Informationssäkerhet och GDPR
Basfakta gällande Trainstation Sverige. Uppdaterad 2024-09-13. Lars Olof Berg, DSO, Trainstation Sverige AB.
Relaterade dokument: Registerförteckning, Medlemsvillkor, Riskbedömning, Personal Data Flow (sekretessbelagd, skickas på begäran)
Behöver en konsekvens-bedömning göras för att etablera Trainstation?
”Personuppgiftsbehandlingar som kan innebära en hög risk för den registrerades integritet kräver en konsekvensbedömning innan de påbörjas, en så kallad DPIA (Data Protection Impact Assessment). Detta i enlighet med den nya Dataskyddsförordningen, artikel 35 som trädde i kraft den 25 maj 2018.”
Enligt typiska DPIA-mallar är svaren från Trainstation Sverige följande:
Kriterier för hög risk
-
Nej, på samtliga frågor
Kontrollfrågor för sannolik hög risk
-
Ja, för ”Behandlar personuppgifter i stor omfattning.” Anledningen är att en typisk Trainstation har minst flera hundra besökare vilket får anses vara en stor omfattning i detta sammanhang
-
Ja, för ”Behandlar personuppgifter om personer som av något skäl befinner sig i ett underläge eller i beroendeställning och därför är sårbara, exempelvis barn, anställda, asylsökande, äldre och patienter.” Anledning är att besökare är bland andra barn, de kan även vara äldre om kommunen väljer att rikta sig till denna målgrupp.
Eftersom svaren blir Ja på två frågor föranleder det att en konsekvensbedömning, DPIA, görs.
Det finns fyra grundläggande krav på vad en DPIA ska innehålla:
-
En systematisk beskrivning av den planerade behandlingen och behandlingens syfte.
-
En bedömning av om behandlingen är nödvändig och proportionerlig i förhållande till syftet med den.
-
En bedömning av riskerna för de registrerades rättigheter och friheter.
-
De åtgärder som planeras för att hantera riskerna och för att visa att GDPR efterlevs.
Svar på frågor
I en typisk konsekvensbedömning finns ett antal grundläggande frågeställningar. Här delar vi fakta kring dessa för att göra det lättare att göra en bedömning för kommunen.
1. En systematisk beskrivning av den planerade behandlingen och behandlingens syfte.
Behandling: Användarkonton.
Syfte: Skapa och hantera användarkonton, hantera behörighetsgrupper.
2. En bedömning av om behandlingen är nödvändig och proportionerlig i förhållande till syftet med den.
Dessa personuppgifter samlas in samt syftet med dem:
-
Användarnamn – smeknamnet använder vi för att hälsa välkommen på Learn
-
Namn – för att vi ska kunna kommunicera med med användaren
-
E-post – för att kunna logga in och för att vi kunna skicka meddelanden
-
Födelsedatum – för att vi ska kunna erbjuda bra kursmaterial, och se vilka åldersgrupper som vi når, vi använder också födelsedatum för statistik. Notera att de fyra sista siffrorna EJ är med.
-
Postnummer – hjälper oss att se var användarna bor och om vi missar vissa områden i samhället, vi använder också postnummer för statistik
-
Kön – Trainstation finns för alla, oavsett vilket kön man identifierar sig med, vi vill se att vi når alla på ett jämställt vis, vi använder också kön för statistik
-
Alster i Portfolio – det som skapas av användaren sparas på ett säkert sätt, alster kan innehålla personuppgifter. Genom att vi sparar alster underlättar vi hantering av filer mellan olika maskiner på Trainstation. Vi använder också antal alster för statistik
Sammantaget har en avvägning skett för att balansera omfattningen och detaljrikedomen av personuppgifter med den praktiska nytta användaren och verksamheten får av denna insamling.
3. En bedömning av riskerna för de registrerades rättigheter och friheter.
Riskbedömning med skattningar finns som bifogat dokument.
