Alt du skal vide om GDPR (og GDPR ordbogen)

Selvom det kan virke sådan, så er GDPR ikke sat i verden for at øge mængden af papirarbejde og regler, der skal overholdes.

I takt med udbredelsen af internettet er deling af data i tjenester og platforme steget eksponentielt. Dette har skabt et behov for at opsætte et regelsæt for, hvilke persondata man må opbevare, og hvordan disse skal opbevares.

I takt med udbredelse af sociale medier har der igennem tiden været flere sager om misbrug af persondata, hvor specielt Cambridge analytica sagen i 2018 har været med til at øge fokus på, hvordan man må behandle persondata.

Databeskyttelesforordningen opsummeret

GDPR (General Data Protection Regulation), også kendt som databeskyttelsesforordningen eller persondataforordningen, er en EU-forordning, som trådte i kraft den 25. maj 2018.

Forordningens formål er at fremme beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger i EU.

Ifølge databeskyttelsesforordningen skal alle europæiske organisationer - både private og offentlige - først og fremmest kunne dokumentere, at persondata bliver behandlet i overensstemmelse med reglerne på området.  

Udover GDPR reguleres reglerne om databeskyttelse også af den danske databeskyttelseslov, der gennemfører og supplerer GDPR. 

Du kan læse hele forordningen i fuld længde, eller få hovedpunkterne forklaret ved at læse videre i denne artikel.

Vil du læse mere om hvad GDPR er? Så har vi skrevet en artikel om netop det emne og hvad GDPR compliance egentlig er. Du kan læse artiklen her: Hvad er GDPR compliance?

Derfor skal du have en fortegnelse

Et af de vigtigste krav i persondataforordningen er, at alle dataansvarlige og databehandlere skal føre interne fortegnelser over behandlingsaktiviteter (arbejdsproces hvori der behandles personoplysninger). Fortegnelsen sikrer, at dataansvarlige og -behandlere har dannet sig det påkrævede overblik, og dermed efterlever forordningens regler. Du skal til enhver tid kunne fremvise fortegnelsen over dine behandlingsaktiviteter til Datatilsynet efter anmodning. Fortegnelser skal foreligge skriftligt og elektronisk, og der stilles ikke nogen krav til formatet heraf.  

 

Hvilke oplysninger skal en artikel 30 fortegnelse indeholde?

Artikel 30 fortegnelsen er delt op i 30.1 og 30.2, der hhv. der omhandler oplysninger for dataansvarlige og databehandlere.

Fortegnelse for dataansvarlige (30.1 fortegnelse) 

Alle virksomheder der behandler persondata skal lave en artikel 30.1 fortegnelse. Her er du dataansvarlig, hvilket betyder, at du har ansvar for den data, der behandles. Du skal derfor udarbejde en artikel 30.1 fortegnelse over dine behandlingsaktiviteter hvis du f.eks. behandler data på medarbejdere i forbindelse med lønudbetaling. Fortegnelsen skal indeholde: 

• Navn og kontaktoplysninger for den dataansvarlige.
• Formålene med behandlingen.  
• Kategorier af registrerede og kategorier af personoplysninger.  
• Kategorier af modtagere ved videregivelse. 
• Overførsler til tredjelande og internationale organisationer. 
• Slettefrister for de forskellige kategorier af oplysninger. 
• Beskrivelse af tekniske og organisatoriske foranstaltninger hvis muligt. 
   

Fortegnelse for databehandlere (30.2 fortegnelse) 

Det er ikke alle virksomheder, der skal lave en artikel 30.2 fortegnelse. Denne skal kun udarbejdes af virksomheder, der agerer i rollen databehandler. At være databehandler betyder, at du ikke er ansvarlig for den persondata der behandles, men du behandler den på vegne af en anden dataansvarlig virksomhed. 

Eksempler på typiske databehandler virksomheder kan være en it-leverandør eller et marketingbureau, der behandler data på vegne af deres kunder. 

*Databehandlere registreres også på en 30.1 fortegnelse, og denne skal alle dataansvarlige virksomheder udarbejde. Her registreres de databehandlere som I benytter, hvor der på en 30.2 registreres de virksomheder, der bruger jer som databehandler. 

