Ábyrgðaraðili
Lyfjastofnun ber ábyrgð á söfnun og skráningu persónuupplýsinga og meðferð þeirra upplýsinga í starfsemi stofnunarinnar. Lyfjastofnun þarf að vinna ákveðnar persónuupplýsingar til að geta uppfyllt hlutverk og skyldur stofnunarinnar samkvæmt lögum sem um starfsemi stofnunarinnar gilda.
Hvaða persónuupplýsingar vinnur Lyfjastofnun?
Lyfjastofnun safnar persónuupplýsingum á grundvelli mismunandi lagaákvæða. Persónuupplýsingar berast frá einstaklingum, heilbrigðisstarfsfólki, eftirlitsþegum, fyrirtækjum, starfsmönnum, umsækjendum um störf og frá öðrum opinberum stofnunum. Lyfjastofnun leggur áherslu á að söfnun persónuupplýsinga gangi ekki lengra en þörf er á hverju sinni til að sinna því hlutverki sem stofnuninni er ætlað samkvæmt lögum.
Meðferð og öryggi gagna hjá Lyfjastofnun
Meginregla í starfsemi Lyfjastofnunar er að varðveita persónuupplýsingar ekki lengur en nauðsyn krefur til að sinna lögbundnu hlutverki stofnunarinnar, nema til staðar sé skylda samkvæmt lögum eða samningi til að geyma gögn lengur. Lyfjastofnun er afhendingarskyldur aðili á grundvelli laga nr. 77/2014 um opinber skjalasöfn og er því óheimilt að eyða skjölum sem falla undir gildissvið laganna.
Lyfjastofnun hefur heimild Þjóðskjalasafns til rafrænna skila á gögnum úr málakerfi stofnunarinnar (frá og með 01. janúar 2022). Reglur þar um kveða á um að gögnum skuli skilað rafrænt til Þjóðskjalasafns á fimm ára fresti. Þótt Lyfjastofnun hafi skilað gögnum til Þjóðskjalasafns hefur Lyfjastofnun að öllu leyti umsjón með gögnunum, þar til 30 ár eru liðin frá því þau urðu til. Persónuupplýsingar sem unnið er með hjá stofnuninni og falla undir lög nr. 77/2014, eru því alfarið í höndum Lyfjastofnunar til 30 ára.
Aðrar upplýsingar eru varðveittar hjá stofnunni ýmist í tvö ár eða sjö ár skv. bókhaldslögum.
Aðgangur starfsmanna að gögnum fer eftir starfssviði starfsmanns. Persónuupplýsingar eru aðeins aðgengilegar starfsfólki Lyfjastofnunar þegar þær eru nauðsynlegar við úrlausn einstakra verkefna.
Upplýsingar eru ekki afhentar þriðja aðila nema skylda sé til þess skv. lögum eða þess krafist með dómsúrskurði. Sérstakar reglur gilda um upplýsingar um fjárhags- og viðskiptahagsmuni fyrirtækja og vísindalegar upplýsingar og tækniupplýsingar fyrirtækja.
Verktakar og þjónustuaðilar undirrita trúnaðaryfirlýsingar og hafa einungis aðgang að gögnum í kerfum stofnunarinnar að svo miklu leyti sem nauðsynlegt er til viðgerðar og viðhalds kerfa.
Trúnaður og þagnarskylda starfsmanna Lyfjastofnunar
Starfsfólk Lyfjastofnunar er upplýst um lög og reglur varðandi persónuvernd og öryggi persónuupplýsinga og hvernig framfylgja skal lögum og reglum um persónuvernd.
Allir starfsmenn eru bundnir þagnarskyldu samkvæmt lögum nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins og helst hún þótt látið sé af störfum. Við undirritun ráðningarsamnings skrifa allir starfsmenn undir yfirlýsingu þar sem þagnarskyldan er áréttuð. Verktakar og þjónustuaðilar Lyfjastofnunar undirrita einnig trúnaðaryfirlýsingar. Starfsmenn Lyfjastofnunar skulu gæta fyllsta hlutleysis í störfum sínum hjá stofnuninni og mega ekki taka að sér aukastörf sem geta á einhvern hátt stefnt trúnaði viðkomandi gagnvart störfum þeirra í hættu samkvæmt starfsmannastefnu Lyfjastofnunar.
Til að tryggja að starfsmenn Lyfjastofnunar sýni rétta breytni í störfum sínum innan og utan stofnunar hefur Lyfjastofnun sett sér siðareglur í samræmi við gildi stofnunarinnar sem eru Gæði, Traust, Þjónusta.
Rafræn vöktun
Vöktun fer fram í öryggis- og eignavörsluskyni en eftirlitsmyndavélum hefur verið komið upp í stigagangi við innganga stofnunarinnar á annarri og þriðju hæð hússins. Við umrædda vöktun er þess gætt að virða einkalífsrétt þeirra sem sæta vöktun og forðast er allt óþarfa inngrip í einkalíf þeirra. Nánari upplýsingar um rafræna vöktun má finna hér.
