Lovlig bruk av skytjenester
•
2 j'aime•1,107 vues
Nettskytjenester - lovlig bruk av cloud computing. Foredrag om personvern og databehandleravtaler for Utlendingsdirektoratet.
Recommandé
Contenu connexe
Plus de LYNX advokatfirma DA
Plus de LYNX advokatfirma DA (16)
Lovlig bruk av skytjenester
- 4. Utfordring Lovlig håndtering av på tvers av jurisdiksjoner personopplysninger!
- 6. Lisensiering og drift av programvare som en tjeneste
- 9. Noen egenskaper ved skytjenester Fordeler# • Lav!pris! • Tilgjengelighet!av! informasjon! • Datasikkerhet! • Skalerbarhet!for! ytelse!og!lagring! Ulemper# • Datasikkerhet! • Innlåsing!av!data! • Standardisert!/!lite! fleksibelt! • Håndtering!av! personvern!
- 20. § 8 Vilkår for å behandle personopplysnger dersom!den!registrerte!har!samtykket,!eller!det!er!fastsaF!i!lov!at!det! er!adgang!Nl!slik!behandling,!eller!behandlingen!er!nødvendig!for! a) å!oppfylle!en!avtale!med!den!registrerte,!eller!for!å!uaøre! gjøremål!eFer!den!registrertes!ønske!før!en!slik!avtale!inngås,! b) at!den!behandlingsansvarlige!skal!kunne!oppfylle!en!reFslig! forpliktelse,! c) å!vareta!den!registrertes!vitale!interesser,! d) å!uaøre!en!oppgave!av!allmenn!interesse,! e) å!utøve!offentlig!myndighet,!eller! f) at!den!behandlingsansvarlige!eller!tredjepersoner!som! opplysningene!utleveres!Nl!kan!vareta!en!bereMget!interesse,!og! hensynet!Nl!den!registrertes!personvern!ikke!oversNger!denne! interessen.!
- 21. § 9 Behandling av sensitive opplysninger a) den!registrerte!samtykker!i!behandlingen,! b) det!er!fastsaF!i!lov!at!det!er!adgang!Nl!slik!behandling,! c) behandlingen!er!nødvendig!for!å!beskyFe!en!persons!vitale!interesser,!og!den! registrerte!ikke!er!i!stand!Nl!å!samtykke,! d) det!utelukkende!behandles!opplysninger!som!den!registrerte!selv!frivillig!har! gjort!alminnelig!kjent,! e) behandlingen!er!nødvendig!for!å!fastseFe,!gjøre!gjeldende!eller!forsvare!et! reFskrav,! f) behandlingen!er!nødvendig!for!at!den!behandlingsansvarlige!kan!gjennomføre! sine!arbeidsreFslige!plikter!eller!reMgheter,! g) behandlingen!er!nødvendig!for!forebyggende!sykdomsbehandling,!medisinsk! diagnose,!sykepleie!eller!pasientbehandling!eller!for!forvaltning!av! helsetjenester,!og!opplysningene!behandles!av!helsepersonell!med!taushetsplikt,! eller! h) behandlingen!er!nødvendig!for!historiske,!staNsNske!eller!vitenskapelige!formål,! og!samfunnets!interesse!i!at!behandlingen!finner!sted!klart!oversNger!ulempene! den!kan!medføre!for!den!enkelte.!
- 22. personvernprinsippene 1. Samtykke!eller!annet!reFslig!grunnlag! 2. Proporsjonalitet! 3. Formålsbestemthet! 4. Relevans!og!minimalitet! 5. Fullstendighet!og!kvalitet! 6. Informasjon!og!innsyn! 7. Informasjonssikkerhet! 8. Særlig!strenge!regler!ved!behandling!av! sensiNve!personopplysninger! 9. Anonymitet!og!sporfri!ferdsel!
