Juristens tips og tricks
Siscons jurist har deltaget på et oplæg med Datatilsynet og Compliance fra større danske virksomheder. Vi har i det følgende samlet de vigtigste pointer. Har du brug for juridisk rådgivning? Kontakt os i dag lad os hjælpe dig sikkert videre.
BREXIT
Virksomheder kommer ikke udenom at tage stilling til det forestående Brexit. Det vides ikke, om der er tale om en “Deal”-Brexit (exit med en EU-aftale) eller en “no deal”-Brexit (exit uden aftale med EU). Af den grund bør virksomheder være forberedt på, hvilke konsekvenser begge scenarier kan have i relation til udveksling af data:
US Privacy Shield Ordningen De Europæiske Essentielle garantier UK Investigatory Powers Act 2016
Datatilsynets tilsyn
Datatilsynet kan foretage forskellige tilsyn. Det kan være skriftlige tilsyn (oplysningsindsamling), fysiske tilsyn (tilsynsbesøg) eller disse i kombination.
Ved skriftlige tilsyn kan Datatilsynet kræve enhver oplysning, der er nødvendig for deres oplysningsindsamling.
Ved fysiske tilsyn har Datatilsynet ret til at kræve adgang til alle lokaliteter, hvor der foretages persondatabehandling. Såfremt dette nægtes, kan Datatilsynet få adgang ved politiets hjælp.
Datatilsynet har i 2018 ført planlagte tilsyn, som er en del af den årlige tilsynsplanlægning samt Ad Hoc tilsyn, som er baseret på konkrete hændelser, som er indrapporteret af f.eks. borgere eller virksomheder.
Tilsynets fokus var i 2018 på behandlingssikkerhed, sletning, de registreredes rettigheder, art. 30 fortegnelsen, anvendelse af databehandlere og behandlingshjemmel samt sikkerhed.
Datatilsynet har meldt ud på deres hjemmeside, hvilke planlagte tilsyn de vil fokusere på i det første halvår af 2019. Fokus i det kommende halve år er; brud på persondatasikkerheden, DPO-funktionen, kryptering af e-mails, autorisation af medarbejdere, den registreredes indsigtsret, aggregering og sammenstilling af data til brug for videre salg samt brug og genbrug af data.
Da Datatilsynet nu er kommet godt i gang med deres tilsyns- og kontrolopgaver, må det forventes, at der i løbet af 2019 vil forekomme flere tilsyns- og kontrolbesøg i både private virksomheder og offentlige myndigheder – både planlagte tilsyn og ad hoc tilsyn.
Det er derfor vigtigt, at der er styr på håndteringen af sikkerhedsbrud og anmeldelsespligt, de registreredes rettigheder (herunder håndteringen af disse), DPO-funktionen, autorisation og brugerrettighederne.
Compliance/efterlevelse
En af de ting som Datatilsynet selv har nævnt, at virksomheder skal være opmærksomme på er, at der skal foreligge dokumentation for efterlevelse af GDPR. Det vil sige, at efterlevelse af f.eks. persondatapolitikken, håndtering af de registreredes rettigheder osv. skal dateres og dokumenteres.
Nyttige links
Generelt om tilsyn
Læs den fulde liste over Datatilsynets gennemførte tilsyn i 2018
Baggrunden for de udvalgte temaer og hvilke virksomheder der kan forvente besøg i første halvår af 2019
HÅNDTERING AF DATABRUD I PRAKSIS
Siden den 25. maj har Datatilsynet i 2018 modtaget 2.780 anmeldelser om persondatabrud. Når man kigger på antallet af anmeldelser, er det vigtigt at notere sig, at der kun skal anmeldes, når det vurderes sandsynligt, at det indebærer en risiko for de registrerede.
Ud af de 2.780 anmeldelser, behandles der fortsat 700 sager. Desuden genvurderes 600 sager med henblik på sanktioner, herunder f.eks. politianmeldelse.
Langt de fleste anmeldelser går på oplysninger sendt til den forkerte modtager, altså menneskelige fejl.
