Prosedyre for behandling av personopplysninger for deltakere i arbeidsmarkedstiltak ved HASVO AS.

Postadresse: Boks 20 8646 Korgen

Besøksadresse: Xxxx Xxxxxxxxx 00

Telefon: 00 00 00 00

Telefaks: 75 19 17 01

Foretak Reg. NO 953 264 382 MVA

Bank: 4512 06 01699

Prosedyre for behandling av personopplysninger for deltakere i arbeidsmarkedstiltak ved HASVO AS.

Gjelder VTA, AFT, PIL og kommunalkjøpt plass.

1. Hensikt

Formålet med denne prosedyren er å beskytte deltakerens integritet og slik bidra til et tillitsforhold mellom Hasvo som tjenesteleverandør og den som er mottaker av tjenesten.

Prosedyren skal sikre at deltakers personopplysninger behandles i henhold til personopplysningslovgivningen, forvaltningsloven og databehandleravtalene som er inngått mellom NAV og Hasvo og mellom Hemnes kommune og Hasvo.

Skulle det være innspill til endringer av denne prosedyren så fremmes disse skriftlige ønsker til daglig leder eller attføringsleder.

2. Ansvar

Daglig leder har overordnet ansvar for denne prosedyren. Ellers har alle ledere med personalansvar ansvar for at prosedyren følges i sin avdeling eller arbeidsområde.

3. Myndighet

Attføringsleder har myndighet til å endre denne prosedyren i tråd med endringer i lovverk, forskrifter og databehandleravtalen. Endringer i prosedyren godkjennes av daglig leder.

4. Beskrivelse

Generell informasjon

Hasvo har inngått en databehandleravtale med NAV for alle arbeidsmarkedstiltak Hasvo arrangerer på oppdrag for NAV. Avtalen er likelydende for alle tiltakene.

Avtalen definerer at NAV er behandlingsansvarlig og at Hasvo er databehandler.

Dette betyr i praksis at det er NAV som eier personopplysningene til deltakerne og som bestemmer hvordan de skal behandles.

Databehandleravtalen beskriver hvordan Hasvo skal behandle deltakers personopplysninger ved mottak av bestilling, inntak, gjennomføring av tiltak og etter avsluttet tiltak.

Databehandleravtalen omfatter alle personopplysninger vi har mottatt, gitt tilgang til eller generert i forbindelse med tiltaksgjennomføring.

Hasvo har inngått en tilsvarende databehandleravtale med NAV Hemnes som gjelder for tiltaket PIL(aktivitetsplikt).

xxx.xxxxx.xx xxxx@xxxxx.xx

Side ~ 1 ~

Hvis det er uoverensstemmelse mellom databehandleravtalen og hovedavtalen (dvs. samarbeidsavtale/ kravspesifikasjoner for tiltakene), har databehandleravtalen forrang.

I det følgende beskrives hvordan Hasvo skal behandle deltakeres personopplysninger slik at behandlingen er i tråd med databehandleravtalene og gjeldende personvernlovgivning.

Daglig leder er kontaktperson for databehandleravtalene i Hasvo.

All kommunikasjon vedrørende databehandleravtalen mellom Hasvo og NAV Nordland, og NAV Hemnes går gjennom daglig leder.

Definisjoner

Personopplysninger: enhver opplysning om en identifisert eller identifiserbar fysisk person ("den registrerte"); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet, jfr. personvernforordningen Art. 4 nr.1

Behandling av personopplysninger: enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, jfr. personvernforordningen Art. 4 nr. 2

Behandlingsansvarlig: en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes, jfr personvernforordningen Art. 4 nr. 7

Databehandler: en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige.

Underdatabehandler: en annen databehandler eller flere underleverandører som Databehandler engasjerer for å utføre spesifikke behandlingsaktiviteter på vegne av Behandlingsansvarlig.

