Cloud computing 2013
•
0 likes•841 views
Ta i bruk skytjenester på lovlig vis. Foredrag om vilkår, datasikkerhet, behandling og overføring av personopplysninger i nettskyen.
Recommended
More Related Content
More from LYNX advokatfirma DA
More from LYNX advokatfirma DA (14)
Cloud computing 2013
- 1. ! ! Skytjenester Confex!Cloud!Compu-ng!2013,!Oslo!6.!juni! v/Inger!Anne!Folkestad!Tornes!og!Kjell!Steffner! Ta i bruk på lovlig vis
- 3. Dagens tema 1. Et!lite!utvalg!av!tjenestevilkår! 2. Personvernreglene!og!Qprinsippene! 3. Håndhevelse!av!personvernreglene! 4. Informasjonssikkerhet! 5. Risikovurderingen! 6. Databehandleravtaler! 7. Overføring!av!data!-l!utlandet! 8. BYOD!
- 5. Utfordring Lovlig håndtering av på tvers av jurisdiksjoner personopplysninger!
- 22. Vilkår for å behandle personopplysnger Samtykke! Behandling!er!fastsaK!i!lov!! Oppfylle!en!avtale!med!den!registrerte! Behandlingsansvarlige!skal!kunne!oppfylle!en!reKslig! forpliktelse! Ivareta!den!registrertes!vitale!interesser! Uuøre!en!oppgave!av!allmenn!interesse! Utøve!offentlig!myndighet!
- 23. Behandling av sensitive opplysninger Behandlingen!oppfyller!et!av!de!alminnelige!vilkårene! for!behandling!av!personopplysninger! Den!registrerte!samtykker! Behandling!!er!fastsaK!i!lov! Behandlingen!er!nødvendig!for!å!beskyKe!en!persons! vitale!interesser,!og!den!registrerte!ikke!er!i!stand!-l!å! samtykke! Behandling!av!frivillig!registrerte!opplysninger!! ! ! !
- 25. personvernprinsippene 1. Samtykke!eller!annet!reKslig!grunnlag! 2. Proporsjonalitet! 3. Formålsbestemthet! 4. Relevans!og!minimalitet! 5. Fullstendighet!og!kvalitet! 6. Informasjon!og!innsyn! 7. Informasjonssikkerhet! 8. Særlig!strenge!regler!ved!behandling!av! sensi-ve!personopplysninger! 9. Anonymitet!og!sporfri!ferdsel!
- 26. Samtykke Behandling$av$ personopplysninger!skal!i! størst!mulig!grad!være! basert!på! • frivillig,!! • u2rykkelig!og!! • informert## samtykke.!
- 27. Informert • Navn!og!adresse!på!behandlingsansvarlig! • Hva!opplysningene!skal!brukes!-l! • Om!opplysningene!skal!utleveres!-l!andre,!og! eventuelt!-l!hvem!!! • Om!det!er!frivillig!å!gi!fra!seg!opplysningene! • Informasjon!om!innsyn!i,!re[ng!og!sle[ng!av!! • Hvor!lenge!personopplysningene!vil!bli!behandlet! eller!oppbevart! • At!samtykket!kan!trekke!
- 28. Frivillig • Hva!spørres!det!eKer?! • Hvor!belastende!vil!et!samtykke! være?! • Er!konsekvensene!uforholdsmessige! om!du!ikke!samtykker?! Typisk!for!å!moKa!en!tjeneste!eller!bli!ansaK!
- 30. proporsjonalitet • Innsamling!og!behandling!i!overensstemmelse! med!lovverket! • Rimelig!i!forhold!-l!den!registrerte! • Registreringen#av#opplysninger#må#være# proporsjonal#med#formålet# • I!valget!av!to!alterna-ve!løsninger!ved! behandling!av!personopplysninger!skal!man! velge!det!alterna-vet!som!er!minst$ personverninngripende$
- 32. Tilsyn og sanksjoner Data-lsynet! • Systema-sk!og!offentlig!fortegnelse!over!innmeldte! behandlinger! • Behandle!konsesjonssøknader! • Kontrollere!at!lover!og!forskrider!blir!fulgt! ! Konsekvens! • Overtredelsesgebyr! • Pålegg!om!endring!eller!opphør!av!ulovlige!behandlinger! • Erstatning! • Straff!
- 34. Forutsetninger for bruk av skytjenester 1. Risikovurdering!! 2. Databehandleravtale! 3. Revisjon!! 4. Skyleverandørens!vilkår!står! -lbake!for!databehandleravtalen!
- 35. Bruk av nettskytjenester må skje i samsvar med personvernregelverk Private!og!offentlige!virksomheter!etablert!i!Norge!må! følge!personvernregelverket.!! ! Behandlingsansvarlig!må!informere!den!registrerte!om! innhen-ng!av!personopplysninger,!hvordan!de! behandles,!og!ha!-lfredss-llende!informasjonssikkerhet.! ! Bruk!av!neKskytjenester!har!betydning!for! personvernet!! ! Data-lsynet:!NeKskyleverandør!er!databehandler!! !
