GDPR og persondata i BAS-løsningen

EU forordning og ny Personvernlov

Lov om behandling av personopplysninger (Personopplysningsloven) ble innført LOV-2018-06-15-38 med ikrafttredelse 20.07.2018.

Datatilsynet informerer her om Lover og regler.

Etablering og administrasjon av kundeforhold er underlagt Lov om behandling av personopplysninger (Personopplysningsloven). For utstedelse av personlig eID på nivå HØY gjelder Lov om elektroniske tillitstjenester og reglene i Forskrift om tillitstjenester for elektroniske transaksjoner (§6) og Selvdeklareringsforskriften (Del 2 §4 og Del 3). Det betyr at sluttbruker må vise gyldig legitimasjon, og vi har plikt til å kontrollere og lagre opplysningene.

Buypass registrerer personopplysninger ifbm utstedelse av kort og sertifikater via BAM-klienten. Det innhentes samtykke fra sluttbruker om registrering av personopplysninger ved aksept av brukervilkår for kvalifiserte sertifikater. RA-prosessen er beskrevet under Legitimasjonskontroll i BAM Brukerguide på Eksternt Dokumentsenter.

Buypass Kundeavtale for kvalifiserte sertifikater er publisert på Buypass - Buypass Kundeavtale (NOR) eller Buypass Customer Agreement (ENG).

Buypass lagrer følgende opplysninger sentralt ifbm utstedelsen av kvalifiserte sertifikater:

Fødselsnummer og navn sjekkes mot Folkeregisteret
Fra Folkeregisteret mottas adresse og folkeregistrert status samt Geotagger (fra matrikkelen)
Vi innhenter e-postadresse dersom dette skal legges i sertifikatet
Vi lagrer en IssuersKey som er koblingen mellom Virksomheten og Buypass
Image av legitimasjonsdokument lagres ved førstegangsregistrering som del av RA-prosessen
PDFer som gir opplysninger om operasjoner, dvs. gjennomførte funksjoner i BAM-klienten lagres som informasjon knyttet til kort og sertifikater involvert i operasjonen. PDF’en ifbm utstedelse av kort/sertifikat inneholder imaget av legitimasjonsdokument fremvist og brukers signatur

Eksempel på PDF - tatt fra vår TEST-LAB:

Virksomheten er selv ansvarlig for håndtering av personopplysninger som samles og lagres lokalt i virksomheten – også det som lagres ifbm bruk av BAM-klienten.

Opplysninger i lokal AD
PDFer lagret på lokalt dokumentområde
Rapporter lagret på lokalt rapportområde
Trace-filer lagret lokalt på logg-område (standard vil filene slettes etter 2 dager, men antall dager er konfigurerbart)

PDFer

BAM-klienten genererer og lagrer PDF-filer som dokumenterer de kontroller som er gjennomført ifbm operasjoner i BAM-klienten, såkalte kontrolldokumenter. Disse filene lagres og arkiveres i et dokumentregister i nettverket som mappes opp fra BAM-klienten når den starter. Operatøren bekrefter operasjonene gjennom å signere disse dokumentene elektronisk. For operasjoner som også inkluderer kvalifiserte sertifikater vil en kopi av kontrolldokumentet bli oversendt Buypass.

Dokumentområder defineres i Configuration Application Tool – klienten. Se eksempel på en PDF ovenfor.

I forbindelse med installasjon og oppstart av BAM ber vi om at tilganger til dokumentområdet begrenses – «Alle som skal operere BAM-klienten, RA-ADMIN og Operatører må ha minimum skrive-tilgang til dokumentområdet. Utover det bør dokumentene ikke være tilgjengelig for alle i organisasjonen. Kun autorisert personell, eller de som Virksomheten ønsker skal ha tilgang bør få lesetilgang til området. Det bør vurderes hvem som skal ha rettigheter til å slette/kopiere dokumentene for vedlikehold og driftsoppgaver». Se beskrivelse under «Område for kontrolldokumenter» og «Akesesser og tilgangsrettigheter» under Systembeskrivelsen for BAM på Eksternt Dokumentsenter.

NB! Det finnes et parameter for å skru PÅ/AV lagring av PDF'er i lokalt dokumentregister. Standard er PÅ. Se forøvrig Configuration Application Tool - guide under Master_Document Registry på Eksternt Dokumentsenter.

Rapporter

Alle rapporter som genereres via BAM kan lagres lokalt. Rapportene inneholder kun oversikter over hvem som har fått utstedt hvilke type sertifikater i valgt periode. Rapportene inneholder personopplysninger som navn, issuerskey (bestemmes av Virksomheten; FNR eller brukernavn registrert og hentes fra AD), epost adresse dersom registrert og sertifikatinformasjon.

Trace-filer

Det opprettes en trace-fil hver gang BAM-klienten startes. Det kan logges på ulike nivåer. Standard er Error hvor det ikke lagres personopplysninger i klartekst. Dersom log-nivå settes til Verbose vil trace-filen inneholde personopplysninger som navn, issuerskey, domene, epost dersom dette preregisteres for å legges i sertifikatene.

Default filområde for log-filer er C:\Program Files (x86)\Buypass\Buypass Access Manager\Logs

Hittil har det vært opp til virksomheten å ha kontroll på filområdet og administrasjonen av dette. Med release av BAM v3.7.6_7875 har vi endret det slik at trace-filer eldre enn 2 dager slettes automatisk fra loggområdet. Videre blir det gitt advarsel dersom log-nivå er noe annet enn Error. Til slutt har vi lagt om SEND-funksjonen som sender trace-filer ut av Virksomheten til ønsket epostadresse. Nå blir filene pakket i en passord-beskyttet ZIP-fil. Les release-notat for detaljer.

Sluttbrukere/ansatte

Utstedelse og administrasjon av kort og sertifikater krever legitimasjonskontroll av den ansatte. Det innhentes samtykke fra sluttbruker om registrering av personopplysninger ved aksept av brukervilkår for kvalifiserte sertifikater. Detaljer ble beskrevet innledningsvis i dette notatet.

Min Side er en selvbetjeningstjeneste hos Buypass. Her fås informasjon om alle kundeforhold med oversikt over alle ID’er utstedt fra Buypass CA. Avhengig av sikkerhetsnivå på IDen personen bruker ved pålogging til Min Side vil vedkommende få se informasjon om kun gjeldende ID, eller alle ID’er.

Per dato viser Min Side kun informasjon om Buypass kort og ID’er utstedt sentralt fra Buypass. Du vil se informasjon om kort utstedt via BAS-løsningen, men Min Side gir ikke mulighet for selvbetjening på f.eks. fornyelse av sertifikater på ansattkort etc, kun informasjon om persondata registrert og oversikt over kort og ID’er.