Behandlingsgrunnlag: All behandling av personopplysninger må ha et rettslig grunnlag for å være lov (jfr. personvernforordningen artikkel 6). Det betyr at virksomheten på forhånd må ha identifisert om det finnes et behandlingsgrunnlag.

Behandling av særlige kategorier av personopplysninger (sensitive personopplysninger): dette er opplysninger som krever ekstra vern, dvs. opplysninger om rasemessig eller etnisk opprinnelse, religion, helseopplysninger, opplysninger om seksuelle forhold eller seksuell orientering, politisk oppfatning, filosofisk overbevisning, fagforeningsmedlemskap, genetiske opplysninger, biometriske opplysninger og opplysninger om straffedommer og lovovertredelser.

Behandlingsgrunnlag

Hasvos rettslige grunnlag for å behandle personopplysninger for tiltaksdeltakere ligger i lov om arbeidsmarkedstjenester (arbeidsmarkedsloven), lov om arbeids- og velferdsforvaltningen (NAV-loven) og forskrift om arbeidsmarkedstiltak (tiltaksforskriften).

Bedriftens rettslige grunnlag for å behandle personopplysninger i forbindelse med arbeidsmarkedstiltak er med andre ord avledet av NAVs ansvar for å gjennomføre/organisere arbeidsmarkedstiltak.

Det rettslige forholdet mellom NAV og Hasvo reguleres av databehandleravtalen.

Typer av personopplysninger vi kan behandle

Databehandleravtalen med NAV definerer hvilke typer personopplysninger vi kan behandle. Vi kan i følge avtalen kun behandle følgende personopplysninger:

• Navn

• Fødsels- og personnummer

• Adresse

• Telefonnummer

• Epostadresse

• Innsøkingsskjema fra NAV

• Bestilling fra NAV

• Arbeidsforhold

• Sykmeldingsgrad

• Sykmeldingsdato

• Navn på lege

• Helseopplysninger

• Etnisk opprinnelse

• Opplysninger om straffedommer og lovovertredelser

Alle andre personopplysninger knyttet til deltaker er ulovlig å behandle.

Det kan for eksempel være personopplysninger knyttet til deltakers økonomiske forhold, bosituasjon, familieforhold, omsorgsansvar o.l.

Hvis det er behov for å beskrive forhold i status- eller sluttrapport som ikke står på listen ovenfor, for å gjøre en vurdering av hva som påvirker arbeidsevnen, kan man for eksempel skrive følgende: «pga av familieforhold så kan ikke vedkommende jobbe fulltid», «familieforhold medfører at deltaker ikke kan jobbe på kveldstid»,

«deltakers bosituasjon medfører at…» osv. Man kan med andre ord bruke begrepene «familieforhold», «bosituasjon», «økonomiske forhold» osv.

Det er spesielt viktig å unngå å nevne/beskrive personer rundt deltaker, for eksempel ektefeller, barn eller foreldre, man skal kun bruke begrepet «familieforhold».

Deltakers rettigheter

Deltaker har rett til informasjon om hvilke opplysninger Hasvo behandler på vegne av NAV. Hasvo har derfor utarbeidet en personvernerklæring som ligger tilgjengelig på FELLES/ Personvern GDPR, samt på xxx.xxxxx.xx, som beskriver hvilke personopplysninger vi behandler og hvordan vi behandler dem.

I tillegg skal alle deltakere ved oppstart få utlevert infoskrivet «Informasjon om behandling av personopplysninger – i Hasvo er dette en del av Velkomstbrevet.

Deltaker har rett til å be om innsyn i egne personopplysninger, rett til å be om retting og sletting av personopplysninger, samt rett til dataportabilitet.

Hvis deltakere ønsker å gjøre sine rettigheter gjeldende må de rette henvendelsen til NAV.

Hasvo plikter å gi bistand til NAV hvis deltaker gjør sine rettigheter gjeldende. Mottar vi en henvendelse vedrørende personopplysninger fra deltaker må vi umiddelbart videreformidle den til NAV.

