Nyheder

Gennemførelse af en eller flere risikovurderinger er nemlig et krav efter databeskyttelsesforordningen, ligesom det er et krav at have dokumentationen herfor på plads.

Databeskyttelsesforordningen stiller ingen formkrav til risikovurderingen, men i en ny vejledende tekst giver Datatilsynet og Rådet for Digital Sikkerhed nærmere retningslinjer for, hvad gennemførelsen af risikovurderingen bør indeholde:

Vejledende tekst om risikovurdering

I vejledningen henvises til det risikovurderingsframework, som Erhvervsstyrelsen og Rådet for Digital Sikkerhed har udarbejdet, og som det er muligt at hente gratis online her:

Sådan beskytter du din virksomhed

Risikovurderingen betyder, at virksomheden, allerede før en behandling foretages, skal foretage en kortlægning over risikoen for de registreredes rettigheder, og herefter en afvejning af disse risici i forhold til de forholdsregler, der bliver truffet for at beskytte disse rettigheder. Der skal altså laves en vurdering af, hvilke risici virksomheden som dataansvarlig udsætter kunder, medarbejdere og andre samarbejdspartnere for.

Datatilsynet har i flere afgørelser konkret taget stilling til virksomhedernes risikovurderinger:

Se f.eks. ”Brobizz-sagerne” her

I afgørelserne understreger Datatilsynet vigtigheden i, at man som dataansvarlig inddrager konkrete eksempler på, hvilke konsekvenser en bestemt type sikkerhedsbrud kan få for den registrerede, f.eks. identitetstyveri, integritetskrænkelse, chikane og stalking. Det skal dokumenteres, hvordan den dataansvarlige er nået frem til resultatet af sin risikovurdering, f.eks. hvorfor en risiko vurderes at være lav, mellem eller høj. Hertil følger det af afgørelsen, at udarbejdelse af konkrete risikovurderinger ikke kan stå alene, idet virksomhederne også skal sikre og dokumentere tilstrækkelig uddannelse og træning af sine medarbejdere i blandt andet behandlingssikkerhed.

Hvis du har spørgsmål eller kommentarer, kan du kontakte juridisk konsulent, Mette Fjord Kristensen, på tlf. 33 43 70 14 eller mfk@danskeadvokater.dk.