Cirkulæreskrivelse om sikkerhedsforskrift for I/S Datacentralen af 1959.

Bilag

Sikkerhedsforskrift for I/S Datacentralen af 1959

Nærværende sikkerhedsforskrift gælder for de edb-registre med personoplysninger, der behandles eller opbevares på I/S Datacentralen af 1959.

Sikkerhedsforskriften er fastsat til opfyldelse af § 20, stk. 3, i lov nr. 293 af 8. juni 1978 om private registre m.v.

Sikkerhedsforskriften er endvidere optaget som bilag A til de registerforskrifter, der skal fastsættes for offentlige myndigheders registre i henhold til lov nr. 294 af 8. juni 1978 om offentlige myndigheders registre.

Registertilsynet fører tilsyn med, at sikkerhedsforskriften overholdes.

1. Sikkerhedsorganisation m.v.

1.1. Datacentralens bestyrelse har ansvaret for sikkerhedsforskriftens overholdelse.

1.2. Datacentralens bestyrelse skal udpege en ledende medarbejder til at være ansvarlig for sikkerheden på Datacentralen.

1.3. Datacentralens bestyrelse kan godkende, at der udpeges en eller flere medarbejdere til særligt at have ansvar for iværksættelse af og tilsynet med overholdelsen af sikkerhedsbestemmelserne vedrørende bestemte lokaliteter, funktioner m.v.

1.4. Datacentralen skal mindst en gang årligt gennemgå sikkerhedsforanstaltningerne med henblik på eventuel revision.

1.5. Datacentralen skal foretage en nærmere beskrivelse af, hvorledes virksomheden har opfyldt de bestemmelser, der er anført i sikkerhedsforskriften under punkterne: 1.1.-1.4.,2.1.-2.4.,3.1.,3.3.,4.7.,4.8.,4.14.

Denne beskrivelse optages som bilag B til registerforskrifterne for offentlige myndigheders registre. Bilag B er ikke offentligt tilgængeligt.

Bilag B skal være udarbejdet inden 1. april 1980, og skal indsendes til Registertilsynet.

1.6. De i sikkerhedsforskriften nævnte sikkerhedsregler skal være udarbejdet inden 1. januar 1981, og skal efter begæring indsendes til Registertilsynet.

2. Bygningsmæssige forhold m.v.

2.1. Bygninger, der benyttes til opbevaring eller til elektronisk databehandling af registre, skal være indrettet med henblik på at forhindre uvedkommende adgang til områder, hvor registre med personoplysninger opbevares eller behandles.

2.2. Bygningerne skal inddeles i sikkerhedsområder således, at der findes

- områder, hvor personoplysninger kun opbevares og anvendes i begrænset omfang (kontorer),

- områder, hvor der foretages databehandling af personoplysninger (maskinstuer),

- områder, hvor der opbevares lagringsmedier indeholdende personoplysninger (arkiver).

2.3. Der skal være en adgangskontrolordning således, at kun personer med adgangstilladelse, udstedt af Datacentralen, får adgang til de enkelte sikkerhedsområder. Adgangstilladelser skal angive, hvilke sikkerhedsområder de pågældende personer kan få adgang til.

2.4. Der skal etableres

- beskyttelse mod indbrud m.v.,

- forsyningssikkerhed til drift af fysiske sikkerhedsforanstaltninger,

- beskyttelse mod brand.

3. Organisatoriske og personalemæssige forhold

3.1. Der skal være en organisatorisk og personalemæssig opdeling mellem udviklings-, drifts- og opbevaringsfunktionerne.

3.2. For den enkelte organisatoriske funktion skal der være fastsat sikkerhedsregler.

3.3. For visse typer personregistre skal der ved gennemførelse af enkelte arbejdsfunktioner medvirke mere end en medarbejder.

3.4. Den enkelte medarbejder skal instrueres om de sikkerhedsbestemmelser, der har betydning netop for vedkommende medarbejders arbejde.

3.5. Datacentralen skal sikre, at alle medarbejdere ved ansættelsen bliver gjort bekendt med den tavshedspligt, som påhviler dem ifølge lovgivningen.

4. Administrative og systemtekniske forhold

4.1. For udvikling og vedligeholdelse af systemer, der behandler personoplysninger, skal der foreligge regler således

- at der etableres den fornødne dokumentation, kontrol, afprøvning og godkendelse af systemerne,

- at der etableres den fornødne dokumentation til brugeren i form af en beskrivelse af systemet og en vejledning i anvendelse af systemet.

4.2. Ved afprøvning eller kontrol af systemerne, må der kun anvendes personregistre eller dele deraf, såfremt dette er nødvendigt for at sikre disse systemers korrekthed. Såfremt personregistre benyttes, skal der være udarbejdet nærmere regler vedrørende brugen.

4.3. For driften af ethvert system skal der udarbejdes en driftsplan med angivelse af tidsterminer for modtagelse af materiale fra brugeren, kørselsafvikling og forsendelse af uddatamateriale til brugeren.

