Skydd av personuppgifter för användare som registrerats av EU-kommissionens identitetshanteringstjänst (Identity Management Service)

Transkript

1 Skydd av personuppgifter Skydd av personuppgifter för användare som registrerats av EU-kommissionens identitetshanteringstjänst (Identity Management Service) 1. Vad är identitetshanteringstjänsten? EU-kommissionens identitetshanteringstjänst (IMS) tillhandahåller ett enhetligt registreringsförfarande för användare av kommissionens informationssystem och tjänster (nedan kallade webbsidor respektive webbplatser). Denna information om skydd av personuppgifter gäller dig som använder EU-kommissionens autentiseringstjänst (ECAS) när du loggar in på kommissionens webbsidor, eftersom detta innebär att du är registrerad i IMS. Bland användarna finns kommissionens egen personal, personal vid andra organisationer och enskilda personer. Registrering kan ske på följande sätt: På initiativ av en användare eller den organisation som användaren tillhör eller företräder. Genom automatisk överföring av uppgifter från användarens organisation till kommissionen. Genom att användaren direkt för in de relevanta uppgifterna. IMS gör det möjligt att autentisera registrerade användare och kontrollera deras åtkomst till kommissionens webbsidor. I varje enskilt fall regleras de registrerade personuppgifterna av Europaparlamentets och rådets förordning (EG) nr 45/2001. Det är generaldirektoratet för informationsteknik som ansvarar för IMS, och det yttersta ansvaret ligger på den registeransvarige, generaldirektör Stephen Quest. Alla personer som behandlar de berörda uppgifterna har också ansvar. Kommissionens enskilda webbsidor som använder sig av IMS för allmänna personuppgifter kan dock samla in ytterligare personuppgifter på egen hand. Detta tas upp i webbsidornas egen information om skydd av personuppgifter. 2. Vilken typ av uppgifter samlar vi in, för vilket ändamål och med vilka tekniska hjälpmedel?

2 Registrering krävs vanligtvis: om tillgången till en sida är begränsad till behöriga personer, om det finns ett behov av att webbplatsen kommer ihåg dig mellan besöken och anpassar sig till dina behov eller önskningar, för att du ska kunna ta emot ytterligare information som du begärt, exempelvis nyhetsbrev och uppdateringar, och för att du ska kunna få enskilda rättigheter som du begärt eller på annat sätt är berättigad till. Vi lagrar de uppgifter som du lämnar i registreringsblanketten (om du registrerar dig själv) eller som din organisation lämnar direkt till oss. Dina uppgifter kan göras tillgängliga även för andra kommissionswebbsidor än den för vilken du först fick ditt konto, om du försöker att få tillgång till dessa sidor när du varit inloggad på ditt konto. Genom att logga in och använda ditt konto ger du ditt samtycke till att uppgifterna används enligt beskrivningen i denna information. De uppgifter vi får in genom registreringsprocessen inbegriper både personuppgifter och, om du är registrerad som en företrädare för eller medlem av en organisation, uppgifter rörande din koppling till organisationen i fråga. Personuppgifter inbegriper namn, vistelseort, intresseområden (när det gäller kommissionen), e-postadress och telefonnummer. Uppgifterna om organisationen kan inbegripa organisationens namn, den avdelning du arbetar för, adressen till ditt kontor, ditt förhållande till organisationen (t.ex. anställd), dina yrkesroller och din yrkestitel samt, för att undvika dubbel registrering av uppgifter, en unik identifieringskod. Den information som överlämnas av din organisation regleras av de föreskrifter som gäller för överföring av personuppgifter och omfattar eventuellt bara en del av de uppgifter som nämns ovan. Det konto som vi skapar innehåller tillräckliga uppgifter för att vi rimligen ska kunna lita på att det i fortsättningen används av dig själv eller någon som har tillgång till de uppgifter du uppgav (inklusive lösenordet). Vi lagrar även vissa ytterligare uppgifter (som finns angivna nedan) som rör aktiviteten på det användarkonto vi skapar åt dig, så att vi kan skydda både din identitet och integriteten hos de av kommissionens system som du har tillgång till. Dessa ytterligare uppgifter används för att identifiera och lösa problem samt för att hantera säkerhetsincidenter. Många av uppgifterna handlar om försök att använda en identitet och vad som händer innan en användare har lyckats logga in. Identitetshanteringstjänsten lagrar även en lista över de åtkomsträttigheter du fått av

