EUs personvernforordning: Krav til leverandører og kan vi designe oss rundt
•
1 gefällt mir•964 views
Eva Jarbekk og jeg holdt en innledning på Sintef/TEKNA/ITS Norges frokostmøte om hvordan transportbransjen skal forholde seg til den nye personvernforordningen #GDPR
Empfohlen
Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (17)
Andere mochten auch
Andere mochten auch (20)
Ähnlich wie EUs personvernforordning: Krav til leverandører og kan vi designe oss rundt
Ähnlich wie EUs personvernforordning: Krav til leverandører og kan vi designe oss rundt (20)
Mehr von Simen Sommerfeldt
Mehr von Simen Sommerfeldt (17)
EUs personvernforordning: Krav til leverandører og kan vi designe oss rundt
- 1. Eva Jarbekk Simen Sommerfeldt EUs personvernforordning Krav til leverandører – og kan vi designe oss rundt det og tjene penger likevel? TEKNA frokostmøte og workshop 4.5. 2016
- 2. • Norsk konsulentselskap • Bistår virksomheter med digitalisering og utforming av gode opplevelser for deres ansatte og kunder • Leverer tjenester innenfor rådgivning, IT og kommunikasjon • 14 kontorer i Norge og Sverige • 1000 ansatte • Notert på Oslo Børs Bouvet
- 5. 5 Simen Sommerfeldt Rådgiver og CTO, Bouvet Oslo Dataforeningen, HIOA, Lær Kidsa Koding! Oslo IoT meetup Virksomhetsarkitektur Informasjonsmodellering Software-arkitektur og utvikling Ledelse Prosjektmetoder Sosiale medier og markedsføring Personvern og EU-forordningen
- 6. IT-strategi for Høyre og sparringspartner for Stortingets nye IT- satsninger
- 8. Eva • Jobbet med personvern siden studietiden • Advokat • Leder av Personvernnemnda • Bransjenorm for e-billettering • Bransjenorm for sikkerhetsbransjen i Norge • Digital sårbarhetsutvalget, Lysne 1 • Lysne 2-utvalget – om digital grensekontroll I Norge • Evalueringsutvalget om kontroll med hemmmelige tjenester • ..etc, glad i Aprilia moto 6.5, hunder, etc... Tittel på presentasjon 8
- 9. “You have ever been a herald of woe. Troubles follow you like crows, and ever the oftener the worse” - king Theoden to Gandalf
- 10. Det er en ambisiøs reform
- 11. Et stort og komplisert tema! Overvåknings- økonomi 💀 Amerikanske myndigheters Overvåkning 💀 Datakriminalitet 💀 Tilby gode tjenester til forbrukerne Hensyn til offentlig sikkerhet og offentlige funksjoner som helse, politi, rettsvesen, etc.. Gode vilkår for næringslivet Safe Harbour 🤔
- 12. …så rekkefølgen blir • Generelt om reformen • Detaljer rundt Metadata, Big Data, Samtykker • Konsekvenser for næringslivet • …og transportbransjen • Behovet for å finne en felles plattform!
