Skytjenester - Risikohåndtering og compliance

Transkript

1 Skytjenester - Risikohåndtering og compliance Lovlig behandling av personopplysninger i skyen Faggruppen for Cloud Computing Oslo 16. oktober 2012

2 Agenda Lovlig behandling av personopplysninger i skyen Faggruppen Cloud Computing v/ senioradvokat Kristin Haram Sentrale problemstillinger og regelverk Grunnleggende krav og prinsipper Nye regler: Artikkel 29-gruppens Opinion on Cloud Binding Corporate Rules for Tjenesteleverandører De nye personvernreglene i EU Datatilsynets Bjørn-Erik Thon Datatilsynets syn på skytjenester Sentrale problemstillinger Betydningen av avklaringene fra EU Betydningen av Narvik-saken Advokat Malin Tønseth Oppdatering sentrale saker, særlig fokus på Narvik-saken Praktiske erfaringer i arbeid med skytjenester Råd og tips til brukere og leverandører av skytjenester

3 Sentrale problemstillinger - grunnleggende krav og prinsipper

4 Sentralt regelverk EUs personverndirektiv 95/46/EF Forslag til ny forordning COM(2012) 11/4 draft Personopplysningsloven (2000 nr 31) Regulerer behandling av personopplysinger Elektroniske hjelpemidler Manuell behandling dersom inngår i personregister Personopplysning Enhver opplysning eller vurdering som kan knyttes til en enkeltperson, f.eks.: Informasjon vedrørende ansatte (navn, adresse, e-postadr. mv.) Kundeinformasjon (kontaktinfo, e-post, tlf. nr., bilder mv.) IT-relatert informasjon (brukerprofil, brukerlogg, IP-adresse mv.)

5 Roller og ansvar Skytjenestekunden = Behandlingsansvarlig (BA) Bestemmer formål og hjelpemidler Hovedansvarlig etter personopplysningsloven Skytjenesteleverandøren = Databehandler (DB) Leverer tjenester - verktøy og plattform Behandler personopplysninger på vegne av BA Krav om databehandleravtale mellom BA og DB

6 Grunnleggende krav og prinsipper Rettslig grunnlag for behandling Formålsbestemt innsamling og behandling Informasjon og innsyn (transparens) Datakvalitet og sletting Overføring til utlandet Informasjonssikkerhet Strengere vern for sensitive personopplysninger

7 Særlig om informasjonssikkerhet tilfredsstillende informasjonssikkerhet, 13 Sikkerhet = håndtering av risiko Konfidensialitet, integritet, tilgjengelighet Dokumentasjon Etablering av sikkerhetstiltak i forhold til faktisk risiko Detaljerte regler i forskriften kap. 2

8 Særlig om overføring til utlandet Utgangspunktet POL 29 Personopplysninger kan bare overføres til stater som sikrer forsvarlig behandling EU/EØS - Tilsvarende vernenivå, jf direktivets formål Tredjeland/Stater godkjent av EU-kommisjonen/Datatilsynet USA Safe Harbor Standard Contractual Clauses (SCC) Binding Corporate Rules (BCR)

9 Nye regler.

10 Utkast ny forordning COM(2012) 11/4 draft Forventet å tre i kraft om ca 2 år Betydning for skytjenester? - One-stop-shop og harmonisering - Mer informasjon til de registrerte - Data breach notification - Data Protection Officers (over 250 ansatte) - Høyere sanksjoner - Kodifisering av Binding Corporate Rules

11 Ny veiledning om cloud Artikkel 29-gruppen Opinion on Cloud Computing To sentrale utfordringer: BA har manglende kontroll med dataene i skyen (hvordan sikre tilgang, segmentering, konfidensialitet mv.) Ofte utilstrekkelig informasjon (transparens) fra DB om behandlingen i skyen Grunnleggende forhold som må ivaretas også i skyen: Krav til transparens Krav om formålsspesifikasjon Sentrale krav til leverandørkontrakten Slå fast at DB må følge BAs instrukser om behandlingen av data (link til SLA en) Gi tilstrekkelige garantier for sikkerheten til dataene og spesifisere relevante tiltak Beskrive tekniske og organisatoriske løsninger Inneholde regler om tilgang til data Ivareta sletting av data Redegjøre for hvor data vil bli lagret/behandlet (plassering av datasentre) og sikre lovlig grunnlag for overføring til utlandet Sikre logging av autorisert/uautorisert tilgang til data Sikre adgang til revisjon (tredjepartsrevisjon kan være hensiktsmessig og tilstrekkelig)

