Selv om vi har samlet inn personopplysningene i tråd med reglene i GDPR og vi har fulgt UiOs rutiner, kan det inntreffe uønskede hendelser knyttet til personvernet. En uønsket hendelse kalles for et avvik fordi behandlingen av personopplysninger avviker fra det som er bestemt i lov , eller i UiOs rutiner for behandling av personopplysninger.

Personopplysninger kan ha blitt delt eller spredt uten at dette er ønskelig, for eksempel hvis:

en e-post med personopplysninger har blitt feilsendt
personopplysninger har blitt offentliggjort på en nettside uten tilgangsbegrensning
uvedkommende har fått tilgang til personopplysninger
personopplysninger har blitt slettet eller blitt endret
personopplysninger har blitt behandlet i strid med vedtatte rutiner eller retningslinjer, for eksempel lagring i strid med UiOs lagringsguide
Personopplysninger har blitt behandlet i strid med personvernprinsippene.

Hva gjør du når du oppdager en uønsket hendelse?

Straks du har mistanke om at personopplysninger har kommet på avveie eller blitt behandlet i strid med lovgivningen eller vedtatte rutiner, skal du melde ifra om dette til nærmeste leder.

Nærmeste leder eller leder ved enheten har ansvar for å kontakte UiO-CERT (som håndterer brudd på personopplysningssikkerheten ved UiO) ved å fylle ut skjema for varsling av feil behandling av personopplysninger; brudd på intern rutine eller lovverk.

Innmeldingen må gjøres så fort som mulig fordi UiO har bare 72 timer til å vurdere alvorligheten i avviket. Det er også viktig at vi kan sette i gang skadebegrensende tiltak så fort som mulig. Alle forhold trenger ikke å være avklart. UiO-CERT sørger for at hendelsen håndteres og at skadebegrensende tiltak iverksettes.

UiO-CERT sammen med IT-juridisk gruppe ved UiO vil vurdere hendelsen og eventuelt kontakte etter behov:

Personvernombud
Universitetsdirektør og eventuelt andre fagdirektører
Datatilsynet
De berørte

Det er helt ufarlig og udramatisk å melde inn avvik. Det viktigste er i alle tilfeller at avviket faktisk blir innmeldt så fort som mulig.