GDPR-risikovurdering i bedriften: slik gjør dere det
En risikovurdering etter GDPR er en kartlegging av hva som kan gå galt med personopplysningene bedriften behandler, hvor sannsynlig det er, og hvor hardt det vil ramme menneskene opplysningene gjelder. Alle virksomheter som behandler personopplysninger må gjøre den, også små bedrifter uten egen IT-avdeling. Under får du en praktisk fremgangsmåte i sju trinn, en enkel risikomatrise, et gjennomgått eksempel og en oversikt over når dere i tillegg må gjennomføre en personvernkonsekvensvurdering (DPIA).
Kort oppsummert
- GDPR krever at dere vurderer risiko for de registrertes rettigheter og friheter, ikke bare for bedriften. Vurderingen skal gjøres før en behandling starter og når noe endres.
- Start med protokollen over behandlingsaktiviteter: hvilke opplysninger dere har, hvorfor, hvor de ligger og hvem som får dem.
- Vurder hver uønsket hendelse etter sannsynlighet og konsekvens, og velg tekniske og organisatoriske tiltak for det som havner i rødt og gult.
- Ved sannsynlig høy risiko, for eksempel systematisk overvåking av ansatte, må dere gjennomføre en DPIA. Kan dere ikke få risikoen ned, må dere drøfte saken med Datatilsynet først.
- Ledelsen eier ansvaret. Dokumenter vurderingen og gå gjennom den jevnlig.
Innholdsfortegnelse
- Hva en risikovurdering etter GDPR egentlig er
- Når bedriften må vurdere risiko
- Risikovurdering eller DPIA: hva er forskjellen?
- Slik gjennomfører dere risikovurderingen, trinn for trinn
- Tiltak som faktisk senker risikoen
- Eksempel: kunderegisteret i et regnskapskontor
- Dokumentasjon, ansvar og oppdatering
- Når risikoen fortsatt er høy
- Slik ser vi det
- Få hjelp med GDPR-risikovurderingen
- Vanlige spørsmål
- Kilder
Hva en risikovurdering etter GDPR egentlig er
Mange ledere kjenner risikovurdering fra HMS eller økonomi. Der spør man hva som kan skade bedriften. GDPR snur perspektivet: spørsmålet er hva som kan skade kundene, de ansatte og andre dere har opplysninger om.
Datatilsynet beskriver at plikten til å vurdere risiko for de registrertes rettigheter og friheter følger av flere bestemmelser i personvernforordningen, nærmere bestemt artikkel 24, 25, 32 og 35. Kort fortalt handler de om dette:
- Artikkel 24: den behandlingsansvarlige skal ha tiltak som står i forhold til risikoen.
- Artikkel 25: personvern skal bygges inn i løsninger fra start og være standardinnstillingen.
- Artikkel 32: sikkerheten rundt opplysningene skal stå i forhold til risikoen.
- Artikkel 35: behandlinger med sannsynlig høy risiko krever en egen personvernkonsekvensvurdering.
Konsekvensene dere skal vurdere, er konkrete. Ifølge samme veiledning kan det være fysisk, materiell eller ikke-materiell skade, som identitetstyveri, økonomisk tap, omdømmeskade eller diskriminering. En lekket kundeliste er altså ikke bare et problem for bedriftens rykte. Den kan bety svindelforsøk mot hver eneste kunde på listen.
Når bedriften må vurdere risiko
Svaret er enklere enn mange tror: ved all behandling av personopplysninger. Datatilsynet sier at en sikkerhetsrisikovurdering skal gjøres før behandlingen starter, og på nytt når noe endres. I praksis betyr det at dere bør gjøre en vurdering når dere:
- tar i bruk et nytt system, for eksempel nytt CRM, lønnssystem, timebestilling eller nettbutikk
- flytter data til skyen eller bytter leverandør
- lanserer en kundeportal, en app eller et nytt skjema på nettsiden
- begynner å samle inn nye typer opplysninger, som helseopplysninger eller lokasjon
- har hatt et avvik, for eksempel en e-post sendt til feil mottaker eller en kompromittert konto
At risikovurdering ikke er en papirøvelse, viser praksis fra tilsynet. Datatilsynet ga BRAbank et overtredelsesgebyr på 400 000 kroner for manglende risikovurdering og testing før lanseringen av en kundeportal. Forordningen åpner for gebyrer på opptil 20 millioner euro eller 4 prosent av global omsetning i de mest alvorlige tilfellene.