• Navn og kontaktoplysninger for databehandleren (dig som leverandør) og den dataansvarlige  (kunden) på hvis vegne databehandleren handler. 
• Kategorier af behandlinger der foretages på vegne af den dataansvarlige. 
• Overførsler til et tredjeland eller en international organisation 
• Beskrivelse af tekniske og organisatoriske foranstaltninger hvis muligt

Hvornår skal du have en fortegnelse? 

Stort set alle virksomheder og organisationer skal føre en fortegnelse over deres behandlingsaktiviteter.

Har du brug for hjælp til at udarbejde din fortegnelse?

Læs hvordan Privacy platformen kan hjælpe dig med at holde din fortegnelse opdateret.

Hvordan fører jeg tilsyn med mine databehandlere?

Det er ikke tilstrækkeligt at indgå en databehandleraftale med dine databehandlere, som dataansvarlig virksomhed eller myndighed er I også forpligtet til løbende at føre tilsyn med, at databehandlerne efterlever databehandleraftalen. Dette tilsyn skal I til enhver tid kunne dokumentere overfor Datatilsynet. 

Sådan foretager du et tilsyn med dine databehandlere

Datatilsynet opstiller en vejledende model, som du kan støtte dig til, når du skal vurdere, hvordan du vil føre tilsyn med dine databehandlere. Modellen består af en pointskala, som kan indikere, hvor risikofyldt behandlingen af personoplysninger er. Herudover er der seks tilsynskoncepter, som gradvist stiller større krav til tilsynet. Du kan fokusere på det/de tilsynskoncepter, der er relevante for dig, baseret på hvor mange point du har fået i pointskalaen. 

Hvad er formålet med en risikovurdering?  

En risikovurdering er en vigtig proces, der hjælper virksomheder med at tage strategiske beslutninger og sikre deres sikkerhedsforanstaltninger. Formålet med risikovurderingen er at opnå en dybdegående forståelse af eventuelle risici forbundet med virksomhedens operationer og vurdere sandsynligheden og de mulige konsekvenser, hvis disse risici skulle opstå. Ved at undersøge risici fra forskellige perspektiver - fra arbejdsmiljø til økonomisk investering og databeskyttelse - kan virksomheden forudse potentielle udfordringer og proaktivt implementere løsninger for at reducere deres påvirkning.

I forbindelse med GDPR er risikovurderingen et afgørende værktøj, der hjælper virksomheder med at sikre en pålidelig og lovlig behandling af persondata. Formålet med risikovurderingen er at identificere potentielle risici for, at persondata kan blive kompromitteret, og dermed sikre, at passende sikkerhedsforanstaltninger er på plads. Dette kræver en skræddersyet tilgang, da risici kan variere markant fra virksomhed til virksomhed.

Hvordan laver du en risikovurdering? 

At udføre en effektiv risikovurdering inden for rammerne af GDPR kræver en systematisk og struktureret tilgang. Din organisation skal have en overordnet ramme, der giver mulighed for at navigere i et komplekst landskab af risici. Dette gør det muligt at identificere, kategorisere og prioritere forskellige risici - fra sikkerhedsbestemmelser til fortrolighedsbetingelser og dokumentopbevaring. Det hjælper dig med at allokere ressourcerne effektivt til risikohåndtering og garanterer din overholdelse af reguleringer som GDPR.

For det første skal du identificere og liste potentielle trusler relateret til dine persondataaktiviteter. Disse kan være alt fra risici forbundet med håndtering af følsomme persondata, krav til samtykke, datasikkerhed, til risici ved overførsel af persondata til tredjelande. Inkluder alle relevante stakeholders i denne proces, da det kan hjælpe med at sikre, at alle aspekter er dækket.

Herefter skal du evaluere sandsynligheden for, at disse trusler opstår. Dette kræver en realistisk vurdering af de aktuelle trusler og sårbarheder. For eksempel, hvis din organisation tillader fjernarbejde, kan en potentiel trussel være et hackerangreb på medarbejdernes hjemmekontor. Vurder i hvilket omfang denne trussel er relevant for din organisation.

