GC:n tietosuojavaikutusten arviointi (PIA)

Tämä sivu on ohjelmiston julkaisijan (Realizer Services Inc.) AccessPointille laatiman tietosuojaa koskevan vaikutustenarvioinnin (PIA) julkinen yhteenveto, joka noudattaa Treasury Board of Canada Secretariatin (TBS) tietosuojavaikutusten arviointia koskevaa direktiiviä. Se dokumentoi tuotteeseen sisäänrakennetut henkilötietovarannot, tietovirrat, tietosuojariskit ja suojatoimet.

Julkaisijan PIA kattaa tekniset ja arkkitehtuuriset osiot, ja sen tarkoitus on auttaa Kanadan liittovaltion laitoksia täydentämään omaa PIA:taan. Käyttöönottava laitos täydentää institutionaaliset tiedot (institutionaalinen yleiskatsaus, säilytysaikataulut, tietojenvaihtosopimukset ja hyväksyntä) ja toimittaa valmiin PIA:n TBS:lle ja tietosuojavaltuutetun virastolle (Office of the Privacy Commissioner, OPC). Täydellinen PIA on asiakkaiden saatavilla pyynnöstä — katso päätössivun huomautus.

Täydellinen tekninen arkkitehtuuri on kuvattu sivulla Tekninen arkkitehtuuri. ITSG-33-turvallisuuskontrollien kartoitus löytyy sivulta GC-turvallisuuskontrolliviite.

Tarkoitus ja soveltamisala

AccessPoint on tietopyyntöjen ja tietosuojan hallinta-alusta, joka auttaa valtion laitoksia hallinnoimaan tietopyyntö- ja tietosuojaohjelmia Access to Information Actin (ATIA), Privacy Actin ja vastaavien provinssi-/kansainvälisten säädösten mukaisesti. Sen ensisijainen toiminto on rekisteröidyn tietopyyntöjen / tietopyyntöjen hallinta — koko elinkaari vastaanotosta tehtävänjakoon, asiakirjojen keräykseen, tarkastukseen, peittämiseen ja vastauksen paketointiin.

Pyyntöjen käsittelyn lisäksi AccessPoint tukee myös ympäröivää tietosuojaohjelmaa: tietosuojavaikutusten arviointeja (PIA-/AIA-/Security-arvioinnit), tietosuojapoikkeamien ja tietoturvaloukkausten hallintaa (mukaan lukien ilmoitusvelvollisuuden työnkulut), kanteluja ja muutoksenhakuja, tietosuojan riskirekisteriä ja sitoumusrekisteriä sekä käsittelytoimien selosteita (ROPA). Nämä moduulit käsittelevät lisäkategorioita henkilötietoja, ja niitä koskevat samat suojatoimet, roolit, tarkastusloki ja tietojen sijaintitakuut kuin pyyntöjen hallinnan ydintä.

Liiketoimintaprosessi: vastaanotto (SAO luo pyynnön) → tehtävänjako (haltijat saavat puhdistetut ohjeet ilman pyytäjän henkilötietoja) → asiakirjojen keräys → tarkastus ja peittäminen → vastauksen paketointi → sulkeminen (säilytysaika alkaa).

Vaikutuksen kohteena olevat henkilöt: pyytäjät; laitoksen työntekijät (SAOt, pääkäyttäjät), joiden toimet kirjataan tarkastuslokiin; haltijat ja avustajat (joilla ei ole pääsyä pyytäjän henkilötietoihin); kolmannet osapuolet, joiden henkilötietoja voi esiintyä tarkastettavissa asiakirjoissa; rekisteröidyt, jotka on kuvattu kategoriatasolla ROPA:ssa ja arvioinneissa; tietosuojapoikkeaman kohteena olevat henkilöt; valittajat ja kantelun osapuolet; sekä konsultaatioyhteyshenkilöt.