Risikovurdering eller DPIA: hva er forskjellen?
En vanlig risikovurdering gjelder alle behandlinger. En vurdering av personvernkonsekvenser, ofte kalt DPIA, er en grundigere analyse som kreves når en behandling sannsynligvis gir høy risiko. Datatilsynet vurderer høy risiko ut fra behandlingens art, omfang, formål og sammenheng.
| Risikovurdering | DPIA | |
|---|---|---|
| Når | Alle behandlinger av personopplysninger | Behandlinger som sannsynligvis gir høy risiko |
| Hjemmel | Særlig artikkel 24, 25 og 32 | Artikkel 35 |
| Innhold | Uønskede hendelser, sannsynlighet, konsekvens og tiltak | Systematisk beskrivelse, nødvendighet og proporsjonalitet, risikovurdering og tiltak |
| Omfang | Kan være kort for enkle behandlinger | Grundig og dokumentert i detalj |
| Hvis risikoen ikke kan reduseres | Nye tiltak eller endret behandling | Forhåndsdrøfting med Datatilsynet |
Datatilsynet har en egen liste over behandlinger som alltid krever DPIA. Den omfatter blant annet systematisk monitorering av ansatte, kameraovervåking i skoler og biometriske opplysninger brukt til å identifisere personer, sammen med minst ett annet kriterium. Innholdskravene står i personvernforordningen artikkel 35 slik den gjelder i Norge gjennom personopplysningsloven.
For de fleste små og mellomstore bedrifter er det den vanlige risikovurderingen som er hverdagen. Den gode nyheten er at en ryddig risikovurdering også gjør det lett å se når dere har krysset terskelen til DPIA.
Slik gjennomfører dere risikovurderingen, trinn for trinn
Det europeiske personvernrådet anbefaler at små bedrifter starter med mulig innvirkning på enkeltpersonene som berøres. Fremgangsmåten under følger den logikken og passer for en bedrift med fem til hundre ansatte.
- Lag eller oppdater protokollen. Alle virksomheter som behandler personopplysninger, skal ha en protokoll over behandlingsaktivitetene med formål, kategorier av registrerte og opplysninger, og mottakere. Den er utgangspunktet for alt annet.
- Avgrens hva dere vurderer. Ta én behandling om gangen: lønn og personal, kunderegister, nyhetsbrev, timebestilling. En vurdering av «hele bedriften» blir for vag til å gi tiltak.
- Beskriv flyten. Hvor kommer opplysningene fra, hvilke systemer lagrer dem, hvem har tilgang, og hvilke leverandører behandler dem på vegne av dere?
- Finn de uønskede hendelsene. Tenk konfidensialitet, integritet og tilgjengelighet: uautorisert tilgang, endring, tap, at data brukes til noe annet enn formålet, eller at noen blir urettferdig behandlet.
- Vurder sannsynlighet og konsekvens. Gi hver hendelse en score. Matrisen under gjør jobben enklere.
- Velg tiltak. Bestem hva som skal gjøres, hvem som eier tiltaket og innen når. Vurder risikoen på nytt med tiltakene på plass.
- Godkjenn og dokumenter. Ledelsen godkjenner gjenværende risiko. Sett en dato for neste gjennomgang.
Trekk gjerne inn flere fagområder. Regjeringens veileder peker på at jurister og IT-sikkerhetseksperter kan gi verdifulle innspill. I en liten bedrift kan det bety daglig leder, den som kjenner systemene best, og en ekstern rådgiver rundt samme bord.
Sannsynlighet og konsekvens i praksis
Risikovurdering handler om å anslå sannsynligheten for en hendelse og vurdere konsekvensene, og deretter vurdere nye tiltak. En enkel skala fra 1 til 3 holder for de fleste:
| Sannsynlighet ↓ / Konsekvens → | 1 Liten | 2 Moderat | 3 Alvorlig |
|---|---|---|---|
| 3 Sannsynlig | Gul (3) | Rød (6) | Rød (9) |
| 2 Mulig | Grønn (2) | Gul (4) | Rød (6) |
| 1 Lite sannsynlig | Grønn (1) | Grønn (2) | Gul (3) |
Bestem på forhånd hva fargene betyr. En vanlig regel er at rødt krever tiltak før behandlingen fortsetter, gult krever en plan, og grønt kan aksepteres og følges med på. Husk at konsekvensen skal vurderes fra den registrertes side. Et lekket passord til nyhetsbrevverktøyet er lite alvorlig for bedriften, men kan være alvorlig hvis listen avslører helseforhold eller medlemskap.
