Persónuverndarstefna

NÁTT leggur ríka áherslu á að öll vinnsla persónuupplýsinga sé í samræmi við lög og reglur um vinnslu persónuupplýsinga. Stofnunin  hefur skv. lögum um starfsemi stofunarinnar, heimildir og skyldur til að safna upplýsingum sem tengjast starfsemi stofnunarinnar.  Samstarfsaðilar og almenningur safna upplýsingum um náttúru landsins og örnefni svo eitthvað sé nefnt, auk þess sem fjölmargir leita eftir þjónustu stofnunarinnar árlega. 

Við slíka upplýsingasöfnun er mikilvægt að halda til haga og skrá tengiliðaupplýsingar í samræmi við eðli fyrirspurnanna.

Unnið er með persónuupplýsingar sem hinir skráðu, þ.e. samstarfsaðilar og viðskiptavinir gefa sjálfir samþykki fyrir, svo sem nafn, heimilisfang, kennitölu, símanúmer, netfang, auk efnis erindis. Eðli máls samkvæmt er meiri vinnsla persónuupplýsinga um starfsfólks en viðskiptavini.

Til þess að unnt sé að uppfylla skyldur stofnunarinnar getur verið nauðsynlegt að skrásetja tengiliðaupplýsingar viðskiptavina. Persónuupplýsingar eru aðeins notaðar í þeim tilgangi sem þeim er ætlað, þegar stofnunin er að sinna lögbundnum verkefnum og þeim er ekki deilt til þriðja aðila. Stofnunin heldur utan um ýmsar persónuupplýsingar í tengslum við mannauðsmál og eðli málsins samkvæmt er unnið með umfangsmeiri persónuupplýsingar en þegar kemur að samstarfsaðilum og viðskiptavinum. 

Stofnunin fær persónuupplýsingar beint frá þeim skráðu. Viðskiptavinir og samstarfsaðilar senda inn tengiliðaupplýsingar um sig um leið og þeir leita eftir þjónustu t.d. með tölvupósti eða koma ábendingum á framfæri eins og nefna má dæmi um: 

• Viðskiptavinir senda inn erindi sem þarf að vista í skjalavistunarkerfi stofnunarinnar þar sem skráðar eru tengiliðaupplýsingar og kennitala viðkomandi.
• Viðskiptavinir senda inn tengiliðaupplýsingar og óska eftir greiningu á margvíslegum náttúrusýnum svo sem smádýrum, sveppum, fuglum, refum, steindum og plöntum.
• Viðskiptavinir senda inn ábendingar eða kvörtun.
• Umsækjandi um starf eða starfsnám sendir inn persónuupplýsingar og vísar til meðmælanda í umsóknarferlinu.
• Fulltrúi opinbers stjórnvalds, s.s. leyfisveitandi, framkvæmdaraðili o.fl. sem leitar álits NÁTT í samræmi við lög og umsagnarhlutverk stofnunarinnar.
• Viðskiptavinir sækja fyrirlestra á Hrafnaþingi og skrá sig á póstlista.
• Samstarfsaðili sem merkir fugla í umboði NÁTT veitir persónuupplýsingar.
• Samstarfsaðili sem telur fugla í umboði NÁTT veitir persónuupplýsingar.
• Einstaklingur sem kemur í bókasafnið og fær að láni bók þarf að skrá nafn og kennitölu.
• Einstaklingur óskar eftir aðgangi að gögnum samkvæmt stjórnsýslulögum, upplýsingalögum eða persónuverndarlögum.  
• NÁTT hefur samið við einstakling til að sinna ákveðnum verkefnum fyrir stofnunina, t.d. tölvuvinnslu og öryggisúttektum.
• Þegar notandi sækir um aðgang að örnefnagrunni þá eru persónuupplýsingar hins skráða vistaðar á aðgangsstýrðu svæði (nafn, netfang og landsvæði). Umsækjenda er úthlutað notandanafni og lykilorði ásamt heimildanúmeri (dulkóðun) umsækjanda.
• NÁTT hefur myndavélakerfi í bílgeymslu í Urriðaholtsstræti 6-8 í öryggis- og eignavörsluskyni. Tilkynningarskilti um myndatöku er til staðar. Myndefni er eytt eftir 30 daga.

