Evaluering

Når din virksomhed har fået overblik over, hvilken type persondata I har, om det er nødvendigt, I har denne data, om I har behandlingshjemmel, i hvilke systemer data findes (fysiske og digitale), hvordan brugerstyringen til denne data er, og hvilke politikker, procedurer og processer I allerede har på plads, er det tid til den næste fase, som er evaluering af de forskellige områder.

Risikoanalyse

Der skal laves en vurdering af risikoen ved de enkelte systemer. Justitsministeriet har skrevet, at gamle systemer ikke skal gennemgå en konsekvensanalyse, men at det kun er nye systemer. Man kan med rette stille spørgsmålet, hvordan dette skal kunne lade sig gøre, da en risikoanalyse er baseret på en konsekvensanalyse.
Derfor er nedenstående afsnit interessant at læse alligevel, da det er samme metodeværk, der bruges til at få defineret risici.
GlobalSequr’s vurdering på nuværende tidspunkt er, at man til hvert system skriver et afsnit omkring, hvad din virksomhed vurderer, der er af risici ved systemet, hvilke mitigerende tiltag der er blevet foretaget,og hvad beredskabsplanen indeholder af punkter.

Konsekvensanalyse (DPIA)

DPIA står for Data Protection Impact Assessment og betyder, at I skal konsekvensanalysere nye systemer (ikke eksisterende systemer), der lever op til følgende karakteristika:

  • Hvis der foretages systematisk og omfattende automatisk behandling af persondata
  • Hvis der foretages omfattende behandling af følsomme oplysninger
  • Hvis der foretages omfattende overvågning af offentligt tilgængelige områder

Ved at bruge DPIA som et værktøj får I følgende fordele:

  • Risikostyring ift. behandling af persondata
  • Mindre sandsynlighed for datalækager
  • Nemmere at blive compliant i forhold til persondataforordningen
  • Privacy by design (også kendt som Security by design indenfor IT-sikkerhed) og Privacy by default kan blive en del af udviklingsprocessen af it-systemer fremfor senere
  • Bedre overblik i tilfælde af et sikkerhedsbrud

Eksempel på en DPIA i en virksomhed

Virksomheden er en rendyrket e-shop, som sælger tøj. Tilknyttet internetshoppen er der en kundedatabase, som dermed indeholder persondata. Virksomheden har identificeret, at det værst tænkelige, der kunne ske, er, at hele kundedatabasen bliver slettet eller lækket på internettet. Dette kan ske enten via et hackerangreb eller ved en medarbejder, der enten laver en fejl eller bevidst ønsker at forvolde skade.
Følgende model viser grafisk, hvilke elementer der udgør den samlede risiko:

Når konsekvensanalysen er blevet udarbejdet, har din virksomhed et overblik over, hvilke risici de forskellige systemer har, og I har mulighed for at implementere de IT-sikkerhedsmæssige foranstaltninger.

Datastrømanalyse

Hvis din virksomhed har mange systemer, kan datastrømsanalysen være den største opgave – specielt, hvis I ikke har prøvet det før.
For effektivt at kortlægge dine data skal du forstå datastrømmen, beskrive den og identificere dens nøgleelementer. Det vil f.eks. indeholde, hvordan data kommer ind, bliver ændret, slettet og bevæger sig på tværs af fysiske og digitale systemer.
Det er vigtigt, at denne analysefase bliver struktureret, og man ikke gør mere, end lovgivningen foreskriver – det vil være nok at lave en overordnet beskrivelse.

Forstå datastrømmen

En datastrøm er en overførsel af persondata fra et sted til et andet, for eksempel:

  • Fra et land i EU til et land uden for EU
  • Fra leverandører og underleverandører til kunder
  • Fra ét system til et andet

Beskriv datastrømmen

Gå gennem datas livscyklus for at identificere uforudsete eller utilsigtet brug af data. Hermed bliver det også nemmere at identificere og minimere hvilken data, der indsamles.

Derudover er det vigtigt at sikre, at de personer, der bruger oplysningerne, er informeret om de praktiske konsekvenser.

Identificer hovedelementerne

Ét af de helt store temaer i persondataforordningen er, hvordan data kommer ind. Her er der to muligheder:

  • Virksomheden modtager data (accepteret af brugeren)
  • Indsamling af data (ingen accept af brugeren)

Der er stor forskel på disse områder, og lovgivningen vil slå hårdest ned på den gruppe, der indsamler, sammenkører og bruger persondata som en del af deres forretningsmodel.

De spørgsmål, som man ønsker at få svar på, når vi kigger på jeres systemer, er:

  • Hvilken type data behandles (navn, e-mail, adresse m.v.)?
  • Hvilken type af data er der tale om?
    Personidentificerbare data (f.eks. navn, adresse, telefonnummer og e-mail)
    Personfølsomme data (f.eks. religion, seksualitet, etnicitet og fagforening)
  • I hvilket format bliver data gemt?
    Digitale systemer (beskriv hvilke)
    Fysiske systemer (beskriv hvilke)
  • Hvordan indsamler I data?
    E-mail
    Telefon
    Sociale medier
  • Hvordan deler I data internt og eksternt?
  • Hvilke steder er involveret i datastrømmen?
    Kontorer
    Cloud
    Tredjepart
  • Hvem er ansvarlig for personoplysningerne?
    Er det statisk, eller ændrer det sig organisatorisk?
    Hvordan tilgås data, og hvilke styringsværktøjer er der til at tilgå data?
    Hvem har adgang til data?

Persondata kan befinde sig forskellige steder i organisationen. Dette kan være på papir på skriveborde, i aflåste skabe, i digitale systemer. Så den første udfordring er at afgøre hvilken information, der skal registreres og i hvilket format.
På baggrund af konsekvensanalysen (PDIA), skal der identificeres, om der er tilstrækkelig sikkerhed omkring den pågældende form for persondata. Når man kigger på sikkerheden, er der 3 hovedområder:

Når I har gennemført disse områder, er I kommet rigtig langt og er kommet langt i forhold til at blive compliant i forhold til lovgivningen. Hos GlobalSequr har vi erfarne og kompetente medarbejdere, der kan gennemføre hele processen eller være projektleder og kvalitetssikre.