Logos

Følg prinsippet om minste privilegium, slik at bare ansatte med tjenstlig behov har tilgang. Benytt sterk autentisering og 2FA, regelmessig kontroll og fjerning av tilganger, kryptering, logging og overvåking. Rutiner for avvikshåndtering, sikkerhetskopiering/gjenoppretting og jevnlig vurdering av sikkerhetstiltak skal være etablert og dokumentert.

Behandlingen gjelder barn og testresultater, og et brudd på konfidensialitet eller integritet kan derfor få høy konsekvens for den registrerte. Sannsynligheten vurderes som lav til moderat på grunn av etablerte sikkerhetstiltak som tilgangsstyring, 2FA, kryptering, logging og overvåking. Det er også risiko knyttet til for vide brukertilganger, mangelfull informasjon til elever/foresatte og at opplysninger lagres lenger enn nødvendig. Samlet vurderes risikoen som moderat.

Eksisterende tiltak er tilgangsstyring, sikker autentisering/2FA, kryptering, logging og overvåking, redundant lagring og rutiner for gjenoppretting. Databehandleravtale med Logometrica er inngått. Som tilleggstiltak skal kommunen etablere en tydelig rutine for lagring og løpende sletting av elevopplysninger, gjennomføre regelmessig kontroll av brukertilganger og sikre tydelig informasjon til elever og foresatte om behandlingen og deres rettigheter. Tiltakene følges opp ved jevnlig revisjon av tjenesten.

Kor kjem personopplysningane frå?

Personopplysningene registreres av testleder/skolen og gjennom elevens gjennomføring av LOGOS-testen. Elevens testsvar og testresultater genereres gjennom selve kartleggingen. Opplysninger om testleder registreres i forbindelse med brukerkonto og tilgang til tjenesten.

Kor blir personopplysningane lagra?
i skyteneste hjå leverandør

Korleis blir personopplysningane lagra?

Personopplysninger og testresultater lagres i Logometrica sin skyløsning i Microsoft Azure. Data lagres redundant i datasentrene Norway East og Norway West i Norge. Opplysningene er kryptert ved lagring.

Korleis blir personopplysningane brukte?

Opplysningene brukes av autoriserte testledere ved skole/PPT til å gjennomføre og følge opp kartlegging av elevenes lese- og språkferdigheter. Testresultatene brukes som grunnlag for vurdering og pedagogisk oppfølging av den enkelte elev.

Kven har tilgang til personopplysningane?

Tilgang til personopplysninger og testresultater er begrenset til autoriserte brukere/testledere. Innlogging skjer via Feide eller med brukernavn, passord og tofaktorautentisering (2FA). Administrative tilganger og fjernaksess til produksjons- og driftsmiljø krever 2FA. Leverandør/underdatabehandler kan ha tilgang ved behov for drift, feilretting, gjenoppretting og sikkerhetsforbedringer.

Kva slags personopplysningar blir lagra?
namn, e-postadresse, rolle, organisasjon, fagleg progresjon

Blir det behandla sensitive personopplysningar (særskilde kategoriar av personopplysningar)?
Nei, det blir ikkje behandla særskilde kategoriar av personopplysningar (sensitive personopplysningar).

Ingen. LOGOS behandler ikke særlige kategorier av personopplysninger etter GDPR artikkel 9. Testresultater fra kartleggingen har særlig behov for beskyttelse, men er i databehandleravtalen ikke klassifisert som særlige kategorier av personopplysninger. Diagnoser eller andre helseopplysninger skal ikke registreres i skyløsningen.

Kva kommunar blir det samla inn personopplysningar frå?
Sauda, Strand, Suldal, Hjelmeland

Kven og kor mange blir det samla inn personopplysningar om?
færre enn hundre tilsette

Kor lenge blir personopplysningane lagra?

Personopplysningene lagres så lenge kommunen har et aktivt abonnement og det er behov for opplysningene. Ved avsluttet abonnement blir opplysningene umiddelbart utilgjengelige. Permanent sletting skjer senest innen 3 måneder etter at abonnementet er avsluttet.

