Säker behandlingsmiljö

Skyddad data är exempelvis

• uppgifter som skyddas av statistiksekretess
• företagshemligheter
• personuppgifter.

För att du och din organisation ska kunna tillgängliggöra skyddade data för vidareutnyttjande kan ni använda er av en så kallad säker behandlingsmiljö.

Det här är en säker behandlingsmiljö

En säker behandlingsmiljö är en plattform där en behörig person på ett säkert sätt, ensam eller tillsammans med andra, kan få åtkomst till skyddade data och resurser. Det kan exempelvis vara lämpliga programvaror och hårdvara för att kunna behandla data.

Det ska vara möjligt att få tillgång till resultat av sin bearbetning utan att skyddade data lämnar den säkra behandlingsmiljön. I en säker behandlingsmiljö kan även annan funktionalitet ingå såsom metadata, versionshantering, möjlighet att importera hjälpinformation m.m.

En säker behandlingsmiljö kan vara myndighetens egen. Det kan också vara en miljö hos någon annan, som då kontrolleras av myndigheten som delar skyddade data.

Åtgärder innan data delas

Även om personuppgifter eller andra data ska delas i en säker behandlingsmiljö kan pseudonymisering eller andra tekniska åtgärder behöva vidtas för att ytterligare säkra behandlingen av skyddade data innan de delas.

Innan skyddade data kan tillgängliggöras, i en säker behandlingsmiljö eller på annat sätt, måste det stå klart att data får tillgängliggöras för andra utanför den egna myndigheten. Varje begäran om utlämnande av data ska prövas var för sig. Särskilt viktigt är att utreda på vilket sätt uppgifterna är skyddade, nedan listas några saker att tänka på:

Säkerhetsskyddsklassificerade uppgifter måste skyddas

Om uppgifterna är säkerhetsskyddsklassificerade måste säkerhetsskyddlagstiftningen tillämpas vid en eventuell delning.

Säkerställ att samma behov av skydd och säkerhetsåtgärder finns

Före delning av skyddade data är det lämpligt att säkerställa att mottagaren ser samma behov av skydd och skyddsåtgärder för den information som ska delas. MSB:s föreskrifter för informationsklassning kan tolkas på olika sätt, vilket kan medföra att organisationer använder olika nivåer och därtill tillämpar olika skyddsåtgärder på dessa nivåer.

Delning av personuppgifter kräver extra hänsyn

När personuppgifter delas är det viktigt att klargöra redan från början vilken myndighet eller organisation som är personuppgiftsansvarig för personuppgifterna i den säkra behandlingsmiljön. Eventuellt kan det vara gemensamt personuppgiftsansvar mellan flera myndigheter som behandlar samma data. Ett personuppgiftsbiträdesavtal är oftast nödvändigt.

Vid delning av personuppgifter ska, enligt artikel 32 i dataskyddsförordningen, särskild hänsyn tas till de risker som behandlingen medför. Det gäller i synnerhet för

• oavsiktlig eller olaglig förstöring
• förlust eller ändring
• obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

Om delningen är av stor betydelse i samhällsviktig verksamhet kan ytterligare krav ställas, exempelvis är kontinuitetshantering då av stor vikt.