Datatilsynet har for nylig offentliggjort en oversigt over ti typiske brud på persondatasikkerheden, som stort set alle almindeligvis kan undgås, hvis der er implementeret passende sikkerhedsforanstaltninger ved behandling af personoplysninger.
Manglende implementering af passende sikkerhedsforanstaltninger skyldes ofte, at organisationen ikke har foretaget de nødvendige risikovurderinger. Formålet med risikovurderingen er netop at identificere, om de eksisterende sikkerhedsforanstaltninger er tilstrækkelige, eller om der skal iværksættes yderligere sikkerhedsforanstaltninger for at imødegå risikoen.
Manglende risikovurderinger og dermed manglende implementering af passende sikkerhedsforanstaltninger (behandlingssikkerhed) er også nogle af de områder, som Datatilsynet især vil have fokus på i deres tilsyn i 2024.
Manglende risikovurderinger og behandlingssikkerhed kan ikke alene resultere i sanktioner fra Datatilsynet, men organisationen risikerer også at miste kundernes eller borgernes tillid, hvilket er afgørende for at tilskynde brugen af nye produkter og tjenesteydelser, som i stadig stigende grad er digital understøttet.
Størstedelen af Datatilsynets afgørelser – og hidtil største bødeindstilling – vedrører også manglende risikovurderinger og behandlingssikkerhed:
Et grundlæggende element i GDPR er en risikobaseret tilgang til databeskyttelse, og det kommer særligt til udtryk i artikel 32 om behandlingssikkerhed, som er omdrejningspunktet for denne artikel.
Behandlingssikkerhed indebærer, at organisationen har ansvaret for at sikre, at der tilvejebringes et sikkerhedsniveau (fx ved brug af kryptering), der forhindrer brud på persondatasikkerheden – fx identitetstyveri, tab af ære og velfærd, uautoriseret adgang, datatab mv. I en "GDPR"-risikovurdering skal man altså vurdere risikoen for, at personoplysninger fx bliver delt med uvedkommende, hvad konsekvensen heraf kan være, og hvordan man nedbringer denne risiko.
Mange organisationer har allerede udført it-risikovurderinger, hvor fokus er på konsekvenserne for organisationen. Selvom det kan være en god idé at arbejde videre med allerede eksisterende it-risikovurderinger samt metoden og processen herfor, er genstanden for "GDPR"-risikovurderinger ikke organisationen selv, men derimod de registrerede (fx kunderne, borgerne eller medarbejderne). Det betyder, at der skal foretages en vurdering af, hvilke risici organisationen udsætter sine kunder, borgere eller medarbejdere for i forbindelse med organisationens behandling af personoplysninger. Der er ikke en "facitliste" for, hvilke sikkerhedsforanstaltninger, der er passende, så det er organisationen, der selv har ansvaret for at udvælge relevante sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der passer til de identificerede risici. Fordelen ved denne tilgang er, at organisationerne har mulighed for at justere på brugen af ressourcer, så de ikke "overimplementerer" sikkerhedsforanstaltningerne.
Både den dataansvarlige og databehandleren skal i henhold til artikel 32 i GDPR gennemføre risikovurderinger for at vurdere og fastsætte passende sikkerhedsforanstaltninger. GDPR har ikke fastlagt en metode til udarbejdelse af risikovurderinger, som organisationer skal følge. Der er derfor en vis grad af metodefrihed.
PwC har nedenfor udarbejdet en praktisk guide, så I nemt kan komme i gang med at lave GDPR-risikovurderinger. Risikovurderinger kan med fordel udarbejdes i et Excel-ark.
PwC’s Privacy & Data Protection (GDPR)-team er en del af PwC’s Technology & Security-afdeling, som tæller op mod 200 rådgivere i Danmark.
PwC’s juridiske specialister rådgiver om alle aspekter af databeskyttelsesretten. Med en dyb juridisk ekspertise og en praktisk operationel tilgang baseret på omfattende erfaring navigerer vi vores klienter sikkert gennem det komplekse terræn af databeskyttelsesretlig lovgivning og sikrer, at vores klienter samtidig udnytter mulighederne i den teknologiske udvikling.
Aleksandar Predrag Piletich