Oikeudellinen valtuutus: keräys ja käyttö perustuvat ensisijaisesti ATIA:aan (s.4, 6, 9, 19) ja Privacy Actiin (s.4, 5, 7, 8(2)(m) sekä yksilön oikeus tutustua omiin tietoihinsa).

Henkilötietoluettelo

Kerätyt ja käsitellyt henkilötiedot

Henkilötiedot, joita EI kerätä

AccessPoint ei kerää eikä käsittele seuraavia: sosiaaliturvatunnuksia (Social Insurance Number); taloustietoja (pankkitilit, luottokortit); terveys- tai potilastietoja rakenteisena datana (niitä voi esiintyä tarkastettavissa asiakirjoissa); biometrisiä tietoja; rikosrekisteritietoja; sijaintitietoja; tai evästeitä/seurantatunnisteita.

Huomautus: IP-osoitteita ja user agent -merkkijonoja tallennetaan vain rajoitetuissa yhteyksissä (vahvistuksen allekirjoitus ja asiakirjan käytön kirjaaminen) forensisia tarkastustarkoituksia varten, kuten edellä on lueteltu. Yleistä selauskäyttäytymistä ja laitteen sormenjälkitietoja ei kerätä.

Arkaluonteiset henkilötiedot asiakirjoissa

ATIA-prosessin aikana kerätyt asiakirjat voivat sisältää minkä tahansa henkilötietoluokan, mukaan lukien arkaluonteisia henkilötietoja kolmansista osapuolista. AccessPoint tallentaa, esikatselee ja mahdollistaa asiakirjojen peittämisen, ja — tarkastustyökalujen tueksi — poimii kunkin asiakirjan selkokielisen tekstin tietokantaan (valinnaisella OCR:llä pelkkää kuvaa sisältäville skannauksille tilauksen sisäisen Azure AI Document Intelligence -resurssin kautta). Tämä poimittu teksti mahdollistaa sisältöhaun (valinnaisesti indeksoituna laitoksen omaan Azure AI Search -resurssiin), kaksoiskappaleiden tunnistuksen, kuvio-/sääntöpohjaiset peittoehdotukset sekä — kun valinnainen AI Assist -komponentti on otettu käyttöön — koneellisesti luodut ehdotukset ja yhteenvedot. Kaikki tämä käsittely tapahtuu laitoksen omassa Azure-tilauksessa, ja jokainen koneen tuottama peitto tai ehdotus on ehdotus: asiakirjoissa olevien henkilötietojen luokittelusta ja poikkeusten soveltamisesta päättävät koulutetut SAOt sisäänrakennettuja tarkastustyökaluja käyttäen.

Microsoft 365 -tietueiden tallennus (valinnainen, ominaisuuskytkimen takana): haltija voi tallentaa omat Microsoft 365 -tietueensa — Outlook-sähköpostin, Outlook-kalenterin, OneNoten, Teams-keskustelut, Microsoft Listsin tai Copilot-vuorovaikutushistorian — vastauksena olevana tietueena. Tallennus käyttää aina kirjautuneen käyttäjän omaa delegoitua identiteettiä ja rajoittuu kyseisen käyttäjän omaan dataan (Copilot-haku on sovellustasoinen, koska delegoitua Graph-oikeutta ei ole olemassa, mutta se on aina palvelinpuolella rajattu kirjautuneen käyttäjän omaan Entra-objektitunnukseen — ei koskaan koko vuokraajan laajuiseksi). Tallennettu sisältö renderöidään PDF:ksi ja siirtyy normaaliin tarkastus-/peittämistyönkulkuun. Kalenteritallennus jättää oletuksena pois kohteet, jotka on merkitty yksityisiksi/henkilökohtaisiksi/luottamuksellisiksi.

Henkilötietovirtojen analyysi

Ilmoitusreitti havainnollistaa "ei pyytäjän henkilötietoja julkaisijalle" -kontrollia:

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Tietosuojariskien arviointi

Riskialuepisteet

TBS:n standardoidun kehyksen mukaisesti:

Kokonaisriskitaso: Kohtalainen — tyypillinen hallinnolliselle ohjelmalle, joka käsittelee ulkopuolisten henkilöiden henkilötietoja, lievennettynä vahvoilla teknisillä kontrolleilla (salaus, RBAC, henkilötietosuodatus, tietojen suvereniteetti).

