Personvernerklæring for ansatte

Kategorier av personopplysninger

Følgende personopplysninger kan bli behandlet i VISMA lønn

• navn
• personnummer
• kontonummer
• adresse
• epost
• lønnsinformasjon
• stillingsforhold

Hvor er opplysningene hentet fra?

• Deg selv via Simployer
• folkeregisteret
• enhetsregisteret
• tidligere arbeidsgiver
• skattedirektoratet

I hvilket system behandles personopplysningene?

• VISMA lønn
• Bizview
• Simployer

Utlevering

Personopplysninger utleveres til Altinn (inntektsmeldinger til NAV), Skatteetaten (a-melding, innhenting og utlevering av skattetrekk), NAV (lønnstilskudd), lønnsopplysninger rapporteres årlig til Spekter via Aon for beregning av rammen for lønnsoppgjør.  Personopplysningene kan også deles med Nordea Liv, Statens Pensjonskasse. Lønnsopplysninger kan også utleveres til fagforening med hjemmel i tariffavtale. I tillegg kan opplysninger utleveres til kredittkortselskap mv. dersom du som ansatt har samtykket til det.

Overføring til utlandet?

Personopplysninger behandlet i forbindelse med lønn og lønnsutbetalinger overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Hvor lenge lagrer BD opplysninger i forbindelse med lønn og lønnsutbetalinger?

Personopplysningene lagres i VISMA lønn og Bizview i 5 år før de slettes. Det følger av krav i bokføringsloven.

Vi bruker kortlesere ved innganger for å sikre personer og eiendom og for å kontrollere adgang til våre lokaler. Vi behandler da, kort-ID/elevnummer og hendelseslogger (dør, dato/klokkeslett). Rettslig grunnlag er GDPR art. 6(1)(f) (berettigede interesser – sikkerhet og adgangskontroll).

Kategorier av personopplysninger

• navn
• fødselsdato
• kortnummer
• passeringsdata ved ankomst

Utlevering

Opplysningene utleveres ikke til andre aktører. Securitas Teknikk kan få innsyn ved behov for brukerstøtte ev. feilretting i systemet.

Overføring til utlandet?

Personopplysninger behandlet i forbindelse med adgangskontroll overføres ikke personopplysninger til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring

Opplysninger innhentet i forbindelse med adgang til BDM lokaler slettes hver tredje mnd. Dine personopplysninger lagret i forbindelse med opprettelse av adgangskort fjernes ved ansettelsesforholdets slutt.

I forbindelse med arbeidsrelaterte reiser behandler vi nødvendige personopplysninger for å bestille reise og overnatting.

Rettslig grunnlag

GDPR art. 6(1)(b) (avtale). For lovpålagt rapportering og dokumentasjon av utgifter brukes art. 6(1)(c) (f.eks. bokføringsregler). Dersom helseopplysninger er nødvendige for tilrettelegging eller plikter i arbeidsforholdet, behandles disse etter GDPR art. 9(2)(b) jf. personopplysningsloven § 6; for frivillige preferanser kan behandlingen baseres på uttrykkelig samtykke, art. 9(2)(a).

Kategorier av personopplysninger

Personopplysninger som kan bli behandlet er

• navn
• adresse
• telefonnummer
• fødselsdato
• epost
• bankkortopplysninger
• er det er nødvendig kan BDM be om passnummer og helserelaterte opplysninger (herunder allergi og ev. behov for tilrettelegging)

Hvor er opplysningene hentet fra?

• deg selv

I hvilket system behandler vi dine personopplysninger?
Personopplysninger i forbindelse med reise behandles i

• MS Office365
• Berg Hansen reisebyrå
• ved avtale om utveksling lagres personopplysninger i Erasmus Without Paper (EWP) og NordplusMusic. 
  

Utlevering

I forbindelse med rapportering av utvekslingsopphold utleveres personopplysninger til Direktoratet for høyere utdanning og kompetanse (Hkdir).

Overføring til utlandet?

Personopplysninger behandles kun innenfor EU/EØS. Data kan bli overført til selskaper som lagrer data utenfor dette området i forbindelse med reiser som geografisk er utenfor EU/EØS. Ved eksempelvis bestilte hotellopphold i USA så vil nødvendigvis personopplysninger finne veien til det aktuelle hotellet.

Lagring

Personopplysninger som ikke lenger er nødvendige å oppbevare ut fra det formålet de ble innsamlet for slettes ved ansettelsesforholdets slutt.

