Inbyggd integritet och policyer för datalagring

Privacy by Design (PbD) är ett ramverk som utvecklades av Ann Cavoukian på 1990-talet och som behandlar integritet som ett grundläggande arkitekturkrav, inte som något man lägger till i efterhand. I stället för att lägga till integritetskontroller efter att ett system har byggts integrerar PbD dem redan i det första designbeslutet. Artikel 25 i GDPR fastställde formellt PbD som ett rättsligt krav för system som riktar sig till EU och kräver dataskydd genom design och som standard — vilket innebär att standardinställningarna alltid måste vara det mest integritetsskyddande tillgängliga alternativet.

Cavoukians sju principer är: Proaktiv, inte reaktiv — förutse och förebygg integritetshändelser innan de inträffar. Integritet som standard — ingen åtgärd från användaren ska behövas för att skydda integriteten. Integritet inbyggd i designen — den ska inte läggas till som ett separat lager. Full funktionalitet — integritet ska inte kräva kompromisser med säkerhet eller funktionalitet. Säkerhet från början till slut — skydd under hela livscykeln, från insamling till kassering. Synlighet och transparens — verksamheten ska vara öppen för oberoende verifiering. Respekt för användarens integritet — användarcentrerade kontroller och starka standardinställningar.

Privacy by default innebär att de mest integritetsskyddande inställningarna är aktiva direkt från början — användare ska inte behöva välja bort datainsamling eller begränsa delning; i stället ska delning kräva ett aktivt samtycke. Praktiska exempel: en profil på sociala medier bör som standard vara privat, inte offentlig; ett analysverktyg bör som standard samla in så lite data som möjligt; en app bör som standard inte begära åtkomst till platsinformation. PbD-principerna kräver att ingenjörer gör integritetsskyddande val automatiska i stället för att förlita sig på användarnas medvetenhet.

Dataminimering är en PbD-princip och ett rättsligt krav enligt GDPR: samla endast in de personuppgifter som är absolut nödvändiga för det angivna ändamålet. Innan en funktion byggs bör ingenjörer fråga: 'Behöver vi verkligen det här fältet?' Vanliga tekniker för minimering är att samla in härledda värden i stället för rådata (åldersintervall i stället för födelsedatum), använda pseudonymisering (ersätta direkta identifierare med token) och införa anonymisering när analys på individnivå inte behövs. Data som ni aldrig samlar in kan inte utsättas för dataintrång.

Pseudonymisering ersätter direkt identifierande data med en artificiell identifierare (token), samtidigt som mappningstabellen bevaras så att återidentifiering är möjlig med nyckeln. GDPR erkänner pseudonymisering som en teknik för riskminskning, men pseudonymiserade data är INTE undantagna från GDPR — de är fortfarande personuppgifter. Anonymisering avlägsnar permanent möjligheten att identifiera individer. Verkligt anonyma data faller utanför GDPR:s tillämpningsområde, men äkta anonymisering är tekniskt svårt — många datamängder som påstås vara anonyma kan återidentifieras med hjälp av kompletterande data eller inferensattacker.

En Privacy Impact Assessment (PIA), som enligt GDPR kallas Data Protection Impact Assessment (DPIA), utvärderar integritetsrisker innan ett nytt system eller en ny process lanseras. GDPR kräver DPIA när behandlingen sannolikt medför hög risk — exempelvis vid behandling av känsliga data i stor skala, systematisk profilering eller användning av ny teknik. En DPIA dokumenterar: behandlingens ändamål, en bedömning av nödvändigheten, identifierade risker och åtgärder för riskminimering. Om en DPIA slutförs tidigt kan kostsam omdesign efter att systemen har byggts undvikas.

En policy för datalagring anger hur länge varje kategori av data ska sparas innan den måste kasseras på ett säkert sätt. Beslut om lagring balanserar två motstridiga behov: att spara data tillräckligt länge för att uppfylla rättsliga krav, verksamhetskrav och revisionskrav, men inte så länge att den blir en onödig risk. GDPR:s princip om lagringsbegränsning kräver att data raderas när den inte längre behövs för det ursprungliga ändamålet. Lagringsscheman måste dokumenteras och tillämpas tekniskt genom automatiserade raderingsjobb och inställningar för när arkiv löper ut.

Lagringsscheman måste ha en undantagsmekanism för legal holds. När en rättstvist förutses eller har inletts är organisationer skyldiga att bevara alla potentiellt relevanta data, oavsett normala lagringsscheman. Om data förstörs trots ett legal hold kan det utgöra bevisförstöring och leda till negativa domstolsbeslut eller sanktioner. Programvara för legal holds lägger en teknisk bevarandemarkering på berörda data och förhindrar automatiserad radering tills juristteamet häver markeringen. Legal holds måste spåras och dokumenteras under hela giltighetstiden.

När data når slutet av sin lagringsperiod måste den förstöras på ett sätt som gör återställning omöjlig. För digitala data finns följande metoder: kryptografisk radering (om krypteringsnycklarna förstörs blir chiffertexten oanvändbar), avmagnetisering (för magnetiska lagringsmedier), säker överskrivning (NIST SP 800-88 Clear eller Purge) eller fysisk förstöring (strimling, förbränning). Organisationer bör utfärda förstöringsintyg — särskilt vid förstöring av lagringsmedier genom en tredje part — som bevis vid efterlevnadsrevisioner. För molnlagring är kryptografisk radering vanligtvis den enda praktiskt genomförbara metoden.

Organisationer som förlitar sig på samtycke som rättslig grund måste upprätthålla samtyckesregister som visar: vem som samtyckte, när samtycket lämnades, vilken specifik behandling det gällde och genom vilken mekanism. Dessa register måste bevaras så länge behandlingen pågår samt under en rimlig tid därefter för att hantera eventuella tvister. Plattformar för samtyckeshantering (CMP:er) automatiserar samtycke till cookies, insamling av inställningar och återkallande av samtycke. Ett granskningsspår över ändringar av samtycken är avgörande — om en användare återkallar sitt samtycke men organisationen fortsätter att behandla uppgifterna står organisationen inför ett betydande GDPR-ansvar.

Privacy by design i praktiken innebär att arkitekter ställer integritetsfrågor redan under designfasen. Föredra server-side rendering framför analysbeacons på klientsidan. Använd tokenisering i stället för att lagra råa kortnummer. Tillämpa kryptering på kolumnnivå i databaser för känsliga fält. Utforma lager för dataåtkomst som säkerställer att varje fråga endast får tillgång till de data som behövs. Lagra personligt identifierbar information i ett separat databasschema med striktare åtkomstbegränsningar. Tillämpa differentiell integritet på analysresultat. Dessa val bygger tillsammans ett system som är genuint svårt att utnyttja, även för insiderhot.

I den här lektionen lärde ni er att Privacy by Design integrerar integritet i system från början genom sju grundläggande principer, bland annat att integritet ska vara standardinställningen, att dataminimering och pseudonymisering minskar värdet av data för angripare samtidigt som analys fortfarande möjliggörs, och att policyer för datalagring balanserar rättsliga skyldigheter mot risken med onödig lagring genom säker förstöring när data inte längre behövs. Nästa avsnitt handlar om slutpunktssäkerhet: antivirus samt EDR- och XDR-plattformar.