Tekniset ja hallinnolliset suojatoimet

Todennus ja pääsynhallinta

Salaus

Verkkoturvallisuus

Valvonta ja tarkastus

Hallinnolliset suojatoimet

Pääkäyttäjät määrittävät roolit Asetukset-osiossa; roolimuutokset tulevat voimaan välittömästi. Application Access Policy rajaa Mail.Send-oikeuden vain nimettyyn jaettuun postilaatikkoon. Konfiguraatiomuutokset otetaan käyttöön versioitujen lainkäyttöaluepakettien kautta asennuksen tarkastuskirjauksella. Henkilöstökoulutuksen, hyväksyttävän käytön periaatteet ja tietoturvaloukkauksiin reagoinnin menettelyt määrittää laitos.

Kolmansien osapuolten palvelut ja tietojen jakaminen

Valinnaiset Azure-tekoälypalvelut. Kolme yllä olevaa tekoälyresurssia eivät ole julkaisijan palveluita: kukin otetaan käyttöön laitoksen omaan tilaukseen ja alueelle, todentautuu vain App Servicen hallitulla identiteetillä (API-avaintodennus pois käytöstä), eikä lähetä mitään Realizer Servicesille. Jokainen tekoälyn tuotos on ehdotus, muokattava luonnos tai vain luku -vastaus — henkilöstö päättää; ominaisuuskohtaiset vuokraajakytkimet ja kuukausittainen token-budjetti (joka pysäyttää kaiken tekoälykäsittelyn ehdottomasti) tarjoavat hallinnan; Microsoft ei kouluta malleja tiedoilla; ja AccessPoint tallentaa vain kutsujen metatiedot, ei koskaan kehotteiden tai vastausten sisältöä. Se, missä Azure OpenAI:n päättely käsitellään, riippuu käyttöönottovaiheessa valitusta käyttöönottotyypistä (globaali tai EU:n/Yhdysvaltojen tietovyöhyke) — laitosten tulisi vahvistaa valinta suhteessa omiin sijaintivaatimuksiinsa. Pyyntöä varten tuotetut tapauksen tarkastusviennit sisältävät tekoälyn osallistumista koskevan ilmoituksen (vain metatiedot), ja sama tieto näkyy myös kunkin tietueen Aktiviteetti-syötteessä.

Keskeinen huomio: Pyytäjän henkilötietoja, asiakirjojen sisältöä tai pyyntötietoja ei välitetä Realizer Servicesille tai millekään ulkopuoliselle osapuolelle. Kaikki asiakirjojen muunnos ja peittämiskäsittely tapahtuu laitoksen omassa App Servicessä, ja valinnainen haku-, OCR- ja tekoälykäsittely tapahtuu laitoksen omassa Azure-tilauksessa.

Sovellettavat henkilötietorekisterit

Laitosten tulee vahvistaa sovellettavat PIB:t ja selvittää, tarvitaanko uusia PIB:ejä niiden omaan käyttöönottoon.

Täydellisen PIA:n saatavuus

Täydellinen tietosuojaa koskeva vaikutustenarviointi — mukaan lukien täydellinen henkilötietoluettelo, yksityiskohtainen keräys-/käyttö-/luovutus-/säilytys-/tarkkuusanalyysi, oikeudelliset valtuutukset ja tietovirtakaaviot — on asiakkaiden ja mahdollisten asiakkaiden saatavilla pyynnöstä. Käyttöönottavat laitokset käyttävät sitä oman PIA:nsa teknisenä ja arkkitehtuurisena perustana, täydentäen institutionaalisen yleiskatsauksen, säilytysaikataulut, tietojenvaihtosopimukset ja hyväksynnän ennen toimittamista TBS:lle ja tietosuojavaltuutetun virastolle.