Foreløbige erfaringer med implementering af persondataforordningen i Kulturministeriet Torsten Friis

Transkript

1 Fællesseminar den 5. april 2016 Torsten Friis Foreløbige erfaringer med implementering af persondataforordningen i Kulturministeriet Torsten Friis Oktober 2017 TFR 1

2 Torsten Friis Jeg er ikke jurist Cand. polit., BA(Historie), OL-R(H) CISSP, ESL Ansat Slots- og Kulturstyrelsen i Udviklings- og Koncern-IT Oktober 2017 TFR 2

3 Kulturministeriet Et departement + 22 statsinstitutioner Oktober 2017 TFR 3

4 Fællestræk? Fællestræk det komplekst institutionslandskab: Persondataforordningen opfattes IKKE som - det mest spændende - det der forbedrer institutionens kerneydelse Erfaringer med indførelse DS484 og ISO27001 Colourbox Ingen ekstra pose penge afsat til sagen Oktober 2017 TFR 4

5 Beslutning Ansvar Servicetilbud Oktober 2017 TFR 5

6 Lokal ansvarlig Usikkerhed Eget budget Oktober 2017 TFR 6

7 Workshops med ekstern ekspert Oktober 2017 TFR 7

8 Koncept Fælles læring og erfaringsopsamling Lektiecafe hjemmearbejde/forberedelse Charlottes brevkasse Fælles værktøjer som output workshops: skema Fortegnelsen (udleveret 19. maj) liste over hjemler paradigme samtykker paradigme databehandleraftaler Filkasse fælles filbase med materiale og Q&A DPIA Lokal implementering Oktober 2017 TFR 8

9 Behov for at håndtere en række nye krav Dokumentere ansvarlighed i relation til Lovlighed, rimelighed og gennemsigtighed Formålsbegrænsning Dataminimering Rigtighed Opbevaringsbegrænsning Integritet og fortrolighed Fortegnelse Eksplicit samtykke Særlige forhold børn/unge Krav dataportabilitet Risikovurdering set fra borgerside ( DPIA ) Indbygget systemsikkerhed ( Security by design ) Indbygget sikkerhedsopsætning ( Security by default ) Databehandleraftaler Persondataretslig beredskabsplan Persondata politik ( Privatlivspolitik ) Udpege DPO Oktober 2017 TFR 9

10 Hvad gør vi indledningsvis? 1. Opbygger viden 2. Skaber overblik Forretnings dokumentation (grupper af data) Hvilke p-data anvendes til myndigheds-, tilskuds- og personalesager? Hvilket forretningsbetinget formål? Følsomme eller ikke følsomt data? Hvor data? (Eks. TAS, Public360, TMS, HR-Manager, Outlook, m-time, Fællesdrev, etc.). OPGAVE Systemteknisk dokumentation (forudsætter forretningsdokumentation) Hvor ligger systemets p-data fysisk (eget/sit datacenter, ekstern leverandør, nationalt/internationalt? Med hvilke systemer m.v. udveksles p-data? (CVR, Navision, etc.) Opbevaringsperiode? (I applikation og back up) Hvilke databehandler aftaler (og underdatabehandler aftaler) er der for systemet? 3. Danner samtidig den lovpligtige fortegnelse (sidegevinst) 4. Undersøger samtidig om de grundlæggende krav overholdes (lovlighed, rimelighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, integritet og fortrolighed) OPGAVE Oktober 2017 TFR 10

11 Bare svar på disse enkle spørgsmål.. Oktober 2017 TFR 11

12 Foreløbige erkendelser Vi må fra maj 2018 behandle p-data stort set som under gammel persondatalov Det er en god ide at kontrollere efterleves af nuværende regler Regelsæt er en virksomhedsudfordring ikke et it eller jura problem Det gælder om at komme i gang og se på konkret dataanvendelse før erkendes udfordringer ikke Oktober 2017 TFR 12

13 Informationsbehov på alle niveauer Der er fortsat ikke nogen der synes, det er alle tiders sag men er er klar forståelse (de fleste steder) af nødvendighed - der er interessante erkendelser undervejs Koncernledelsen har bedt om løbende rapportering hvilket givet i sig selv er projektfremmende (Det er lovforsalget om mulige bøder måske også ) Oktober 2017 TFR 13

14 Hvad gør vi så? Undersøger/tilretter samtykker: Nødvendige? Lovmedholdelige? Undersøger/løsning forhold vedr. Børn? Opgave Portabilitet? Ajourfører/indgår databehandleraftaler Opgave for kontraktholder Foretager efter behov risikovurderinger Overvejer/opsætter indbygget - systemsikkerhed (systemejere) Opgave systemejer - sikkerhedsopsætning (systemejere) Tilvejebringer (centralt) persondataretslig beredskabsplan og privatlivspolitik (Udpeger DPO (direktionen)) Opgave Opgave for data- og systemejer i forening Oktober 2017 TFR 14

15 Hvad gør vi dernæst? Formulerer og implementere centrale og lokale procedurer med tilhørende kontroller så efterlevelse af regelsæt kan fastholdes fremover. Oktober 2017 TFR 15

16 Projektplans forudsætninger At projektdeltagere opsamler viden aktivt relatere viden til eget område benytter workshops muligheder for afklaring af spørgsmål herunder ved at fremsende dem til Charlottes brevkasse. Oktober 2017 TFR 16

17 Hvis er ansvaret? Ansvaret ligger lokalt April 2018 skal checkliste kunne besvares bekræftende: - Fortegnelse ajour inkl. ajourført hjemmel m.v. - Samtykker ajour alle steder - Databehandleraftaler indgået - Sletningsterminer på plads - m.v. - Kontrolsystem fremadrettet på plads Oktober 2017 TFR 17

18 DPO Én central DPO? Eller 21 DPO er? Colourbox Gæt: Et sted midt imellem I alle tilfælde internt netværk Oktober 2017 TFR 18

19 Alt på plads 25. maj 2018? Sagt i denne meget snævre kreds: Det tror jeg personligt ikke Men jeg er helt sikker på, at vi er meget bedre kørende end da vi startede Oktober 2017 TFR 19

20 Colourbox Oktober 2017 TFR 20