Detaljer om integritetsobjekt

Ett integritetsobjekt är den varaktiga, återanvändbara enhet som ditt kontor bedömer – ett program, system, initiativ, ett avtal om datadelning, en processändring eller ett teknikinförande – och det delas mellan alla bedömningar och incidenter som berör det. Panelen för objektdetaljer är där du underhåller objektets identitet och dess register över behandling enligt GDPR Article 30 (ROPA), länkar dess kontroller och (i tillämpliga fall) dess AI-/ADM-register, följer dess efterlevnadsprofil, och granskar dess bedömnings- och händelsehistorik. Panelen är helt redigerbar när du öppnar den från katalogen Integritetsobjekt och kontroller, och skrivskyddad när du öppnar den via en bedömning. Den har åtta flikar, i ordning: Detaljer, Personuppgiftsbiträden / leverantörer, Kontroller, AI-/ADM-systemregister (endast objekt vars typ är ADM-flaggad), Efterlevnadsprofil, Incidenteskalering, Bedömningshistorik och Händelsehistorik.

Öppna ett objekt

Öppna ett objekt från katalogen Integritetsobjekt och kontroller (klicka på ett kort) för att redigera det, eller klicka på objektets namn i en bedömning för att öppna det i skrivskyddat läge. Eftersom objekt är delade och varaktiga poster redigeras de alltid från katalogen – du kan inte byta namn på eller ändra identifierare för ett objekt inifrån en enskild bedömning.

Identitetsblocket

Fliken Detaljer visar två block som redigeras var för sig, vart och ett med sin egen pennikon. Det första är Identitet, som registrerar:

• Namn
• Typ – Program, System, Initiativ, Avtal om datadelning, Processändring eller Teknikinförande
• Status – objektets egen status
• Verksamhetsägare
• Ansvarig programledare
• Beskrivning

Fritextfält har stöd för valfria översättningar per språk. Sidopanelen innehåller en snabb status-väljare samt sammanfattningskort som visar objektets bedömningar och incidenter.

Register över behandling (ROPA)

Det andra blocket på fliken Detaljer är posten Register över behandling (ROPA) för GDPR Article 30. Den omfattar:

• Ändamål med behandlingen – varför personuppgifterna behandlas.
• Rättslig grund – den rättsliga grund som åberopas för behandlingen.
• Kategorier av personuppgifter – de typer av personuppgifter som berörs.
• Kategorier av registrerade – de grupper av personer som uppgifterna rör.
• Mottagarkategorier – vilka uppgifterna lämnas ut till, med ett register över utlämnanden per mottagare.
• Personuppgiftsbiträden / leverantörer – de faktiska personuppgiftsbiträdena bakom aktiviteten, länkade från leverantörsregistret (se nedan).
• Lagringstid – hur länge uppgifterna sparas.
• Säkerhetsåtgärder – de åtgärder som skyddar uppgifterna.
• Värdplats – var uppgifterna hostas.
• Internationell överföring – en flagga som, när den är markerad, visar fältet överföringsskydd, som beskriver skyddsåtgärderna för gränsöverskridande överföringar.

Listorna kategorier av personuppgifter, kategorier av registrerade och mottagarkategorier är konfigurerbara taxonomier som hämtas från Inställningar. Fritextfält har stöd för valfria översättningar per språk.

Personuppgiftsbiträden / leverantörer

Fliken Personuppgiftsbiträden / leverantörer länkar leverantörer från leverantörsregistret för att namnge de faktiska personuppgiftsbiträdena bakom den här behandlingsaktiviteten. Varje länk kan ha sin egen roll i denna behandling (personuppgiftsbiträde, underbiträde, personuppgiftsansvarig, gemensamt personuppgiftsansvarig eller tjänsteleverantör – håll muspekaren över valfri roll för dess definition) eller ärva leverantörens registerroll, samt en valfri anteckning. Länkade leverantörer visas som rader i formatet "Namn – roll" här och i ROPA-exporten, så att Artikel 30-registret namnger faktiska personuppgiftsbiträden per aktivitet i stället för enbart kategorier.

Kontroller

Fliken Kontroller länkar kontroller från det delade Kontrollbiblioteket (Inställningar → Kontrollbibliotek — integritets-, säkerhets- och organisatoriska åtgärder, paketifyllt) till det här objektet. Varje länk bär sin egen beteckning:

• Obligatorisk
• Rekommenderad
• Implementerad
• Ej tillämplig — kräver en motivering till varför den inte gäller

En obligatorisk kontroll som ännu inte är implementerad visas som ett varnande chip i objektets sidhuvud, så att en utestående kontroll syns direkt utan att öppna fliken. Länkar märkta Implementerad och Obligatorisk återges också i raden för säkerhetsåtgärder i ROPA-exporten, så att Artikel 30-registret återspeglar verkliga, länkade skyddsåtgärder i stället för fritext.

AI-/ADM-systemregister

Fliken AI-/ADM-systemregister visas bara på objekt vars typ är flaggad som ett system för automatiserat beslutsfattande (ADM). Den fångar:

• Tekniskt ansvarig och integritetsansvarig
• Avsett ändamål
• AI-modell eller tjänst som används
• Driftsättningsstatus
• Anskaffningssätt
• Nivå av mänsklig inblandning
• Riskklassificering — en paketifylld taxonomi: den generiska fyrnivåuppsättningen, plus lagstadgade klasser som levereras av dina jurisdiktionspaket
• En inventering av datakällor, med en flagga för innehåller-personuppgifter på varje källa

Godkännandedatumet är härlett, inte inmatat — det är alltid godkännandedatumet för den senaste I kraft-bedömningen på det här objektet, så att registret aldrig kan visa ett godkännande som inte kan spåras till en faktisk bedömning.

Efterlevnadsprofil

Fliken Efterlevnadsprofil utvärderar dina jurisdiktionspakets krav mot det här objektet automatiskt:

• En obligatorisk bedömning är Uppfylld så snart en är I kraft.
• En obligatorisk kontroll är Uppfylld så snart den är länkad som Implementerad (se Kontroller ovan).
• Poster för dokumentation och underrättelse bockas av allt eftersom du slutför dem, med ett valfritt bevisdokument bifogat till var och en.

Krav märkta Före produktion visas som sådana tills objektet är driftsatt; när det väl är driftsatt blir eventuella krav som fortfarande inte är uppfyllda vanliga efterlevnadsluckor.

Incidenteskalering

Fliken Incidenteskalering registrerar en valfri eskaleringskontakt och en förberedd eskaleringsplan för det här objektet. När en incident länkas till objektet visas planen automatiskt — som en banner på den öppna incidenten, och i dialogrutan för att rapportera en incident i samma stund objektet väljs — så att insatspersonal ser vem de ska ringa utan att behöva leta. Se Skapa incidenter.

Bedömningshistorik

Fliken Bedömningshistorik listar alla bedömningar som någonsin har gjorts för det här objektet. Använd Ny bedömning för att starta en ny bedömning av samma objekt – objektet är förifyllt och låst i dialogrutan för skapande. Se Skapa bedömningar.

Händelsehistorik

Fliken Händelsehistorik listar de incidenter som är kopplade till det här objektet. Använd Skapa incident (kräver behörigheten incident-report) för att öppna rapportdialogen med det här objektet redan kopplat till den nya incidenten. Se Skapa incidenter.