BD behandler nødvendige personopplysninger for å følge opp ansatte, tilrettelegge arbeid og håndtere personalsaker.

Rettslig grunnlag

GDPR art. 6(1)(b) (oppfyllelse av arbeidsavtalen) og art. 6(1)(c) (lovpålagte plikter, bl.a. etter arbeidsmiljøloven og folketrygdloven). Ved behov for å behandle helseopplysninger (f.eks. sykefraværsoppfølging/tilrettelegging): GDPR art. 9(2)(b) jf. personopplysningsloven § 6.

Kategorier av personopplysninger

Personopplysninger som blir behandlet til dette formål er

• navn
• lønn
• stillingsforhold
• bilde
• fagforeningstilhørighet
• opplysninger om nasjonalitet
• informasjon om kompetanse
• sykefravær
• reise og utlegg
• refusjoner
• fri og permisjoner

Hvor er opplysningene hentet fra?

• Deg selv
• Simployer

I hvilket system behandler vi dine personopplysninger?

• Simployer
• Talenttech (on-boarding)
• MS Office365

Det er kun HR-avdelingen, økonomiavdelingen og nærmeste leder som har tilgang på opplysningene. Kun ansatte som har tjenstlige behov for tilgang til personopplysninger, skal få slik tilgang.

Utlevering

Personopplysninger behandlet i forbindelse med personaloppfølging utleveres ikke til eksterne aktører.

Overføring til utlandet?

Personopplysninger behandlet i forbindelse med personaloppfølging overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring

Personopplysninger slettes når formålet de ble innhentet for ikke lenger er til stede eller grunnlag for behandling ikke lenger er til stede. Arkivregler kan imidlertid pålegge virksomheten en plikt til å lagre personopplysninger for en lengre periode, og der vilkårene for arkivplikt er oppfylt.

Ved avslutning av arbeidsforhold behandler BD nødvendige personopplysninger for å administrere opphøret, herunder sluttoppgjør og avstemninger, utstedelse av attest, tilbakelevering av utstyr, avslutting av tilganger/brukerkontoer og oppdatering av interne registre. Eventuelle tvister eller krav kan medføre videre saksbehandling.

Rettslig grunnlag

• GDPR art. 6(1)(b) (avtale): tiltak knyttet til opphør/oppfyllelse av arbeidsavtalen (f.eks. attest, sluttoppgjør).
• GDPR art. 6(1)(c) (rettslig plikt): lovpålagt rapportering og dokumentasjon (f.eks. bokføringsregler, skatt/trygd; ev. arkivlovgivning der virksomheten er arkivpliktig).
• GDPR art. 6(1)(f) (berettiget interesse): å kunne fastsette, gjøre gjeldende eller forsvare rettskrav og dokumentere ansettelsesforhold/perioder.
• Særlige kategorier (f.eks. sykefravær ved oppgjør/tilrettelegging) behandles bare når nødvendig etter GDPR art. 9(2)(b) jf. personopplysningsloven § 6.

Kategorier av personopplysninger

Personopplysninger som blir behandlet i denne sammenheng er

• navn
• lønn
• stillingsforhold

Hvor er opplysningene hentet fra?

• deg selv
• VISMA lønn
• Felles studentsystem (FS)

I hvilke system behandler vi dine personopplysninger?

• MS Office365
• VISMA lønn
  
• Simployer
• Bizview

Utlevering

BDM utleverer ikke personopplysninger til andre aktører.

Overføring til utlandet?

Personopplysninger behandlet i forbindelse med avslutning av arbeidsforhold overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring

Personopplysninger som ikke lenger er nødvendige å oppbevare ut fra det formålet de ble innsamlet for blir slettet. Noe blir lagret en tid etter avsluttet arbeidsforhold av hensyn til lovpålagte plikter og mulige krav (f.eks. lønn, ferie, pensjon, tvister). Arbeidskontrakter oppbevares normalt i 3 år etter avsluttet arbeidsforhold.

BD behandler ansattes personopplysninger for å planlegge, gjennomføre og formidle FoU.

Rettslig grunnlag

• Avtale (GDPR art. 6(1)(b)): oppgaver som følger av arbeidsavtalen (f.eks. reiser/utlegg, gjennomføring av FoU-arbeid).

• Rettlig plikt (art. 6(1)(c)): regnskaps-/skatteplikt, rapportering til myndigheter/finansiører, eventuelt arkivplikt (hvis virksomheten er arkivpliktig).