Næste skridt er at vurdere konsekvenserne, hvis disse trusler bliver til virkelighed. Overvej konsekvenserne for den registrerede, hvis disse data skulle blive kompromitteret. Hvad ville det betyde for den enkelte person? Hvordan ville det påvirke din virksomhed?

Den samlede risikovurdering for hver trussel kan så beregnes ved at multiplicere sandsynligheden med konsekvensen. Denne kvantitative tilgang kan hjælpe med at prioritere hvilke risici, der kræver mest opmærksomhed.

Efter du har gennemført din risikovurdering, er det essentielt at implementere passende foranstaltninger for at minimere og håndtere disse risici. Gennem hele denne proces skal du sikre dokumentation, så du kan demonstrere overholdelse af GDPR, hvis det er nødvendigt. Gennemførelse af en omhyggelig og grundig risikovurdering er ikke kun vigtigt for at overholde GDPR, men også for at beskytte din virksomheds omdømme og økonomiske stabilitet.

Eksempel på en risiko: håndtering af persondata via e-mail.

Eksempel: Risikovurdering af deling af persondata via e-mail. Trussel: En medarbejder sender ved en fejltagelse en e-mail indeholdende følsomme personoplysninger om 50 klienter til en forkert modtager.

Sandsynlighed: Da virksomheden dagligt bruger e-mail til at kommunikere med klienter og dele oplysninger internt, er der en middel sandsynlighed for, at sådan en fejl kan ske. Virksomheden har implementeret procedurer for at minimere denne risiko, men menneskelige fejl kan ikke fuldstændigt udelukkes.

Konsekvens: De udsendte oplysninger kan potentielt blive misbrugt af den forkerte modtager, hvilket kan føre til identitetstyveri eller andre former for misbrug. Dette vurderes som en høj konsekvens.

Husk, det er vigtigt at vurdere risici for alle virksomhedens behandlingsaktiviteter, hvilket inkluderer alle de forskellige måder, du indsamler, gemmer, bruger og deler personoplysninger på. Du kan finde en detaljeret liste over disse aktiviteter i din fortegnelse over behandlingsaktiviteter.

Er det svært at overskue, hvordan du selv skal lave en risikovurdering?

Læs vores artikel: Gennemførsel af GDPR risikovurderinger - et eksempel og rammeværktøj

Du kan også læse om vores risikmodul i Privacy her

I henhold til artikel 32 i databeskyttelsesforordningen kræves det, at den dataansvarlige implementerer passende tekniske og organisatoriske sikkerhedsforanstaltninger for at imødekomme de risici, der er forbundet med behandlingen af persondata. 

Disse krav om passende sikkerhedsforanstaltninger gælder både for elektronisk og fysisk behandling af persondata. Det betyder, at den dataansvarlige skal træffe de nødvendige foranstaltninger for at beskytte persondata mod uautoriseret adgang, ændring, videregivelse, ødelæggelse eller anden ulovlig behandling.  

Tekniske sikkerhedsforanstaltninger 

De tekniske sikkerhedsforanstaltninger omfatter implementeringen af sikkerhedsteknologier og -løsninger, såsom:  

• Opdatering af software 
• Firewall 
• Antivirus  
• Kryptering 
• Backup 
• Logning 
• Stærke adgangskoder 
• Adgangsrettigheder 

 
Opdatering af software

Det er vigtigt at holde jeres systemer opdaterede for at undgå sikkerhedsbrister. Når en softwareudbyder opdager en sikkerhedsbrist, vil de hurtigt frigive en ny version, som lukker sikkerhedshullet. 

Firewall 

En firewall fungerer som en beskyttende barriere og forhindrer uønsket trafik i at få adgang til jeres netværk. Det anbefales at have en firewall konfigureret på alle netværk for at beskytte mod uautoriseret adgang. 

Antivirus  

Antivirus er afgørende for at forhindre skadelige filer i at inficere jeres enheder. Det overvåger og blokerer for mistænkelig aktivitet og kan forhindre skaden, før den sker.  

