Arbejdsgang for GDPR-vurdering af apps
Arbejdsgang for GDPR-vurdering af apps
Læs om baggrunden for arbejdet med GDPR, og få en uddybende beskrivelse af GPV's arbejdsgang i forbindelse med vurdering af apps.
Baggrund
Den 25. maj 2018 fik databeskyttelsesforordningen – også kendt som GDPR – virkning.
GDPR står for General Data Protection Regulation. GDPR omhandler behandling af oplysninger om borgere, som blandt andet foretages af offentlige myndigheder.
Ifølge Datatilsynet kan det krænke borgernes rettigheder, hvis en borgers personoplysninger kommer ud til uvedkommendes kendskab, bliver ændret, beskadiget eller går tabt.
Formålet med GDPR er, at sikre borgernes personoplysninger fortrolighed, tilgængelighed og integritet. Det går i sin enkelthed ud på, at kommunens håndtering og opbevaring af borgernes persondata er relevant og sikker.
Uddybning
I den forbindelse har GPV det seneste år gennemgået og vurderet 750 apps på skole-, dagtilbud- og familieområdet, hvoraf 150 er gule, og otte er der udarbejdet databehandleraftaler på i samarbejde med informationssikkerhedskonsulenterne i Sekretariat og Politisk Betjening.
GPV’s vurderingsgrundlag tager udgangspunkt i et enkelt ”rød, gul, grøn”-lysregulering, som understøtter identificeringen af, hvordan apps håndterer og opbevarer persondata.
Lysreguleringen beskriver nøjagtigt, hvilke foranstaltninger medarbejderen skal gå videre med, før appen endeligt bliver vurderet i systemet.
Mere om lysreguleringen
GPV gør appen tilgængelig i GLX App Store (Grøn), hvis:
- Appen kan bruges uden forbehold og restriktioner (Grøn)
- Appen kan bruges med visse forbehold og restriktioner (Gul)
Hvis appen indsamler persondata (rød), undersøger GPV, om der kan laves en databehandleraftale (Gul):
- GPV laver en databehandleraftale og gør appen tilgængelig i GLX App Store (Grøn)
- GPV gør ikke appen tilgængelig i GLX App Store, fordi der ikke kan laves en databehandleraftale med leverandøren (Rød)
GPV gør ikke appen tilgængelig i GLX App Store (Rød), hvis:
- Appens datasikkerhed ikke overholder EU's krav, som Gladsaxe Kommune følger (Rød)
- Appen indeholder køb og/eller aggressiv markedsføring (Rød)
GDPR-arbejdsgang for vurdering af apps
For at sikre en ensartet og korrekt app-vurdering i Børne- og Kulturforvaltningen, har GPV’s GDPR-medarbejder udarbejdet en arbejdsgang for, hvordan man vurderer apps privacy vilkår i App Store, samt indsat eksempler på, hvordan app privacy kan se ud, og hvilke GDPR-vilkår en app kan operere under.
Beskrivelser og eksempler på forskellige vurderinger
Apps, som ikke indsamler persondata, vurderes som grønne.
Grønne apps kan bruges uden forbehold og restriktioner, og gøres tilgængelig i GLX App Store af GPV.
Vurdering
Appen vurderes grøn, fordi den ikke indsamler brugerdata.
Appen må bruges uden forbehold og restriktioner.
GPV gør appen tilgængelig i GLX App Store.
Vurdering
Udvikleren af appen har ikke oplyst Apple, om appen indsamler, opbevarer, ændrer eller videregiver brugerdata.
For at vurdere appen endeligt, skal man undersøge, hvad udvikleren konkret har skrevet om, hvordan appen håndterer og bruger brugerdata under: developer’s privacy policy.
I enkelte tilfælde må man installere appen og afprøve funktionaliteten, for at få svar på nedenstående spørgsmål:
Samles der persondata?
Hvis ja, hvilken slags persondata?
Hvor gemmes persondata?
Har andre leverandører adgang til disse data?
Grøn vurdering
Appen vurderes grøn, hvis den ikke indsamler persondata.
Appen kan bruges uden forbehold og restriktioner.
GPV gør appen tilgængelig i GLX App Store.
Gul vurdering
Appen vurderes gul, hvis appen indsamler persondata.
