Integritetsobjekt och kontroller

Öppna Integritetsobjekt och kontroller från det övre verktygsfältet (kräver assessment-view) för att bläddra i den sökbara katalogen med återanvändbara integritetsobjekt – de varaktiga program, system, initiativ, avtal om datadelning, processändringar och teknikinföranden som dina bedömningar och incidenter avser. Den används av integritets- och säkerhetskontoret för att hålla en delad post per objekt, inklusive Kontroller, AI-/ADM-registret och efterlevnadsprofilen som numera följs per objekt – se Detaljer om integritetsobjekt. Arbetsytan har två flikar: Objekt – katalogen som beskrivs här – och Leverantörer, leverantörs-/personuppgiftsbiträdesregistret nedan.

Objekttyper

Objekttyper är en konfigurerbar taxonomi – Inställningar → Valfält för integritetsobjekt → Objekttyper – som förifylls av paketet Universal Baseline med typer som Program, Verksamhetsprocess, IT-system och AI-system. En typ som flaggats som ett system för automatiserat beslutsfattande (ADM) låser upp avsnittet AI-/ADM-systemregister på varje objekt av den typen. Samma grupperade panel Valfält för integritetsobjekt hanterar även de andra objekttaxonomier som används i katalogen och dess poster: kategorier av personuppgifter (delas med incidentrapportering), kategorier av registrerade och mottagarkategorier.

Bläddra i katalogen

Objekt visas som kort. Varje kort visar:

• Objektets typ
• Objektets egen status
• Antal bedömningar och incidenter
• Nästa granskningsdatum

Klicka på ett kort för att öppna objektets detaljer – se Detaljer om integritetsobjekt.

Skapa ett objekt

1. Klicka på Nytt objekt (kräver behörighet att skapa).
2. Ange identiteten – namn, typ, status, verksamhetsägare, ansvarig programledare och beskrivning.
3. Fyll i hela ROPA-posten.

Du kan även skapa ett objekt direkt genom att skriva ett nytt namn i objektfältet när du skapar en bedömning.

Exportera ROPA-registret

Klicka på Exportera ROPA för att skapa PDF-registret över behandling för samtliga objekt.

Leverantörsregistret

Fliken Leverantörer är registret över tredje parter som behandlar personuppgifter för din institution – den lista som ett integritetskontor ombeds uppvisa vid varje revision. Varje leverantörskort visar dess roll (personuppgiftsbiträde, underbiträde, personuppgiftsansvarig, gemensamt personuppgiftsansvarig eller tjänsteleverantör – håll muspekaren över rollen för dess definition), risknivå och överskådliga efterlevnadsmärken: DPA finns, DPA löper ut (datum) när utgången infaller inom 90 dagar, DPA har löpt ut, Inget DPA (eskalerar till ett rött Inget DPA – används när leverantören är kopplad till ett objekt utan något registrerat avtal), Avtal har upphört / Avtal upphör (datum), och Granskning försenad när nästa granskningsdatum har passerat. En leverantör kopplad till behandlingsaktiviteter visar Används av N objekt – klicka för att expandera listan över objekt, vart och ett med leverantörens roll i den behandlingen.

Ny leverantör (kräver assessment-create; redigering kräver assessment-modify) samlar in:

• Leverantörens identitet och kontakter
• Fakta om personuppgiftsbiträdesavtalet (DPA) – upprättat, undertecknat, utgångsdatum
• Avtalets start- och slutdatum samt senaste/nästa granskningsdatum
• Behandlingsjurisdiktion, risknivå och anteckningar
• En valfri länk till en ROPA-mottagarkategori, så att registret överensstämmer med er Artikel 30-taxonomi

Att avveckla en leverantör behåller den gråmarkerad i registret i stället för att radera historiken, och en leverantör som fortfarande är kopplad till integritetsobjekt kan inte raderas – ta bort kopplingarna eller avveckla den i stället, så att ROPA-poster aldrig pekar på ett försvunnet personuppgiftsbiträde.