3 kommissionen för att du ska kunna ges eller nekas åtkomst till enskilda webbsidor. Som användare kan du granska alla uppgifter som finns lagrade om ditt eget konto, vilket gör att du kan kontrollera att ditt konto inte har använts och att ingen har försökt använda det utan din vetskap. Vi kan samla in följande ytterligare uppgifter om varje användare: Datum och klockslag för det senaste lyckade och misslyckade autentiseringsförsöket senaste bytet av lösenord senaste återställningen av lösenordet Antal lyckade inloggningar och misslyckade försök Dina senaste lösenord för att garantera att du följer de rådande säkerhetsbestämmelserna för återanvändning av lösenord. När du loggar in eller ändrar ditt lösenord kan vi registrera ytterligare information i loggfiler, såsom IP-adress, i enlighet med de syften som anges ovan. Denna information kan hjälpa oss att följa upp misstänkt aktivitet på ditt konto. Informationen kommer inte att användas för att övervaka din aktivitet, förutom att det blir möjligt för oss att radera kontot när det inte längre används. Många av kommissionens webbsidor använder EU-kommissionens autentiseringstjänst (ECAS) för autentisering av användare: ECAS har ett särskilt användargränssnitt som är oberoende av kundsida och som har enkel inloggning. Några av de uppgifter som nämns här är inte relevanta för de av kommissionens webbsidor som inte använder ECAS om du aldrig loggar in via ECAS kommer uppgifterna därför inte att lagras bland dina kontouppgifter. Observera att en inloggning via ECAS alltid sker via en sida som är tydligt märkt med ECAS logotyp. Varje gång du loggar in på en sida som skyddas av ECAS, kommer identifieringskoden, webbsidan och tiden att registreras i en loggfil. Vi registrerar inte hur lång tid du är inloggad på en sida. Däremot, om du loggar ut från ECAS, vilket vanligtvis inte är nödvändigt, kommer tidpunkten för utloggningen att registreras. Anmärkning: användning av kakor ECAS använder kakor för att du ska kunna logga in på olika applikationer utan att behöva ange användarnamn och lösenord upprepade gånger. Kakor innehåller inga personuppgifter överhuvudtaget, endast en pekare som låter autentiseringstjänsten hitta dina inmatade uppgifter i sina egna tabeller. Dessa kakor är tillfälliga, dvs. de tas bort från datorn när du stänger din webbläsare. Om din webbläsare inte tillåter kakor kommer du inte att kunna använda denna

4 inställning, utan du kommer att behöva ange lösenord varje gång du loggar in på en ny kundapplikation hos autentiseringstjänsten. En beständig kaka kan skapas för din bekvämlighet för att registrera ditt val av språk, och om du så önskar, även ditt användarnamn. Om en sådan kaka saknas, är engelska det automatiskt förvalda språket. 3. Vem har tillgång till dina uppgifter och för vem kan uppgifterna visas? Genom att registrera dig godkänner du att de uppgifter du har skrivit in i registreringssystemet för användare visas för de webbsidor du kommer åt efter att ha angett användarnamn och lösenord. Om du registrerades av din organisation förutsätts det att du har gett ditt samtycke (underförstått eller uttryckligen) till att dina uppgifter överförs. Uppgifter om aktiviteten på ditt konto överförs aldrig till någon annan av kommissionens webbsidor via IMS. Kommissionen kommer inte att sprida dina uppgifter till tredje part utanför generaldirektoratet för informationsteknik med undantag för följande: Den behöriga supportenhet eller supportavdelning som är ansvarig för den domän där du är registrerad, Behöriga organ, vilket avgörs från fall till fall: Olaf, kommissionens direktorat för säkerhet, interna disciplinära organ, Europeiska ombudsmannen eller Europeiska datatillsynsmannen. Om du vill skydda din integritet kan du välja (genom ett alternativ på inloggningssidan) att bli underrättad varje gång en förlitande part (till exempel en av kommissionens webbsidor) begär uppgifter om din identitet, och du kommer att kunna avbryta åtgärden innan några uppgifter överlämnats. Detta kan dock göra applikationen otillgänglig för dig. Om du, när du har loggat in på ECAS, vill få anonym åtkomst till någon webbplats kan du göra något av följande innan du ansluter till sidan: Öppna en ny webbsession och gå in på sidan därifrån Logga ut från autentiseringstjänsten Inaktivera kakor i din webbläsare Observera att olika webbläsare reagerar olika på dessa kommandon, vilket kan påverka resultatet.