Vanlige feil å unngå
- Bare bedriftens risiko vurderes. Konsekvensen skal måles for personen opplysningene gjelder, ikke bare for omsetningen.
- Leverandørene glemmes. Skytjenester, regnskapsbyrå og nettbutikkplattform behandler ofte de mest sensitive dataene dere har.
- Tiltakene mangler eier. Et tiltak uten navn og frist blir sjelden gjennomført.
- Vurderingen blir liggende. En vurdering fra da dere innførte systemet for flere år siden, beskriver sjelden hvordan det brukes i dag.
Tiltak som faktisk senker risikoen
Datatilsynet nevner tre typer risikoreduserende tiltak: å endre hvordan behandlingen gjøres, å sikre reell åpenhet gjennom informasjon og innsyn, og å innføre tekniske og organisatoriske sikkerhetstiltak.
Tekniske tiltak vi ofte ser gi stor effekt i små og mellomstore bedrifter:
- tofaktorautentisering på e-post, sky og alle systemer med personopplysninger
- tilgangsstyring etter tjenstlig behov, og rask fjerning av tilgang når noen slutter
- kryptering av bærbare maskiner, mobiler og sikkerhetskopier
- riktig oppsatt e-postsikkerhet (SPF, DKIM og DMARC) mot falske avsendere
- sikkerhetskopier som er testet, ikke bare tatt
- sikkerhetstesting av nettside, kundeportal og apper før lansering
Organisatoriske tiltak som er like viktige:
- databehandleravtaler med alle leverandører som behandler opplysninger for dere
- sletterutiner, slik at dere ikke lagrer mer eller lenger enn formålet krever
- en avviksrutine alle ansatte kjenner
- opplæring i phishing og trygg håndtering av opplysninger
- færre opplysninger: det dere ikke samler inn, kan ikke lekke
Eksempel: kunderegisteret i et regnskapskontor
Tenk deg et regnskapskontor med 15 ansatte som bruker Microsoft 365 og et skybasert regnskapssystem. Behandlingen som vurderes, er kunderegisteret med navn, fødselsnummer, bankopplysninger og lønnsdata for kundenes ansatte.
| Uønsket hendelse | S | K | Risiko | Tiltak | Ny risiko |
|---|---|---|---|---|---|
| Ansatt lurt av phishing, e-postkonto overtatt | 3 | 3 | Rød (9) | Tofaktor, phishing-opplæring, varsling ved mistenkelig innlogging | Gul (3) |
| Lønnsslipp sendt til feil mottaker | 2 | 2 | Gul (4) | Kryptert utsending, kontroll av mottaker | Grønn (2) |
| Tidligere ansatt har fortsatt tilgang | 2 | 3 | Rød (6) | Fast rutine for avslutning av tilganger | Grønn (2) |
| Tap av data ved løsepengevirus | 1 | 3 | Gul (3) | Testede, adskilte sikkerhetskopier | Grønn (1) |
Eksemplet viser poenget med metoden. Kontoret trenger ikke et stort prosjekt. Det trenger fire konkrete tiltak med en eier hver, og en leder som godkjenner at gjenværende risiko er akseptabel.
Dokumentasjon, ansvar og oppdatering
Ansvaret ligger hos ledelsen. Datatilsynet beskriver at ledelsen har ansvar for å etablere internkontroll, og at dokumentasjonen bør oppdateres og gjennomgås jevnlig. Daglig leder kan delegere arbeidet, men ikke ansvaret.
Helsedirektoratet oppsummerer at virksomheter alltid skal dokumentere lovlighet, formål, personvern og risikohåndtering for alle behandlinger. For en liten bedrift holder ofte dette:
- protokollen over behandlingsaktiviteter
- risikovurderingen med hendelser, scorer og begrunnelser
- tiltaksplanen med eier og frist
- ledelsens godkjenning av gjenværende risiko, med dato
- databehandleravtaler og avvikslogg
Sett en fast gjennomgang i årshjulet, og ta en ny vurdering ved vesentlige endringer: nytt system, ny leverandør, nye typer opplysninger eller etter et avvik. Dokumentasjonen er også beviset dere viser frem hvis Datatilsynet, en kunde eller en revisor spør.