Kryptering 

Ved at anvende kryptering gøres jeres data ulæselig for uautoriserede personer. Kryptering sikrer, at kun dem med den rette dekrypteringsnøgle kan læse de fortrolige oplysninger. 

Backup 

Regelmæssig backup af jeres data er vigtig for at beskytte mod datatab. Hvis uheldet er ude, og data går tabt eller bliver beskadiget, kan I gendanne dem fra backup-kopier.

Logning 

Logning indebærer at registrere og overvåge aktiviteter på jeres systemer. Dette giver mulighed for at spore og analysere hændelser, hvilket er nyttigt for at opdage og reagere på eventuelle sikkerhedsproblemer.  

Stærke adgangskoder

Adgangskoder skal være komplekse og unikke for at forhindre uautoriseret adgang. Undgå enkle eller let genkendelige mønstre og opmuntre brugerne til at vælge stærke adgangskoder.

Adgangsrettigheder

Det er vigtigt at tildele medarbejderne adgangsrettigheder, der er nødvendige for deres arbejde. Undgå at give fuld adgang til systemer, medmindre det er påkrævet. Dette sikrer overholdelse af GDPR og minimerer risikoen for misbrug af adgangsprivilegier.

Organisatoriske sikkerhedsforanstaltninger

De organisatoriske sikkerhedsforanstaltninger indebærer:  

• Implementeringen af interne politikker og procedurer 
• Medarbejdertræning og bevidsthed  
• Begrænsning af adgangsrettigheder 
• Implementering af dataopbevarings- og slettepolitikker
  
  

Implementering af interne politikker og procedurer 

I bør udvikle og implementere klare og omfattende politikker of procedurer, der fastlægger retningslinjer for databeskyttelse.  
 

Medarbejdertræning og bevidsthed 

En vigtig del af de organisatoriske sikkerhedsforanstaltninger er at sikre, at medarbejderne er opmærksomme på deres ansvar for databeskyttelse og har den nødvendige viden og færdigheder til at håndtere persondata sikkert. Dette kan opnås gennem regelmæssig træning og opdateringer om databeskyttelsesprincipper, bedste praksis og juridiske krav. Ved at investere i medarbejdertræning kan organisationen styrke databeskyttelseskulturen og minimere risikoen for fejl eller uagtsomhed i behandlingen af persondata.

Begrænsning af adgangsrettigheder

"Begrænsning af adgangsrettigheder" er en vigtig sikkerhedsforanstaltning i forbindelse med GDPR, der har til formål at minimere risikoen for utilsigtet eller uautoriseret adgang til persondata. Ved at begrænse adgangsrettighederne sikres det, at kun de medarbejdere, der har brug for specifikke personoplysninger for at udføre deres arbejdsopgaver, har adgang til disse data.

Dette kan opnås gennem forskellige tekniske og organisatoriske metoder. På den tekniske side kan det indebære brug af adgangskoder, tofaktorautentificering, kryptering eller brugeradgangskontrolsystemer. På den organisatoriske side kan det indebære politikker og procedurer, der afgør, hvem der har adgang til hvilke data.

Begrænsning af adgangsrettigheder hjælper med at minimere risikoen for databrud, beskytter personlige data og hjælper organisationer med at opfylde deres forpligtelser i henhold til GDPR. Det er en essentiel del af enhver databeskyttelsesstrategi.

Implementering af dataopbevarings- og slettepolitikker

Det er vigtigt at have klare retningslinjer for, hvor længe persondata skal opbevares, og hvornår det skal slettes.  

Har du overblik over hvor og hvilke sikkerhedsforanstaltninger du har implementeret? Lad Privacy ISMS hjælpe dig med den opgave.

I den digitale æra, hvor data er en afgørende ressource, er det vigtigt at forstå de forskellige roller, man kan have i forhold til databeskyttelse. Under GDPR (General Data Protection Regulation) defineres disse roller klart for at sikre, at persondata håndteres ansvarligt og sikkert. Om du er en enkeltperson, en del af et team, eller arbejder sammen med andre organisationer, kan dit dataansvar variere. Lad os dykke ned i de forskellige former for dataansvar: eget dataansvar, delt dataansvar, og fælles dataansvar, og udforske, hvad hver rolle indebærer.

