Bruksvilkår for utlevering av folkeregisteropplysninger fra Freg
Bruksvilkår for utlevering av folkeregisteropplysninger fra Freg
1. Formål med Bruksvilkår for Folkeregisteret 2
2. Kategorier av opplysninger (rettighetspakker) og tilgang 2
2.1 Utlevering av opplysninger til forskning 2
2.2 Administrasjon av tilgangen til Freg 3
3. Standardtjenester og tilleggstjenester 3
4.2 Skatteetatens github for datasamarbeid og abonnementsplikt 3
5. Hendelser (incidents) og varsling 4
5.2 Kanal for å melde hendelser 4
5.3 Kanal for å melde sikkerhetshendelse eller personavvik 4
5.4 Kategorisering av type hendelser og feil i tjenesten 5
6. Endringshåndtering og varsling 5
6.2 Kanal for varsling av endringer 6
6.3 Type endring og varslingsfrister 6
6.4 Synkronisert utrulling hos konsumenten og Skatteetaten 7
7. Krise- og beredskapsplaner 7
7.1 Krise- og beredskapsplaner 7
7.2 Endrede behov i kritiske perioder og under ekstraordinære situasjoner 7
8.2 Test og integrasjon mot Freg 8
8.3 Personvern og informasjonssikkerhet 8
8.4 Bruk av tredjepart/databehandler 8
8.5 Brukerstøtte for egne sluttbrukere 9
9. Finansiering og kostnader 9
11. Endring av tjenesten og vilkårene 10
1. Formål med Bruksvilkår for Folkeregisteret
Bruksvilkårene gjelder tjenestene for "Utlevering av opplysninger fra folkeregisteret". IT -løsningen som benyttes for utlevering av opplysninger er benevnt som Freg.
Gjennom Bruksvilkårene gis konsumenten rett til å benytte Skatteetatens delingstjenester for utlevering av opplysninger fra Folkeregisteret (Freg). Bruksvilkårene for Freg gjelder sammen med "generelle vilkår for deling" og segmentansvarligavtale og/eller egenerklæring hvis relevant. Ved aksept av vilkårene termineres tidligere inngåtte avtaler som omfattes av disse vilkårene.
I folkeregisterloven er det bestemt at det skal være ett sentralt Folkeregister i Norge. Folkeregisteret er en nasjonal felleskomponent og Skatteetaten er behandlingsansvarlig for Folkeregisteret.
Behandlingsansvaret gjelder frem til opplysningen er utlevert.
Folkeregisteret forvaltes av Skatteetaten i tråd med strategiske prinsipper for nasjonale felleskomponenter slik de er nedfelt i Digital agenda for Norge (meld. St. 27 (2015-2016)).
Folkeregisteret skal kunne brukes til myndighetsoppgaver og offentlig forvaltning, forskning, statistikk og til å ivareta grunnleggende samfunnsbehov.
2. Kategorier av opplysninger (rettighetspakker) og tilgang
Kriteriene for å få utlevert folkeregisteropplysninger er angitt i folkeregisterloven kapittel 10 med tilhørende forskrift. Tilgangen til folkeregisteropplysninger gis via fem ulike rettighetspakker. I tabellen under er de rettighetspakker som tilbys listet opp, samt hvilken kategori virksomhet som kan få tilgang til den enkelte rettighetspakke.
Rettighetspakker | Hvem kan få tilgang (Konsumenten) |
Virksomhet med lovhjemmel | Offentlige myndigheter, virksomheter og private som har egen hjemmel i lov til å få utlevert taushetsbelagte opplysninger |
Offentlige og private uten hjemmel | Offentlige myndigheter og virksomheter, private som utfører oppgaver på vegne av det offentlige, men som ikke har lovhjemmel til å få utlevert taushetsbelagte opplysninger |
Finansforetak | Finansforetak og finanskonsern med konsesjon etter finansforetaksloven Kap 2. |
Presse | Pressen omfatter all virksomhet som omfattes av Mediefridomslova § 2. Etter § 10-1 annet og tredje ledd har pressen fri tilgang til ikke-taushetsbelagte opplysninger for oppslag og/eller ajourføring av eget register. |
Private virksomheter | Etter § 10-1 annet ledd har private virksomheter fri tilgang til ikke-taushetsbelagte opplysninger for oppslag og/eller ajourføring av eget register. |
2.1 Utlevering av opplysninger til forskning
Skatteetaten kan utlevere ikke-taushetsbelagte og taushetsbelagte opplysninger til forskningsformål i henhold til folkeregisterloven § 10-3. Søknadsprosessen behandles på annet grunnlag enn for rettighetspakkene, og tilgang er ikke underlagt vilkårene i dette dokumentet. For å få tilgang til opplysningene må det foreligge en godkjent søknad om tilgang til opplysninger fra Skatteetaten.