- 14. Nytt personvernregelverk fra EU -hovedregler
- 18. Forordning “Additional safeguards” tillates på enkelte områder og i over 50 bestemmelser: • Myndighetsalder 16/13 • Arbeidsrett • Vitenskapelig og historisk forskning • Og en del andre spesialregler
- 19. Fra twitter - Winfried Veils Tittel på presentasjon 19
- 20. Størrelsen avhenger av hva bruddet er relatert til Each supervisory authority may impose administrative fines up to 20 000 000 EUR, or in case of an undertaking, up to 4% of the total worldwide annual turnover of the preceding financial year, whichever is higher, for infringements. • the basic principles for processing, including conditions for consent, the data subjects’ rights • the transfers of personal data to a recipient in a third country or an international organisation Tittel på presentasjon 20
- 21. Men: mye mer detaljert og mye blir svært annerledes Nye regler - noe er som før • Definisjon av personopplysning (nesten) • Behandlingsansvarlig - databehandler • Behandlingsgrunnlag: samtykke – avtaler – lov • Informasjonsplikt • Innsynsrett • Sletteplikt • Oppbevaringstid – «nødvendig» • Internkontrolldokumentasjon – mye strengere Tittel på presentasjon 21
- 22. Sentrale endringer • Plikt til å informere mottakere av informasjon når den registrerte krever data rettet/slettet og krever at mottakere av opplysningene får vite dette (ny art 17b) Copyright © 2014 Foyen All Rights Reserved. 22
- 23. Sentrale endringer • Den registrerte kan «restrict» behandlingsansvarliges rett til å behandle data når dataenes korrekthet bestrides i en periode inntil korrektheten verifiseres (ny art 17a) Copyright © 2014 Foyen All Rights Reserved. 23
- 26. Personvernombud 1. The controller and the processor shall designate a data protection officer in any case where: (a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity; or (b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of the data subjects on a large scale; or (c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 and data relating to criminal convictions and offences referred to in Article 9a. Tittel på presentasjon 26
- 29. Avvik – mye strengere enn i dag • In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent, unless the personal data breach is unlikely to result in a risk for the rights and freedoms of individuals. • The processor shall notify the controller without undue delay after becoming aware of a personal data breach. Copyright © 2014 Foyen All Rights Reserved. 29
- 30. Avvik – mye strengere enn i dag • When the personal data breach is likely to result in a high risk for the rights and freedoms of individuals the controller shall communicate the personal data breach to the data subject without undue delay. Tittel på presentasjon 30
- 34. Teknisk mer detaljert definisjon enn nå - metadata • When using online services, individuals may be associated with online identifiers provided by their devices, applications, tools and protocols, such as Internet Protocol addresses, cookie identifiers or Radio Frequency Identification tags • Identification numbers, location data, online identifiers or other specific factors as such should not be considered as personal data if they do not identify an Individual or make an individual identifiable Tittel på presentasjon 34
- 35. Når er noe identifiserbart? • To determine whether a person is identifiable, account should be taken of all the means reasonably likely to be used, such as singling out, either by the controller or by any other person to identify the individual directly or indirectly • To ascertain whether means are reasonable likely to be used to identify the individual, account should be taken of all objective factors, such as the costs of and the amount of time required for identification, taking into consideration both available technology at the time of the processing and technological development Tittel på presentasjon 35
- 36. Konsekvens • Rom for å forstå mange typer data og metadata som personopplysning • Gir regelverket stor anvendelse • Feiloppfatning av hva som er «personopplysning» kan bli dyrt • Sørg for å ha god dokumentasjon om vurderinger som er gjort Tittel på presentasjon 36
- 38. • Anonyme data – utenfor loven – Big Data er lett • Vilkår for anonymitet nesten strengere enn i dag • ref tidligere sitat om indirekte identifikasjon • Pseudonymiserte data har ofte bedre datakvalitet • Lettere f eks å følge dataenes utvikling over tid ved at kobling finnes • Pseudonymiserte data er personopplysninger – må følge reglene Gjenbruk av data – Big data – bruk til nye formål • 'pseudonymisation' means the processing of personal data in such a way that the data can no longer be attributed to a specific data subject without the use of additional information, as long as such additional information is kept separately and subject to technical and organisational measures to ensure non- attribution to an identified or identifiable person Tittel på presentasjon 38
- 39. Utgangspunkt for mulig gjenbruk av data – Big data Personal data must be: • processed lawfully, fairly and in a transparent manner in relation to the data subject • collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes; (“purpose limitation”) • adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (“data minimisation”) …likevel en åpning for Big Data? Tittel på presentasjon 39