NÁTT tekur einnig við persónuupplýsingum frá öðrum en þeim sem sjálfir senda inn upplýsingar:

• NÁTT hefur átt í samskiptum við fyrirtæki eða stjórnvald og þaðan berast persónuupplýsingar.
• NÁTT fær kvörtun eða ábendingu sem inniheldur persónuupplýsingar.
• NÁTT fær persónuupplýsingar vegna eftirlitsverkefna.
• Umsækjandi um starf vísar til samstarfsaðila sem meðmælanda.

NÁTT hefur útbúið nokkur eyðublöð sem sett eru á vef stofnunarinnar þar sem fólk getur óskað eftir aðstoð við greiningu á náttúrusýnum. Við útfyllingu eyðublaða heimilar fyrirspyrjandi að persónuupplýsingar séu skráðar enda slíkar upplýsingar oft forsenda fyrir afgreiðslu erindisins. 

Samkvæmt persónuverndarlöggjöfinni eiga viðskiptavinir eða samstarfsaðilar ákveðin réttindi sem þeir geta nýtt sér með því að senda beiðni á persónuverndarfulltrúa, á netfangið natt@natt.is eða hafa samband í síma 4309000. Viðskiptavinir þurfa ekki að greiða fyrir að neyta réttinda sinna. NÁTT hefur einn mánuð til að svara erindum en hægt er að framlengja frestinn um tvo mánuði sé beiðnin sérstaklega umfangsmikil.

4.1 Aðgangsréttur

Einstaklingar eiga rétt á að fá aðgang að og afrit af öllum persónuupplýsingum sem NÁTT vinnur um þá. Ítarlegri upplýsingar um réttinn til aðgangs að persónuupplýsingum má nálgast á vef Persónuverndar.

Einstaklingar geta einnig átt rétt á aðgangi að gögnum um sig samkvæmt stjórnsýslulögum eða upplýsingalögum. Hér getur verið ákveðin skörun á milli lagabálka sem meta þarf hverju sinni.

4.2 Réttur til leiðréttingar

Einstaklingar eiga rétt á því að fá leiðréttar persónuupplýsingar um sig, sem þeir telja rangar. Þó skal tekið fram að með hliðsjón af ákvæðum laga um opinber skjalasöfn er NÁTT oft óheimilt að breyta gögnum eða eyða skjölum sem stofnunin býr yfir, en þá kann að vera mögulegt að koma leiðréttingu á framfæri með athugasemd sem látin er fylgja gögnunum þegar við á. Einnig er unnt að biðja NÁTT að bæta upplýsingum við þær persónuupplýsingar sem stofnunin hefur um einstakling og hann telur ófullnægjandi. Ítarlegri upplýsingar um réttinn til leiðréttingar má nálgast á vef Persónuverndar.   

4.3 Rétturinn til eyðingar eða rétturinn til að gleymast

Rétturinn til eyðingar eða rétturinn til að gleymast á ekki við um vinnslu persónuupplýsinga á NÁTT þar sem stofnunin er bundin að lögum um opinber skjalasöfn til að varðveita allar upplýsingar sem henni berast sbr. lög um opinber skjalasöfn.

Í persónuverndarlögum er sérstaklega tekið fram að réttur til eyðingar persónuupplýsinga og til að gleymast eigi ekki við þegar lög mæla fyrir um að upplýsingarnar skuli varðveittar. Þannig gildir rétturinn til eyðingar/rétturinn til að gleymast ekki um persónuupplýsingar sem NÁTT vinnur. 

Annað gildir um rafræna vöktun en samkvæmt reglum nr. 50/2023  um rafræna vöktun skal ekki varðveita persónuupplýsingar lengur en 30 daga nema það sé nauðsynlegt í ljósi tilgangs vöktunar.

Ítarlegri upplýsingar um réttinn til að gleymast má nálgast á vef Persónuverndar. Einstaklingar eiga rétt á að biðja um að vinnsla sé takmörkuð við ákveðnar aðstæður.
 

4.4 Réttur til takmarkaðrar vinnslu

Einstaklingar eiga rétt á því að biðja um að vinnsla sé takmörkuð í ákveðnum aðstæðum.

4.5 Réttur til að andmæla vinnslu

Einstaklingur á rétt á að andmæla vinnslu persónuupplýsinga. Nánari upplýsingar um andmælarétt má finna á vef Persónuverndar.

