Sikkerhet i medisinsk fødselsregister

Svaret for denne henvendelsen er svært forsinket. I følge loven så burde Folkehelseinstituttet, under enhver omstendighet ha svart på dette tidspunkt (detaljer). Du kan klage ved å sender klage.

Kjære Folkehelseinstituttet,

Etter bestemmelsene i offentleglova ber jeg om innsyn i dokumentasjon som beskriver de konkrete tiltak som er iverksatt for å etterleve medisinsk fødselsregisterforskriften § 4-2.

Med vennlig hilsen,

Mona Olsen

Kjære Folkehelseinstituttet,

Vær så snill å send denne videre til personen som vurderer innsynsklager.

Jeg skriver for å klage på Folkehelseinstituttet sin håndtering av min innsynshenvendelse «Sikkerhet i medisinsk fødselsregister».

Jeg kan ikke se at innsynskravet er saksbehandlet, og påklager derfor avslaget etter femdagersfristen i tråd med offentleglova § 32 andre ledd, som foreskriver:

«Dersom den som har kravd innsyn, ikkje har fått svar innan fem arbeidsdagar etter at organet mottok kravet, skal dette reknast som eit avslag som kan påklagast etter første ledd.»

Dersom avslaget opprettholdes for hele eller deler av dokumentene, ber vi om at klagen oversendes klageinstans, jf. offentleglova § 32 med kopi til oss.

Minner forøvrig om offentleglova § 32, tredje ledd, hvor det fremgår at klager skal behandles «uten ugrunna opphold». Sivilombudsmannen godtar under ikke under noen omstendighet en saksbehandlingstid som er lenger enn 10 dager for klager.

Komplett historie for min innsynshenvendelse og all korrespondanse er tilgjengelig via Internett fra denne adressen: https://www.mimesbronn.no/request/sikker...

Med vennlig hilsen,

Mona Olsen

Ebbing, Marta, Folkehelseinstituttet

Hei Mona,

 

denne forespørselen dukket opp i min postkasse i vårt arkivsystem Public
360 først den 19. juni 2018, og jeg åpnet den først nå. Beklager at
Folkehelseinstituttet derved har overtrådt fristen for å gi deg et svar.

 

Jeg kommer tilbake til deg med relevant dokumentasjon som beskriver
sikkerhetstiltakene i Medisinsk fødselsregister, og som ikke er unntatt
offentligheten. Du vil få svar senest innen i morgen 22. juni 2018.

 

Vennlig hilsen

Marta Ebbing

 

Fagdirektør helseregistre

Helsedata og digitalisering | Folkehelseinstituttet

Besøksadresse: Zander Kaaes gate 7, 5015 Bergen

E-post: [1][epostadresse]

[2]www.fhi.no

 

-----Opprinnelig melding-----

Fra: Mona Olsen [mailto:[Innsyns-e-postadresse #973]]

Sendt: torsdag 7. juni 2018 08.58

Til: Folkehelseinstituttet <[epostadresse]>

Emne: innsyn etter Offentleglova - Sikkerhet i medisinsk fødselsregister

 

Kjære Folkehelseinstituttet,

 

Etter bestemmelsene i offentleglova ber jeg om innsyn i dokumentasjon som
beskriver de konkrete tiltak som er iverksatt for å etterleve medisinsk
fødselsregisterforskriften § 4-2.

 

Med vennlig hilsen,

 

Mona Olsen

 

-------------------------------------------------------------------

 

Vennligst bruk denne e-post adressen for alle svar:

[Innsyns-e-postadresse #973]

 

Er  [Folkehelseinstituttet henvendelses-e-postadresse] feil adresse for henvendelser om innsyn
etter Offentleglova til Folkehelseinstituttet? I så fall, vær så snill å
ta kontakt med oss ved å bruke dette skjemaet:

https://www.mimesbronn.no/change_request...

 

Merk: Innholdet i denne innsynsforespørselen og alle dine svar vil bli
offentliggjort på Internett.  Du finner våre regler for personvern og
åndsverk her:

https://www.mimesbronn.no/help/officers

 

Om du, som saksbehandler, syntes denne tjenesten er nyttig, be gjerne
nettredaktøren hos dere lenke til oss fra din organisasjons innsyn-side.

 

 

-------------------------------------------------------------------

 

 

References

Visible links
1. mailto:[epostadresse]
2. http://www.fhi.no/

Ebbing, Marta, Folkehelseinstituttet

Hei igjen, Mona, se min e-post sendt for litt siden.

 

denne forespørselen og den tilhørende klagen dukket opp i min postkasse i
vårt arkivsystem Public 360 først den 19. juni 2018, og jeg åpnet den
først nå. Beklager at Folkehelseinstituttet derved har overtrådt fristen
for å gi deg et svar både på forespørselen og klagen.

