Syftet med denna sida är att skapa en gemensam förståelse för juridiska och säkerhetsmässiga aspekter på systemintegration av personuppgifter. Målsättningen är att underlätta diskussion mellan informationsägare, integrationsarkitekter och andra inblandade när man värderar olika lösningsförslag för integration.
Denna sida är under arbete!
Begrepp och termer
Syftet med följande modell är att etablera en gemensam förståelse för de begrepp och termer som används.
Begreppsmodell
Modellen finns i 2c8.
Definitioner
Dessa begrepp förekommer ofta/alltid i diskussionen. De måste definieras och sättas i sammanhang.
Se även
Begrepp | Innebörd | Exempel |
|---|---|---|
Personuppgift | Personuppgifter är all slags information som kan knytas till en levande person. Det kan röra sig om namn, adress och personnummer. Även foton på personer klassas som personuppgifter. | |
Känsliga personuppgifter | Vissa personuppgifter är till sin natur särskilt känsliga och har därför ett starkare skydd. De kallas för känsliga personuppgifter. | Känsliga personuppgifter är uppgifter om
|
Extra skyddsvärd personuppgift | Ett personnummer anses vara en extra skyddsvärd personuppgift. | |
Extern aktör Extern part | En annan organisation än GU. Annan juridisk person. Annan juridisk zon. | |
Personuppgiftsbehandling Behandling | Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. | |
Personuppgiftsansvarig (PUA) | Personuppgiftsansvarig är den organisation (till exempel aktiebolag, stiftelse, förening eller myndighet) som bestämmer för vilka ändamål uppgifterna ska behandlas och hur behandlingen ska gå till. | |
Personuppgiftsbiträde (PUB) | Personuppgiftsbiträde är den som behandlar personuppgifter för en personuppgiftsansvarigs räkning. Ett personuppgiftsbiträde och dess personal får enbart behandla personuppgifter enligt instruktion från den personuppgiftsansvariga. | |
Personuppgiftsbiträdesavtal (PUBA) Biträdesavtal | Det är vanligt att personuppgiftsansvariga anlitar biträden för att utföra en viss personuppgiftsbehandling för att använda biträdets specifika expertis eller erfarenhet som den personuppgiftsansvariga saknar i sin organisation. … När ett personuppgiftsbiträde behandlar personuppgifter åt den personuppgiftsansvariga, ska behandlingen regleras genom avtal (eller annan rättsakt) | Personuppgiftsbiträdesavtal - Integritetsskyddsmyndigheten (imy.se) |
General Data Protection Regulation (GDPR) Dataskyddsförordningen | ||
Lagring (behandling) | ||
Överföring (behandling) | ||
Uppgiftsminimering (princip) | Personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet. | |
Riktighet (princip) | Personuppgifter som behandlas ska vara riktiga och, om nödvändigt, uppdaterade. | |
Rättslig grund | Ett lagligt stöd i dataskyddsförordningen för att behandlingen av personuppgifter ska vara tillåten. | |
Samtycke (rättslig grund) | Med samtycke menas varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. | |
Allmänt intresse (rättslig grund) se Myndighetsutövning | ||
Myndighetsutövning och uppgifter av allmänt intresse (rättslig grund) | Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter är enligt regeringens mening av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. | Studieadministrativa processer OBS! Uppgifter avser i sammanhanget inte personuppgifter utan myndighetens uppdrag som en rättslig grund för behandling Se Myndighetsutövning och uppgifter av allmänt intresse - Integritetsskyddsmyndigheten (imy.se) |
Spridning |
Dessa begrepp är inte lika viktiga men ändå:
Begrepp | Innebörd | Exempel |
|---|---|---|
Dataskyddsombud | ||
Dataskyddsgruppen |
Interaktionsmönster
Följande är olika interaktionsmönster som kan användas för systemintegration.
Asynkron överföring (push)
Detta mönster bygger på att uppgifter skickas till mottagaren när de etableras/uppdateras. Mottagaren lagrar uppgifterna.
Tillämpbart när rättslig grund för behandling uppstår samtidigt hos GU och extern part (t.ex. studentkåren).
Filter på GU
TBD
Filter hos extern leverantör
Tjänsten skickar ut ALLA uppgifter. Extern part behöver göra behandling i form av filtrering:
Lagra alla uppgifter
Sortera bort personer där extern part inte har rättslig grund för behandling (t.ex. personer som inte har lämnat samtycke)
Denna behandling görs på uppdrag av GU och regleras i PUBA. Anledningen till att den görs på uppdrag är att extern aktör saknar rättslig grund för filtreringen.
Följande bild visar infrastruktur och logiska ansvarsgränser för personuppgiftsbehandling vid asynkron överföring (push) från GU till en extern part:
Överföringen initieras av en uppdatering i källsystemet. Endast en delmängd av data i källsystemet får behandlas av extern part, men kriterierna för att avgöra detta är inte tillgängliga på GU. Därför överlåts ansvaret för denna filtrering till den externa parten.
Notera att GU har personuppgiftsansvar även för den behandling (filtrering) som görs av leverantören (enligt PUBA).
Det kan finnas problem med denna approach. Alla uppgifter kommer att skickas.
Här måste man bedöma om huruvida man litar på mottagaren eller inte. Vilken risk finns att uppgifterna missbrukas dvs att mottagaren bryter mot avtalet. Risk- och sårbarhetsanalys måste göras.
Exempel: Chalmers
Nuläge
Att vi gör filtrering och skickar uppgifter utan avtal innebär en risk att vi skickar uppgifter som inte är sanna.