2.2 Administrasjon av tilgangen til Freg
Freg er basert på at konsumenten integrerer sine systemer mot delingstjenestene ved bruk av Fregs selvbetjeningsfunksjonalitet. I tillegg må konsumenten ha etablert en integrasjon mot Maskinporten for autorisasjon mot Freg. Tilganger tildeles ikke ved manuelle prosedyrer.
3. Standardtjenester og tilleggstjenester
3.1 Standardtjenester
Det tilbys et sett med standard delingstjenester som konsumenten kan benytte for å få tilgang til opplysninger fra Freg. Tilgangen til den enkelte tjeneste er regulert av den eller de rettighetspakker som konsumenten har fått tilgang til gjennom godkjent søknad. Beskrivelsen av tilgjengelige tjenester finnes her: xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx-xxxxxxxxxxxxx/xxxxxxxxxxxxxxxxxx/
3.2 Tilleggstjenester
Tilleggstjenester kan i særskilte tilfeller bli aktuelt. Informasjon om vederlag/kostnadsdekning for Skatteetaten samt informasjon om Skatteetatens underleverandører gis i forkant av leveransen.
4. Tjenestenivå
Skatteetaten skal sikre at delingstjenestene som tilbys for tilgjengeliggjøring av folkeregisteropplysninger fra Freg holder det tjenestenivå (tilgjengelighet) som beskrevet i disse bruksvilkårene.
4.1 Dokumentasjon
Skatteetaten publiserer oppdatert dokumentasjon av tjenestene og er ansvarlig for å oppdatere dokumentasjon uten ugrunnet opphold etter at endringene i tjenesten er implementert. Dokumentasjon finnes her: xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx-xxxxxxxxxxxxx/xx-xxxxxxxxxx/
4.2 Skatteetatens github for datasamarbeid og abonnementsplikt
Skatteetaten varsler om endringer og feil i tjenestene her: xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx- api-dokumentasjon/
Konsumenten plikter å abonnere på varsler og vurdere relevans for konsumentens bruk av tjenester som dette dokumentet gjelder. Dersom kanal for varsling blir endret vil Skatteetaten informere Konsumenten om dette.
4.3 Produksjonsmiljø
Beskrivelse | Krav |
Driftsperioden for Freg | 24 timer 7 dager i uken |
Tilgjengelighet til Freg og selvbetjeningsAPI | 99,8 % |
Måleperiode for alle tjenester og ytelser er månedlig (per kalendermåned). | |
Ytelse og responstider | Er dokumentert per tjeneste på xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx- dokumentasjon/ytelse-og-responstider/ |
4.4 Testmiljø
Beskrivelse | Krav |
Normal oppetid for tjenestene | Tjenestene er i testmiljøet normalt tilgjengelig i avtalt tidsrom alle dager i året med unntak av kortere stopp for nødvendig teknisk vedlikehold. |
Driftstid (med driftstjenester og overvåkning tilgjengelig) | I tidsrommet: - fra 08:00 til 15:45 i perioden 15. september til 14. mai. - fra 08:00 til 15:00 i perioden fra 15. mai til 14. september. |
Testdata | I testmiljøet skal relevante, syntetisk genererte testdata være tilgjengelig. Det er forventet at spesifikke egenskaper som gjelder den enkelte kunde tilrettelegges for test på kundens side. |
Komponentversjoner | Versjoner av komponenter i testmiljøet skal normalt være samme versjoner som i produksjonsmiljøet. |
5. Hendelser (incidents) og varsling
5.1 Hendelser skal meldes
Dersom en konsument opplever tjenesten som ustabil, utilgjengelig eller feiler, skal konsumenten melde dette til Skatteetaten. Skatteetaten skal sikre at innmeldte hendelser løses i henhold til avtalt tjenestenivå som beskrevet i tabellen under.