 

Jeg kommer tilbake til deg med relevant dokumentasjon som beskriver
sikkerhetstiltakene i Medisinsk fødselsregister, og som ikke er unntatt
offentligheten. Du vil få svar senest innen i morgen 22. juni 2018.

 

 

Vennlig hilsen

Marta Ebbing

 

Fagdirektør helseregistre

Helsedata og digitalisering | Folkehelseinstituttet

Besøksadresse: Zander Kaaes gate 7, 5015 Bergen

E-post: [1][epostadresse]

[2]www.fhi.no

 

-----Opprinnelig melding-----

Fra: Mona Olsen [mailto:[Innsyns-e-postadresse #973]]

Sendt: lørdag 16. juni 2018 09.28

Til: Folkehelseinstituttet <[epostadresse]>

Emne: Klage over innsyn etter Offentleglova - Sikkerhet i medisinsk
fødselsregister

 

Kjære Folkehelseinstituttet,

 

Vær så snill å send denne videre til personen som vurderer innsynsklager.

 

Jeg skriver for å klage på Folkehelseinstituttet sin håndtering av min
innsynshenvendelse «Sikkerhet i medisinsk fødselsregister».

 

Jeg kan ikke se at innsynskravet er saksbehandlet, og påklager derfor
avslaget etter femdagersfristen i tråd med offentleglova § 32 andre ledd,
som foreskriver:

 

«Dersom den som har kravd innsyn, ikkje har fått svar innan fem
arbeidsdagar etter at organet mottok kravet, skal dette reknast som eit
avslag som kan påklagast etter første ledd.»

 

Dersom avslaget opprettholdes for hele eller deler av dokumentene, ber vi
om at klagen oversendes klageinstans, jf. offentleglova § 32 med kopi til
oss.

 

Minner forøvrig om offentleglova § 32, tredje ledd, hvor det fremgår at
klager skal behandles «uten ugrunna opphold». Sivilombudsmannen godtar
under ikke under noen omstendighet en saksbehandlingstid som er lenger enn
10 dager for klager.

 

Komplett historie for min innsynshenvendelse og all korrespondanse er
tilgjengelig via Internett fra denne adressen:
https://www.mimesbronn.no/request/sikker...

 

Med vennlig hilsen,

 

Mona Olsen

 

 

 

-------------------------------------------------------------------

Vennligst bruk denne e-post adressen for alle svar:

[Innsyns-e-postadresse #973]

 

Merk: Innholdet i denne innsynsforespørselen og alle dine svar vil bli
offentliggjort på Internett.  Du finner våre regler for personvern og
åndsverk her:

https://www.mimesbronn.no/help/officers

 

Om du, som saksbehandler, syntes denne tjenesten er nyttig, be gjerne
nettredaktøren hos dere lenke til oss fra din organisasjons innsyn-side.

 

-------------------------------------------------------------------

 

 

References

Visible links
1. mailto:[epostadresse]
2. http://www.fhi.no/

Kjære Ebbing, Marta,

Takk.

Hva er årsaken til at dere ikke klarer å motta epost?

Med vennlig hilsen,

Mona Olsen

Ebbing, Marta, Folkehelseinstituttet

Vi mottar e-post, men det har vært omlegging av drift av arkivsystemet vårt, og det var varselet via arkivsystemet som ikke kom fram til meg. Vi holder på å nøste i saken for å rette opp feil og mangler i systemet.

Marta Ebbing
Fagdirektør for helseregistre
Folkehelseinstituttet

epost [epostadresse]

vis sitert seksjon

Ebbing, Marta, Folkehelseinstituttet

1 Attachment

Hei igjen,

 

Jeg viser til tidligere korrespondanse i saken.

 

Du har i henvendelse til Folkehelseinstituttet bedt om innsyn i
dokumentasjon som beskriver de konkrete tiltak som er iverksatt for å
etterleve Medisinsk fødselsregisterforskriften § 4-2.

 

Forespørselen er omfattende og generell. Vi har vurdert hvilken
dokumentasjon som kan gi deg det mest informative svaret, og har kommet
til at det er vedlagte dokument; en retningslinje som beskriver
systemforvaltningsmodellen for Medisinsk fødselsregister ved
Folkehelseinstituttet – MFR-RE-030. Dokumentet ble sist gjennomgått 5.
oktober 2017, og er lagret i vårt system for kvalitetsdokumenter, hvorfra
det er tatt utskrift i dag. Vi har sladdet navngitte personer fra
utskriften av hensyn til deres personvern.

