Kommunedirektøren er behandlingsansvarlig for kommunens behandling av personopplysninger. Det daglige ansvaret for de forskjellige behandlingene er delegert. Delegeringen omfatter kun oppgavene, ikke ansvaret.

Kommunen har en egen informasjonssikkerhetsansvarlig som er delegert det daglige ansvaret for informasjonssikkerhet på overordnet nivå i kommunen.

Holmestrand kommune er ansvarlig for at all behandling av personopplysninger er i tråd med ny personvernforordning GDPR) som ble del av norsk lov 20.07.18.

Det vil si at opplysningene skal behandles på en slik måte at de ivaretar kravene til:

• Konfidensialitet (at data kun skal være tilgjengelig for autoriserte personer og prosesser)
• Integritet (at data er nøyaktige, fullstendige og gyldige)
• Tilgjengelighet (krav til service- alle berettigede krav om tilgang til korrekt informasjon dekkes ved behov)

Opplysningene må være korrekte, oppdaterte, relevante og tilstrekkelige.

Kommunen skal også sikre at det foreligger internkontroll som viser at oppgavene blir utført i samsvar med personvernforordningen og regler gitt i henhold til loven.

Hvis ikke annet er oppgitt, lagres alle opplysninger som kommunen samler inn i systemer som kommunen har databehandleravtale med. Disse databehandleravtalene regulerer hvordan databehandler skal ivareta personopplysningen og også informasjonssikkerheten. Tilgang til systemene er begrenset til de som har tjenstlig behov for det. IKT-leverandøren ivaretar behovet for fysisk og teknisk sikring .

Formål og rettslig grunnlag for å behandle personopplysningene

Alle personopplysninger som Holmestrand kommune behandler, skal ha et behandlingsgrunnlag. I de fleste tilfeller er dette grunnlaget hjemlet i lovverk som omhandler levering av våre tjenester. Personopplysningene vi samler inn om deg skal kun benyttes til det gitte formålet, og dersom kommunen ønsker å benytte de innsamlede opplysningene til noe annet, skal du informeres og kunne gi ditt samtykke til dette eller ikke. Personopplysninger skal ikke lagres lenger enn det som er nødvendig for vår tjenesteytelse overfor deg, hvis ikke lagring er regulert av annet lovverk. Den som er systemansvarlig vil hele tiden ha en oversikt over hvilken informasjon som innhentes, hvordan den eventuelt bearbeides og lagres.

Retten til innsyn i personopplysninger

Enhver som ber om det, uavhengig av om vedkommende er registrert i kommunen, skal få vite hva slags behandling av personopplysninger kommunen foretar, og kan kreve å få følgende informasjon om en bestemt type behandling:

• Navn og adresse på kommunedirektøren som er behandlingsansvarlig i kommunen.
• Hvem som har det daglige ansvaret for å oppfylle den behandlingsansvarliges plikter
• Formålet med behandlingen
• Beskrivelser av type personopplysninger som behandles
• Hvor opplysningene er hentet fra, og m opplysningene vil bli utlevert, og eventuelt hvem som er mottaker.

Den som er registrert, kan i tillegg be om innsyn i:

• Hvilke opplysninger om den registrerte som behandles, og
• Sikkerhetstiltakene ved behandlingen så langt ikke innsyn svekker sikkerheten.

Den registrerte kan kreve at kommunedirektøren utdyper informasjonen i den grad dette er nødvendig for at den registrerte skal kunne ivareta egne interesser.

Retten til innsyn og informasjonsplikten gjelder ikke dersom opplysningene:

• Er underlagt lovbestemt taushetsplikt
• Må hemmeligholdes av hensyn til etterforskning av straffbare handlinger
• Behandles til historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte.

En innsynsbegjæring, med henvisning til GDPR, ny personopplysningslov, skal behandles så snart som mulig og senest 30 dager etter henvendelsen ble mottatt. Innsyn er gratis.

Hvis denne fristen overskrides, er det å forstå som avslag og kan påklages. Påklages avslaget, må skriftlig begrunnelse for avslaget gis av saksbehandler innen ti dager.

Leder eller eventuelt saksbehandler skal vurdere om kommunedirektøren skal informeres om innsynsbegjæringen. Momenter som må tenkes igjennom, er om saken kan få stor oppmerksomhet, hvorvidt den er viktig for hele organisasjonen, omdømme eller lignende.

Ved innsyn benyttes skjema for innsynsbegjæring fra Datatilsynet.

Retting og sletting av personopplysninger

Holmestrand kommune plikter på selvstendig grunnlag å slette personopplysninger som ikke lenger er relevante for behandlingen. Dette selv om opplysningene ikke er feilaktige eller mangelfulle, og innen rimelig tid.

I hht. personvernforordningenes artikkel 16 og 17 har alle som er registrert i en av Holmestrand og Sande kommunes system rett til å kreve at uriktige eller ufullstendige opplysninger rettet eller supplert, og at opplysninger kommunen ikke har adgang til å behandle blir slettet. Krav om retting og sletting rettes til kommunens postmottak og skal besvares kostnadsfritt innen 30 dager.