Myndbirtingar á vef og samfélagsmiðlum Lyfjastofnunar
Á öllum opnum viðburðum á vegum Lyfjastofnunar eru viðstaddir látnir vita ef upptaka er í gangi og að myndband ásamt myndum sem teknar eru á meðan á viðburðinum stendur gætu ratað á vef stofnunarinnar og/eða samfélagsmiðla stofnunarinnar. Orðið er við beiðnum þeirra sem vilja ekki sjást á myndbandsupptöku og/eða myndum.
Áður en myndir af starfsfólki eru birtar á vef, samfélagsmiðlum eða útgefnu efni á vegum Lyfjastofnunar er leitað munnlegs samþykkis hjá viðkomandi. Það sama á við ef viðkomandi er í bakgrunni. Orðið er við beiðnum þeirra sem ekki vilja sjást á myndefni frá stofnuninni.
Ef einhver mynd hefur ratað á samfélagsmiðla á vegum stofnunarinnar eða vef og samþykki fyrir því hefur ekki legið fyrir frá einhverjum þeirra sem er á myndinni (í forgrunni eða bakgrunni) og viðkomandi vill fá myndina af sér fjarlægða getur sá hinn sami sent beiðni þess efnis til Lyfjastofnunar á tölvupóstfangið [email protected].
Hverjir hafa aðgang að upplýsingum Lyfjastofnunar?
Allir einstaklingar eiga rétt á ákveðnum upplýsingum sem varða þá sjálfa og skráðar eru hjá Lyfjastofnun.
Hvernig nálgast ég upplýsingar um mig?
Persónuverndarlögin veita þér rétt til staðfestingar á því hvort Lyfjastofnun vinni persónuupplýsingar um þig og ef svo er, rétt til fá aðgang að þeim persónuupplýsingunum. Tekið er á móti beiðnum á rafrænu formi í gegnum Mínar síður. Hægt er að skrá sig inn á Mínar síður Lyfjastofnunar með Íslykli eða rafrænum skilríkjum.
Einnig er hægt að nálgast eigin persónuupplýsingar með því að fylla út eyðublað: Beiðni um aðgang að persónuupplýsingum og afhenda í afgreiðslu Lyfjastofnunar. Framvísa þarf persónuskilríki sem gefið er út af opinberum aðila þegar beiðnin er lögð inn. Vinnsla beiðnar fer ekki af stað fyrr en persónuskilríkjum hefur verið framvísað. Ekki er tekið við beiðnum um aðgang í bréfapósti, í tölvupósti né í gegnum síma. Þessar ráðstafanir eru nauðsynlegar þar sem tryggja verður að persónuupplýsingar séu aðeins afhentar þeim sem þær varða. Leitast er við að afhenda gögn innan 30 daga frá móttöku beiðninnar.
Ef einstaklingur telur upplýsingarnar ónákvæmar eða rangar getur hann óskað eftir því við stofnunina að þær séu leiðréttar eða þeim eytt ef stofnuninni ber ekki skylda til að varðveita þær lögum samkvæmt. Þá á einstaklingur einnig rétt á að óska eftir upplýsingum um í hvaða tilgangi þær eru notaðar, hvort upplýsingum er miðlað áfram til þriðja aðila og ef svo er til hverra, uppruna upplýsinganna og hversu lengi stofnunin fyrirhugar að varðveita upplýsingarnar.
Einstaklingur getur einnig í ákveðnum tilvikum átt rétt á því að mótmæla vinnslu persónuupplýsinga og óska eftir því að vinnsla þeirra sé takmörkuð.
Öryggisbrestur hjá Lyfjastofnun
Ef upp kemur öryggisbrestur er varðar meðferð persónuupplýsinga skal Lyfjastofnun tilkynna hann til Persónuverndar án ótilhlýðilegrar tafar og ef mögulegt er, eigi síðar en 72 klst. eftir að brestsins er vart, nema ólíklegt þyki að bresturinn leiði til áhættu fyrir einstaklinga. Ef líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði af sér mikla áhættu fyrir einstaklinga skal Lyfjastofnun tilkynna viðkomandi um brestinn án ótilhlýðilegrar tafar. Með öryggisbresti er átt við brot á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga eða að þær glatist, breytist, verði birtar eða aðgangur veittur að þeim í leyfisleysi.
Persónuverndarfulltrúi Lyfjastofnunar
Persónuverndarfulltrúi Lyfjastofnunar hefur eftirlit með því að farið sé eftir ákvæðum laga og reglna um persónuvernd og vinnslu persónuupplýsinga. Persónuverndarfulltrúi tekur á móti fyrirspurnum frá einstaklingum sem verið er að vinna með upplýsingar um hjá stofnuninni og veitir einstaklingum ráðgjöf vegna persónuverndar. Persónuverndarfulltrúi sinnir þjálfun starfsfólks varðandi persónuverndarreglur, veitir starfsmönnum ráðgjöf á sviði persónuverndar ef álitaefni koma upp, framkvæmir úttektir og leysir ágreining á sviði persónuverndar.