- 23. Grunnleggende personvernprinsipper ReFmessig!og!regerdig!behandling! • All!behandling!av!personopplysninger!krever!reFslig!grunnlag,!og!den!behandlingsansvarlige!skal!ta! Nlbørlig!hensyn!Nl!den!registrertes!bereMgede!personverninteresser.!SensiNve!personopplysninger!er! underlagt!strengere!vern!enn!alminnelige!personopplysninger.! Brukermedvirkning!og!kontroll! • Den!behandlingsansvarlige!skal!gjøre!behandlingen!transparent!og!forståelig!for!den!registrerte,!slik!at! denne!gjøres!i!stand!Nl!å!overskue!behandlingens!konsekvenser!og!er!i!stand!Nl!å!ivareta!sine! personverninteresser.! Formålsbestemthet! • Den!behandlingsansvarlige!skal!før!innsamling!og!behandling!av!personopplysninger!angi!et!klart!og! uFrykkelig!formål!med!behandlingen.!Opplysningene!skal!ikke!senere!benyFes!for!uforenlige!formål.! Minimalitet! • Personopplysninger!bare!skal!innhentes,!lagres!og!behandles!i!den!grad!de!er!nødvendige!for!å!oppnå! formålet!med!behandlingen!av!opplysningene.! Datakvalitet! • Personopplysninger!skal!ha!Nlstrekkelig!kvalitet!i!forhold!Nl!det!formålet!de!skal!anvendes!Nl.!DeFe! innebærer!blant!annet!at!opplysningene!skal!være!Nlstrekkelig!oppdaterte,!presise!og!relevante!seF!opp! mot!formålet!med!behandlingen.! Informasjonssikkerhet! • Den!behandlingsansvarlige!(og!databehandleren)!skal!sørge!for!NlfredssNllende!informasjonssikkerhet! med!hensyn!Nl!konfidensialitet,!integritet!og!Nlgjengelighet!ved!behandling!av!personopplysninger.! NOU 2009:1
- 24. EU directive 1. No2ce—data!subjects!should!be!given!noNce!when!their!data!is!being! collected;! 2. Purpose—data!should!only!be!used!for!the!purpose!stated!and!not!for! any!other!purposes;! 3. Consent—data!should!not!be!disclosed!without!the!data!subject’s! consent;! 4. Security—collected!data!should!be!kept!secure!from!any!potenNal! abuses;! 5. Disclosure—data!subjects!should!be!informed!as!to!who!is!collecNng! their!data;! 6. Access—data!subjects!should!be!allowed!to!access!their!data!and!make! correcNons!to!any!inaccurate!data;!and! 7. Accountability—data!subjects!should!have!a!method!available!to!them! to!hold!data!collectors!accountable!for!following!the!above!principles.!
- 25. International Safe Harbor Privacy Principles 1. No2ce!n!Individuals!must!be!informed!that!their!data!is!being! collected!and!about!how!it!will!be!used.! 2. Choice!n!Individuals!must!have!the!ability!to!opt!out!of!the! collecNon!and!forward!transfer!of!the!data!to!third!parNes.! 3. Onward#Transfer!n!Transfers!of!data!to!third!parNes!may!only! occur!to!other!organizaNons!that!follow!adequate!data!protecNon! principles.! 4. Security!n!Reasonable!efforts!must!be!made!to!prevent!loss!of! collected!informaNon.! 5. Data#Integrity!n!Data!must!be!relevant!and!reliable!for!the!purpose! it!was!collected!for.! 6. Access!n!Individuals!must!be!able!to!access!informaNon!held!about! them,!and!correct!or!delete!it!if!it!is!inaccurate.! 7. Enforcement!n!There!must!be!effecNve!means!of!enforcing!these! rules.!
- 29. Hvis du ikke betaler for tjenesten Deilig!med! gra+s!mat!og! hus! Er du neppe kunden
- 30. Du er Produktet
- 31. • Samler!mer!informasjon!enn!du!selv!publiserer! • Informasjon!kan!ikke!sleFes,!bare!gjøres!usynlig! • Hver!gang!du!åpner!appen!på!mobilen!blir!du! geotagget! • Endrer!tjenestepremissene!fortløpende! • FlyFer!stadig!grensene!for!hva!anser!som!privat! • ”Home”!for!Android!syndikerer!mange!tjenester,! f.eks.!Ipntelefoni,!meldinger!mm.! Facebook samler og analyserer
- 33. CCnBY!MarNn!Missfeldt! Projiserer et lag oppå det brukeren ser
- 37. Sentrale regler • Lov!om!offentlige! anskaffelser! • Forskrir!om!offentlige! anskaffelser! • Offentlighetsloven! • Forvaltningsloven! • Sikkerhetsloven!
