GDPR i Azure

General Data Protection Regulation (GDPR) är en EU-förordning som reglerar hur personuppgifter om personer bosatta i EU ska samlas in, lagras, behandlas och skyddas. Den gäller för alla organisationer världen över som behandlar personuppgifter om personer i EU — inte bara företag baserade i Europa. Överträdelser av GDPR kan leda till böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket belopp som är högst.

GDPR bygger på sex dataskyddsprinciper som måste tillämpas på all behandling av personuppgifter:

• Laglighet, korrekthet och öppenhet — ha en rättslig grund för behandlingen
• Ändamålsbegränsning — samla endast in data för angivna ändamål
• Uppgiftsminimering — samla endast in det som är nödvändigt
• Korrekthet — håll uppgifterna uppdaterade
• Lagringsbegränsning — radera uppgifter när de inte längre behövs
• Integritet och konfidentialitet — skydda data mot obehörig åtkomst

GDPR kräver att personuppgifter om personer bosatta i EU inte överförs till länder utanför EU/EES om inte ett tillräckligt skydd finns på plats. I Azure ska ni se till att resurser som behandlar personuppgifter från EU distribueras i europeiska regioner (t.ex. West Europe, North Europe, Germany West Central). Azures regionpar säkerställer att data stannar inom samma geografiska område. Inaktivera dessutom geo-replikering till regioner utanför EU om inte skyddsåtgärder för överföringen (standardavtalsklausuler) finns på plats.

GDPR-principen om integritet och konfidentialitet kräver lämpliga tekniska åtgärder, däribland kryptering. I Azure gäller följande:

• Kryptering i vila — all Azure-lagring (Blob, SQL, Cosmos DB) krypterar data i vila som standard med AES-256
• Kryptering under överföring — tvinga fram HTTPS/TLS för all kommunikation och inaktivera HTTP-slutpunkter
• Kundhanterade nycklar — använd Azure Key Vault för att hantera era egna krypteringsnycklar om ni behöver högre kontroll, i stället för att förlita er på Microsoft-hanterade nycklar

Enligt artikel 17 i GDPR har individer rätt till radering (även kallad ”rätten att bli bortglömd”) — rätten att begära att deras personuppgifter raderas. Er applikation måste stödja detta genom att lokalisera alla personuppgifter för en användare i alla Azure-tjänster (SQL Database, Blob Storage, Cosmos DB, Log Analytics med flera) och radera dem på begäran. Microsoft Purview-datakartor kan hjälpa till att identifiera var personuppgifter lagras.

Artikel 20 i GDPR ger individer rätt till dataportabilitet — rätten att få sina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format (t.ex. JSON eller CSV) och att överföra dem till en annan personuppgiftsansvarig. Er applikation måste kunna exportera alla personuppgifter som är kopplade till en användare på begäran. Azure-tjänster som Azure Data Factory kan automatisera extrahering och paketering av personuppgifter för portabilitetsbegäranden.

Artikel 33 i GDPR kräver att personuppgiftsincidenter rapporteras till den relevanta tillsynsmyndigheten (DPA) inom 72 timmar från det att ni blev medvetna om incidenten. Artikel 34 kräver att berörda personer informeras om incidenten innebär en hög risk för deras rättigheter. I Azure hjälper Microsoft Defender for Cloud och Microsoft Sentinel till att snabbt upptäcka intrång, medan dokumenterade rutiner för incidenthantering säkerställer att tidsfristen på 72 timmar för aviseringar kan hållas.

När ni använder Azure för att behandla personuppgifter från EU agerar Microsoft som personuppgiftsbiträde och er organisation är personuppgiftsansvarig. Microsofts Data Protection Addendum (DPA) är det avtalsdokument som reglerar hur Microsoft behandlar personuppgifter för er räkning. DPA ingår genom hänvisning i Microsoft Customer Agreement och uppfyller GDPR:s krav på ett skriftligt avtal mellan personuppgiftsansvarig och personuppgiftsbiträde.

GDPR:s krav på åtkomstkontroller innebär att endast behörig personal ska få åtkomst till personuppgifter. Implementera Azure RBAC enligt principen om minsta privilegium — ge användare endast de specifika behörigheter de behöver för att utföra sitt arbete, inte omfattande administratörsåtkomst. Använd Privileged Identity Management (PIM) för just-in-time-åtkomst till databaser som innehåller personuppgifter och logga all åtkomst till känsliga data i Azure Monitor för granskningsändamål.

GDPR:s princip om lagringsbegränsning kräver att personuppgifter inte sparas längre än nödvändigt. Implementera livscykelhanteringsprinciper för Azure Blob Storage för att automatiskt flytta eller radera data efter en angiven lagringsperiod. För databaser schemalägger ni automatiserade lagrade procedurer som rensar poster som är äldre än lagringsprincipen. Dokumentera era lagringsscheman i en policy för lagring av dokumentation och använd Azure Policy för att tillämpa den.

För högriskaktiviteter som innefattar behandling av personuppgifter kräver artikel 35 i GDPR en konsekvensbedömning avseende dataskydd (DPIA) innan behandlingen påbörjas. En DPIA analyserar systematiskt behandlingsaktiviteten, identifierar risker för enskildas rättigheter och dokumenterar de riskreducerande åtgärder som finns på plats. Azure:s verktyg för hotmodellering och resultaten från Purviews dataklassificering kan ge värdefulla underlag till en DPIA.

I den här lektionen har ni lärt er att GDPR gäller för alla organisationer som behandlar personuppgifter om personer bosatta i EU och kräver laglig behandling, säkerhetsåtgärder och anmälan av personuppgiftsincidenter; viktiga tekniska åtgärder omfattar datalagring i EU-regioner, kryptering i vila och under överföring samt automatiserade lagringsprinciper; och att Microsofts tillägg för dataskydd reglerar hur Azure behandlar era personuppgifter som personuppgiftsbiträde. Härnäst utforskar vi Cloud Adoption Framework för företagsmigreringar.