GC:n tietosuojavaikutusten arviointi (PIA)

Tämä sivu on ohjelmiston julkaisijan (Realizer Services Inc.) AccessPointille laatiman tietosuojaa koskevan vaikutustenarvioinnin (PIA) julkinen yhteenveto, joka noudattaa Treasury Board of Canada Secretariatin (TBS) tietosuojavaikutusten arviointia koskevaa direktiiviä. Se dokumentoi tuotteeseen sisäänrakennetut henkilötietovarannot, tietovirrat, tietosuojariskit ja suojatoimet.

Julkaisijan PIA kattaa tekniset ja arkkitehtuuriset osiot, ja sen tarkoitus on auttaa Kanadan liittovaltion laitoksia täydentämään omaa PIA:taan. Käyttöönottava laitos täydentää institutionaaliset tiedot (institutionaalinen yleiskatsaus, säilytysaikataulut, tietojenvaihtosopimukset ja hyväksyntä) ja toimittaa valmiin PIA:n TBS:lle ja tietosuojavaltuutetun virastolle (Office of the Privacy Commissioner, OPC). Täydellinen PIA on asiakkaiden saatavilla pyynnöstä — katso päätössivun huomautus.

Täydellinen tekninen arkkitehtuuri on kuvattu sivulla Tekninen arkkitehtuuri. ITSG-33-turvallisuuskontrollien kartoitus löytyy sivulta GC-turvallisuuskontrolliviite.

Tarkoitus ja soveltamisala

AccessPoint on tietopyyntöjen ja tietosuojan hallinta-alusta, joka auttaa valtion laitoksia hallinnoimaan tietopyyntö- ja tietosuojaohjelmia Access to Information Actin (ATIA), Privacy Actin ja vastaavien provinssi-/kansainvälisten säädösten mukaisesti. Sen ensisijainen toiminto on rekisteröidyn tietopyyntöjen / tietopyyntöjen hallinta — koko elinkaari vastaanotosta tehtävänjakoon, asiakirjojen keräykseen, tarkastukseen, peittämiseen ja vastauksen paketointiin.

Pyyntöjen käsittelyn lisäksi AccessPoint tukee myös ympäröivää tietosuojaohjelmaa: tietosuojavaikutusten arviointeja (PIA-/AIA-/Security-arvioinnit), tietosuojapoikkeamien ja tietoturvaloukkausten hallintaa (mukaan lukien ilmoitusvelvollisuuden työnkulut), valituksia ja muutoksenhakuja, tietosuojan riskirekisteriä ja sitoumusrekisteriä sekä käsittelytoimien selosteita (ROPA). Nämä moduulit käsittelevät lisäkategorioita henkilötietoja, ja niitä koskevat samat suojatoimet, roolit, tarkastusloki ja tietojen sijaintitakuut kuin pyyntöjen hallinnan ydintä.

Liiketoimintaprosessi: vastaanotto (SAO luo pyynnön) → tehtävänjako (haltijat saavat puhdistetut ohjeet ilman pyytäjän henkilötietoja) → asiakirjojen keräys → tarkastus ja peittäminen → vastauksen paketointi → sulkeminen (säilytysaika alkaa).

Vaikutuksen kohteena olevat henkilöt: pyytäjät; laitoksen työntekijät (SAOt, pääkäyttäjät), joiden toimet kirjataan tarkastuslokiin; haltijat ja avustajat (joilla ei ole pääsyä pyytäjän henkilötietoihin); kolmannet osapuolet, joiden henkilötietoja voi esiintyä tarkastettavissa asiakirjoissa; rekisteröidyt, jotka on kuvattu kategoriatasolla ROPA:ssa ja arvioinneissa; tietosuojapoikkeaman kohteena olevat henkilöt; valittajat ja valituksen osapuolet; sekä konsultaatioyhteyshenkilöt.

Oikeudellinen valtuutus: keräys ja käyttö perustuvat ensisijaisesti ATIA:aan (s.4, 6, 9, 19) ja Privacy Actiin (s.4, 5, 7, 8(2)(m) sekä yksilön oikeus tutustua omiin tietoihinsa).

Henkilötietoluettelo

Kerätyt ja käsitellyt henkilötiedot

Henkilötiedot, joita EI kerätä

AccessPoint ei kerää eikä käsittele seuraavia: sosiaaliturvatunnuksia (Social Insurance Number); taloustietoja (pankkitilit, luottokortit); terveys- tai potilastietoja rakenteisena datana (niitä voi esiintyä tarkastettavissa asiakirjoissa); biometrisiä tietoja; rikosrekisteritietoja; sijaintitietoja; tai evästeitä/seurantatunnisteita.

