Datatilsynets krav om redegjørelse. Datatilsynet ba om å få tilsendt følgende:
1. Fylkeskommunen og kommunens behandlingsprotokoll, jf. personvernforordningen artikkel 30.
2. Oversikt over deres organisering av ansvarsforhold knyttet til etterlevelse av personvernregelverket, jf. personvernforordningen artikkel 5 nr. 2.
3. En kort beskrivelse av deres overordnede styringssystem (internkontroll) for etterlevelse av personvernregelverket, herunder hvilke verktøy som eventuelt brukes.
4. Styrende retningslinjer for gjennomføring av risiko- og sårbarhetsanalyser, jf. personvernforordningen artikkel 32.
Datatilsynets krav om redegjørelse. I brevkontrollen ba vi om å få oversendt kommunens behandlingsprotokoll. Flere kommuner tok kontakt og opplyste om at dette var vanskelig, og at det ville innebære store mengder dokumentasjon. Felles for disse var at de har laget en protokoll pr system som behandler personopplysninger, noe som innebærer at de har mange protokoller. Det ble avtalt med flere kommuner at de kunne sende en overordnet beskrivelse av hvordan de fører protokoll, sammen med et eksempel.
Datatilsynets krav om redegjørelse. Et av formålene med tilsynet var å kontrollere om kommunene og fylkeskommunene ivaretar ansvarlighetsprinsippet, herunder om det er etablert klare rammer for plassering av ansvar og roller. Vi ønsket å undersøke om det er etablert rutiner som gir oversikt og hvordan disse gir den ansvarlige reell styring og kontroll med etterlevelsen av personvernforpliktelsene i hele organisasjonen. Datatilsynet ønsket under brevkontrollen å undersøke kommunene og fylkeskommunenes bevissthet om kravene til å ha oversikt og styring med det samlede behandlingsansvaret og hvorvidt dette var innarbeidet i styringssystemet deres. Vi ba derfor kommunene om å sende oss en beskrivelse av kommunens organisering av ansvarsforhold knyttet til etterlevelse av personvernregelverket, jf. personvernforordningen artikkel 5 nr. 2.
Datatilsynets krav om redegjørelse. Datatilsynet ba i brevkontrollen kommunene om en kort beskrivelse deres overordnede styringssystem (internkontroll) for etterlevelse av personvernregelverket, herunder hvilke verktøy som eventuelt brukes. I gjennomgangen av besvarelsene har Datatilsynet tatt høyde for at kommunene kan ha sendt oss et utvalg av informasjon som ikke er representativt for deres faktiske styringssystem. Flere har for eksempel gitt en overordnet beskrivelse uten å vise hvordan de har implementert sitt styringssystem. Andre beskriver hva styringssystemet deres kan eller bør inneholde. Dette kan ha sammenheng med at vi ba om å få tilsendt en kort beskrivelse, og at dette er tolket på forskjellige måter hos respondentene.
Datatilsynets krav om redegjørelse. Vi ba kommunene om å oversende en overordnet/styrende retningslinje for gjennomføring av risiko- og sårbarhetsanalyser. Spørsmålet er relevant da en slik retningslinje vil kunne bidra til at kommunene har en systematisk og konsistent tilnærming til arbeidet med risikovurdering og risikostyring.
Datatilsynets krav om redegjørelse. Vi ba kommunene om å oversende sin eventuelle overordnede sikkerhetsstrategi.
Datatilsynets krav om redegjørelse. Vi ba kommunene om å sende oss en oversikt over eventuelle IKT-samarbeid med andre kommuner. Begrunnelsen for at vi ønsket oversikt over slike samarbeid gjennom brevkontrollen, var at vi ønsket en generell oversikt over utbredelsen. I tillegg ønsket vi å se i hvilken grad (eller om) slike samarbeid har påvirkning på kommunens evne til å etterleve personvernregelverket.
Datatilsynets krav om redegjørelse. Vi ba kommunene om å sende oss styrende retningslinjer for autentiseringsløsninger i kommunen. Autentiseringsløsninger har som sin primære oppgave å bekrefte brukerens identitet, og er et subsett av det overordnede tiltaket tilgangsstyring. Grunnen til at vi ønsket en slik oversikt er at utilstrekkelige autentiseringsløsninger, i særdeleshet løsninger som kun benytter brukernavn og passord som eneste mekanisme er en vesentlig årsak til at uønskede aktører lykkes med å skaffe seg tilgang til virksomheter. Det er også en gjennomgående observasjon at kommunene setter krav til enkelte brukergrupper som ansatte, men utelater å sette autentiseringskrav til privilegerte konti, som system- og administrative brukere. Det er også i stor grad manglende kartlegging av hvilke systemer som krever autentisering, vurdering av kritikalitet på disse og hvilket beskyttelsesbehov disse har. Dette kan også være en årsak til at uønskede inntrengere etter initiell tilgang (med begrensede rettigheter) over tid kan skaffe seg tilganger med forhøyede rettigheter. Dette gir grunnlag for alvorlige og omfattende brudd på personopplysningssikkerheten ved bl.a. uthenting, manipulering og sletting av personopplysninger fra sensitive løsninger, og noen tilfeller også løsningene for sikkerhetskopiering og gjenoppretting. Vi ønsket å se i hvilken grad kommunene har effektive retningslinjer for autentisering, som dekker alle systemer og alle brukergrupper, inkludert vurderinger eventuell sterk autentisering (et begrep som også omfatter 2-faktor og multifaktor autentisering).
Datatilsynets krav om redegjørelse. Vi ba kommunene om å sende oss deres styrende retningslinjer for sikkerhetskopiering og gjenoppretting. Disse tiltakene har som sin primære oppgave å sikre tilgjengelighet til og integritet i systemer og data ved uforutsette eller uønskede hendelser. Begrunnelsen for at vi ønsket en slik oversikt er at evnen til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger dersom det oppstår en hendelse, fremstår som svært varierende i avviksmeldinger som sendes til Datatilsynet. Samtidig fremstår effektivitet og robusthet på dette tiltaket som en viktig suksessfaktor for vellykket og effektiv håndtering av konsekvenser av hendelser. Det kan også bidra betydelig til å redusere kostnadene med etterarbeidet ved hendelser.