Steg 4: Vurdere tilgangsnivå
Orden i eget hus innebærer å ha kontroll på hvilke data dere kan dele og hvilke dere må beskytte. I dette steget skal dere vurdere tilgangsnivået og hjemmelsgrunnlaget for datasettene dere har kartlagt.
Som dataforvalter er virksomheten deres ansvarlig for at dataene brukes og deles i samsvar med lover og regler. Det forutsetter at dere har oversikt over hva slags hjemmelsgrunnlag som gjelder for dataene deres – hvilke data som må beskyttes, hvilke som kan gis tilgang til under visse vilkår og hvilke som kan åpnes og brukes fritt.
Når dere er ferdig med dette steget er følgende på plass:
- Dere har identifisert og dokumentert i en oversikt hvilket tilgangsnivå og hjemmelsgrunnlag som gjelder for hvert av datasettene dere har kartlagt.
Andre deler av virksomheten deres har kanskje allerede gjort, eller skal i gang med, vurderinger som er relevante med tanke på tilgangsnivå for data. Det kan for eksempel være i forbindelse med arbeid med informasjonssikkerhet, personvern eller arkiv. Selv om innfallsvinkelen er ulik, er prosessene ganske like. Det er derfor en god idé å samarbeide om vurderingen av tilgangsnivå slik at dere ikke gjentar samme prosesser innad i virksomheten.
Klassifiser datasettene
Det er ulike måter å foreta en tilgangsvurdering på. Mange virksomheter kan allerede ha etablert ulike varianter av kategorier for tilgangsvurdering. For dere som ikke allerede har etablerte kategorier, anbefaler vi trafikklyssystemet. Trafikklyssystemet samsvarer med EUs klassifikasjon for tilgangsstyring og er forholdsvis enkelt å benytte.
Det er en klassifisering av datasett i tre tilgangsnivåer:
- allmenn tilgang («grønn»)
- betinget tilgang («gul»)
- ikke-allmenn tilgang («rød»)
Ta stilling til beskrivelsen av hvert tilgangsnivå i tabellen under og vurder dem opp mot datasettet for å avgjøre hvilket tilgangsnivå datasettet skal ha.
| Tilgangsnivå | Beskrivelse | Eksempler på typer data |
|---|---|---|
| Allmenn tilgang - "Grønn" |
tilgang som hvem som helst kan få Merknad: Tillatte hindringer inkluderer brukerregistrering og forespørsel om API-nøkler, så lenge alle kan få slik registrering og/eller API-nøkler. |
All data som ikke faller innunder de to andre kategoriene. Åpne data. Data med allmenn tilgang som har bruksrestriksjoner (kun ikke-kommersiell bruk, del på samme vilkår, ingen bearbeiding mv.). |
| Betinget tilgang - "Gul" |
tilgang som kun kan fås under visse betingelser bestemt av eieren eller tilbyderen Merknad 1: Eksempler på betingelser kan være betaling eller å inngå fortrolighetsavtale. Merknad 2: Kategorien inkluderer også tilgang som ennå ikke er kategorisert som allmenn tilgang eller ikke-allmenn tilgang. |
Forretningshemmeligheter. Data underlagt opphavsrett. Data hvis tilgang krever betaling eller ekskluderende medlemskap. |
| Ikke-allmenn tilgang - "Rød" |
tilgang som ikke hvem som helst kan få, som følge av lovregulerte begrensninger knyttet til sikkerhet, personvern eller lignende Merknad: Denne kategorien inkluderer tilgang til ressurser som inneholder sensitive data eller personopplysninger. |
Alminnelige personopplysninger. Sensitive personopplysninger. Taushetsbelagte data. Data som har betydning for rikets sikkerhet. |
Husk:
- Klassifiseringen gjelder for hele datasettet og ikke enkeltvis for opplysningene i et datasett.
- Det er alltid opplysningen i datasettet med strengest tilgangsnivå som er utgangspunkt for klassifiseringen. Dersom det er én opplysning som ikke skal gjøres tilgjengelig, må hele datasettet klassifiseres på grunnlag av dette.
- Datasett som kun er beskrevet uten at det eksisterer distribusjoner av data eller en tilknyttet datatjeneste, skal ikke kategoriseres med «allmenn tilgang». Resonnementet er at inntil datasettet faktisk er tilgjengelig for hvem som helst, er tilgangen «betinget».
- Deler av et datasett som har «betinget» eller «ikke-allmenn» tilgang («gul» eller «rød»), kan i noen tilfeller gjøres allment tilgjengelig som «grønne» data. Det gjør dere ved å fremstille et utsnitt av datasettet der konfidensiell informasjon enten er fjernet eller anonymisert. Ta dette med i vurderingen av «gule» og «røde» datasett.»
- «Åpne data» er ikke en del av vokabularet i trafikklyssystemet. I Felles datakatalog kan dere avgjøre hva som er åpne data ut fra kravet om å bruke åpne standardlisenser for datasettet.
- Datasett som klassifiseres som «rødt», skal likevel beskrives (steg 5) og beskrivelsene tilgjengeliggjøres (steg 6).
Identifiser hjemmelsgrunnlaget
For datasett som klassifiseres som «gule» eller «røde», anbefaler vi å dokumentere lovhjemmel/lovhjemler for hvorfor det aktuelle datasettet ikke kan klassifiseres som «grønne data». Det innebærer at dere spesifiserer hvilke hjemler som ligger til grunn for innsamlingen og bruken av datasettet og henviser til den lovformuleringen som regulerer bruken av datasettet, for eksempel i Lovdata. Her kan det være lurt å samarbeide med jurister og informasjonssikkerhetsansvarlige i egen virksomhet.
Ytterligere anbefalinger
- Informasjonssikkerhet: Vurderingen av tilgangsnivå kan benyttes til å identifisere behov knyttet til informasjonssikkerhet. Ved å følge Digdirs veiledning om foranalyse av et ansvarsområde skal man blant annet foreta en vurdering av taushetsplikt og konfidensialitetsbehov knyttet til informasjonen.
Nyttige ressurser og verktøy
- Å vurdere tilgangsnivå krever at dere tar stilling til hva slags personopplysninger dere besitter. Det vil da være nyttig å sette seg inn i Datatilsynets forklaring og eksempler på hva en personopplysning er og hva som klassifiseres som sensitive personopplysninger.
- For å behandle personopplysninger må dere ha et rettslig grunnlag og et formål – hvis ikke, er behandlingen ulovlig. Dette kalles behandlingsgrunnlag. For veiledning på dette området, les Datatilsynets føringer for fastsetting av formål og gjennomgang av de ulike behandlingsgrunnlagene og når de gjelder.
- Bruk gjerne funksjonen for behandling av personopplysninger i Felles datakatalog (bruk av funksjonen forutsetter at dere har tilgang).