Hvilke datakvalitetskrav bør stilles ved migrering?

Datakvalitet ved migrering er også et databeskyttelsesspørgsmål

En migrering flytter personoplysninger fra kildesystem til målsystem. Datakvalitetskrav skal derfor dække begge sider: oplysningerne skal ind retvisende, kunne findes igen, og data, som formålet ikke kræver, må ikke følge med.

Datatilsynet vejleder om grundlæggende principper, behandlingsgrundlag, registreredes rettigheder, sletning, rollefordeling, behandlingssikkerhed samt anmeldelse af brud. Tilsynet fører tilsyn med, at myndigheder, virksomheder og andre dataansvarlige overholder reglerne.

Datatilsynets vejledningssider omfatter blandt andet 'Grundlæggende om GDPR', 'Grundlæggende principper', 'Behandlingsgrundlag', 'Registreredes rettigheder', 'Indsigt', 'Oplysningspligt', 'Sletning' og 'Tidsfrister og krav'.

Også 'Dataansvarlig og databehandler', 'Rollefordeling', 'Fortegnelse', 'Behandlingssikkerhed', 'Anmeldelse af brud', 'Håndtering af brud på persondatasikkerheden', 'Risikovurdering' og 'Konsekvensanalyse'. Datatilsynet opdaterer og producerer løbende vejledninger; de nævnte sider er blandt tilsynets vejledningssider.

Kravene bør være testbare kriterier, ikke hensigtserklæringer. For hvert felt i målsystemet skal det fremgå, hvilket kildefelt det kommer fra, hvilke værdier der er gyldige, hvad der sker med tomme eller ugyldige værdier, og hvordan opfyldelsen dokumenteres efter migreringen.

Kravene nedenfor er stillet felt for felt og har fire led: felt, acceptkriterium, ansvarlig og hjemmel. Hjemmelen ligger i databeskyttelsesforordningen og § 4 i databeskyttelsesloven samt i Datatilsynets vejledningssider om principperne, behandlingssikkerheden, sletning, tidsfrister og krav, risikovurdering og konsekvensanalyse. Uden et hjemmelled kan et feltkrav ikke skelnes fra en præference.

Et acceptkriterium er de betingelser, der skal opfyldes, for at en funktion, en brugerhistorie eller en leverance kan betragtes som færdig og godkendt. Acceptkriterier fungerer både som kravspecifikation og som grundlag for testning.

Acceptkriterier kan dokumenteres i Microsofts udviklingsværktøjer som Azure DevOps og GitHub Projects, hvor de kan indgå som tjekliste og automatiserede testtilfælde via CI/CD-pipelines. Mønsteret kan være given–når–så, kendt fra agile metoder som Extreme Programming (XP) og Scrum.

Efter databeskyttelsesloven § 4 gælder loven for behandling af personoplysninger, der foretages som led i aktiviteter for en dataansvarlig. En migrering ændrer ikke dette udgangspunkt.

Datatilsynet har desuden offentliggjort retningslinjer for lokalarkivers behandling af personoplysninger (november 2022). Det er et dansk eksempel på sektorspecifikke krav til bevaring, som en migrering skal kunne henvise til, når en post ikke slettes.

Styrelsen for Patientsikkerhed er et konkret eksempel på en dataansvarlig med mangeartede oplysningstyper. Styrelsen behandler en bred vifte af personoplysninger og følsomme oplysninger, herunder helbredsoplysninger, blandt andet ved tildeling og fratagelse af autorisation, tilsyn med sundhedspersoner, indberetning af utilsigtede hændelser og opbevaring af patientjournaler.

I sådanne miljøer er kvalitetskravene ved migrering samtidig krav om, at helbredsoplysninger ikke forvrænges, blandes sammen eller bliver utilgængelige.

'Ansvarlig' er i denne artikel den dataansvarlige, og rollen bør suppleres med et navn og en funktion pr. feltkrav. Styrelsen for Patientsikkerhed viser en navngiven indgang: Att.: Informationssikkerhed, Islands Brygge 67, 2300 København S, telefon 72 28 66 00, e-mail [email protected].