4.6 Réttur til að flytja eigin gögn

Rétturinn til að flytja eigin gögn á eingöngu við þegar upplýsingar eru unnar á grundvelli samþykkis eða við gerð samnings sem NÁTT er aðili að. NÁTT starfar á grundvelli laga og byggir því mjög lítinn hluta sinnar vinnslu á persónuupplýsingum á samþykki eða samningi. Þar af leiðandi er ólíklegt að þessi réttur eigi við um þá vinnslu sem fer fram á NÁTT, þar sem hún fer nánast eingöngu fram á grundvelli lagaskyldu eða almannahagsmuna, sjá 20. gr. laga nr. 90/2018. 

4.7 Kvartanir vegna vinnslu persónuupplýsinga NÁTT

Ef einstaklingur telur að ekki hafi verið unnið með lögmætum hætti með persónuupplýsingar á NÁTT getur hann haft samband við persónuverndarfulltrúa stofnunarinnar með því að senda tölvupóst á netfangið natt@natt.is. Það er einnig hægt að senda Persónuvernd kvörtun.

4.8 Hver hefur aðgang að persónuupplýsingum NÁTT?

Starfsfólk NÁTT vinnur einungis með persónuupplýsingar þegar nauðsyn krefur vegna þeirra verkefna sem það hefur umboð til að sinna. Þess er gætt að vinnsla persónuupplýsinga sé ávallt í samræmi við ákvæði laga og reglugerða um persónuvernd.

Öllu starfsfólki NÁTT er skylt að gæta þagmælsku um atriði sem það fær vitneskju um í starfi sínu og leynt skulu fara samkvæmt lögum, fyrirmælum yfirmanna eða eðli málsins. Sú þagnarskylda helst þótt látið sé af störfum, sjá lög nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins.

4.9 Hversu lengi varðveitir NÍ persónuupplýsingar?

NÁTT er skilaskyldur afhendingaraðili samkvæmt lögum um opinber skjalasöfn og er þar af leiðandi óheimilt að eyða skjölum og gögnum sem stofnuninni berast eða verða til hjá henni, nema að fengnu leyfi Þjóðskjalasafns Íslands. Í skilaskyldu felst jafnframt að öllum pappírsskjölum sem berast NÁTT eða verða til hjá stofnuninni, skal skilað til Þjóðskjalasafns eftir 30 ár. Skjölum í stafrænu formi skal skila til Þjóðskjalasafns Íslands þegar þau hafa náð fimm ára aldri.

5.1 Fótspor eða vefkökur

Fólk skilur eftir sig fótspor þegar það fer á heimasíðu NÁTT. Sjá vafrakökustefnu stofnunarinnar.

5.2 Dulkóðuð samskipti

NÁTT notast við Let‘s Encrypt og SSL (Secure Sockets Layer) skilríki sem er dulkóðunaraðferð notuð við sendingar á samskiptum milli notanda og vefs. Sendingarnar eru dulkóðaðar sem eykur öryggi gagnaflutninga. Þessi dulkóðun hindrar að óviðkomandi aðilar komist yfir viðkvæm gögn líkt og lykilorð eða persónuupplýsingar. Þegar farið er inn á vefi með vefslóð sem hefst á „https“ stendur „s“-ið fyrir secure eða örugg samskipti.  

5.3 Símtöl

Sérfræðingar skrá samtöl í málaskrá þegar það hefur þýðingu fyrir úrlausn máls og er ekki að finna í öðrum gögnum. NÁTT tekur ekki upp samtöl í síma og ekki er unnt að skilja eftir skilaboð á símsvara. 

5.4 Tölvupóstur

Allur tölvupóstur sem NÁTT berst á netfangið natt@natt.is er vistaður í skjalavörslukerfi stofnunarinnar.  Þau sem hafa samband við stofnunina með tölvupósti skulu gæta að því að tölvupóstur þeirra getur verið ódulkóðaður sem þýðir að óviðkomandi geta lesið póstinn í sendingu.

5.5 Bréfpóstur

NÁTT varðveitir öll bréf sem stofnuninni berast í skjalasafni stofnunarinnar, þau eru öll skönnuð og vistuð í rafrænu skjalastjórnarkerfi.   

5.6 Póstlisti NÁTT

Einstaklingar geta skráð sig á póstlista NÁTT og fengið tilkynningar um fyrirlestra á Hrafnaþingi, fréttatilkynningar, önnur málþing o.fl. Við skráningu á póstlistann er nafn og netfang skráð. Hægt er að afskrá sig af póstlistanum með því að senda tölvupóst á natt@natt.is.  