 

Vi har mer dokumentasjon som angår informasjonssikkerhet i Medisinsk
fødselsregister som brukes internt i Folkehelseinstituttet. Denne
organinterne dokumentasjonen har vi unntatt offentligheten etter
offentleglova § 14 første ledd. Vi kan ikke kan offentliggjøre hvordan vi
konkret arbeider med informasjonssikkerheten – nettopp av hensyn til
informasjonssikkerheten.   

 

Vennlig hilsen

Marta Ebbing

 

Fagdirektør helseregistre

Helsedata og digitalisering | Folkehelseinstituttet

[1]www.fhi.no

 

References

Visible links
1. http://www.fhi.no/

Kjære Ebbing, Marta,

Den 7. juni ba jeg etter bestemmelsene i offentleglova om innsyn i dokumentasjon som beskriver de konkrete tiltak som er iverksatt for å etterleve Medisinsk fødselsregisterforskriften § 4-2.

Først 22. juni, altså 12 dager etter dere egentlig skulle ha svart, fikk jeg svar. Dere har ikke vurdert merinnsyn og opplyser heller ikke om klageadgang og klagefrist slik dere skal i henhold til offentleglova § 31 første ledd.

Dere har gitt meg et dokument som beskriver systemforvaltningsmodellen for Medisinsk fødselsregister. Uten å henvise til unntakshjemmel i offentleglova har dere «sladdet navngitte personer fra utskriften av hensyn til deres personvern». Det er ikke vanlig å sladde personnavn på dem i forvaltningen som jobber med et prosjekt, og det er ingen hjemmel i offentleglova for å unnta personopplysninger som sådan, det må være snakk om sensitive personopplysninger.

Dere sier dere har mer dokumentasjon som angår informasjonssikkerhet i Medisinsk
fødselsregister som brukes internt i Folkehelseinstituttet, som dere velger å unnta i sin helhet med henvisning til § 14 første ledd.

Jeg vil gjerne vite hva slags dokumentasjon det er snakk om, og ber derfor i tråd med offentleglova § 3 første ledd andre punktum om en dokumentliste/saksomslag som viser hvilke dokumenter som er unntatt.

Unntak etter offl. § 14 første ledd krever at dokumentet er utarbeidet til organets interne saksforberedelse. Forutsetningen er normalt at organet har utarbeidet dokumentet selv, at dokumentet ikke er sendt ut av organet og at det er ment for den interne saksforberedelsen. Dersom dere eksempelvis har fått rådgivning av eksterne sikkerhetskonsulenter, hatt dialog med Datatilsynet eller liknende, kan dette ikke unntas med henvisning til § 14.

Imidlertid viser dere også til hensynet til informasjonssikkerheten. Dette er ikke regulert i § 14, men i § 24 tredje ledd. Denne unntakshjemmelen gjelder kun opplysninger og ikke hele dokumenter. Justisdepartementet skriver følgende i sin rettleder til offentlighetsloven om dette unntaket:

«Kjerneområdet for unntaket er opplysningar om konkrete sikringstiltak eller detaljert informasjon om vaktrutinar, alarmanlegg osv. Generell og nøytral informasjon om byggjemateriale, rominndeling, storleik osv. vil som regel ikkje vere omfatta av unntaket, sjølv om dette kan vere til hjelp ved straffbare handlingar»

Det betyr slik jeg tolker det at dere ikke skal gi ut passord, IP-adresser til servere og liknende, men at dere må gi ut mer generell informasjon, f.eks. om hvilken type kryptering som er brukt, hvordan data lagres, hvor mange som har tilganger og hvilken sikkerhetsklarering disse har o.l.

§ 24 tredje ledd er et kan-unntak, det vil si at selv om det er hjemmel for å unnta, så skal dere utøve merinnsyn etter § 11:

«Når det er høve til å gjere unntak frå innsyn, skal organet likevel vurdere å gi heilt eller delvis innsyn. Organet bør gi innsyn dersom omsynet til offentleg innsyn veg tyngre enn behovet for unntak.»

Etter vårt syn må det tillegges vekt i en merinnsynsvurdering at dette er viktige opplysninger for samfunnet å få tilgang til, og at dette veier tyngre enn behovet for å unnta. Såkalt «security by obscurity» regnes av sikkerhetseksperter som en svært dårlig modell for sikkerhet, og dersom FHI mener de har god sikkerhet og samtidig unntar såpass mye som de gjør, viser det etter vårt syn i seg selv at sikkerheten ikke er god nok. De sterkeste krypteringsalgoritmene, slik som AES, er f.eks. offentlig tilgjengelig for analyse, og det er nettopp dette som gir god sikkerhet. Det betyr ikke at vi skal ha innsyn i detaljerte opplysninger, men dere bør kunne gi ut noe mer.

