1. Almennt

Klettabær ehf. (hér eftir Klettabær) starfar að öllu leyti í samræmi við lög um persónuvernd og meðferð persónuupplýsinga nr. 90/2018 (hér eftir lög um persónuvernd), sem tóku gildi 15. júlí 2018, sbr. reglugerð Evrópuþingsins og ráðsins (ESB) nr. 2016/679 sem kom til framkvæmda 25. maí 2018 á Evrópska efnahagssvæðinu.

Markmið persónuverndarstefnu Klettabæjar er að leggja ríka áherslu á persónuvernd með því að tryggja sanngjarna, lögmæta og gagnsæja vinnslu allra persónuupplýsinga sem unnið er með í starfsemi félagsins. Traust er lykilatriði í starfsemi Klettabæjar og er því lögð mikil áhersla á það í rekstri félagsins að tryggja trúnað, áreiðanleika og örugga meðferð persónuupplýsinga.

Persónuverndarstefnan tekur til persónuupplýsinga hvort sem þeim er safnað og þær varðveittar á pappír, með rafrænum hætti eða með öðrum hætti. Þá tekur stefnan til hvers konar vinnslu á persónuupplýsingum sem fram fer á vegum Klettabæjar.

Persónuupplýsingar eru skilgreindar sem sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling, þ.e. upplýsingar sem hægt er að rekja beint eða óbeint til ákveðins einstaklings.

2. Persónuverndarfulltrúi

Hjá Klettabæ starfar persónuverndarfulltrúi sem hefur sérþekkingu á sviði persónuverndar. Persónuverndarfulltrúi félagsins er Silja Katrín Agnarsdóttir lögfræðingur.
Hlutverk persónuverndarfulltrúa er m.a. að fylgjast með því að farið sé að gildandi löggjöf um persónuvernd og að þessari persónuverndarstefnu sé fylgt í hvívetna. Einnig sér persónuverndarfulltrúi um þjálfun og fræðslu til starfsfólks. Persónuverndarfulltrúi veitir enn fremur ráðgjöf varðandi mat á áhrifum á persónuvernd og fylgist með framkvæmd þess.

3. Vinnsla upplýsinga

Öll móttaka, söfnun, varðveisla og vinnsla persónuupplýsinga sem fram fer á vegum Klettabæjar byggist á lögmætum og nauðsynlegum tilgangi. Þá leggur Klettabær sig fram við að gæta að meginreglum laga um persónuvernd, þ.e. lögmætisreglunni, tilgangsreglunni, meðalhófsreglunni, áreiðanleikareglunni og varðveislureglunni. Þannig er t.a.m. leitast við safna aðeins þeim persónuupplýsingum sem nauðsynlegar eru til að ná fram því markmiði sem að er stefnt með vinnslu þeirra. Einnig er leitast við að halda persónuupplýsingum nákvæmum og áreiðanlegum og uppfæra þær eftir þörfum.
Eftirfarandi eru dæmi um upplýsingar sem Klettabær vinnur um einstaklinga í tengslum við starfsemi félagsins:
Þjónustunotendur: Við upphaf vistunar hjá Klettabæ miðlar viðkomandi sveitarfélag persónuupplýsingum til Klettabæjar á grundvelli gildandi vinnslusamnings milli aðila og laga nr. 86/2021 um samþættingu þjónustu í þágu farsældar barna. Þær persónuupplýsingar eru t.a.m. nafn, kennitala, nöfn nánustu aðstandenda og heilsufarsupplýsingar o.fl.

Þá kann Klettabæ enn fremur að vera nauðsynlegt að afla eða móttaka persónuupplýsingar um þjónustunotendur á meðan á vistunartíma stendur. Öflun upplýsinga er einungis framkvæmd til að ná því markmiði að veita sem besta þjónustu og koma til móts við einstaklingsmiðaðar þarfir hvers og eins.
Starfsmenn: Undir persónuupplýsingar um starfsmenn falla t.a.m. upplýsingar um nafn, kennitölu, heimilisfang, símanúmer og netfang. Persónuupplýsingar sem unnar eru um starfsmenn félagsins miða m.a. að því markmiði að ráða hæft starfsfólk til starfa, halda utan um verkefni, viðveru og afköst starfsmanna í tengslum við vinnu þeirra hjá félaginu. Auk þess kann félagið að vinna persónuupplýsingar um starfsmenn í tengslum við aðgangsstýringu að persónugreinanlegum upplýsingum um þjónustunotendur félagsins.

