Rundskriv 2023/7

Tilskudd til veterinærreiser – forvaltningsansvar og saksbehandling

Informasjonssikkerheten i søknads- og saksbehandlingssystemet og mot samhandlende systemer og tjenester har høy oppmerksomhet.

Gjennom ulike tekniske og organisatoriske tiltak vurderer vi at søknads- og saksbehandlings­systemet har et tilstrekkelig sikkerhetsnivå i forhold til:

• Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende.
• Integritet – at informasjonen ikke blir endret utilsiktet eller av uvedkommende.
• Tilgjengelighet – at informasjonen er tilgjengelig.

Følgende tekniske og organisatoriske informasjonssikkerhetstiltak er gjennomført:

• Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende.
• Integritet – at informasjonen ikke blir endret utilsiktet eller av uvedkommende.
• Tilgjengelighet – at informasjonen er tilgjengelig.

Følgende tekniske og organisatoriske informasjonssikkerhetstiltak er gjennomført

• Risiko og sårbarhetsanalyse, samt trusselmodellering for identifikasjon og prioritering av tiltak
• Implementert 2-faktor brukerautentisering.
• Implementert API-nøkler mot eksterne tjenester, inkl. rutiner for bytting av nøkler.
• All informasjonsflyt som går over internett, er kryptert (https).
• Kryptert database og kryptering på transportlaget, både mellom nettleser og applikasjon og applikasjon og database.
• Kontroll av verdier i reiser og merking av reiser som ligger utenfor forventede verdier til manuell behandling i saksbehandlingssystemet Agros.
• Avstemming mellom søknads- og saksbehandlingssystemet for å sjekke at alle søknader er hentet fra søknads- til saksbehandlingssystemet Agros.
• Avstemming mellom søknads- og saksbehandlingssystemet Agros for å sjekke at søknader med innhold i søknadssystemet er hentet til saksbehandlingssystemet Agros.
• Diverse valideringer på input fra bruker (lovlige verdier, filtyper etc.).
• Rutiner som sikrer oppdatering av gjeldende satser, tilskuddstak mv. samt endringer i regelverket.
• Monitoreringsverktøy og hendelseslogg som sikrer rask varsling og mulighet for feilsøking ved eventuelle feilsituasjoner.
• Databehandleravtale med Animalia og Norkart som regulerer bruken av dataene (ingen sensitive personopplysninger behandles i løsningen).
• Driftsavtale med Animalia som definerer krav til informasjonssikkerhet.
• Driftsavtale med Norkart som definerer krav til informasjonssikkerhet.

For flere detaljer om informasjonssikkerheten, kan forespørsel om dette rettes til support@landbruksdirektoratet.no.

11.2 Behandling av personopplysninger

Både Landbruksdirektoratet og statsforvalterne har utarbeidet personvern-erklæringer som gir informasjon om hvordan virksomhetene behandler personopplysninger som samles inn i forbindelse med forvaltningen av tilskudd til veterinærreiser:

• Landbruksdirektoratets personvernerklæring
• Personvernerklæringen for Statsforvalteren og Statsforvalterens fellestjenester

11.2 Utlevering av personopplysninger 

Statsforvalteren kan få spørsmål om å utlevere personopplysninger fra saker i systemer som Landbruksdirektoratet drifter eller forvalter. Utlevering er en type behandling av personopplysninger etter personvernregelverket. I henhold til dette regelverket er det den behandlingsansvarlige som må vurdere om personopplysninger er unntatt offentlighet eller ikke og dermed om de kan utleveres dersom noen ber om innsyn i dokumenter der opplysningene forekommer.

Med behandlingsansvarlig menes den som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.

Når statsforvalteren behandler personopplysninger i forbindelse med at de utfører pålagte oppgaver, er det statsforvalteren som er behandlingsansvarlig. Dette gjelder også når Landbruksdirektoratet drifter eller forvalter systemene.

I saker om tilskudd til veterinærreiser så må derfor Statsforvalteren selv vurdere om de kan utlevere de aktuelle personopplysningene eller ikke.