- 40. Inkompatabilitetsforbudfor nye formål • Where the processing for another purpose than the one for which the data have been collected is: • not based on the data subject’s consent or on a Union or • Member State law which constitutes a necessary and proportionate measure in a democratic society [ref EMK], • the controller shall, ascertain whether processing for another purpose is compatible with the purpose for which the data are initially collected, taking into account the following ..forts Tittel på presentasjon 40
- 41. Vurderingstema - inkompatabilitet • the context in which the data have been collected • reasonable expectations of data subjects based as to their further use • the nature of the personal data • the consequences of the intended further processing for data subjects • the existence of appropriate safeguards in both the original and intended further processing operations • Åpning for historisk/vitenskaplig forskning – men det er noe annet enn Big Data (for de fleste) Tittel på presentasjon 41
- 43. Relevante behandlingsgrunnlag – vanlige PO • the data subject has given unambiguous [klart, utvetydig,entydig] consent to the processing of their personal data for one or more specific purposes • processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract • processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child Tittel på presentasjon 43
- 44. Relevante behandlingsgrunnlag – sensitive PO • the data subject has given explicit [tydelig, klar, bestemt, uttrykkelig] consent to the processing of those personal data • processing is necessary for the purposes of carrying out the obligations and exercising specific rights of the controller or of the data subject in the field of employment and social security and social protection law • processing is carried out in the course of its legitimate activities with appropriate safeguards by a foundation, association or any other non- profit-seeking body with a political, philosophical, religious or trade-union aim • the processing relates to personal data which are manifestly made public by the data subject …forts Tittel på presentasjon 44
- 45. Relevante behandlingsgrunnlag – sensitive PO • processing is necessary for reasons of substantial public interest, on the basis of Union law, or Member State law which shall provide for suitable and specific measures to safeguard the data subject's legitimate interests • processing is necessary for reasons of public interest in the area of public health, such as protecting against serious cross-border threats to health or ensuring high standards of quality and safety of health care and of medicinal products or medical devices, on the basis of Union law or Member State law which provides for suitable and specific measures to safeguard the rights and freedoms of the data subject, such as professional secrecy; or • processing is necessary for archiving purposes in the public interest or historical, statistical or scientific purposes Tittel på presentasjon 45
- 46. Samtykke som behandlingsgrunnlag • Rettsligdefinisjon: 'consent' means any freely given, specific and informed indication of his or her wishes by which the data subject, either by a statement or by a clear affirmative action, signifies agreement to personal data relating to them being processed • When assessing whether consent is freely given, account shall be taken of the fact whether the performance of a contract or service, is made conditional on the consent to the processing of data that is not necessary for the performance of this contract • Hvis binding mellom avtale og samtykke – da er det ikke «freely given» Tittel på presentasjon 46
- 47. Utforming av samtykke og avtale • If the data subject's consent is given in the context of a written declaration which also concerns other matters, the requirement for consent must be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language. Any part of the declaration which constitutes an infringement of this Regulation that the data subject has given consent to shall not be binding. • Bevisbyrde • Where processing is based on consent, the controller shall be able to demonstrate that consent was given by the data subject to the processing of their personal data Tittel på presentasjon 47
- 48. Utforming av samtykke og avtaler • When the processing has multiple purposes, unambiguous consent should be granted for all of the processing purposes. (fortalen) Ø Ett samtykke per formål uansett om samme tjeneste Ø Identifiser ulike formål og beskriv dem i teksten • Antakelig negativt for forretningsmodeller som baserer seg på reklameinntekter basert på profiler – eksplisitte samtykker må innhentes Tittel på presentasjon 48
- 49. Utforming av samtykke og avtaler • Avtale kan ikke «erstatte» samtykker fordi hva som er «nødvendig» for avtalen skal tolkes strengt • Samtykke kan ikke «bundles» inn i avtalen • Fremover må man ofte bruke en kombinasjon av avtaler og samtykker fordi minimumsprinsippet slår inn for hva som er nødvendig å innhente ifbm avtaler Tittel på presentasjon 49
- 50. Men Eva… • Hva gjør vi med Cloud-løsningene våre? • Hva gjør vi med Big Data løsningene? • Hva skjer om vi ikke rekker å endre systemene våre før 2018? • Blir det overgangsordninger?