Eget dataansvar 

Når du har eget dataansvar, betyder det, at din organisation alene er ansvarlig for behandlingen af personoplysninger. Dette indebærer, at du skal sikre, at alle aspekter af databehandlingen overholder GDPR. Fra indsamlingen af data til lagring og eventuel sletning, er det dit ansvar at implementere passende sikkerhedsforanstaltninger. Dette omfatter også at informere de registrerede om, hvordan og hvorfor deres data behandles, samt at sikre deres rettigheder ifølge GDPR.

Delt dataansvar 

Delt dataansvar opstår, når din organisation arbejder sammen med en eller flere eksterne parter om databehandlingen. I dette scenarie skal alle parter klart definere deres ansvarsområder og sikre, at personoplysningerne håndteres korrekt i henhold til GDPR. Samarbejdet kræver en aftale, der præcist angiver, hvem der er ansvarlig for hvad, herunder beskyttelse af data og håndtering af eventuelle dataovertrædelser. Det er afgørende at have klare kommunikationslinjer og processer på plads for at sikre, at alle parter forstår deres ansvar.

Fælles dataansvar 

Fælles dataansvar refererer til situationer, hvor to eller flere organisationer sammen bestemmer formålene med og midlerne til databehandlingen. Dette kræver et tæt samarbejde for at sikre, at personoplysningerne behandles i overensstemmelse med GDPR. Organisationerne skal indgå en aftale, der detaljeret beskriver deres respektive forpligtelser, herunder hvordan de registreredes rettigheder sikres. Det er også vigtigt, at de registrerede informeres tydeligt om, hvem de kan kontakte vedrørende deres data, og hvordan deres rettigheder kan udøves.

Ved at lave en overskuelig datamapping kan du få et bedre overblik over dine roller og forpligtelser.

Læs mere om hvordan du laver data mapping i denne artikel.

Brug behandlingsaktivitetsmodulet i Privacy til at få styr på din rolle og hvor du har dataansvar.

I en globaliseret verden er overførsel af personoplysninger over landegrænser en almindelig handling. Det er dog vigtigt at være opmærksom på, at ikke alle lande tilbyder samme niveau af databeskyttelse som EU under GDPR. Et "usikkert tredjeland" refererer til et land uden for EU/EØS, som EU ikke har anerkendt for at have et tilstrækkeligt databeskyttelsesniveau.

Hvorfor er det vigtigt?

Overførsel af personoplysninger til et usikkert tredjeland kan indebære risici for de registreredes rettigheder og friheder, fordi disse lande måske ikke har strenge databeskyttelseslove, der svarer til GDPR's standarder. Dette kan gøre personoplysninger sårbare over for uautoriseret adgang og misbrug.

Særlig opmærksomhed er nødvendig

For at beskytte personoplysninger og overholde GDPR, er det afgørende, at organisationer udviser særlig opmærksomhed, når de overfører data til tredjelande. Dette omfatter:

• Vurdering af databeskyttelsesniveauet i det pågældende land: Før en overførsel finder sted, bør en grundig vurdering udføres for at forstå, om det pågældende land tilbyder et tilstrækkeligt databeskyttelsesniveau.

• Anvendelse af passende sikkerhedsforanstaltninger: Hvis landet ikke tilbyder et tilstrækkeligt beskyttelsesniveau, skal organisationen implementere passende sikkerhedsforanstaltninger. Dette kan omfatte standard kontraktbestemmelser godkendt af EU, bindende virksomhedsregler eller specifikke undtagelser i begrænsede situationer.

• Transparent kommunikation: Det er vigtigt at informere de registrerede om overførslen af deres data til et tredjeland og de foranstaltninger, der er taget for at beskytte deres data.

Ved at tage disse skridt kan organisationer sikre, at de navigerer sikkert i overførsler af personoplysninger til tredjelande, beskytter de registreredes data og overholder GDPR's krav. Dette understreger organisationens engagement i databeskyttelse og styrker tilliden hos både brugere og partnere.