5 Om du behöver få tillgång till en av kommissionens webbsidor som kräver att du registrerar och autentiserar dig, men du inte vill att sidan ska ha tillgång till de uppgifter du angav för att få tillgång till en annan av kommissionens webbsidor, föreslår vi att du skapar ett separat konto för detta syfte. Detta kommer att kräva att du uppger en annan e-postadress, som inte behöver gå att spåra till dig personligen. Detta kan förstås leda till att du nekas åtkomst till vissa sidor som kräver identifiering. Ditt lösenord lagras endast i oåterkalleligt krypterad form. Förutom ditt lösenord kan administratörerna se alla uppgifter som rör en viss användare. Detta hjälper dem att utföra uppgifter som att hjälpa användare med problem och att identifiera misstänkta säkerhetsincidenter. 4. Hur skyddar och bevarar vi dina uppgifter? Kommissionen lagrar dina personuppgifter i säkra datorer och endast behöriga personer och interna webbsidor har tillgång till dina uppgifter. När du loggar in krypteras lösenordet alltid på nätverket och dekrypteras för att kontrolleras mot det lagrade lösenordet av autentiseringstjänsten, inte av den enskilda webbplatsen. Alla lösenord (inklusive tidigare lösenord som nämnts ovan) lagras i en form som gör att de kan kontrolleras mot ett angivet värde, men deras faktiska värde kan inte erhållas från det lagrade värdet. Uppgifterna om ditt användarkonto är tillgängliga endast för dig själv och för administratörerna. Om du registrerade dig direkt bör du vara medveten om att vem som helst med tillgång till ditt e-postkonto kan använda det konto du skapar och anta den identitet kontot representerar. Du bär själv ansvaret för att bedöma vilken risk detta utgör för dig personligen. Vissa användare har även möjlighet att återställa sitt lösenord via e-post. Dessa användare bör tänka på att vem som helst som har tillgång till deras e-postkonto (på grund av automatisk vidarebefordring, delegering eller andra orsaker) kommer att kunna återställa lösenordet. Därför kräver kommissionen, för att användare ska kunna bedriva viktig affärsverksamhet eller få tillgång till känslig information, strängare identitetskontroller och ditt konto kommer att behöva upprättas eller förändras specifikt för detta syfte. Du kommer att behöva kontakta den ansvariga avdelningen på kommissionen eller en utnämnd representant på din organisation för att kunna göra detta. Om du har anledning att misstänka att ditt lösenord har utsatts för intrång till exempel om ditt lösenord verkar ha ändrats utan din vetskap ska du underrätta din kontaktperson på