De registrerte er hovedsakelig barn og unge i skolen og regnes som en sårbar gruppe. Det er et naturlig maktforhold mellom kommunen/skolen og eleven, og eleven har begrenset mulighet til selv å påvirke behandlingen når kartleggingen gjennomføres som del av skolens oppfølging. Testresultatene kan ha betydning for videre pedagogisk oppfølging og har derfor særlig behov for beskyttelse.

Eleven har begrenset direkte kontroll over behandlingen, ettersom opplysningene behandles som del av skolens kartlegging og oppfølging. Den registrerte, eventuelt foresatte der dette er aktuelt, kan utøve sine rettigheter etter personvernregelverket, blant annet be om innsyn, retting og sletting der vilkårene for dette er oppfylt. Kommunen som behandlingsansvarlig håndterer slike forespørsler.

Kartlegge elevenes lese- og språkferdigheter. LOGOS brukes til å samle inn og analysere testsvar for å gi skolen/PPT grunnlag for pedagogisk kartlegging og oppfølging av den enkelte elev.

Blir personopplysningane brukte til…

Det skal kun behandles personopplysninger som er nødvendige for å gjennomføre og følge opp kartleggingen. For elever behandles navn, trinn, skole/PPT-kontor og testresultater. Det skal ikke registreres diagnoser eller andre helseopplysninger i LOGOS.

Personopplysningene skal være korrekte og oppdaterte. Testleder har ansvar for å kontrollere at riktig elev er registrert før kartlegging gjennomføres. Feil i registrerte personopplysninger skal rettes når de oppdages. Testresultatene genereres på bakgrunn av elevens gjennomføring av kartleggingen.

Personopplysninger skal ikke lagres lenger enn nødvendig for formålet. Kommunen skal slette opplysninger som det ikke lenger er behov for. Ved avsluttet abonnement blir gjenværende personopplysninger umiddelbart utilgjengelige hos Logometrica og slettes permanent senest innen 3 måneder.

Sauda kommune er behandlingsansvarlig og har ansvar for at behandlingen av personopplysninger skjer i samsvar med personvernregelverket. Logometrica AS er databehandler og behandler personopplysninger etter instruks fra kommunen. Carr IT og Microsoft Ireland Operations Ltd. er underdatabehandlere. Skolen/PPT og autoriserte testledere har ansvar for korrekt bruk av løsningen og tilgang til opplysningene etter tjenstlig behov.

Den registrerte kan be Sauda kommune om å få uriktige personopplysninger rettet og, når vilkårene er oppfylt, få personopplysninger slettet. Kommunen er ansvarlig for å behandle slike forespørsler, og Logometrica skal bistå kommunen ved behov.

Risiko for at personopplysninger eller testresultater blir feilaktig endret, registrert på feil elev eller på annen måte blir uriktige. Dette kan føre til feil grunnlag for kartlegging og pedagogisk oppfølging. Risikoen reduseres gjennom tilgangsstyring, autentisering, logging og rutiner for kontroll og retting av opplysninger.

Risiko for at LOGOS eller lagrede testresultater ikke er tilgjengelige når skolen/PPT har behov for dem, for eksempel ved driftsfeil eller tekniske hendelser. Dette kan forsinke kartlegging og pedagogisk oppfølging. Risikoen reduseres gjennom redundant lagring i to norske datasentre, overvåking og mulighet for gjenoppretting av data.

Etter gjennomførte sikkerhets- og personverntiltak vurderes restrisikoen som lav til moderat. Behandlingen gjelder barn og testresultater som har et særlig beskyttelsesbehov, men risikoen reduseres gjennom tilgangsstyring, sikker autentisering, kryptering, logging, redundant lagring og organisatoriske rutiner. Det bør særlig sikres gode rutiner for tilgangsstyring, informasjon til elever/foresatte og løpende sletting av opplysninger som ikke lenger er nødvendige.

Det skal være tydelige roller og ansvar for bruk og forvaltning av LOGOS. Tilgang skal kun gis til ansatte med tjenstlig behov og fjernes når behovet opphører. Kommunen skal ha rutiner for korrekt bruk, tilgangsstyring, håndtering av avvik og ivaretakelse av de registrertes rettigheter. Databehandleravtale med Logometrica regulerer ansvar, sikkerhet og bruk av underdatabehandlere.