Verdivurdering

Konfidensialitet - behandling av røde data

Behandling av data i et system/tjeneste/applikasjon kan være knyttet til høy grad av konfidensialitet der det er vurdert at man i systemet skal kunne behandle røde data; f.eks. helseopplysninger. Systemet må da være klassifisert for å behandle røde data.

Integritet - behandling av korrekte data

Det skal i systemet/tjenesten/applikasjonen behandles data som det er viktig er mest mulig korrekte til enhver tid. Systemet må da ha muligheter for tilgangsstyring, slik at bare de med tjenstlig behov har tilgang og får gjort eventuelle endringer. Det vil være en forutsetning for å behandle den bestemte type data i systemet. Det bør utarbeides rutiner og gis opplæring i bruk av systemet.

Tilgjengelighet - tilstrekkelig tilgang

Systemet/tjenesten/applikasjonen må også være satt opp på en måte som gjør at de som skal ha tilgang har tilstrekkelig tilgjengelighet. De med tjenstlig behov skal ha mulighet til å få utført formålet med sin behandling av personopplysninger i systemet uten at dette blir for komplisert eller at sjansen for nedetid er for stort.

Konfidensialitet - behandling av røde data

Data som behandles i studie- og ansattadministrasjon kan være knyttet til en høy grad av konfidensialitet (røde data); f.eks. legeerklæringer, data i konfliktsaker, fuske- og redelighetssaker, skikkethetssaker o.l. Dataene krever tilstrekkelig sikre elektroniske løsninger for den type data i hele dataflyten fra innsamling til sletting.

Integritet - behandling av korrekte data

Data som ligger til grunn for karaktergiving, navn, adresser, vurderinger, osv. skal ha en høy grad av integritet: dvs. at dataene ikke må bli endret av uvedkommende. Det kan forårsake f.eks. feil vedtak og feil på vitnemål. Dataflyten bør skje på tilstrekkelig sikre løsninger med tilgangsregulering, opplæring og rutiner.

Tilgjengelighet - tilstrekkelig tilgang

Data skal være så tilgjengelige at ikke registrering av nødvendige data eller saksbehandling blir for vanskelig. Bruk av tekniske løsninger bør ikke være så vanskelig at man hindrer gjennomføringen, at gjennomføringen foregår på ikke godkjente og mindre sikre løsninger eller at det ofte oppstår hendelser i de tekniske løsningene som forårsaker nedetid.

Konfidensialitet - behandling av røde data

Data som brukes i studentoppgaver og arbeidskrav kan være knyttet til en høy grad av konfidensialitet (røde data); spesielt helseopplysninger overført fra ulike sykehus og andre helseinstitusjoner. Det kan også dreie seg om lyd- og videoopptak av elever ute på barneskoler som skal intervjues eller observeres. Disse data bør avidentifiseres mest mulig. De er vanskelige å anonymisere helt, samt at oppnåelse av læringsutbytte setter en grense for hvor mye dataene bør avidentifiseres eller anonymiseres.

Integritet - behandling av korrekte data

Data som ligger til grunn for analyse og vurderinger skal ha en høy grad av integritet. Dataene skal ikke kunne bli endret av uvedkommende, slik at konklusjoner baseres på feil datagrunnlag. Lagring bør skje på tilstrekkelig sikre løsninger med tilgangsregulering, opplæring og rutiner.

Tilgjengelighet - tilstrekkelig tilgang

Data skal være så tilgjengelige at ikke gjennomføringen av studentoppgaver, arbeidskrav og undervisningsopplegg blir for vanskelig, enten fordi de tekniske løsningene er for kompliserte eller fordi tekniske løsningene er slik at det ofte skjer hendelser som medfører nedetid.

Konfidensialitet - behandling av røde data

Forskningsdata som ikke er publisert har i utgangspunktet en høy grad av konfidensialitet (røde data); det vil si at dataene ikke må komme på avveie eller bli gjort kjent for uvedkommende. En måte å sikre konfidensialitet på, når det gjelder personopplysninger, vil være å anonymisere dataene. Det kan imidlertid gjøre det vanskeligere å oppnå prosjektets overordnede formål.

Integritet - behandling av røde data

Forskningsdataene skal ha en høy grad av integritet for å sikre at konklusjoner gjøres på riktig datagrunnlag. Dataene må ikke må ikke kunne endres av uvedkommende. Det vil være nødvendig med gode tekniske løsninger for sikker lagring (liten mulighet for uautorisert tilgang og kopiering) av data og god opplæring, rutiner og tilgangsstyring i prosjektgruppen for å ivareta ovennevnte verdier.

Tilgjengelighet - tilstrekkelig tilgang

Forskningsdataene skal være så tilgjengelige at gjennomføringen av forskningsprosjektet ikke blir for vanskelig. De tekniske løsningene må derfor ikke være for kompliserte eller være slik at det ofte inntrer hendelser som forårsaker nedetid. Forskningsgruppens medlemmer, ikke bare prosjektleder, må ha tilstrekkelig tilgang til dataene for å kunne samle inn og analyserer dem.

Før du starter å behandle personopplysninger bør du tenke igjennom hva som kan gå galt, slik at du kan beskytte personopplysninger, forretningshemmeligheter eller annet tilstrekkelig i forhold til hvilken verdi de har. Se nettside om Risikovurdering.

Du kan henvende deg til personvernkontakt for din enhet, dersom du har spørsmål.

To kompetansegrupper er opprettet for å få koordinert arbeidet med databehandleravtaler (DBA) og risikovurderinger (ROS) og kan bistå personvernkontakten. Se hva de gjør og når de kan kontaktes på nettsiden Rådgivning - Kompetansegrupper ved OsloMet.