Vi har ikke anledning til å gi deltakere innsyn i egen sak uten å ha fått skriftlig instruks fra NAV. Får vi en slik skriftlig instruks fra NAV må instruksen beskrive hvilke personopplysninger deltaker skal få innsyn i, evt. hvilke opplysninger som skal rettes eller slettes.

Taushetsplikt

Hasvo utfører tjenester på oppdrag for NAV og er dermed underlagt Forvaltningsloven § 13 om taushetsplikt, i likhet med NAV-ansatte. Alle med et ansettelsesforhold i Hasvo plikter å hindre at uvedkommende får adgang eller kjennskap til det man i forbindelse med arbeidet får vite om deltakeres personlige forhold.

Alle ansatte i Hasvo skal undertegne en taushetserklæring når man starter i arbeidsforholdet.

Taushetsplikten omfatter alle personopplysninger den ansatte har fått kjennskap til i forbindelse med utøvelse av sitt arbeid. Taushetsplikten gjelder også etter opphør av kontrakten med NAV. Taushetsplikten gjelder også hvis man avslutter ansettelsesforholdet ved Hasvo.

Taushetsplikten innebærer at ansatte i Hasvo kun kan utveksle personopplysninger om deltakere med NAV.

Det betyr at taushetsplikten vår også gjelder overfor deltakeres familiemedlemmer, ektefeller, behandlere, helsevesen og offentlige instanser (f.eks. kriminalomsorgen, barnevernet eller politiet).

Det gjelder også selv om deltaker har gitt en annen fullmakt i saken.

Får vi henvendelser fra andre enn NAV hvor vi blir forespurt om å utlevere personopplysninger om deltakere, må vi henvise dem videre til NAV.

Slike henvendelser videreformidles til daglig leder, som svarer på vegne av Hasvo og sender henvendelsen videre til NAV.

Taushetsplikten gjelder ikke bare utad, men også overfor andre medarbeidere internt i Hasvo for hvem opplysningene må ansees uvedkommende eller unødvendige.

Ingen ansatte skal aktivt søke slike konfidensielle eller sensitive opplysninger når de ikke er nødvendige for vedkommendes arbeid ved bedriften, selv om de rent praktisk er tilgjengelig. Dette gjelder både gjennom samtale, gjennom oppslag i WIS Tiltak og ved lesing av papirdokumenter.

Taushetsplikten er ikke til hinder for at deltakeres personopplysninger deles mellom ansatte i Hasvo som er involvert i saken, for eksempel mellom jobbveileder og arbeidsleder, eller mellom jobbveiledere i forbindelse med kollegaveiledning.

Taushetsplikten er heller ikke til hinder for at opplysningene er tilgjengelig for administrativt personell i den utstrekning som trengs for en hensiktsmessig arbeids- og arkivordning.

Taushetsplikten er heller ikke til hinder for at opplysningene brukes for statistisk bearbeiding, utrednings- og planleggingsoppgaver, eller i forbindelse med revisjon eller annen form for kontroll med tjenesteutførelsen.

Opphør av taushetsplikt

Taushetsplikten opphører hvis en persons liv eller helse er i umiddelbar fare eller en person er til fare for andres liv. Ansatte har da rett til å bryte taushetsplikten for å hindre skade. Taushetsplikten opphører også hvis vi ved å melde til politiet kan avverge en alvorlig straffbar handling (se beskrivelse av hvilke nedenfor) eller følgene av den, på et tidspunkt da dette fortsatt er mulig og det fremstår som sikkert eller mest sannsynlig at handlingen vil bli eller er begått.

Oppheving av taushetsplikten gjelder hvis det kan avverge følgende alvorlige forbrytelser: brannstiftelse, forårsaking av jernbane- eller flyulykke, eksplosjon ol, drap eller alvorlig skade, spre alvorlig sykdomssmitte, falsk anklage som medfører langvarig fengselsdom, seksualforbrytelser, frihetsberøvelse, legemsbeskadigelse, å hensette eller forlate noen i hjelpeløs tilstand, ran.

