Direktører i fellesadministrasjonen og fakultetsdirektørene er utpekt som eiere av systemer og tjenester innenfor sine respektive ansvarsområder og fagområder. System- og tjenesteeiere har ansvaret for enkelte personvernoppgaver ved behandling av personopplysninger i sine systemer eller tjenester.
Innkjøp/utvikling av systemet eller tjenesten
- Følge retningslinje for system- og tjenesteutvikling eller ved anskaffelse av system/tjeneste
- beskrive og dokumentere hvilke typer personopplysninger som skal behandles i systemet eller tjenesten og hva personopplysningene skal brukes til (formål og hensikt)
- henvise til lovhjemmel for å behandle personopplysninger i systemet eller tjenesten
- beskrive tekniske krav til informasjonssikkerhet og nødvendig beskyttelse av personopplysningene som skal behandles i systemet eller tjenesten
- kontakte IT avdelingen før avtaleinngåelse
Før bruken av systemet eller tjenesten starter
- gjennomføre risikovurdering av informasjonssikkerheten til personopplysningene i systemet eller tjenesten.
- inngå databehandleravtale
- melde systemet eller tjenesten til personvernombudet og IT avdelingen
- Vurdere behov for DPIA
Mens systemet eller tjenesten er i bruk
- kontrollere at personopplysningene som behandles i systemet eller tjenesten ikke brukes til helt andre formål enn hva som er planlagt uten at behandlingsgrunnlaget dekker dette, herunder samtykke eller lovhjemmel. (lenke til behandlingsgrunnlag)
- kontrollere at personopplysningene som behandles i systemet eller tjenesten har tilfredsstillende kvalitet, det vil si at opplysningene er tilstrekkelige og relevante, korrekte og oppdaterte
- kontrollere at det ikke registreres overskuddsinformasjon i systemet eller tjenesten (personopplysninger som ikke er nødvendige for å ivareta formålet/hensikten med systemet eller tjenesten)
- slette overskuddsinformasjon som er blitt registrert i systemet eller tjenesten
- besvare henvendelser fra IT for å ivareta de registrertes rettigheter
- utføre ROS analyser av informasjonssikkerheten til systemet
- iverksette tiltak som sørger for at informasjonssikkerheten til personopplysningene som behandles i systemet eller tjenesten er tilfredsstillende
- kontrollere at databehandlere overholder vilkårene i databehandleravtalen
- melde inn avvik som oppstår ved behandling av personopplysninger i systemet eller tjenesten.
- melde inn vesentlige endringer i bruken av systemet eller tjenesten til personvernombudet og IT avdelingen
- bistå ved årlig internkontroll (revisjon) og stedlige kontroller
Ved avvikling av systemet eller tjenesten
- avgjøre hvilke personopplysninger som skal slettes, eventuelt anonymiseres, og hvilke som skal arkiveres
- sørge for at alle personopplysninger som ikke skal arkiveres blir forsvarlig slettet eller anonymisert
- sørge for at personopplysninger som skal tas vare på blir arkivert
Gjennom hele livsløpet til et system eller tjeneste skal Register for personopplysninger (ut i fra kartleggingsskjema) holdes oppdatert.