Før feil meldes til Skatteetaten skal konsumenten, så langt det er mulig, sikre at årsaken ikke ligger i egne systemer. Konsumenten plikter derfor å håndtere hendelsen innenfor egne kvalitetsprosesser (rutiner for incident management).
Dersom feil og mangler avdekkes av Skatteetaten, skal konsumenten informeres om feilen eller mangelen og hvilke tiltak som er iverksatt for å gjenopprette tjenesten. Skatteetaten plikter å avhjelpe feil og mangler innenfor de tidsfrister som er beskrevet i tabellen under.
Ved behov vil Skatteetaten kunne eskalere saker i henhold til etatens interne avviksrutiner.
5.2 Kanal for å melde hendelser
Konsumenten melder inn hendelser (incidents) her: xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx- dokumentasjon/sporsmal-og-svar/
5.3 Kanal for å melde sikkerhetshendelse eller personavvik
Dersom Konsumenten har mistanke om brudd, risiko eller hendelser relatert til alle typer sikkerhet eller personvernavvik som for eksempel uautorisert eller utilsiktet utlevering av opplysninger, uautorisert tilgang, spredning, tap eller misbruk av opplysninger, skal Skatteetaten varsles om dette umiddelbart, og det skal iverksettes nødvendige tiltak. Skatteetaten skal kun varsles dersom avviket er innenfor etatens grensesnitt for eierskap/behandlingsansvar. Skatteetaten varsles om slike kritiske sikkerhetshendelser på telefonnummer 00 00 00 00.
Dersom konsumenten har meldt et personvernavvik til Datatilsynet som gjelder opplysninger omfattet av avtalen, bør personvernombudet i Skatteetaten informeres xxxxxxxxxxxxxxx@xxxxxxxxxxxx.xx
5.4 Kategorisering av type hendelser og feil i tjenesten
Det er Skatteetaten som kategoriserer hendelser, herunder feil, som meldes inn.
Skatteetaten garanterer ikke et bestemt tjenestenivå for hendelseshåndtering men tilstreber å håndtere hendelser iht. det som er beskrevet under. Varsling og retting vil gjelde fra Skatteetaten er gjort oppmerksom på hendelsen/feilen. Omfang, alvorlighetsgrad og kompleksitet er avgjørende for behandlingstid.
Prioritet | Beskrivelse | Varsel og reaksjonstid, fra feil og kritikalitet er kjent |
A-Kritisk | Hendelser som gjør at et større antall konsumenter ikke får benyttet tjenesten. Hendelser som kan få store samfunnsmessige konsekvenser og/eller kan føre til svekket omdømme eller store økonomiske konsekvenser. | Første varsel: 15 min Reaksjonstid: 2 timer |
B- Alvorlig | Hendelser som gjør at et begrenset antall konsumenter ikke får benyttet tjenesten. | Første varsel: 1 time Reaksjonstid: 8 timer |
C- Mindre alvorlig | Hendelser som ikke påvirker løsningens funksjonalitet eller stabilitet. Hendelser hvor brukeren likevel får utført sine hovedoppgaver. Feil som reduserer løsningens bruksverdi, men hvor oppgavene likevel kan utføres på en, etter forholdene, tilfredsstillende måte. | Første varsel: 1 virkedag Reaksjonstid: 5 virkedager |
Forklaring til tabellen:
Første varsel: Bekreftelse på mottatt hendelse. Dette er eksempelvis teknisk kvittering, eventuelt en direkte bekreftelse fra mottaker i skatt.
Reaksjonstid: Skatteetaten har satt i gang relevante prosesser på hvilke tiltak som er aktuelle og dialog opprettet med konsument.
6. Endringshåndtering og varsling
6.1 Planlegging av endring
Med endring menes alle typer endringer som påvirker tjenestene som er regulert i denne avtalen.
