Inbyggt dataskydd: principer och praktisk tillämpning

Inbyggt dataskydd innebär att skyddet för personuppgifter planeras och byggs in i ett IT-system, en digital tjänst eller en administrativ rutin redan från början. Enligt artikel 25 i EU:s dataskyddsförordning (GDPR) måste organisationer vidta lämpliga tekniska och organisatoriska åtgärder för att upprätthålla integritetsskyddet genom hela livscykeln för en behandling. Syftet är att förhindra risker innan de uppstår snarare än att försöka åtgärda säkerhetsbrister i efterhand.

Arbetet hänger tätt samman med grunderna i ansvarsfull personuppgiftshantering, där laglighet, korrekthet och öppenhet utgör fundamentet för varje digital tjänst.

Vad inbyggt dataskydd innebär i dataskyddsförordningen

Kravet på inbyggt dataskydd innebär att den personuppgiftsansvarige måste ta hänsyn till dataskyddsprinciperna redan när en arkitektur eller process utformas. Det räcker alltså inte att anpassa ett färdigt system med efterhandskonstruktioner som separata samtyckesrutor eller tillagda krypteringslager.

Förordningen anger att åtgärderna ska anpassas utifrån:

• Teknikens utvecklingsstadium och tillgängliga verktyg.
• Genomförandekostnader för organisationen.
• Behandlingens art, omfattning, sammanhang och ändamål.
• Riskernas sannolikhet och allvarlighetsgrad för enskildas fri- och rättigheter.

I praktiken innebär detta att en analys av integritetsrisker ska göras innan kod skrivs eller ett nytt system upphandlas.

Dataskydd som standard och principen om minimering

Vid sidan av designkravet ställer regelverket krav på dataskydd som standard (privacy by default). Detta innebär att grundinställningen i varje system ska begränsa insamlingen till vad som är strikt nödvändigt för det specifika ändamålet.

Om en användare registrerar sig på en webbplats får systemet inte som standard dela användarens uppgifter med tredje part, aktivera platsspårning eller göra profilen offentlig. Användaren ska själv aktivt välja att dela fler uppgifter om funktionen kräver det. Standardinställningen ska alltid skydda den enskildes integritet utan att kräva teknisk förkunskap från användaren.

Minimering gäller även lagringstider. System ska konstrueras med automatiska rutiner för gallring så att uppgifter raderas eller avidentifieras så fort ändamålet med behandlingen har upphört.

Tekniska och organisatoriska åtgärder

För att uppfylla kraven kombineras IT-tekniska skyddsåtgärder med interna rutiner och roller.

Tekniska åtgärder omfattar bland annat:

• Pseudonymisering och kryptering av data både vid överföring och i vila.
• Åtkomstkontroll med rollbaserad behörighet så att endast behörig personal kan läsa information.
• Loggning av läs- och skrivhändelser för att upptäcka och utreda obehörig åtkomst.
• Arkitektur med separerade databaser eller nätverkssegment för känsliga uppgifter.

Organisatoriska åtgärder handlar om det mänskliga arbetssättet:

• Utbildning av systemutvecklare, produktägare och administratörer.
• Dokumenterade rutiner för förändringshantering och kodgranskning.
• Regelbundna säkerhetstester och sårbarhetsanalyser.

Steg för att tillämpa inbyggt dataskydd i utvecklingen

När en organisation etablerar inbyggt dataskydd i sina utvecklingsprojekt bör arbetet ske strukturerat i flera faser:

1. Kravställning och behovsanalys: Definiera vilka uppgifter som faktiskt behövs för att uppfylla tjänstens syfte. Välj bort onödiga fält redan i specifikationen.
2. Riskbedömning: Identifiera hot mot användarnas personliga integritet och utvärdera konsekvenserna om uppgifter läcker eller förvanskas.
3. Arkitektur och implementation: Välj tekniska lösningar som stöder kryptering, rollstyrning och dataseparation. Undvik hårdkodade personuppgifter i testmiljöer genom att använda syntetiska data.
4. Verifiering och testning: Testa säkerhetsfunktioner, behörighetsbegränsningar och rutiner för gallring innan systemet sätts i skarp drift.
5. Förvaltning och uppföljning: Uppdatera systemkomponenter löpande och genomför återkommande granskningar av efterlevnaden.

Tillsyn och vägledning från tillsynsmyndigheten

I Sverige är det Integritetsskyddsmyndigheten (IMY) som utövar tillsyn över dataskyddsförordningen och granskar hur organisationer lever upp till regelverket. Bristande efterlevnad av reglerna om skyddsåtgärder och standardinställningar kan leda till förelägganden och administrativa sanktionsavgifter.

IMY betonar att ansvaret vilar på den personuppgiftsansvarige, även när systemutveckling eller drift läggs ut på externa leverantörer. Organisationer måste därför ställa tydliga krav i upphandlingar och personuppgiftsbiträdesavtal för att säkerställa att externa lösningar uppfyller kraven från första dagen.