Organiseringen av arbeidet med personvern
Ansvaret for arbeidet med personvern ved behandling av personopplysninger er organisert på følgende måte:
Det overordnede ansvaret
Styret ved rektor har det overordnede ansvaret for personvernet ved all behandling av personopplysninger ved UiO.
Styret ved rektor har delegert det overordnede ansvaret på følgende måte:
- Universitetsdirektøren har det daglige ansvaret for personvernet ved behandling av personopplysninger i forskning, undervisning, administrasjon og formidling
- IT-direktøren er ansvarlig for den praktiske utøvelsen av universitetsdirektørens personvernansvar.
Ansvaret for personvern i administrasjonen
Fagdirektørene sentralt og fakultetsdirektørene er utpekt som eiere av systemer og tjenester innenfor sine respektive ansvarsområder.
System- og tjenesteeiere har ansvaret for enkelte personvernoppgaver ved behandling av personopplysninger i sine systemer eller tjenester.
Administrative ledere for saksbehandling har ansvaret for enkelte personvernoppgaver ved behandling av personopplysninger. Dette gjelder administrative ledere både på sentralt nivå og ved grunnenhetene.
- Saksbehandlere har et selvstendig ansvar for personvernet når de håndterer personopplysninger elektronisk eller manuelt. Dette gjelder saksbehandlere både på sentralt nivå og ved grunnenhetene.
Ansvaret for personvern i forskningen
Medisinsk og helsefaglig forskning er underlagt helseforskningsloven eller andre særlover på helseområdet, for eksempel helseregisterloven eller bioteknologiloven. Forskere skal følge de spesielle rutiner og retningslinjer som gjelder for personvern og behandling av personopplysninger innenfor disse fagområdene. Se kvalitetssystemet for medisinsk og helsefaglig forskning.
All øvrig forskning ved UiO skal skje i henhold til retningslinjene i denne veiledningen.
Ansvaret for personvern og behandling av personopplysninger i forskning som ikke regnes som medisinsk eller helsefaglig, er organisert på følgende måte:
- dekaner og instituttledere har ansvaret for enkelte personvernoppgaver ved behandling av personopplysninger i forskning ved sine enheter
- prosjektledere i forskning har et selvstendig ansvar for personvernet til respondenter eller informanter i forskningsprosjekter (ph.d.-studenter regnes som prosjektledere for sine ph.d.-prosjekter)
- studentveiledere har ansvar for personvernet til respondenter eller informanter i studentforskning på bachelor- og masternivå
- studenter har et selvstendig ansvar for personvernet til respondenter eller informanter i studentforskning på bachelor- og masternivå
Hva innebærer det at styret ved rektor og universitetsdirektøren har det overordnede ansvaret for arbeidet med personvern?
Det er styret og rektor som i siste instans er ansvarlig for at UiO ikke krenker den enkeltes personvern ved behandling av personopplysninger i forskning, undervisning, administrasjon og formidling.
I henhold til delegasjon, innebærer dette videre at universitetsdirektøren – på vegne av styret og rektor – skal sørge for at:
- arbeidet med personvern og behandling av personopplysninger er hensiktsmessig organisert
- det stilles krav til arbeidet med personvern og behandling av personopplysninger
- arbeidet med personvern og behandling av personopplysninger prioriteres og tilføres tilstrekkelige ressurser
- arbeidet med personvern og behandling av personopplysninger følges opp og kontrolleres
Personopplysningsloven med forskrift pålegger ledelsen (styret ved rektor og universitetsdirektør) et særlig ansvar for informasjonssikkerheten til personopplysninger som behandles ved UiO.
Hva innebærer det at IT-direktøren utøver det daglige ansvaret for arbeidet med personvern?
IT-direktøren – på vegne av universitetsdirektøren – følger opp og kontrollerer arbeidet med personvern og behandling av personopplysninger i sentraladministrasjonen og ved grunnenhetene.
IT-direktøren skal påse og legge til rette for at sentraladministrasjonen og grunnenhetene ivaretar:
- de lover og regler som gjelder for personvern og behandling av personopplysninger
- de krav som styret og rektor stiller til arbeidet med personvern og behandling av personopplysninger
IT-direktørens oppfølgings- og kontrollansvar utøves på følgende måter:
- Gjennom årlig internkontroll (revisjon) av behandling av personopplysninger. Se veiledning for internkontroll her.
- Gjennom stedlige kontroller i sentraladministrasjonen og ved grunnenhetene av behandling av personopplysninger
- Gjennom utarbeidelse av rutiner og regler for behandling av personopplysninger
- Gjennom informasjon om hvilke rutiner og regler som gjelder for behandling av personopplysninger
- Gjennom opplæring av ledere/ansatte og kompetanseheving (seminar og kurs)
- Gjennom juridisk rådgiving (håndtering av konkrete henvendelser fra ansatte, studenter, gjesteforskere eller gjester)
- Gjennom håndtering av avvik
- Gjennom ivaretakelse av UiOs plikter som databehandler for andre universiteter og høyskoler
- Gjennom rapportering av funn fra årlig internkontroll, stedlige kontroller og alvorlige avvik til universitetsdirektøren
Utøvelsen av den daglige oppfølgingen er delegert til juristene i IT-direktørens stab.