4. Skrá yfir vinnslu

Klettabær heldur skrá yfir vinnslu persónuupplýsinga. Í vinnsluskrá Klettabæjar kemur m.a. fram nafn ábyrgðaraðila, tilgangur vinnslunnar, lýsing á flokkum persónuupplýsinga og varðveislutími.

5. Gagna öryggi, aðgangsstjórnun, trúnaðar og þagnarskylda

Klettabær leggur ríka áherslu á að þjónustunotendur og starfsmenn félagsins upplifi sig örugga í starfsemi og daglegum rekstri félagsins. Til að tryggja það markmið nýtir Klettabær í starfsemi sinni innra eftirlitskerfi sem á að tryggja að ávallt skulu gerðar viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir sem taka mið af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu fyrir réttindi og frelsi skráðra einstaklinga.
Upplýsingar um einstaka þjónustunotendur félagsins eru eingöngu aðgengilegar, og aðeins eftir þörfum, því starfsfólki sem vinnur með viðkomandi þjónustunotanda.

Allir starfsmenn sem starfa hjá félaginu eru bundnir þagnarskyldu um allt sem þeir kunna að verða áskynja um í störfum sínum hjá félaginu. Félagið leggur mikla áherslu á að upplýsa starfsfólk sitt með reglubundnum hætti um þær verklagsreglur sem gilda í rekstri félagsins og varða persónuvernd og öryggi upplýsinga.
Þá er gætt fyllsta trúnaðar og farið að öllum reglum um vernd persónuupplýsinga þegar nýjar starfsumsóknir eru mótteknar af félaginu.
Klettabær hefur virkt eftirlit með störfum starfsmanna sinna og áskilur félagið sér rétt til þess að tilkynna brot á þagnarskyldu sem félagið kann að verða áskynja um til viðeigandi yfirvalda.

Eftirlit Klettabæjar er m.a. fólgið í því að allur aðgangur starfsmanna að rafrænum persónuupplýsingum um þjónustunotendur félagsins er skráður í gagnagrunn svo hægt sé að fylgjast með því hverjir hafa fært inn upplýsingar um tiltekna þjónustunotendur.

6. Varðveisla og eyðing persónuupplýsinga

Klettabær leitast við að tryggja að vinnsla félagsins á persónuupplýsingum, þ.m.t. vistun og önnur varðveisla sem og eyðing, sé í samræmi við ákvæði laga um persónuvernd. Þegar þjónustunotandi hættir í úrræði hjá Klettabæ er afrit af nauðsynlegum persónuupplýsingum um viðkomandi sendar til viðeigandi sveitarfélags sé þess óskað. Að meginstefnu til er öllum persónuupplýsingum eytt í kjölfarið nema lög standi til annars.

Ef möguleiki er á að persónuupplýsinga kunni að vera þörf síðar til að uppfylla lagaskyldur, t.d. gagnvart skattyfirvöldum, eða til að höfða eða verjast réttarkröfu, mun Klettabær, þrátt fyrir framangreint, taka afrit af hlutaðeigandi persónuupplýsingum og varðveita þær á öruggu formi eins lengi og nauðsyn ber til.

7. Miðlun persónuupplýsinga til þriðju aðila

Klettabær mun ekki afhenda persónuupplýsingar um þjónustunotendur félagsins til þriðju aðila nema miðlun upplýsinganna sé nauðsynleg fyrir þjónustunotandann og þá aðeins í þeim tilgangi að tryggja öryggi/réttindi þjónustunotandans. Dæmi um slíkt gæti verið að þjónustunotandi þurfi á sérfræðiaðstoð að halda, t.a.m. aðstoð lögreglu eða innlögn á sjúkrahús.

