Valutazione dell'impatto sulla privacy del GC

Questa pagina è un riepilogo pubblico della valutazione d'impatto sulla privacy (PIA) predisposta dall'editore del software (Realizer Services Inc.) per AccessPoint, in conformità alla Direttiva sulla valutazione d'impatto sulla privacy del Segretariato del Consiglio del Tesoro del Canada (TBS). Documenta il patrimonio informativo di dati personali, i flussi informativi, i rischi per la privacy e le misure di salvaguardia integrate nel prodotto.

La PIA dell'editore copre le sezioni tecniche e architetturali ed è pensata per aiutare le istituzioni federali canadesi a completare la propria PIA. L'istituzione che effettua l'implementazione completa i dettagli istituzionali (panoramica istituzionale, piani di conservazione, accordi di condivisione delle informazioni e approvazione finale) e invia la PIA completata al TBS e all'Ufficio del Commissario per la privacy (OPC). La PIA completa è disponibile su richiesta per i clienti — vedere la nota finale.

Per l'architettura tecnica completa, vedere la pagina Architettura tecnica. Per la mappatura dei controlli di sicurezza ITSG-33, vedere la pagina Riferimento controlli di sicurezza GC.

Finalità e ambito di applicazione

AccessPoint è una piattaforma di gestione dell'accesso all'informazione e della privacy che aiuta le istituzioni governative ad amministrare i programmi di accesso e privacy in conformità all'Access to Information Act (ATIA), alla Privacy Act e ai regimi provinciali/internazionali equivalenti. La sua funzione principale è la gestione delle richieste di accesso ai dati personali/di accesso all'informazione — l'intero ciclo di vita, dall'acquisizione della richiesta all'assegnazione, alla raccolta dei documenti, alla revisione, alla redazione e alla predisposizione del pacchetto di risposta.

Oltre alla gestione delle richieste, AccessPoint supporta anche l'intero programma di privacy: valutazioni d'impatto sulla privacy (PIA/AIA/valutazioni di sicurezza), gestione degli incidenti e delle violazioni della privacy (compresi i flussi di lavoro per la notifica delle violazioni), reclami e ricorsi, un registro dei rischi per la privacy e un registro degli impegni, e il registro delle attività di trattamento (ROPA). Questi moduli trattano ulteriori categorie di dati personali e sono coperti dalle stesse misure di salvaguardia, dagli stessi ruoli, dal medesimo registro di audit e dalle medesime garanzie di residenza dei dati del nucleo di gestione delle richieste.

Processo operativo: acquisizione della richiesta (un SAO crea la richiesta) → assegnazione (i Custodian ricevono istruzioni sanificate prive di PII del richiedente) → raccolta dei documenti → revisione e redazione → predisposizione del pacchetto di risposta → chiusura (inizia a decorrere il termine di conservazione).

Persone interessate: i richiedenti; i dipendenti dell'istituzione (SAO, Administrator) le cui azioni sono registrate nel registro di audit; i Custodian e i Contributor (che non hanno accesso alla PII del richiedente); i terzi la cui PII può comparire nei documenti in esame; gli interessati descritti a livello di categoria nei ROPA e nelle valutazioni; le persone coinvolte in un incidente di privacy; i reclamanti e le parti del reclamo; e i contatti di consultazione.

Base giuridica: la raccolta e l'utilizzo si fondano principalmente sull'ATIA (ss.4, 6, 9, 19) e sulla Privacy Act (ss.4, 5, 7, 8(2)(m), e il diritto di accesso dell'interessato).

Inventario delle informazioni personali

Informazioni personali raccolte e trattate

Informazioni personali NON raccolte

AccessPoint non raccoglie né tratta: numeri di previdenza sociale (Social Insurance Number); informazioni finanziarie (conti bancari, carte di credito); cartelle sanitarie o mediche come dati strutturati (possono comparire nei documenti in esame); dati biometrici; informazioni sui precedenti penali; dati di geolocalizzazione; o cookie/identificatori di tracciamento.