4.4. For kørsler, der ikke afvikles efter driftsplanen, skal der være fastsat regler, som fastlægger, hvem der er berettiget til at rekvirere kørsler samt modtage uddatamateriale.

4.5. For drift af systemer skal der være fastsat regler, der sikrer en klar ansvarsplacering omkring behandling af inddata, kørselstilrettelæggelse, kørselsafvikling og behandling af uddata.

4.6. Der skal foreligge regler om, hvilket dokumentationsmateriale, der skal opbevares for hver kørsel med personregistre.

4.7. Såfremt der er terminaladgang til et personregister, skal der kunne etableres

- maskinel kontrol af brugernes (terminaloperatørernes) identifikation,

- maskinel kontrol af brugernes (terminaloperatørernes) autorisation til at få adgang til registeroplysningerne,

- umiddelbar opfølgningsmulighed ved gentagne forsøg på at få adgang til registeret,

- maskinel registrering af brugernes (terminaloperatørernes) adgang til registeroplysningerne.

4.8. Der skal foretages en maskinel registrering af alle edb-kørsler, der anvender personregistre. Ved brugen af visse personregistre skal det kontrolleres, at de enkelte kørsler/anvendelser er i overensstemmelse med autorisationen.

4.9. For det enkelte personregister skal der udarbejdes bestemmelser, der fastlægger

- antallet af kopier af det aktuelle register (sikkerhedskopier),

- antallet af tidligere registerkopier (generationskopier), eller den periode, tidligere registerkopier må opbevares,

- antallet af særlige registerkopier (kvartalskopier, årskopier),

således, at det samlede antal udgaver/kopier er mindst muligt, under hensyntagen til muligheden for at kunne rekonstruere registeret.

4.10. Der skal være fastsat regler om opbevaring af kopier af personregistre og programmer i sikkerhedsarkiv.

4.11. For opbevaring af lagringsmedier med personoplysninger gælder følgende

- lagringsmedier skal opbevares i arkiver, når de ikke benyttes i forbindelse med kørsler,

- arkiverne skal enten være aflåst eller bemandet med medarbejdere, der har arkivfunktionen som en del af deres arbejde,

- der skal føres en fortegnelse over alle lagringsmedier, og foretages løbende kontrol af beholdningen,

- alle lagringsmedier skal være mærket til brug ved såvel den manuelle som den maskinelle behandling,

- lagringsmedier må kun udleveres mod skriftlig rekvisition og skal returneres til arkiv efter endt brug. Rekvisitionen skal indeholde oplysning om såvel den konkrete opgave som den medarbejder, der rekvirerer lagringsmediet.

4.12. Der skal være fastsat regler om tiltintetgørelse/sletning af

- udskrifter m.v. fra personregistre, der ikke skal leveres til bruger eller indgå som dokumentation for en kørsel,

- lagringsmedier, der ikke kan anvendes mere,

- uvedkommende data på lagringsmedier, der udlånes eller sælges.

4.13. Der skal være fastsat regler om Datacentralens medarbejderes adgang til personregistre. Enhver adgang skal dokumenteres. For transaktionsorienterede terminalsystemer skal der foretages maskinel registrering (logning) og udskrivning til den registeransvarlige myndighed. Identifikation af Datacentralens medarbejdere skal ske ved brug af såvel ID-kort som indtastning.

4.14. Konverteringsbureauer og kuverteringsbureauer må kun anvendes til opgaver med personoplysninger, såfremt der foreligger en sikkerhedsaftale med det pågældende bureau. Sådanne bureauer må i øvrigt kun anvendes, såfremt registerforskriften ikke er til hinder herfor.

4.15. Datacentralen kan foretage afvikling af kørsler med personoplysninger på andre edb-anlæg, såfremt sikkerheden på disse andre edb-anlæg er som beskrevet i denne sikkerhedsforskrift.

Cirkulæreskrivelse om sikkerhedsforskrift for I/S Datacentralen af 1959.

Til orientering fremsendes et eksemplar af »sikkerhedsforskrift for I/S Datacentralen af 1959«.

Som det fremgår af indledningen til sikkerhedsforskriften gælder forskriften for de edb-registre med personoplysninger, der behandles eller opbevares på I/S Datacentralen af 1959.

Sikkerhedsforskriften er fastsat til opfyldelse af § 20, stk. 3 i lov nr. 293 af 8. juni 1978 om private registre m.v.

Endvidere henledes opmærksomheden på, at sikkerhedsforskriften, som nævnt i forskriftens indledning, indgår som bilag A til de enkelte myndigheders registerforskrifter, og at dette bilag er offentligt tilgængeligt. Bilaget skal derfor sammen med registerforskriften udleveres i forbindelse med anmodninger fra personer, virksomheder m.v. om udlevering af registerforskrifter. Yderligere eksemplarer af sikkerhedsforskriften vil kunne rekvireres hos I/S Datacentralen af 1959.

P. R. V.

Jørgen Poulsen

Til samtlige offentlige myndigheder

Ingen