Retvisende og opdaterede oplysninger efter migrering

Rigtighed er et centralt kvalitetskrav. I migreringen omsættes det til kontrol før, under og efter flytningen.

For kravene her gælder forordningen og § 4 i databeskyttelsesloven, suppleret af Datatilsynets vejledning om de grundlæggende principper, herunder rigtighed. Styrelsen for Patientsikkerhed behandler helbredsoplysninger ved tildeling og fratagelse af autorisation, tilsyn med sundhedspersoner, indberetning af utilsigtede hændelser og opbevaring af patientjournaler.

Før: Udtræk en stikprøve fra kildesystemet, og definér den korrekte værdi for hvert felt, herunder datoformater, tegnsæt, navnefelter med mellemrum og særtegn, koder og klassifikationer, enheder og præcision på tal.

Under: Kør migreringen på et afgrænset datasæt, og sammenlign felt for felt. Efter: Afstem antal poster og summer mellem kilde og mål, og undersøg forskelle, før kilden lukkes eller gøres skrivebeskyttet.

Typiske fejlkilder skal have et eksplicit krav: afkortning af fritekstfelter, tab af linjeskift og diakritiske tegn, ombytning af dag og måned, tidszoneforskydning på tidsstempler, sammenlægning af personer ved dubletter og overskrivning af den nyeste værdi med en ældre. For hvert punkt bør der være et acceptkriterium og en navngivet ansvarlig for at godkende afvigelser.

Hvert acceptkriterium skal angive, hvordan kvaliteten måles, og kunne omsættes direkte til et testscenarie. Feltlisten bør derfor have en kolonne til hjemmel, så hvert krav kan spores til den regel eller det princip, der begrunder det.

Dato: datoformater kontrolleres, og dag/måned må ikke ombyttes. Ejer: dataansvarlig.

Navn: mellemrum og særtegn bevares. Ejer: dataansvarlig.

Fritekst og notat: fritekst afkortes ikke, og linjeskift og diakritiske tegn bevares. Ejer: dataansvarlig.

Tidsstempel: tidsstempler har samme tidszone og bevares for hver post. Ejer: dataansvarlig.

Personidentifikator: dubletter sammenlægges ikke, og nyeste værdi overskrives ikke med ældre. Ejer: dataansvarlig.

Markering af følsomme oplysninger: markeringen findes i målsystemet for alle poster, hvor kilden har den. Ejer: dataansvarlig.

Sagsnummer: nummeret bevares, så posten kan knyttes til sagsbehandling. Ejer: dataansvarlig.

Koder og klassifikationer: de oversættes eller bevares, så værdien er gyldig i målsystemet. Ejer: dataansvarlig.

Tal og enheder: enheder og præcision bevares. Ejer: dataansvarlig.

Tomme og ugyldige værdier: de afvises eller håndteres efter en navngivet regel. Ejer: dataansvarlig.

Den ansvarlige for hvert af kravene ovenfor er den dataansvarlige. Den dataansvarlige bør samtidig udpege en navngiven ejer, der kan godkende en afvigelse på feltet, og føre navnet ind i dokumentationen.

Efterkontrol bør også omfatte oplysninger, der styrer rettigheder og sagsbehandling i målsystemet. Migreres en post uden tidsstempel, markering af følsomme oplysninger eller sagsnummer, kan oplysningen være teknisk intakt, men reelt kun i begrænset omfang retvisende, fordi den ikke længere kan knyttes til det formål, den blev indsamlet til.

Kontrolpunkter for datakvalitet ved migrering

Migrering uden overflødige personoplysninger

Dataminimering betyder ved migrering, at feltlisten i målsystemet gennemgås, før der flyttes noget. Et felt, der ikke understøtter en opgave i målsystemet, bør ikke migreres – heller ikke selv om det findes i kilden.

Hjemmelen ligger i forordningen og § 4 i databeskyttelsesloven, og de nærmere krav findes i Datatilsynets vejledning om behandlingsgrundlag og de grundlæggende principper.

Det gælder typisk historiske notatfelter, interne koder, gamle kontaktoplysninger, scanner-bilag i fritekst og tekniske metadata om den registrerede. Beslutningen bør forankres i behandlingsgrundlaget og de grundlæggende principper.

