GC-privatlivskonsekvensvurdering

Denne side er et offentligt resumé af den privatlivskonsekvensvurdering (PIA), som softwareudgiveren (Realizer Services Inc.) har udarbejdet for AccessPoint, tilpasset Treasury Board of Canada Secretariat (TBS) Directive on Privacy Impact Assessment. Den dokumenterer de beholdninger af personoplysninger, informationsstrømme, privatlivsrisici og beskyttelsesforanstaltninger, der er indbygget i produktet.

Udgiverens PIA dækker de tekniske og arkitektoniske afsnit og har til formål at hjælpe canadiske føderale institutioner med at udfylde deres egen PIA. Den implementerende institution udfylder de institutionsspecifikke oplysninger (institutionsoverblik, opbevaringsplaner, aftaler om informationsdeling og godkendelse) og indsender den udfyldte PIA til TBS og Office of the Privacy Commissioner (OPC). Den fulde PIA er tilgængelig for kunder på anmodning — se den afsluttende bemærkning.

For den fulde tekniske arkitektur henvises til siden Teknisk arkitektur. For kortlægning af sikkerhedskontroller efter ITSG-33 henvises til siden GC-reference for sikkerhedskontroller.

Formål og omfang

AccessPoint er en platform til aktindsigt og forvaltning af privatliv, der hjælper offentlige institutioner med at administrere aktindsigts- og privatlivsprogrammer i overensstemmelse med Access to Information Act (ATIA), Privacy Act og tilsvarende provinsielle/internationale regelsæt. Dens primære funktion er håndtering af anmodninger om egen aktindsigt / aktindsigt — hele livscyklussen fra modtagelse via tildeling, dokumentindsamling, gennemgang, sladring og pakning af svar.

Ud over anmodningshåndtering understøtter AccessPoint også det omkringliggende privatlivsprogram: privatlivskonsekvensvurderinger (PIA/AIA/sikkerhedsvurderinger), håndtering af privatlivshændelser og -brud (herunder arbejdsgange for bruddanmeldelse), klager og anker, et privatlivsrisikoregister og forpligtelsesregister samt fortegnelser over behandlingsaktiviteter (ROPA). Disse moduler behandler yderligere kategorier af personoplysninger og er omfattet af de samme beskyttelsesforanstaltninger, roller, revisionslog og garantier for datalokalitet som kernen til anmodningshåndtering.

Forretningsproces: modtagelse (en SAO opretter anmodningen) → tildeling (varetagere modtager renset instruktion uden rekvirent-PII) → dokumentindsamling → gennemgang og sladring → pakning af svar → afslutning (opbevaringsuret begynder).

Berørte personer: rekvirenter; institutionens medarbejdere (SAO'er, administratorer), hvis handlinger registreres i revisionssporet; varetagere og bidragydere (som ikke har adgang til rekvirent-PII); tredjeparter, hvis personoplysninger kan forekomme i dokumenter under gennemgang; registrerede beskrevet på kategoriniveau i ROPA og vurderinger; personer berørt af en privatlivshændelse; klagere og klageparter; og høringskontakter.

Retligt grundlag: indsamling og brug hviler primært på ATIA (§§ 4, 6, 9, 19) og Privacy Act (§§ 4, 5, 7, 8(2)(m) samt den enkeltes ret til aktindsigt).

Fortegnelse over personoplysninger

Indsamlede og behandlede personoplysninger

Personoplysninger, der IKKE indsamles

AccessPoint indsamler eller behandler ikke: personnumre (Social Insurance Numbers); finansielle oplysninger (bankkonti, kreditkort); helbreds- eller lægejournaler som strukturerede data (de kan forekomme i dokumenter under gennemgang); biometriske data; oplysninger om strafbare forhold; lokationsdata; eller cookies/sporingsidentifikatorer.

Bemærk: IP-adresser og user agent-strenge opfanges kun i begrænsede sammenhænge (attestsignering og logning af dokumentadgang) med henblik på retsteknisk revision, som anført ovenfor. Generel browsingadfærd og device fingerprinting indsamles ikke.

Følsomme personoplysninger i dokumenter

Dokumenter, der indsamles under ATIA-processen, kan indeholde enhver kategori af personoplysninger, herunder følsomme personoplysninger om tredjeparter. AccessPoint analyserer eller indekserer ikke dokumentindhold — det lagrer, viser og understøtter sladring. Klassificering og undtagelse af personoplysninger i dokumenter foretages af uddannede SAO'er ved hjælp af de indbyggede gennemgangsværktøjer.

Microsoft 365-optagelse af optegnelser (tilvalg, styret af feature-toggle): en varetager kan optage sine egne Microsoft 365-optegnelser — Outlook-e-mail, Outlook-kalender, OneNote, Teams-chats, Microsoft Lists eller Copilot-interaktionshistorik — som en relevant optegnelse. Optagelse bruger altid den indloggede brugers egen delegerede identitet og er afgrænset til den pågældende brugers egne data (Copilot-hentning er app-only, da der ikke findes en delegeret Graph-tilladelse, men er altid afgrænset server-side til den indloggede brugers eget Entra object-id — aldrig hele tenanten). Optaget indhold gengives som en PDF og indgår i det normale gennemgangs-/sladringsforløb. Kalenderoptagelse udelader som standard elementer, der er markeret som Private/Personal/Confidential.

Analyse af strømmen af personoplysninger

Notifikationsvejen illustrerer kontrollen "ingen rekvirent-personoplysninger til udgiveren":

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Vurdering af privatlivsrisici

Scorer for risikoområder

I henhold til TBS' standardiserede rammeværk:

Samlet risikoniveau: Moderat — standard for et administrativt program, der behandler personoplysninger om eksterne personer, afhjulpet af stærke tekniske kontroller (kryptering, RBAC, PII-filtrering, datasuverænitet).

Tekniske og administrative beskyttelsesforanstaltninger

Godkendelse og adgangskontrol

Kryptering

Netværkssikkerhed

Overvågning og revision

Administrative beskyttelsesforanstaltninger

Administratorer tildeler roller via Indstillinger; rolleændringer træder i kraft med det samme. En Application Access Policy begrænser Mail.Send til udelukkende den udpegede delte postkasse. Konfigurationsændringer anvendes via versionerede konfigurationspakker med revisionslogning af installation. Personaletræning, politik for acceptabel brug og procedurer for brudrespons fastlægges af institutionen.

Tredjepartstjenester og datadeling

Nøglepunkt: Ingen rekvirent-personoplysninger, dokumentindhold eller anmodningsdetaljer overføres til Realizer Services eller nogen ekstern part. Al dokumentbehandling (konvertering, sladring) sker i institutionens egen App Service.

Relevante Personal Information Banks

Institutioner bør bekræfte relevante PIB'er, og om der kræves nye PIB'er til deres specifikke implementering.

Tilgængelighed af den fulde PIA

Den fulde privatlivskonsekvensvurdering — herunder den komplette fortegnelse over personoplysninger, detaljeret analyse af indsamling/brug/videregivelse/opbevaring/nøjagtighed, retlige hjemler og dataflowdiagrammer — er tilgængelig for kunder og potentielle kunder på anmodning. Implementerende institutioner bruger den som det tekniske og arkitektoniske grundlag for deres egen PIA og udfylder institutionsoverblik, opbevaringsplaner, aftaler om informationsdeling og godkendelse, før de indsender til TBS og Office of the Privacy Commissioner.