Datastyring og GDPR: Sådan knytter du styring til systemer og integrationer

Datastyring som bro mellem GDPR og dine systemer

GDPR – General Data Protection Regulation – hedder på dansk databeskyttelsesforordningen. Det er EU's databeskyttelsesregler, og de gælder bl.a., når private virksomheder behandler personoplysninger om personer. Behandling er et bredt begreb: det omfatter, når du indsamler, registrerer, videregiver eller sletter oplysninger om fx kunder eller ansatte.

Datatilsynet er den centrale, uafhængige myndighed, der fører tilsyn med, at databeskyttelsesreglerne overholdes. Tilsynet rådgiver samtidig om registrering, videregivelse og anden behandling af personoplysninger. Det udarbejder og opdaterer løbende vejledninger.

Reglerne er fleksible. Du kender bedst din egen virksomhed og er derfor også den bedste til at vurdere, hvilke personoplysninger du har brug for at behandle, hvorfor du behandler dem, og hvor længe de skal gemmes. Derfor bliver datastyring afgørende: beslutninger og dokumentation omsætter de fleksible regler til konkret, sporbar praksis.

Datastyring er den praktiske styring, der forbinder GDPR med dine systemer. Den består af politikker og principper, roller og beslutningsveje, fortegnelser og aftaler, tekniske og organisatoriske foranstaltninger samt løbende opfølgning. Dansk Industri formulerer det grundlæggende krav enkelt og præcist: du skal have styr på, hvilke data du behandler, og hvor de lagres og bevæger sig hen.

Artiklen går trin for trin gennem de områder, du bør have styr på: kortlægning af data og dataflows, rolle- og ansvarsfordeling, formål og behandlingsgrundlag pr. system, arkitektur og overførsler, behandlingssikkerhed, konsekvensanalyse, dokumentation samt løbende tilsyn og forbedring.

Kortlæg data, systemer og dataflow

Første skridt er overblik. Uden et billede af, hvilke personoplysninger der findes hvor, kan du hverken opfylde oplysningspligten, håndtere indsigts- og sletteanmodninger eller vurdere risiko. Datatilsynet har fortegnelsen over behandlingsaktiviteter som centralt element og beskriver løbende behandlingsaktiviteter, registreredes rettigheder, opbevaring og sletning som sammenhængende temaer.

En praktisk tilgang er at kortlægge pr. system frem for pr. dokument. For hvert forretningssystem og hver datakilde noterer du, hvilke kategorier af personoplysninger der behandles, hvilke grupper af registrerede det drejer sig om, formålet med behandlingen, hvem der er modtagere, og hvor længe oplysningerne opbevares. Du noterer også, hvor data teknisk set ligger: i en database, i et cloudmiljø, hos en SaaS-leverandør, i backups eller i et analyticsværktøj.

Derefter kortlægger du bevægelserne mellem systemerne: integrationer via API'er, filudveksling, manuelle eksporter, e-mail og deling med eksterne parter. Det er typisk i disse mellemled, at overblikket svigter, og hvor der opstår uafklarede spørgsmål om formål, adgang og sletning. Dansk Industri anbefaler også, at man først får overblik over persondatabehandlingen i virksomheden, og tilbyder medlemmer værktøjer til bl.a. procesafdækning.

Sæt kortlægningen i system: start med de systemer, hvor der er flest registrerede eller mest følsomme oplysninger, og arbejd dig videre derfra. Udpeg en fast ejer af fortegnelsen, og bind kortlægningen til ændringsprocesser, så et nyt system eller en ny integration ikke kan gå i drift uden at blive beskrevet.

Husk særligt de områder, hvor data forlader din egen infrastruktur. Datatilsynet har temaer om cloud og om overførsel til tredjelande, og de behandlingsforhold skal fremgå af både kortlægningen og din fortegnelse.

Afklar roller, ansvar og interne beslutningsveje

Næste lag i datastyringen er at placere ansvaret. Den afgørende skelnen er mellem dataansvarlig og databehandler. Den dataansvarlige bestemmer, hvorfor og hvordan personoplysninger behandles; databehandleren behandler dem på vegne af den dataansvarlige. Datatilsynet har særligt stof om dataansvarlig og databehandler samt om rollefordeling, fordi grænsen afgør, hvem der skal svare på hvad.