GPV skal derefter undersøge, om der kan laves en databehandleraftale med leverandøren. Læs mere om vurderingen af gule apps i afsnittet om gule apps.
Gule apps
Apps der kan bruges med visse forbehold og restriktioner, vurderes som gule.
Gule apps gøres tilgængelig i GLX App Store af GPV.
Eksempler på app-restriktioner:
- Appen må ikke bruges sammen med sociale medier
- Appen er beregnet til voksne
Vurdering
Udvikleren af appen har oplyst Apple, at appen ’tracker’ dens brugere på forskellig vis.
Appen indsamler og opbevarer også brugerdata, som kan forbindes til den enkelte bruger.
Ovenstående informationer placerer foreløbigt appen i lysreguleringens gule felt.
For at vurdere appen endeligt, skal man undersøge, hvordan udvikleren konkret har beskrevet, appens håndtering og brug af brugerdata i linket: developer’s privacy policy.
I enkelte tilfælde må man installere appen og afprøve funktionaliteten, for at få svar på nedenstående spørgsmål:
- Samles der persondata?
- Hvis ja, hvilken slags persondata?
- Hvor gemmes persondata?
- Har andre leverandører adgang til disse data?
Gul vurdering
Appen vurderes gul, hvis appen indsamler persondata.
GPV skal derefter undersøge, om der kan laves en databehandleraftale med leverandøren.
Genvurderingen bliver grøn
Hvis GPV kan lave en databehandleraftale med leverandøren, vurderes appen grøn.
GPV gør appen tilgængelig i GLX App Store.
Genvurderingen bliver rød
Hvis GPV ikke kan lave en databehandleraftale med leverandøren, vurderes appen rød.
GPV gør ikke appen tilgængelig i GLX App Store. Læs mere om røde apps i afsnittet om røde apps.
Røde apps må ikke bruges;
- uden databehandleraftale med leverandøren, når appen indsamler persondata.
- fordi appens datasikkerhed ikke overholder EU’s krav, som Gladsaxe følger.
- fordi appen indeholder køb og/eller aggressiv markedsføring.
Vurdering
Udvikleren af appen har oplyst Apple, at appen håndterer brugerdata som:
- Køb
- Finansielle oplysninger
- Placering
- Kontaktoplysninger
- Kontakter
- Brugerindhold
- Søgehistorik
- Gennemsøgningshistorik
- Identifikatorer
- Brugsdata
- Diagnostik
- Andre data
Dataen kan således forbindes til den enkelte bruger.
Ovenstående informationer placerer foreløbigt appen i bliklyssystemets røde felt.
For at vurdere appen endeligt, skal man undersøge, hvordan udvikleren konkret har beskrevet, appens håndtering og brug af brugerdata i linket: Developer’s privacy policy.
I enkelte tilfælde må man installere appen og afprøve funktionaliteten, for at få svar på nedenstående spørgsmål:
- Samles der persondata?
- Hvis ja, hvilken slags persondata?
- Hvor gemmes persondata?
- Har andre leverandører adgang til disse data?
Rød vurdering
Ifølge ovenstående gennemgang af appen, håndterer appen brugerdata, som kategoriserer den i det røde felt.
GPV skal derefter undersøge, om der kan laves en databehandleraftale med leverandøren.
Genvurdering forbliver rød
Appen vurderes fortsat rød, hvis
- appen indsamler persondata, og der ikke kan udarbejdes en databehandleraftale med leverandøren.
- appens datasikkerhed ikke overholder EU’s krav, som Gladsaxe følger.
- appen indeholder køb og/eller aggressiv markedsføring.
GPV gør ikke appen tilgængelig i GLX App Store.
Genvurderingen bliver grøn
Appen vurderes grøn, hvis appen indsamler persondata, og GPV kan lave en databehandleraftale med leverandøren.
GPV gør appen tilgængelig i GLX App Store.
Eksisterende databehandleraftaler
Nogle apps findes både som portaler, pc-systemer og app til både smartphone og iPad eksempelvis AULA.
I forbindelse med overgangen til AULA, er der indgået en databehandleraftale med leverandøren. Derfor er alle apps grønne og må bruges uden forbehold og restriktioner.
