GC:s integritetskonsekvensbedömning (PIA)

Denna sida är en offentlig sammanfattning av integritetskonsekvensbedömningen (Privacy Impact Assessment, PIA) som utarbetats av programvaruutgivaren (Realizer Services Inc.) för AccessPoint, i linje med Treasury Board of Canada Secretariats (TBS) Directive on Privacy Impact Assessment. Den dokumenterar innehav av personuppgifter, informationsflöden, integritetsrisker och skyddsåtgärder inbyggda i produkten.

Utgivarens PIA täcker de tekniska och arkitektoniska avsnitten och är avsedd att hjälpa kanadensiska federala institutioner att färdigställa sin egen PIA. Den implementerande institutionen fyller i de institutionella detaljerna (institutionell översikt, bevarandescheman, avtal om informationsdelning och godkännande) och lämnar in den färdigställda PIA:n till TBS och Office of the Privacy Commissioner (OPC). Den fullständiga PIA:n finns tillgänglig för kunder på begäran — se den avslutande anmärkningen.

För den fullständiga tekniska arkitekturen, se sidan Teknisk arkitektur. För kartläggning av ITSG-33-säkerhetskontroller, se sidan Referens för GC-säkerhetskontroller.

Syfte och omfattning

AccessPoint är en plattform för hantering av tillgång till information och integritet som hjälper myndighetsinstitutioner att administrera program för tillgång till information och integritet i enlighet med Access to Information Act (ATIA), Privacy Act och motsvarande provinsiella/internationella regelverk. Dess primära funktion är hantering av subject access-/tillgång till information-förfrågningar – hela livscykeln från mottagande genom tilldelning, dokumentinsamling, granskning, maskering och paketering av svar.

Utöver förfrågningshantering stöder AccessPoint även det omgivande integritetsprogrammet: integritetskonsekvensbedömningar (PIA/AIA/säkerhetsbedömningar), hantering av integritetsincidenter och personuppgiftsincidenter (inklusive arbetsflöden för anmälan om personuppgiftsincidenter), klagomål och överklaganden, ett riskregister för integritetsfrågor och register över åtaganden, samt register över behandling (ROPA). Dessa moduler behandlar ytterligare kategorier av personuppgifter och omfattas av samma skyddsåtgärder, roller, granskningsliggare och garantier för dataresidens som kärnan för förfrågningshantering.

Affärsprocess: mottagande (en SAO skapar förfrågan) → tilldelning (förvaltare får sanerade instruktioner utan den sökandes personuppgifter) → dokumentinsamling → granskning och maskering → paketering av svar → avslutning (bevarandeklockan börjar).

Berörda individer: sökande; institutionens anställda (SAO:er, administratörer) vars handlingar registreras i granskningsspåret; förvaltare och medarbetare (som inte har tillgång till den sökandes personuppgifter); tredje parter vars personuppgifter kan förekomma i dokument under granskning; registrerade som beskrivs på kategorinivå i ROPA och bedömningar; individer som berörs av en integritetsincident; klagande och parter i klagomål; samt samrådskontakter.

Rättslig grund: insamling och användning vilar huvudsakligen på ATIA (avsnitt 4, 6, 9, 19) och Privacy Act (avsnitt 4, 5, 7, 8(2)(m), samt individens rätt till tillgång).

Inventering av personuppgifter

Insamlade och behandlade personuppgifter

Personuppgifter som INTE samlas in

AccessPoint samlar inte in eller behandlar: personnummer (Social Insurance Numbers); finansiell information (bankkonton, kreditkort); hälso- eller sjukvårdsjournaler som strukturerad data (de kan förekomma i dokument under granskning); biometriska data; brottsregisterinformation; platsdata; eller cookies/spårningsidentifierare.

Observera: IP-adresser och user agent-strängar registreras endast i begränsade sammanhang (signering av intygande och loggning av dokumentåtkomst) för forensiska granskningsändamål, enligt listan ovan. Allmänt surfbeteende och enhetsfingeravtryck samlas inte in.

Känsliga personuppgifter i dokument

Dokument som samlas in under ATIA-processen kan innehålla vilken kategori av personuppgifter som helst, inklusive känsliga personuppgifter om tredje parter. AccessPoint lagrar, förhandsgranskar och underlättar maskering av dokument, och extraherar — för att stödja granskningsverktygen — varje dokuments klartext till databasen (med valfri OCR av bildbaserade skanningar via en Azure AI Document Intelligence-resurs inom prenumerationen). Den extraherade texten driver innehållssökning (indexeras valfritt i institutionens egen Azure AI Search-resurs), dubblettidentifiering, mönster-/regelbaserade maskeringsförslag och — när den valfria AI Assist-komponenten är driftsatt — maskingenererade förslag och sammanfattningar. All denna bearbetning sker inom institutionens egen Azure-prenumeration, och varje maskinproducerad maskering eller förslag är ett förslag: klassificering och undantag av personuppgifter i dokument beslutas av utbildade SAO:er med hjälp av de inbyggda granskningsverktygen.