- 36. Personopplysninger i nettskyen krever risikovurdering ! Behandlingsansvarlig!må!gjennomføre!en! risikovurdering!i!forkant!av!implementering!av! neKskytjenester.! ! Risikovurderingen!skal!baseres!på! akseptkriterier!for!risiko.! ! Risikovurdering!er!utgangspunkt!for!-ltak!for!å! oppnå!-lfredss-llende!informasjonssikkerhet.!!
- 41. UTFORDRING TILGANG TIL INFORMASJON OM SIKKERHETSNIVÅ. Disclaimer The information contained in this document represents the current view of Microsoft Corporation on the issues discussed as of the date of publication. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information presented after the date of publication. For the latest version of this document visit: http://www.microsoft.com/download/en/ details.aspx?id=26647 Standard#Response#to#Request#for#InformaCon#(Security#and#Privacy)#
- 44. Safe Harbor og iso 27001 USIEU#Safe#Harbor# Framework# ISO#27001# Dropbox!! (Next!Cer-fica-on:! 2/16/2014!)! __! ! Microsod!!! (Next!Cer-fica-on:! 6/29/2013)! Review!every!year! Salesforce!!! (Next!Cer-fica-on:! 8/1/2013)!! May!2008!(con-nously! review)! Google! (Next!Cer-fica-on:! 10/15/2013)!! Google!Apps!(May!2012)!
- 47. GO!or!NO?!
- 48. Outsourcing av personopplysninger krever databehandleravtale Personopplysningsloven!§15,!jf.!§13!! ! ! ! ! ! ! ! ! ! ! ”En$databehandler$kan$ikke$behandle$personopplysninger$på$annen$måte$enn$ det$som$er$skriDlig$avtalt$med$den$behandlingsansvarlige.$Opplysningene$kan$ heller$ikke$uten$slik$avtale$overlates$+l$noen$andre$for$lagring$eller$ bearbeidelse.$ I$avtalen$med$den$behandlingsansvarlige$skal$det$også$gå$frem$at$ databehandleren$plikter$å$gjennomføre$slike$sikrings+ltak$som$følger$av$§$ 13.”$
- 49. Innhold i databehandleravtale Veileder!fra!Data-lsynet:! ! 1. Formål! 2. Beskrivelse!av!behandling! 3. Bruk!av!underleverandør! 4. Innsyn! 5. Informasjonssikkerhet! 6. Varighet! 7. Overføring!-l!utlandet! 8. Opphør!
- 51. 2. Beskrive hvordan personopplysninger Skal behandles Det!skal!tydelig!fremgå!av!avtalen!!hva!databehandler! skal!gjøre!med!personopplysningene.! Må!regulere!utlevering!-l!eksterne!parter!og!vilkår!for! deKe!(underleverandør)! Data-lsynet!i!«MossQ!Office!365».! ! • «Microsod!kan!ikke!utlevere!data!-l!andre!uten!eKer! godkjennelse!fra!kommunene….! • Microsod!kan!utlevere!opplysninger!-l!«law! enforcement(authori-es)!eks.!ved!eKerforskning!av! stratare!forhold.»! • Godkjent!hvis!reKslig!bindende!for!tjenesteleverandør!og! ikke!i!strid!med!norsk!lov.!
- 52. 3. Bruk av underleverandør Angi!formål!med!bruk!av!underleverandør!! ! Underleverandør!må!være!forpliktet!-lsvarende! leverandørens!forpliktelser!i!databehandleravtalen!!! ! Leveandør!må!være!ansvarlig!for!underleverandør!! ! Kunden!bør!ha!innsyn!i!avtale!med! underleverandør!! !
- 53. Underleverandør Leverandør Kunde Bruk av underleverandør krever skriftlig forhåndssamtykke til databehandleren. WP29 om cloud computing: «the processor can subcontract its activites only on the basis of the consent of the controller wihch may be generally given at the beginning of the service»
- 57. 7. Overføring til utlandet Personopplysningsloven § 29 Personopplysninger kan bare overføres til stater som sikrer en forsvarlig behandling av opplysningene. Stater som har gjennomført direktiv 95/46EF om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger, oppfyller kravet til forsvarlig behandling.
- 61. BYOD & DPABring you own device
- 62. Behandlingsansvarlig er også ansvarlig for personopplysninger på ansattes enheter • Hvilke!type!data,!hvor!lagret,!hvordan! overført,!overholdelse!av!sikkerhetspolicy! • Innsyn,!av!ulike!grunner,!blir!vanskeligere! • BYOD!har!også!en!side!mot!håndtering!av! forretningshemmeligheter!
- 63. Inger Anne Folkestad Tornes Kjell Steffner • Advokat,$partner$ • Særskilt!bransjekompetanse! innen!IKT! • God!forståelse!for!teknologi,! prosjektmetodikk!og!strategi! • Jobber!med!kontraktsreK,! forhandlinger,!offentlige! anskaffelser!og!personvern! • Tlf.!905!11!901!Q!ks@lynxlaw.no! • Advoka[ullmek+g$ • Rådgivning!for!IKTQsektoren! • Jobber!med!kontraktsreK,! personvern!og!eQhandel,!samt! offentlige!anskaffelser! • Tlf.!970!99!524!Q! id@lynxlaw.no!