Retningslinjer for GDPR-etterlevelse

Integrering i designfasen:

Når vi utvikler eller oppdaterer programvare, applikasjoner eller forretningsprosesser som involverer personopplysninger, vurderer vi proaktivt personvernrisikoer og innarbeider beskyttelsestiltak allerede i designfasen. Vi begrenser for eksempel innsamlingen av opplysninger til det som er nødvendig for det angitte formålet (dataminimering) og velger systemarkitekturer som beskytter personopplysninger (for eksempel ved å bruke pseudonymisering eller aggregering der det er hensiktsmessig).

Personverninnstillinger som standard:

Livappys tjenester er konfigurert med personvernvennlige standardinnstillinger. Det betyr at det, med mindre brukeren aktivt velger noe annet, kun samles inn og brukes det minimum av personopplysninger som er nødvendig. Alle funksjoner som kan påvirke personvernet, er som standard satt til de mest beskyttende innstillingene⁹. Brukerne trenger ikke å samtykke til ekstra innsamling av opplysninger for at tjenesten skal fungere – personvern er standardinnstillingen.

Vurdering av personvernkonsekvenser (DPIA):

Vi gjennomfører vurderinger av personvernkonsekvenser for alle nye eller vesentlig endrede behandlingsaktiviteter som kan medføre høy risiko for enkeltpersoners personvern. Gjennom DPIA-er identifiserer vi mulige personvernproblemer tidlig og håndterer dem ved å justere designet eller gjennomføre ytterligere sikkerhetstiltak. Denne prosessen sikrer etterlevelse av GDPR artikkel 35 og viser at vi vurderer personvernrisikoer grundig på forhånd.

Opplæring og bevisstgjøring:

Våre utviklings- og produktteam får opplæring i prinsippene om innebygd personvern. Vi bygger en intern kultur der ansatte og oppdragstakere er bevisste på personvernforpliktelsene og konsekvent tenker personvern først når de håndterer personopplysninger. Før vi lanserer nye funksjoner, gjennomfører vi personvernvurderinger eller sjekklister for å sikre at nødvendige kontrolltiltak er på plass.

Løpende gjennomgang og forbedringer:

Innebygd personvern er ikke en engangsinnsats. Livappy overvåker og gjennomgår kontinuerlig sine systemer for å sikre at de opprettholder personvernstandardene over tid. Vi gjennomfører jevnlige revisjoner og oppdateringer av sikkerhets- og personvernkontroller, tilpasser oss ny veiledning fra myndighetene og innarbeider tilbakemeldinger fra brukerne for å forbedre vernet av personopplysninger. Dersom det skjer endringer i teknologi eller bruk av opplysninger, gjennomgår vi designet på nytt for å opprettholde det høyeste nivået av vern av personopplysninger som standard.

Kryptering:

Alle personopplysninger som Livappy håndterer, er beskyttet av sterk kryptering, både under overføring og ved lagring. Vi bruker oppdaterte krypteringsprotokoller (som TLS) for opplysninger som overføres over nettverk, og robuste krypteringsalgoritmer for å kryptere opplysninger som lagres i våre databaser og sikkerhetskopier. Dette sikrer at opplysningene forblir uleselige og sikre selv om de skulle bli avlyttet eller aksessert uten autorisasjon¹². Der det er mulig, tilbyr vi mekanismer for sikker håndtering av krypteringsnøkler for å unngå ett enkelt kompromitteringspunkt.

Tilgangskontroll:

Livappy håndhever strenge tilgangskontrollmekanismer for å sikre at personopplysninger kun er tilgjengelig for autorisert personell etter tjenstlig behov. Vi har innført rollebasert tilgangsstyring og systemer for brukerautentisering (herunder tofaktorautentisering for sensitive systemer) for å begrense hvem som får tilgang til opplysninger. Ansattes tilgang til personopplysninger gis ut fra arbeidsrolle og trekkes tilbake eller justeres umiddelbart når roller endres. Enhver ansatt eller oppdragstaker med tilgang til personopplysninger er bundet av taushetsplikt og får opplæring i datasikkerhet.

Logging og overvåking:

Vi fører detaljert logging av systemtilgang og behandlingsaktiviteter. All tilgang til lagre med personopplysninger, samt vesentlige handlinger med personopplysninger, logges i sikre revisjonsspor. Livappy benytter overvåkingsverktøy for å gjennomgå logger og oppdage uregelmessig eller uautorisert aktivitet. Dette hjelper oss ikke bare med å forebygge og identifisere mulige sikkerhetshendelser, men gir også en revisjonsdokumentasjon som viser ansvarlighet for tilgang til og endringer av opplysninger.

