt offentlighetsloven. Dette innebærer at mange av personopplysningene Sandnes kommune behandler om deg også kan bli gjenstand for innsyn. Dersom det ikke er hjemmel i annet lovverk for å holde disse opplysningene tilbake, er kommunen på forespørsel pålagt å utlevere dem. Opplysninger som faller inn under definisjonen “noens personlige forhold” etter forvaltningsloven, vil ikke bli gitt ut i en innsynsforespørsel som hjemles i offentlighetsloven.

De fleste av kommunens behandlinger av ansattopplysninger er altså knyttet opp mot GDPR artikkel 6(1)(b) eller 6(1)(c).

Se Datatilsynets nettsider for mer informasjon.

Mottakere av opplysninger:

Sandnes kommune vil ikke dele personopplysninger med andre med mindre det er
• for å oppfylle en avtale
• fordi vi er pålagt gjennom lov
• fordi kommunen benytter databehandlere til å utføre oppgaver for oss, f.eks. Visma
• når du samtykker til deling.

Eksempelvis kan kommunen være pålagt å dele personopplysninger med mediene i medhold av offentlighetsloven, melde inn arbeidsforhold til Arbeidsgiver- og arbeidstakerregisteret eller sende refusjonskrav til NAV fordi kommunen forskutterer lønn ved sykefravær.
Vårt mål er at du skal være trygg på at kommunen ikke deler personopplysninger med andre uten et rettslig grunnlag.

Kommunen benytter seg av databehandlere. Disse skal kun behandle personopplysninger etter instrukser fra kommunen, og dette skal være regulert i en databehandleravtale.
I den grad det behandles personopplysninger om deg utenfor EU/EØS, skal det alltid foreligge nødvendige garantier for behandlingssikkerheten. Se Datatilsynets nettsider for mer informasjon.

Tidsrom og lagringskriterier

Sandnes kommune skal alltid ha et rettslig grunnlag for å behandle personopplysninger om deg. Hvor lenge personopplysningene skal behandles, kan variere fra kortvarige behandlinger, som f.eks. svar på en undersøkelse som sammenfattes og anonymiseres kort tid etter svarfristen, til dokumentasjon som omhandler ansettelsesforholdet og skal bevares i et evighetsperspektiv etter arkivlovgivningen. Som offentlig instans, vil kommunen i praksis likevel aldri kunne slette samtlige spor etter deg dersom du har hatt et arbeidsforhold.
For noen systemer er det satt opp automatikk i brukeropprettelse og -avslutning. Det tas vare på brukerdata og historikk i de systemer selv om bruker blir deaktivert. Behandling i det enkelte system vil tydeliggjøre hvordan data tas vare på og eventuelt benyttes.
Sandnes kommune plikter å føre protokoll over alle behandlinger. Disse protokollene skal så langt som mulig også si noe om planlagte slettefrister.

Se Datatilsynets nettsider for mer informasjon.

Rettigheter:

Personvernforordningen gir deg som ansatt i Sandnes kommune en rekke rettigheter.
Hvilke rettigheter man har etter personvernforordningen, henger til en viss grad sammen med hvilket rettslig grunnlag som ligger til grunn for behandlingen av personopplysninger. Noen av rettighetene har du imidlertid uavhengig av det rettslige grunnlaget. Du har for eksempel alltid rett til informasjon om behandlingen, innsyn og korrigering av feilaktige personopplysninger.

De ulike rettighetene du har/kan ha etter personvernforordningen, er:
1. Rett til informasjon
2. Rett til innsyn
3. Rett til retting
4. Rett til sletting
5. Rett til begrensning (av behandlingen)
6. Rett til å protestere
7. Rettigheter ved automatiserte avgjørelser
8. Rett til dataportabilitet

Dersom du har spørsmål, kan du kontakte din nærmeste leder eller kommunens personvernombud. Se eget punkt om kontaktinformasjon.

Viderebehandlinger

Sandnes kommune kan ikke gjenbruke personopplysninger til formål som ikke er forenlige med det opprinnelige formålet med mindre du har samtykket til dette eller det er nødvendig for å oppfylle en lov som kommunen er pålagt å følge.

Kilder

Mesteparten av personopplysningene kommunen behandler om deg, har vi innhentet direkte fra deg. Vi gjør imidlertid oppslag i og henter ut data fra sentrale offentlige registre som blant annet Folkeregisteret, kontakt- og reservasjonsregisteret, uthenting av skattekort hos Skatteetaten og Helsepersonellregisteret.

Avvik

Dersom du mener at Sandnes kommune sin behandling av personopplysninger om deg eller andre ansatte bryter med personvernlovgivningen, kan du melde avvik på dette i Compilo. Vi vil likevel oppfordre deg til å ta en prat med nærmeste leder og/eller personvernombud for å få klarhet i saken før du eventuelt melder avvik.

Som beskrevet tidligere, har du også mulighet til å kontakte Datatilsynet direkte.

Mer om behandling av personopplysninger i IT-systemene

For å gi riktig tilgang til kommunens løsninger opprettes personlige brukerkontoer. For entydig identifikasjon brukes navn, kontaktopplysninger og – der det er nødvendig – fødsels- og personnummer. Disse opplysningene utveksles mellom kommunens felles identitets- og tilgangsstyring og de fleste systemene du logger på, slik at autorisering, sporbarhet og sikker drift ivaretas på tvers av løsninger.

Når du logger på og bruker kommunens tjenester, registreres aktivitet detaljert. Dette omfatter blant annet tidspunkt, bruker-ID, system/tjeneste, IP-adresse og nettverkslokasjon, enhetstype og operativsystem, nettleser/app-versjon, status for innlogging (vellykket/feilet), endringer i tilganger og relevante sikkerhetshendelser. Dersom du bruker privat enhet for å få tilgang til kommunens tjenester (f.eks. e-post eller turnus-/timeregistrering), vil tilsvarende innloggings- og enhetsinformasjon knyttet til tilkoblingen bli logget. Vi innhenter ikke innholdet på private enheter.

Formålet med denne behandlingen er sikker og stabil drift, forebygging og håndtering av feilbruk og misbruk, etterlevelse av lov- og avtaleverk samt mulighet til å ettergå sikkerhetshendelser. Tekniske logger brukes til drift, sikkerhet og etterlevelse. Enkelte sikkerhetsløsninger kan benytte logg og aktivitet også til automatiserte behandlinger for å ivareta sikkerhet.

Personopplysninger og loggdata kan bli gjort tilgjengelig for databehandlere som leverer drift og sikkerhetstjenester på våre vegne, regulert av databehandleravtaler. Lagringstider fastsettes ut fra formål, sikkerhetsbehov og gjeldende regelverk.
Det er forskjell på bruk av logger til teknisk sikring (for eksempel for å følge opp mistenkelige påloggingsforsøk) og bruk av logger til personalforvaltningen (eksempelvis snoking eller tjenesteproduksjon). Sistnevnte vil regnes som mer inngripende i personvernet ditt, og vil derfor kreve strengere prosedyrer.