I denne personvernerklæringen finner du informasjon om hvordan NAV behandler dine personopplysninger i forbindelse med personvernbruddet i verktøyet Rekrutteringsbistand. Personvernerklæringen gjelder

• hvordan vi vurderer hvem som er omfattet av personvernbruddet
• hvordan vi varsler om bruddet
• hvordan vi behandler innsynskrav

Informasjon om dine overordnede rettigheter, kontaktinformasjon til personvernombudet og, informasjon om hvem som er ansvarlig for ditt personvern finner du på våre generelle sider om personvern i NAV.

For å finne ut om det har vært brudd på personopplysningssikkerheten, gjennomgår vi alle fritekstfelt i verktøyet Rekrutteringsbistand, der vi tror det kan ha oppstått et personvernbrudd.

Eksempler på personvernbrudd vi ser etter, er der vi kan ha skrevet mer informasjon om en person, enn det vi har hatt lov til, eller der vi har gjort tilgjengelig personopplysninger for andre enn de som har hatt et behov for å se dem.

Der vi vurderer at det er høy risiko for den enkeltes rettigheter og friheter, skal vi gi beskjed til den som er berørt.

For å kunne ta stilling til hvem som skal varsles, vurderer vi etter et sett med kriterier;

• Om personopplysningene, eller listen som en person har stått på var innenfor eller utenfor hva NAV har lov til å behandle i løsningen
• Om personopplysningene defineres som en særlig kategori av personopplysninger (dvs. at det er en sensitiv opplysning som f.eks. en diagnose eller en persons etnisitet)
• Om personopplysningen er taushetsbelagt etter forvaltningsloven (typiske opplysninger en ønsker å holde for seg selv)
• Om det var forutsigbart at personopplysningene var tilgjengelig for ansatte i løsningen
• Om det er tilgjengeliggjort opplysninger som knytter seg til tjenester etter sosialtjenesteloven, f.eks. informasjon om kvalifiseringsprogram

I praksis trekkes informasjon ut fra verktøyet Rekrutteringsbistand til en database som gir oss kontroll på alle saker som skal gjennomgås. Det gjøres uttrekk fra databasen til et vurderingsskjema, som en bestemt ansatt får ansvar for å gjennomgå. Den ansatte skal se igjennom alle fritekstfelt knyttet til et kandidatnummer, og vurdere alvorlighetsgraden i det som står der.

Alle typer kategorier av personopplysninger vil kunne forekomme i behandlingen av fritekstfeltene som skal gjennomgås for å vurdere hvem som er berørt. Vanligvis brukes fritekstfelt til å fremme en kandidat til en konkret stilling/jobb, men det vil også være eksempler der det står noe om en persons diagnose eller andre utfordringer.

I alle tilfeller vil det behandles et kandidatnummer og et listenummer, som gjør at en person senere kan kobles til de konkrete personopplysningene.

I de tilfellene der en person skal varsles, vil også deres kontaktopplysninger og fødsel- og personnummer bli behandlet. Ved oppslag i våre systemer for å finne kontaktinformasjonen til den berørte, vil vi også se om den enkelte er markert med sikkerhetstiltak.

Ved innsyn vil det bli behandlet opplysninger om fødselsnummer, kandidatnummer, kandidatlister, listebeskrivelse, og fritekstfelt i innsynsløsningen.

For å minimere risikoen for at de som skal gjennomgå sakene, kjenner igjen den personen de vurderer, ligger det ingen direkte identifiserende opplysninger om personen i løsningen, som f.eks. fødselsnummer eller navn.

I sakene som er plukket ut for varsling av den berørte, må saksbehandleren først ta stilling til om hen kjenner igjen navnet til den som skal varsles, før de leser informasjonen som er knyttet til personvernbruddet. På den måten minimerer vi risikoen for at sensitive opplysninger om en person, blir synlig for noen de kjenner.

Det er gjennomført personvernkonsekvensvurderinger for sikre at vi ivaretar de registrertes rettigheter gjennom hele prosessen.

Det er gjennomført en egen personvernkonsekvensvurdering for innsynsløsningen. I innsynsløsningen vil det være mulig å gjøre oppslag på fødselsnummeret til den personen som har fremmet innsynskrav. Det er kun den/de som skal behandle innsynskravet, som har mulighet til å gjøre oppslag på personen i innsynsløsningen. For å hindre misbruk vil alle personoppslag bli logget.

Det er en gruppe på 15 personer som gjennomgår og vurderer om det foreligger et personvernbrudd. Sakene fordeles mellom gruppen, og det er derfor bare en person som vurderer en person sin sak.

Gruppen som skal varsle personer om bruddet og behandle innsynskrav, består av 26 saksbehandlere. Sakene fordeles mellom gruppen, og det er derfor bare en person som får tilgang til en persons sak.

