Question 1

Dataminimering: Formål

Accepted Answer

Den billigste beskyttelsen er å aldri ha opplysningen, derfor må hvert felt forsvare plassen sin før det samles inn. En konto opprettes uten navn og uten e-postadresse; identiteten er en generert kode som bare peker på en saldo og et sett nøkler. Offentlig selskapsinformasjon som leses på forespørsel lagres som funn og tall, ikke som kopier av sider om navngitte personer. Fritekst som sendes inn leses for svarets skyld og forkastes, den blir aldri et kundearkiv. Hvert nytt felt i et skjema eller en rapport må navngi beslutningen det støtter før det legges til. Felt som ikke lenger støtter en beslutning fjernes ved gjennomgang i stedet for å bli liggende i tilfelle. Absolutt grense: Ingen særlige kategorier etter artikkel 9 og ingen opplysninger om barn samles inn noe sted i tjenesten. Kommer slikt innhold inn i en opplasting, forkastes det i stedet for å behandles.

Question 2

Lagringstid: Formål

Accepted Answer

Lagringstiden bestemmes på forhånd, slik at ingenting blir liggende bare fordi ingen husket å slette det. Hver kategori har en skreven periode, satt av formålet eller av regnskapsplikt, ikke av tilgjengelig lagring. Sletting går etter plan og venter ikke på en forespørsel; en forespørsel flytter bare slettingen fram. Supportsamtaler maskeres etter sju dager og slettes etter tretti. Regnskapsopplysninger beholdes i sju år fordi loven krever det, og brukes ikke til noe annet i perioden. En sletting som stanses av en rettslig plikt besvares med plikten og datoen plikten opphører. Absolutt grense: Ingen kategori beholdes uten sluttdato. Der perioden ikke kan kortes ned på grunn av regnskapsplikt, låses opplysningen til det formålet alene.

Question 3

Pseudonymisering: Formål

Accepted Answer

Når opplysningen er skilt fra personen bak, identifiserer en lekkasje av opplysningen alene ingen. Kundeidentiteten er en generert kode, så bruk, saldo og kvitteringer bærer aldri et navn. Analyseresultater lagres mot den koden, og koden kan ikke føres tilbake til en person inne i tjenesten. Navn og kontaktopplysninger som dukker opp i en rapport vises til kunden og lagres ikke hos oss. Driftsopplysninger holder antall og utfall, aldri teksten kunden skrev. Gjenoppretting skjer med en kode kunden selv har, slik at tilgang kan gis tilbake uten at vi lagrer en e-postadresse. Absolutt grense: Pseudonymisering regnes som et vernetiltak, ikke som anonymisering: opplysningene behandles fortsatt som personopplysninger og bærer fortsatt rettigheter.

Question 4

Kryptering: Formål

Accepted Answer

Data skal være uleselig for den som får tak i det utenfor tjenesten, både mens det er underveis og mens det ligger stille. All trafikk til og fra tjenesten går over TLS 1.2 eller høyere; åpne tilkoblinger avvises, ikke omdirigeres stille. Databaser, fillagring og sikkerhetskopier er kryptert i ro hos driftsleverandøren. Tilgangsopplysninger og partnernøkler lagres som avtrykk eller i et hemmeligholdt lager, aldri som lesbare verdier i kode eller i en rapport. En kundenøkkel vises i klartekst én gang ved opprettelse; etterpå finnes bare avtrykk og prefiks. Nøkler kan byttes av kunden når som helst, og den gamle nøkkelen slutter å virke i samme øyeblikk den nye utstedes. Absolutt grense: Ingen kundeinnhold skrives til et sted utenfor de krypterte lagrene, heller ikke midlertidige filer som brukes mens et svar lages.

Question 5

Logging: Formål

Accepted Answer

En prosess er først kontrollert når du i ettertid kan vise hva som skjedde, hvem som nådde opplysningene og på hvilket grunnlag. Hvert oppslag og hver eksport skriver en rad med tid, formål, jurisdiksjon og identitetskoden bak forespørselen. Hver automatisk analyse skriver sin egen rad, slik at et resultat kan spores tilbake til kjøringen som laget det. Loggene holder antall, utfall og referanser, ikke innholdet i det kunden skrev. Loggrader er beskyttet mot endring og beholdes i en fast periode, deretter slettes de sammen med alt annet. Et brudd på personopplysningssikkerheten logges med tid, omfang og tiltak, slik at meldingen innen syttito timer bygger på fakta og ikke anslag. Absolutt grense: Logger brukes aldri til å profilere en person eller bygge et bilde av enkeltpersoners atferd; de finnes for å vise kontroll og for å undersøke hendelser.

Kategori	Periode	Ved periodens slutt
Konto- og nøkkelopplysninger	Så lenge kontoen er aktiv, deretter tolv måneder	Slettes; nøkler slutter å virke straks kontoen avsluttes
Analyseresultater og rapporter	Tolv måneder fra kjøringen	Slettes; bare samlede antall uten kundereferanse blir igjen
Supportsamtaler	Maskeres etter sju dager, slettes etter tretti	Slettes; bare antall henvendelser og utfall blir igjen
Tilgangs- og driftslogger	Tolv måneder	Slettes etter plan; hendelsesrader følger hendelsesmappen
Regnskapsopplysninger og kvitteringer	Sju år	Slettes; låst til regnskapsformålet hele perioden
Opplastede dokumenter	Leses og forkastes i økten	Ingen kopi beholdes; bare feltene kunden valgte å lagre blir igjen

Fem prosesser som avgjør hva som skjer med data

Dataminimering

Lagringstid

Pseudonymisering

Kryptering

Logging

Lagringstid i oversikt

Reglene prosessene tjener

Beslektede sider