Reglene for enhver virksomhet i EU og EØS

Hva loven sier

GDPR gjelder direkte i alle EU-land, og i Norge og Island gjennom EØS-avtalen. Hvert land legger til egne nasjonale regler og utpeker sin egen tilsynsmyndighet. Ved brudd på personopplysningssikkerheten melder den behandlingsansvarlige fra til tilsynsmyndigheten uten ugrunnet opphold og om mulig innen 72 timer etter å ha blitt kjent med bruddet, med mindre det er lite sannsynlig at bruddet medfører risiko for personer (art. 33).

Hva Fundarem gjør

Dere er behandlingsansvarlig for dataene deres. Der vi drifter eller støtter installasjonen deres, er vi databehandler for dere, med en skriftlig databehandleravtale (art. 28). Etter den avtalen varsler vi dere om et brudd uten ugrunnet opphold, og innen 72 timer, med det vi vet, og vi hjelper til med meldingen. Dere bestemmer om tilsynsmyndigheten skal varsles.

Hva loven sier

KI-forordningen setter regler for KI-systemer i EU og innføres trinnvis fra 2025. EU-landene bruker den direkte som en EU-forordning; i Norge og Island gjelder den når den er tatt inn i EØS-avtalen og nasjonal lov.

Hva Fundarem gjør

Fundarem er et generelt integrasjonsverktøy, ikke bygget eller markedsført for noen høyrisikobruk. Hver handling en agent foreslår, merkes og logges, og skrivekontroll settes per handling av IT-ansvarlig. Planlegger dere en høyrisikobruk, for eksempel å rangere jobbsøkere? Si fra til oss først.

Hva loven sier

I Schrems II-dommen av 16. juli 2020 slo EU-domstolen fast at personopplysninger som sendes ut av EU, må ha et beskyttelsesnivå som i det vesentlige tilsvarer det i EU. Domstolen kjente Privacy Shield-ordningen mellom EU og USA ugyldig og standardkontraktsbestemmelsene gyldige, men den behandlingsansvarlige eller databehandleren som bruker dem, må i hvert enkelt tilfelle kontrollere at mottakerlandets lov gir det beskyttelsesnivået, legge til tiltak der det trengs, og ellers stanse eller avslutte overføringen.

Hva Fundarem gjør

Produktet er designet for å kjøre i deres egen Azure-leietaker, i en EU/EØS-region dere velger, og for å holde alle lagrede data der; det er designet slik at vi ikke overfører lagrede data ut av EU/EØS. Modellen dere velger, avgjør hvor en forespørsel behandles: med standardmodellen behandles forespørselen, med kolonnene som er merket for maskering erstattet av plassholdere, utenfor EU/EØS; en EU-modell behandler den bare innenfor EU, og en modell dere drifter selv, i deres egen region. Enhver fremtidig overføring ut av EU/EØS krever instruks fra dere og et overføringsgrunnlag etter GDPR kapittel V: en beslutning om tilstrekkelig beskyttelsesnivå eller standardkontraktsbestemmelser.

Hva loven sier

NIS2 gjelder for virksomheter av typene vedleggene lister opp, i sektorer som energi, transport, helse, digital infrastruktur, industri og digitale tjenester, som er mellomstore eller større, og for noen uansett størrelse (art. 2). De skal sette i verk tiltak for å styre cybersikkerhetsrisiko (art. 21) og melde en betydelig hendelse i tre trinn: et tidlig varsel innen 24 timer, en hendelsesmelding innen 72 timer og en sluttrapport innen en måned (art. 23). Som direktiv gjelder det gjennom hvert lands egen lov, så om det omfatter virksomheten deres, avhenger av den loven.

Hva Fundarem gjør

Fundarem avgjør ikke om NIS2 gjelder for dere, og dokumentene våre gjengir bare hva direktivet sier. Der det gjelder, er pliktene, som å styre cybersikkerhetsrisiko og å melde betydelige hendelser, deres etter landets egen lov. Det produktet registrerer, i deres egen Azure-leietaker: en historikk over hver endring i dataene, der ingenting overskrives. Det fører også en revisjonslogg over hvert verktøykall en agent gjør: hvem, hva, når og utfallet.