GC-privacyeffecttoetsing

Deze pagina is een publieke samenvatting van de privacyeffecttoetsing (Privacy Impact Assessment, PIA) die de softwareuitgever (Realizer Services Inc.) heeft opgesteld voor AccessPoint, afgestemd op de Directive on Privacy Impact Assessment van het Treasury Board of Canada Secretariat (TBS). Ze documenteert de persoonsgegevensbestanden, informatiestromen, privacyrisico's en waarborgen die in het product zijn ingebouwd.

De PIA van de uitgever bestrijkt de technische en architecturale onderdelen en is bedoeld om Canadese federale instellingen te helpen bij het voltooien van hun eigen PIA. De implementerende instelling voltooit de institutionele details (institutioneel overzicht, bewaarschema's, informatiedelingsovereenkomsten en goedkeuring) en dient de voltooide PIA in bij de TBS en het Office of the Privacy Commissioner (OPC). De volledige PIA is op aanvraag beschikbaar voor klanten — zie de slotopmerking.

Voor de volledige technische architectuur, zie de pagina Technische architectuur. Voor de ITSG-33-beveiligingscontrolemapping, zie de pagina GC-beveiligingscontrolesreferentie.

Doel en reikwijdte

AccessPoint is een platform voor toegang tot informatie en privacybeheer dat overheidsinstellingen helpt bij het beheren van toegangs- en privacyprogramma's in overeenstemming met de Access to Information Act (ATIA), de Privacy Act en gelijkwaardige provinciale/internationale regimes. De primaire functie is het beheer van subject access-/toegang-tot-informatieverzoeken — de volledige levenscyclus van intake tot toewijzing, documentverzameling, beoordeling, redactie en antwoordverpakking.

Naast de verzoekafhandeling ondersteunt AccessPoint ook het bredere privacyprogramma: privacyeffecttoetsingen (PIA-/AIA-/Security-assessments), beheer van privacyincidenten en datalekken (inclusief workflows voor melding van datalekken), klachten en beroepen, een privacyrisicoregister en verplichtingenregister, en verwerkingsregisters (ROPA). Deze modules verwerken aanvullende categorieën persoonsgegevens en vallen onder dezelfde waarborgen, rollen, auditlogboek en garanties voor gegevensresidentie als de kern voor verzoekbeheer.

Bedrijfsproces: intake (een SAO maakt het verzoek aan) → toewijzing (Custodians ontvangen geanonimiseerde instructies zonder PII van de verzoeker) → documentverzameling → beoordeling en redactie → antwoordverpakking → afsluiting (de bewaartermijn gaat in).

Betrokken personen: verzoekers; medewerkers van de instelling (SAO's, Administrators) van wie de handelingen worden vastgelegd in de audittrail; Custodians en Contributors (die geen toegang hebben tot PII van de verzoeker); derden van wie PI kan voorkomen in documenten die worden beoordeeld; betrokkenen die op categorieniveau worden beschreven in ROPA en assessments; personen die zijn getroffen door een privacyincident; klagers en partijen bij een klacht; en raadplegingscontactpersonen.

Wettelijke bevoegdheid: verzameling en gebruik berusten voornamelijk op de ATIA (art. 4, 6, 9, 19) en de Privacy Act (art. 4, 5, 7, 8(2)(m), en het recht van de betrokkene op toegang).

Inventaris van persoonsgegevens

Verzamelde en verwerkte persoonsgegevens

Persoonsgegevens die NIET worden verzameld

AccessPoint verzamelt of verwerkt niet: Social Insurance Numbers; financiële informatie (bankrekeningen, creditcards); gezondheids- of medische dossiers als gestructureerde gegevens (deze kunnen voorkomen in documenten die worden beoordeeld); biometrische gegevens; strafblad-informatie; locatiegegevens; of cookies/trackingidentificatoren.

Opmerking: IP-adressen en user agent-tekenreeksen worden alleen vastgelegd in beperkte contexten (attestatieondertekening en registratie van documenttoegang) voor forensische auditdoeleinden, zoals hierboven vermeld. Algemeen surfgedrag en apparaatfingerprinting worden niet verzameld.

Gevoelige persoonsgegevens in documenten

Documenten die tijdens het ATIA-proces worden verzameld, kunnen elke categorie persoonsgegevens bevatten, inclusief gevoelige PI over derden. AccessPoint slaat documenten op, toont voorbeelden en faciliteert redactie, en extraheert — ter ondersteuning van de beoordelingstools — de platte tekst van elk document naar de database (met optionele OCR van scans die alleen als afbeelding beschikbaar zijn, via een Azure AI Document Intelligence-resource binnen het abonnement). Die geëxtraheerde tekst voedt inhoudszoeken (optioneel geïndexeerd in de eigen Azure AI Search-resource van de instelling), detectie van duplicaten, patroon-/regelgestuurde redactiesuggesties en (wanneer de optionele AI Assist-component is geïmplementeerd) machinaal gegenereerde suggesties en samenvattingen. Al deze verwerking vindt plaats binnen het eigen Azure-abonnement van de instelling, en elke machinaal gegenereerde redactie of suggestie is een voorstel: classificatie en uitzondering van PI binnen documenten wordt beslist door getrainde SAO's met behulp van de ingebouwde beoordelingstools.