Nettverks- og systemsikkerhet:

Livappy beskytter sine IT-systemer gjennom tiltak som brannmurer, systemer for inntrengingsdeteksjon og -forebygging (IDS/IPS), beskyttelse mot skadevare og sikker nettverksarkitektur. Vi skiller miljøer (f.eks. utvikling, test og produksjon) for å redusere risiko, og benytter praksis for sårbarhetshåndtering, herunder regelmessig sårbarhetsskanning og penetrasjonstesting. Eventuelle identifiserte sikkerhetsproblemer utbedres omgående.

Organisatoriske retningslinjer og opplæring:

Vi har etablert interne retningslinjer for sikkerhet og vern av personopplysninger som alle ansatte og oppdragstakere må følge. Disse retningslinjene omfatter riktig håndtering av personopplysninger, bruk av utstyr, rutiner for hendelsesrapportering og mer. Vi gjennomfører regelmessig opplæring og bevisstgjøringsprogrammer slik at teamet vårt holder seg årvåkent og oppdatert på beste praksis innen cybersikkerhet og personvern. Tilgang til personopplysninger forutsetter at disse retningslinjene etterleves, og brudd kan medføre disiplinærtiltak.

Regelmessige revisjoner og vurderinger:

Livappy reviderer med jevne mellomrom sine tiltak for vern av personopplysninger og gjennomfører risikovurderinger for å sikre vedvarende effektivitet. Vi gjennomgår brukernes tilgangsrettigheter jevnlig, tester våre beredskapsplaner for hendelser og kan engasjere uavhengige revisorer til å vurdere våre sikkerhetstiltak. Eventuelle svakheter eller forbedringsmuligheter som avdekkes, utbedres omgående. Disse revisjonene hjelper oss å opprettholde etterlevelse og kontinuerlig tilpasse oss utviklingen i sikkerhetsstandarder og veiledning fra myndighetene.

Kontinuitet i driften og sikkerhetskopiering:

For å beskytte mot tap eller ødeleggelse av opplysninger har vi sikre rutiner for sikkerhetskopiering og planer for katastrofegjenoppretting. Sikkerhetskopier av kritiske personopplysninger krypteres og lagres sikkert (herunder eksternt eller i skyen), og vi tester gjenoppretting av opplysninger med jevne mellomrom. Ved systemsvikt eller katastrofe kan Livappy gjenopprette personopplysninger for å hindre permanent tap, i tråd med kravene til integritet og tilgjengelighet.

Pseudonymisering og dataminimering:

Der det er hensiktsmessig, benytter Livappy pseudonymisering av personopplysninger – ved å erstatte identifiserende felt med kunstige identifikatorer – for å redusere risikoen ved uautorisert tilgang. Vi følger også strengt prinsippet om dataminimering, ved kun å samle inn og oppbevare de personopplysningene som er nødvendige for våre angitte formål¹⁰. Ved å minimere mengden opplysninger vi oppbevarer og skille eller anonymisere opplysninger der det er mulig, begrenser vi konsekvensene av eventuelle sikkerhetsproblemer.

Umiddelbar oppdagelse og intern varsling:

Vi har systemer og prosesser på plass for å oppdage og varsle oss om mulige brudd på personopplysningssikkerheten. Våre ansatte er opplært til å gjenkjenne og eskalere sikkerhetshendelser. I det øyeblikket et brudd mistenkes eller avdekkes, varsles vårt interne responsteam (som omfatter personell fra IT, sikkerhet og ledelse). Vi utpeker en bestemt hendelsesansvarlig til å lede undersøkelsen.

Begrensning og vurdering:

Livappy vil raskt begrense bruddet for å hindre ytterligere lekkasje av opplysninger (for eksempel ved å isolere berørte systemer, tilbakekalle kompromitterte påloggingsopplysninger eller stenge bestemte funksjoner). Deretter undersøker vi hendelsen for å fastslå bruddets art og omfang, hvilke opplysninger og enkeltpersoner som er berørt, og hvilke risikoer det kan medføre for de registrerte. Som del av denne vurderingen vurderer vi sannsynligheten for og alvorligheten av eventuell skade som kan oppstå.

Varsling av berørte enkeltpersoner:

Dersom bruddet sannsynligvis vil medføre en høy risiko for enkeltpersoners personopplysninger eller personvern, vil vi også underrette de berørte registrerte om bruddet uten ugrunnet opphold¹⁷. Denne kommunikasjonen skjer i et klart og enkelt språk, der bruddets art beskrives og det gis anbefalinger til enkeltpersonene om hvordan de kan begrense mulige negative konsekvenser (vi kan for eksempel anbefale å tilbakestille passord eller være på vakt mot phishing dersom påloggingsopplysninger er eksponert). Vi vil ikke varsle enkeltpersoner dersom de berørte opplysningene er uleselige som følge av effektive tekniske tiltak (som kryptering) eller andre forhold, eller dersom risikoen er lav, med mindre myndighetene pålegger oss å gjøre det.