Den formelle skelnen er dog ikke nok, når data flyder mellem mange systemer. Derfor bør du supplere med en intern ansvarsmodel. Den bør svare på, hvem der ejer forretningssystemet, og hvem der ejer den tekniske drift. Den bør også svare på, hvem der godkender nye integrationer, hvem der vurderer og indgår databehandleraftaler, hvem der håndterer anmodninger fra registrerede, og hvem der følger op på, at data faktisk slettes – også nedstrøms hos leverandører.

Databeskyttelsesrådgiveren har en særlig rolle her. Datatilsynet har et selvstændigt emne om databeskyttelsesrådgivere i sin vejledning. I datastyringen bør I beskrive, hvordan rådgiverfunktionen indgår i jeres ansvars- og beslutningsmodel.

Erfaringen fra praksis er, at ansvar ofte falder mellem to systemer, når ingen ejer den samlede kæde. Undgå det ved at beskrive de faste beslutningsveje: hvem skal høres, hvem beslutter, hvor beslutningen dokumenteres, og hvordan ændringer i leverandørkæden udløser en ny vurdering.

Skriv ansvaret ned, og kobl det til roller, ikke til personer, så styringen holder, når medarbejdere skifter. En simpel ansvarsmatrix med roller, opgaver og beslutningsret er ofte mere effektiv end en lang politiktekst.

Fastlæg formål og behandlingsgrundlag pr. system

For hver behandling skal der være et formål og et behandlingsgrundlag. Datatilsynet har behandlingsgrundlag som selvstændigt tema og beskriver også, hvornår man overhovedet behandler personoplysninger. I praksis betyder det, at hvert system og hver integrationsvej bør have et dokumenteret svar på, hvorfor oplysningerne behandles, hvilket grundlag der bærer behandlingen, og hvordan oplysningspligten over for de registrerede opfyldes.

Knyt formålet til den konkrete datavej. Det er ikke nok, at et formål er beskrevet på systemniveau, hvis oplysningerne bagefter videresendes til markedsføring, analyse eller et eksternt værktøj. Videregivelse og sekundær brug bør vurderes særskilt, så du ikke baserer en ny behandling på et grundlag, der ikke dækker den.

Registreredes rettigheder hænger direkte sammen med dette arbejde. Datatilsynets emneliste omfatter bl.a. indsigt, oplysningspligt, sletning, tidsfrister og krav samt iagttagelse af de registreredes rettigheder. Kan du ikke finde alle oplysninger om en person på tværs af systemerne, kan du heller ikke opfylde en indsigtsanmodning korrekt.

Ved nye teknologier skærpes kravene til at tænke sig om på forhånd. Den 5. oktober 2023 udgav Datatilsynet en vejledning om offentlige myndigheders udvikling og brug af AI, som bl.a. omfatter behandlingsgrundlag, oplysningspligt og konsekvensanalyse. Samme grundspørgsmål gælder private virksomheder, der tager AI-værktøjer i brug: hvilket formål, hvilket grundlag, og hvad skal de registrerede have at vide.

Datatilsynets kortlægning af den offentlige sektors AI-brug viste, at brugen endnu ikke var vidt udbredt. Der var ofte tale om standardløsninger eller samme specialudviklede løsning brugt af flere myndigheder. Myndighederne sikrede sig overvejende et relevant behandlingsgrundlag, men havde generelt udfordringer med at overholde kravet om at foretage konsekvensanalyser eller med at foretage dem rettidigt. Det er en nyttig påmindelse om rækkefølgen: grundlag og vurdering først, teknologi bagefter.

Byg datastyring ind i integrationer, cloud og tredjelandsoverførsler

Datastyring virker kun, hvis den bygges ind i arkitekturen. Datatilsynet har temaer om særlige teknologier, herunder cloud og cookies, og et selvstændigt område om overførsel til tredjelande. Det er de steder, hvor kravene typisk bliver konkrete i det daglige arbejde med systemer og leverandører.

Arbejd med tre principper på tværs af integrationer: adgangsstyring, dataminimering og sletning. Adgangsstyring handler om, at den enkelte bruger, integration og servicekonto kun har adgang til det, opgaven kræver. Dataminimering handler om, at en integration ikke bør udveksle hele kundeposter eller hele HR-profiler, hvis der kun er brug for udvalgte felter. Sletning handler om, at en sletning skal slå igennem hele kæden – inklusive mellemliggende systemer, kopier og aftalte opbevaringsperioder.