5.7 Heimsóknir

Þegar viðskiptavinir og gestir koma í heimsókn til sérfræðinga eða á fundi skrifa þeir nöfn sín í gestabók sem liggur frammi í afgreiðslu, kjósi þeir að gera það. Móttökukerfið Edico er notað á starfsstöð NÁTT í Garðabær svo almenningur geti náð sambandi í sérfræðinga stofnunarinnar. Heimsóknarkerfið Edico er ekki notað á öðrum starfsstöðvum NÁTT.

5.8 Notkun kennitölu

Kennitölur eru einungis skráðar, eigi notkunin sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu sbr. lög nr. 70/2018 um persónuvernd og vinnslu persónuupplýsinga. Dæmi um notkun kennitölu er í tengslum við mannauðsmál, skráningu í skjalavistunarkerfi vegna erinda af ýmsum toga og við útlán úr bókasafni eða náttúrusýna. 

Þegar einstaklingur hefur samband við NÁTT með fyrirspurn eða biður um ráðgjöf vinnur NÁTT með persónuupplýsingar um einstaklinginn til að geta svarað honum.

6.1 Fyrirspurnir og ráðgjöf

NÁTT vinnur eingöngu með upplýsingar sem nauðsynlegar eru til að geta svarað fyrirspurnum. Til dæmis vinnur NÁTT upplýsingar um netfang og nafn þegar fyrirspurnum er svarað í tölvupósti. 

Persónuupplýsingar í skriflegum fyrirspurnum eru varðveittar í 30 ár á NÁTT en eftir þann tíma er pappírsgögnum skilað til Þjóðskjalasafns Íslands í samræmi við varðveislu- og skilaskyldu samkvæmt lögum um opinber skjalasöfn. Persónuupplýsingum í rafrænum vörsluskilum er skilað til Þjóðskjalasafns á fimm ára fresti samkvæmt 11. gr. reglna nr. 877/2020 þótt þau séu aðgengileg hjá NÁTT 30 ár eftir skráningu. Heimilt er að vinna framangreindar upplýsingar á grundvelli lagaskyldu sem hvílir á NÁTT, sbr. c-lið 1. mgr. 6. gr. pvrg., sbr. 3. tölul. 9. gr. laga nr. 90/2018. 

6.2 Leyfisveitingar

Þegar NÁTT berst umsókn um leyfi til útflutnings náttúrugripa með tölvupósti eru skráðar tengiliðaupplýsingar einstaklingsins sem sækir um leyfið og eftir atvikum tengiliðaupplýsingar þess sem kemur fram f.h. þess sem afhendir upplýsingar. 

Umsóknir um leyfi í pappírsformi, ásamt fylgigögnum, eru varðveittar í 30 ár á NÁTT en rafrænum gögnum er skilað á fimm ára fresti samkvæmt 11.gr. reglna nr. 877/2020.Eftir þann tíma er gögnum skilað til Þjóðskjalasafns Íslands í samræmi við varðveislu- og skilaskyldu samkvæmt lögum um opinber skjalasöfn.
Öll vinnsla persónuupplýsinga í tengslum við leyfisveitingar byggist á lagaskyldu sem hvílir á NÁTT, sbr. c-lið 1. mgr. 6. gr. pvrg., sbr. 3. tölul. 9. gr. laga nr. 90/2018.
 

6.3 Ábendingar

NÁTT skráir ábendingar sem henni berast í málaskrárkerfi sitt. Berist ábendingin með tölvupósti er netfang og nafn sendanda skráð. Berist NÁTT skriflegt erindi sem ekki snertir starfssvið hennar áframsendir hún erindið á réttan stað svo fljótt sem unnt er í samræmi við stjórnsýslulög.  Ábendingar eru varðveittar í samræmi við lög um opinber skjalasöfn.

7.1 Starfsfólk

Tilteknar upplýsingar eru nauðsynlegar til að geta greitt laun, s.s. kennitala, launaflokkur, tímaskráningar, skattþrep, stéttarfélagsaðild, bankaupplýsingar, lífeyrissjóðs¬upplýsingar og skuldir við innheimtumann ríkissjóðs. Aðrar upplýsingar eru tengdar starfslýsingu starfsfólks.

Heimilt er að vinna framangreindar upplýsingar þar sem það er nauðsynlegt til að efna samning sem hinn skráði er aðili að , sbr. b-lið 1. mgr. 6. gr. pvrg., sbr. 2. tölul. 9. gr. laga nr. 90/2018. Heimilt er að vinna upplýsingar um stéttarfélagsaðild á grundvelli samþykkis starfsfólks, sbr. a-lið 9. gr. pvrg., sbr. 1. tölul. 1. mgr. 11. gr. laga nr. 90/2018. Öllu starfsfólki er frjálst að gefa upp hvort, og þá í hvaða stéttarfélag það er skráð og hefur það engin áhrif á ráðningar í störf hjá stofnuninni.

