GC-privacyeffectbeoordeling

Deze pagina is een publieke samenvatting van de privacyeffectbeoordeling (Privacy Impact Assessment, PIA) die de softwareuitgever (Realizer Services Inc.) heeft opgesteld voor AccessPoint, afgestemd op de Directive on Privacy Impact Assessment van het Treasury Board of Canada Secretariat (TBS). Ze documenteert de persoonsgegevensbestanden, informatiestromen, privacyrisico's en waarborgen die in het product zijn ingebouwd.

De PIA van de uitgever bestrijkt de technische en architecturale onderdelen en is bedoeld om Canadese federale instellingen te helpen bij het voltooien van hun eigen PIA. De implementerende instelling voltooit de institutionele details (institutioneel overzicht, bewaarschema's, informatiedelingsovereenkomsten en goedkeuring) en dient de voltooide PIA in bij de TBS en het Office of the Privacy Commissioner (OPC). De volledige PIA is op aanvraag beschikbaar voor klanten — zie de slotopmerking.

Voor de volledige technische architectuur, zie de pagina Technische architectuur. Voor de ITSG-33-beveiligingscontrolemapping, zie de pagina GC-beveiligingscontrolesreferentie.

Doel en reikwijdte

AccessPoint is een platform voor toegang tot informatie en privacybeheer dat overheidsinstellingen helpt bij het beheren van toegangs- en privacyprogramma's in overeenstemming met de Access to Information Act (ATIA), de Privacy Act en gelijkwaardige provinciale/internationale regimes. De primaire functie is het beheer van subject access-/toegang-tot-informatieverzoeken — de volledige levenscyclus van intake tot toewijzing, documentverzameling, beoordeling, redactie en antwoordverpakking.

Naast de verzoekafhandeling ondersteunt AccessPoint ook het bredere privacyprogramma: privacyeffectbeoordelingen (PIA-/AIA-/Security-assessments), beheer van privacyincidenten en datalekken (inclusief workflows voor melding van datalekken), klachten en beroepen, een privacyrisicoregister en verplichtingenregister, en verwerkingsregisters (ROPA). Deze modules verwerken aanvullende categorieën persoonsgegevens en vallen onder dezelfde waarborgen, rollen, auditlogboek en garanties voor gegevensresidentie als de kern voor verzoekbeheer.

Bedrijfsproces: intake (een SAO maakt het verzoek aan) → toewijzing (Custodians ontvangen geanonimiseerde instructies zonder PII van de verzoeker) → documentverzameling → beoordeling en redactie → antwoordverpakking → afsluiting (de bewaartermijn gaat in).

Betrokken personen: verzoekers; medewerkers van de instelling (SAO's, Administrators) van wie de handelingen worden vastgelegd in de audittrail; Custodians en Contributors (die geen toegang hebben tot PII van de verzoeker); derden van wie PI kan voorkomen in documenten die worden beoordeeld; betrokkenen die op categorieniveau worden beschreven in ROPA en assessments; personen die zijn getroffen door een privacyincident; klagers en partijen bij een klacht; en raadplegingscontactpersonen.

Wettelijke bevoegdheid: verzameling en gebruik berusten voornamelijk op de ATIA (art. 4, 6, 9, 19) en de Privacy Act (art. 4, 5, 7, 8(2)(m), en het recht van de betrokkene op toegang).

Inventaris van persoonsgegevens

Verzamelde en verwerkte persoonsgegevens

Persoonsgegevens die NIET worden verzameld

AccessPoint verzamelt of verwerkt niet: Social Insurance Numbers; financiële informatie (bankrekeningen, creditcards); gezondheids- of medische dossiers als gestructureerde gegevens (deze kunnen voorkomen in documenten die worden beoordeeld); biometrische gegevens; strafblad-informatie; locatiegegevens; of cookies/trackingidentificatoren.

