Innebygd personvern og dataklassifisering INFRA – Søkerseminar 3. September 2018 Asbjørn Tingulstad Hem – IT-juridisk ansvarlig USIT

Hvorfor er personvern viktig for dere? GDPR – nytt personvernregelverk fra 20. juli 2018 – STRENGT regelverk All infrastruktur som utvikles og som skal behandle personopplysninger må oppfylle mange krav i GDPR samme om det er helseopplysninger, personbilder, bilskilt, DNA (absolutt alt som kan kobles til et enkeltperson). Oppfyller ikke infrastrukturen kravene i GDPR, vil systemet være ulovlig å bruke.

UiOs dataklassifisering – hvilken type data er infrastrukturen ment for? UiO deler typer data inn i 4 kategorier GRØNN – GUL – RØD – SVART https://www.uio.no/tjenester/it/sikkerhet/lsis/tillegg/infoklasser.html Hvilke kategorier som kan lagres og behandles i ulike typer systemer følger av lagringsguiden. https://www.uio.no/tjenester/it/sikkerhet/lsis/tillegg/lagringsguide.html Eks. – Utvikler du en infrastruktur ment for helseopplysninger (RØD/SVART data), som benytter seg av systemer som lagringsguiden ikke aksepterer, så er systemet ubrukelig for UiO.

Innebygd personvern, GDPR art. 25 Personvern skal være integrert i løsninger Basert på typer opplysninger og mengden opplysninger: gjør en risiko og sårbarhetsanalyse (ROS) for systemet. Kartlegg potensielle uønskede hendelser. hvilke tiltak må iverksettes for å møte risikoene? sikkerhetskrav (basert på lukket system, krypterte løsninger?) tilganger/innlogging (hvilke kontrollfunksjoner er nødvendige?) muligheter for logging for å kunne avdekke/spore sikkerhetsbrudd? lagring? I tid og sted. avidentifiserte personopplysninger (hvor skal koblingsnøkkelen ligge?) er det lov å integrere med andre systemer? fortløpende anonymisering av personopplysninger? Er du helt sikker på at det blir anonymisert?

Rettigheter til forskningssubjekter som påvirker forskningen Innsyn i personopplysninger Er det enkelt å finne frem til enkeltpersoner i systemet slik at man kan gi dem innsyn? Finnes det gode oversikter over hvem som deltar i forskningen? Rett til å trekke samtykke tilbake Enkelt å slette opplysninger fra et prosjekt hvis forskningssubjektet trekker sitt samtykke? Opplegg for elektronisk samtykke? Lagres samtykker i systemet? Retten til sletting? Unngå mye arbeid i ettertid ved å planlegge tidlig for forskersubjektets rettigheter.

Integrer løsninger på forhånd Endringer i infrastruktur i ettertid fører ofte til unødvendige merkostnader unødvendig merarbeid et mer tungvint arbeidsverktøy og sluttprodukt enn forutsatt Jo færre personopplysninger, jo mer anonymt, jo bedre.

I søknaden Personvern er et konkurransefortrinn. Beskriv, når aktuelt, hvordan infrastrukturen ivaretar personvernet. Hvordan du kan oppfylle rettighetene til forskningsobjektene Hvordan sikkerheten til personopplysningene ivaretas Hvordan systemet oppfyller krav til innebygget personvern i GDPR art. 25. Datatilsynets veileder for innebygd personvern og art. 25: https://www.datatilsynet.no/regelverk-og- verktoy/veiledere/programvareutvikling-med-innebygd-personvern/ Personvern er et konkurransefortrinn.

Datatilsynets veileder for innebygd personvern: behandlingsansvarlig@uio.no Datatilsynets veileder for innebygd personvern: https://www.datatilsynet.no/regelverk-og- verktoy/veiledere/programvareutvikling-med- innebygd-personvern/