Styrelsen for Patientsikkerhed beskriver princippet for sin egen behandling: Styrelsen behandler kun de oplysninger, der er nødvendige for at kunne udføre sine opgaver. Samme spørgsmål kan stilles ved hver feltmapping: Hvilken opgave i målsystemet kræver dette felt, og hvad sker der, hvis feltet ikke migreres?

Formålsbegrænsning bør også ramme test og udvikling. Arbejdes der med kopier af produktionsdata i testmiljøer, er det en selvstændig behandling, som bør minimeres.

Minimeringen kan ske ved udvalgte poster, ændrede eller fjernede direkte identifikatorer og ved at testkopier slettes eller gøres utilgængelige, når migreringen er godkendt. Ellers bliver migreringen anledning til at sprede personoplysninger til nye miljøer.

Historiske notatfelter: migreres ikke, medmindre feltet understøtter en opgave i målsystemet. Ejer: dataansvarlig.

Interne koder: migreres ikke, hvis feltet ikke har en opgave i målsystemet. Ejer: dataansvarlig.

Gamle kontaktoplysninger: migreres ikke uden aktuel opgave. Ejer: dataansvarlig.

Scanner-bilag i fritekst: minimeres eller udelades, hvis feltet ikke er nødvendigt. Ejer: dataansvarlig.

Tekniske metadata om den registrerede: migreres ikke, medmindre feltet er nødvendigt for målsystemets opgave. Ejer: dataansvarlig.

Hver feltmapping bør have en hjemmel i form af den opgave i målsystemet og det behandlingsgrundlag, der begrunder feltet. Mangler begge, er svaret på, om feltet skal migreres, nej.

Migrering vs. sletning af overflødige data

Fordel og ulempe ved at migrere historiske data

Sletning og opbevaringsbegrænsning: ryd op før, mens og efter

Migreringen er det bedste tidspunkt at rydde op, fordi hver post alligevel skal røres. Gennemgå kilden for data, der er udløbet af sin opbevaringsfrist, data uden aktiv sag eller kunde, dubletter, forældreløse rækker og felter, der aldrig er anvendt efter en tidligere migrering.

Beslut i hvert tilfælde, om posten skal migreres, slettes eller bevares i kilden af hensyn til anden lovgivning.

For kravene her gælder databeskyttelsesloven § 4 og Datatilsynets vejledningssider 'Sletning' og 'Tidsfrister og krav'. Datatilsynet har desuden offentliggjort retningslinjer for lokalarkivers behandling af personoplysninger (november 2022).

Sletning skal ske på begge sider af flytningen. Udfases et system, må det ikke stå tilbage som en glemt kopi med data, der ikke længere er nødvendige.

Beslutningen bør dokumenteres med begrundelse for de bevarede kategorier og med et tidspunkt for, hvornår kilden lukkes eller tømmes.

Personaliserede udtræk, testfiler, CSV-eksporter og mellemliggende arbejdsfiler fra migreringen er typiske efterladenskaber, som bør ryddes op og have en navngiven ejer.

Opbevaringsbegrænsning er ikke ensbetydende med at slette alt: Oplysninger, som en anden regel kræver bevaret, skal fortsat kunne findes og være læsbare efter migreringen. Kravet er derfor, at hver bevarelsesgrund gennemgås før flytningen.

En bevaring, der støttes på en anden regel, skal kunne henvises til den regel og til en ansvarlig for vurderingen. Kan ingen af delene angives, bør posten behandles som udløbet.

Efterfølgende skal det kunne dokumenteres, hvilke kategorier der er bevaret, hvor de ligger, og hvornår de skal vurderes igen.

Opbevaringsfrist: poster med udløbet frist migreres ikke, medmindre en anden regel kræver bevaring. Ejer: dataansvarlig.

Aktiv sag eller kunde: poster uden aktiv sag eller kunde vurderes til sletning eller bevaring. Ejer: dataansvarlig.

Dubletter: identificeres, og der træffes beslutning om sletning eller sammenlægning uden at sammenlægge personer. Ejer: dataansvarlig.