Opmerking: IP-adressen en user agent-tekenreeksen worden alleen vastgelegd in beperkte contexten (attestatieondertekening en registratie van documenttoegang) voor forensische auditdoeleinden, zoals hierboven vermeld. Algemeen surfgedrag en apparaatfingerprinting worden niet verzameld.

Gevoelige persoonsgegevens in documenten

Documenten die tijdens het ATIA-proces worden verzameld, kunnen elke categorie persoonsgegevens bevatten, inclusief gevoelige PI over derden. AccessPoint analyseert of indexeert documentinhoud niet — het slaat op, toont voorbeelden en faciliteert redactie. Classificatie en uitzondering van PI binnen documenten wordt uitgevoerd door getrainde SAO's met behulp van de ingebouwde beoordelingstools.

Vastlegging van Microsoft 365-records (opt-in, achter een feature toggle): een Custodian kan zijn/haar eigen Microsoft 365-records vastleggen — Outlook-e-mail, Outlook-agenda, OneNote, Teams-chats, Microsoft Lists of Copilot-interactiegeschiedenis — als responsief record. Vastlegging gebruikt altijd de eigen gedelegeerde identiteit van de aangemelde gebruiker en is beperkt tot de eigen gegevens van die gebruiker (Copilot-opvraging is app-only, aangezien er geen gedelegeerde Graph-machtiging bestaat, maar is serverside altijd beperkt tot de eigen Entra-object-ID van de aangemelde gebruiker — nooit tenantbreed). Vastgelegde inhoud wordt weergegeven als PDF en komt in de normale beoordelings-/redactieworkflow terecht. Agendavastlegging sluit standaard items uit die zijn gemarkeerd als Privé/Persoonlijk/Vertrouwelijk.

Analyse van persoonsgegevensstromen

Het meldingspad illustreert de controle "geen PI van de verzoeker naar de uitgever":

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Privacyrisicobeoordeling

Risicoscores per gebied

Volgens het gestandaardiseerde TBS-raamwerk:

Algeheel risiconiveau: Gematigd — standaard voor een administratief programma dat PI van externe personen verwerkt, gemitigeerd door sterke technische controles (versleuteling, RBAC, PII-filtering, gegevenssoevereiniteit).

Technische en administratieve waarborgen

Authenticatie en toegangscontrole

Versleuteling

Netwerkbeveiliging

Monitoring en audit

Administratieve waarborgen

Administrators wijzen rollen toe via Instellingen; rolwijzigingen worden onmiddellijk van kracht. Een Application Access Policy beperkt Mail.Send tot uitsluitend het aangewezen gedeelde postvak. Configuratiewijzigingen worden toegepast via versiebeheerde configuratiepakketten met audit-logging van de installatie. Personeelstraining, het beleid voor aanvaardbaar gebruik en procedures voor de afhandeling van datalekken worden vastgesteld door de instelling.

Diensten van derden en gegevensdeling

Kernpunt: Er wordt geen PI van de verzoeker, documentinhoud of verzoekdetails verzonden naar Realizer Services of enige externe partij. Alle documentverwerking (conversie, redactie) vindt plaats binnen de eigen App Service van de instelling.

Toepasselijke Personal Information Banks (PIB's)

Instellingen dienen te bevestigen welke PIB's van toepassing zijn en of nieuwe PIB's vereist zijn voor hun specifieke implementatie.

Beschikbaarheid van de volledige PIA

De volledige privacyeffectbeoordeling — inclusief de volledige inventaris van persoonsgegevens, gedetailleerde analyse van verzameling/gebruik/openbaarmaking/bewaring/nauwkeurigheid, wettelijke bevoegdheden en gegevensstroomdiagrammen — is op aanvraag beschikbaar voor klanten en prospects. Implementerende instellingen gebruiken deze als de technische en architecturale basis voor hun eigen PIA, waarbij zij het institutionele overzicht, de bewaarschema's, informatiedelingsovereenkomsten en goedkeuring voltooien voordat ze deze indienen bij de TBS en het Office of the Privacy Commissioner.