En GDPR-risikovurdering er en vurdering af, hvad der kan gå galt med de personoplysninger, I behandler, og hvad det vil betyde for de personer, oplysningerne handler om. Kravet står i databeskyttelsesforordningens artikel 32, og det gælder alle virksomheder, der behandler personoplysninger. Ikke kun dem med følsomme data.
Kort fortalt skal I kunne svare på tre spørgsmål:
- Hvilke personoplysninger behandler vi, og hvor ligger de?
- Hvad kan gå galt, hvor sandsynligt er det, og hvor alvorligt vil det være for de registrerede?
- Hvilke sikkerhedsforanstaltninger har vi, og er de nok?
De fleste virksomheder går i stå ved det første spørgsmål.
Hvornår skal I lave en risikovurdering?
- Før I begynder at behandle personoplysninger i et nyt system eller en ny proces.
- Når noget ændrer sig væsentligt, fx en ny leverandør, et skifte til cloud eller nye typer data. Datatilsynet forventer, at man starter med en risikovurdering, når man tager cloudservices i brug.
- Løbende. Loven siger ikke hvor ofte, men mange vælger en fast årlig gennemgang.
Hvem skal lave den?
Både dataansvarlige og databehandlere er omfattet af artikel 32. I praksis ejes den ofte af IT eller compliance, men den kræver input fra de afdelinger, der rent faktisk arbejder med data.
Risikovurdering eller konsekvensanalyse (DPIA)?
| Risikovurdering | Konsekvensanalyse (DPIA) | |
|---|---|---|
| Lovgrundlag | Artikel 32 | Artikel 35 |
| Hvornår | Altid, ved al behandling | Kun når behandlingen sandsynligvis indebærer høj risiko |
| Fokus | Sikkerheden ved behandlingen: fortrolighed, integritet og tilgængelighed | Hele behandlingen: formål, nødvendighed, proportionalitet og risici for de registrerede |
| Datatilsynet | Skal kunne fremvises ved tilsyn | Ved høj restrisiko skal Datatilsynet høres før behandlingen starter (artikel 36) |
Risikovurderingen kommer altså først. Den viser, om I også skal lave en DPIA.
Vil du have hjælp til at behandle persondata?
I vores nyhedsbrev du får tips og tricks til hvordan du lettere kan håndtere GDPR fra vores grundlægger Sebastian Allerelli.
Når du tilmelder dig vores nyhedsbrev, får du samtidig en gratis licens for én bruger til ShareSimple, som giver dig en e-mail i Outlook. Dette særlige tilbud er kun for nye kunder, med en grænse på én licens pr. virksomhed.
Sådan laver I en GDPR-risikovurdering i 6 trin
- Kortlæg behandlingerne og hvor data ligger. Tag udgangspunkt i jeres fortegnelse (artikel 30), men tjek den mod virkeligheden. Personoplysninger ligger sjældent kun i de systemer, der står på listen. De ligger også i mails, delte drev og regneark.
- Identificér truslerne. Artikel 32 nævner fire: at data bliver slettet, mistet, ændret eller kommer i de forkerte hænder. Spørg for hver behandling: hvad kan konkret få det til at ske?
- Vurdér sandsynlighed og konsekvens. Datatilsynet har kritiseret risikovurderinger, der ikke vurderer begge dele. Vurdér konsekvensen ud fra de registrerede, ikke virksomheden.
- Beskriv jeres foranstaltninger. Adgangsstyring, kryptering, backup, sletterutiner, træning. Notér, hvor meget hver enkelt reducerer risikoen.
- Beslut og prioritér. Hvilke risici accepterer I, og hvilke skal ned? Er restrisikoen høj, skal I lave en DPIA.
- Dokumentér og opdatér. Gem vurderingen, så I kan vise den ved et tilsyn, og sæt en dato for næste gennemgang.
Skabelon
Brug én række pr. risiko. Sandsynlighed og konsekvens scores 1–4, og risikoen er de to ganget sammen.
| Behandling | Hvor ligger data | Trussel | Sandsynlighed (1–4) | Konsekvens (1–4) | Risiko | Foranstaltning | Restrisiko | Ansvarlig |
|---|---|---|---|---|---|---|---|---|
| Lønadministration | Lønsystem, men også Excel-filer i HR’s OneDrive | Uautoriseret adgang til CPR-numre | 3 | 4 | 12 | Flyt filer til lønsystem, slet kopier, begræns adgang | 4 | HR-chef |
| Rekruttering | Ansøgningsmails i indbakker | Opbevaring ud over slettefrist | 4 | 2 | 8 | Fast slettefrist, automatisk oprydning | 2 | HR |
I kan ikke vurdere risikoen ved data, I ikke kan se
Trin 1 er det, der afgør, om resten holder. En risikovurdering bygget på en fortegnelse, der ikke matcher virkeligheden, overser netop de filer og mails, hvor risikoen er størst.
DataMapper scanner Outlook, OneDrive, SharePoint og jeres drev og viser, hvor personoplysninger og følsomme oplysninger ligger. Klassificeringen er kontekstbaseret, ikke mønsterbaseret, så den skelner mellem et CPR-nummer og et tilfældigt tal. I får:
- En GDPR-risikorapport med fund og risiko fordelt på afdelinger.
- Prioriterede anbefalinger til, hvor I bør tage fat.
- Hjælp til at rydde op, ikke kun en liste over fund.
- Et dashboard, der viser udviklingen over tid, så næste risikovurdering bygger på data.
Hos SOFACOMPANY gav DataMapper 117.600 følsomme fund, og hos Frøslev Træ har DataMapper scannet 268.800 filer. Se kundehistorierne.
Få en GDPR-risikovurdering af jeres Microsoft 365-miljø. Vi scanner, I får overblikket.
FAQ om GDPR-risikovurdering
Er det et krav at lave en risikovurdering efter GDPR?
Ja. Artikel 32 kræver, at sikkerheden passer til risikoen, og det forudsætter, at I har vurderet risikoen. Det gælder både dataansvarlige og databehandlere.
Hvor ofte skal risikovurderingen opdateres?
Loven fastsætter ingen frekvens. Opdatér den ved væsentlige ændringer og gennemgå den fast, fx én gang om året.
Hvad er forskellen på en risikovurdering og en DPIA?
Risikovurderingen er altid påkrævet og handler om sikkerheden ved behandlingen. En DPIA er kun påkrævet ved høj risiko og vurderer hele behandlingen.
Har Datatilsynet en skabelon?
Datatilsynet har skabeloner til konsekvensanalyser (DPIA), herunder én målrettet AI-løsninger. Til selve risikovurderingen kan I bruge skabelonen ovenfor.
Hvad sker der, hvis vi ikke har en risikovurdering?
Datatilsynet kan udtale kritik eller give påbud, og ved alvorlige brud kan det føre til bøde. En manglende eller mangelfuld risikovurdering er også ofte det første, tilsynet spørger efter.
Læs mere
Sebastian Allerelli
Grundlægger & COO hos Safe Online
Sebastian er medstifter og COO i Safe Online, hvor han fokuserer på at automatisere processer og udvikle innovative løsninger inden for databeskyttelse og compliance. Med en baggrund fra Copenhagen Business Academy og erfaring inden for identitets- og adgangsstyring har han en skarp forståelse for GDPR og datasikkerhed. Som forfatter på Safe Online's Videnshub deler Sebastian sin ekspertise gennem praktiske råd og dybdegående analyser, der hjælper virksomheder med at navigere i det komplekse GDPR-landskab. Hans indlæg kombinerer teknisk indsigt med forretningsforståelse og giver konkrete løsninger til effektiv compliance.
