Sentralt (Ledelse og fellesadministrasjonen)
Fellesadministrasjonen har ansvar for å registrere:
- sentrale systemer som brukes på tvers av UiO
- sentrale behandlingsaktiviteter som er felles for hele virksomheten
- Behandlingen har felles formål og felles definert bruk på tvers av UiO
- Formål, hovdedinnhold og overordnet gjennomføring er lik for alle enheter, og er fastsatt sentralt
- Utføres overordnet likt i hele organisasjonen
- behandlinger som følger av felles prosesser, rutiner eller tjenester
Dette gjelder typisk store administrative systemer og felles løsninger som brukes av mange enheter.
Eksempel:
Behandlingsaktiviteter
- Utbetaling av lønn til ansatte
- Ansettelsesprosess
- Gjennomføre arbeidsmiljøundersøkelser
- Reiseadministrasjon for ansatte (bestilling av reise mv.)
System
- SAP-DFØ som plattform for lønn og økonomi for hele UiO
- FS for studieadministrasjon
- Canvas som felles læringsplattform
- Zoom som felles videoplattform
- Berg-Hansen, som tjeneste for administrering og bestilling av reise
Lokalt (fakulteter, institutter og andre enheter)
Lokale enheter skal registrere når de:
- har lokale behandlingsaktiviteter som gjelder egen virksomhet
- har egne eller særskilte formål som ikke fullt ut dekkes av sentrale registreringer
- har behandlinger som skjer som del av lokale prosesser eller tilpasninger
- bruker systemer til lokale formål som ikke dekkes av den sentrale registreringen
- gjør vesentlige lokale tilpasninger i hvordan personopplysninger behandles/avvik fra sentral registrering
- Behandlingen er i utgpkt. sentral og innenfor samme overordnede formål, men enheten gjør en tilleggshandling, utvidet bruk, med andre systemer eller særskilt behandling som ikke er dekket sentralt. Dette bør registreres lokalt som tillegg til sentral behandling
- er systemeiere for egne løsninger som behandler personopplysninger
I praksis kan ett system registrert sentralt (f.eks. SAP, Canvas) ha flere behandlingsaktiviteter og flere formål, ikke bare ett. Disse kan gjerne variere lokalt. Da må den lokale enheten registrere sine behandlingsaktiviteter som benytter det sentrale systemet.
Når skal du ikke registrere lokalt
Det er ikke nødvendig å opprette en ny lokal registrering når behandlingen allerede er dekket av en sentral registrering, og den lokale bruken skjer innenfor samme formål, samme datagrunnlag og samme type behandling som beskrevet sentralt.
Du skal ikke registrere enkeltoppgaver, lister eller engangsaktiviteter som egne behandlingsaktiviteter. Grunnen er at en behandlingsaktivitet skal beskrive en hel og sammenhengende prosess med et tydelig formål, ikke små administrative deler av prosessen.
Dette betyr at deltakerlister til enkeltarrangementer ikke skal registreres separat, fordi de bare er en praktisk del av gjennomføringen av arrangementet. På samme måte skal ikke påmeldingslister til gradsseremonier registreres som egne aktiviteter, fordi dette kun er en midlertidig og praktisk oversikt som inngår i planlegging og gjennomføring av seremonien.
Enkeltstående saker eller tildelinger, som for eksempel småforsktildeling, skal heller ikke registreres separat, fordi dette ikke er en løpende behandlingsprosess, men en enkeltbeslutning som inngår i en større aktivitet som forvaltning av forskningsmidler.
Slike typer behandling skal i stedet inngå i en overordnet behandlingsaktivitet, for eksempel gjennomføring av arrangementer, gradsseremonier eller forvaltning av forskningsmidler.
Dette gjelder typisk rutinemessig bruk av felles systemer i tråd med etablerte prosesser.
Eksempel på hva som bør registreres lokalt:
Behandlingsaktivitet
- Lokale evalueringer av emner og undervisning utover felles rutiner
- Evaluere studentbesvarelser i emne XXX, ved bruk av GPT UiO
- Skikkethetsvurderinger i utdanning XXX
- Føring av pasientjournal
- Rekrutteringsdatabase til forskning
System
- Devilry - program for innlevering og vurdering av studentarbeider på IFI
- Psyk base - Pasientjournalsystem brukt på PSI
- Opus Dental - pasientjournalsystem på studentklinikken på OD
Caser
Case 1: Reiseadministrasjon
Bestilling av flybilletter via et felles bestillingssystem skal normalt ikke registreres hver gang det skjer. Dette er enkeltstående handlinger innenfor en overordnet behandlingsaktivitet.
