Del via

Besvar anmodninger om den registreredes rettigheder (DSR) for Microsoft Dynamics 365 Project Operations

  • Artikel

I vejledningen gennemgås det, hvordan Microsofts produkter, tjenester og administrative værktøjer kan bruges af vores controllerkunder til at søge efter og håndtere personlige data som svar på DSR-anmodninger (Data Subject Rights) for Microsoft Dynamics 365 Project Operations. I artiklen forklares det især, hvordan du kan finde, få adgang til og behandle personlige data, der er placeret i Microsoft Cloud. Denne vejledning hjælper dig med følgende proces:

  • Opdag: Brug søgningsværktøjer til nemmere at finde kundedata, der kan være underlagt en anmodning fra den registrerede. Når du har indsamlet de dokumenter, der eventuelt skal behandles, kan du udføre en eller flere af de DSR-handlinger, der er beskrevet i følgende trin, for at besvare anmodningen. Alternativt kan du afgøre, at anmodningen ikke opfylder din organisations retningslinjer for svar på anmodninger fra den registrerede.
  • Adgang: Hent personlige data, der findes i Microsoft Cloud, og opret en kopi af dem, som er tilgængelig for den registrerede, hvis du anmodes om det.
  • Ret: Foretag ændringer eller udfør andre anmodede handlinger på de personlige data, hvor det er relevant.
  • Begræns: Begræns behandlingen af de personlige data enten ved at fjerne licenser til forskellige onlinetjenester eller ved at deaktivere de relevante tjenester, hvor det er muligt.
  • Slet: Slet permanent de personlige data, der findes i Microsoft Cloud.
  • Eksportér/Modtag (videregivelse af oplysninger): Forsyn den registrerede med en elektronisk kopi (i et maskinlæsbart format) af de personlige data.

Hver sektion i denne vejledning beskriver de tekniske procedurer, som en databehandlerorganisation kan udføre for at besvare en DSR-anmodning om personlige data i Microsoft Cloud.

Du kan finde flere oplysninger om registreredes rettigheder såsom EU's generelle forordning om databeskyttelse (GDPR) og California Consumer Privacy Act (CCPA) i California Consumer Privacy Act.

Sådan hjælper denne vejledning dig med at overholde dine ansvars som databehandler

Vejledningen, der er opdelt i to dele, indeholder en beskrivelse af, hvordan du kan bruge Microsoft-produkter, -tjenester og -administrationsværktøjer til at finde og handle på data i Microsoft Cloud som svar på anmodninger fra registrerede, der udøver deres rettigheder i henhold til GDPR. Den første del omhandler personlige data, der er inkluderet i kundedata. Det efterfølges af en del, der omhandler andre pseudonymiserede personlige data, der er registreret i systemgenererede logfiler.

  • Part 1: Besvarelse af DSR-anmodninger (Data Subject Rights) vedrørende de personlige data, der er indgår i kundedataene: Del 1 af denne vejledning beskriver, hvordan du kan få adgang til, berigtige, begrænse, slette og eksportere personlige data fra Dynamics 365 Project Operations (software som en service), der behandles som en del af de kundedata, du har leveret til onlinetjenesten.
  • Del 2: Besvarelse af DSR-anmodninger om pseudonymiserede data: Når du bruger Dynamics 365 Project Operations, genererer Microsoft nogle oplysninger (i dette dokument kaldet systemgenererede logge) for at levere tjenesten. Disse oplysninger er begrænset til det brugsfodaftryk, som slutbrugerne har efterladt for at identificere deres handlinger i systemet. Disse data kan ikke tildeles en bestemt registreret person uden at gøre brug af yderligere oplysninger, men nogle af dem kan dog være personlige i henhold til GDPR. Del 2 i denne vejledning beskriver, hvordan du får adgang til, sletter og eksporterer systemgenererede logfiler, der er produceret af Dynamics 365 Project Operations.