- 40. Anskaffelser Regelverket passer ikke til alle
- 42. utfordringer Leverandør# • Lav!pris!forutseFer! standardisering! • Skytjenestevilkår!er! standardiserte! • Tjeneste!Nlbys!i!eF!format! ! Oppdragsgiver# • Offentlige!virksomheter!har! detaljerte!krav!Nl! funksjonalitet,!ytelse!og! Nlpasning! • Bruker!ore!Statens! standardavtaler! • Åpen!anbudskonkurranse! gir!liten!fleksibilitet! • Ikke!særlig!rom!for!avvik!i! LOA/FOA!
- 44. Outsourcing av personopplysninger krever databehandleravtale ! Dersom!en!virksomhet!seFer!ut!f.eks.!ITndrir,!fakturering,! kameraovervåkning,!håndtering!av!personalopplysninger! (utbetaling!av!lønn),!Nl!en!annen!virksomhet!må!deFe!reguleres! i!skrirlig!avtale.! ! En!databehandleravtale!kan!være!en!friFstående!avtale!mellom! partene,!eller!en!integrert!del!av!annet!avtaleverk.!! ! DataNlsynet:!! !Leverandør!av!NeFskyntjenester!er!databehandler, !uavhengig!av! !hvilken!tjeneste!som!leveres,!så!fremt! !personopplysningsloven! !med!forskrir!kommer!Nl! !anvendelse!
- 45. Outsourcing av personopplysninger krever databehandleravtale Personopplysningsloven!§15,!jf.!§13!! ! ! ! ! ! ! ! Behandlingsansvarlig!jf.!§!2!(4)! Den!som!bestemmer!formålet!!med!behandling!av!personnopplysningene! Ansvarlig!uavhengig!bruk!av!databehandler.! Databehandler!jf.!§!2!(5)! Den!som!behandler!personopplysningene!på!vegne!av!den!behandlingsansvarlig! Er!bundet!av!formålsangivelse,!kan!bare!behandle!pol.!!slik!det!fremgår!av!avtale.! Har!ikke!selvstendig!rådereF!over!data.! ! ”En$databehandler$kan$ikke$behandle$personopplysninger$på$annen$måte$enn$ det$som$er$skriAlig$avtalt$med$den$behandlingsansvarlige.$Opplysningene$kan$ heller$ikke$uten$slik$avtale$overlates$+l$noen$andre$for$lagring$eller$ bearbeidelse.$ I$avtalen$med$den$behandlingsansvarlige$skal$det$også$gå$frem$at$ databehandleren$plikter$å$gjennomføre$slike$sikrings+ltak$som$følger$av$§$ 13.”$
- 46. Datatilsynets veileder om databehandleravtaler Databehanderavtale:! Avtale!om!behandling!av!personopplysninger,!godkjennes!ikke!av!DataNlsynet! ! Minimumskrav!Nl!innhold!i!databehandleravtaler:! 1. !angi!formålet!med!behandlingen! 2. !beskrive!hvordan!personopplysningene!skal!behandles,!og!ha!regler!for!utlevering! 3. !regulere!databehandlerens!bruk!av!underleverandører! 4. !regulere!overføring!Nl!utlandet! 5. !pålegge!databehandleren!å!ha!Nlstrekkelig!informasjonssikkerhet! 6. !regulere!ivaretakelse!av!de!registrertes!reMgheter! 7. !regulere!varighet!og!opphør!!
- 48. 2. Beskrive hvordan personopplysninger Skal behandles Det!skal!tydelig!fremgå!av!avtalen!!hva!databehandler!skal! gjøre!med!personopplysningene.! Avtalen!skal!også!regulere!koblinger!mot!andre!pol.!/registre! Må!regulere!utlevering!Nl!eksterne!parter!og!vilkår!for!deFe! (underleverandør)! DataNlsynet!i!«Mossn!Office!365».! ! • «Microsor!kan!ikke!utlevere!data!Nl!andre!uten!eFer! godkjennelse!fra!kommunene….! • Microsor!kan!utlevere!opplysninger!Nl!«law! enforcement(authoriNes)!eks.!ved!eFerforskning!av!stra`are! forhold.»! • Godkjent!hvis!reFslig!bindende!for!tjenesteleverandør!og!ikke!i! strid!med!norsk!lov.!