Framangreindar upplýsingar eru skráðar í skjalastjórnarkerfi stofnunarinnar.

7.2 Umsækjendur um störf

NÁTT vinnur með persónuupplýsingar um einstaklinga sem sækja um starf hjá stofnuninni. Tilteknar upplýsingar eru nauðsynlegar við mat umsókna, s.s. nafn, kennitala, ferilskrá, kynningarbréf, upplýsingar um menntun, niðurstöður úr ráðningarviðtölum, umsagnir þriðja aðila og önnur samskipti við umsækjendur.

Heimilt er að vinna framangreindar upplýsingar þar sem það er nauðsynlegt til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður, sbr. b-lið 1. mgr. 6. gr. pvrg., sbr. 2. tölul. 9. gr. laga nr. 90/2018.

Nokkur fjöldi sérfræðinga leitar fyrir sér um störf á NÁTT án auglýsinga. Þeirra erindi eru jafnan skráð í skjalastjórnarkerfi stofnunarinnar og svarað þaðan. 

Erlendir nemendur leita í nokkrum mæli að starfsþjálfun á NÁTT og er haldið er utan um umsóknir þeirra í skjalastjórnarkerfi stofnunarinnar og á aðgangsstýrðu svæði mannauðsstjóra. 

Náttúrufræðistofnun vinnur að því að útbúa upplýsingaöryggiskerfi til að tryggja vernd persónuupplýsinga í samræmi við reglur nr. 299/2001 um öryggi persónuupplýsinga.

8.1 Upplýsingaöryggi – Hvernig er öryggi persónuupplýsinga tryggt?

NÁTT gerir ríkar kröfur um öryggi persónuupplýsinga hjá stofnuninni og aðgangur að þeim er takmarkaður og/eða aðgangsstýrður. Stofnunin hefur markað upplýsingaöryggisstefnu og gerir þá kröfu um að tölvufyrirtæki (vinnsluaðilar) sem stofnunin er í samstarfi við og tengjast upplýsingaöryggi hennar, hafi vottun skv. upplýsingaöryggisstaðlinum ISO 27001.

8.2 Vinnsluaðilar NÁTT

Gerður er vinnslusamningur við alla aðila sem koma að vinnslu með gögn stofnunarinnar. Sú krafa er gerð gagnvart einkafyrirtækjum sem koma að vinnslu gagna stofnunarinnar, að þeir séu með vottun skv. 27001 upplýsingaöryggisstaðlinum.

Tölvukerfi stofnunarinnar er eru rekin innan stofnunarinnar og hjá ytri þjónustuaðila, Sensa.

Stærsti vinnsluaðili NÁTT er Sensa sem þjónustar AD-netþjón. Eldveggur er í umsjón Símans og póstþjónninn er í umsjón Umbru (Microsoft 365). 

Málaskrárkerfið GoPro er vistað hjá Hugviti hf. sem er ISO 27001 vottað.

Fyrirtækið Ritari sér um símsvörun. Einungis er skrá niður nafn og símanúmer þeirra sem óska eftir samtali við Náttúrufærðistofnun og eftir atvikum netfang og stutt lýsing á erindi.

Hugbúnaðurinn Microsft Teams er notaður sem fjarfundarbúnaður og sem vinnusvæði starfsfólks NÁTT.

NÁTT heldur utan um vinnsluskrá sem er rýnd reglulega í þeim tilgangi að sjá hvar persónugreinanleg gögn koma við sögu í verkefnum stofnunarinnar.

Lagaákvæði: 

• Lög um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018
• Reglugerð Evrópuþingsins og -ráðsins um persónuvernd (ESB) 2016/679 frá 27. apríl 2016. [pvrg]
• Reglur nr. 299/2001 um öryggi persónuupplýsinga
• Reglur nr. 50/2023 um rafræna vöktun
• Reglur um tilkynningu, samþykkt og skil á rafrænum gagnasöfnum afhendingarskyldra aðila nr. 877/2020
• Stjórnsýslulög nr. 37/1993  
• Upplýsingalög nr. 140/2012

Stefnur Náttúrufræðistofnunar

• SST Persónuverndarstefna
• SST Upplýsingaöryggisstefna