Forberedelse af DSR-undersøgelser

Når registrerede udøver deres rettigheder og opretter anmodninger, skal du overveje følgende punkter:

  • Identificer personen og rollen, f.eks. en medarbejder, kunde eller leverandør, korrekt ved hjælp af oplysninger, som blev givet som en del af vedkommendes anmodning. Disse oplysninger kan være et navn, et medarbejder-id eller et kundenummer eller et andet id.
  • Registrer datoen og tidspunktet for anmodningen. (Du har 30 dage til at efterkomme anmodningen.)
  • Bekræft, at anmodningen lever op til din organisations krav med henblik på at imødekomme eller afvise en registrets anmodning. Du skal f.eks. sikre dig, at af fuldbyrdelse af forespørgslen ikke er i konflikt med andre juridiske, økonomiske eller lovgivningsmæssige forpligtelser, du har eller krænker andres rettigheder og frihedsrettigheder.
  • Kontroller, at du har de oplysninger, der er relateret til anmodningen.

Del 1: DSR-vejledning til kundedata

Udførelse af DSR'er i forhold til kundedata

Microsoft giver mulighed for at få adgang til, slette og eksportere visse kundedata via Azure-portalen og også direkte via allerede eksisterende API'er (Application Programming Interfaces) eller brugerflader til bestemte tjenester (også kaldet funktioner i produktet). Detaljer om sådanne funktioner i produktet for Dynamics 365 Project Operations er beskrevet i denne vejledning.

Bemærk

Dynamics 365 Project Operations har flere udrulningstyper, der kan involvere brugen af Dataverse, finans- og driftsarkitekturen eller begge dele. Afhængigt af udrulningstypen kan processen for DSR-anmodningen variere.

Opdag

Det første trin, når der skal reageres på en anmodning fra den registrerede, er at søge efter personlige data, som er emnet for anmodningen. I det første trin, hvor du søger efter og gennemgår de personlige data, får du hjælp til at afgøre, om en anmodning fra den registrerede opfylder din organisations krav til at udføre eller afvise en sådan anmodning. Når du har fundet og gennemgået de personlige data, kan du bestemme, at anmodningen ikke opfylder din organisations krav, da den kan have en negativ indvirkning på andres rettigheder og frihedsrettigheder.

Når du har fundet dataene, kan du udføre en bestemt handling for at imødekomme anmodningen fra den registrerede.

Dataverse indeholder flere metoder, du kan bruge til at søge efter personlige data i poster, f.eks. Avanceret søgning og Søgning efter poster. Alle disse funktioner giver dig mulighed for at identificere (finde) personlige data.

Finans- og driftsarkitekturen giver dig flere måder at søge efter kundedata på. Som lejeradministrator kan du udføre følgende handlinger for at søge efter kundedata:

  • Organiser dine kundedata på en måde, der tjener formålet om hurtigt at kunne finde personlige data. Se, , hvordan du klassificerer datalager til dette formål.
  • Brug Personsøgningsrapporten til at finde og indsamle personlige data. Udvide rapporten Personsøgning ved at oprette et nyt objekt eller udvide et eksisterende objekt.
  • Brug søge- og filtreringsfunktioner til at finde bestemte personlige data og eksportere disse data ved hjælp af Microsoft Office-eksportfunktionen, eller udskriv disse oplysninger til en PDF-fil ved hjælp af browserudvidelser.
  • Opret en brugerdefineret formular, der finder og eksporterer personlige data.
  • Opret en ekstern portal eller et eksternt websted, der gør det muligt for en godkendt kunde at se sine personlige data.

