Mitä dataa voi/ei voi julkaista palvelussa

Yleisimpien järjestelmien käsittelemää tietoa voi pääsääntöisesti aina julkaista API-gatewayn kautta. Myös henkilötietoja voidaan julkaista API-gatewayn kautta, koska API-gatewayn teknisestä tietoturvasta on huolehdittu. Henkilötietojen julkaisun yhteydessä on kuitenkin huolehdittava tietosuojasta.

1. Rajapinta julkaistaan /secure -pathiin
2. Rajapintaan, jossa julkaistaan henkilötietoa client sertin pakotus tehdään ssl enforcement policy kautta. Planiin siis asetetaan policy, joka pakottaa client sertin. Ilman sertifikaattia kutsu ei onnistu.
3. varmista, että vain oikeilla tahoilla on pääsy rajapintaan (esim ip.rajaus, token)
4. Rajapinnan julkaisija/omistaja on vastuussa julkaistuista tiedoista
5. Rajapinnan julkaisija/omistaja on vastuussa siitä, että rajapinnan pääsynhallinnasta on huolehdittu vaadittavalla
6. Muista, että henkilötietojen käsittelyssä on aina noudatettava tietosuojaperiaatteita.
7. Henkilötietoja saa käsitelä vain tahot, joilla on lain mukainen peruste käsitellä tietoa. Tietoa ei saa jakaa ulkopuolisille ilman hyväksyttävää käsittelyperustetta.

Älä julkaise arkaluonteista henkilötietoa API-gatewayllä

Lisää tietoa:

1. https://tietosuoja.fi/henkilotietojen-kasittely
2. https://tietosuoja.fi/tietosuojaperiaatteet
3. https://www.laki24.fi/arkaluonteiset-henkilotiedot/
4. https://tietosuoja.fi/erityisten-henkilotietoryhmien-kasittely