Kategorier av personopplysninger

Personopplysninger som behandles i forbindelse med administrering av FoU arbeid er:

• navn
• stillingsandel
• stillingssted/institusjonstilknytning
• stillingskode
• epost
• personnummer eller d-nummer
• folkeregistrert adresse
• start og eventuell sluttdato for stillingen
• Cristin-ID
• prosjektdeltakere/bidragsytere på forskningsprosjektet
• forfatters rolle på institusjon/stillingstittel
• digital personidentifikator
• statsborgerskap
• titler på forskningsprosjekt
• titler på publikasjoner
• årstall
• lisens forskningsartikkelen går under

Hvor er opplysningene hentet fra?

• deg selv
• interne systemer

I hvilket system behandler vi dine personopplysninger?

• Microsoft office365
• FS

Utlevering

Personopplysninger behandlet i forbindelse med FoU-arbeid overføres til Sikt/NVA.

Overføring til utlandet?

Personopplysninger som behandles i forbindelse med innhenting av ORCID til NVA, vil bli overført til mottakerland utenfor EU/EØS. Sikt er ansvarlig for å sikre et gyldig overføringsgrunnlag for overføringen. Det er inngått en Standard contractual clausus (SCC) mellom partene som sikrer dette.

Vi er til stede på sosiale medier, og vi bruker sosiale medier til å nå ut med informasjon om vår virksomhet. Vi bruker også informasjonskapsler og lignende teknologi (for eksempel Meta Pixel) for å måle effekt og målrette annonser.

Hva vi gjør

• Vi publiserer innhold og annonser på Meta sine tjenester (f.eks. Facebook og Instagram).

• Vi kan vise annonser til:

  • personer som følger oss eller har engasjert seg med innholdet vårt (likt, kommentert, delt, besøkt profilen)

  • besøkende på våre nettsider som har samtykket til markedsføringskapsler.

• Vi mottar aggregert statistikk fra Meta (såkalt Page Insights) om hvordan innholdet vårt blir sett og brukt. Disse statistikkene er ikke identifiserbare for oss på individnivå, men bygger på personopplysninger Meta behandler.

• Vi administrerer våre profiler/sider, svarer på henvendelser, og modererer innlegg og kommentarer.

Rettslig grunnlag

• Samtykke: Når vi bruker markedsføringskapsler (f.eks. Meta Pixel) på våre nettsider for å spore atferd og bygge målgrupper for annonsering. Dette omfatter både det å sette og lese slike kapsler (ekomloven § 2-7 b) og videre behandling av disse opplysningene (GDPR art. 6(1)(a)). Du kan når som helst trekke samtykket ditt i våre innstillinger for informasjonskapsler.

• Berettiget interesse: For å drifte og beskytte våre profiler/sider i sosiale medier, for å motta og bruke aggregert innsikt/statistikk om rekkevidde og målgrupper, og for å dokumentere kommunikasjon/markedsføring (GDPR art. 6(1)(f)). Vi har vurdert at dette er nødvendig for å nå ut med informasjon om vår virksomhet, og at behandlingen utgjør en lav personvernrisiko for den enkelte.

Hvilke personopplysninger kan inngå

• Bruker-ID, profilinformasjon, handlinger på våre profiler (for eksempel at du liker eller kommenterer et innlegg)

• Tekstinnhold du selv publiserer til oss i kommentarfelt eller direktemeldinger

• Nett- og enhetsdata knyttet til besøk på våre nettsider dersom du har godtatt markedsføringskapsler (for eksempel hvilke sider du har sett, tidspunkt, cirka lokasjon, nettleser)

• Aggregert innsikt (statistikk om rekkevidde, demografi m.m.) levert av Meta. Vi kan normalt ikke identifisere enkeltpersoner fra denne innsikten.

Hvilke personopplysninger Meta selv behandler om deg for å levere annonser, måle rekkevidde og lage målgrupper er beskrevet i Metas egne retningslinjer.

Hvor får vi opplysningene fra?

• Fra din aktivitet på våre profiler i sosiale medier (f.eks. Facebook og Instagram).

• Fra besøk på våre nettsider dersom du har samtykket til markedsføringskapsler.

• Fra Meta i form av aggregert innsikt/statistikk om hvordan våre sider og kampanjer presterer.

Hvem har tilgang hos oss / leverandører

• Våre administratorer i Meta Business Manager har tilgang til annonseverktøy og innsikt.