12 BCR for tjenesteleverandører Ny safe harbor for skytjenestekunden? BCR for behandlingsansvarlige (BCR): satt sammen for å regulere overføring av personopplysninger internt i et konsern, personopplysninger som opprinnelig er samlet inn av behandlingsansvarlige selv (opplysninger om ansatte, kunder etc) BCR for databehandler(pbcr): satt sammen for å regulere overføring av personopplysninger som er innhentet fra og behandles på vegne av behandlingsansvarlige, i overensstemmelse med instruksjoner fra behandlingsansvarlige (skytjenester, outsourcing etc) I og med Artikkel 29 gruppens arbeidsdokument, er PBCR-ordningen er en farbar vei å gå for tjenesteleverandører som ønsker å være en garantist for at de, innenfor sitt konsern, behandler personopplysninger i tråd med EU-regelverket

13 BCR for tjenesteleverandører Ved å få godkjent PBCR, vil tjenesteleverandøren få status som "sikker databehandler", som igjen gir tjenesteleverandørens kunder en mulighet til å overkomme de hindringene og utfordringene vi hittil har sett under EU-lovgivningens strenge krav til databehandlers behandling og overføringer av personopplysninger globalt. PBCR vil innebære et alternativ til bruk av EUs standardavtaler og øvrige eksisterende garantier for globale dataoverføringer. Slike multiple garantier har hittil representert et lite fleksibelt, og ikke minst byrdefullt, system for databehandlere. PBCR åpner for at databehandlere kan få godkjent sine egne retningslinjer for sikker behandling og overføring av kundenes personopplysninger, og innebærer derfor en hensiktsmessig selvregulering.

14 Hvordan avtale BCRP PBCR blir bindende mellom partene ved en henvisning fra SLA til PBCR (som et vedlegg til avtalen) Skytjenestekunden/BA skal gi nødvendig informasjon til de registrerte om at overføringene potensielt kan skje til ikkegodkjente tredjeland Skytjenestekunden/BA skal også gi informasjon om BCRP og de relevante tredjeland De registrerte skal ha rett til, ved forespørsel, å få innsyn i BCRP og SLAen (men ikke tilgang til konfidensiell informasjon) Klare konfidensialitets- og sikkerhetstiltak skal være henvist til via en elektronisk link SLAen skal inneholde klare instrukser for Skytjenesteleverandørens behandling av personopplysninger

15 Praktiske utfordringer ved skytjenester

16 Praktiske utfordringer Skytjenester kan oppfattes som en trussel mot grunnleggende personvernprinsipper Transparens og kontroll Minimalitet Informasjonssikkerhet Det har hersket usikkerhet om lovligheten av skytjenester Kommende EU-regler vil komme til å påvirke rettsbildet

17 Praktiske utfordringer fortsatt Sentrale spørsmål Forbudet om overføring til tredjeland /utenfor EØS hvor lagres opplysningene hvor er datasentrene? grunnlag for overføring til samtlige sentre/overføring mellom ulike datasentre? kan man avtale hvilke sentre som skal benyttes? Forhandlingssituasjonen: Liten BA vs. stor DB Databehandleravtale Bruk av standardkontrakter BA må velge en tjenesteleverandør som garanterer etterlevelse av kravene til behandling av personopplysninger

18 Praktiske utfordringer fortsatt Risikovurdering hvordan foreta tilstrekkelig sikkerhets- og risikoanalyse? Kontroll og revisjonsmuligheter Særlig utfordring hvis usikkert hvor opplysningene befinner seg Sikkerhet Tilbyders tilgang til opplysninger Kryptering Krav til logging Sletting

19 Oppdatering sentrale saker

20 20

21 21

22 Narvik Kommune/Google Apps Sentrale spørsmål fra Datatilsynet Opplysninger som inngår i løsningen Interne rutiner/kontroll med bruk av tjenesten Kryptering eller annen sikring (når konfidensialitet er nødvendig) Sletterutiner Risikovurdering Konfidensialitet Integritet Tilgjengelighet Revisjon Databehandleravtale Beskrivelse av sikkerhetstiltak Informasjonssystemets utforming og fysiske plassering Sikkerhetskopiering Ansatte med adgang til dataene Segmentering av data til ulike behandlingsansvarlige

23 Narvik Kommune/Google Apps Kommunens redegjørelse Hvilke opplysninger som behandles (bare e-post/kalender funksjoner, ikke sensitive opplysninger) Grundig risikovurdering Databehandleravtale sentrale bestemmelser inntatt Hvor data lagres (Googles datasentre i EØS/USA) Sikkerhetsforhold Sikkerhetskopiering Googles tilgang Sikkerhetsrevisjoner hos Google (uavhengig tredjepart) Segmentering/atskillelse Sletting, logging, tilgang mv.