Både Skatteetaten og konsumentene kan initiere endring/endringsbehov. Skatteetaten er ansvarlig for å prioritere og beslutte hvilke endringer som skal gjennomføres.
Endringer skal som hovedregel være planlagt og varslet på forhånd.
Det må sikres at endringer som kan påvirke stabilitet og tilgjengelighet på tjenestene gjennomføres på en koordinert og sikker måte. Hvis konsumenten skal gjøre endringer som påvirker Skatteetatens systemer eller grensesnitt skal Skatteetaten varsles.
6.2 Kanal for varsling av endringer
Skatteetaten varsler om planlagte endringer i tjenestene her: xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx-xxxxxxxxxxxxx/
6.3 Type endring og varslingsfrister
Endringer klassifiseres i følgende kategorier, med tilhørende saksgang og varsling.
Type endring | Beskrivelse | Gjennomføring/ saksgang | Frister og varsling |
Standard- endring | Veldokumentert endring med minimal risiko for forstyrrelser i tjenesten Eksempler: Bakoverkompatible endringer, inkludert o Nye felt i resultat, o Nye feltverdier o Nye valgfrie innparametre -Utrulling av nye versjoner uten at gamle tas bort Xxxxxxxxxxxxx som ikke påvirker eksternt grensesnitt | Hvis endring på eksisterende tjeneste så vil gammel versjon erstattes av ny ved release i produksjon. Konsumenten må kunne håndtere dette uten endring på sin side. Konsumenten er selv ansvarlig for å varsle Skatteetaten dersom en standardendring gir problemer for konsumenten. | Endringen varsles kun som nyhet på nyhetstjenesten på github etter endringen er gjennomført. |
Normal- endring | Planlagte endringer som ikke er standardendringer. | Ved ny versjon av tjenesten, vil gammel versjon som hovedregel være tilgjengelig i 4 måneder etter at ny versjon er introdusert Konsumenten må i slike tilfeller ta i bruk ny versjon i løpet av perioden. Hvis det er nytt datainnhold (f.eks. årsversjon) vil både gammel og nytt datasett leve videre. Konsumenten | Normale endringer varsles gjennom nyhetstjenesten senest 4 måneder før gammel tjeneste ikke lenger er tilgjengelig |
Type endring | Beskrivelse | Gjennomføring/ saksgang | Frister og varsling |
velger da selv når han tar i bruk det nye datasettet. | |||
Haste- endringer | Endringer som pga. ytre forhold ikke kan følge normale frister. Typiske eksempler er endringer som følge av statsbudsjett, sikkerhetsavvik eller håndtering av kritiske produksjonsfeil. | Konkret vurdering for den enkelte endring. | Varsles på nyhetstjenesten snarest etter at Skatteetaten er kjent med endringen |
6.4 Synkronisert utrulling hos konsumenten og Skatteetaten
I unntakstilfeller kan det være behov for store endringer eller endringer der det vil være umulig å opprettholde flere versjoner av tjenesten i parallell. I disse tilfellene vil man måtte rulle ut endringer hos konsumenten og Skatteetaten i parallell. I disse tilfellene vil Skatteetaten varsle så snart de er kjent med behovet og planverk for endringen vil utarbeides.
7. Krise- og beredskapsplaner
7.1 Krise- og beredskapsplaner
Skatteetaten skal sørge for at det foreligger oppdaterte og tilgjengelige krise- og beredskapsplaner for Folkeregisteret. Konsumenten skal ha nødvendige krise- og beredskapsplaner. I en beredskapssituasjon, eller annen ekstraordinær situasjon utenfor partenes kontroll, forutsettes det at partene samarbeider om å etablere alternative elektroniske og/eller manuelle rutiner for utveksling av opplysninger, så fremt situasjonen gjør dette mulig.
7.2 Endrede behov i kritiske perioder og under ekstraordinære situasjoner
Konsumenten plikter å informere Skatteetaten dersom tjenestene skal benyttes i ekstraordinære situasjoner eller i en kritisk periode, definert av konsumenten. Dette gjelder også hvis det er planlagt større arbeid utenfor definert tid for tilgjengelighet. Skatteetaten vil i slike tilfeller vurdere om det er mulig å øke beredskap, basert på tilgjengelig kapasitet.
