De fleste virksomheder med et ordentligt GDPR-arbejde bag sig har en mappe med politikker, der lyder rigtigt. Afstanden opstår, fordi politikken blev skrevet på en dag, mens systemerne har levet videre i årevis med nye moduler, nye leverandører og nye medarbejdere. Ingen opdager afstanden ved at læse politikken igen. Den viser sig kun, når en sætning fra politikken holdes op mod det, der faktisk ligger i systemet.
Afstanden har en juridisk side. Efter art. 5, stk. 2, og art. 24 skal den dataansvarlige kunne påvise, at reglerne overholdes. EU-Domstolen har i C-340/21 og C-687/21 fastslået, at et brud ikke i sig selv viser, at foranstaltningerne var utilstrækkelige, og at det er den dataansvarlige, der skal bevise, at de var passende. Et dokument, ingen følger, er et svagt bevis. Fremgangsmåden herunder er vores egen, og ingen vejledning foreskriver den.
De fire steder, afstanden typisk findes
Sletning. Politikken siger, at kundeoplysninger slettes en bestemt tid efter sidste køb. I systemet findes der kunder fra dengang, det blev taget i brug. Årsagen er sjældent ond vilje. Fristen blev aftalt på et møde, men nogen skulle også have sat et job op, og opgaven lå hos en leverandør, der aldrig hørte om den.
Adgange. Politikken siger, at adgang gives efter behov og lukkes ved fratrædelse. I virkeligheden kopieres en ny medarbejders rettigheder fra en kollega, og efter nogle år har den, der har skiftet afdeling tre gange, adgang til alle tre. Datatilsynet peger netop på periodisk kontrol, fordi den slags fejl kan leve i årevis.
Kryptering. Politikken siger, at bærbare og mobile enheder er krypteret. Det gælder de maskiner, leverandøren har sat op siden seneste skift. Den gamle maskine i lageret, regnskabets ekstra pc og USB-nøglen med backup af lønfiler er ikke med i tallene.
Leverandører. Fortegnelsen nævner de tre store systemer, og databehandleraftalerne ligger i en mappe. Økonomiafdelingen har dog taget et lille rapporteringsværktøj i brug, marketing bruger en tjeneste til nyhedsbreve, og en afdeling sender filer til oversættelse. Ingen af dem står nogen steder, for de blev købt med et kreditkort.
Sådan finder I afvigelserne selv
I behøver ikke en DPO for at komme i gang. Tag politikken, og streg alle de sætninger under, som lover noget, der kan efterprøves. Sætninger med “vi sletter”, “kun”, “altid” og “alle” er gode at starte med. Vælg derefter fem, og stil det samme spørgsmål til hver: hvor i systemet kan jeg se, at det passer?
- Skriv sætningen fra politikken ned.
- Find det system, sætningen handler om.
- Bed den, der administrerer systemet, om at vise det konkret, fx den ældste post, listen over brugere eller indstillingen.
- Noter, om det passer, og hvad I så.
- Giv hver afvigelse en ejer og en dato.
Det tager ikke lang tid, og svarene er ofte tydelige. Tøver leverandøren, eller lyder svaret “det burde være sat op”, har I allerede fundet noget. Bed om at se det frem for at få det bekræftet i en mail.
Tænkt eksempel: en virksomhed med 40 ansatte tjekker sætningen “ansøgninger slettes seks måneder efter stillingens besættelse”. Rekrutteringssystemet sletter som lovet. Ansøgningerne ligger dog også i lederens mailboks og i en delt mappe, hvor de blev gemt til samtalerne. Politikken talte om systemet, og medarbejderne brugte tre steder. Afvigelsen kan rettes med en ændret arbejdsgang. Den slags kommer frem, når man følger data i stedet for at læse dokumenter.
Når I har fundet en afvigelse
Der er to mulige rettelser. I kan ændre systemet, så det gør det, politikken lover, eller I kan ændre politikken, så den siger det, I faktisk kan holde. Begge dele er i orden, så længe valget er truffet af den, der må træffe det, og begrundelsen står skrevet. Det er værre at beholde en sætning, I ved er forkert.
Vær særlig opmærksom på de løfter, der er givet udadtil. Står en opbevaringsperiode eller en modtager i jeres tekst til de registrerede, er det en del af oplysningspligten, se oplysningspligten. Passer den ikke, har I en fejl over for de personer, teksten er skrevet til, og den skal rettes, uanset hvilken vej I vælger.
Nogle afvigelser er mere end en papirfejl. Viser det sig, at en mappe med følsomme oplysninger har stået åben for alle ansatte, skal det vurderes, om der er tale om et brud. Se er det et brud?.
DPO’ens plads i arbejdet
Har I en DPO, er dette en naturlig del af overvågningen efter art. 39, stk. 1, litra b. DPO’en udvælger stikprøver, læser materialet og rapporterer. Virksomheden retter fejlene. Hvordan det ser ud i adgangslister og logudtræk, beskriver artiklen om kontrol i systemerne. Den kontrol kan I stille som krav til en ekstern DPO, se Det får I. Har I ingen DPO, kan den samme øvelse lægges hos en, der ikke selv har skrevet politikken, for det er den, der har skrevet den, der har sværest ved at se hullerne.
Gentag øvelsen med faste mellemrum, og tag nye sætninger hver gang. Resultaterne er i sig selv dokumentation for, at I følger op, og de er nyttige, hvis Datatilsynet spørger, hvordan I ved, at politikkerne overholdes.
Det skal I lade være med
· At nøjes med leverandørens bekræftelse. Bed om at se listen, posten eller indstillingen.
· At lade forkerte sætninger stå. Ret systemet eller teksten, og skriv ned hvorfor.
· At lade forfatteren kontrollere sin egen politik. Lad en anden stille spørgsmålene.
Det skal I kræve af den eksterne
- ☐ Stikprøver i systemerne ud over gennemlæsning af dokumenter.
- ☐ En liste over afvigelser med system, dato og risiko.
- ☐ Anbefalinger, hvor det står klart, hvem der skal beslutte og udføre.
- ☐ Opfølgning på, om afvigelserne er lukket.
Kilder
- Databeskyttelsesforordningen: art. 5, stk. 2, art. 24 og art. 39, stk. 1, litra b.
- EU-Domstolen, C-340/21 af 14. december 2023 og C-687/21 af 25. januar 2024.
- Datatilsynet: Periodisk kontrol af adgangsrettigheders aktualitet: senest opdateret 7. november 2023.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Slettepolitik · Hvor ligger jeres persondata?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
