Avklaringer ved et nytt system
- Vær forberedt på at du bør ha en plan B fordi mange typer programvare ikke kan godkjennes, og at prosessen kan ta tid.
- Hva er behovet? Beskriv hvilket problem det skal løse, eller hvilken nytte det er tenkt å ha. Dersom behovet kan dekkes innenfor allerede godkjent programvare vil det foretrekkes.
Når IT-avdelingens sikkerhetsteam har gjort en første vurdering av tjenesten, og den er vurdert som mulig å gå videre med, vil det bli gitt tilbakemelding til den som skal være systemadministrator om videre prosess.
Det skal sikres at viktige vurderinger ved anskaffelse eller utvikling av nye systemer/tjenester gjennomføres og dokumenteres.
Registrer nytt system, tjeneste eller applikasjon her
Maler og retningslinjer
Rutine for anskaffelse av system og tjeneste (for system- og tjenesteeier)
Retningslinje for anskaffelse av system og tjeneste (for systemadministrator, systemansvarlig, IT- og teknisk personell)
Mal for databehandleravtale (Word-fil)
Mal for databehandleravtale (engelsk versjon) (Word-fil)
Sjekkliste for databehandleravtale
Videre prosess
- Personvernvurdering – tilfredsstillende personvern i løsningen
- Risikovurdering – tilfredsstillende sikkerhet i løsningen
- Inngå databehandleravtale
- DPIA må gjennomføres i noen tilfeller
- Systemintegrasjoner
- Systemintegrasjoner er ofte kompliserte og krever kompetanse og deltagelse av mange grupperinger: noe skal utvikles, det skal på plass en databehandleravtale, løsningen skal ha stabil drift, være redundant og skalerbar, rettigheter skal delegeres, dokumentasjon skal produseres, og tjenesteportefølje skal oppdateres med planverk og budsjett.
- Autentiseringsløsninger
- Supportavtale/SLA
- Lagringsland
- EUs personvernforordning gjelder for EØS-området. Det inkluderer alle EU-land, Island, Liechtenstein og Norge. Når personopplysninger overføres til et land som er etablert utenfor EØS-området, og som ikke er underlagt personvernforordningsregler, gjelder spesielle krav for overføringen slik at beskyttelsesnivået som gjelder i EØS-området ikke undergraves.
Spørsmål og svar om nye regler for overføring av personopplysninger til land utenfor EØS (Her finner du også en oversikt over godkjente tredjeland)
- EUs personvernforordning gjelder for EØS-området. Det inkluderer alle EU-land, Island, Liechtenstein og Norge. Når personopplysninger overføres til et land som er etablert utenfor EØS-området, og som ikke er underlagt personvernforordningsregler, gjelder spesielle krav for overføringen slik at beskyttelsesnivået som gjelder i EØS-området ikke undergraves.
NB! Etter at EU-domstolen vedtok Schrems-II dommen, er overføringer til USA særdeles problematiske, per dags dato finnes det ikke et lovlig overføringsgrunnlag for å ta i bruk nye systemer som overfører til USA. Dette betyr at vi ikke kan ta i bruk nye systemer som overfører personopplysninger til USA, eller andre tredjestater som ikke er godkjente. Dette gjelder også for underleverandører som leverandøren benytter. Med overføring menes også fjernaksess, et eksempel på dette er support ol. Mer informasjon om dette på Datatilsynets sider.
Med overføring av personopplysninger mener vi at personopplysningene sendes eller overføres til et annet land, eller at noen i et annet land får fjerntilgang til opplysningene. For eksempel, dersom du gir en russisk underleverandør tilgang til å logge seg inn og se dataene dine, selv om dataene kun er lagret på en server i Norge, regnes dette som en overføring.
- Tilgangsstyring, administratorrettigheter.
Hvis eksisterende alternativer ikke løser utfordringen, kontakt UiA Hjelp med følgende
- Hvilke personer skal bruke tjenesten? Ansatte (vitenskapelig eller administrativ, studenter, stipendiater, anslagsvis antall i hver kategori
- Hvilken informasjon skal tjenesten behandle? Navn, epost, forskningsdata (beskriv type), bilder, video, chat, opplasting av filer, sensitiv informasjon, osv.
- Hvem eier informasjonen som skal behandles?
- Hvilken situasjon skal de brukes til? Skal noen pålegges å bruke den? Er det til pilotering, analyse av data, eksamen, studentaktivitet, samarbeid eksternt?
- Gi forslag til hvilke ulike alternativer som finnes for å løse problemet, vi bør som minimum vurdere tre ulike alternativer.
- Nye løsninger medfører en del oppgaver som må gjennomføres og dokumenteres. Hvem skal være kontaktperson og systemadministrator for applikasjonen? Hvilken avdeling/fakultet skal eie applikasjonen og være ansvarlig for forvaltning av tjenesten? Dette må avklares med leder før man vurderer om den kan godkjennes.
- Alle systemer skal ha en systemeier og en systemadministrator. Systemeier er alltid enhetsdirektør, mens systemadministrator rollen delegeres til en ansatt i enheten. Systemeier har ansvar for tjenesten, og er den som skal signere databehandleravtalen. Systemadministrator er ansvarlig for å gjennomføre det utøvende arbeidet med informasjonssikkerhet og personvern i systemet/tjenesten.