24 24

25 Narvik Kommune/Google Apps Datatilsynets konklusjoner Sammenfattende Risikoanalysen verifiserer at Googles løsning (for Narvik sin del) oppfyller lovens krav til tilfredsstillende informasjonssikkerhet Databehandleravtalen oppfyller lovens krav Opplysningene skal bare lagres innenfor EØS eller i Googles datasentre i USA (under Safe Harbor) Google har forpliktet seg til å gjennomføre sikkerhetsrevisjon som utføres av en uavhengig tredjepart

26 Så hva har vi lært? Skytjenester og personvern Ikke alltid one size fits all Men heller ikke uforenelige størrelser Noe skreddersøm har vært nødvendig Kommer vi til å se mer av dette?: Farvel til take-it or leave-it kontrakter Standardiserte vilkår som hensyntar personvern

27 EU-kommisjonens plan for skytjenester Rapport: Unleasing the potential for Cloud Computing i Europe Ny rapport fra EU-kommisjonen Flere konkrete tiltak skal legge til rette for skytjenester Personvern og sikkerhet er en av hovedutfordringene Selv store innkjøpere har relativ liten forhandlingsmakt Peker på problemet med take-it-or-leave-it kontrakter Standardiserte vilkår kan bedre tilliten og øke bruken av skytjenester Tiltak på tre områder: Klarere standarder og sertifiseringsordninger Trygge og balanserte standardvilkår Samarbeid i offentlig sektor om stringente krav til skytjenester I påvente av ny forordning: Artikkel-29 gruppens veiledning er en viktig rettesnor Sammen med nye regler om databehandler-bcr (for global data overføring) Arbeidet med standardiserte avtalevilkår forventes ferdig innen utløp 2013

28 Sammenfattende Råd og tips før data settes ut i skyen Skytjenestekunden har et overordnet ansvar for etterlevelse av regelverket Skytjenestekunden må som et første skritt foreta en omfattende og grundig risikovurdering som også skal kunne dokumenteres i etterkant Skytjenestekunden må velge en skytjenesteleverandør som gir god og transparent informasjon om tjenesten og som garanterer høy sikkerhet og etterlevelse av personopplysningsregelverket Skytjenestekunden må sikre seg at skytjenesteleverandørs avtalegrunnlag oppfyller visse minstekrav i regelverket, bl.a.: Kravene til databehandleravtale Beskrivelse av teknisk og organisatorisk sikkerhetsløsning Gi grunnlag for gjennomføring av revisjon Redegjøre for løsning vedrørende evt. overføring til utlandet/lovlig grunnlag Skytjenestekunden må ha på plass intern rutine og instruks for (ansattes) bruk av skytjenesten

29 Ny veiledning om cloud Artikkel 29-gruppen Opinion on Cloud Computing the imbalance in the contractual power of a small controller with respect to large service providers should not be considered as a justification for the controller to accept clauses and terms of contracts which are not in compliance with data protection law

30 Sammenfattende Råd og tips før data settes ut i skyen Skytjenestekunden har et overordnet ansvar for etterlevelse av regelverket Skytjenestekunden må som et første skritt foreta en omfattende og grundig risikovurdering som også skal kunne dokumenteres i etterkant Skytjenestekunden må velge en skytjenesteleverandør som gir god og transparent informasjon om tjenesten og som garanterer høy sikkerhet og etterlevelse av personopplysningsregelverket Spørsmål? Skytjenestekunden må sikre seg at skytjenesteleverandørs avtalegrunnlag oppfyller visse minstekrav i regelverket, bl.a.: Kravene til databehandleravtale Beskrivelse av teknisk og organisatorisk sikkerhetsløsning Grunnlaget for gjennomføring av revisjon Redegjørelse for løsning vedrørende evt. overføring til utlandet/lovlig grunnlag Skytjenestekunden må ha på plass intern rutine og instruks for (ansattes) bruk av skytjenesten