Bruger du nogle af de store Cloud services? Så ligger databehandleren formentlig i et usikkert tredjeland. Du kan læse mere om GDPR ift. Cloud services her.

I hjertet af enhver effektiv databeskyttelsesstrategi ligger klart definerede politikker og procedurer. Disse dokumenter er ikke blot formelle krav; de er fundamentale for at sikre, at personoplysninger håndteres ansvarligt, transparent og i overensstemmelse med gældende lovgivning som GDPR.

Vigtigheden af veldefinerede politikker og procedurer

Ved at etablere og vedligeholde omfattende politikker og procedurer sikrer en organisation, at alle medarbejdere forstår deres roller og ansvar i forhold til databeskyttelse. Dette sikrer en konsistent tilgang til håndtering af personoplysninger og hjælper med at forebygge databrud og andre sikkerhedsrisici. Desuden demonstrerer det over for regulerende myndigheder, partnere og ikke mindst brugerne, at organisationen tager databeskyttelse alvorligt og opererer med en høj grad af integritet og ansvarlighed.

Eksempel: Privatlivspolitik

Et konkret eksempel på en vigtig politik er privatlivspolitikken. Denne politik spiller en central rolle i at informere brugere om, hvordan deres personoplysninger indsamles, anvendes, beskyttes og deles af organisationen. En effektiv privatlivspolitik bør klart angive:

• Formålene med dataindsamling
• Kategorier af personoplysninger, der indsamles
• Hvordan data anvendes og deles med tredjeparter
• Brugerens rettigheder i forhold til deres data, herunder hvordan de kan tilgå, rette, eller slette deres personoplysninger
• Kontaktoplysninger for yderligere spørgsmål om databeskyttelse

En veludformet privatlivspolitik sikrer ikke kun overensstemmelse med GDPR, men styrker også brugernes tillid ved at vise, at organisationen værner om deres privatliv.

Hvilke dokumenter skal du som minimum have på plads, for at være GDPR compliant? Det kan du læse mere om i vores artikel om obligatoriske GDPR dokumenter her.

I en tid, hvor digitale trusler og databrud bliver stadig mere sofistikerede, er det ikke nok kun at have de rette politikker og procedurer på plads. Det er lige så vigtigt at sikre, at alle i organisationen forstår deres betydning og ved, hvordan de skal handle i praksis. Awareness og undervisning om databeskyttelse er derfor afgørende for at styrke organisationens sikkerhedsstilling.

Hvorfor er awareness og undervisning vigtigt?

• Forebyggelse af databrud: Medarbejdere, der er uddannede i databeskyttelse, er mindre tilbøjelige til at begå fejl, der kan føre til databrud, såsom at klikke på phishing-e-mails eller dele følsomme oplysninger uforsigtigt.

• Overholdelse af lovgivning: Forståelse for GDPR og andre relevante databeskyttelseslove sikrer, at medarbejdere handler i overensstemmelse med lovgivningen i deres daglige arbejde.

• Styrkelse af kunde- og brugertillid: Organisationer, der demonstrerer et klart fokus på databeskyttelse gennem uddannelse og awareness, opbygger større tillid hos kunder og brugere.

Implementering af effektiv awareness og undervisning

• Regelmæssige træningssessioner: Afholdelse af regelmæssige undervisningssessioner for at sikre, at medarbejderne er opdaterede med de seneste databeskyttelsespraksisser og trusler.

• Tilpassede læringsforløb: Udvikling af læringsforløb, der er tilpasset forskellige roller inden for organisationen, da forskellige afdelinger kan have brug for specifik viden om databeskyttelse.

• Brug af realistiske scenarier: Anvendelse af realistiske scenarier og case-studies i træningen for at gøre læringen relevant og engagerende for medarbejderne.

• Skabelse af en kultur for databeskyttelse: Fremme en organisationskultur, hvor databeskyttelse ses som en integreret del af dagligdagen, og hvor medarbejdere føler sig ansvarlige for at beskytte personoplysninger.

