Molntjänster och integritet vad gäller enligt PuL?

Transkript

1 Molntjänster och integritet vad gäller enligt PuL? Juridik och IT i kommunerna, den 14 mars 2013 Ingela Alverfors, jurist Adolf Slama, IT-säkerhetsspecialist

2 Dagens agenda Molntjänster Mobila enheter Sociala medier i skolan Fråga och diskutera!

3 Vad är en molntjänst? SAAS (Software as a Service) PAAS (Platform as a Service) IAAS (Infrastructure as a Service)

4 Moln detta har hänt Tre beslut Enköpings kommunstyrelse Dropbox Brevo AB - Windows Azure Salems kommunstyrelse Google Apps Vägledning

5 Detta är på gång Nytt beslut, uppföljning Salem Beslut i tillsynsärende om användningen av Google Apps For Education på en gymnasieskola Fortsatt mycket frågor om molntjänster per telefon och mejl (bra!) Föreläsningar och seminarier om moln

6 Vad händer i Norden? Norge, två ärenden rörande molntjänster, Moss och Narvik (Office 365 resp. Google Apps) Danmark, fyra ärenden om molntjänster, Odense, IT-universitetet Köpenhamn, Svendborg kommun, Ministry of Social Affairs and Integration, (Google Apps resp. Office 365) Samarbete inom Nordiska Ministerrådet, Guide för offentlig sektor

7 Vad händer i Europa? Opinion on Cloud Computing (WP 196) 29/documentation/opinionrecommendation/files/2012/wp196_en.pdf Granskning av Googles Privacy Policy (CNIL) Granskning av Microsoft (CNIL och CNPD)

8 Vem använder molntjänster? DROPBOX-GOOGLEAPPSFORBUSINESS- FACEBOOK-HOTMAIL-PREZI-PROJECTPLACE- MICROSOFTAZURE-YOUTUBE-INSTAGRAM- GOOGLEAPPSFOREDUCATION-MICROSOFT365- SPOTIFY-ICLOUD-WORDPRESS-PHOTOSHOP- GOOGLEDRIVE-WINDOWSSKYDRIVE-ITUNES- FLICKR-1PASSWORD-EVERNOTE-M.FL.

9 ..om jag vill använda en molntjänst? 1. Risk- och sårbarhetsanalys! 2. Vilka personuppgifter ska behandlas? 3. Uppfyller leverantören ställda säkerhetskrav? 4. Granska leverantörens avtal, är villkoren förenliga med PuL och/eller annan relevant lagstiftning?

10 Risk- och sårbarhetsanalys Gör det enkelt!

11 Risk- och sårbarhetsanalys Identifiera-Analysera-Utvärdera Utgå från den egna verksamheten och vilka personuppgifter som ska hanteras. Vilka potentiella risker finns med personuppgiftsbehandlingen och hur kan dessa risker undvikas? Ta fram kravlista som måste uppfyllas av molntjänstleverantörens avtalsvillkor.

12 Granska avtalen Kontrollera vilka avtal och bilagor som gäller och hierarkin mellan dessa Finns det ett personuppgiftsbiträdesavtal? Är det en opt in-variant? (Tredjelandsöverföring?) Hänvisar leverantören till dokument som inte är juridiskt bindande? Vilken rätt har leverantören att göra ändringar och tillägg till avtalet/n?

13 Granska PuB-avtalet Instruktioner till biträdet I PuB-avtalet ska det särskilt föreskrivas att biträdet får behandla personuppgifterna bara i enlighet med instruktioner från den personuppgiftsansvarige (30 PuL)

14 Granska PuB-avtalet Instruktioner till biträdet - ändamål Den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in. (9 c och d PuL)

15 Granska PuB-avtalet Instruktioner till biträdet ändamål providing, maintaining and improving the services i syfte att driva och förbättra webbplatser och tjänster

16 Vad är problemet? Registrerad Information? Samtycke? Måste veta hur personuppgifterna behandlas Molnkund/PuA Ansvarig Bestämmer ändamål (måste vara specifikt) Tillåtlig grund Instruerar PuB Leverantör/PuB Får bara behandla personuppgifter efter instruktioner (om ändamål t.ex.)

17 Granska PuB-avtalet Instruktioner till biträdet radering av uppgifter Den personuppgiftsansvarige skall se till att personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. (9 i PuL)

18 Granska PuB-avtalet Instruktioner till biträdet radering av uppgifter raderar inom rimlig tid

19 Vad är problemet? Är det tillåtet för en molnleverantör att fortsätta att behandla personuppgifter som kunden har raderat? Vem ansvarar för personuppgifter som molnleverantören inte har raderat? Hur kan kunden veta om leverantören fortsätter att behandla personuppgifter som har raderats? Hur kan kunden veta när leverantören raderar? Vilket ansvar har kunden gentemot de registrerade?

20 Granska PuB-avtalet Anlitas underleverantörer? - Vilka? - Var? - Tredje land? - Har biträdet mandat att teckna avtal? - Rätt för kunden att frånträda avtalet?

21 Granska PuB-avtalet Överföring till tredje land Enligt huvudregeln är det förbjudet att överföra personuppgifter till tredje land, men; 1. Standardavtalsklausuler (2010/87/EU) 2. Safe Harbor (USA) 3. Binding Corporate Rules (BCR) för biträden (33-35 PuL)

22 Granska PuB-avtalet Överföring till tredje land För att standardavtalsklausulerna ska vara giltiga får inga villkor i klausulerna ändras. (opt in?) För att Safe Harbor principerna ska vara tillämpliga måste underleverantören vara ansluten till dessa principer. En garanti att agera i enlighet med Safe Harbor principerna är inte tillräckligt. BCR för biträden är nytt och tillämpas (såvitt känt) ännu inte av någon molntjänstleverantör.

23 Hur använder vi molntjänster på ett lagligt sätt?

24 Grönt ljus och godkänd? Datainspektionen granskar enbart enskilda behandlingar. Datainspektionen lämnar inga generella godkännanden eller grönt ljus för specifika molntjänster!

25 Till sist Tänk på! Har er verksamhet regler för när/om anställda på eget initiativ får använda molntjänster? Om dokument delas i molnet med en annan myndighet/organisation/enskild har handlingarna då lämnats ut? Ansvarar någon för att uppgifterna i molnet raderas eller arkiveras (om så krävs)?

26 Mobila enheter Risk- och sårbarhetsanalys, löpande Instruktioner till användaren Nedladdning av appar och program? Gränsen mellan privat och professionellt användande Stark autentisering och kryptering Behörighet Hur länge lagras uppgifterna Logguppföljning Särskilda säkerhetsåtgärder? Bring your own device?

27 Sociala medier i skolan Hur används sociala medier i skolan? Kan en skola kräva att elever ska kommunicera med andra elever och lärare via sociala medier? Vem ansvarar för hanteringen av personuppgifter?

28 Kontakta Datainspektionen Fråga upplysningstjänsten Tel

29 Kontakta oss Tel Tel

30 TACK