Forslag til Risiko- og sårbarhetsanalyse (ROS-analyse)

En ROS-analyse er en systematisk fremgangsmåte for å identifisere, vurdere og håndtere risikoer og sårbarheter. Dette er et viktig verktøy for å sikre at personopplysninger behandles på en sikker måte. Det kan være vanskelig å utføre når man ikke har grundig kjennskap til hvordan et system virker. Vi har laget noen forslag basert på våre vurderinger. Dere må selv gjøre vurderingene i deres ROS analyse, men se gjerne på vår hvis det er noe dere er usikker på.

Eksempel på ROS-analyse for Glupus

Risiko	Sannsynlighet (1-5)	Konsekvens (1-5)	Vurdering (1-25)	Kommentar	Tiltak
Plattformen går ned	2	1	2	Ved serverproblemer er persondata utilgjengelig. Ingen at dataene som er lagret er av kritisk art. Skulle data gå tapt skal det kunne gjenopprettes fra backup.	Unødvendig
Datalekkasje	1	3	3	Ingen sensitive personopplysninger er lagret. Data kan inneholde informasjon om elevers faglige ferdigheter. Skoletilhørighet kan også være lagret.	Unødvendig
Uautorisert tilgang	1	3	3	Det kan oppstå datalekksasje ved uautorisert tilgang. Læremiddelet har kun ubetydelige muligheter for skadelige aktiviteter ut over dette. Elevers data kan endres, som navn og prestasjoner.	Unødvendig
Kompabilitetsproblemer	3	2	6	Som en nettressurs vil det kunne være noen enheter som ikke kan bruke det tilfredsstillende. Eldre nettlesere eller svært små digitale enheter kan være delvis ukompatible.	Oppgradere enheter til nyere modeller.
Misbruk av læremiddelet	3	2	6	Elever kan forsøke å jukse, og fremstille seg med andre faglige ferdigheter enn de faktisk har. Elever vil ha svært begrensede muligheter til misbruk, men de vil trolig prøve.	Arbeide forbyggende med elever. Kaste elever ut av systemet når misbruk blir oppdaget.
Misbruk av lisenser	2	2	4	Lærere kan dele skolens lisens med andre skoler eller privatpersoner. Dette kan føre til at skolens lisens blir dyrere eller kundeforholdet avsluttes.	Ikke dele lisenser med andre skoler eller privatpersoner.

Data Protection Impact Assessment (DPIA)

En DPIA er en systematisk prosess for å vurdere personvernkonsekvensene av en planlagt behandling av personopplysninger. Dette er et viktig verktøy for å sikre at personopplysninger behandles på en sikker måte.

HUSK: Det er ikke nødvendig å utføre en vurdering av personvernkonsekvenser i situasjoner (det vil si behandlinger som utføres i en spesifikk sammenheng og for et spesifikt formål) som allerede har vært undersøkt. Dette kan være tilfelle når samme type teknologi benyttes til å samle inn samme type opplysninger til samme formål. (kilde:Datatilsynet)

Datatilsynets forslag til hva som skal vurderes:

Med kommentarer fra oss på hvert element

personopplysninger behandles uten rettslig grunnlag

Vi behandler personopplysninger i henhold til GDPR. Vi har rettslig grunnlag for behandlingen av personopplysninger.

personopplysninger behandles på en ikke rettferdig måte

Vi behandler personopplysninger på en rettferdig måte. Vi bruker ikke dataene til noe annet enn det vi sier i vår personvernerklæring. Vi handler i god tro og har ingen villedende praksis når det gjelder personopplysninger.

det ikke er tilstrekkelig åpenhet rundt behandlingen av personopplysninger

Vi er åpne om hvordan vi behandler personopplysninger. Vi har en personvernerklæring som er lett tilgjengelig på vår nettside. Vi informerer om hvordan vi behandler personopplysninger i våre tjenester. Vi beskriver ikke alle de tekniske detaljene i vår løsning for å beskytte mot misbruk.

det samles inn mer personopplysninger enn det som er nødvendig for formålet

Vi samler inn personopplysninger som er nødvendige for å oppfylle formålet med behandlingen. Vi samler ikke inn mer personopplysninger enn det som er nødvendig for å oppfylle formålet. Vi hverken selger eller deler data med andre parter.

personopplysningene som behandles ikke er korrekte

Vi har rutiner for å sikre at personopplysningene som behandles er korrekte. Vi har rutiner for å rette opp feil i personopplysninger. Vi har rutiner for å slette personopplysninger som er feil. Kunder kan rette opp i feil selv. Konsekvensene av at personopplysningene er feil er små.