Det er verdt å minne om at det var nettopp innsynskrav etter offentleglova som avslørte den dårlige sikkerheten med stemmeopptellingen i forbindelse med forrige stortingsvalg, og som gjorde at Valgdirektoratet måtte skjerpe seg. Direktoratet ga ut en sladdet utgave av dokumentene, og det her ikke medført noe datainnbrudd at de gjorde det. Etter vårt syn har borgerne krav på å få vite mer om hvor sikkert eller ikke deres opplysninger lagres enn det som er gitt i dokumentet dere har oversendt.

I tråd med offentleglova § 31 andre ledd ber jeg på bakgrunn av redegjørelsen over om en nærmere begrunnelse for avslaget der hovedhensyn som har vært avgjørende for avslag er angitt:

«Den som har fått avslag, kan innan tre veker frå avslaget vart motteke, krevje ei nærare grunngiving for avslaget der hovudomsyna som har vore avgjerande for avslaget, skal nemnast. Organet skal gi skriftleg grunngiving snarast råd og seinast innan ti arbeidsdagar etter at kravet vart motteke.»

Videre ber jeg om at den utvidede begrunnelsen er juridisk korrekt og i tråd med formkravene i offentleglova, som krever at hjemmel for unntak spesifiseres med henvisning til ledd, bokstav eller nummer i paragrafene unntak hjemles i.

Viser her til offentleglova § 31 første ledd som foreskriver:

«Avslag på innsynskrav skal vere skriftleg. Organet skal alltid vise til den føresegna som gir grunnlag for avslaget, og til kva ledd, bokstav eller nummer i føresegna som er brukt. Dersom § 13 er grunnlag for avslaget, skal organet også vise til føresegna som pålegg teieplikt. Byggjer avslaget på forskrift, må organet opplyse om dette, og kva punkt i forskrifta avslaget byggjer på. Avslaget skal også opplyse om høvet til å klage og om klagefristen.»

Det følger av offentleglova § 31 at dere ikke kan gi ferdige, generelle svar, dersom disse ikke angir hovedhensynene som er relevante i den aktuelle saken.

Minner også om at man ikke kan unnta hele dokumenter uten å samtidig vise til en av bokstavene i § 12 for flere av hjemlene. Det er nærmere angitt i Justisdepartementets rettleiar til offentleglova, øverst på s. 69:

«I føresegnene i offentleglova § 13, § 15 andre ledd, §§ 20 og 21, § 22 andre punktum, § 23 fyrste og andre ledd, § 24 fyrste og tredje ledd og § 26 andre ledd, tredje ledd andre punktum og fjerde ledd er unntakshøvet knytt til opplysningar.»

Om det ikke er grunnlag for å bruke § 12 skal dokumentet sladdes og gis ut. Minner i denne sammenhengen om punkt 5.2 i rettleiaren: «Ved praktiseringa av § 12 er det viktig å vere merksam på at reglane i den nye lova som knytter unntakshøvet til opplysningar, er innførde for å oppnå auka innsyn, og at det klare utgangspunktet er at resten av dokumentet skal vere offentleg. Offentleglova § 12 må ikkje praktiserast slik at dette utgangspunktet blir undergrave.»

Anmoder om at dere gjør dere kjent med aktuelle kapitler i Justisdepartementets rettleiar til offentleglova i forbindelse med utarbeidelsen av svaret.

Ber om en snarlig tilbakemelding slik at jeg får et bedre grunnlag for evt. å påklage deres avgjørelse.

Dere har ikke anledning til å bruke mer enn 10 virkedager på å utarbeide den utvidede begrunnelsen.

Med vennlig hilsen,

Mona Olsen

Kjære Folkehelseinstituttet,

Vær så snill å send denne videre til personen som vurderer innsynskrav.

Jeg skriver angående Folkehelseinstituttet sin håndtering av min innsynshenvendelse «Sikkerhet i medisinsk fødselsregister».

Den 7. juni ba jeg etter bestemmelsene i offentleglova om innsyn i dokumentasjon som beskriver de konkrete tiltak som er iverksatt for å etterleve Medisinsk fødselsregisterforskriften § 4-2.

Først 22. juni, altså 12 dager etter dere egentlig skulle ha svart, fikk jeg svar. Dere har ikke vurdert merinnsyn og opplyser heller ikke om klageadgang og klagefrist slik dere skal i henhold til offentleglova § 31 første ledd.