- 52. Hva vi må regne med • Systemer vil bli gjennomgått • Må “sertifiseres” – dvs. kunne dokumentere hvordan de håndterer lovverket • Håndtering av kundeopplysninger må antagelig omskrives I mange tilfeller • Kunder kan klage hvis det finnes feil • SaaS løsninger á la Salesforce: Utfordring! • Utlysninger og tilbud vil gjenspeile forordningen • Vil antagelig angå de fleste IT-profesjoner • Databehandleravtaler må gås gjennom på nytt
- 53. Hva om en av disse er godt forberedt og den andre ikke? Hvem har råd til å utvikle produktet sitt? Hvem må rydde?
- 54. • Børskursene kan bli påvirket • Nye muligheter for kriminelle • Avklaringer rundt bruk av skytjenester • Du må kanskje betale for innhold – og det er greit • Endringer i næringskjeder • Sterkere personvern i EU enn i USA • Forløsende for tingenes interenett? • Nye vilkår for Big Data • Økende etterspørsel etter visse yrkesgrupper
- 55. Alle bedrifter av en viss størrelse må tolke forordningen og forstå hvordan den angår dem
- 56. - Og så må man gjøre om på håndtering av kundeopplysninger
- 57. Kunde- spesifikk Personvern Basis sikkerhet ISO 27.000 ish Få på plass grunnleggende...
- 58. Hva vi gjorde hos kunden • Gjennomgang av all infrastruktur og overvåkning • Kartlegging av lovverk og implikasjoner • ISO 27.000-ish rutiner • Redesignet Identity and Access Managemet med Auth0 • ROS analyse for alle applikasjoner • Overvåkning av logins i applikasjoner (med Splunk) • UX endringer og samtykker fra medlemmer (++) • Kartlegging av leverandører • Strategi for cloud og utvikling (Policy) • Sesam filtrerer ut sensitive data -> Azure.
- 59. Hva vi må fortsatt gjøre • Forstå bransjestandarder (Kommer ila. ett år?) • Tolke forordningens krav • Se hvilke krav som er i strid med andre lover • Tilse at leverandører er ”innafor” • Tidlig signalisere til leverandører om restanser i sikkerhetsproblematikk • Påbegynne dokumentasjonen av hvordan vi møter forordningen. • Sette i gang med UX, fjerne data, pseudonomisering, innsynsportal, etc.
- 60. - Jeg har vurdert å ha med meg luktesalt når jeg skal holde foredrag om forordningen
- 63. Datatilsynet oppfordrer alle bransjeorganisasjoner til å komme med forslag til bransjestandarder
- 64. ?
- 65. • Mye kan beholdes • Interaktivitet • Sletting • Sikkerhet • Flytting av data • Lagring av data • Bøtenivå • Tar den inn over seg nye muligheter og apper?
- 69. ”Friends don’t let friends use Windows at nuclear power plants” http://www.reuters.com/article/us-nuclearpower-cyber-germany-idUSKCN0XN2OS - Sarah Sharp
- 71. https://www.youtube.com/watch?v=eNBtHF32WZ4&list=PLo20LWsf7IInXtRGx_DpRsduAUcKSOKKI&index=5 Når du går og handler i visse norske butikker, blir dine bevegelser sporet med 1 meters nøyaktighet
- 73. Det er vanlig at aktører selger og kjøper personopplysninger for å tjene penger og selge riktig produkt til riktig kunde
- 74. Ville jeg likt om Coop Mega sendte meg tekstmelding om tilbud på Taco når jeg tar toget fra Oslo til Kolbotn?
- 75. Men hva om en solgte billigere billetter til et idrettslag for å få ungdommen til å ta bussen?
- 76. “Bare litt overvåkning? Hva venter vi på?”