4. De åtgärder som planeras för att hantera riskerna och för att visa att GDPR efterlevs.
Som ett led i att förebygga och hantera risker används följande dokument, de kan skickas vid begäran.
Guidelines:
-
Introduktion för en Trainer (handledare)
Process:
-
Systemutveckling
Rutiner:
-
Ansökan av Grupp/Roll
-
Förändrad insamling av personuppgifter
-
Gallring av användare
-
Moderera användares Portfolio
-
Personuppgiftsincident
-
Utbildning i informationssäkerhet
-
Årlig avstämning med Personuppgiftsansvarig
Dataflödes-analys
”Dataflödesanalysen syftar till att kartlägga vilken typ av information som behandlas i ett verksamhetssystem och av vem. En dataflödesanalys kartlägger vilken information som behandlas i ett verksamhetssystem, vem som tar del av informationen samt hur tillgången till informationen styrs.”
Schematisk bild över flödet för medlemsregistrering
-
Alla besökare checkar in i lokalen, det sker vid en surfplatta vid entrén. Man anger sitt användarnamn.
-
Hittar inte systemet användarnamnet skickas man till en skapa-kontovy
-
I denna vy visas Medlemsvillkoren. Är man 13 och mer kan man själv godkänna och skapa kontot.
-
Är man under 13 år får man en utskrift från handledaren. Denna utskrift skrivs under av målsman för att sedan skapa kontot.
Schematisk bild över flödet att logga in i Learn App
Som besökare och Trainer får man tillgång till Min profilsida, Kurser och Discord.
-
Personuppgifter kan visas i Min profilsida om besökaren laddat upp något som innehåller personuppgifter. Ingenting av det som laddas upp är publikt för andra, allt är personligt.
Som SiteAdmin får man också tillgång till administrationsmodulen.
-
Personuppgifter visas för användare. Endast de användare som tillhör kommunen är tillgängliga.
-
Personuppgifter kan visas i en användares Portfolio om besökaren laddat upp något som innehåller personuppgifter.
-
SiteAdmin har tillgång modereringsfunktion för Portfolio, gallring av användare
Schematisk bild över flödet att logga in i Trainer App
-
Besökare har inte tillgång till Trainer App
-
Trainers och SiteAdmin kan logga in
-
Personuppgifter visas för en användare. Följande uppgifter kan uppdateras
-
Smeknamn
-
Födelseår
-
E-post
-
Postnummer
-
-
Användare kan ej raderas
Hantering av personuppgifter
Gallring av alster
Process för en systematisk gallring finns, samt en modereringsfunktion av alster i learnplattformen.
Filer i backup raderas enligt gällande backup-cykel.
Gallring av användare
En besökares livslängd i systemet i princip är livslångt, lärande är relevant hela livet.
Funktionalitet för att gallra användare efter 366 dagars inaktivitet. E-post skickas ut 30 dagar före med meddelande att kontot kommer att tas bort om inte användaren loggar in igen. Om ingen inloggning skett dag 366 raderas kontot.
Vi behåller anonymiserad statistik för att bland annat kunna rapportera till kommun. Användarens filer i portfolio raderas permanent.
Data i backup raderas enligt gällande backup-cykel.
Radering av användare
Om besökaren själv vill sluta raderar vi dennes konto, uppgifter och filer. Det samma gäller om en besökare blir avstängd från verksamheten på grund av avtalsbrott.
Anonymisering av användare
Vid radering av en användare behåller vi anonymiserad statistik för att bland annat kunna rapportera till kommun. Användarens filer i portfolio raderas permanent.
System
Vissa loggfiler, till exempel för att övervaka hantering av personuppgifter (”vem som gör vad”), innehåller i sig personuppgifter. Accessrättigheter hanteras enligt behörighetssystemet. Data och filer i backup raderas enligt gällande backup-cykel.
Grundläggande principer enligt GDPR
Princip 1: Laglighet, korrekthet och öppenhet
Är uppfylld i och med att användaren har möjlighet att godkänna Medlemsvillkor – ”Öppenhet”.