Forældreløse rækker: rækker uden relation slettes eller afklares. Ejer: dataansvarlig.

Ubrugte felter: felter, der ikke er anvendt efter tidligere migrering, migreres ikke uden ny begrundelse. Ejer: dataansvarlig.

Arbejdsfiler: personaliserede udtræk, testfiler, CSV-eksporter og mellemliggende arbejdsfiler slettes eller gøres utilgængelige efter godkendelse. Ejer: navngiven ejer.

Sikkerhed og beredskab under migreringen

Under migreringen findes data flere steder samtidig – i kilden, i udtræk, på midlertidige servere og til sidst i målsystemet. Adgangen bør derfor styres efter den mest følsomme oplysningstype i datasættet.

Migreringsplanen bør indeholde eksplicitte krav om kryptering af data under transport og adgangskontrol til udtræk på disk. Den bør også kræve rollebaseret, tidsbegrænset adgang til migreringsmiljøer, så udvikleres og konsulenters adgang lukkes, når migreringen er godkendt.

Den bør desuden kræve logning af, hvem der har læst og ændret personoplysninger under migreringen; adskillelse af test- og produktionsmiljøer; og en navngivet kontaktvej, hvis der opdages uautoriseret adgang eller tab af data.

Beredskabet skal være aftalt, før migreringen starter. Datatilsynet har vejledningssider om anmeldelse og håndtering af brud.

Hjemmelen ligger i forordningen og § 4 i databeskyttelsesloven samt i Datatilsynets vejledningssider 'Behandlingssikkerhed', 'Anmeldelse af brud' og 'De 10 brud'. Datatilsynet har også et 'Katalog over sikkerhedsforanstaltninger' og en vejledning om 'Risikovurdering'.

Det bør derfor fremgå af planen, hvem der beslutter, at en hændelse er et brud, hvordan berørte parter informeres, og hvordan hændelsen logges.

Da migreringen ofte involverer eksterne leverandører, bør aftalen også fastlægge, hvordan leverandøren varsler den dataansvarlige, og hvem der må kommunikere i sagen.

Kryptering under transport: data er krypteret under transport. Ejer: dataansvarlig.

Adgangskontrol til udtræk: adgang til udtræk på disk er rollebaseret og tidsbegrænset. Ejer: dataansvarlig.

Logning: det logges, hvem der har læst og ændret personoplysninger under migreringen. Ejer: dataansvarlig.

Test- og produktionsmiljøer: miljøerne er adskilt. Ejer: dataansvarlig.

Kontaktvej ved brud: der findes en navngivet kontaktvej ved uautoriseret adgang eller tab af data. Ejer: dataansvarlig.

Leverandørvarsling: aftalen fastlægger, hvordan leverandøren varsler den dataansvarlige, og hvem der kommunikerer. Ejer: dataansvarlig.

Trin i sikkerheds- og beredskabsforberedelse under migrering

Ansvar, risikovurdering og dokumentation

Den dataansvarlige har ansvaret for, at behandlingen af personoplysninger sker i overensstemmelse med reglerne. Styrelsen for Patientsikkerhed formulerer det om sin egen rolle: Styrelsen er dataansvarlig og har ansvaret for, at oplysninger i sagsbehandlingen behandles i overensstemmelse med reglerne.

En migrering kan gennemføres af en leverandør eller et internt it-team, men ansvaret for vurderingerne flytter sig ikke.

Før migreringen bør den dataansvarlige overveje, om der skal gennemføres en risikovurdering, og om der er behov for en konsekvensanalyse. Hjemmelen for vurderingen er forordningen og § 4 i databeskyttelsesloven, og Datatilsynet har vejledningssiderne 'Risikovurdering' og 'Konsekvensanalyse'.

Dokumentationen bør mindst indeholde feltmapping fra kilde til mål med begrundelse for hver kategori, kriterierne for de udførte kontroller, resultaterne af stikprøver og afstemninger, de fundne og accepterede afvigelser og hvem der godkendte dem. Den bør også indeholde beslutninger om sletning og bevaring samt en beskrivelse af, hvordan adgange lukkes efter migreringen.

