Vi skaber muligheder & realiserer potentialet – sammen

Konsekvensanalyser i praksis: hvorfor, hvornår og hvordanDatabeskyttelsesdagen 2017 Birgitte Kofod Olsen, partner, Ph.d., Carve Consulting

Præsentation

Birgitte Kofod OlsenJurist (1991) med Ph.D.-grad i biometri og privatlivsbeskyttelse (1998)Partner og medejer af Carve Consulting

2

• CSR-chef i Tryg 2009-14• Vicedirektør, afdelingsleder og forsker i Institut for

menneskerettigheder 1994-2009 • Ekstern lektor, gæsteforelæser, censor og PhD-bedømmer på

Københavns Universitet, Roskilde Universitet, Århus Universitet, Ålborg Universitet, Copenhagen Business School, BI NorwegianBusiness School 1999-

• Forskningssamarbejde med DTU og SDU, 2016-

• Medlem af repræsentantskabet i Foreningen NordeaLiv og Pension, 2016-

• Medlem af Ligebehandlingsnævnet 2015-• Medstifter af tænke-handle-tanken Dataethics 2015 • Formand for Rådet for Digital Sikkerhed 2012-2015• Næstformand for Ungdomsbyen 2007-15, formand 2016-• Formand i teatrene Danskdansk og Teatergrad 2012-2016

• Årets Erhvervskvinde i 2014 • Mangfoldighedsambassadør, Københavns Kommune, 2014• Optaget i Kraks Blå Bog i 2013.

Konsekvensanalyse - hvorfor? Datasubjektet har ret til kontrol med egne data

Jeg bestemmer over • min krop• mine ting• mine penge• data om mig

Derfor skal du • spørge mig om lov , hvis du vil bruge mine data• fortælle, hvorfor og til hvad, mine data skal bruges til• fortælle, hvem der ellers ser dem• fortælle, hvis du mister dem-

Retten til respekt for privatlivEnhver har ret til respekt for sit privatliv, familieliv,hjem og korrespondance

Retten til beskyttelse af dataEnhver har ret til beskyttelseaf persondata, der vedrører ham eller hende

3

Konsekvensanalyse - hvornår?

4

Den dataansvarlige skal foretage en analyse af påtænkte behandlingsaktiviteters konsekvenser for beskyttelsen af persondata, hvis der benyttes nye teknologier eller anden behandlingstype, der på grund af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

EU-GDPR stiller krav om konsekvensanalyser i en række tilfælde:

5

Krav om konsekvensanalyse

FØLSOMME DATA I STOR SKALA• race og etnisk

oprindelse,• politisk eller

filosofisk overbevisning,

• Religion• Medlemskab af

fagforening,• Genetiske og

biometriske data• Sundhed• Sexliv• Seksuel orientering

OVERVÅGNINGI STOR SKALAaf offentligt tilgængelige steder

BEGRÆNSNING I RETTIGHEDER

Når der er høj risiko for at datasubjektet bliver begrænset i at udøve sine rettigheder eller gøre brug af en kontrakt eller en service

Ved brug af NYE TEKNOLOGIER

PROFILERING

Når der foretages en systematisk og omfattende evaluering af enkeltpersoner med henblik på at træffe en afgørelsen, der har retsvirkning for vedkommende eller betydeligt påvirker ham eller hende

Oplysninger omSTRAFBARE FORHOLDI STOR SKALA

EU-GDPR artikel 35 indeholder en række krav til en databeskyttelseskonsekvensanalyse (DPIA).

Konsekvensanalysen skal mindst omfatte: • en systematisk beskrivelse af de planlagte behandlingsaktiviteter • formålene med behandlingen • behandlingens lovlige grundlag • en vurdering af, om der er et rimeligt forhold mellem formål og behandlingen

(proportionalitet) • en vurdering af risikoen for at påvirke datasubjektets rettigheder og frihedsrettigheder

negativt• etablerede eller påtænkte risikoreducerende foranstaltninger. • overholdelse af godkendt adfærdskodekster efter forordningen kan også indgå i

vurderingen.

