Nøkkelen til morgendagens personvern innebygd personvern

Transkript

1 Nøkkelen til morgendagens personvern innebygd personvern

2 Personvern, prinsipper og rettigheter

3 Personopplysninger hva er det? Peder Aas 2020 Lillevik F.nr Fødselsnummer: Telefonnummer: IP-adresse: Bilnummer: BL Bluetooth MAC: 17:35:52:78:4B:CA Wi-Fi-adresse MAC: 12:44:32:45:7B:C9 Autpass-brikke-ID: UDID: f7426bd d9ae2c a0dcd67ab5 3

4 Hva er person(opplysnings)vern? Den enkeltes rett til å ha kontroll med egne personopplysninger Selvbestemmelse rett til selv å bestemme hvilke opplysninger som skal brukes, av hvem, til hvilke formål. Informasjon hvis man ikke har rett til å samtykke, har man i det minste rett til å vite hvilke opplysninger som brukes, av hvem og til hvilke formål 4

5 Prinsipper for behandling av personopplysninger Lovlig, rettferdig og gjennomsiktig Formålsbegrensning Dataminimering Riktighet Lagringsbegrensning Integritet og konfidensialitet Ansvarlighet 5

6 De registrertes rettigheter Informasjon Innsyn Korrigering Sletting Begrensning Dataportabilitet Innsigelse Automatiserte avgjørelser, inkludert profilering 6

7 Hvem har plikter og rettigheter De registrerte har rettigheter Behandlingsansvarlig, databehandler, underleverandører har plikter 7

8 Innebygd personvern og personvern som standardinnstilling

9 Kilde: /12/05/1be26fa6-5dc7-11e3-be07-006c776266ed_story.html

10 Art Innebygd personvern og personvern som standard Vær i forkant, forebygg fremfor å reparere. Gjør personvern til standardinnstilling. Bygg personvern inn i designet. Skap full funksjonalitet: Både-og, ikke enten-eller. Ivareta informasjonssikkerhet fra start til slutt. Vis åpenhet. Respekter den registrertes personvern. Oppsummert art 25: Obligatorisk Tekniske og organisatoriske tiltak. Sett det minst personverninngripende alternativet som standard, mht mengde, omfang, lagringstid, tilgjengelighet. Ivareta personvernprinsipper og den registrertes rettigheter. 10

11 Programvareutvikling med innebygd personvern 11

12 Presentasjon av hver aktivitet i veilederen

13 Opplæring Mål: Basiskunnskap og forståelse for personvern og informasjonssikkerhet, og risiko tilknyttet dette Hva skal det gis opplæring i: Når og hvorfor personvern og informasjonssikkerhet er viktig i de ansattes daglige arbeidsoppgaver. Suksesskriterier er at virksomheten har etablert retningslinjer for personvern og informasjonssikkerhet, og at intern opplæring i disse retningslinjene er adressert. 13

14 Personvern- og sikkerhetskrav Type personopplysninger? Kan slutninger trekkes om individer? Hvem er brukere og eiere? Behandlingsansvarlig, databehandler, mottaker? Prinsipper skal være oppfylt og rettigheter ivaretatt Nødvendig? Mengde, omfang, lagringstid, tilgjengelighet Åpenhet gi informasjon så den registrerte kan ivareta sine rettigheter Informasjonssikkerhet 14

15 15

16 Design Designkrav Dataorienterte Prosessorienterte Analyser angrepsflaten i den designede programvaren Trusselmodellering Analyser komponenter, tilgangspunkter, dataflyt og prosessflyt i programvaren Forutse misbruk og utbedre designet for å få et mer herdet og robust sluttprodukt 16

17 Koding Bruk godkjente verktøy, infrastruktur og rammeverk Ugyldiggjør utrygge funksjoner og moduler Statisk kodeanalyse og kodegjennomgang 17

18 Testing Test om kravene er implementert og riktig Sikkerhetstesting Dynamisk testing Fuzz testing Penetrasjonstesting / sårbarhetsanalyse Gjennomgang av trusselmodell og angrepsflate 18

19 Produksjonssetting Utarbeid plan for hendelseshåndtering Full sikkerhetsgjennomgang av programvaren Godkjenning av produksjonssetting Arkivering 19

20 Forvaltning Håndtere hendelser og avvik etter planen Forvaltning, drift og vedlikehold av programvaren skal følge etablerte rutiner for hvordan personvern og sikkerhet skal ivaretas over tid 20

21 Konkurranse «Innebygd personvern i praksis 2018»

22 Innebygd personvern i praksis 2018 Datatilsynet inviterer til konkurranse om beste programvare utviklet utfra prinsippene for innebygd personvern. Jury: Dag Wiese Schartum Lillian Røstad Maria Bartnes Torgeir Waterhouse Veronica J. Buer og Martha Eike, Datatilsynet Hvordan delta i konkurransen? Sende oss et utfylt søknadsskjema med beskrivelse av produktet. Mer informasjon på datatilsynet.no Frist for innsending av bidrag 1. desember

23 Veilederen ligger på datatilsynet.no 23

24 Takk for oppmerksomheten! Telefon: datatilsynet.no (Twitter)