Vurderingen vi gjør knyttet til om det er et brudd eller ikke, skal arkiveres. Opplysningene lagres til saken er ferdig og når tiden for kassasjon (sletting) er kommet. Det vil i praksis si når alle frister knyttet til brukers rettigheter er utgått. Når vurderingene er gjort, og personer som skal varsles har blitt varslet, vil informasjonen lagres i et arkiv, og ikke lenger være tilgjengelig i et saksbehandlingssystem. For saker som omfattes av personvernbruddet, er lagringstiden satt til 20 år.

Når det gjelder innsynsløsningen, vil personopplysninger bli slettet fra løsningen når NAV er ferdig med oppfølgingen av personvernbruddet. Opplysningene vil lagres i løsningen i 3 år.

For å kunne behandle personopplysninger på nytt i forbindelse med vurdering av om det foreligger personvernbrudd, må vi ha et rettslig grunnlag. Vi er forpliktet etter personvernregelverket å vurdere hvilke berørte som skal varsles.

Gjennomgang og vurdering er en rettslig forpliktelse etter GDPR Art. 6(1)c, og etter GDPR art. 34 jf. art. 33. Når vi behandler særlige kategorier i forbindelse med gjennomgangen, gjør vi det med grunnlag i viktige allmenne interesser etter GDPR art. 9(2) g.

Så lenge vi behandler personopplysninger om deg, er vi også pliktig til å ivareta din rett til innsyn i egne personopplysninger som følger av GDPR artikkel 15.

Når vurderingen er gjort, blir sakene som innebærer et brudd på personopplysningssikkerheten med høy alvorlighetsgrad, sortert ut, og overført til den personen som skal gi et varsel til den berørte.

Før den som varsler får informasjonen, kobles vurderingen sammen med den berørtes personnummer, for å kunne identifisere den som opplysningene er knyttet til. Den som skal varsle den berørte og søker opp personen vårt saksbehandlingssystem. Her finner vi riktige kontaktopplysninger, og ser om personen som skal kontaktes er markert med sikkerhetstiltak.  

Dersom personen er markert med sikkerhetstiltak, kontaktes personens veileder på det lokale NAV-kontoret.

Personer som skal varsles, blir enten ringt opp, eller får et brev. De som ringes vil bli spurt om å svare på noen sikkerhetsspørsmål, slik at vi er sikre på at vi snakker med riktig person.

Den som ringer vil se personopplysningene som er knyttet til personvernbruddet, og informerer den berørte om dette. Det skrives et referat av samtalen som leses opp for den berørte og legges tilgjengelig for brukeren på min side. Referatet skal ikke inneholde spesifikk informasjon om personvernbruddet.

Du kan be om innsyn i hvilke personopplysninger som blir behandlet om deg i forbindelse med gjennomgangen av personvernbruddet, samt innsyn i hvordan din sak er blitt vurdert når det gjelder risikoen.

Hvis du ønsker innsyn i disse opplysningene, sender du innsynsforespørsel via tjenesten Skriv til oss  eller kontakte NAV på telefon 55 55 33 33.  Skriv gjerne hvilke opplysninger du ønsker innsyn i.

Vi gjør oppmerksom på at inntil NAV er ferdig med å gjennomgå og vurdere alle sakene, vil hensynet til forsvarlig saksbehandling tilsi at det ikke gis innsyn i vurderingene av risikoen.

For å kunne følge opp personvernbruddet i Rekrutteringsbistand, er vi nødt til å ta vare på personopplysningene i en viss periode. Så lenge NAV behandler personopplysninger om deg, har du også rett til innsyn i dine personopplysninger. Du kan derfor be om innsyn i dine personopplysninger som er omfattet av personvernbruddet i Rekrutteringsbistand.

NAV forventer at varslingen om personvernbruddet kan føre til et vesentlig antall innsynskrav. For å kunne oppfylle din rett til innsyn, og behandle innsynskravene innen forsvarlig saksbehandlingstid, har vi tatt i bruk et eget system for å lage en innsynsløsning. Dette innebærer at det skjer en behandling av dine personopplysninger i dette systemet, men dette vil kun skje for en kortere periode.  Det er kun NAV-ansatte med tjenstlig behov som får tilgang til løsningen, og personoppslag vil bli logget. I utgangspunktet er det kun den/de som behandler innsynskravet ditt som har mulighet til å gjøre oppslag på deg. Når NAV er ferdig med oppfølgingen av personvernbruddet, vil opplysningene bli slettet.

Når du ber om innsyn i dine personopplysninger, kan den NAV-ansatte som behandler innsynskravet slå opp i innsynsløsningen for å få oversikt over dine personopplysninger. Den ansatte vil vurdere om det kan gis innsyn i disse opplysningene, eventuelt om det bør gjøres unntak fra innsyn. Dersom det blir gjort unntak fra innsyn, vil du få en begrunnelse for dette. Svar på innsynskravet vil enten bli gitt muntlig per telefon, eller skriftlig per brev.

Du kan be om innsyn både muntlig og skriftlig. Hvis du er en av de berørte som blir varslet om personvernbruddet på telefon, kan du også fremme innsynskrav i denne samtalen.