Er det tvil om hendelsen innebærer opphevelse av taushetsplikten skal saken diskuteres med daglig leder. Daglig leder eller annen leder har ansvar for evt. å melde til politiet eller helsevesen.

Registrering og oppbevaring av deltakers personopplysninger

Deltakers personopplysninger lagres kun i WIS Tiltak. Det skal ikke lagres personopplysninger om deltakere elektronisk andre steder enn i WIS Tiltak.

Det betyr at man ikke kan lagre opplysninger om deltaker på fellesområde eller eget område på server. Grunnen til dette er at det i WIS Tiltak er automatiske sletterutiner, mens vi ikke har kontroll på hvor lenge opplysninger blir lagret elektronisk når det ligger utenfor WIS Tiltak.

Av samme grunn skal eposter med opplysninger om deltakere slettes fra Outlook umiddelbart etter at de er importert til WIS Tiltak.

Alle ansatte har ansvar for å slette eposter med personopplysninger i egen Outlook- konto fortløpende. Det samme gjelder SMS-er til og fra deltaker.

Kopi av meldingen som kommer på jobbveileders mobiltelefon, skal slettes fra mobiltelefonen umiddelbart etter den er lest.

Innsøkingspapirer fra NAV oppbevares i låst arkiv i 4 uker fra deltaker har startet i tiltaket, deretter makuleres de. Det er ikke tillatt å oppbevare papirmapper med dokumenter som inneholder deltakeres personopplysninger andre steder enn i låst arkiv.

Det er anledning til å benytte seg av personopplysninger i papirform som et ledd i saksbehandlingen, f.eks ved gjennomføring av veiledningssamtaler, samarbeidsmøter og lignende.

Benytter man seg av personopplysninger i papirform som et ledd i saksbehandlingen skal disse oppbevares slik at ingen andre får tilgang til dokumentene og makuleres i etterkant.

Innhenting av personopplysninger

Under gjennomføringen av tiltaket skal vi ta utgangspunkt i bestillingen fra NAV, tilsendte personopplysninger og oppfølging og veiledning av deltaker i perioden.

Hvis vi har behov for ytterligere personopplysninger under tiltaksgjennomføringen, for eksempel en legeerklæring, skal slike behov meldes til NAV som vurderer om ytterligere personopplysninger skal innhentes.

Utveksling og utlevering av personopplysninger

Siden Hasvo utfører tjenester på oppdrag for NAV og dermed er NAVs databehandler, er det NAV som eier alle personopplysninger vi mottar eller genererer i løpet av tiltakstiden.

NAV har i kravspesifikasjoner for tiltakene beskrevet hvordan Hasvo skal utveksle deltakers personopplysninger med NAV. Utvekslingen skal i hovedsak skje i form av aktivitetsplaner, statusrapporter og sluttrapporter, samt i møter eller telefonsamtaler.

Dokumenter med personopplysninger, slik som aktivitetsplaner, statusrapporter og sluttrapporter, skal formidles til NAV og deltaker via post, i lukket konvolutt. Det er ikke tillatt å sende sluttrapporter, statusrapporter eller andre dokumenter som inneholder personopplysninger via epost, dette gjelder selv om dokumentet er anonymisert.

Epost skal som hovedregel ikke benyttes til å utveksle personopplysninger om deltakere med NAV. Hvis det er nødvendig å sende epost til NAV, for eksempel hvis man ikke får kontakt med en NAV-veileder på telefon, skal man kun benytte initialer og fødselsdato på deltaker i eposten. NB: Ikke skriv deltakers initialer og fødselsdato i emnefeltet, kun inne i selve eposten. Det er ikke tillatt å sende sensitive personopplysninger på epost, selv om man benytter initialer og fødselsdato.

