Bakgrunn og begrunnelse for prosjektet
I henhold til personopplysningsloven skal det meldes inn til personvernombudet dersom man behandler personopplysninger i administrativ sammenheng. For etterlevelse av dette ble det i 2004 utarbeidet et system for å holde oversikt over alle innmeldte behandlinger ved UiO. Systemet har fungert både som en portal for å melde inn behandlinger samt vært et startsted for gjennomføring av internkontroll. Dette systemet anses i dag å være utdatert og har i tillegg en rekke svakheter:
Tett knytning mellom person og behandling
I dagens løsning er innmeldte behandlinger tett knyttet opp mot personen som er oppført som ansvarlig for den enkelte behandling. Dersom denne personen bytter enhet ved UiO vil den innmeldte behandlingen følge personen og ikke bli værende igjen ved enheten hvor behandlingen ble utført. Dersom personen slutter ved UiO vil den innmeldte behandlingen mangle persontilknytning, og det er arbeidskrevende å plassere inn en ny ansvarlig person. Det er derfor ønskelig at innmeldte behandlinger i stedet knyttes opp mot enheten den utføres ved fremfor personen som meldte den inn.
Kobling til arkiv
I dagens løsning finnes det ingen kobling mot arkiv. Dette gjør at det ikke finnes en knytning mellom innmeldte behandlinger og relevante arkiverte dokumenter. Det er derfor ønskelig med mulighet for å legge inn ephorte-referanser i den nye løsningen.
Manglende mulighet for saksbehandling
I dagens løsning er det ikke lagt opp til mulighet for noen form for saksbehandling. Det ville være ønskelig med noen enkle fritekstfelter knyttet til hver enkelt innmelding for å kunne se hvordan innmeldingen er fulgt opp tidligere samt at man kan legge ved kommentarer og lignende underveis.
Utdatert grensesnitt
Grensesnittet i dagens løsning bærer preg av at den ble utviklet i 2004 og det er derfor ønskelig med et mer moderne og dynamisk utseende.
Det er svakhetene ved dagens løsning som er bakgrunnen for oppstart av prosjektet. Disse er også spesifisert i SKAIT-søknaden.
Mål og ønskede gevinster
| Nivå | Beskrivelse | Suksesskriterier |
|---|---|---|
| Mål for UiO som dette prosjektet bidrar til oppfyllelsen av |
|
|
| Effektmål |
|
|
| Resultatmål |
|
|
Rammebetingelser
Både prosjektet og den avsluttende leveransen må forholde seg til personopplysningslovens krav til kontroll og oversikt.
På bakgrunn av at det er tildelt 315.000kr (ref. punkt 10), innebærer det at prosjektet har 500 timer til disposisjon for gjennomføring av alt prosjektarbeidet. Dette legger føringer for hvor omfattende bakgrunnsarbeid som kan gjøres og hvor mye funksjonalitet som vil kunne finnes i den nye løsningen. Prosjektet vil derfor sees i sammenheng med prosjekt for oversikt over helseforskning som har som formål å utarbeide et IT-system for å få oversikt over alle helseforskningsprosjekter ved UiO. Løsningene vil ha mange likhetstrekk som gjør det relevant at dette prosjektet følger de tekniske valgene som helseforskningsprosjektet tar. Dette er hensiktsmessig for å kunne forvalte prosjektets 500 timer på best mulig måte.