Skatteetaten informeres så snart konsumenten er kjent med kommende endringer eller har planlagt aktiviteter knyttet til tjenesten.
8. Konsumentens plikter
8.1 Tilgang til tjenesten
Tilgang til Freg er avhengig av hjemmelsgrunnlag og tillatelse fra Skatteetaten. Konsumenten er selv ansvarlig for å administrere søknad om tilgang. Når konsumenten har akseptert bruksvilkårene, gjennomført test og koblet seg til tjenesten i produksjon, vil konsumenten ha tilgang til tjenesten.
Konsumenten er behandlingsansvarlig for personopplysninger som konsumenten får tilgang til gjennom å godta disse vilkårene. Konsumenten er således ansvarlig for at personopplysningene blir
behandlet i henhold til gjeldende regelverk om personvern. Konsumenten kan bare benytte tjenestene i det omfang som følger av hjemmelsgrunnlaget.
Dersom det skulle oppstå endringer hos konsumenten som kan ha betydning for konsumentens rett til bruk av mottatte opplysninger, plikter konsumenten å varsle Skatteetaten så raskt som mulig.
Tilganger gis så lenge hjemmelsgrunnlaget er gjeldende.
Hvis vilkårene for tilgang faller bort, herunder at vilkårene ikke respekteres av bruker, kan tilgangen termineres. Konsumentens tilgang gjelder de aktuelle tjenestene slik de er til enhver tid og det er Konsumentens plikt å revidere tilganger på fast basis.
Konsumenten forplikter seg til å sette seg godt inn i tekniske og funksjonelle grensesnitt samt følge tekniske krav og funksjonelle rutiner spesifisert i dokumentasjonen for tjenestene.
8.2 Test og integrasjon mot Freg
Konsumenten skal gjennomføre integrasjonstest mot tjenestene. De til enhver tid gjeldende retningslinjer for, og krav til integrasjon og testing er tilgjengelig her: xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx-xxxxxxxxxxxxx/xxxx/
Konsumenten gis tilgang til et felles eksternt testmiljø, for test av integrasjon mot Freg, samt ved behov for testing av ved feil og avvik, endringer og videreutvikling av tjenestene.
Freg benytter utelukkende syntetisk genererte testdata, og det vil ikke tilbys test med produksjonsdata. Konsumenten må ha et testmiljø som kan knyttes opp mot Skatteetatens testmiljø. Konsumenten skal på Skatteetatens forespørsel fremlegge dokumentasjon på hvordan integrasjon er testet.
Når konsumenten har utført testing i henhold til retningslinjene kan Skatteetaten og konsumenten avtale tidspunkt for når konsumenten skal integreres mot produksjonsmiljøet. Konsumenten må selv verifisere at tjenesten fungerer tilfredsstillende mot eget produksjonsmiljø.
8.3 Personvern og informasjonssikkerhet
Konsumenten skal påse at personopplysningene ikke blir lagret lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen, og for å etablere rutiner for regelmessig gjennomgang og sletting av personopplysninger som ikke lenger skal oppbevares, jf. personopplysningsloven § 28 og personvernforordningens artikkel 17.
Konsumenten skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet, jf. personopplysningsloven § 13 og personvernforordningens artikkel 32. Konsumenten skal dessuten etablere, dokumentere og holde vedlike planlagte og systematiske internkontrolltiltak i henhold til personopplysningsloven § 14.
8.4 Bruk av tredjepart/databehandler
Konsumenten kan benytte tredjepart til å utføre oppgaver i forbindelse med bruk av og integrasjon mot tjenestene. Konsumenten må forsikre seg om at tredjepart følger de tekniske og funksjonelle krav samt rutiner spesifisert i dokumentasjonen for de aktuelle tjenestene. Konsumenten identifiseres med og svarer fullt ut for tredjepartens handlinger og unnlatelser som om de var konsumentens egne.