personopplysninger lagres lengre enn det som er nødvendig for formålet

Vi lagrer personopplysninger så lenge det er nødvendig for formålet. Vi har rutiner for å slette personopplysninger som ikke lenger er nødvendige. Vi har rutiner for å slette personopplysninger som kunder ber om å få slettet. Hvis kunder ikke ber om sletting vil inaktive brukere fjernes etter en gitt tid, og ikke lagres i mer enn høyst to år.

den registrerte ikke får tilstrekkelig informasjon til å gjøre et informert valg

Vi informerer om hvordan vi behandler personopplysninger og til hvilken bruk.

den registrerte ikke får innsyn i hvilke personopplysninger som er lagret

Vi informerer om hvilke personopplysninger som er lagret. Vi gir innsyn på forespørsel, men forsøker å gi tilgang til det meste gjennom vårt system. Noen av brukerene er barn, og disse administreres skolene eller kommunene som er behandlingsansvarlig. Brukere som er barn kan få utlevert sine personopplysninger når de er gamle nok til å kreve innsyn i egne data. Vi gjør ingen forsøk på å skjule nødvendig informasjon om behandling av personopplysninger, hverken for barn eller voksne brukere.

den registrerte ikke får korrigert eller slettet sine personopplysninger

Vi har rutiner for å rette opp feil i personopplysninger. Vi har rutiner for å slette personopplysninger som kunder ber om å få slettet. Hvis kunder ikke ber om sletting vil inaktive brukere fjernes etter en gitt tid, og ikke lagres i mer enn høyst to år. Vi har rutiner for å slette personopplysninger som er feil. Kunder kan rette opp i feil selv.

det ikke er lagt til rette for dataportabilitet

Vi har rutiner for å gi kunder tilgang til sine personopplysninger. Våre data er lagret i formater som kan overføres til andre systemer med moderate tilpassninger. Det finnes ingen tilsvarende systemer med åpen datastruktur som vil gjøre det naturlig å følge en standard for f.eks ferdighetsmåling.

de registrertes rettigheter ikke ivaretas ved profilering

Vi profilerer brukerne basert på faglige ferdigheter for å gi dem tilpassede oppgaver. Vi profilerer ikke brukere for å selge eller dele med profiler tredjeparter. Vi har ikke automatiske systemer for profilering som har juridiske virkninger, og profilene er kun basert på ferdigheter og ikke annen informasjon.

behandlingen kan resultere i diskriminering

Vi behandler personopplysninger på en måte som ikke diskriminerer. Vi lagrer ikke sensitive personopplysninger som kan brukes til diskriminering.

behandlingen begrenser ytringsfrihet og religionsfrihet

Vi behandler ikke personopplysninger som begrenser ytringsfrihet og religionsfrihet. Vi lagrer ikke sensitive personopplysninger som kan brukes til å begrense ytringsfrihet og religionsfrihet.

Databehandleravtale (Basert på DFØ mal/brukes også av Feide)

📄Last ned databehandleravtale(PDF) 📄Last ned databehandleravtale(DOCX) 📄Last ned databehandleravtale(ODT)