Vi har anledning til å sende CV-er, søknader og praksiskontrakter på epost til samarbeidsbedrifter i forbindelse med søknad om jobb og etablering av praksisbedrifter.

Som nevnt ovenfor kan man sende SMS til deltaker.

Vi skal unngå å sende sensitive personopplysninger på SMS til deltakerne.

Attføringsleder og Xxxxxxxxxxxx bør også anbefale deltakerne om å begrense hva de skriver på SMS eller epost til oss, for all elektronisk kommunikasjon medfører en viss risiko, så deltaker må selv gjøre en vurdering av hva de sender til oss.

Det er ikke tillatt å utlevere skriftlige personopplysninger til tredjeparter, for eksempel lege, uten skriftlig forhåndsgodkjennelse fra NAV.

Det er ikke tilstrekkelig at deltaker har samtykket til utleveringen.

Dette gjelder også offentlige instanser som barnevernet, politiet osv. Som beskrevet ovenfor under punktet Taushetsplikt, skal slike forespørsler umiddelbart sendes videre til fagsjef, som besvarer henvendelsen og sender den videre til NAV.

Hvis samarbeid med en tredjepart, for eksempel med deltakers lege, behandler eller arbeidsgiver, er en del av tiltakets tjenesteinnhold og dermed spesifikt beskrevet i tiltakets kravspesifikasjon, har Hasvo anledning til å ha kontakt med disse uten først ha innhentet skriftlig forhåndsgodkjennelse fra NAV.

Slik kontakt skal som hovedregel kun bestå av møter og telefonsamtaler. Innhenting eller utlevering av skriftlige personopplysninger kan ikke skje uten skriftlig godkjennelse fra NAV, med mindre dette er spesifikt beskrevet i tiltakets kravspesifikasjon.

Behandlingens varighet

I henhold til Databehandleravtalen har Hasvo anledning til å oppbevare personopplysninger om deltakere i inntil 12 uker etter at sluttrapport for tiltaksgjennomføringen er sendt NAV.

Deretter skal deltakers personopplysninger anonymiseres, denne slettingen skjer automatisk. Anonymiserte data beholdes i WIS Tiltak til statistikkformål.

Det betyr at alle personopplysninger slettes, men det beholdes opplysninger om tiltakstype, tiltaksperiode og sluttårsak, uten at det kan knyttes til en bestemt person.

Hasvo har ikke anledning til å beholde eller benytte personopplysninger for deltakere hvis de søkes inn i et nytt tiltak ved Hasvo. Deltaker skal da opprettes som ny person i WIS Tiltak og den første tiltaksgjennomføringen med tilhørende personopplysninger vil først bli sperret og deretter slettet i henhold til beskrivelsen ovenfor.

Ønsker man å få tilgang til personopplysninger generert i tidligere tiltak ved Hasvo, for eksempel en sluttrapport, må man sende en forespørsel til NAV og be om å få den tilsendt.

Samtykke til billedbruk

Hvis Hasvo ønsker å benytte bilder av deltakere i sosiale medier, på nettsider, i presentasjoner o.l., må man forhånd innhente skriftlig samtykke fra deltaker.

Det benyttes eget samtykkeskjema til dette. Signert samtykke lagres i WIS Tiltak.

Det må opplyses til deltaker at det er frivillig å samtykke til billedbruk, og at deltaker når som helst har rett til å trekke samtykket tilbake. Det må også opplyses til deltaker hvordan bildet skal benyttes.

Tekniske og organisatoriske sikkerhetstiltak

Tilgangsstyring

Daglig leder bestemmer hvem som skal ha tilgang til deltakere i WIS Tiltak og på hvilket nivå tilgangen gjelder. Attføringsleder og Xxxxxxxxxxxx har ansvar for å begrense tilgang til opplysninger som er sensitive.