Konsekvensanalyse – hvad skal den vise?

6

Beskrivelse af behandlingsaktiviteterne

•Databeskyttelsespolitik•Adfærdskodeks•Retningslinjer •Procedurer and processer •Anvendte standarder, fx. ISO27001

•Dokumentation •Databehandleraftale•DPO

•Oplysninf om behandling og videregivelse

•Adgang til data• Berigtigelse og sletning• Nej til profilering• Dataportabilitet

•Tilgængelighed•Fortrolighed•Integritet•Robusthed•Risikoreducerendeforanstaltninger

7

Dataansvarlighed

Databehandling

Datarettigheder

Sikkerhed

Databehandlings-betingelser

Lovligt grundlag: samtykke, lovkrav, kontrakt, tungerevejende interesseer

Overførsel til tredjeland

Vurdering af risici for datasubjektet

8

Datamængde & type Lovligt grundlag Dataansvarlighed Behandlingssikkerhed

Risiko: Mængden og typen af data

- er unødvendig i forhold til formålet (overskudsinformation)

- skaber for stor indsigt i datasubjektets privatliv (økonomi, ophold, relationer)

- indeholder irrelvante eller ukorrekte oplysninger om datasubjektet

- opbevares længere end det er nødvendigt i forhold til formålet

Risiko: det lovlige grundlag er ikke etableret

- datasubjektet har ikke givet samtykke

- der er ikke lovhjemmel til databehandlingen

- behandlingen sker ikke til opfyldelse af kontrakt

- behandlingen sker ikke til opfyldelse af en samfundsmæssig interesse

Risiko: dataansvarlighed

- der er ikke vedtaget en politik

- der er ikke etableret procedure for data-

behandlingen og datarettigheder

- Der føres ikke fortegnelser over behandlings-

aktiviteterne

Risiko: behandlingssikkerheden er ikke effektiv

- Destruktion, tab eller ændring

- Uautoriseret offentliggørelse

- Uautoriseret adgang

Konsekvensanalyse – hvordan?IT

AR

KIT

EKTU

R

Skabe overblik over IT landskabet

FUN

TKIO

NSO

MR

ÅD

ER

DAT

AFL

OW

S Beskrive dataflows:- datakilder- dataelementer- datayper- overførsel til 3. parter

DPI

A

DataansvarlighedDatabehandling DatarettighederDatasikkerhed

9

Identificere relevante funktions-områder

Udførelse af konsekvensanalysen forudsætter, at vi kan:

Forudsætning 1: IT arkitekturen

10

TEGNING & BESKRIVELSE

IT arkitektur Systemkomponenter•• Software•• Algoritmer•• Interfaces•• Databaser•• Cloud løsninger

Alle systemer og løsninger, der håndterer data er relevante

– uanset, at leverandøren ikke har direkte adgang til at gøre sig bekendt med indholdet af data

Forudsætning 2: Identifikation af fokusområder

11

Identifikation og beskrivelse af de funktionsområder i forretnings- og stabsfunktioner, der behandlerpersondata som led

i deres opgaveløsning.

Salg og marketing

Kampagner

Kampagne planlægning

Kampagne gennemførelse

Kampagne statistisk og rapportering

CRM

Business Intelligence

Server A Serverrum A

Database A

NetværkDanmarks statistik

Click trace

Telemarketing Gennemfør salgsopkald

12

Valg af niveau

Virksomhedsområde

Funktionsområde

ProcesSystem

AktivInfrastruktur

Formåls-bestemthed

Forudsætning 3: kortlægning af dataflows

Dataflowet skal vise strømme af data ind og ud af organisationen:

Funktions-område

DATA INPUT DATA OUTPUT DATA UDVEKSLING

DATAKILDER DATAELEMENTER DATATYPER

Data elementer og type

DataelementerFelter, der indeholder oplysninger om identificerbare personer

Eller sammen med andre felter kan afdække: - oplysninger af privat karakter - ved berigelse fra eksterne kilder kan afdække oplysninger af privat karakter