Insamling av Microsoft 365-poster (valfritt, styrt av funktionsväxel): en förvaltare kan samla in sina egna Microsoft 365-poster – e-post i Outlook, Outlook-kalender, OneNote, Teams-chattar, Microsoft Lists eller Copilot-interaktionshistorik – som en relevant handling. Insamling använder alltid den inloggade användarens egen delegerade identitet och är begränsad till den användarens egen data (Copilot-hämtning är enbart app-baserad, eftersom ingen delegerad Graph-behörighet finns, men är alltid begränsad server-side till den inloggade användarens eget Entra-objekt-ID – aldrig hela klientorganisationen). Insamlat innehåll återges som en PDF och går in i det normala gransknings-/maskeringsflödet. Kalenderinsamling exkluderar som standard poster märkta Privat/Personligt/Konfidentiellt.

Analys av flöden av personuppgifter

Aviseringsvägen illustrerar kontrollen "inga personuppgifter om den sökande till utgivaren":

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Integritetsriskbedömning

Riskområdespoäng

Enligt TBS:s standardiserade ramverk:

Övergripande risknivå: Måttlig — standard för ett administrativt program som behandlar personuppgifter om externa individer, begränsad genom starka tekniska kontroller (kryptering, RBAC, filtrering av personuppgifter, datasuveränitet).

Tekniska och administrativa skyddsåtgärder

Autentisering och åtkomstkontroll

Kryptering

Nätverkssäkerhet

Övervakning och granskning

Administrativa skyddsåtgärder

Administratörer tilldelar roller via Inställningar; rolländringar träder i kraft omedelbart. En Application Access Policy begränsar Mail.Send till enbart den avsedda delade brevlådan. Konfigurationsändringar tillämpas via versionerade jurisdiktionspaket med granskningsloggning av installationer. Personalutbildning, policy för acceptabel användning och rutiner för hantering av personuppgiftsincidenter fastställs av institutionen.

Tredjepartstjänster och datadelning

Valfria Azure AI-tjänster. De tre AI-resurserna ovan är inte utgivartjänster: var och en driftsätts i institutionens egen prenumeration och region, autentiserar enbart med App Service hanterade identitet (API-nyckelåtkomst inaktiverad), och skickar ingenting till Realizer Services. Varje AI-utdata är ett förslag, ett redigerbart utkast eller ett skrivskyddat svar — personalen beslutar; reglage per funktion och klientorganisation samt en månatlig tokenbudget (som helt stoppar all AI-bearbetning) ger styrning; Microsoft tränar inte modeller på datat; och AccessPoint lagrar endast anropsmetadata, aldrig prompt- eller svarsinnehåll. Var Azure OpenAI:s inferens bearbetas beror på den driftsättningstyp som väljs vid driftsättningen (global eller EU-/US-datazon) — institutioner bör bekräfta valet mot sina residenskrav. Ärenderevisionsexporter som genereras för en förfrågan innehåller en redovisning av AI-inblandning (endast metadata), och samma information är synlig i varje posts aktivitetsflöde.

Viktig poäng: Inga personuppgifter om den sökande, inget dokumentinnehåll eller några förfrågningsdetaljer överförs till Realizer Services eller någon extern part. All dokumentkonvertering och maskeringsbehandling sker inom institutionens egen App Service, och den valfria sök-, OCR- och AI-bearbetningen sker inom institutionens egen Azure-prenumeration.

Tillämpliga personuppgiftsbanker

Institutioner bör bekräfta tillämpliga PIB:er och huruvida nya PIB:er krävs för deras specifika distribution.

Tillgänglighet av den fullständiga PIA:n

Den fullständiga integritetskonsekvensbedömningen – inklusive den kompletta inventeringen av personuppgifter, detaljerad analys av insamling/användning/utlämnande/bevarande/korrekthet, rättslig grund och dataflödesdiagram – finns tillgänglig för kunder och potentiella kunder på begäran. Implementerande institutioner använder den som den tekniska och arkitektoniska grunden för sin egen PIA, och fyller i den institutionella översikten, bevarandescheman, avtal om informationsdelning och godkännande innan de lämnar in den till TBS och Office of the Privacy Commissioner.