Dere har gitt meg et dokument som beskriver systemforvaltningsmodellen for Medisinsk fødselsregister. Uten å henvise til unntakshjemmel i offentleglova har dere «sladdet navngitte personer fra utskriften av hensyn til deres personvern». Det er ikke vanlig å sladde personnavn på dem i forvaltningen som jobber med et prosjekt, og det er ingen hjemmel i offentleglova for å unnta personopplysninger som sådan, det må være snakk om sensitive personopplysninger.

Dere sier dere har mer dokumentasjon som angår informasjonssikkerhet i Medisinsk
fødselsregister som brukes internt i Folkehelseinstituttet, som dere velger å unnta i sin helhet med henvisning til § 14 første ledd.

Jeg vil gjerne vite hva slags dokumentasjon det er snakk om, og ber derfor i tråd med offentleglova § 3 første ledd andre punktum om en dokumentliste/saksomslag som viser hvilke dokumenter som er unntatt.

Unntak etter offl. § 14 første ledd krever at dokumentet er utarbeidet til organets interne saksforberedelse. Forutsetningen er normalt at organet har utarbeidet dokumentet selv, at dokumentet ikke er sendt ut av organet og at det er ment for den interne saksforberedelsen. Dersom dere eksempelvis har fått rådgivning av eksterne sikkerhetskonsulenter, hatt dialog med Datatilsynet eller liknende, kan dette ikke unntas med henvisning til § 14.

Imidlertid viser dere også til hensynet til informasjonssikkerheten. Dette er ikke regulert i § 14, men i § 24 tredje ledd. Denne unntakshjemmelen gjelder kun opplysninger og ikke hele dokumenter. Justisdepartementet skriver følgende i sin rettleder til offentlighetsloven om dette unntaket:

«Kjerneområdet for unntaket er opplysningar om konkrete sikringstiltak eller detaljert informasjon om vaktrutinar, alarmanlegg osv. Generell og nøytral informasjon om byggjemateriale, rominndeling, storleik osv. vil som regel ikkje vere omfatta av unntaket, sjølv om dette kan vere til hjelp ved straffbare handlingar»

Det betyr slik jeg tolker det at dere ikke skal gi ut passord, IP-adresser til servere og liknende, men at dere må gi ut mer generell informasjon, f.eks. om hvilken type kryptering som er brukt, hvordan data lagres, hvor mange som har tilganger og hvilken sikkerhetsklarering disse har o.l.

§ 24 tredje ledd er et kan-unntak, det vil si at selv om det er hjemmel for å unnta, så skal dere utøve merinnsyn etter § 11:

«Når det er høve til å gjere unntak frå innsyn, skal organet likevel vurdere å gi heilt eller delvis innsyn. Organet bør gi innsyn dersom omsynet til offentleg innsyn veg tyngre enn behovet for unntak.»

Etter vårt syn må det tillegges vekt i en merinnsynsvurdering at dette er viktige opplysninger for samfunnet å få tilgang til, og at dette veier tyngre enn behovet for å unnta. Såkalt «security by obscurity» regnes av sikkerhetseksperter som en svært dårlig modell for sikkerhet, og dersom FHI mener de har god sikkerhet og samtidig unntar såpass mye som de gjør, viser det etter vårt syn i seg selv at sikkerheten ikke er god nok. De sterkeste krypteringsalgoritmene, slik som AES, er f.eks. offentlig tilgjengelig for analyse, og det er nettopp dette som gir god sikkerhet. Det betyr ikke at vi skal ha innsyn i detaljerte opplysninger, men dere bør kunne gi ut noe mer.

Offentleglova er ikke laget for at dere skal dekke deres rygg, men for at borgerne skal kunne avdekke ting som manglende sikkerhet eller få rede på om sikkerheten faktisk er i tråd med forskriften.

Viser her til formålsparagrafen, offentleglova § 1:

«Formålet med lova er å leggje til rette for at offentleg verksemd er open og gjennomsiktig, for slik å styrkje informasjons- og ytringsfridommen, den demokratiske deltakinga, rettstryggleiken for den enkelte, tilliten til det offentlege og kontrollen frå ålmenta. Lova skal òg leggje til rette for vidarebruk av offentleg informasjon.»

Det er verdt å minne om at det var nettopp innsynskrav etter offentleglova som avslørte den dårlige sikkerheten med stemmeopptellingen i forbindelse med forrige stortingsvalg, og som gjorde at Valgdirektoratet måtte skjerpe seg. Direktoratet ga ut en sladdet utgave av dokumentene, og det her ikke medført noe datainnbrudd at de gjorde det. Etter vårt syn har borgerne krav på å få vite mer om hvor sikkert eller ikke deres opplysninger lagres enn det som er gitt i dokumentet dere har oversendt.