Overførsler til tredjelande og brug af cloud kræver særskilt opmærksomhed. Datatilsynet samler vejledning og temaer om både cloud og overførsel til tredjelande. I datastyringen betyder det, at du skal kunne identificere, hvor data behandles og lagres, hvem der har adgang, og på hvilket grundlag overførslen sker. Det gælder også, når adgangen teknisk set kun er en supportadgang fra et land uden for EU/EØS.

Leverandørkæder skal kortlægges i hele deres længde. Underdatabehandlere, dele af en cloudtjeneste og tredjepartsmoduler kan ændre risikobilledet uden at ændre sig i dit eget systemlandkort. Derfor bør ændringer i en leverandørs underleverandører være en aftalt informationspligt og udløse en fornyet vurdering hos dig.

Endelig bør arkitekturen understøtte dokumentationen, ikke modarbejde den. Metadata om formål, opbevaring og modtagere, der ligger tæt på systemet og integrationen, gør det langt lettere at holde fortegnelsen ajour og at svare på anmodninger fra registrerede.

Overførsel til tredjelande – krav fra Datatilsynet

Checkliste: Sikkerhed i integrationer og cloud

Risikobaseret behandlingssikkerhed i praksis

Behandlingssikkerhed handler om at beskytte de personoplysninger, du behandler, med et sikkerhedsniveau, der passer til risikoen. Datatilsynet har et fast område om behandlingssikkerhed. Tilsynet udgiver bl.a. et katalog over sikkerhedsforanstaltninger og materiale om de mest almindelige brud. Det kan bruges til at prioritere indsatsen.

På tværs af systemer er stærk adgangsstyring ofte relevant med rollestyring og flerfaktorautentificering. Det gælder også løbende opdatering af programmer og applikationer, antivirus- og firewallbeskyttelse samt logning, der viser, hvem der har tilgået hvad, og hvornår. Datatilsynets syv trin til små virksomheder omfatter at få overblik over vigtige data og systemer, at opdatere programmer regelmæssigt og at anskaffe antivirus- og firewallprogrammer.

Prioritér efter risiko frem for efter, hvad der er lettest at implementere. Systemer med følsomme oplysninger eller mange registrerede bør have strammere adgangskontrol, kortere opbevaring og tættere logning end systemer med begrænsede, mindre følsomme oplysninger.

Sikkerhedshændelser skal kunne håndteres, ikke bare forebygges. Datatilsynet har vejledning både om anmeldelse af brud og om håndtering af brud på persondatasikkerheden. I datastyringen bør det være skrevet ned, hvem der opdager, vurderer, eskalerer og anmelder, og hvordan berørte parter informeres.

Sæt også arbejdsgange op for de små hændelser. Det er ofte dem, der afslører svagheder i adgangsstyring og ejerskab mellem systemer, længe før de bliver til anmeldelsespligtige brud.

Lav risikovurdering og konsekvensanalyse før nye systemer og AI

Nye systemer, integrationer og AI-løsninger bør ikke tages i brug, før databeskyttelsen er vurderet. Datatilsynet har både risikovurdering og konsekvensanalyse som faste genveje i sin vejledning, og begge dele er tænkt som redskaber, der bruges, før behandlingen starter – ikke som dokumentation, der skrives bagefter.

I praksis bør analysen beskrive selve behandlingen og dens formål, vurdere nødvendigheden og proportionaliteten, identificere risici og beskrive de foranstaltninger, der reducerer dem.

Ved AI er rækkefølgen særligt vigtig. Datatilsynets AI-vejledning behandler netop de grundlæggende overvejelser, som skal gøres, inden man går i gang, herunder behandlingsgrundlag, oplysningspligt og konsekvensanalyse. I forbindelse med vejledningen udtalte direktør i Datatilsynet Cristina Angela Gulisano: "Innovation og databeskyttelse går efter vores opfattelse hånd i hånd." Hun fremhævede ønsket om, at projektansvarlige medarbejdere får redskaber til at udvikle løsninger, hvor databeskyttelsesreglerne er tænkt ind helt fra start.