Nota: gli indirizzi IP e le stringhe user agent vengono rilevati solo in contesti limitati (firma dell'attestazione e registrazione degli accessi ai documenti) per finalità di audit forense, come indicato sopra. Il comportamento di navigazione generale e il device fingerprinting non vengono raccolti.

Informazioni personali sensibili nei documenti

I documenti raccolti durante il processo ATIA possono contenere qualsiasi categoria di informazioni personali, comprese informazioni personali sensibili relative a terzi. AccessPoint non analizza né indicizza il contenuto dei documenti: li archivia, ne consente l'anteprima e agevola la redazione. La classificazione e l'esenzione delle informazioni personali all'interno dei documenti sono effettuate da SAO formati, utilizzando gli strumenti di revisione integrati.

Acquisizione di registrazioni Microsoft 365 (opt-in, subordinata a un feature toggle): un Custodian può acquisire le proprie registrazioni Microsoft 365 — email di Outlook, calendario di Outlook, OneNote, chat di Teams, Microsoft Lists o cronologia delle interazioni Copilot — come documento pertinente. L'acquisizione utilizza sempre l'identità delegata dell'utente che ha effettuato l'accesso ed è limitata ai dati personali di tale utente (il recupero da Copilot avviene in modalità solo app, poiché non esiste un permesso Graph delegato, ma è sempre limitato lato server all'ID oggetto Entra dell'utente che ha effettuato l'accesso — mai esteso all'intero tenant). Il contenuto acquisito viene convertito in PDF ed entra nel normale flusso di revisione/redazione. L'acquisizione del calendario esclude per impostazione predefinita gli elementi contrassegnati come Privato/Personale/Riservato.

Analisi del flusso delle informazioni personali

Il percorso delle notifiche illustra il controllo "nessuna PII del richiedente trasmessa all'editore":

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Valutazione dei rischi per la privacy

Punteggi per area di rischio

Secondo il quadro standardizzato del TBS:

Livello di rischio complessivo: Moderato — standard per un programma amministrativo che tratta informazioni personali di persone esterne, mitigato da solidi controlli tecnici (crittografia, RBAC, filtro PII, sovranità dei dati).

Misure di salvaguardia tecniche e amministrative

Autenticazione e controllo degli accessi

Crittografia

Sicurezza di rete

Monitoraggio e audit

Misure di salvaguardia amministrative

Gli Administrator assegnano i ruoli tramite Impostazioni; le modifiche ai ruoli hanno effetto immediato. Un criterio di accesso alle applicazioni limita Mail.Send esclusivamente alla cassetta postale condivisa designata. Le modifiche alla configurazione vengono applicate tramite pacchetti di configurazione versionati, con registrazione di audit delle installazioni. La formazione del personale, la politica di utilizzo accettabile e le procedure di risposta alle violazioni sono definite dall'istituzione.

Servizi di terze parti e condivisione dei dati

Punto chiave: nessuna PII del richiedente, contenuto di documenti o dettaglio della richiesta viene trasmesso a Realizer Services o a terzi. Tutto il trattamento dei documenti (conversione, redazione) avviene all'interno dell'App Service dell'istituzione stessa.

Banche di dati personali (PIB) applicabili

Le istituzioni dovrebbero verificare quali PIB siano applicabili e se per la propria implementazione specifica siano necessari nuovi PIB.

Disponibilità della PIA completa

La valutazione d'impatto sulla privacy completa — comprensiva dell'inventario completo delle informazioni personali, dell'analisi dettagliata di raccolta/utilizzo/comunicazione/conservazione/accuratezza, delle basi giuridiche e dei diagrammi di flusso dei dati — è disponibile su richiesta per i clienti e i potenziali clienti. Le istituzioni che effettuano l'implementazione la utilizzano come base tecnica e architetturale per la propria PIA, completando la panoramica istituzionale, i piani di conservazione, gli accordi di condivisione delle informazioni e l'approvazione finale, prima dell'invio al TBS e all'Ufficio del Commissario per la privacy.