Hva skal man registere i Meldeappen - behandlingsaktivitet eller system

I Meldeappen skal du registrere administrative behandlingsaktiviteter av personopplysninger, som er faste, gjentagende eller en del av etablerte arbeidsprosesser. Registrer behandlingsaktivitetene slik at en utenforstående kan forstå hva UiO gjør med personopplysninger og hvorfor.

Hva er en behandlingsaktivitet - avhengig av formål

En behandlingsaktivitet er en konkret oppgave eller prosess der man gjør noe med personopplysninger for et bestemt formål. 

Du skal registrere én behandlingsaktivitet for hvert formål du bruker personopplysninger til. Hvis de samme opplysningene brukes til flere ulike formål, skal hvert formål registreres som en egen behandlingsaktivitet. Ikke del opp i tekniske steg – beskriv kort hva opplysningene brukes til.

En behandlingsaktivitet viser altså hva som gjøres med personopplysninger og hvorfor – ikke hvordan det teknisk skjer eller at man bruker et system i seg selv.

En behandling kan omfatte alle typer bruk av personopplysninger, som for eksempel:

• innsamling, registrering
• lagring
• bruk, sammenstilling
• publisering
• overføring, deling og utlevering
• sletting

Administrative behandlingsaktiviteter

Med administrative behandlingsaktiviteter menes behandling av personopplysninger som skjer i den daglige driften av universitetet, for eksempel innen:

• studieadminisitrasjon,
• HR- og personal,
• oppfølging av studenter og ansatte,
• utdanning 

Behandling av personopplysninger i forskningsprosjekter skal ikke registreres i Meldeappen, men meldes til Sikt Personverntjenester for forskning.

Du trenger ikke registrere enkeltstående behandlinger av begrenset omfang, som kun skjer én gang (ad hoc).

Hvordan definere en behandlingsaktivitet

En god registrering beskriver en sammenhengende behandlingsaktivitet fra start til slutt, knyttet til ett tydelig formål. 

Behandlingsaktiviteten skal være

• avgrenset nok til å være konkret og forståelig,
• bred nok til å dekke hele prosessen (ikke enkeltsteg eller tekniske handlinger),
• være tydelig på hvorfor personopplysningene behandles
• ikke samle flere ulike formål i én registrering.

En vanlig feil er å tenke for stort eller for smått.

• For stort:
  • "Administrasjon av ansatte". Dette kan inneholde alt fra ansettelser, lønn og pensjon til HMS og ferieplanlegging, som har ulike formål.
• For spesifikt:
  • "Lagring av CV-er i PDF-format" eller "Sende e-post til jobbsøkere". Disse eksemplene er for spesifikke fordi de kun beskriver enkeltaktiviteter innenfor en større prosess. De sier lite om formålet -hvorfor behandlingen skjer, og gir ikke et godt bilde av helheten.
• Optimalt:
  • "Ansettelsesprosess". Dette dekker hele prosessen fra mottak av søknad til ansettelse eller avslag.
  • "Utbetalinga av lønn"
  • “Utsendelse av nyhetsbrev for [xxx]"

Ansvar for registrering

Behandlingsaktiviteter som gjelder for hele universitetet, skal registreres sentralt av UiO som overordnet ansvarlig. 

Behandlingsaktiviteter som kun gjelder en bestemt enhet, eller avviker fra den sentralt registrerte behandlingsaktiviteten skal registreres av enheten selv. 

Se her for mer info om hvem som skal registrere hva - lokalt eller sentralt (lenke)

Overordnet registrering ved likeartet behandling

Når mange personer utfører den samme behandlingen av personopplysninger som en del av en organisert aktivitet, skal behandlingen ikke registreres individuelt.

I stedet skal det gjøres én overordnet registrering som dekker aktiviteten. Denne registreringen gjøres av ansvarlig enhet eller rolle, og gjelder for alle som omfattes av aktiviteten.

Dette gjelder for eksempel:

• Innsamling av personopplysninger i studentoppgaver i et emne

  • Behandlingen er tilnærmet lik for alle studenter i emnet og har samme formål. Den skal derfor registreres én gang av emneansvarlig, og gjelder for alle studentene som gjennomfører oppgaven.

   

Tips: FUP som utgangspunkt

Du kan bruke FUP-ene og prosessene kartlagt i forbindelse med kartleggingen av de administrative aktivitetene i universitets- og høyskolesektoren, som et utgangspunkt for å finne behandlingsaktiviteter som skal registreres i Meldeappen. 

Se her: https://fupperåd.no (åpnes i ny fane) 

I Meldeappen skal du registrere systemer som brukes til å behandle personopplysninger på UiO. 

Dette gjelder både lokale systemer, skybaserte løsninger og en kombinasjon (hybrid).

Et system er en IT-tjenestene, et verktøy eller en løsning som kan brukes til å registrere, lagre eller behandle personopplysninger.

Et system omfatter ikke bare programvaren, men kan også omfatte databaser og filområder der personopplysninger lagres, grensesnitt eller applikasjoner som gjør opplysninger tilgjengelige for brukere, og automatiserte prosesser som behandler eller overfører opplysninger.

Dette kan for eksempel være fagsystemer, saksbehandlingssystemer, læringsplattformer, lagringstjenester eller skyløsninger.

Systemeier skal registrere systemet i Meldeappen. En systemeier er den personen eller enheten som har overordnet ansvar for et system, inkludert at det fungerer som det skal, at sikkerheten er ivaretatt, og at personopplysninger behandles korrekt på systemnivå.

Systemeierskap betyr ikke nødvendigvis at det er sammenheng mellom hvem som eier systemet og hvem som har ansvar for de konkrete behandlingsaktivitetene som utføres i det. Ofte har ikke systemeieren ansvar for de konkrete prosessene eller behandlingsaktivitetene som utføres i systemet.