I tråd med offentleglova § 31 andre ledd ber jeg på bakgrunn av redegjørelsen over om en nærmere begrunnelse for avslaget der hovedhensyn som har vært avgjørende for avslag er angitt:

«Den som har fått avslag, kan innan tre veker frå avslaget vart motteke, krevje ei nærare grunngiving for avslaget der hovudomsyna som har vore avgjerande for avslaget, skal nemnast. Organet skal gi skriftleg grunngiving snarast råd og seinast innan ti arbeidsdagar etter at kravet vart motteke.»

Videre ber jeg om at den utvidede begrunnelsen er juridisk korrekt og i tråd med formkravene i offentleglova, som krever at hjemmel for unntak spesifiseres med henvisning til ledd, bokstav eller nummer i paragrafene unntak hjemles i.

Viser her til offentleglova § 31 første ledd som foreskriver:

«Avslag på innsynskrav skal vere skriftleg. Organet skal alltid vise til den føresegna som gir grunnlag for avslaget, og til kva ledd, bokstav eller nummer i føresegna som er brukt. Dersom § 13 er grunnlag for avslaget, skal organet også vise til føresegna som pålegg teieplikt. Byggjer avslaget på forskrift, må organet opplyse om dette, og kva punkt i forskrifta avslaget byggjer på. Avslaget skal også opplyse om høvet til å klage og om klagefristen.»

Det følger av offentleglova § 31 at dere ikke kan gi ferdige, generelle svar, dersom disse ikke angir hovedhensynene som er relevante i den aktuelle saken.

Minner også om at man ikke kan unnta hele dokumenter uten å samtidig vise til en av bokstavene i § 12 for flere av hjemlene. Det er nærmere angitt i Justisdepartementets rettleiar til offentleglova, øverst på s. 69:

«I føresegnene i offentleglova § 13, § 15 andre ledd, §§ 20 og 21, § 22 andre punktum, § 23 fyrste og andre ledd, § 24 fyrste og tredje ledd og § 26 andre ledd, tredje ledd andre punktum og fjerde ledd er unntakshøvet knytt til opplysningar.»

Om det ikke er grunnlag for å bruke § 12 skal dokumentet sladdes og gis ut. Minner i denne sammenhengen om punkt 5.2 i rettleiaren: «Ved praktiseringa av § 12 er det viktig å vere merksam på at reglane i den nye lova som knytter unntakshøvet til opplysningar, er innførde for å oppnå auka innsyn, og at det klare utgangspunktet er at resten av dokumentet skal vere offentleg. Offentleglova § 12 må ikkje praktiserast slik at dette utgangspunktet blir undergrave.»

Anmoder om at dere gjør dere kjent med aktuelle kapitler i Justisdepartementets rettleiar til offentleglova i forbindelse med utarbeidelsen av svaret.

Ber om en snarlig tilbakemelding slik at jeg får et bedre grunnlag for evt. å påklage deres avgjørelse.

Dere har ikke anledning til å bruke mer enn 10 virkedager på å utarbeide den utvidede begrunnelsen.

Komplett historie for min innsynshenvendelse og all korrespondanse er tilgjengelig via Internett fra denne adressen: https://www.mimesbronn.no/request/sikker...

Med vennlig hilsen,

Mona Olsen

Ebbing, Marta, Folkehelseinstituttet

Kjære Mona Olsen <[Innsyns-e-postadresse #973]>

Jeg viser til e-posten du sendte fredag 22. juni 2018 kl. 20:02, som jeg har begynt å jobbe med i dag. Jeg vil komme tilbake til deg med et utfyllende svar innen 10 virkedager medregnet i dag, mandag 25. juni 2018.

Vennlig hilsen
Marta Ebbing

-----Opprinnelig melding-----
Fra: Mona Olsen [mailto:[Innsyns-e-postadresse #973]]
Sendt: fredag 22. juni 2018 20.02
Til: Ebbing, Marta <[epostadresse]>
Emne: Re: Sak 18/11086 Innsyn etter offentleglova - Sikkerhet i Medisinsk fødselsregister - vedlegg MFR-RE-030

Kjære Ebbing, Marta,

Den 7. juni ba jeg etter bestemmelsene i offentleglova om innsyn i dokumentasjon som beskriver de konkrete tiltak som er iverksatt for å etterleve Medisinsk fødselsregisterforskriften § 4-2.

Først 22. juni, altså 12 dager etter dere egentlig skulle ha svart, fikk jeg svar. Dere har ikke vurdert merinnsyn og opplyser heller ikke om klageadgang og klagefrist slik dere skal i henhold til offentleglova § 31 første ledd.

