What s

Transcriptie

1 What s UPDATE OPT-IN OPT-OUT Eefje van der Harst - Productmanager

2 Oude situatie: opt-in Elke IdP moet voor elke SP die beschikbaar komt expliciet toestemming geven voor vrijgave attributen

3 Voor- en nadelen opt-in Voordelen IdP in control Nadelen: Diensten komen met vertraging beschikbaar voor eindgebruikers Onduidelijk voor gebruikers waarom dienst niet (eerder) beschikbaar is Onduidelijk voor SP s waarom niet alle IdP s/ gebruikers bereikt worden Drempel voor instellingsoverstijgende samenwerking

4 Oorspronkelijke wens Online services: waarvan in SURF-verband is vastgesteld dat hier behoefte aan is; en waarover met de betreffende leverancier afspraken zijn gemaakt door het SURFmarket, die in lijn zijn met de eisen die SURF hier aan stelt; zijn automatisch (na eventuele betaling door een eindgebruiker of instelling) beschikbaar voor de gehele SURF-achterban.

5 Dus wat zijn we gaan doen: Ontwikkelen SURFconext Dashboard Ontwikkelen juridisch normenkader ism juristen van hogescholen & universiteiten Verbeteren uitwisseling informatie tussen SURFmarket & SURFnet

6 SURFconext Dashboard: instelling in control

7 SURFconext Dashboard: instelling in control

8 HO-Normenkader: 10 gouden regels (1) Norm 1. Verwerking vindt plaats in opdracht van de verantwoordelijke 2. Adequate beveiliging 3. Beveiligingsincidenten 4. InternaAonale uitwisseling 5. Bewaartermijnen en verwijderen van gegevens Toelich,ng Hiermee wordt beoogd dat persoonsgegevens van de instelling alleen worden verwerkt voor zover dat noodzakelijk is om de clouddiensten aan de instelling te leveren. Het gaat hierbij zowel over beveiliging tegen dataverlies als over bescherming van de toegang tot persoonlijke gegevens door onbevoegden. De beveiligingsmaatregelen met betrekking tot persoonsgegevens moeten worden omschreven in het contract en de leverancier moet de instelling in staat stellen om erop toe te zien of hij zijn verplichang tot adequate beveiliging nakomt. De Service Provider moet de instelling onmiddellijk informeren over beveiligingsincidenten en de mogelijke impact daarvan. Zonder expliciete toestemming mag de Service Provider de persoonsgegevens niet verwerken in een land zonder een 'passend beschermingsniveau'. De Service Provider mag de persoonsgegevens niet langer bewaren dan noodzakelijk om de diensten aan de instelling te leveren en zal ervoor zorgen dat de instelling de persoonsgegevens bij het einde van de overeenkomst weer kan terughalen. De persoonsgegevens moeten daarna worden verwijderd uit de systemen van de Service Provider.

9 HO-Normenkader: 10 gouden regels (2) 6. Onderaanneming 7. Verstrekken aan derden, inclusief autoriteiten 8. TransparanAe naar gebruikers 9. Waarborgen rechten van gebruikers 10.Verwerking in overeenstemming met de Wbp en aansprakelijkheid. De Service Provider schakelt alleen onderaannemers in met wie hij een schrioelijke overeenkomst heeo gesloten waarin geheimhouding- en beveiligingsverplichangen zijn opgenomen. Zonder toestemming van de instelling mag de Service Provider derden geen toegang geven tot de persoonsgegevens. Als een autoriteit aan de Service Provider persoonsgegevens vraagt, dan moet hij: 1. de instelling onmiddellijk informeren, 2. de instelling in staat stellen om zijn rechten te verdedigen, en 3. alle medewerking verlenen om de toegang zo beperkt mogelijk te houden De Service Provider werkt mee aan verzoeken van betrokkenen (bijv. studenten) om inzage en correcae van hun persoonsgegevens en publiceert de van toepassing zijnde privacy policy. De Service Provider werkt mee aan verzoeken van betrokkenen (bijv. studenten) met betrekking tot de rechten die de wet aan de betrokkenen toekent zoals inzage en correcae van hun persoonsgegevens. Als de naleving van de Wbp als een contractuele verplichang is opgenomen, kan de onderwijsinstelling het contract makkelijker beëindigen en/of schadevergoeding vorderen.

10 Waar staan we nu? HO Normenkader zo goed als vastgesteld*) Discussie loopt: Bindend of comply or explain? SURFconext Dashboard operationeel + verdere doorontwikkeling (geautomatiseerd) uitwisselen van informatie tussen SURFmarket & SURFnet blijkt complex Implementatie-inspanningen opt-out wegen niet op tegen toegevoegde waarde

11 Next steps Na vaststelling HO Normenkader borgen in contracten SURFmarket SURFconext Dashboard verdere doorontwikkeling Nauwkeuriger licentie-informatie Contactpersonen binnen instelling met elkaar verbinden verkorten doorlooptijd door verder optimaliseren processen Betere filter opties oa. nieuwe services Verbeteren (geautomatiseerde) uitwisseling van informatie tussen SURFmarket & SURFnet Tot slot: onderzoeken wat de Entity Categories van REFEDS kunnen betekenen voor instellingen

12 Entity Categories Groeperen van services die aantal criteria delen in een Entity Category Services in zo n Entity Category moeten voldoen aan alle gestelde eisen Doel: vereenvoudig beslissing voor IdP Niet de dienst, maar de categorie is leidend bij attribute release y/n Voorbeelden van Entity Categories: Research & Scholarship Edugain Code of Conduct Library services Meer info:

13 Vragen? Eefje van der Harst