Godkendelsen bør være formel og tidsstemplet. Når kilden efterfølgende tømmes, gøres skrivebeskyttet eller udfases, er den dokumenterede godkendelse det eneste, der efterfølgende viser, hvorfor de migrerede oplysninger anses for retvisende og tilstrækkelige.

'Ansvarlig' er i kravene en rolle: den dataansvarlige. Rollen bør suppleres med et navn og en funktion pr. feltkrav. I Styrelsen for Patientsikkerhed er Helle Ginnerup-Nielsen databeskyttelsesrådgiver for dele af Sundheds- og Kirkeministeriets koncern, herunder styrelsen.

Datatilsynets vejledningssider om 'Fortegnelse', 'Rollefordeling', 'Dataansvarlig og databehandler' og 'Databeskyttelsesrådgivere' dækker dokumentations- og rollekravene i dette afsnit.

Ansvarskrav: Den dataansvarlige godkender feltmapping, acceptkriterier og afvigelser. Ejer: dataansvarlig.

Ansvarskrav: Den dataansvarlige dokumenterer de risikovurderinger og konsekvensanalyser, der gennemføres. Ejer: dataansvarlig.

Ansvarskrav: Hvert feltkrav har en navngiven ejer. Ejer: dataansvarlig.

Vigtigste krav til dokumentation og ansvar ved migrering

Registreredes rettigheder efter migreringen

Styrelsen for Patientsikkerhed beskriver, at borgerne har en række rettigheder, som de kan gøre brug af, samtidig med at myndigheden skal overholde visse forpligtelser. Ved en migrering skal det derfor kunne påvises, at rettighederne fortsat kan opfyldes – også i overgangsperioden, hvor data kan ligge i både kilde og mål.

Hjemmelen ligger i forordningen og § 4 i databeskyttelsesloven samt i Datatilsynets vejledningssider 'Registreredes rettigheder', 'Iagttagelse af de registreredes rettigheder', 'Indsigt', 'Oplysningspligt' og 'Sletning'.

Konkrete krav til løsningen og arbejdsgangen: En indsigtsanmodning skal kunne besvares med alle oplysninger om den registrerede på tværs af de systemer, der indeholder dem, samlet og forståeligt. Berigtigelse af en fejl skal kunne føres igennem i både kilden og målsystemet, også hvis de kører parallelt.

Sletning skal kunne gennemføres i samtlige relevante kopier, herunder testkopier og arbejdsfiler fra migreringen. Oplysningspligten skal være opdateret med det nye behandlingsforløb, så den registrerede kan se, hvor oplysningerne kommer fra, og hvad de bruges til.

En praktisk kontrol før idriftsættelse er at gennemføre en prøveindsigt på en fiktiv eller udtrukket sag og teste, om resultatet bliver komplet og læsbart efter migreringen.

Fejler prøven – manglende feltmapping, dubletter, ulæselige helbredsoplysninger eller poster uden tidsstempel – bør det behandles som en fejl i migreringen og ikke som et efterfølgende supportproblem.

Det er netop de registreredes mulighed for indsigt, berigtigelse og sletning, der ellers sættes over styr.

Styrelsen for Patientsikkerhed oplyser, at borgere kan kontakte styrelsen om behandlingen af deres oplysninger på telefon 72 28 66 00 eller [email protected], mærket Att.: Informationssikkerhed.

Indsigt: En indsigtsanmodning kan besvares med alle oplysninger om den registrerede på tværs af systemerne, samlet og forståeligt. Ejer: dataansvarlig.

Berigtigelse: Fejl kan rettes i både kilde og mål, også når de kører parallelt. Ejer: dataansvarlig.

Sletning: Sletning kan gennemføres i alle relevante kopier, herunder testkopier og arbejdsfiler. Ejer: dataansvarlig.

Oplysningspligt: Oplysningspligten er opdateret med det nye behandlingsforløb. Ejer: dataansvarlig.

Prøveindsigt: En prøveindsigt på en fiktiv eller udtrukket sag giver et komplet og læsbart resultat efter migreringen. Ejer: dataansvarlig.