Utbedring og forebygging fremover:

Livappy vil umiddelbart iverksette tiltak for å utbedre årsaken til bruddet. Dette kan innebære å tette programvaresårbarheter, stramme inn tilgangskontroller, forbedre kryptering eller andre korrigerende tiltak for å sikre at en liknende hendelse ikke gjentar seg. Vi dokumenterer også lærdommene og oppdaterer våre sikkerhetsretningslinjer og opplæring deretter. Toppledelsen informeres om alle brudd og fremdriften i utbedringen, noe som sikrer ansvarlighet og støtte til nødvendige forbedringer.

Dokumentasjon:

I samsvar med GDPR artikkel 33 nr. 5 dokumenterer Livappy alle brudd på personopplysningssikkerheten, uavhengig av om de krever varsling. Dette interne bruddregisteret inneholder faktaopplysninger om bruddet, virkningene av det og hvilke utbedrende tiltak som er iverksatt. Slik dokumentasjon gjør det mulig for tilsynsmyndighetene å kontrollere vår etterlevelse og hjelper oss med å forbedre håndteringen av sikkerhetshendelser løpende. Selv ved mindre hendelser fører vi en oversikt som del av våre plikter til ansvarlighet¹⁸.

Obligatoriske databehandleravtaler med alle databehandlere:

Vi har som policy at ingen personopplysninger deles med eller overlates til en tredjeparts databehandler med mindre en GDPR-tilpasset databehandleravtale er på plass. Dette omfatter sentrale partnere som Amazon Web Services (AWS) for skydrift, Veriff for tjenester til identitetsverifisering, Google for skybaserte verktøy eller analyse, og enhver annen leverandør eller oppdragstaker som behandler opplysninger. Hver av disse databehandlerne har kontraktsfestet å overholde kravene i GDPR, kun behandle opplysninger etter Livappys dokumenterte instrukser og gjennomføre egnede sikkerhetstiltak.

Forsikringer og tilstrekkelige garantier:

I tråd med artikkel 28 og fortalepunkt 81 i GDPR benytter Livappy kun databehandlere som gir tilstrekkelige garantier for at de er i stand til å beskytte personopplysninger²¹. Våre databehandleravtaler fastsetter at databehandlerne må gjennomføre alle egnede tekniske og organisatoriske tiltak for å beskytte opplysningene (f.eks. kryptering, tilgangskontroll, taushetsplikt) og bistå Livappy med å oppfylle forespørsler fra registrerte og varsling om brudd ved behov²². Vi vurderer nye leverandører nøye med hensyn til deres praksis for vern av personopplysninger og deres omdømme før vi tar dem inn som databehandlere.

Sentrale vilkår i databehandleravtalene:

Hver databehandleravtale som Livappy inngår, inneholder alle påkrevde bestemmelser etter GDPR artikkel 28 nr. 3. Disse omfatter blant annet: at databehandleren kun skal behandle personopplysninger etter Livappys instrukser; at personellet som behandler opplysningene er underlagt taushetsplikt; at databehandleren skal bidra til å sikre etterlevelse av sikkerhetskravene og bistå med de registrertes rettigheter og DPIA-er; at underdatabehandlere ikke kan benyttes uten vår tillatelse og må være bundet av de samme forpliktelsene; at databehandleren skal tilbakelevere eller slette personopplysninger ved oppdragets slutt; og at databehandleren må underkaste seg revisjoner og fremlegge dokumentasjon på etterlevelse²². Disse kontraktsvilkårene gir Livappy og våre brukere trygghet for at personopplysninger forblir beskyttet også når de håndteres av tredjeparter.

Oppfølging og håndheving:

Livappy fører en oversikt over alle gjeldende databehandlere og status for våre avtaler med dem. Vi følger opp databehandlernes etterlevelse – for eksempel ved å gjennomgå deres sikkerhetssertifiseringer, revisjonsrapporter eller etterlevelse av atferdsnormer. Dersom en databehandler ikke oppfyller sine forpliktelser til vern av personopplysninger, iverksetter vi raskt tiltak, som kan omfatte krav om utbedring, midlertidig stans i behandlingen eller til og med heving av kontrakten. I tillegg gjør våre databehandleravtaler databehandlerne ansvarlige for å beskytte opplysningene, noe som innebærer at de må holde Livappy (og i siste instans våre brukere) skadesløs for enhver skade forårsaket av deres behandling som ikke oppfyller GDPRs krav.

Underdatabehandlere:

Der våre databehandlere setter ut deler av behandlingen til andre (for eksempel dersom AWS bruker underleverandører til drift av datasentre), krever våre databehandleravtaler at disse underdatabehandlerne holdes til de samme standardene. Livappys kontrakter sikrer at det finnes en kjede av GDPR-tilpassede forpliktelser gjennom alle ledd av behandlingen.