Nr.	Sjekkliste Sjekkliste for å sikre at databehandleravtalen er i samsvar med (personopplysningsloven) og personvernfordringen (GDPR) Utarbeidet av Direktoratet for forvaltning og økonomistyring (DFØ) kilde: https://anskaffelser.no/verktoy/maler/verktoy-pa-ssa-mal-databehandleravtale-og-sjekkliste	Ja/Nei	Referanse i DBA
1	Hva databehandler faktisk skal gjøre med personopplysningene	✅	Bilag A – «Databehandlerens behandling av personopplysninger …»
2	Hva som er formålet med behandlingen	✅	Bilag A – «Behandlingen har følgende formål …»
3	Hvor lenge avtalen skal gjelde (trenger ikke å være dato)	✅	Bilag A – «Varighet av behandlingen …» Se også DBA punkt 14 – «Varighet og opphør»
4	Hva slags personopplysninger som behandles	✅	Bilag A – «Typer av personopplysninger …»
5	Hvilke kategorier personer som er registrert (medlemmer, ansatte, kunder, pasienter, elever osv.)	✅	Bilag A – «Kategorier av registrerte …»
6	At din virksomhet (behandlingsansvarlig) er ansvarlig for at behandlingen skjer i samsvar med personvernforordningen og personopplysningsloven	✅	DBA punkt 3 – «Behandlingsansvarliges plikter og rettigheter»
7	At din virksomhet bestemmer hvordan personopplysningene blir behandlet. Dette skal dokumenteres i en skriftlig instruks som legges eller innarbeides i databehandleravtalen. Databehandler skal gi beskjed dersom instruksen er i strid med regelverket	✅	DBA punkt 4 – «Behandlingsansvarliges instrukser …» Bilag C – «Instruks vedrørende behandling av personopplysninger»
8	At din virksomhet kan si opp avtalen dersom databehandler ikke følger regelverket	✅	DBA punkt 13 – «Mislighold og pålegg om stans»
9	I noen tilfeller pålegger norsk lov en bestemt behandling av personopplysninger. Databehandler skal underrette din virksomhet dersom dette gjelder personopplysninger fra din virksomhet	✅	DBA punkt 4.1 – (krav om underretting ved motstrid med gjeldende rett)
10	At databehandler godkjenner alle som skal ha tilgang til personopplysningene, slik at bare autoriserte personer har tilgang. Disse personene er forpliktet til å behandle personopplysningene fortrolig og er underlagt taushetsplikt. Dette skal kunne dokumenteres. Kun personer som har tjenstlig behov for det skal autoriseres	✅	DBA punkt 5 – «Konfidensialitet og taushetsplikt»
11	Hvilke sikkerhetstiltak som skal gjennomføres for å sikre personopplysningene. Kravene til sikkerhetstiltak følger av den risikovurderingen din virksomhet har gjennomført	✅	DBA punkt 7 – «Sikkerhet ved behandlingen» Bilag C – «Sikkerhet ved behandlingen»
12	Når databehandleren ønsker å bruke underleverandører skal dette være godkjent av din virksomhet. Databehandleren skal inngå egne databehandleravtaler med underleverandørene. Disse avtalene skal minimum inneholde de samme forpliktelsene som avtalen din virksomhet har inngått med databehandleren. Det bør framgå at databehandleren er ansvarlig dersom en underleverandør ikke oppfyller sine forpliktelser	✅	DBA punkt 9 – «Bruk av Underdatabehandler» Bilag B – «Betingelser for databehandlerens bruk av underdatabehandlere»
13	At databehandler legger til rette for at registrerte får utøvd sin rett til innsyn, retting, sletting og innsigelse av personopplysninger	✅	DBA punkt 6 – «Bistand til Behandlingsansvarlig»
14	At databehandleravtalen beskriver hva som skal skje med personopplysningene når oppdraget er fullført. Databehandleren skal kunne påvise at personopplysningene inklusive kopier faktisk er slettet eller tilbakelevert etter at oppdraget er avsluttet	✅	DBA punkt 12 – «Sletting og tilbakelevering av opplysninger» Bilag C – «Sletting og tilbakelevering av personopplysninger ved avtalens opphør»
15	At databehandleren gjør det mulig å gjennomføre revisjoner, enten av din virksomhet eller av en uavhengig tredjepart. Din virksomhet skal også få tilgang til nødvendig dokumentasjon	✅	DBA punkt 11 – «Generelt om revisjon» Bilag C – «Rutiner for revisjon og tilsyn»
16	At databehandler treffer alle tiltak som er nødvendig for at personopplysningssikkerheten er i tråd med reglene, og at brudd varsles til databehandlingsansvarlig uten opphold	✅	DBA punkt 8 – «Melding om brudd på personopplysningssikkerheten» Se også Bilag C – «Sikkerhet ved behandlingen»
17	At databehandleren garanterer at lagring og behandling skjer innenfor EØS-området eller i godkjente tredjeland. Overføring til andre tredjestater krever gyldig overføringsgrunnlag etter kapittel V i forordningen	✅	DBA punkt 10 – «Overføring av personopplysninger til land utenfor EØS-området» Bilag C – «Overføring av personopplysninger – Lokasjon for behandling og tilgang»

Personvernerklæring

Her finner du vår personvernerklæring. Denne er laget for å gi deg en forståelse av hvordan vi behandler personopplysninger.

📄Last ned personvernerklæring(pdf) 📄Åpne personvernerklæringen

Personvernerklæringen oppsumert

Vi i Aanestad edTech og Glupus tar håndtering av dine personopplysninger på alvor. Når du registrerer deg eller bruker våre tjenester som Leselekse.no og glupus.no, samler vi inn nødvendige opplysninger som navn og e-post for å tilby deg tilpassede undervisningsverktøy og administrere din brukerkonto. Vi sørger for at dine data oppbevares trygt og kun så lenge det er nødvendig for å oppfylle formålene de ble samlet inn for. Du har full kontroll over dine opplysninger, og du kan når som helst be om innsyn, gjøre endringer eller be oss slette dem. Vi deler ikke informasjonen din med tredjeparter uten ditt uttrykkelige samtykke. Husk å holde deg oppdatert på vår personvernerklæring, men vi gir beskjed hvis det skjer viktige endringer.