Princip 2: Ändamålsbegränsning
Är uppfylld. De personuppgifter som idag samlas in är väl specificerade samt avvägda utifrån användarens integritet och nytta. Rutin finns för eventuell ny insamling av ytterligare personuppgifter eller förändring av existerande.
Princip 3: Uppgiftsminimering
Är uppfylld. Vi har minimerat antalet personuppgifter och granulariteten av dem för att balansera integritet med nytta. Ett exempel är ålder, vi vill veta en besökares ålder för att dels erbjuda ett bra kursutbud och dels för att veta att vi når rätt enligt kommunens mål. Men att bara veta ålder, t.ex. ”14 år” räcker inte då skolans läsår inte följer kalenderår, önskade grupper att nå kan vara ”mellanstadie” eller ”högstadie”. Men, vi behöver inte ha ett personnummer utan det räcker med födelsedatum ÅÅÅÅ-MM-DD för att uppfylla nyttomålet.
Princip 4: Korrekthet
Är uppfylld. Funktioner och rutiner finns för att löpande kontrollera och rätta felaktiga uppgifter. Till exempel kan felaktiga uppgifter indikeras på en hög nivå i de månatliga rapporter systemet producerar, man kan visuellt se avvikande postnummer eller åldersgrupper.
Princip 5: Lagringsminimering
Är ej uppfylld. Sommaren och hösten 2024 införs funktionalitet för att gallra användare efter 366 dagars inaktivitet. E-post skickas ut 30 dagar före med meddelande att kontot kommer att tas bort om inte användaren loggar in igen. Om ingen inloggning skett dag 366 raderas kontot.
Vi behåller anonymiserad statistik för att bland annat kunna rapportera till kommun. Användarens filer i portfolio raderas permanent.
Data och filer i backup raderas enligt gällande backup-cykel.
Princip 6: Integritet och konfidentialitet
Är uppfylld. En logg som visar aktivitet i systemet utfört av personer med högre behörigheter.
Integritet och konfidentialitet är i övrigt väl under kontroll
-
tekniskt vad gäller åtkomst, lagring, kryptering, backup och återställning,
-
rutiner samt utbildning av personal finns definierade.
Princip 7: Ansvarsskyldighet
Är ej uppfylld. Inplanerade åtgärder:
-
Genomföra tydligare information till besökare
-
Dokumentation och hantering finns i DPIA, KLASSA, och PUBA.
-
Införa dataskyddsutbildning i Introduktionsutbildningen
Registrerades rättigheter
Rutiner finns för hantering av att lämna ut uppgifter, rättelse, radering.
Rätt till information
Den registrerade får information om hur dennes personuppgifter behandlas i samband med att kontot skapas.
Den registrerade kan begära ut sina personuppgifter i ett läsbart format genom att kontakta verksamhetsansvarig
Rätt att ta del av dina uppgifter
Den registrerade kan begära ett registerutdrag genom att ta kontakt med ansvarig för verksamheten.
Rätt till radering eller Rätt till begränsning eller Rätt att invända
Den registrerade har rätt till radering av personuppgifter, men vissa uppgifter kommer att sparas anonymiserade för statistik.
Att begränsa delar av hanteringen är inte att rekommendera med tanke på tjänstens uppbyggnad, däremot kan man säga upp medlemskapet i Trainstation och på sätt få sina uppgifter raderade (anonymiserade).
Rätt till rättelse
Den registrerade kan få personuppgifterna ändrade eller rättade om de är felaktiga genom att kontakta en Trainer eller verksamhetsansvarig.
Rättigheter när beslut fattas automatiskt
Inga beslut är automatiserade.
Tredjelandsöverföring
Alla data lagras hos AWS, i region ”eu-west-1”, Irland.
Mer information om ”EU-U.S. Data Privacy Framework” som antogs juli 2023 https://aws.amazon.com/compliance/eu-us-data-privacy-framework/