Aktivitetslogg og endringslogg

Alle oppslag i WIS Tiltak logges i egen aktivitetslogg og alle endringer som gjøres i WIS Tiltak lagres i en egen endringslogg. Det betyr at alle oppslag og endringer i WIS Tiltak som ansatte gjør vil framkomme i loggene. Aktivitetsloggen og endringsloggen skal kunne framvises til NAV eller Datatilsynet på forespørsel.

Endring og sletting av dokumenter

Hvis man skal slette et dokument i WIS Tiltak må man oppgi en årsak. Årsaken man oppgir må være klar og tydelig, slik at den kan forstås av andre enn den som utførte slettingen. Ansatte har bare anledning til å slette dokumenter i WIS Tiltak som de selv har opprettet eller lagt inn.

Skjermlås

Alle medarbeidere som har tilgang til WIS Tiltak på sine PC-er, skal låse skjermen når de forlater PC-en. Som ekstra sikkerhetstiltak er det lagt inn automatisk låsing av skjerm etter 4 minutters inaktivitet.

Papirdokumenter

Det skal som hovedregel ikke oppbevares personopplysninger i papirform. Håndskrevne notater, f.eks i forbindelse med møter, huskelister mm., samt personopplysninger i papirform som vi mottar fra eksterne kilder skal legges inn elektronisk i WIS Tiltak og deretter makuleres.

Det er som nevnt anledning til å benytte seg av personopplysninger i papirform som et ledd i saksbehandlingen, f.eks ved gjennomføring av veiledningssamtaler, møter og lignende. Benytter man seg av personopplysninger i papirform som et ledd i saksbehandlingen skal disse oppbevares slik at ingen andre får tilgang til dokumentene, samt de skal makuleres umiddelbart når behandlingen er gjennomført.

Underdatabehandlere

Hasvo benytter seg av underdatabehandlere.

Dette inkluderer leverandører av nettbaserte dataverktøy som Rådgiveren og ROS. Alle underdatabehandlere skal godkjennes av NAV. Tar vi i bruk nye dataverktøy må vi søke godkjenning fra NAV før disse tas i bruk. Våre godkjente underdatabehandlere ligger som vedlegg til databehandleravtalen med NAV Nordland og Hemnes kommune.

Hasvo er fullt ansvarlig for behandlingen av personopplysninger som skjer hos våre underdatabehandlere, og vi er forpliktet til å føre kontroll hos dem.

Varsling

Vi har plikt til å varsle NAV hvis en instruks fra NAV kan medføre at vi bryter med gjeldende personvernlovgivning. Dette kan for eksempel være hvis en NAV-veileder ber om å få tilsendt personopplysninger for deltakere i en form som strider med databehandleravtalen. Den som mottar denne instruksen fra NAV må umiddelbart videreformidle denne til fagsjef, som igjen varsler den som er ansvarlig for databehandleravtalen i NAV.

Registrering av avvik

Hvis det skjer brudd på databehandleravtalen eller personopplysningssikkerheten plikter Hasvo å gi skriftlig melding til NAV senest innen 24 timer etter at bruddet ble avdekket. Bruddet meldes som avvik i STICOS, i tillegg må det sendes epost til daglig leder.

Kun NAV kan gi informasjon til de berørte deltakerne om bruddet.

Logg med meldte avvik i STICOS skal kunne framlegges NAV på forespørsel eller i avtalte møter med NAV.

Internrevisjon

Hasvo er forpliktet til å foreta jevnlige revisjoner av våre behandlingsaktiviteter. Daglig leder har ansvaret for å gjennomføre revisjoner.

Internrevisjon kan innebære sjekk av saker i WIS Tiltak, ROS, Rådgiveren osv., sjekk av ansattes Outlook-konto og filområder.

5. Kryssreferanser

Prosedyre for registrering i WIS Tiltak

Prosedyre for å registrere og oppbevare søknader fra NAV Personvernerklæring for Hasvo AS

Informasjon om behandling av personopplysninger – i Velkomstbrevet.