Kravspecifikation – Personuppgiftssäkerhet m.m.
Anbud eller upphandling?
Förfrågningsunderlag
Källor
Kravspecifikation –Funktionella och icke-funktionella krav
Kravspecifikation – Sensordata
Kravspecifikation – Hållbarhet
Kravspecifikation –Personuppgiftssäkerhet m.m.
Interoperabilitet
Krav på IT-arkitektur
Utvecklingsmetod och process
Validering av personuppgifter
Lagring och delning av uppgifter
Reflektion och nästa steg
Förutom krav på dataägande är det också viktigt att se till att den kommande lösningen ärGDPR-kompatibel och följer regler för skydd av personuppgifter och cybersäkerhet.
Dataskydd:
- Om lösningen innehåller känsliga personuppgifter måste det ställas krav på hur dataskydd(Privacy-by-Design) beaktas i lösningen från början.
- Om de känsliga personuppgifterna anonymiseras omfattas de inte av dataskyddslagstiftningen.
- För känsliga uppgifter som kommer att lagras i mer än 10 år och som fortfarande kommer att vara känsliga (t.ex. personuppgifter) måste de framtidssäkras mot dekryptering på bästa möjliga sätt.
Avtal om databehandling:
Om det finns känsliga personuppgifter i den data som ingår i enlösning måste personuppgiftsbiträdesavtal alltid ingås.
Som personuppgiftsansvarig är du dessutom skyldig att utöva lämplig tillsyn över dina personuppgiftsbiträden för att säkerställa att de försäkrades rättigheter efterlevs.
Sensorer:
Om lösningen vill använda IoT-sensorer som datakälla är det viktigt att det finns ett krav på att sensorerna ska kunna flyttas och användas någon annanstans. Detta kommer att ge dig en mycket mer flexibel lösning. Kanske behöver sensorerna kalibreras närman rör sig. Klargör förutsättningarna för detta.
IT:
Kräv att lösningen är stabil och kvalitativ, även under tung belastning från många samtidiga användare.
Hur går man tillväga
- Klargör om lösningen innehåller känsliga personuppgifter.
- Om det finns känsliga personuppgifter, är de anonymiserade?
- Ta en titt på "9tips om GDPR och säkerhet" under ”Verktyg”. Finns det några krav som måste ställas på denna lösning?
- Kontakta IT-avdelningen och definiera tillsammans med dem vilka andra säkerhetskrav som bör ställas.
- Skriv in de identifierade kraven i mallen som finns under ”Verktyg”.
- Kom också ihåg specifika krav om lösningen ska använda IoT-sensorer. Titta under ”Verktyg” – "Kriterier och krav vid köp av en enhet”.
Avtal om databehandling:
Denna punkt är viktig för både utvecklings- och upphandlingsprojekt.
- Prata med ditt dataskyddsombud (DPO) i kommunen om personuppgiftsbiträdesavtalet och hur dukan utöva tillsyn över dina personuppgiftsbiträden.
- Ingå personuppgiftsbiträdesavtal med de leverantörer som behandlar data för kommunens räkning.
- När personuppgiftsbiträdesavtalen har undertecknats, förvara dem på en centralplats så att andra kan komma åt dem.
- Få en offert från leverantören för en risk- och konsekvensanalys av vad det innebär om ett dataintrång inträffar.
- Implementera informationsklassificeringar för alla data som du äger och vill dela.
Verktyg
Viktiga GDPR- och säkerhetstips.