GDPR-risikostyring er det løbende arbejde med at finde, vurdere og håndtere de risici, jeres behandling af personoplysninger udgør for de personer, oplysningerne handler om. En risikovurdering er ét led i arbejdet. Risikostyringen er hele kæden, fra I kortlægger data, til I kan dokumentere, at tiltagene virker.
For en virksomhed med 50 til 500 ansatte handler udfordringen sjældent om vilje. Den handler om overblik. GDPR-compliance ligger ofte hos én eller to personer ved siden af deres andet arbejde, og de skal prioritere uden at vide præcis, hvor de følsomme oplysninger ligger.
Her får I kæden i fem led, lovkravene bag og et bud på, hvordan I kommer i gang på et kvartal.
Hvad kræver GDPR?
Databeskyttelsesforordningen bygger på risiko. Jo større risikoen er for de registrerede, jo mere skal I gøre. Fire bestemmelser er centrale for risikostyringen:
| Bestemmelse | Hvad der står | Hvad det betyder for jer |
|---|---|---|
| Artikel 5, stk. 2 | Den dataansvarlige er ansvarlig for og skal kunne påvise, at principperne overholdes (»ansvarlighed«). | I skal kunne dokumentere jeres arbejde. |
| Artikel 24, stk. 1 | Foranstaltningerne skal tage hensyn til »risiciene af varierende sandsynlighed og alvor« og »skal om nødvendigt revideres og ajourføres«. | Risikostyring er en løbende proces. |
| Artikel 32, stk. 1 | Sikkerhedsniveauet skal passe til risiciene, herunder »en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten« af foranstaltningerne (litra d). | I skal følge op på, om tiltagene virker. |
| Artikel 35, stk. 1 | En konsekvensanalyse er påkrævet, når en behandling »sandsynligvis vil indebære en høj risiko« for de registrerede. | De mest risikable behandlinger kræver en DPIA. |
Betragtning 76 i forordningen siger, at risikoen bør evalueres på grundlag af en objektiv vurdering. Det taler for at bygge vurderingen på tal fra jeres egne systemer.
Risikostyringens fem led
Kæden er den samme, uanset om I bruger et regneark eller en platform. Det vigtige er, at hvert led bygger på det forrige.
1. Kortlæg: hvilke oplysninger, og hvor ligger de?
Jeres fortegnelse beskriver de behandlinger, I kender: løn, rekruttering, kundeservice. Den siger mindre om, hvor oplysningerne ender bagefter. I de fleste virksomheder ligger en stor del af de personfølsomme oplysninger i mails, regneark og delte mapper, hvor ingen holder øje med dem.
Kortlægningen skal derfor have to sider: de behandlinger, I har beskrevet, og de data, der faktisk ligger i jeres systemer.
2. Vurdér: sandsynlighed og alvor
For hver risiko vurderer I, hvad der kan ske, hvor sandsynligt det er, og hvor alvorligt det vil være for de registrerede. Artikel 32, stk. 2 nævner de typiske hændelser: tilintetgørelse, tab, ændring, uautoriseret videregivelse og uautoriseret adgang. Vores guide til GDPR-risikovurdering gennemgår metoden trin for trin.
| Lav alvor | Høj alvor | |
|---|---|---|
| Høj sandsynlighed | Håndtér inden for kort tid | Håndtér først |
| Lav sandsynlighed | Acceptér og følg op | Håndtér og overvej en DPIA |
3. Prioritér: hvad skal I tage først?
Vurderingen giver typisk en lang liste. Prioritér efter tre ting:
- Følsomhed. Identifikatorer som CPR-, pas-, kørekort- og betalingskortnumre og særlige kategorier efter artikel 9, for eksempel helbredsoplysninger, vejer tungest.
- Mængde. Tusind filer med helbredsoplysninger er en større risiko end ti.
- Koncentration. Ligger en stor del af fundene hos få medarbejdere eller i få mapper, kan en målrettet indsats flytte meget.
4. Håndtér: tekniske og organisatoriske tiltag
De mest effektive tiltag er ofte de enkleste:
- Slet det, I ikke har brug for. Artikel 5 kræver dataminimering og opbevaringsbegrænsning, og data, der er slettet, kan ikke lække.
- Begræns adgangen. Følsomme filer skal kun kunne åbnes af dem, der har brug for dem.
- Send sikkert. Mange brud sker, når oplysninger sendes i en almindelig mail eller til den forkerte modtager.
- Træn de medarbejdere, der bærer risikoen. Målrettet træning virker bedre end et kursus til alle.
5. Følg op og dokumentér
Artikel 32 kræver regelmæssig evaluering af, om tiltagene virker. Gentag målingen, og se om risikoen er faldet. Gem vurderingen, beslutningerne og resultatet. Det er den dokumentation, ledelsen og Datatilsynet vil se.
Hvor GDPR-risikorapporten passer ind
For de fleste er kortlægningen det svære led. Her bruger Safe Online GDPR-risikorapporten, som bygger på en scanning med DataMapper.
- I vælger, hvilke systemer der skal scannes: Outlook, OneDrive, SharePoint og netværks- og lokale drev.
- Scanningen kører via native connectors i Microsoft 365, og medarbejderne skal ikke involveres.