Adgang

Når du har fundet kundedata, der indeholder personlige data, som potentielt besvarer en DSR-anmodning om indsigt i personoplysninger, er det op til dig og din organisation at beslutte, hvilke data der skal leveres til den registrerede. Du kan give dem en kopi af det faktiske dokument, en passende redigeret version eller et skærmbillede af de dele, du har fundet passende at dele. For hvert af disse svar på en anmodning om adgang skal du hente en kopi af dokumentet eller et andet element, der indeholder de relevante data. Når du giver en kopi til den registrerede, skal du muligvis fjerne eller redigere personlige oplysninger om andre registrerede og eventuelle fortrolige oplysninger.

Kundedata i Dataverse kan eksporteres ved hjælp af de omfattende objekteksportfunktioner. Kundedata kan eksporteres til en statisk Excel-fil for at gøre det nemmere at besvare en anmodning om videregivelse af oplysninger. Ved hjælp af Excel kan du derefter redigere de personlige data, der skal inkluderes i anmodningen om portabilitet, og gemme dem i et almindeligt anvendt, maskinlæsbart format, f.eks. .csv eller .xml. Poster kan også eksporteres via Microsoft Dataverse-Web-API'en.

Kundedata i finans- og driftsarkitekturen kan eksporteres ved hjælp af de omfattende funktioner til objekteksport. Datastyrings- og integrationsobjekter giver lejeradministratoren mulighed for at bruge leverede objekter, oprette nye objekter eller udvide eksisterende objekter til eksport af persondata, der kan gentages, til Excel eller en række andre almindelige formater via dataimport- og -eksportjob. Mange lister kan også eksporteres til en statisk Excel-fil for at facilitere en anmodning om dataportabilitet. Når kundedata eksporteres til Excel, kan du derefter redigere de personlige data, der skal inkluderes i anmodningen om portabilitet, og gemme filen i et almindeligt anvendt, maskinlæsbart format, f.eks. .csv eller .xml. Du kan også overveje at bruge Personsøgningsrapporten til at give den registrerede oplysninger, som du har klassificeret som personlige data.

Ret

Hvis en fysisk person har bedt dig om at korrigere de personlige data, der findes i din organisations data, skal du og din organisation finde ud af, om anmodningen kan imødekommes eller ej. Berigtigelse af dataene kan omfatte udførelse af handlinger som redigering, ændring eller fjernelse af personlige data fra et dokument eller anden type eller andet element.

Dataverse giver dig følgende metoder til at rette unøjagtige eller ufuldstændige kundedata eller slette kundedata:

  • Søg efter kundedata ved hjælp af de funktioner, der er nævnt i afsnittet "Opdag", og rediger data direkte i Dataverse. Redigeringer kan udføres på et enkelt rækkeniveau, eller flere rækker kan ændres direkte.
  • Ved at masseredigere flere poster kan du bruge Microsoft Office-tilføjelsesprogrammet til at eksportere data til Excel, foretage dine ændringer og derefter importere de ændrede data fra Excel til Dataverse.

I finans- og driftsarkitekturen kan du også bruge tilpasningsværktøjer, men beslutningen og implementeringen er dit ansvar.

Kort bemærkning om ændring af poster i forretningstransaktioner

Transaktionsposter, f.eks. poster i hovedbog, kundebog og momsbog, er vigtige for integriteten af et ERP-system (Enterprise Resource Planning). Personoplysninger, der er en del af en finansiel eller anden transaktion, opbevares "som de er og forefindes" for at overholde finansielle love (f.eks. skattelovgivningen), forebyggelse af svig (f.eks. sikkerhedsrevisionsspor) eller overholdelse af branchecertificeringer. Derfor begrænser Dynamics 365 Project Operations ændring af data i sådanne poster.

Begræns

De registrerede kan anmode dig om at begrænse behandlingen af deres personlige data.

Når du modtager en anmodning fra en registreret om at begrænse behandlingen af kundedata, kan du nemt udtrække de berørte kundedata fra onlinetjenesten og gemme dem i en separat beholder (lager i det lokale miljø eller en separat webtjeneste med dataisoleringsfunktioner), der er isoleret fra de behandlingsfunktioner, der tilbydes af et cloudprogram.