Konsekvensanalyse – hvordan?IT

AR

KIT

EKTU

R

Skabe overblik over IT landskabet

FUN

TKIO

NSO

MR

ÅD

ER

DAT

AFL

OW

S Beskrive dataflows:- datakilder- dataelementer- datayper- overførsel til 3. parter

DPI

A

DataansvarlighedDatabehandling DatarettighederDatasikkerhed

15

Identificere relevante funktions-områder

Udførelse af konsekvensanalysen forudsætter, at vi kan:

Beskrivelse af behandlingsaktiviteterne

•Databeskyttelsespolitik•Adfærdskodeks•Retningslinjer •Procedurer and processer •Anvendte standarder, fx. ISO27001

•Dokumentation •Databehandleraftale•DPO

•Oplysninf om behandling og videregivelse

•Adgang til data• Berigtigelse og sletning• Nej til profilering• Dataportabilitet

•Tilgængelighed•Fortrolighed•Integritet•Robusthed•Risikoreducerendeforanstaltninger

16

Dataansvarlighed

Databehandling

Datarettigheder

Sikkerhed

Databehandlings-betingelser

Lovligt grundlag: samtykke, lovkrav, kontrakt, tungerevejende interesseer

Overførsel til tredjeland

Vurdering af risici for datasubjektet

17

Datamængde & type Lovligt grundlag Dataansvarlighed Behandlingssikkerhed

Risiko: Mængden og typen af data

- er unødvendig i forhold til formålet (overskudsinformation)

- skaber for stor indsigt i datasubjektets privatliv (økonomi, ophold, relationer)

- indeholder irrelvante eller ukorrekte oplysninger om datasubjektet

- opbevares længere end det er nødvendigt i forhold til formålet

Risiko: det lovlige grundlag er ikke etableret

- datasubjektet har ikke givet samtykke

- der er ikke lovhjemmel til databehandlingen

- behandlingen sker ikke til opfyldelse af kontrakt

- behandlingen sker ikke til opfyldelse af en samfundsmæssig interesse

Risiko: dataansvarlighed

- der er ikke vedtaget en politik

- der er ikke etableret procedure for data-

behandlingen og datarettigheder

- Der føres ikke fortegnelser over behandlings-

aktiviteterne

Risiko: behandlingssikkerheden er ikke effektiv

- Destruktion, tab eller ændring

- Uautoriseret offentliggørelse

- Uautoriseret adgang

Fordele ved konsekvensanalyse

DPIA processen og resultatet kan også anvendes til at:

• Identificere behovet for organisatoriske foranstaltninger, fx behov for politikker, procedurer og retningslinjer, adgangsrettigheder, kontroller og revision, artikel 24

• Identificere behovet for at anvende redskaber til privacy by design og privacy by default, artikel 25• Føre kontrol med, at databehandlere opfylder forordningens krav, artikel 28• Opfyldelse af dokumentationskravet, art. 30• Identificere behovet for sikkerhedsmæssige foranstaltninger, fx brug af kryptering,

anomymisering, psudunymisering, artikel 32• Udarbejde handlingsplaner til mitigering, eliminering og forebyggelse af sikkerhedsbrud, artikel

32• Udarbejde beredskabsplaner

18

19

Relevant materialeDatabeskyttelsesreform – Datatilsynets informationssidehttp://dbreform.dk/

UK information commissioner’s officehttps://ico.org.uk/

Siscon – ControlManager – redskab til informationssikkerhedkontrolhttp://siscon.dk/

DPIRAT – Carve Data Protection Impact and Risk Assessment ToolDPOMM - Carve Data Protection Organisation Maturity Model Information hos bko@carve.dk

20

Kontakt information

Birgitte Kofod OlsenPartner, PhDCarve ConsultingNørre Voldgade 11, 2. sal1358 København K+45 25 26 09 03bko@carve.dkCarve.dk

21