Principer i GDPR som detta kan bryta mot: Riktighet (är personen relevant för Chalmers?), Konfidentialitet, Uppgiftsminimering (ej givet att uppgifterna absolut behövs)
Nyläge
Följande exempel illustrerar hur integration av Studiedeltagande kan ske från GU Ladok till Chalmers enligt ovanstående modell:
Synkron överföring
Pull / Request-Reply / on demand.
En extern part frågar GU. GU har kontroll över utlämnandet.
Följande bild visar infrastruktur och logiska ansvarsgränser för personuppgiftsbehandling vid synkron överföring (request-reply) från GU till en extern part:
“Race condition.”
Detta är lämpligt att använda när rättslig grund för behandling hos extern part uppstår i efterhand t.ex. samtycke vid en senare tidpunkt än då studenten etableras, ändrar studieaktivitet etc.
I detta fall regleras förhållandet mellan GU och extern part genom ett Tjänsteavtal t.ex. att extern part har rätt att begära ut information om student baserat på personnummer.
(Detta skulle i teorin kunna lösas genom cache hos leverantören inom ramen för PUBA, men detta är juridiskt tveksamt - kan inte sprida uppgifter på grund av eventuellt framtida behov).
Exempel: Parkeringsbolaget
Student vill ha en rabatt
P-bolaget är personuppgiftsansvariga (Samtycke)
P-bolaget har rätt att få ut personuppgift (studieaktivitet) i efterhand
Beslutsstöd
Rättsliga aspekter
Det måste finnas en rättslig grund för behandling av personuppgifter. För GU är den rättsliga grunden oftast att behandling krävs för myndighetsutövning (den uppgift av allmänt intresse som GU utför).
Push-överföring av personuppgifter till en extern aktör (t.ex. en systemleverantör) innebär inte automatiskt att denna aktör blir personuppgiftsansvarig i rättslig mening. Behandling (t.ex. filtrering) kan göras av leverantören på GU:s uppdrag i egenskap av personuppgiftsbiträde, om denna regleras i PUBA.
Det är i detta fall fortfarande GU som ansvarar för behandlingen och den görs med rättslig grund som gäller för GU.
Juridiska aspekter beskrivs i en juridisk riskanalys.
Datasäkerhetsaspekter
En personuppgiftsbehandling kan vara olämplig ur ett datasäkerhetsperspektiv även om det rent formellt finns en rättslig grund.
Kräver godtagbar säkerhetsnivå för autentisering, transport, spårbarhet… Syftet är att hindra “läckage” inom leverantörens system.
Riskanalys ur tekniskt perspektiv. Bedöma leverantörens förmåga att upprätthålla och följa avtal.
Exempel: Problematik t.ex. kring tredjeland (USA-bolag) där inhemsk lagstiftning kan trumfa ingångna avtal. Därmed behöver andra tekniska och organisatoriska skyddsåtgärder vara på plats. T.ex. övervakning av fjärråtkomst vid teknisk support.
Exempel: Överföring av personuppgifter till en kommersiell aktör på villkor att denne bara ska behandla uppgifter i sitt system för personer som lämnat samtycke till detta. Denna filtrering regleras i PUBA och görs av den externa aktören på uppdrag av GU. Rent juridiskt finns inga hinder för detta, men det kan vara olämpligt av andra skäl t.ex. att man bedömer att det finns ett starkt incitament hos leverantören för att kringgå avtalet.
Datasäkerhetsaspekter beskrivs i en teknisk riskanalys.
Beslutsprocess
Det är viktigt att man inte blandar ihop rättsliga och säkerhetsmässiga aspekter vid beslut om lösningsmönster för integration.
Följande är en process som man kan använda för att bestämma vilket lösningsmönster som är tillämpbart i den aktuella situationen.
Personuppgiftsbiträdesavtal (PUBA)
(text från IMY Personuppgiftsbiträdesavtal - Integritetsskyddsmyndigheten (imy.se))
Vad ska ett personuppgiftsbiträdesavtal innehålla?
Enligt artikel 28.3 ska avtalet innehålla följande information om behandlingen:
föremålet för behandlingen och behandlingens varaktighet
behandlingens art och ändamål
typer av personuppgifter och kategorier av registrerade
den personuppgiftsansvarigas rättigheter och skyldigheter.
Det är väldigt viktigt att den personuppgiftsansvariga tydligt klargör vilka personuppgiftsbehandlingar det är man vill lägga över på ett personuppgiftsbiträde.
Vilka är minimikraven för ett avtal?
I artikel 28.3 anges dessa minimikrav för vad ett personuppgiftsbiträdesavtal ska innehålla:
att behandling endast får ske enligt dokumenterade instruktioner från den personuppgiftsansvariga
försäkran om konfidentialitet eller lagstadgad tystnadsplikt
lämpliga säkerhetsåtgärder
villkor för anlitande av underbiträden
skyldighet att vidta åtgärder för att uppfylla de registrerades rättigheter
bistå den personuppgiftsansvariga i fråga om dennes skyldigheter enligt artikel 32-36
hur personuppgifter ska hanteras när avtalet upphör
skyldighet att gå med på och bistå vid granskning och inspektioner.
Personuppgiftsansvarig och personuppgiftsbiträde kan alltid komplettera minimikraven med ytterligare avtalsvillkor. Minimikraven beskrivs utförligare nedan.
Typfall och scenarier
Exempel på vad vi som myndighet får respektive inte får göra och varför.
Lagra personnummer i en on-prem applikation?
Skicka personuppgifter för en student till en extern leverantör?
etc.
Länkar
Personuppgiftsbehandling hos myndigheter - Integritetsskyddsmyndigheten (imy.se)
Personuppgiftsansvariga och personuppgiftsbiträden - Integritetsskyddsmyndigheten (imy.se)
Personuppgiftsbiträdesavtal - Integritetsskyddsmyndigheten (imy.se)