Kortlægningen af den offentlige sektors AI-brug understreger samtidig, at det ofte er her, det går galt. Myndighederne sikrede sig overvejende et relevant behandlingsgrundlag, men havde generelt udfordringer med at overholde kravet om at foretage konsekvensanalyser eller med at foretage dem rettidigt.

Gør vurderingen til en fast port i projektmodellen. Ingen ny behandling, integration eller model i drift uden en dokumenteret vurdering, en beslutning om foranstaltninger og en dato for, hvornår vurderingen skal genbesøges.

Dokumentér behandlingen og styr databehandlere

Dokumentationen er det, der gør styringen sporbar og revisende. Databeskyttelsesforordningen fik virkning fra den 25. maj 2018. Som Dansk Industri formulerer det, betyder det, at alle virksomheder skal kunne dokumentere, at de behandler persondata i overensstemmelse med reglerne. I værste fald kan virksomheder straffes med store bøder, hvis de ikke kan dokumentere, at de lever op til reglerne.

Kernen i dokumentationen er fortegnelsen over behandlingsaktiviteter, som Datatilsynet har som selvstændigt tema under dataansvarlig og databehandler. Fortegnelsen bør afspejle den kortlægning, du har lavet: formål, kategorier af oplysninger og registrerede, modtagere, opbevaring, sikkerhedsforanstaltninger og eventuelle overførsler til tredjelande.

Dertil kommer aftalerne med leverandørerne. Datatilsynet har materiale om dataansvarlig og databehandler samt rollefordeling, og Dansk Industri stiller skabeloner og vejledning til rådighed for medlemmer om bl.a. databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter. Brug skabelonerne som udgangspunkt, men tilpas dem til den konkrete behandling og de konkrete dataveje.

Datatilsynet udgiver også skabeloner og blanketter samt vejledning fra A-Å, som kan sikre, at I ikke selv opfinder formater, hvor der findes etablerede. Det gælder også risikovurdering og konsekvensanalyse, hvor tilsynets genveje samler det nødvendige stof.

Sørg for, at dokumentationen er styret som et levende aktiv: fast ejer, versionsstyring, dato for seneste gennemgang og tydelig kobling mellem fortegnelse, risikovurdering, aftaler og de faktiske systemer. Uden den kobling bliver dokumentationen en hyldevare, der ikke siger noget om virkeligheden.

Etabler løbende tilsyn, revision og forbedring

Datastyring er ikke et engangsprojekt. Systemer ændrer sig, leverandører skifter underleverandører, og nye behandlinger kommer til. Derfor bør regelefterlevelsen have sin egen driftscyklus. Den bør omfatte interne audits, leverandørtilsyn og regelmæssig opdatering af fortegnelse, vurderinger og aftaler.

Leverandørtilsynet bør være risiko- og behovsbaseret. Her er det værd at kende diskussionen om revisionserklæringer. dpo-danmark.dk har beskrevet, at det længe har været et problem, at dataansvarlige efterspørger en ISAE 3000 GDPR (høj) fra sine databehandlere, uden at de selv risikovurderer og dermed tilpasser deres tilsyn. Der er kommet en ny udgave af ISAE 3000 GDPR med begrænset sikkerhed. Samme sted findes overblik over ISAE 3000- og ISAE 3402-erklæringer.

Pointen for din datastyring er, at en erklæring ikke erstatter din egen vurdering. Start med risikoen i den konkrete behandling, og vælg derefter hvilken form for dokumentation og hvilket tilsynsniveau der er proportionalt med den.

Byg en årlig rytme. Opdater fortegnelsen, genbesøg konsekvensanalyser og risikovurderinger, og test at sletning og opbevaringsfrister faktisk virker i alle systemer. Gennemgå adgange og servicekonti, og kontrollér at databehandleraftaler og underleverandørlister stadig er retvisende. Rapportér resultaterne til ledelsen, så der er en tydelig ejer af opfølgningen.

Husk også den eksterne dimension. Datatilsynet fører tilsyn med, at myndigheder, virksomheder og andre dataansvarlige overholder reglerne. Tilsynet kan kontaktes på telefon 33 19 32 00 med spørgsmål om rettigheder og pligter i GDPR. Tilsynet offentliggør desuden løbende vejledning, sikkerhedstips og materiale om konkrete sager, som kan bruges til at holde styringen opdateret.

ISAE 3000 vs. egen risikovurdering – hvad bør du vælge?