GDPR – fra teori til virkelighet

Presentasjon om: "GDPR – fra teori til virkelighet"— Utskrift av presentasjonen:

1 GDPR – fra teori til virkelighet
Sikkerhet og Sårbarhet, Trondheim 9-10.mai 2017

2 Veien til GDPR compliance
Vi skal snakke om de praktiske tingene som alle må gjøre fram til GDPR trer i kraft om ganske nøyaktig ett år. Vi vil spesielt vise til hvilke aktiviteter man må gjennom hvor det er hjelp å få fra enten juridisk hold eller eventuelle driftspartnere

3 UTNEVN EN DPO DPO: Data Protection Officer / Personvernombud
Må jeg ha et personvernombud? Hvem bør jeg velge? Skal jeg eie eller leie et personvernombud? Utnevn og lær opp ditt personvernombud nå, og la vedkommende lede/bidra til ditt GDPR-prosjekt! Din driftspartner må nødvendigvis ha et personvernombud selv Hvem er personvernombud i ditt kundeforhold? Eva først: Hvem bør være DPO? Hva er spesielt for rollen? Esten: Også dine leverandører og partnere vil ha DPO’er. Etabler relasjoner tidlig

4 KARTLEGG DINE DATA HVA ER EGENTLIG PERSONOPPLYSNINGER?
Vanlige PO - alt som direkte eller indirekte kan identifisere en person Sensitive PO – som i dag, med tillegg av Genetiske data Biometriske data Esten: Eksempler: IP-adresser, identifikatorer det er teknisk mulig i dag, eller i fremtiden, å knytte til ett individ

5 KARTLEGG DINE DATA KARTLEGG OG DOKUMENTER:
Hvilke personopplysninger samles inn, og hvorfor? Hvor lagres dataene? Hvor, og hvordan overføres de til andre? Hvor lenge skal de beholdes? Vurder risiko Din driftspartner må bistå i din kartlegging Gjør gjennomgangen pr. system/tjeneste! Esten - Må gjøres for alle tjenester som lagrer persondata - Lagring. Ofte motstrid mellom andre lovverk og GDPR…

6 KLARGJØR ROLLER HVEM ER:
Behandlingsansvarlig (den som bestemmer hva personopplysningene skal brukes til og derfor også hvorfor opplysningene samles inn) Databehandler (er den som behandler personopplysninger på vegne av den behandlingsansvarlige) Benytter databehandler underleverandører? Lagres persondata i skyen? Innenfor eller utenfor EU? Hvem er ansvarlig for skytjenesten? Søk juridisk bistand ved behov Esten Viktig å tidlig finne ut av dette. Også her kan det være lurt å tenke på dette for hvert system eller tjeneste

7 UTFØR DPIA (Data Protection impact assessments)
DPIA må gjennomføres når: Behandlingen medfører vesentlig risiko for personvernet Behandlingen skjer i stort omfang DPIA er en konsekvensanalyse som: Baserer seg på din kartlegging og prioritering Identifiser risiko og mitigerende tiltak Bør gjennomføres sammen med dine leverandører Esten

8 INNGÅ AVTALER DATABEHANDLERAVTALE:
Inngås mellom behandlingsansvarlig og databehandler(e) Gjelder også skytjenester! Hvem er juridisk ansvarlig for en tjeneste i skyen; du eller din driftspartner? Esten

9 INNGÅ AVTALER PRIVACY SHIELD: MODELLAVTALE: Kun USA
Databehandleravtale/modellavtale kreves i tillegg! MODELLAVTALE: Alle tredjeland Eva

10 UtVIKLE LØSNINGER DINE APPLIKASJONER MÅ SØRGE FOR:
Innebygget personvern Default personvern Funksjoner for sletting/flytting av data Innhenting av samtykke fra brukere DRIFTSLEVERANDØR MÅ: Dokumentere (sertifisere) sin generelle informasjonssikkerhet Sørge for innebygd personvern i driftsløsninger og verktøy Besørge nødvendig sikkerhetsovervåkning Esten

11 Utarbeid operative rutiner
DU TRENGER RUTINER FOR: Innhente samtykke Innsyn i data, dataflyt og behandling Sletting av persondata Utlevering/flytting av data Imøtekomme krav om begrenset behandling Sammen med Driftsleverandør: Rutine for avviksbehandling og rapportering Solide driftsrutiner Esten

12 SIST, MEN IKKE MINST…. DokumentÉr!
Hvert steg, underveis. Esten: Hvorfor dokumentasjon? Du må kunne bevise hva du gjør, og hvordan, om du vil unngå store bøter fra datatilsynet, eller gruppesøksmål Eva: sanksjoner og gruppesøksmål

13 LYST PÅ MER? BF-SIRT Blog: blog.basefarm.com
Artikler på Takk for oss