• Ved behov for teknisk bistand kan vår leverandør (Dinamo) få tilgang til vår Business Manager-konto for å hjelpe oss med annonsering og feilsøking. De opptrer da som databehandler etter avtale med oss.

Overføring til land utenfor EØS
Meta Platforms, Inc. er etablert i USA. Når vi bruker Meta sine tjenester (for eksempel ved annonsering eller Page Insights), kan personopplysninger overføres til USA.

Meta er per i dag sertifisert under EU–US Data Privacy Framework (DPF). Dette rammeverket er anerkjent av EU-kommisjonen som et tilstrekkelig beskyttelsesnivå (“adequacy decision”) for overføring av personopplysninger til USA. Det betyr at overføring av personopplysninger til Meta i USA kan skje på et lovlig grunnlag etter personvernregelverket i EU/EØS.

(Privacy Shield var den tidligere ordningen mellom EU og USA. Privacy Shield er kjent ugyldig av EU-domstolen og brukes ikke lenger som overføringsgrunnlag. Meta viser fortsatt til Privacy Shield i enkelte av sine tekster som en del av historiske forpliktelser og klagemekanismer i USA, men vårt rettslige grunnlag for overføring bygger nå på EU–US Data Privacy Framework, ikke Privacy Shield.)

Lagring

• Innhold du selv publiserer (kommentarer, meldinger til oss i sosiale medier) følger plattformens egne regler for visning, sletting og arkiv.

• Annonseringsdata og innsiktsrapporter lagres så lenge vi har behov for å dokumentere kommunikasjon/markedsføring og evaluere effekt, og slettes eller anonymiseres der det er mulig.

• For øvrig viser vi til Metas egne retningslinjer for hvor lenge de lagrer personopplysninger.

Du kan be oss bekrefte om vi behandler personopplysninger om deg, få vite hvilke opplysninger vi har og hvordan de brukes, og få en kopi av opplysningene.

Du kan kreve at vi retter feilaktige personopplysninger om deg og supplerer ufullstendige opplysninger. Mener du noe er feil, kontakt oss og forklar hva som bør endres – legg gjerne ved dokumentasjon.

Du kan i noen tilfeller be oss slette personopplysninger om deg. Retten er ikke absolutt og vurderes opp mot gjeldende lovkrav.

Oppgi gjerne hvilke opplysninger du vil slette og hvorfor. Vi vurderer om vilkårene er oppfylt. Merk at vi ikke kan slette der lov krever lagring, eller der opplysninger må bevares av hensyn til viktige samfunnsinteresser som arkivering, forskning og statistikk.

Du kan i noen tilfeller be oss begrense behandlingen av personopplysningene dine. Da lagrer vi opplysningene, men bruken begrenses til det som er nødvendig.

Du kan kreve midlertidig begrensning hvis du mener opplysningene er feil/ufullstendige, eller hvis du har protestert mot behandlingen. Begrensningen gjelder til vi har rettet opplysningene eller vurdert innsigelsen.

I andre tilfeller kan du be om en mer varig begrensning. Vi vurderer alle henvendelser opp mot vilkårene i personopplysningsloven og GDPR art. 18.

Du kan protestere mot at vi behandler personopplysningene dine, for eksempel hvis du har beskyttelsesbehov eller fortrolig adresse. Oppgi gjerne årsaken når du kontakter oss.

Vi stanser behandlingen mens vi vurderer innsigelsen. Hvis vilkårene er oppfylt, stopper vi videre behandling for de aktuelle formålene. Du kan også be om sletting.

Merk at vi kan fortsette behandlingen hvis vi kan vise til tvingende berettigede grunner som veier tyngre enn dine interesser, eller hvis det er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, eller for å oppfylle lovpålagte plikter/viktige samfunnsinteresser.

Du kan be om å få utlevert personopplysninger du selv har gitt oss, i et strukturert, vanlig brukt og maskinlesbart format, og be oss overføre dem til en annen leverandør når det er teknisk mulig.

Retten gjelder bare opplysninger som behandles på grunnlag av samtykke eller avtale, og omfatter ikke interne vurderinger vi har laget.

Hvis du mener at vi behandler personopplysningene dine i strid med regelverket, eller ikke oppfyller rettighetene dine, kan du klage til oss. Du kan også klage direkte til Datatilsynet. Dersom vi ikke gir medhold i klagen, kan du likevel bringe saken inn for Datatilsynet. Datatilsynet fører tilsyn med at norske virksomheter følger personopplysningsloven og GDPR.