Dere har gitt meg et dokument som beskriver systemforvaltningsmodellen for Medisinsk fødselsregister. Uten å henvise til unntakshjemmel i offentleglova har dere «sladdet navngitte personer fra utskriften av hensyn til deres personvern». Det er ikke vanlig å sladde personnavn på dem i forvaltningen som jobber med et prosjekt, og det er ingen hjemmel i offentleglova for å unnta personopplysninger som sådan, det må være snakk om sensitive personopplysninger.

Dere sier dere har mer dokumentasjon som angår informasjonssikkerhet i Medisinsk fødselsregister som brukes internt i Folkehelseinstituttet, som dere velger å unnta i sin helhet med henvisning til § 14 første ledd.

Jeg vil gjerne vite hva slags dokumentasjon det er snakk om, og ber derfor i tråd med offentleglova § 3 første ledd andre punktum om en dokumentliste/saksomslag som viser hvilke dokumenter som er unntatt.

Unntak etter offl. § 14 første ledd krever at dokumentet er utarbeidet til organets interne saksforberedelse. Forutsetningen er normalt at organet har utarbeidet dokumentet selv, at dokumentet ikke er sendt ut av organet og at det er ment for den interne saksforberedelsen. Dersom dere eksempelvis har fått rådgivning av eksterne sikkerhetskonsulenter, hatt dialog med Datatilsynet eller liknende, kan dette ikke unntas med henvisning til § 14.

Imidlertid viser dere også til hensynet til informasjonssikkerheten. Dette er ikke regulert i § 14, men i § 24 tredje ledd. Denne unntakshjemmelen gjelder kun opplysninger og ikke hele dokumenter. Justisdepartementet skriver følgende i sin rettleder til offentlighetsloven om dette unntaket:

«Kjerneområdet for unntaket er opplysningar om konkrete sikringstiltak eller detaljert informasjon om vaktrutinar, alarmanlegg osv. Generell og nøytral informasjon om byggjemateriale, rominndeling, storleik osv. vil som regel ikkje vere omfatta av unntaket, sjølv om dette kan vere til hjelp ved straffbare handlingar»

Det betyr slik jeg tolker det at dere ikke skal gi ut passord, IP-adresser til servere og liknende, men at dere må gi ut mer generell informasjon, f.eks. om hvilken type kryptering som er brukt, hvordan data lagres, hvor mange som har tilganger og hvilken sikkerhetsklarering disse har o.l.

§ 24 tredje ledd er et kan-unntak, det vil si at selv om det er hjemmel for å unnta, så skal dere utøve merinnsyn etter § 11:

«Når det er høve til å gjere unntak frå innsyn, skal organet likevel vurdere å gi heilt eller delvis innsyn. Organet bør gi innsyn dersom omsynet til offentleg innsyn veg tyngre enn behovet for unntak.»

Etter vårt syn må det tillegges vekt i en merinnsynsvurdering at dette er viktige opplysninger for samfunnet å få tilgang til, og at dette veier tyngre enn behovet for å unnta. Såkalt «security by obscurity» regnes av sikkerhetseksperter som en svært dårlig modell for sikkerhet, og dersom FHI mener de har god sikkerhet og samtidig unntar såpass mye som de gjør, viser det etter vårt syn i seg selv at sikkerheten ikke er god nok. De sterkeste krypteringsalgoritmene, slik som AES, er f.eks. offentlig tilgjengelig for analyse, og det er nettopp dette som gir god sikkerhet. Det betyr ikke at vi skal ha innsyn i detaljerte opplysninger, men dere bør kunne gi ut noe mer.

Det er verdt å minne om at det var nettopp innsynskrav etter offentleglova som avslørte den dårlige sikkerheten med stemmeopptellingen i forbindelse med forrige stortingsvalg, og som gjorde at Valgdirektoratet måtte skjerpe seg. Direktoratet ga ut en sladdet utgave av dokumentene, og det her ikke medført noe datainnbrudd at de gjorde det. Etter vårt syn har borgerne krav på å få vite mer om hvor sikkert eller ikke deres opplysninger lagres enn det som er gitt i dokumentet dere har oversendt.

I tråd med offentleglova § 31 andre ledd ber jeg på bakgrunn av redegjørelsen over om en nærmere begrunnelse for avslaget der hovedhensyn som har vært avgjørende for avslag er angitt:

«Den som har fått avslag, kan innan tre veker frå avslaget vart motteke, krevje ei nærare grunngiving for avslaget der hovudomsyna som har vore avgjerande for avslaget, skal nemnast. Organet skal gi skriftleg grunngiving snarast råd og seinast innan ti arbeidsdagar etter at kravet vart motteke.»