6 supporttjänsten, eller kontakta kommissionen enligt anvisningarna på sidorna för registrering och autentisering av användare. Observera: I princip, och särskilt om du har tillgång till känsliga system, ska du aldrig avslöja ditt lösenord till någon annan. Det är bara du som ska känna till det. Särskilt viktigt är att du endast uppger ditt ECAS-lösenord på sidor som visar den godkända ECAS-logotypen. Uppge inte lösenordet om du tvivlar på att sidan verkligen är skyddad av ECAS. När du uppger ditt lösenord bör du försäkra dig om att din webbläsare anger (vanligtvis genom en hänglåssymbol eller annan symbol) att du är på en säker anslutning och att du är ansluten till en av kommissionens webbplatsadresser (t.ex. ec.europa.eu, webgate.eu-admin.net). 5. Hur kan du verifiera, ändra eller radera dina uppgifter? Du kan verifiera dina kontouppgifter, inklusive de uppgifter som registreras om aktiviteten på ditt konto, antingen på webbsidan för tjänsten för användarregistrering eller på autentiseringstjänsten ECAS webbplats. Detta inbegriper inte uppgifter som endast lagras i loggfiler. Om du vill få tillgång till de uppgifter som finns i dina loggfiler kan du sända en begäran om detta till kontrollanten på den adress som anges nedan. Du kommer att få svar inom sex veckor efter mottagandet av din begäran. Om problem uppstår kan du få hjälp genom att klicka på kontaktlänken nedan (se punkt 7). Om du registrerade dig själv i kommissionens system kommer du att kunna ändra eller radera personuppgifter på webben. Men om dina uppgifter registrerades via en tredje part kanske detta inte är möjligt, och du kommer att behöva kontakta den tredje parten för att få informationen ändrad. Du kan i vilket fall som helst få hjälp av kommissionen med att radera uppgifterna, men om den tredje parten återigen inlämnar uppgifterna kommer de att återinföras. Eftersom de tekniska uppgifter som innehas av autentiseringstjänsten samlas in automatiskt är det inte möjligt att ändra dem, med undantag för själva lösenordet. 6. Hur länge sparar vi dina uppgifter? IMS sparar dina uppgifter så länge du är registrerad som en aktiv användare och ett år därefter. Uppgifter om användare som registrerats automatiskt via interna källor (vid kommissionen och andra EU-organ) kan sparas så länge som de finns kvar i källsystemet. Om du registrerades via en tredje part kommer aktivitetsperioden vanligtvis att vara lika länge som avtalet med parten i

7 fråga eller begränsas av ett slutdatum. I annat fall kommer kommissionen att betrakta dig som aktiv så länge du fortsätter att använda ditt konto eller till dess att giltighetstiden för ditt konto upphör. Observera att i de fall då användare själva registrerat sig hos IMS förlängs ettårsperioden med en tillräcklig tidsfrist för att möjliggöra utbyte av e-postmeddelanden med en användare. Detta utbyte gör det möjligt för användaren att begära en förlängning och därmed nollställa den registrerade perioden av inaktivitet. Om användaren inte svarar på meddelandet kommer alla personuppgifter att raderas. Kommissionen säkerhetskopierar regelbundet data från IMS för att säkerställa en korrekt systemåterställning om det skulle bli nödvändigt att starta om verksamheten. Dessutom är IMS noggrant övervakat och alla känsliga handlingar inom systemet loggas, inklusive varje autentiseringsbegäran. Dessa loggar (loggfiler) omsätts regelbundet och tas bort från det aktiva systemet efter maximalt sex månader i enlighet med Europaparlamentets och rådets förordning (EG) nr 45/2001. Alla loggfiler som säkerhetskopieras genom kommissionens standardförfarande för säkerhetskopiering kommer inte att tas bort från säkerhetskopiorna förrän dessa kopior återvinns, men logguppgifterna kommer inte att återställas om en systemåterställning blir nödvändig. 7. Kontaktuppgifter Om du vill ställa frågor eller lämna in klagomål om tjänsten när det gäller användningen av dina personuppgifter, kan du klicka på kontaktlänken som visas på IMS webbsidor eller skriva till nedanstående adress: Generaldirektören Generaldirektoratet för informationsteknik EU-kommissionen Rue de la Loi 200 B-1040 Bryssel 8. Klagomål Eventuella klagomål riktas till Europeiska datatillsynsmannen.