Henrik Larsen er chef for DKCERT.

Du har et halvt år til at få styr på håndteringen af persondata – her er, hvad du skal nå

Klumme: Persondata er meget mere end cpr-numre, så databeskyttelsesforordningen berører næsten alle virksomheder og organisationer.

I dag er der kun en måned til juleaften – har du styr på gaverne?

Når det er klaret, kan du kaste dig over en noget større opgave. Den har du et halvt år til, men det er også mere omfattende: At få styr på alle jeres organisations persondata.

Den 25. maj 2018 begynder myndighederne at håndhæve den databeskyttelsesforordning, som EU indførte sidste år.

Når jeg taler med universiteternes sikkerhedsfolk, får jeg indtryk af, at de er godt i gang med arbejdet. Men mange andre har slet ikke opdaget, hvor stor opgaven er.

Nogle siger, "Vi opbevarer ikke cpr-numre, så vi er ikke omfattet."

Men det er en misforståelse. Hvis I opbevarer enhver form for personhenførbar oplysning, skal I leve op til kravene.

Video, interviews, adresselister
I skal sikkert ikke have en databeskyttelsesrådgiver (DPO, Data Protection Officer). Det er kun virksomheder, der primært arbejder med persondata, og offentlige myndigheder, der skal det. Men derfor skal I alligevel overholde en række krav.

Det er fx nok, at I bare registrerer en mail-adresse eller telefonnummer om en person. Har I overvågningskameraer? Hvis de optager billeder af personer, er de optagelser også omfattet.

Vi talte for nylig med en uddannelsesinstitution, der mente, at de ikke havde mange personoplysninger. Det handlede kun om ansatte og studerende.

Så spurgte vi dem, hvordan de håndterede personer, der bliver interviewet til de studerendes opgaver? For data om de personer er naturligvis også omfattet.

Identificer persondata
Hvis I er godt i gang med arbejdet, har I sikkert allerede opdaget, hvor omfattende det kan være. Jeg kan kun sige tillykke med, at I er kommet i gang.

Hvis I ikke er begyndt at se på forordningens konsekvenser, er her et forslag til opgaver til det kommende halve år.

Begynd med at identificere, hvilke persondata I behandler.

Læs også: Danske organisationer kæmper med EU's persondataforordning: It-systemer dumper i massevis

For hver stump data kan I med det samme identificere, hvor, hvornår, hvordan og hvorfor I behandler den, samt med hvilken hjemmel I gør det.

Så skal I overveje, hvilke organisatoriske kontroller I anvender til at beskytte data.

Lige i hælene på den overvejelse følger jeres tekniske kontroller – adgangskontrol, kryptering og den slags.

Oplys, ret og slet
Databeskyttelsesforordningen har til formål at beskytte personers data. Den giver de registrerede personer en række rettigheder. Dem skal I kunne leve op til.

En registreret person har således ret til at få indsigt i, hvad I har registreret om vedkommende.

Hvordan kan I gøre det? Hvis der er registreret noget forkert, har personen ret til at få det korrigeret.

Hvordan kan I rette forkerte oplysninger? I nogle tilfælde har en person ret til at få slettet oplysninger om sig.

Hvordan kan I slette data om personer, der beder om det? 
Som det fremgår, får forordningen både organisatoriske og tekniske konsekvenser. Mange systemer er således ikke indrettet til at kunne slette data om en person fuldstændig.

Kan I for eksempel garantere, at de slettede data ikke kan gendannes fra en gammel sikkerhedskopi?

Ingen automatisk behandling
DKCERT deltager i en international arbejdsgruppe, der ser på forordningens konsekvenser for forskningsnettene. Her er vi for nylig blevet opmærksomme på eksperterne i den såkaldte Artikel 29-gruppes vurdering af reglerne om automatiseret sagsbehandling.

Forordningens artikel 22 lyder:

"Den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende."

Det fortolker eksperterne som et regulært forbud. Der er nogle undtagelser, men som hovedregel må den form for automatisk sagsbehandling ikke finde sted.

Foretager I kreditvurdering eller lignende som en automatiseret arbejdsgang? Så kan det være, I bliver nødt til at ændre den.

Som det fremgår, er der rigeligt at tage fat på.

Så måske skal du overlade julegaveindkøbet til en anden i familien og kaste dig over persondata. Som sagt: Der er kun et halvt år til den 25. maj 2018.

Henrik Larsen er chef for DKCERT.

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeiC (Danish e-Infrastructure Cooperation).


Læs også:

Danske organisationer kæmper med EU's persondataforordning: It-systemer dumper i massevis

Professor: Minimal risiko for kæmpebøder til virksomheder når EU-persondataforordningen træder i kraft




Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...

Premium
”Vores løsning vil betyde, at du som patient kan tage et billede af en pille med din telefon og herefter få bekræftet, at den medicindosis du er ved at indtage er valid.”
Virkningsløs piratmedicin koster tusindvis af liv hvert år, men it-giganten IBM mener, at den har fundet en løsning på problemet. Bliv klogere på hvordan IBM vil bruge blockchain til at forhindre svindel i medicinalindustrien supply-chain
Computerworld
Se listen: Disse it-virksomheder drømmer de danske it-studerende om at arbejde for
Konsulenthusene buldrer frem på listen over de virksomheder, som de danske it-studerende helst vil arbejde for. "Konsulenthusene har simpelthen øget kendskabet til sig selv som arbejdsgiver blandt de it-studerende. Det kræver heftig aktivitet på de sociale medier og universiteterne," lyder det fra Universum, der står bag undersøgelsen.
CIO
Sådan kan du stå imod, når hackerangrebet rammer: 16 nye anbefalinger fra politiet
En ny vejledning fra Rigspolitiet og Dansk IT skal hjælpe danske virksomheder med at få bedre styr på it-sikkerheden. Se her, hvad du bør gøre før, under og efter du bliver ramt af et hackerangreb.
Job & Karriere
500 uorganiserede it-folk skal holde liv i statens it-systemer under konflikt
Hvis der udbryder konflikt, vil hundredvis af uorganiserede it-folk få ansvaret for at sikre, at de statslige it-systemer ikke går ned. Men ifølge fagforbundet Prosa kan det få store konsekvenser, hvis Danmark bliver ramt af it-sikkerhedsangreb.
White paper
På jagt efter nyt BI-system? … Her er analysen og de 25 vigtigste KPI’er
Et godt BI-system er en central del af en digitaliseret virksomhed. Dette whitepaper fra EG dykker ned i en analyse af de nødvendige overvejelser på det organisatoriske, teknologiske og brugerorienterede niveau. Samtidig får du en liste med 25 vigtige KPI’er inden for ni funktionsområder, så du kan se, hvad andre virksomheder holder øje med.