Videre ber jeg om at den utvidede begrunnelsen er juridisk korrekt og i tråd med formkravene i offentleglova, som krever at hjemmel for unntak spesifiseres med henvisning til ledd, bokstav eller nummer i paragrafene unntak hjemles i.

Viser her til offentleglova § 31 første ledd som foreskriver:

«Avslag på innsynskrav skal vere skriftleg. Organet skal alltid vise til den føresegna som gir grunnlag for avslaget, og til kva ledd, bokstav eller nummer i føresegna som er brukt. Dersom § 13 er grunnlag for avslaget, skal organet også vise til føresegna som pålegg teieplikt. Byggjer avslaget på forskrift, må organet opplyse om dette, og kva punkt i forskrifta avslaget byggjer på. Avslaget skal også opplyse om høvet til å klage og om klagefristen.»

Det følger av offentleglova § 31 at dere ikke kan gi ferdige, generelle svar, dersom disse ikke angir hovedhensynene som er relevante i den aktuelle saken.

Minner også om at man ikke kan unnta hele dokumenter uten å samtidig vise til en av bokstavene i § 12 for flere av hjemlene. Det er nærmere angitt i Justisdepartementets rettleiar til offentleglova, øverst på s. 69:

«I føresegnene i offentleglova § 13, § 15 andre ledd, §§ 20 og 21, § 22 andre punktum, § 23 fyrste og andre ledd, § 24 fyrste og tredje ledd og § 26 andre ledd, tredje ledd andre punktum og fjerde ledd er unntakshøvet knytt til opplysningar.»

Om det ikke er grunnlag for å bruke § 12 skal dokumentet sladdes og gis ut. Minner i denne sammenhengen om punkt 5.2 i rettleiaren: «Ved praktiseringa av § 12 er det viktig å vere merksam på at reglane i den nye lova som knytter unntakshøvet til opplysningar, er innførde for å oppnå auka innsyn, og at det klare utgangspunktet er at resten av dokumentet skal vere offentleg. Offentleglova § 12 må ikkje praktiserast slik at dette utgangspunktet blir undergrave.»

Anmoder om at dere gjør dere kjent med aktuelle kapitler i Justisdepartementets rettleiar til offentleglova i forbindelse med utarbeidelsen av svaret.

Ber om en snarlig tilbakemelding slik at jeg får et bedre grunnlag for evt. å påklage deres avgjørelse.

Dere har ikke anledning til å bruke mer enn 10 virkedager på å utarbeide den utvidede begrunnelsen.

Med vennlig hilsen,

Mona Olsen

Kjære Ebbing, Marta,

Takk, jeg ser frem til å få svaret.

Med vennlig hilsen,

Mona Olsen

Ebbing, Marta, Folkehelseinstituttet

3 Attachments

  • Attachment

    18 11086 6 Svar til Mona Larsen 2018 06 29.pdf

    332K Download View as HTML

  • Attachment

    18 11086 Innsyn etter offentleglova MFR Systemforvaltningsmodell sendt 2018 06 29.pdf

    513K Download View as HTML

  • Attachment

    18 11086 Innsyn etter offentleglova MFR System og brukerdokumentasjon sendt 2018 06 29.pdf

    2.8M Download View as HTML

Hei igjen,

Se vårt tilsvar til din e-post fra 22. juni kl. 20:02 vedlagt. Essensen i dette tilsvaret er at vi nå har vurdert saken på nytt, og kommet til at du kan få innsyn i alle relevante dokumenter som er vedlagt.

Du har klageadgang etter offl. § 32. En klage fremsettes til Folkehelseinstituttet som vil oversende klagen til Helse- og omsorgsdepartementet som rette klageinstans.

Vennlig hilsen
Marta Ebbing

-----Opprinnelig melding-----
Fra: Mona Olsen [mailto:[Innsyns-e-postadresse #973]]
Sendt: tirsdag 26. juni 2018 01.28
Til: Ebbing, Marta <[epostadresse]>
Emne: Re: SV: Sak 18/11086 Innsyn etter offentleglova - Sikkerhet i Medisinsk fødselsregister - ved 0TQM

Kjære Ebbing, Marta,

Takk, jeg ser frem til å få svaret.

Med vennlig hilsen,

Mona Olsen

vis sitert seksjon

Kjære Ebbing, Marta,

Sidene er utydelige og mange er feil vei.

Hadde det vært mulig å få et dokument av bedre kvalitet?

Hvorfor sier du det er klageadgang, dersom dere ikke har unntatt noe? Hva mener du med "alle relevante dokumener som vedlagt" ? Hva er det som ikke er "relevant" og ikke "vedlagt" og med hvilken hjemmel unntar dere dette?

Med vennlig hilsen,

Mona Olsen