Konsument som bruker underleverandør/databehandler for å få tilgang til tjenester må delegere tilgang til underleverandøren/databehandleren gjennom Altinn Autorisasjon. Konsumenten og underleverandør må ha avtaler som regulerer forholdet mellom dem.
Dersom konsumentens underleverandør/databehandler behandler personopplysninger på vegne av konsumenten, skal det inngås databehandleravtale i tråd med gjeldende regler i personvernregelverket.
8.5 Brukerstøtte for egne sluttbrukere
Konsumenten skal ha nødvendig brukerstøtte overfor sine sluttbrukere. Spørsmål om sluttbrukers personopplysninger skal ikke meldes inn som feil for den tekniske løsningen.
Personopplysninger som antas å være feil eller feilregistrert skal ikke meldes som en hendelse. Hvis sluttbrukerne har spørsmål knyttet til egne personopplysninger, eller ønsker å korrigere personopplysninger som Skatteetaten har registrert skal disse henvises til Skatteetaten på telefonnummer 000 00 000.
Hvis konsumenten har spørsmål til Skatteetaten om opplysningene som utleveres, kan konsumentens brukerstøtte kontakte Skatteetaten på xxxxx://xxxxxxxxxxxx.xxxxxx.xx/xxxxxxxxxxxxxxx-xxx- dokumentasjon/sporsmal-og-svar/.
9. Finansiering og kostnader
Forvaltningen av Folkeregisteret er finansiert over statsbudsjettet, via Skattedirektoratet. Alle kostnader til opprettholdelse av Freg, brukerstøtte, utvikling av generell funksjonalitet, applikasjonsforvaltning og drift vil være sentralt finansiert.
Konsumenten dekker egne kostnader for tilpasning og tilrettelegging av egne systemer, samt drift og videreutvikling av disse.
Iht. folkeregisterloven § 10-1 og § 10-2 kan departementet gi forskrift om vilkår og betaling for utlevering.
10. Andre forhold
10.1 Mislighold
Ved mislighold av bruksretten kan Skatteetaten nekte tilgang til løsningene for kortere eller lengre tid. Dette er i samsvar med reglene om sanksjoner i folkeregisterlovens §§ 12-1 c) og 12-2 med tilhørende forskrifter. I slike tilfeller har konsumenten plikt til, for egen regning, å avhjelpe sine brukere i forhold til eventuelle ulemper frakoblingen måtte medføre.
10.2 Overtredelsesgebyr
Etter folkeregisterloven § 12-1 kan folkeregistermyndigheten ilegge overtredelsesgebyr overfor den som bryter vilkår for utlevering av opplysninger etter lovens kapittel 10.
Ved grove eller gjentatte brudd på vilkår for utlevering av opplysninger etter lovens kapittel 10 kan folkeregistermyndigheten treffe vedtak om tap av rett til å få utlevert opplysninger fra Folkeregisteret.
Utfyllende regler for henholdsvis ileggelse av overtredelsesgebyr og vedtak om tap av rett til å få utlevert opplysninger er gitt i folkeregisterforskriften kapittel 12.
11. Endring av tjenesten og vilkårene
Ved behov for endringer i vilkårene vil det bli utarbeidet en ny versjon av dokumentet. Vilkårene vil være versjonert. Dersom det planlegges vesentlige endringer av vilkårene, vil det informeres om dette på dokumentasjonssidene (for tjenesten i forkant av endringen. Dersom det er behov for vesentlige endringer i vilkårene vil dette legges fram for relevante rådgivende organ. Konsumentene kan fremsette forslag om endring av bruksvilkårene skriftlig til Skatteetaten. Dersom Skatteetaten støtter forslaget, skal Skatteetaten fremlegge endringsforslaget til behandling i relevante rådgivende organ.
Skatteetaten kan endre tjenesten samt vilkår for bruk dersom endringer i lov, forskrift eller eventuelle konsesjonsvilkår nødvendiggjør dette. Krav som følger av endringer i lover og forskrifter skal gjennomføres innen de tidsfrister som følger av lov eller forskrift. Det samme gjelder krav som følger av pålegg eller instrukser fra regjeringen eller departementene samt endrede krav til sikkerhet.