Huomautus: IP-osoitteita ja user agent -merkkijonoja tallennetaan vain rajoitetuissa yhteyksissä (vahvistuksen allekirjoitus ja asiakirjan käytön kirjaaminen) forensisia tarkastustarkoituksia varten, kuten edellä on lueteltu. Yleistä selauskäyttäytymistä ja laitteen sormenjälkitietoja ei kerätä.

Arkaluonteiset henkilötiedot asiakirjoissa

ATIA-prosessin aikana kerätyt asiakirjat voivat sisältää minkä tahansa henkilötietoluokan, mukaan lukien arkaluonteisia henkilötietoja kolmansista osapuolista. AccessPoint ei analysoi eikä indeksoi asiakirjojen sisältöä — se tallentaa, esikatselee ja mahdollistaa peittämisen. Asiakirjoissa olevien henkilötietojen luokittelun ja poikkeusten soveltamisen suorittavat koulutetut SAOt sisäänrakennettuja tarkastustyökaluja käyttäen.

Microsoft 365 -tietueiden tallennus (valinnainen, ominaisuuskytkimen takana): haltija voi tallentaa omat Microsoft 365 -tietueensa — Outlook-sähköpostin, Outlook-kalenterin, OneNoten, Teams-keskustelut, Microsoft Listsin tai Copilot-vuorovaikutushistorian — vastauksena olevana tietueena. Tallennus käyttää aina kirjautuneen käyttäjän omaa delegoitua identiteettiä ja rajoittuu kyseisen käyttäjän omaan dataan (Copilot-haku on sovellustasoinen, koska delegoitua Graph-oikeutta ei ole olemassa, mutta se on aina palvelinpuolella rajattu kirjautuneen käyttäjän omaan Entra-objektitunnukseen — ei koskaan koko vuokraajan laajuiseksi). Tallennettu sisältö renderöidään PDF:ksi ja siirtyy normaaliin tarkastus-/peittämistyönkulkuun. Kalenteritallennus jättää oletuksena pois kohteet, jotka on merkitty yksityisiksi/henkilökohtaisiksi/luottamuksellisiksi.

Henkilötietovirtojen analyysi

Ilmoitusreitti havainnollistaa "ei pyytäjän henkilötietoja julkaisijalle" -kontrollia:

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Tietosuojariskien arviointi

Riskialuepisteet

TBS:n standardoidun kehyksen mukaisesti:

Kokonaisriskitaso: Kohtalainen — tyypillinen hallinnolliselle ohjelmalle, joka käsittelee ulkopuolisten henkilöiden henkilötietoja, lievennettynä vahvoilla teknisillä kontrolleilla (salaus, RBAC, henkilötietosuodatus, tietojen suvereniteetti).

Tekniset ja hallinnolliset suojatoimet

Todennus ja pääsynhallinta

Salaus

Verkkoturvallisuus

Valvonta ja tarkastus

Hallinnolliset suojatoimet

Pääkäyttäjät määrittävät roolit Asetukset-osiossa; roolimuutokset tulevat voimaan välittömästi. Application Access Policy rajaa Mail.Send-oikeuden vain nimettyyn jaettuun postilaatikkoon. Konfiguraatiomuutokset otetaan käyttöön versioitujen konfigurointipakettien kautta asennuksen tarkastuskirjauksella. Henkilöstökoulutuksen, hyväksyttävän käytön periaatteet ja tietoturvaloukkauksiin reagoinnin menettelyt määrittää laitos.

Kolmansien osapuolten palvelut ja tietojen jakaminen

Keskeinen huomio: Pyytäjän henkilötietoja, asiakirjojen sisältöä tai pyyntötietoja ei välitetä Realizer Servicesille tai millekään ulkopuoliselle osapuolelle. Kaikki asiakirjojen käsittely (muunnos, peittäminen) tapahtuu laitoksen omassa App Servicessä.

Sovellettavat henkilötietorekisterit

Laitosten tulee vahvistaa sovellettavat PIB:t ja selvittää, tarvitaanko uusia PIB:ejä niiden omaan käyttöönottoon.

Täydellisen PIA:n saatavuus

Täydellinen tietosuojaa koskeva vaikutustenarviointi — mukaan lukien täydellinen henkilötietoluettelo, yksityiskohtainen keräys-/käyttö-/luovutus-/säilytys-/tarkkuusanalyysi, oikeudelliset valtuutukset ja tietovirtakaaviot — on asiakkaiden ja mahdollisten asiakkaiden saatavilla pyynnöstä. Käyttöönottavat laitokset käyttävät sitä oman PIA:nsa teknisenä ja arkkitehtuurisena perustana, täydentäen institutionaalisen yleiskatsauksen, säilytysaikataulut, tietojenvaihtosopimukset ja hyväksynnän ennen toimittamista TBS:lle ja tietosuojavaltuutetun virastolle.