Vurder tilgang til sensitive felt i økonomiuttrekk
Velg felt etter formålet med uttrekket, og kontroller at fritekst og vedlegg ikke følger med uten vurdert behov.
Et økonomiuttrekk kan inneholde mer enn beløp og dato. Kundenavn, ansatte, vedlegg og fritekst kan røpe opplysninger som rapportoppgaven ikke trenger. Lesetilgang må vurderes både som tilgang til poster og som tilgang til felter.
Syntetisk feltvurdering
En lokal analyse skal vise kostnader per prosjekt og måned. Ingen virkelige personopplysninger brukes i testen.
| Feltgruppe | Behov i analysen | Forslag til behandling |
|---|---|---|
| Prosjektnøkkel, dato, beløp | Nødvendig | Behold i avtalt omfang |
| Ansattnavn | Ikke nødvendig for totalsummen | Utelat der støttet |
| Bilagsfritekst | Kan inneholde persondata | Vurder før uthenting |
| Originalvedlegg | Ikke nødvendig for grafen | Hold utenfor analyseleveransen |
Dersom tre prosjektposter er 2 000, 3 000 og 5 000 kroner, kan totalen 10 000 beregnes uten ansattnavn. Det betyr ikke at navn aldri er nødvendig i en annen kontroll; vurderingen følger formålet.
Kontroller hvor begrensningen skjer
Undersøk om leverandøren støtter feltvalg eller egne rettigheter. Hvis klienten mottar sensitive felt og fjerner dem etterpå, har dataene allerede passert klientens minne, nettverk og eventuelle logger. Serverbasert begrensning og lokal filtrering har ulike virkninger.
Datatilsynets personvernprinsipper omfatter dataminimering. Bruk prinsippet til å formulere en konkret feltliste, ikke en vag beskjed om å «ta hensyn til personvern».
Fritekst krever særlig oppmerksomhet. Et felt som heter beskrivelse, kan inneholde både ufarlig prosjektnavn og en sensitiv detalj. Feltets tekniske datatype forteller ikke om innholdet er relevant for analyseformålet. Vedlegg kan ha enda bredere innhold enn den strukturerte posten.
Beslutning før uthenting
- Dokumenter analysens spørsmål og nødvendige felt.
- Prøv en syntetisk fritekst med uønsket detalj.
- Kontroller råsvar, mellomlagring og feilmeldinger.
- Avklar mottakere og videre deling av analysegrunnlaget.
- Sett en relevant regel for lagring og sletting.
Godkjenn uttrekket når feltomfanget kan forklares og utilsiktede kopier er håndtert. Hvis API-et bare tilbyr et bredt svar, må mottakerens behandling og risiko være synlig i beslutningen.
Ved vurdering av ReAI bør virksomheten be om avklaring av hvilke felt den aktuelle ressursen leverer og hvilke begrensninger som støttes. Veiledningen hevder ingen generell felttillatelsesfunksjon.
Kontroller eksporten til analyseverktøyet etter lokal filtrering, ikke bare API-svaret. Et verktøy kan legge til forklarende felter fra en annen datakilde. Feltlisten må dermed vurderes for den leveransen som mottakeren faktisk får.
Se eksporttillatelse og klinikkdata for to situasjoner der feltomfang er avgjørende.
Tilgang til et felt avgjør ikke hele bilagets behandlingskjede når dokumenter går videre til andre aktører. Kartlegg hvilke datatyper hver mottaker faktisk får og hvordan formål og relevant avtalegrunnlag følger delingen.