Delete

"Retten til sletning" ved at fjerne personlige data fra en organisations kundedata er en central sikkerhedsdetalje i persondataforordningen GDPR. Fjernelse af personlige data inkluderer logfiler, der er oprettet af systemet, men ikke oplysninger i overvågningslog.

Når en registreret beder dig om at slette sine kundedata, kan det gøres på flere måder:

  • Ved at masseredigere flere poster i Dataverse kan du bruge Microsoft Office-tilføjelsesprogrammet til at eksportere data til Excel, foretage ændringerne og derefter importere de ændrede data fra Excel tilbage til onlinetjenesten.
  • Du kan slette kundedata, der er gemt i ethvert felt, ved at finde de data, du vil slette, og derefter manuelt slette det dataelement, der indeholder målkundedataene. Du kan f.eks. anvende en hård sletning på kontaktposten, der repræsenterer den registrerede, og andre poster, der indeholder personlige data.

Du kan også bruge tilpasningsværktøjer til at slette/ændre kundedata på finans- og driftsarkitekturen.

Du skal være lejeradministrator for at slette en bruger fra lejeren.

Eksport

"Retten til videregivelse af oplysninger" gør det muligt for den registrerede at anmode om en kopi af sine personlige data i elektronisk format (dvs. i et format, der er "struktureret, almindeligt brugt, kan læses af en maskine, og som er kompatibelt"), og som kan sendes til en anden datacontroller.

Som svar på en anmodning om videregivelse af oplysninger kan kundedata i Dataverse eksporteres ved hjælp af de omfattende funktioner til objekteksport. Kundedata kan eksporteres til en statisk Excel-fil for at gøre det nemmere at besvare en anmodning om videregivelse af oplysninger. Ved hjælp af Excel kan du derefter redigere de personlige data, der skal inkluderes i anmodningen om portabilitet, og gemme dem i et almindeligt anvendt, maskinlæsbart format, f.eks. .csv eller .xml.

Finans- og driftsarkitekturen tilbyder Datastyrings- og integrationsobjekter, der giver mulighed for at bruge leverede objekter, nyoprettede objekter eller udvidede objekter til eksport af persondata, der kan gentages, til Excel eller en række andre almindelige formater via dataimport- og -eksportjob. Mange lister kan også eksporteres til en statisk Excel-fil for at facilitere en anmodning om dataportabilitet. Når kundedata eksporteres til Excel på denne måde, kan du derefter redigere de personlige data, der skal inkluderes i anmodningen om portabilitet, og gemme filen som et almindeligt anvendt, maskinlæsbart format, f.eks. .csv eller .xml.

Rapporten Personsøgning kan bruges til at give den registrerede oplysninger, som du har klassificeret som personlige data.

Du skal være lejeradministrator for at eksportere brugerdata fra lejeren.

Del 2: Systemgenererede logge

Microsoft giver dig også mulighed for at få adgang til, eksportere og slette systemgenererede logfiler, der kan betragtes som personlige i henhold til GDPR's brede definition af "personlige data". Eksempler på systemgenererede logfiler, der kan betragtes som personlige i henhold til GDPR, omfatter:

  • Anvendelsesdata for produkter og tjenester, f.eks. brugeraktivitetslogfiler
  • Brugersøgningsanmodninger og -forespørgselsdata
  • Data oprettet af produkter og tjenester som et produkt af systemfunktionalitet og interaktion af brugere eller andre systemer

Vigtigt!

Muligheden for at begrænse eller korrigere data i systemgenererede logfiler understøttes ikke. Data i systemgenererede logfiler udgør faktuelle handlinger, der er udført i Microsoft Cloud, og diagnosticeringsdata, samt ændringer af sådanne data, der ville kompromittere den historiske registrering af handlinger og øge risikoen for svindel og sikkerhedsbrist.

Udførelse af DSR'er i forhold til systemgenererede logge