Ofte stilte spørsmål

• Må jeg vite hvilke lover og forskrifter som gjelder for min virksomhet?

  • Ja, dette er et av kjernepunktene i internkontroll. Din bransjeorganisasjon vil ofte kunne ha en oversikt over relevant regelverk for din type virksomhet.

• Hvorfor er det både lover og forskrifter om internkontroll?

  • Lovene som fastsettes av Stortinget er ofte ganske generelle. Det vil derfor ofte være forskriftshjemmel i en lov. Hensikten vil da kunne være å utdype og presisere hele eller deler av lovteksten med en forskrift. Vi sier derfor at forskriften er forankret i og hjemlet i lov.

• Må jeg sortere ut de bestemmelsene om internkontroll som er relevant for oss?

  • Ja, men først bør du gjennomføre en kartlegging av behandlinger av personopplysninger i virksomheten.

    I personopplysningsloven er det stilt krav om etablering av internkontroll. Disse kravene er ytterlig supplert i personopplysningsforskriftens kapittel 2 og 3. Kapittel 2 handler om å ivareta tilfredsstillende sikring av personopplysninger, men kapittel 3 utdyper minimumskrav til rutiner.

• Er loven og forskriften alt jeg trenger å forholde meg til?

  • Ja, i forhold til personvern er det riktig, med mindre andre særlover for din type virksomhet er relevant. Driver du for eksempel et legekontor vil også helseregisterloven være relevant.

     

     

• Er behandlingsansvarlig den som har den daglige ledelsen?

  • I praksis vil det være virksomhetens øverste administrative leder som er behandlingsansvarlig. Det er naturlig at gjennomføringen delegeres til en med daglig ansvar. Uansett sitter den øverste ledelsen fortsatt med ansvaret.

• Hvordan definere formål og behandling hvis jeg for eksempel har et kunderegister?

  • Behandlingen i dette tilfellet være selve kunderegister, mens formålet kan være kundeadministrasjon

• Hvordan starter jeg arbeidet med å få på plass en internkontroll?

  • Det aller første som må på plass er å konstaterer at din virksomhet faktisk behandler personopplysninger og at dette regelverket dermed er relevant. Deretter må behandlingsansvaret plasseres. Ansvaret hører normalt hjemme hos øverste administrative leder - selv om det kan være fagpersonver eller mellomledere lenger nede i systemet som starter behandlingen.

    Det neste naturlige skritt er å kartlegge behandlingene som foretas i virksomheten. Tenk hele tiden på begrepene behandling – formål– støtte i regelverk (hjemmel). Disse elementene må henge sammen – for hver eneste behandling.

• Hvordan kan jeg vite om en bestemmelse er relevant eller ikke?

  • Dette er nok det som vil føles vanskeligst i starten. Du må foreta en grundig gjennomgang av lov og forskrift. Noen bestemmelser vil gjelde for alle behandlinger, mens ytterlig andre kun gjelder for helt bestemte formål. Dette fremgår av regelverket, blant annet kan du ta utgangspunkt i overskriftene til de enkelte deler av regelverket.

• Hvilken form bør internkontrollsystemet ha?

  • Det kan ofte være nyttig å etablere en fast struktur for systemet eller man kan utarbeide en disposisjon for et internkontrollsystem. Dette gjør det lettere for de som skal bidra i prosessen til å forstå hvilken funksjon de ulike rutinene har.

    Et internkontrollsystem kan bestå av følgende tre hoveddeler:

    • Gjennomførende del. Her inngår de praktiske rutinene. Kort sagt; hvem skal gjøre hva, på hvilken måte, til hvilken tid, under hvilke omstendigheter og hvilket resultat skal oppnås.

    • Kontrollerende del. Her inngår sjekklister, egenkontroll, rapporter. Spør kontrollspørsmål: Følger vi systemet vårt? Hvilke avvik har vi? Hvordan kan disse rettes opp?

    • Styrende del. Dvs. en beskrivelse som innholder omtale av behandlingsansvar, behandlinger, mål/strategi, identifiserte krav/plikter (behandling – formål - hjemmel), ansvar og myndighet samt intern organisering.

• Hva bør være innholdet i internkontroll?

  • Det er behandlingsansvarlig som er ansvarlig for at det settes i gang aktiviteter slik at det etableres internkontroll i virksomheten. Behandlingsansvarlig har et spesielt ansvar knyttet til styrende del. Videre følge det et oppfølgingsansvar og godkjenningsprosedyre for øvrige deler.

     

• Hvor omfattende bør systemet være?

  • Dette er det du selv som kan gi best svar på fordi du kjenner virksomheten best. Personopplysningsforskriftens kapittel 2 og 3 har imidlertid noen minimumskrav som må oppfylles.

     

• Hvordan bør jeg håndtere avvik?

  • Nærmeste leder kan påpeke avviket på generell basis og vise at dette tar ledelsen på alvor. Ved gjentatte avvik på samme forhold kan dette tas opp mer konkret.