GDPR og informationssikkerhed i praksis
Sådan beskytter du data i hverdagen på kontoret
Databeskyttelsesforordningen — bedre kendt som GDPR — og den danske databeskyttelseslov er ikke bare noget, jurister forholder sig til. De sætter de daglige rammer for, hvordan du som kontormedarbejder må indsamle, bruge og opbevare oplysninger om mennesker. Jo bedre du forstår principperne, jo lettere er det at træffe de rigtige beslutninger i en travl hverdag.
§Grundprincipperne du arbejder efter
GDPR bygger på nogle centrale principper, som går igen i næsten enhver opgave: dataminimering (du må kun indsamle de oplysninger, du reelt har brug for), formålsbegrænsning (data må kun bruges til det formål, de er indsamlet til) og opbevaringsbegrænsning (data skal slettes, når formålet er opfyldt). Herudover har den registrerede — altså personen, oplysningerne handler om — en række rettigheder: ret til indsigt, ret til berigtigelse af forkerte oplysninger og under visse betingelser ret til at få oplysninger slettet.
- 01Dataminimering: indsaml kun det, opgaven kræver
- 02Formålsbegrænsning: brug kun data til det oprindelige formål
- 03Opbevaringsbegrænsning: slet data, når formålet er opfyldt
- 04Den registreredes rettigheder: indsigt, berigtigelse og sletning
§Hvis noget går galt: brud på persondatasikkerheden
Sker der et brud på persondatasikkerheden — for eksempel en mail med personoplysninger sendt til den forkerte, eller et tabt USB-stik med et personaleregister — er der klare regler for, hvad der skal ske. Ifølge databeskyttelsesforordningens artikel 33 skal den dataansvarlige anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, virksomheden bliver bekendt med det. Sker anmeldelsen senere end 72 timer, skal den ledsages af en begrundelse for forsinkelsen. Undtagelsen er, hvis det er usandsynligt, at bruddet indebærer en risiko for de berørte personers rettigheder.
§Dokumentationspligten gælder altid
Uanset om et brud skal anmeldes til Datatilsynet eller ej, har virksomheden pligt til at dokumentere alle brud på persondatasikkerheden — hvad der skete, hvilke konsekvenser det havde, og hvilke tiltag der blev sat i værk. Den dokumentation skal gøre det muligt for Datatilsynet at kontrollere, om reglerne er overholdt. Som elev er din opgave at kende proceduren på din arbejdsplads: hvem skal du orientere, hvis du opdager en fejl?
§Informationssikkerhed i den daglige praksis
God databeskyttelse handler lige så meget om vaner som om jura. Lås din skærm, når du forlader pladsen. Send aldrig følsomme oplysninger som CPR-numre eller helbredsdata i en almindelig, ukrypteret mail, hvis der findes en sikker løsning. Vær kritisk over for opkald eller mails, der beder om personfølsomme oplysninger — det kan være forsøg på phishing eller social engineering, hvor nogen prøver at franarre dig adgang eller data ved at udgive sig for at være en anden.
| Situation | Risiko | Din handling |
|---|---|---|
| Mail med CPR-nummer | Data havner hos uvedkommende | Brug krypteret/sikker forsendelse |
| Mistænkelig mail om login | Phishing-forsøg | Klik ikke — kontakt IT eller nærmeste leder |
| Ulåst skærm ved frokost | Uvedkommende ser data | Lås skærmen, hver gang du rejser dig |
| Muligt databrud opdaget | Manglende anmeldelse inden for 72 timer | Meld det til ansvarlig med det samme |
“Databeskyttelse er ikke en engangsopgave for en jurist — det er en vane, du opbygger fra din første dag på kontoret.”