Persónuverndarfulltrúi Lyfjastofnunar er tengiliður við Persónuvernd. Fyrirspurnum skal beint til á netfangið [email protected].
Eftirlitsaðili
Persónuvernd annast eftirlit með framkvæmd laga um persónuvernd, reglugerða og sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga. Komi upp ágreiningur um meðferð persónuupplýsinga er hægt að senda kvörtun til Persónuverndar með því að senda tölvupóst á netfangið [email protected]. Upplýsingar um Persónuvernd er að finna á vef stofnunarinnar, www.personuvernd.is.
Vafrakökur
Skilmálar Lyfjastofnunar um notkun á vafrakökum
Lyfjastofnun heldur úti lénunum lyfjastofnun.is og serlyfjaskra.is og eiga skilmálar þessir við um notkun vafrakakna á framantöldum lénum og undirlénum sem tilheyra þeim.
Upplýsingar um vafrakökur
Lyfjastofnun notar vafrakökur (e.cookies) sem eru sérstakar skrár sem komið er fyrir á tölvu notenda eða á öðrum snjalltækjum notanda þegar hann heimsækir viðkomandi vef. Vafrakökur geyma upplýsingar um heimsóknina. Þær innihalda ekki persóngreinanlegar upplýsingar líkt og IP-tölu, nafn, netfang, símanúmer eða kennitölu. Uppflettingar í sérlyfjaskrá eru ekki raktar til einstaklinga.
Notkun Lyfjastofnun á vafrakökum og vefmælingar
Lyfjastofnun nýtir sér þjónustu fyrirtækisins Google Analytics til vefmælinga og gæðaeftirlits og til að bæta notendaupplifun á vefnum. Við hverja komu inn á vefi Lyfjastofnunar eru nokkur atriði skráð, svo sem tími, dagsetning, gerð vafra og stýrikerfis, fjöldi notenda, fjöldi og lengd heimsókna, ferðalag notenda og leitarorð rituð á síðunni. Lyfjastofnun notar þessar upplýsingar við endurbætur á vefnum og þróun hans, t.d. með því að skoða hvaða efni er mest verið að leita eftir og gera það sýnilegra. Lyfjastofnun safnar ekki IP-tölum notenda, allar upplýsingar eru ópersónugreinanlegar og hafa fyrirfram skilgreindan líftíma. Einnig getur notandinn eytt þeim sjálfur.
Vafrakökur frá fyrsta og þriðja aðila
Vafrakökur frá fyrsta aðila koma frá sama léni og vefsíðan sem notandi er að heimsækja á meðan vafrakökur þriðja aðila eru vafrakökur sem koma frá öðrum lénum en síðunni sem notandi heimsækir. Lyfjastofnun notar ýmsa samfélagsmiðla til að koma upplýsingum á framfæri við notendur s.s. Facebook, Instagram og YouTube og rétt að benda notendum á að kynna sér skilmála þeirra.
Athygli þín er þó vakin á því að einstaklingur ber ábyrgð á persónuupplýsingum, t.d. upplýsingum sem hann/hún kýs að deila t.d. í gegnum facebook síðu Lyfjastofnunar og aðra opna samfélagsmiðla.
Stilla notkun á vafrakökum
Notendur geta stillt vafra sína þannig að þeir láti vita af vafrakökum, hafni t.d. vafrakökum frá þriðja aðila eða hafni þeim með öllu. Leiðbeiningar um stillingar á vafrakökum.
Póstlisti
Með því að skrá þig á póstlista Lyfjastofnunar gefur þú Lyfjastofnun samþykki þitt fyrir því að stofnunin megi senda þér fréttatilkynningar með tölvupósti á uppgefið netfang.
Póstlistinn er hýstur hjá fyrirtækinu Mail Chimp. Sjá persónuverndarstefnu Mail Chimp. Mail Chimp hefur farið í gegnum tiltekið ferli og fengið skráningu á Privacy-Shield lista bandaríska viðskiptaráðuneytisins. Sjá nánar um Privacy-Shield á vef Persónuverndar.
Póstlistinn er eingöngu notaður í þeim tilgangi að koma fréttum frá Lyfjastofnun til þeirra sem hafa skráð sig á póstlistann. Hvorki póstlistinn sjálfur né upplýsingar sem notendur skrá í póstlistann verða látnar öðrum í té. Þeir sem skrá sig á póstlistann geta hvenær sem er breytt stillingum sínum og/eða afskráð sig af póstlistanum. Neðst í öllum tölvupóstum eru möguleikar á hvorutveggja. Gögn eru geymd í samræmi við persónuverndarlög.