Datatilsynets umiddelbare vurdering er, at funktionalitetsunderstøttelse f.eks. autoudførelse af e-mailadresser, standardbreve der flettes til mange modtagere, og udsendelse af grafer, hvor de underliggende data ikke er fjernet, bør revurderes hos de respektive dataansvarlige. Dette for at minimere risikoen for de registrerede f.eks. ved at benytte bcc og ikke cc ved afsendelse af mail til flere modtagere.
Når Datatilsynet modtager en anmeldelse af et brud, foretages der en vurdering af omfanget af bruddet og de berørte, risikoen for de registrerede, risikoen omkring selve hændelsen, om der skal ske underretning af de registrerede og er om dette foretaget.
Vurderer Datatilsynet, at der ved et brud er risiko for de registrerede, kan dette føre til kritik og i værste tilfælde sanktioner fra Datatilsynet.
Derfor er det vigtigt at huske følgende, når man laver anmeldelsen:
Håndtering af databrud Datatilsynet behandling af brud i 2018
TILSYN MED DATABEHANDLER/UNDERDATABEHANDLER
Persondataforordningen foreskriver, at man fører tilsyn med sine databehandlere og underdatabehandlere. Datatilsynet udsendte i maj 2018 en vejledning til tilsyn med databehandlere og underdatabehandlere. Tilsynet kan føres af virksomheden selv eller af en uafhængig tredjepart.
Indtil nu har mange virksomheder efterspurgt en ISAE 3000 erklæring fra deres databehandlere. For at gøre denne erklæring mere målrettet GDPR, har FSR i februar 2019, i samarbejde med Datatilsynet, udarbejdet en ny ISAE 3000 erklæring, som har et målrettet fokus på håndhævelse af forordningen. Datatilsynet har dog angivet, at denne erklæring ikke altid kan sidestilles med et egentligt tilsyn. Det er derfor vigtigt, at man tager stilling til indholdet i erklæringen og efterspørger flere oplysninger, hvis der er tvivl om de rette sikringstiltag.
Fører man selv tilsyn er det vigtigt at sikre sig følgende ved tilsynet med databehandleren/underdatabehandleren:
Datatilsynets vejledning om tilsyn med databehandlere og underdatabehandlere Ny FSR erklæring
Få et godt greb om compliance med det rette værktøj
Mange virksomheder etablerer et decideret compliancesoftware til konsekvent og præcist at styre deres compliancepolitik. Med ControlManager™ til at understøtte arbejdet med compliance på tværs af afdelinger, sikrer I effektivitet og ensartethed hele vejen rundt.
Med det rette værktøj kan I minimere risici, forebygge menneskelige fejl og ikke mindst effektivisere og ensrette jeres processer på tværs af virksomheden. Det styrker fleksibiliteten, skaber større transparens og giver en mere effektiv drift.
De største fordele ved ControlManager™ er blandt andet:
Vores ambition er, at ControlManager™ giver stor værdi på tværs af hele virksomheden, og udover ovennævnte fordele er det værd at nævne, at et styrket samarbejde og en bedre kommunikation ofte også følger i kølvandet på at arbejde med ControlManager™.
Hvad enten det er om stort eller småt, så er vi klar til at hjælpe. Vi glæder os til at høre fra dig.
Vi glæder os til at møde dig – se hvor og hvornår vi afholder og deltager i events rundt omkring i landet
Vi har samlet nyere og gamle artikler, som vi eller andre har forfattet indenfor informationssikkerhed og persondatabeskyttelse
Søger du inspiration til hvordan i kan gribe jeres opgave an? Læs om hvad andre har opnået og bliv inspireret selv
Vi deltager i og afholder selv webinarer indenfor informationssikkerhed og persondatabeskyttelse – vi har samlet et udpluk til dig her
Er du interesseret i at lære mere om hvordan ControlManager™ kan hjælpe jer? Book en personlig demo, og lad os vise dig, hvordan vores løsninger kan imødekomme jeres behov og hjælpe din virksomhed med at nå sine mål.