Er du DPO eller databeskyttelsesansvarlig i din virksomhed? Ved du at det er en af dine forpligtelser, at udsende og dokumentere awarenesstræning? 

Du kan læse mere om vores DPO værktøj her.

Eller læse mere om hvad DPO'en forpligtelser egentlig er, i denne artikel.

Med principperne Privacy by Design og Privacy by Default indarbejdes databeskyttelse allerede fra starten af produktets eller tjenestens udvikling. 

Privacy by Design

Privacy by Design er et vigtigt princip for behandlingen af personoplysninger, som er fastsat i artikel 25 i databeskyttelsesforordningen. Det indebærer en proaktiv tilgang til databeskyttelse, der foksuserer på risikostyring og omfatter alle aspekter af databehandlingen, herunder IT-systemer, arbejdsprocesser og fysisk infrastruktur (f.eks. hardware).  

 Privacy by Design kræver, at persondatasikkerheden beskyttes i hele livscyklussen for databehandling, uanset om det drejer sig om et system, et hardware- eller softwareprodukt, en tjeneste eller en proces. Det er afgørende at implementere sikkerhedsforanstaltninger tidligt i projektets faser for at sikre, at databeskyttelse bliver en integreret del af udviklingsprocessen og ikke blot bliver tilføjet senere. På den måde bliver beskyttelse af persondatasikkerheden indlejret i selve behandlingen af persondata.

Privacy by Default 

Privacy by Default er et vigtigt princip, som sikrer, at produkter og tjenester allerede fra begyndelsen er indstillet til at opretholde den højeste grad af persondatabeskyttelse.  

Privacy by Default kræver, at standardindstillingerne for et produkt eller en tjeneste er designet til at sikre optimal beskyttelse af personoplysninger. Dette betyder, at alle privacy-relevante indstillinger og konfigurationer er sat til at beskytte brugerens persondata som standard. Brugeren skal derefter aktivt ændre indstillingerne, hvis de ønsker at justere niveauet af privatlivsbeskyttelse. 

På denne måde beskyttes persondata fra begyndelsen og er indlejret i designet og funktionen af et produkt eller en tjeneste. Privacy by Default er således et afgørende princip for at opnå høj standard for databeskyttelse og skabe tillid hos brugerne. 

For at sikre en ansvarlig og lovlig håndtering af personoplysninger, er det afgørende for enhver organisation at efterleve de grundlæggende principper for databehandling som defineret i GDPR. Disse principper udgør kernen i databeskyttelseslovgivningen og skal guide alle aspekter af, hvordan personoplysninger indsamles, behandles og opbevares.

De Grundlæggende Principper

• Lovlighed, rimelighed og gennemsigtighed: Data skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.

• Formålsbegrænsning: Data skal indsamles til specifikke, udtrykkelige og legitime formål og ikke viderebehandles på en måde, der er uforenelig med disse formål.

• Dataminimering: Kun den data, der er nødvendig for at opfylde de angivne formål, skal indsamles og behandles.

• Korrekthed: Data skal være korrekte og, hvor det er nødvendigt, holdes opdateret.

• Opbevaringsbegrænsning: Data skal opbevares på en måde, så det er muligt at identificere de registrerede i ikke længere tid end nødvendigt for de formål, hvortil personoplysningerne behandles.

• Integritet og fortrolighed: Data skal behandles på en måde, der sikrer passende sikkerhed, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod utilsigtet tab, ødelæggelse eller skade, ved anvendelse af passende tekniske eller organisatoriske foranstaltninger.

• Ansvarlighed: Den dataansvarlige skal være ansvarlig for, og kunne påvise overholdelse af de ovenstående principper.

Implementering i Praksis

For at efterleve disse principper bør organisationer:

• Gennemføre regelmæssige databeskyttelsesvurderinger: For at identificere og minimere risici i forbindelse med databehandlingsaktiviteter.

• Uddanne medarbejdere: Sikre, at alle medarbejdere forstår principperne for databehandling og deres betydning for organisationens daglige drift.