- 77. For transportbransjen Samfunn Myndighet Kommersiell utnyttelse ”Det jeg deler for å oppnå fordeler” ”Noen selger meg” Oppfylling av samfunnsformål
- 79. - Et mulighetsrom Bransjens behov og muligheter Personvern- forordningen Bransjenormen
- 81. • Intelligente hjem • Wearables • Sensorer i kroppen • Busser som kjører selv • Intelligente byer • Algoritmer -En større helhet
- 82. “En panelovn finner et hjem” ...en gang i 2030?
- 87. Ingrid buys a panel oven
- 89. Ingrid on the bus
- 92. Hva trenger vi i tillegg til standard for elektroniske billetter?
- 93. Det å kunne ferdes anonymt i samfunnet er en viktig verdi som blir godt ivaretatt i den eksisterende bransjenormen
- 94. “Det er som under den industrielle revolusjonen: Politikken strever med å ta igjen teknologien” - Eirik Newth på Civitafrokost 22.5. 2015 Foto: Christoffer Hovde
- 95. Argumenter for økt overvåkning er helse, miljø, trygghet og kundeopplevelser. Hvordan unngår vi et Orwellsk mareritt?
- 96. Big Data Machine Learning Internet of Things Vil vi ha dette?
- 97. Vi står ved et veiskille ...Vi må være bevisste på etikken i hva vi gjør. Hvem skal vokte vokterne? Hva skjedde med uskyldspresumsjonen?
- 98. “Bare litt overvåkning? Hva venter vi på?”
- 99. Effektivitet, tilgjengelighet, sikkerhet. Vern mot terrorister, god hjelp til funksjonshemmede og barn - Sven Lunøe Pihl, avdelingsleder, virksomhetsarkitektur i Bouvet Øst
- 100. Jeg var i Brussel i helgen http://www.reuters.com/article/us-europe-attacks-belgium-airport-idUSKCN0XU17S
- 102. KPI’er for transportbransjen • Effektivitet • Tilgjengelighet • Sikkerhet
- 103. I dag fraktes du fra et sted du ikke er til et sted du ikke skal. Vi ønsker å frakte folk fra der de er til dit de skal - Fritt etter Ruter
- 104. - Rune Pedersen, Økonomidirektør, Ruter • En app som sier ”gå til vogn fire” • Slippe å ha avganger hvert femte minutt men når det trengs • Ha noe ledig kapasitet • Vi må samle inn data. Vi kommer til å bli en stor database. • Vi trenger å vite reisemønsteret til folk. ” ”
- 105. Hva med å bruke en Avatar? Simen Person 16
- 106. Kan folk selge opplysninger om seg selv mot billigere billetter?
- 107. Hva gjør vi for å forhindre at en jente som reiser på en selvkjørende buss blir voldtatt av fire fulle utenbys menn natt til søndag?
- 108. Vi bør jo kunne fortelle en i rullestol at det er rampe på vogna som stanser forrest på perrongen
- 109. Tilgjengelighet for gamle og barn
- 110. Søknad om støtte til en rapport ...Hva og hvorfor..
- 111. Gi oss innspill på workshop: Hva skal være momenter i en slik rapport?
- 112. Suksessfaktorer: Hvilke aktører som bidrar. Kjennskap til forordningens ”anatomi”, transportbransjen og ITS. Kunne være nøytral og inkluderende
- 113. Mer info.. Hva URL Fagartikler hos Føyen-Torkildsen https://foyentorkildsen.no/ Simens bloggposter https://utbrudd.bouvet.no/2016/02/16/ eus-personvernforordning-del-2-hva- din-bedrift-bor-tenke-pa/ Regjeringens infoside http://europalov.no/rettsakt/personver nforordningen-om-behandling-av- persondata/id-5275 Datatilsynet https://datatilsynet.no/
- 114. Eva Jarbekk EJ@foyentorkildsen.no @evajarbekk 900 51 011 Simen Sommerfeldt Simen.sommerfeldt@bouvet.no @sisomm 995 07 733 Takk for oss!