Prosjektets leveranser og avgrensninger
| Leveranse | Beskrivelse |
|---|---|
| Løsningsbeskrivelse |
Løsningsbeskrivelsen skal bestå av følgende elementer:
|
| System for oversikt over behandling av personopplysninger | I tillegg til å utvikle løsningen, vil det bli gjennomført en migrering av innholdet fra dagens løsning over til det nye systemet. Dette betyr at når systemet tas i bruk, vil data fra dagens løsning ligge inne og brukere vil kun trenge å melde inn nye behandlinger av personopplysninger utført etter lanseringsdato. |
| Avgrensning | Beskrivelse |
|---|---|
| Prosjektet skal ikke ta ansvar for innføring av systemet hos de ulike miljøene | Ettersom det allerede foreligger et system som for oversikt og innmelding av behandlinger av personopplysninger, vil ikke prosjektet ta ansvar for en ny innføring av et nytt system. Personvernombudet må derfor selv ta ansvar for innføringen hos de ulike miljøene. |
| Prosjektet skal ikke ta ansvar for opplæring i lovverket | Prosjektet skal ikke ta ansvar for opplæring i personopplysningsloven, da dette ligger utenfor prosjektets mandat. Kunnskap om lovverk er det personvernombudet som må bistå brukerne med. |
| Systemet skal ikke integreres mot andre lignende oversikter slik som SKAITs oversikt over applikasjoner eller system for oversikt over helseforskningsprosjekter | For at kompleksiteten ikke skal bli for stor, vil ikke systemet som prosjektet skal utarbeide integreres mot for eksempel SKAITs oversikt over applikasjoner eller system for oversikt over helseforskningsprosjekter. Det er likevel nærliggende at dette kan gjøres på sikt, men at det i så tilfelle vil bli gjennomført som et eget prosjekt etter avslutningen av dette. |
Vurdering av prosjektets usikkerheter
| Usikkerhet | Beskrivelse | Tiltak |
|---|---|---|
| Forsinkelser i prosjekt for oversikt over helseforskning | Forsinkelser i prosjektet for oversikt over helseforskning vil kunne forsinke dette prosjektet. | Samme prosjektleder i begge prosjektene gjør at en til enhver tid har oversikt over fremgangen i helseforskningsprosjektet. |
| Andre prosjekter får høyere prioritet | Ettersom prosjektet ikke er et av webseksjonens høyest prioriterte prosjekter, vil det være en mulighet for at andre prosjekter kommer inn med høyere prioritet. Dette kan forsinke prosjektet. | Legge smidige planer som enkelt kan reorganiseres og tilpasses den endrede prioriteringen. |
| Endrede arbeidsforhold i Webseksjonen | Sykdom/oppsigelse/endrede arbeidsforhold vil potensielt kunne forsinke fremgangen i prosjektet. | Sørge for at deltakere i prosjektgruppen har overlappende kunnskaper slik at frafall av ressurspersoner ikke forsinker prosjektet. |
| Manglende avgrensninger | Manglende avgrensninger vil kunne føre til uklarheter omkring hva prosjektet faktisk skal levere, som igjen vil kunne gi ulike forventninger til prosjektet. | Utarbeide så tydelige avgrensinger som mulig, men ha et kontinuerlig fokus på å jobbe og oppdatere dem der hvor det anses som nødvendig. |
| Tilgjengelighet blant jurister og oppdragsgiver | Tilgjengelighet blant juristene og oppdragsgiver vil kunne forsinke prosjektet, da disse har sentrale roller i bruk av løsningen. |
Sette av god tid i forkant for gjennomføring av møter. De må forplikte seg i forhold til planverket. |
Valg av alternativ kost/nytte-vurdering
En mulig alternativ løsning ville være å ikke gjennomføre prosjektet, slik at det ikke blir utarbeidet en ny oversikt over behandlinger av personopplysninger.
Grov tidsplan og milepæler
| Fase | Tidsperspektiv | Milepæl |
|---|---|---|
| Konseptfase |
18. november 2016 – 10. Mars 2017 |
Mandat er utarbeidet og godkjent |
| Prosjektbeskrivelse er utarbeidet og godkjent | ||
| Planleggingsfase | 13.mars 2017 - 24. mars 2017 | Detaljert prosjektplan er utarbeidet og godkjent |
| Gjennomføringsfase | 27. Mars 2017 – 15. september 2017 | Konseptuell løsningsbeskrivelse er utarbeidet og godkjent |
| Teknisk løsningsbeskrivelse er utarbeidet og godkjent | ||
| System for oversikt over behandling av personopplysninger er utviklet | ||
| System for behandling av personopplysninger er brukertestet | ||
| Innhold fra dagens løsning er migrert fra eksisterende til nytt system | ||
| System for behandling av personopplysninger er i drift | ||
| Avslutningsfase | 4. september 2017 – 15. September 2017 | Sluttrapport er utarbeidet og godkjent |
Organisering, roller og ansvar
Prosjektet vil eies av Even Halvorsen.
Ledelsen av prosjektet vil bli ivaretatt av Sandra Nilsen som skal arbeide i prosjektgruppen sammen med interaksjonsdesigner Rikke Julie Foss-Pedersen og gruppeleder Magnus Korvald. Rikke vil være ansvarlig for den konseptuelle løsningsbeskrivelsen, mens Magnus vil være ansvarlig for den tekniske løsningsbeskrivelsen samt koordinering og oppfølging av utviklerne ved utviklingen av systemet.
Både oppdragsgiver Morten Opsal, personvernombud for administrative behandlinger og Maren Jegersberg ved USIT vil bli involvert gjennom hele prosjektet. De vil ha ansvar for å sørge for at systemet når opp til personopplysningslovens krav om oppfølging samt løser de utfordringene som finnes ved dagens løsning.
Interessenter og målgrupper
Prosjektets målgrupper
- Personvernombud
- Juristene ved USIT
Systemets målgrupper
- Eiere av tidligere behandlinger
- Systemeiere