Vastlegging van Microsoft 365-records (opt-in, achter een feature toggle): een Custodian kan zijn/haar eigen Microsoft 365-records vastleggen — Outlook-e-mail, Outlook-agenda, OneNote, Teams-chats, Microsoft Lists of Copilot-interactiegeschiedenis — als responsief record. Vastlegging gebruikt altijd de eigen gedelegeerde identiteit van de aangemelde gebruiker en is beperkt tot de eigen gegevens van die gebruiker (Copilot-opvraging is app-only, aangezien er geen gedelegeerde Graph-machtiging bestaat, maar is serverside altijd beperkt tot de eigen Entra-object-ID van de aangemelde gebruiker — nooit tenantbreed). Vastgelegde inhoud wordt weergegeven als PDF en komt in de normale beoordelings-/redactieworkflow terecht. Agendavastlegging sluit standaard items uit die zijn gemarkeerd als Privé/Persoonlijk/Vertrouwelijk.

Analyse van persoonsgegevensstromen

Het meldingspad illustreert de controle "geen PI van de verzoeker naar de uitgever":

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Privacyrisicotoetsing

Risicoscores per gebied

Volgens het gestandaardiseerde TBS-raamwerk:

Algeheel risiconiveau: Gematigd — standaard voor een administratief programma dat PI van externe personen verwerkt, gemitigeerd door sterke technische controles (versleuteling, RBAC, PII-filtering, gegevenssoevereiniteit).

Technische en administratieve waarborgen

Authenticatie en toegangscontrole

Versleuteling

Netwerkbeveiliging

Monitoring en audit

Administratieve waarborgen

Administrators wijzen rollen toe via Instellingen; rolwijzigingen worden onmiddellijk van kracht. Een Application Access Policy beperkt Mail.Send tot uitsluitend het aangewezen gedeelde postvak. Configuratiewijzigingen worden toegepast via versiebeheerde rechtsgebiedpakketten met audit-logging van de installatie. Personeelstraining, het beleid voor aanvaardbaar gebruik en procedures voor de afhandeling van datalekken worden vastgesteld door de instelling.

Diensten van derden en gegevensdeling

Optionele Azure AI-diensten. De drie bovenstaande AI-resources zijn geen diensten van de uitgever: elke resource wordt geïmplementeerd in het eigen abonnement en de eigen regio van de instelling, authenticeert uitsluitend via de beheerde identiteit van de App Service (API-sleuteltoegang uitgeschakeld), en verzendt niets naar Realizer Services. Elke AI-uitvoer is een suggestie, een bewerkbaar concept of een alleen-lezen antwoord — het personeel beslist; functieschakelaars per tenant en een maandelijks tokenbudget (dat alle AI-verwerking hard stopt) bieden governance; Microsoft traint geen modellen op de gegevens; en AccessPoint slaat alleen aanroepmetadata op, nooit prompt- of antwoordinhoud. Waar de inferentie van Azure OpenAI wordt verwerkt, hangt af van het implementatietype dat bij implementatie is gekozen (globaal of EU-/VS-datazone) — instellingen dienen deze keuze te toetsen aan hun residentievereisten. Zaakauditexports die voor een verzoek worden geëxporteerd, bevatten een openbaarmaking van AI-betrokkenheid (uitsluitend metadata), en dezelfde informatie is zichtbaar in de Activiteitenfeed van elk record.

Kernpunt: Er wordt geen PI van de verzoeker, documentinhoud of verzoekdetails verzonden naar Realizer Services of enige externe partij. Alle documentconversie en -redactieverwerking vindt plaats binnen de eigen App Service van de instelling, en de optionele zoek-, OCR- en AI-verwerking vindt plaats binnen het eigen Azure-abonnement van de instelling.

Toepasselijke Personal Information Banks (PIB's)

Instellingen dienen te bevestigen welke PIB's van toepassing zijn en of nieuwe PIB's vereist zijn voor hun specifieke implementatie.

Beschikbaarheid van de volledige PIA

De volledige privacyeffecttoetsing — inclusief de volledige inventaris van persoonsgegevens, gedetailleerde analyse van verzameling/gebruik/openbaarmaking/bewaring/nauwkeurigheid, wettelijke bevoegdheden en gegevensstroomdiagrammen — is op aanvraag beschikbaar voor klanten en prospects. Implementerende instellingen gebruiken deze als de technische en architecturale basis voor hun eigen PIA, waarbij zij het institutionele overzicht, de bewaarschema's, informatiedelingsovereenkomsten en goedkeuring voltooien voordat ze deze indienen bij de TBS en het Office of the Privacy Commissioner.