- Opsætningen tager cirka 30 minutter og klares af vores Customer Success Manager sammen med jeres Microsoft-administrator.
- Bagefter gennemgår vi rapporten sammen med jer.
Rapporten følger kæden ovenfor:
| Led | Hvad rapporten giver jer |
|---|---|
| Kortlæg | Fund pr. system og pr. type oplysning, opdelt i højrisiko-identifikatorer og særlige kategorier efter artikel 9 |
| Vurdér | En samlet risikoscore fra A til F med benchmark mod jeres branche |
| Prioritér | Hvor risikoen er koncentreret, og hvor mange medarbejdere der har størstedelen af fundene |
| Håndtér | Prioriterede anbefalinger og et ledelsesresumé |
| Følg op | Gentager I scanningen, kan I se, om scoren er faldet |
Hos SOFACOMPANY gav DataMapper 117.600 følsomme fund, og hos Frøslev Træ har DataMapper scannet 268.800 filer. Se kundehistorierne.
Rapporten koster fra 6.800 kr. En scanning af op til 100 mailkonti og op til 2 TB data koster for eksempel 8.450 kr.
GDPR- og complianceplatforme: hvad kan automatiseres?
GDPR- og complianceplatforme samler det løbende arbejde ét sted: fortegnelse, politikker, databehandleraftaler, opgaver med frister og træning. Complianceautomatisering sparer især tid på det, der gentager sig, for eksempel påmindelser, årlige gennemgange og dokumentation.
| Opgave | Kan automatiseres | Kræver jeres vurdering |
|---|---|---|
| Find persondata i systemerne | Ja, med en scanning | Hvad der skal slettes, og hvad der skal blive |
| Prioritér risici | Delvist, med score og benchmark | Hvilke risici I accepterer |
| Påmindelser og opfølgning | Ja | Hvem der ejer opgaven |
| Træning af medarbejdere | Ja, kurser og påmindelser | Hvem der skal trænes først |
| Dokumentation | Ja, rapporter og logs | Beslutningerne bag |
En platform kender kun det, I fortæller den. Derfor hører en scanning af jeres data med i kæden. Safe Online har moduler til flere af leddene: DataMapper finder oplysningerne, ShareSimple og MailGuardian beskytter det, der sendes, og E-læring træner medarbejderne. Læs mere om, hvad I skal kigge efter, i vores guide til GDPR-software.
Compliance for mellemstore virksomheder: en plan for det første kvartal
- Måned 1: kortlæg. Opdatér fortegnelsen, og få et overblik over, hvor de følsomme oplysninger faktisk ligger.
- Måned 2: vurdér og prioritér. Vælg de fem største risici, og giv hver af dem en ejer og en frist.
- Måned 3: håndtér. Ryd op hos de medarbejdere og i de mapper, der har flest fund. Indfør sikker afsendelse, og træn dem, der arbejder mest med følsomme oplysninger.
- Herefter: følg op. Gennemgå risiciene fast, for eksempel én gang om året og ved større ændringer, og mål igen.
Se, hvor jeres GDPR-risiko ligger
GDPR-risikorapporten giver jer en score fra A til F, viser hvor de følsomme oplysninger ligger, og hvad I bør tage først.
FAQ om GDPR-risikostyring
Hvad er forskellen på risikostyring og risikovurdering?
En risikovurdering er analysen af risiciene ved en behandling på et givet tidspunkt. Risikostyring er hele processen: kortlægning, vurdering, prioritering, tiltag og opfølgning, gentaget over tid.
Er GDPR-risikostyring et lovkrav?
Forordningen bruger ikke ordet risikostyring. Men artikel 24 og 32 kræver, at jeres foranstaltninger passer til risiciene, og at de revideres og evalueres løbende. Det er risikostyring i praksis.
Hvor ofte skal vi gennemgå risiciene?
Loven fastsætter ingen frekvens. Mange vælger en fast gennemgang én gang om året og en ekstra, når noget ændrer sig væsentligt, for eksempel et nyt system eller en ny leverandør.
Hvem skal eje risikostyringen?
Ansvaret ligger hos virksomheden som dataansvarlig, og dermed hos ledelsen. I praksis har en person i compliance, jura eller IT den daglige opgave. Har I en databeskyttelsesrådgiver, skal han eller hun inddrages.
Hvad koster en GDPR-risikorapport?
Rapporten koster fra 6.800 kr. En scanning af op til 100 mailkonti og op til 2 TB data koster for eksempel 8.450 kr. Har I flere konti eller mere data, aftaler vi en individuel pris.
Læs mere
Sebastian Allerelli
Grundlægger & COO hos Safe Online
Sebastian er medstifter og COO i Safe Online, hvor han fokuserer på at automatisere processer og udvikle innovative løsninger inden for databeskyttelse og compliance. Med en baggrund fra Copenhagen Business Academy og erfaring inden for identitets- og adgangsstyring har han en skarp forståelse for GDPR og datasikkerhed. Som forfatter på Safe Online's Videnshub deler Sebastian sin ekspertise gennem praktiske råd og dybdegående analyser, der hjælper virksomheder med at navigere i det komplekse GDPR-landskab. Hans indlæg kombinerer teknisk indsigt med forretningsforståelse og giver konkrete løsninger til effektiv compliance.