- 49. Underleverandør Leverandør Kunde Bruk av underleverandør krever skriftlig forhåndssamtykke til databehandleren. WP29 om cloud computing: «the processor can subcontract its activites only on the basis of the consent of the controller wihch may be generally given at the beginning of the service»
- 50. 3.REGULERE BRUK AV UNDERLEVERANDØRER • Leverandørens!bruk!av!underleverandør!reguleres!i!skrirlig! avtale!! • Formålet!med!bruk!av!underleverandør!for!å!behandle!pol.!! må!angis! • Avtalen!mellom!leverandør!og!underleverandør!bør!forplikte! underleverandør!ihh.!Nl!forpliktelsene!som!påhviler! leverandør!eFer!databehandleravtalen.!! • Avtalen!bør!regulere!leverandørens!ansvar!for! underleverandører! • Kunden!bør!eventuelt!kreve!innsyn!i!!underleverandøravtaler!
- 51. Support Microsoft UDI Forhandler Databehandleravtale! Databehandleravtale!
- 53. BEHANDLINGSANSVARLIG MÅ HA KUNNSKAP OM UNDERLEVERANDØRER Informasjonsplikt!jf.!personopplysningsloven!§19:! !! !Når!det!samles!inn!opplysninger!fra!den!registrerte!selv,! !skal!den!behandlingsansvarlige!!gi!informasjon!Nl!den! !registrerte!om!opplysningene!vil!bli!utlevert,!og!eventuelt! !hvem!som!er!moFaker.! !
- 54. 4. AVTALEN MÅ REGULERE OVERFØRING TIL UTLANDET-HOVEDREGEL • Personopplysningsloven § 29 • Personopplysninger kan bare overføres til stater som sikrer en forsvarlig behandling av opplysningene. • Stater som har gjennomført direktiv 95/46/EF om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger, oppfyller kravet til forsvarlig behandling.
- 55. AVTALEN MÅ REGULERE OVERFØRING TIL UTLANDET-ANDRE OVERFØRINGSGRUNNLAG • Personopplysningsloven!§30! • Personopplysninger!kan!også!overføres!Nl!stater!som!ikke! sikrer!en!forsvarlig!behandling!av!opplysningene!dersom:! • Den!registrerte!har!samtykket! • DataNlsynet!har!NllaF!overføringen!(Binding!Corporate!Rules,! Data!Transfer!Agreements)! • Overføringen!skjer!fra!Norge!Nl!virksomheter!I!USA!som!er! NlsluFet!Safe!Harborprinsippene(jf.!pof.!§!6n1)! • Unntak!for!mellomlagring:! Enmail!Nl!adressat!i!Norge,!regnes!ikke!som!overføring!selv! om!den!er!innom!server!som!ligger!i!utlandet!!jf!DT!i!sin! uFalelse!i!«Narviknsaken».! !
- 56. NÆRMERE OM OVERFØRINGSGRUNNLAG • Safe!Harbour! – Få!USAbaserte!cloudleverandører!Nl!å!NlfredssNllle! personvernkrav!i!EU! – Avtale!mellom!!EU!og!USA! – Gir!ikke!nødvendigvis!NlfredssNllende!informasjonssikkerhet(!)! • Samtykke! – Skrirlig,!men!lite!prakNsk(!)! • EU!Model!clauses! – EU!data!transfer!agreement! • Leverandøren!må!akNvt!og!tydelig!informere!kunden!om! nødvendigheten!av!data!transfer!agreements!
- 59. UTFORDRING TILGANG TIL INFORMASJON OM SIKKERHETSNIVÅ. Disclaimer The information contained in this document represents the current view of Microsoft Corporation on the issues discussed as of the date of publication. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information presented after the date of publication. For the latest version of this document visit: http://www.microsoft.com/download/en/ details.aspx?id=26647 Standard#Response#to#Request#for#Informa2on#(Security#and#Privacy)#
- 64. Inger Anne Folkestad Tornes Kjell Steffner • Advokat,$partner$ • Særskilt!bransjekompetanse! innen!IKT! • God!forståelse!for!teknologi,! prosjektmetodikk!og!strategi! • Jobber!med!kontraktsreF,! forhandlinger,!offentlige! anskaffelser!og!personvern! • Tlf.!905!11!901!n!ks@lynxlaw.no! • AdvokaOullmek+g$ • Rådgivning!for!IKTnsektoren! • Jobber!med!kontraktsreF,! personvern!og!enhandel,!samt! offentlige!anskaffelser! • Tlf.!970!99!524!n! ir@lynxlaw.no!