• Implementere og vedligeholde passende sikkerhedsforanstaltninger: For at beskytte personoplysninger mod sikkerhedsbrud.

• Opdatere politikker og procedurer: For at afspejle ændringer i lovgivning, bedste praksisser eller organisationens interne forhold.

Ved at integrere disse principper i organisationens DNA sikrer man ikke blot overholdelse af GDPR, men også at personoplysninger behandles med den største respekt og beskyttelse. Dette skaber tillid hos brugere, kunder og partnere og understøtter en kultur af databeskyttelse og -sikkerhed.

Lever du op til GDPR? Eller har du brug for hjælp til at få et overblik over det? Vores gratis Compliance årshjul kan hjælpe dig på vej.

Læs mere om Privacys gratis Compliance Årshjul her.

Hvilke aktiviteter skal du planlægge i det? Du kan starte med disse aktiviteter der var fokus på i 2023.

Hvordan håndterer du et sikkerhedsbrud?

Når det kommer til håndtering af et sikkerhedsbrud, er det vigtigt at have en klar og effektiv proces på plads. Her er nogle nøgletrin til at håndtere et sikkerhedsbrud:  

• Identificer et sikkerhedsbrud
• Afklar omfanget af sikkerhedsbruddet og foretag en risikovurdering
• Stop sikkerhedsbruddet og inddrag databehandlere
• Informer de berørte og eventuelt Datatilsynet
• Dokumenter alle sikkerhedsbrud 

 

Identificer et sikkerhedsbrud 

Det første skridt er at være opmærksom på og identificere, at der er sket et sikkerhedsbrud. Dette kan ske gennem overvågningssystemer, advarsler eller rapporter fra brugere eller interne ressourcer.

Afklar omfanget af sikkerhedsbruddet og foretag en risikovurdering 

Det er vigtigt at forstå omfanget af sikkerhedsbruddet og evaluere de potentielle risici, der er forbundet med det. Dette indebærer at analysere, hvilke data der er blevet kompromitteret, og hvilke konsekvenser det kan have for de berørte personer og organisationen som helhed.

Stop sikkerhedsbruddet og inddrag databehandlere 

Hvis det er muligt, skal I tage skridt til at standse sikkerhedsbruddet og forhindre yderligere uautoriseret adgang eller spredning af data. Det kan også være nødvendigt at inddrage relevante databehandlere eller tredjeparter for at håndtere bruddet og minimere skaden.

Informer de berørte og eventuelt Datatilsynet 

Det er afgørende at informere de berørte personer om sikkerhedsbruddet og dets konsekvenser. Dette kan opfatte at give klare oplysninger om, hvilke data der er blevet kompromitteret, hvilke trin de kan tage for at beskytte sig selv, og hvordan organisationen håndterer situationen. Hvis bruddet er af en vis alvorlighed, skal det også rapporteres til Datatilsynet. 

Dokumenter alle sikkerhedsbrud 

Det er vigtigt at dokumentere alle detaljer om sikkerhedsbruddet, herunder tidspunktet for opdagelsen, hvilke trin der blev taget for at håndtere bruddet, og de forebyggende foranstaltninger, der blev iværksat for at undgå gentagelse. Dette sikrer en omfattende oversigt over bruddet og kan være nyttig i fremtidige undersøgelser og rapportering. 

Hvornår skal du anmelde et sikkerhedsbrud? 

I skal anmelde et sikkerhedsbrud til Datatilsynet så hurtigt som muligt og inden for 72 timer efter opdagelsen af sikkerhedsbruddet.  

Har du brug for hjælp til dit GDPR compliance arbejde? I .legal har vi en Compliance platform ved navn Privacy. Du kan tage den gratis i brug og komme i gang med dine dokumentationsopgaver.

Læs mere om platformen her:

.legal's compliance platform

Privacy GDPR priser og planer

Kom gratis i gang med vores Compliance platform

Fordele ved Privacy Pro i større organisationer

Har jeg brug for en Compliance platform? Sådan kan du finde ud af det.

Hvad er forskellen på at bruge en Compliance platform og Excel?

Læs om vores Data Privacy Management Software her.