Utvidet spørsmål
Mange informasjonssystemer i skolesektoren krever pålogging. Dette innebærer at det registreres og lagres informasjon om brukernavn, ip-adresse og tidspunkt for inn- og utlogging. Hvor lenge kan/skal denne informasjonen lagres før den slettes?Svar
Den behandlingsansvarlige (typisk skoleeier) har plikt til autorisere de personer som skal ha tilgang til informasjonssystemer som inneholder personopplysninger. Det betyr at det på forhånd skal fastsettes hvilke personer som skal ha tilgang til systemet og hvilke personopplysninger disse skal ha tilgang til. Bare autoriserte personer skal kunne få tilgang. Passord og brukernavn mv kan brukes for å sikre dette.
Forskriften til personopplysningsloven bestemmer at all autorisert bruk og alle forsøk på uautorisert bruk av informasjonssystemet skal registreres, se henholdsvis § 2-8 og § 2-14. Også tilfelle av gjennomført uautorisert bruk skal registreres, selv om dette sies ikke direkte i forskriften. Den behandlingsansvarlige har med andre ord plikt til å ha en slik logg som spørsmålet ovenfor beskriver.
Alle opplysninger om autorisert og uautorisert bruk av informasjonssystemet, og andre opplysninger som har betydning for informasjonssikkerheten, skal lagres i minst 3 måneder, se § 2-16 i forskriften. Om det skal oppbevares lengre enn 3 måneder avhenger av den risikovurderingen som alle behandlingsansvarlige skal utføre i samsvar med pol § 13 og § 2-4 i forskriften. Spørsmålet må med andre ord vurderes konkret. Lagring av opplysninger i logger ut over 3 måneder må imidlertid ikke være mer langvarig og omfattende enn de aktuelle truslene kan begrunne, jf pol § 28.
Personopplysningsforskriften § 7-11 unntar nevnte logger fra meldeplikt til Datatilsynet forutsatt at opplysningene kun benyttes til administrasjon av IT-systemet, eller til å avdekke eller oppklare brudd på sikkerheten i edb-systemet. De nevnte formål er strengt avgrenset i bestemmelsen mot behandlinger som overvåkning og kontroll av den enkelte.