Produktdatablad for personvern: GLUPUS.NO

1. Generell produktinformasjon

Produktnavn: Glupus.no, Leselekse.no
Utvikler: Aanestad EdTech
Produkttype: Læringssystem

2. Datahåndtering og lagring

Datainnsamling: navn, e-post(ikke elever), passord(ikke ved bruk av Feide), ferdighetsdata, skole og klassetilhørighet.
Lagringssted: Norge
Datakryptering: SSL kryptering, Passord er kryptert med adaptiv hashing. Ved bruk av Feide lagres ikke passord.

3. Personvernfremmende funksjoner

Tilgangskontroll: Tilgang til persondata holdes innad i den administrative enhet som har lisens (skole, kommune). I tillegg har utviklere med administrative rettigheter tilgang til data lagret i systemets database.
Dataminimering: Glupus samler kun inn informasjon om personer for å kunne enten identifisere (navn, skoletilhørighet) og for å gi læringsanalyse til skole (ferdigheter). Vi samler kun inn epost til voksne kontaktpersoner, som rektorer eller IT-ansvarlig, ved kontakt om kjøp o.l.
Nettverkspolicy: Glupus setter begrensninger på sine nettverkstilkoblinger: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-Frame-Options og strict-origin-when-cross-origin. Vi tillater heller ikke MIME-sniffing.
Brukerrettigheter: Skoler kan slette og administrere elever gjennom administrativt system. Elever som ikke lenger er tilknyttet en skole/kommune kan be om å få sine data slettet/utlevert hvis skolen ikke har gjort det. Alle brukere med administrative roller kan slette seg selv/ få sine data utlevert.
Andre sikkerhetstiltak: Brannmur, autentikasjon og autentisering som bruker oauth.

4. Kompatibilitet med GDPR

Dataoverføringer: Glupus har ingen dataoverføringer med tredjeland, men har mulighet for at kunde selv gjør dette ved bruk av kundens egne leverandører av påloggingstjenester. Som Google/Feide og lignende.
Underleverandører: ProIsp AS huser serveren til Glupus. De er et norsk firma og har serverene i Norge.
Databehandleravtale: Glupus har en forslag til databehandleravtale som er tilgjengelig.
Personvernerklæring: Glupus har en personvernerklæring som er tilgjengelig på nettsiden.

Glupus interne ROS-analyse

Vi har gjennomført en ROS-analyse med tanke på personvern. Dette er en intern analyse som vi har gjort for å sikre at vi behandler personopplysninger på en sikker måte. Vi har vurdert risikoer og sårbarheter, og har satt i verk tiltak for å håndtere disse.

Risiko	Sannsynlighet (1-5)	Konsekvens (1-5)	Vurdering (1-25)	Konsekvens	Tiltak
Nedetid på nettstedet	2	2	4	Kunde mister midlertidig tilgang på produkt. Personopplysninger er utilgjengelige.	Bruke redundante serverløsninger
Brukere lekker personlige data	3	3	9	Personer kan få tilgang til andres personopplysninger.	Dataminimering. Ikke lagre sensitive personopplysninger. Bruk av roller.
Datainnbrudd	2	3	6	Aktører kan få tilgang til persondata som er lagret i databasen.	Autentisering, datavalidering, nettverkspolicy, kryptering
Programvarefeil	2	3	6	Feil i kode kan forårsake datatap eller lekkasje.	Implementere automatisk og manuell testing av sentrale funksjoner.
Misbruk av læremiddelet	3	2	6	Elever også jukse, og fremstille seg med andre faglige ferdigheter enn de faktisk har. Elever vil ha svært begrensede muligheter til misbruk, men de vil trolig prøve.	Arbeide forbyggende med elever. Kaste elever ut av systemet når misbruk blir oppdaget.
Utilstrekkelig brukeropplæring	3	2	6	Lærere eller administratorer kan dele sine eller andre personopplysninger via andre kanaler (f.eks gjennom å ta skjermdump).	Implementere roller og sørge for at bruker kun har nødvendig tilgang til andres opplysninger.
Lekkasje av innstillinger knyttet til universell utforming(UU)	1	5	5	Data relevant til UU kan indikere mot sensitive personopplysninger	Rutiner for testing av UU. Brukerinstillinger lagres ikke på server.

Personvern så enkelt som mulig!