Klettabær áskilur sér þó rétt til þess að afhenda persónuupplýsingar um þjónustunotendur og starfsmenn félagsins ef félaginu ber skylda til þess samkvæmt lögum.

8. Réttindi þjónustuþega og starfsmanna

Þjónustunotendur og starfsmenn félagsins eiga rétt á að fá staðfest hvort og þá hvaða persónuupplýsingar unnið er með á vegum félagsins og ef svo er aðgangi að þeim upplýsingum auk upplýsinga um það hvernig vinnslu þeirra og öryggi er háttað.

Þjónustunotendur og starfsmenn félagsins eiga einnig rétt á því að persónuupplýsingar um sig séu leiðréttar og/eða uppfærðar og að persónuupplýsingum um sig sé eytt, ef ekki er lengur nauðsynleg, lögmæt eða málefnaleg ástæða til að varðveita þær miðað við vinnsluna.

Framangreind réttindi þjónustunotenda og starfsmanna eru þó ekki fortakslaus. Þannig kunna lög að skylda félagið til að hafna ósk um eyðingu eða aðgang að gögnum. Þá getur félagið hafnað beiðni viðkomandi s.s. vegna réttinda annarra aðila til friðhelgi einkalífs eða á grundvelli hugverkaréttar, telji félagið þau réttindi vega þyngra.

Ef upp koma aðstæður þar sem að félagið getur ekki orðið við beiðni viðkomandi mun félagið leitast við að útskýra ástæður þess að beiðni hefur verið hafnað, þó með tilliti til takmarkana á grundvelli lagaskyldu.

Beiðni um framangreint skal beina til persónuverndarfulltrúa félagsins sem sér um að koma beiðninni áfram til félagsins. Beiðni um upplýsingar verður tekin til greina og upplýsingar afhentar (þegar slíkt á við) eins fljótt og auðið er, þó með takmörkunum vegna réttinda og frelsis annarra einstaklinga.

9. Tilkynning um öryggisbrot

Ef upp kemur öryggisbrot er varðar persónuupplýsingar mun Klettabær tilkynna slíkt um leið og kostur er til Persónuverndar. Einnig mun Klettabær tilkynna viðkomandi skráðum einstaklingi án ótilhlýðilegrar tafar, hafi slíkt í för með sér áhættu fyrir þann einstakling er um ræðir. Með öryggisbroti í framangreindum skilningi er átt við brot á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga eða að þær glatist, verði birtar eða aðgangur veittur að þeim í leyfisleysi.

Tilkynna skal um öll frávik vegna persónuverndar án tafar til persónuverndarfulltrúa félagsins eða til starfsmanns Klettabæjar sem kemur þá upplýsingunum áfram til persónuverndarfulltrúa.

10. Ábyrgð

Klettabær ber ábyrgð á vinnslu persónuupplýsinga og meðferð þeirra upplýsinga í starfsemi sinni.

11. Fyrirspurnir, athugasemdir og ábendingar

Fyrirspurnum, athugasemdum og ábendingum um persónuverndarstefnu þessa eða vinnslu Klettabæjar á persónuupplýsingum að öðru leyti skal beina til persónuverndarfulltrúa félagsins með tölvupósti á netfangið: siljakatrin@klettabaer.is.

12. Samvinna um persónuvernd

Persónuvernd annast eftirlit með framkvæmd laga um persónuvernd og hefur sérhver skráður einstaklingur eða fulltrúi hans rétt til að leggja fram kvörtun hjá stofnuninni ef hann telur að vinnsla persónuupplýsinga í félaginu brjóti í bága við lög. Félagið skal, að fenginni beiðni Persónuverndar, hafa samvinnu við stofnunina við framkvæmd verkefna hennar.

13. Breytingar

Öryggis- og persónuverndarstefna Klettabæjar er endurskoðuð reglulega til að tryggja að ýtrustu kröfum sé ávallt fylgt í starfsemi félagsins við vinnslu persónuupplýsinga og kann því að taka breytingum. Breytingar öðlast gildi við birtingu á heimasíðu Klettabæjar: klettabaer.is.

Fyrst samþykkt: 15. júlí 2018.
Síðast breytt: 30. janúar 2023.
Klettabær ehf.