Sådan laver I en opgørelse over persondata

Fun fact: GDPR kræver faktisk ikke, at I opretter en persondataopgørelse. Den kræver dog, at I fører “registrering af behandlingsaktiviteter”, der beskriver, hvordan I håndterer personoplysninger, samt hvorfor I indsamler og behandler dem.

Men sandheden er, at de fleste virksomheder ikke har nogen idé om, hvor mange personlige data de opbevarer, hvilket gør det umuligt at beskrive præcist, hvordan de behandler og beskytter dem. Det er her, at oprette en dataopgørelse kommer ind i billedet.

At kende jeres data er grundlaget for compliance. En opdateret dataopgørelse hjælper jer med at holde jeres politikker opdaterede – og det gør det muligt at lave en behandlings-praksis i overensstemmelse med den. Med alle jeres personlige data lagt ud foran jer, er det nemt at se, hvor jeres databeskyttelse halter eller mangler. I bør tjekke jeres data regelmæssigt for at sikre, at I virkelig holder persondata beskyttede.

Når I har et overblik, kan I let foretage ændringer. For eksempel kan I forkorte jeres periode for opbevaring af data eller forbedre jeres regler vedrørende adgang til data. Disse handlinger kan reducere risikoen for datalækage og andre krænkelser af personoplysninger.

Her er en grundlæggende vejledning til, hvor I kan lave en opgørelse af de personlige data, I har. Opgørelsen inkluderer 5 områder, man bør fokusere på:

1. Personlige data, kategorier og risikoniveauer
– Marker alle jeres personlige data
– Angiv de typer personlige data, I indsamler
– Tildel et risikoniveau til følsomme personoplysninger

Vurdér om der er kategorier af personlige data, som I ikke bør have eller ikke behøver at beholde?

2. Brugere og adgangskontrol
– Find ud af, hvem der har adgang til følsomme data
– Registrer det adgangsniveau, hver medarbejder har (f.eks. ejer/redaktør).

Har alle disse medarbejdere stadig brug for adgang? Er de uddannet til at beskytte data?

3. Placering for data
– Angiv den fysiske placering af de personlige data
– Tjek, om data er gemt i to eksemplarer eller mere end ét sted

Er disse foldere sikre? Er placeringerne sat op med kryptering, adgangskontrol, sikkerhedskopier og stærke adgangskoder?

4. Opbevaring af data
– Tjek, hvor længe I har haft dataene
– Marker data I har haft i over 2-5 år

Er dette i overensstemmelse med jeres privatlivspolitik?

5. Formål og retsgrundlag
– Tjek, hvem data tilhører
– Bemærk, hvad I bruger personoplysningerne til

Har I samtykke eller et andet juridisk grundlag for at indsamle og opbevare alle data?

For de fleste virksomheder er det en udfordring at finde tid til at opgøre data. Hvis I opgør jeres data manuelt, kan det tage mange timer, som sagtens kan bruges på andre og umiddelbart mere værdifulde opgaver. Selvom det lykkes at gennemsøge alle jeres datasystemer og mailklienter, der indeholder personlige data, er det stadig svært at være sikker på, om man virkelig har fundet alt.

I har flere muligheder for, at lave en opgørelse over jeres persondata. Det bedste valg afhænger af størrelsen på jeres organisation og de typer data, I behandler.

1. Udfør en manuel opgørelse
Denne tilgang er tidskrævende. Det er også svært at gøre det grundigt opgørelse over persondata manuelt. Især hvis I gemmer masser af data flere steder – som de fleste af os desværre gør. Det kan dog være en effektiv måde at få en omfattende forståelse af jeres data på.

2. Hyr en leverandør eller konsulent
I kan betale en leverandør til at udføre opgørelsen på jeres vegne. Leverandøren kan bruge specialiserede værktøjer og ekspertise til at identificere og dokumentere alle de personlige data, jeres organisation behandler. Dette kan være dyrt. Vælg jeres leverandør med omhu for at sikre, at leverandøren er velrenommeret og troværdig.

3. Brug software
I kan bruge software til dataopgørelse til at scanne jeres systemer for at identificere personlige data. Det kan også fortælle jer, hvilke typer data I har, hvor gamle de er, og hvor I gemmer dem. Brug af software er hurtigere og mere effektivt end en manuel opgørelse og kan være billigere end at hyre en leverandør.

Vi anbefaler denne sidste mulighed. Men mange dataopdagelses-værktøjer er designet til store virksomheder. De er dyre og kræver IT-support at sætte op. Af denne årsag er software ikke relevant for små og mellemstore virksomheder.