Den relevante behandlingsaktiviteten registreres sentralt som for eksempel:
- «Reiseadministrasjon for ansatte»
Case 2: Lokal emneevaluering utover standard
Ved enkelte institutter gjennomføres egne evalueringer av emner i tillegg til den sentrale emneevalueringen. Dette kan innebære ekstra spørsmål, egne spørreundersøkelser eller supplerende innsamling av studenttilbakemeldinger, og bruk av egne systemer.
Sentralt er behandlingsaktiviteten «Evaluering av emner og undervisning» registrert. Likevel må dette registreres lokalt ettersom det er snakk om en lokal behandlingsaktivitet som går utover standardisert, sentral evaluering og har et eget lokalt formål.
Den relevante behandlingsaktiviteten registreres lokalt som for eksempel:
- «Lokale emneevalueringer ved [institutt/emne]»
System som brukes i behandlingen kan være:
- Surveyverktøy (lokalt oppsatt)
- Læringsplattform (Canvas eller tilsvarende)
Case 3: Lokal studentoppfølging i praksis
I enkelte fag følger undervisere opp studenter i praksisperioder ved å registrere vurderinger, tilbakemeldinger og oppfølgingsnotater.
Dette er en lokal behandlingsaktivitet fordi det innebærer løpende behandling av personopplysninger knyttet til oppfølging i et bestemt studieprogram.
Den relevante behandlingsaktiviteten registreres lokalt som for eksempel:
- «Oppfølging og vurdering av studenter i praksis i [studieprogram]»
System som brukes i behandlingen kan være:
- Microsoft 365
- Canvas
- FS
Case 4: Lokal pasientjournalføring i klinisk undervisning
I klinisk undervisning føres pasientjournaler knyttet til behandling eller øvelser med pasienter. Dette innebærer behandling av sensitive personopplysninger med lokale faglige og juridiske ansvarslinjer.
Dette er en lokal behandlingsaktivitet fordi den er knyttet til en spesifikk klinikk eller utdanningsenhet som har selvstendig ansvar for behandlingen.
Den relevante behandlingsaktiviteten registreres lokalt som for eksempel:
- «Journalføring og behandling av pasientopplysninger i klinisk undervisning ved [klinikk]»
System som brukes i behandlingen kan være:
- Pasientjournalsystem (EPJ)
Case 5: Bruk av KI-verktøy i vurdering av studentarbeid
Noen fagmiljøer tester eller bruker AI-verktøy som støtte i vurdering av studentbesvarelser, for eksempel til å generere tilbakemeldinger eller forslag til vurdering.
Dette er en lokal behandlingsaktivitet fordi det innebærer en særskilt metode for behandling av personopplysninger som ikke er del av standard vurderingsprosess, selv om vurdering av studentarbeid i utgangspunktet er en sentral behandlingsaktivitet.
Den relevante behandlingsaktiviteten registreres lokalt som for eksempel:
- «Vurdering av studentarbeid i emne X ved bruk av KI-verktøy til støtte i vurdering»
System som brukes i behandlingen kan være:
- GPT UiO eller annet KI-verktøy godkjent for institusjonen
- Canvas (Læringsplattform)
Case 6: Skikkethetsvurdering i profesjonsutdanning
I profesjonsutdanninger gjennomføres skikkethetsvurderinger av studenter der det kan innhentes og vurderes personopplysninger fra ulike kilder, inkludert undervisere og praksisfelt.
Dette er en lokal behandlingsaktivitet fordi vurderingen skjer innenfor et spesifikt utdanningsløp og håndteres av lokale ansvarlige enheter.
Den relevante behandlingsaktiviteten registreres lokalt som for eksempel:
- «Skikkethetsvurdering av studenter i [studieprogram]»
Hvor detaljert skal man gjøre en registrering av en behandlingsaktivitet?
I Meldeappen skal du registrere behandlingsaktiviteter som innebærer en vedvarende, gjentakende eller rutinemessig behandling av personopplysninger.
Det betyr at du skal registrere det som beskriver en helhetlig prosess med et tydelig formål, ikke enkeltoppgaver, eller hver enkelt gang aktiviteten gjennomføres.
Hvis det er noe som gjentas som en del av samme type oppgave, skal det samles i én behandlingsaktivitet – ikke registreres hver gang det skjer.
For eksempel skal ikke deltakerlister til enkeltarrangementer eller påmeldingslister til gradsseremonier registreres separat, fordi de bare er praktiske deler av gjennomføringen. Tilsvarende skal ikke enkeltstående tildelinger, som fordeling av forskningsmidler på et spesifikt institutt, registreres som egne aktiviteter, fordi det er enkeltsaker som inngår i en større prosess.
Slike aktiviteter skal i stedet inngå i overordnede behandlingsaktiviteter som gjennomføring av arrangementer, gradsseremonier eller forvaltning av forskningsmidler.
Se her for mer informasjon om behandlingsaktiviteter (lenke)