Når risikoen fortsatt er høy
Noen ganger viser vurderingen at risikoen er høy selv etter tiltak. Da har dere tre valg: endre behandlingen, finne sterkere tiltak eller la være å starte. Er det en DPIA-pliktig behandling og risikoen ikke kan reduseres til et akseptabelt nivå, må dere drøfte saken med Datatilsynet før behandlingen begynner. Det gjelder typisk kameraovervåking, sporing av ansatte eller nye løsninger med sensitive opplysninger. Er dere i tvil om dere er der, bør en personvernjurist eller et personvernombud se på saken før dere går videre.
Slik ser vi det
De fleste små og mellomstore bedrifter vi møter, vet at de skal ha en risikovurdering. Det som mangler, er sjelden viljen. Det er tiden, og en vurdering som kobler GDPR-kravene til de faktiske systemene: e-posten, skyen, nettsiden og kundeportalen.
Vi mener en risikovurdering først har verdi når den fører til at hullene blir tettet. En rapport full av teknisk språk som ingen i ledelsen leser, gjør ikke kundedataene tryggere. Derfor gir vi ledelsen en kort oppsummering på forståelig norsk, med de viktigste risikoene og konkrete tiltak, og vi retter gjerne hullene selv.
Vi tror også på direkte kontakt. Når du snakker med fagpersonen som har gjort vurderingen, uten selgere eller mellomledd, får du raske svar og tiltak som passer bedriften din.
Sejad
Få hjelp med GDPR-risikovurderingen
Har dere ikke egen IT-avdeling, kan vi gjøre jobben sammen med dere. Gjennom tjenesten Risiko og regler hjelper vi med risikovurdering, GDPR- og NIS2-veiledning og sikkerhetsrutiner, og du får en oppsummering ledelsen faktisk kan bruke.
Viser vurderingen svakheter, kan vi følge opp med en sikkerhetstest av nettside og systemer, sikring av sky og e-post eller opplæring og phishing-test for de ansatte. Vil du starte i det små, kan du ta en gratis sjekk av e-posten din.
Vanlige spørsmål
Må en liten bedrift med få ansatte ha en GDPR-risikovurdering?
Ja. Plikten gjelder alle som behandler personopplysninger, uansett størrelse. Omfanget kan være lite for en enkel behandling, men vurderingen og tiltakene bør være dokumentert.
Hvor ofte skal risikovurderingen oppdateres?
Loven setter ingen fast frist, men vurderingen skal gjennomgås jevnlig og alltid ved vesentlige endringer. Mange legger en årlig gjennomgang inn i årshjulet og tar en ny vurdering når de bytter system eller leverandør, eller etter et avvik.
Hva er forskjellen på en risikovurdering og en DPIA?
Risikovurderingen gjelder alle behandlinger av personopplysninger. En DPIA er en grundigere vurdering som kreves etter artikkel 35 når en behandling sannsynligvis gir høy risiko, for eksempel systematisk overvåking av ansatte.
Hvem i bedriften har ansvaret?
Ledelsen har ansvaret for internkontrollen, også for risikovurderingen. Arbeidet kan settes bort til ansatte eller en ekstern rådgiver, men ledelsen må godkjenne gjenværende risiko.
Kan vi bruke en mal?
En mal er et godt utgangspunkt, men den må fylles med deres egne systemer, opplysninger og hendelser. En generisk mal uten konkrete tiltak gir lite beskyttelse og lite dokumentasjonsverdi.
Kilder
- Datatilsynet: Risikovurdering (veiledning om DPIA)
- Datatilsynet: Når er risiko høy?
- Datatilsynet: Når må man gjennomføre en vurdering av personvernkonsekvenser?
- Datatilsynet: Føre protokoll over behandlingsaktiviteter
- Datatilsynet: Hvordan gjennomføre internkontroll i praksis
- Datatilsynet: Sentrale avgjørelser
- Datatilsynet: Årsrapport for 2022
- Lovdata: Personopplysningsloven, GDPR kapittel IV avsnitt 3
- EDPB: Sikring av personopplysninger, guide for små bedrifter
- Regjeringen: Veileder i vurdering av personvernkonsekvenser
- Udir: Veiledning for risikovurdering ved en DPIA
- Helsedirektoratet: Vurdering av personvernkonsekvenser