Et avvik innen informasjonssikkerhet og personvern er et brudd på gjeldende lover, regler eller interne retningslinjer for hvordan personopplysninger og informasjon skal behandles og beskyttes. Eksempler på dette er:
- Utilsiktet eller ulovlig tilgang til, endring, sletting eller spredning av personopplysninger.
- Brudd på konfidensialitet, integritet eller tilgjengelighet av informasjon.
- Feil i rutiner, tekniske systemer eller menneskelige handlinger som fører til at informasjonssikkerheten svekkes.
Avvik eller mistanke om avvik fra vedtatte rutiner eller retningslinjer og brudd på informasjonssikkerheten skal rapporteres så raskt som mulig slik at feil og mangler (avvik) kan rettes opp og at konsekvenser av feil begrenses.
Hva skjer når jeg melder inn avvik?
NIH har egne prosedyrer for håndtering av avvik, også avvik knyttet til informasjonssikkerhet og personvern. Det er viktigere at avviket meldes enn at man følger vedtatte prosedyrer. Du kan også melde inn et mistenkt avvik uten at du har avklart alle forhold knyttet til saken. Du kan melde avvik via skjemaet her, direkte til informasjons- og personvernrådgiverne, IT-avdelingen eller din nærmeste leder.
NIH sørger for at hendelsen håndteres og at skadebegrensende tiltak iverksettes. NIH vil også varsle relevante parter etter behov:
- Berørte ledere ved NIH
- Administrerende direktør
- Datatilsynet
- Relevante underleverandører
- Personvernombudet
Det er altså ikke slik at den som melder inn et avvik eller mistanke om avvik må melde dette til for eksempel Datatilsynet eller Personvernombudet. Dette håndteres av NIH.