En risikovurdering efter GDPR spørger, hvad der kan ske med de mennesker, jeres oplysninger handler om. De kaldes de registrerede. Jeres IT-risikovurdering spørger typisk, hvad en hændelse koster virksomheden i nedetid, tab og omdømme. Begge vurderinger kan være gode, og den ene kan alligevel overse det, den anden fanger. Datatilsynet understreger, at det handler om risikoen for de berørte personer og ikke om organisationens omsætning eller indtjening. Artiklen viser, hvordan vurderingen laves i praksis, og hvad en DPO skal kunne se i den.
Om vurderingen kan samles med arbejdet efter NIS2, er et spørgsmål for sig. Her gælder det metoden.
Hvad reglerne kræver, og hvad de lader stå åbent
Risiko er ifølge Datatilsynet muligheden for et negativt resultat, og størrelsen bestemmes af sandsynlighed og konsekvens. Forordningen stiller ingen konkrete krav til metode eller model. I vælger selv skema, skala og værktøj, så længe I kan vise, at vurderingen er lavet, og hvad den førte til.
Flere artikler bygger på risiko, og de stiller forskellige spørgsmål:
- Art. 5 og 32 gælder samtlige behandlinger, både dem, I planlægger, og dem, der kører, og altså også alle personer og oplysninger. Det er den vurdering, denne artikel handler om.
- Art. 24 og art. 5, stk. 2, kræver, at I kan påvise, at reglerne overholdes.
- Art. 33 og 34 handler om et konkret brud, så vurderingen er begrænset til dem og det, bruddet faktisk har ramt.
- Art. 35 handler om konsekvensanalysen, som kræves ved sandsynlig høj risiko. Grænsen er gennemgået i skal vi lave en DPIA.
Fem trin, der kan bruges i en mindre virksomhed
Datatilsynets side sætter ingen faste trin op, så rækkefølgen herunder er vores forslag.
- Tag udgangspunkt i behandlingerne. Start i fortegnelsen, hvor løn, rekruttering og kundeservice står hver for sig. Et enkelt system kan rumme flere behandlinger med vidt forskellig risiko.
- Beskriv personerne og oplysningerne. Hvem handler det om, og hvor hårdt kan de blive ramt? Ansatte, kunder, patienter og børn står forskelligt, og de har ikke samme mulighed for at sige fra.
- Find scenarierne. Datatilsynet oplyser, at vurderingen normalt tager udgangspunkt i lister over generiske scenarier. Tilsynets side om de 10 typiske brud er et godt sted at begynde.
- Vurdér sandsynlighed og konsekvens. Konsekvensen beskrives set fra personen. Sandsynligheden vurderes ud fra de foranstaltninger, I har i dag.
- Tag stilling til foranstaltningerne. Vurderingen efter art. 32 skal vise, om det, I har etableret, er tilstrækkeligt. Er det ikke, skal der ligge en plan med en ansvarlig. Datatilsynets katalog beskriver for hver foranstaltning, hvilke risici den påvirker.
Sådan ser en konsekvens ud fra personens side
Det svære er at skifte perspektiv. Datatilsynets skabelon til konsekvensanalyser har en skala, der også er nyttig her. Den går fra få uhensigtsmæssigheder, der kan overkommes uden større indsats, over betydelige besværligheder og alvorlige følger til indgribende konsekvenser, som det er vanskeligt eller umuligt at komme over. Skabelonen er lavet til konsekvensanalysen, og I må gerne bruge en anden skala.
Et tænkt eksempel viser forskellen. Et rengøringsfirma har et system til vagtplaner med navne, telefonnumre og sygefravær. Står systemet stille en dag, er det en mindre gene, og IT-vurderingen giver lav risiko. Ser en kollega eller en uvedkommende fraværet, kan den ansatte blive udsat for sladder og pres. Vurderet for personen er scenariet noget andet end et driftsproblem, og det peger på en anden foranstaltning, nemlig at færre må se fraværet.
Omvendt kan et system være kritisk for forretningen uden at betyde meget for personerne. Datatilsynet bruger selv kunderegistret i en netbutik med kjoler som eksempel på, at manglende tilgængelighed kan have lille eller ingen konsekvens for de registrerede, mens en patientjournal, der ikke kan hentes frem, kan få alvorlige følger.
Hvad DPO’en gør
Den dataansvarlige laver og ejer vurderingen. DPO’en rådgiver og overvåger, og skal efter art. 39, stk. 2, selv tage hensyn til risikoen i sit arbejde. I praksis læser DPO’en vurderingen med ét spørgsmål for øje: er det virkelig personen, der er vurderet? En god DPO spørger også, om scenarierne passer til det, systemet faktisk gør. Står der, at kun HR kan se fraværet, er det værd at holde sætningen op mod de adgange, der er tildelt. Den slags kontrol bliver lettere med en IT-baggrund, og den er et tillæg til den juridiske vurdering.
Vurderingen er ikke færdig, fordi den er skrevet. Den skal ses igennem, når et system, en leverandør eller et formål ændrer sig. De læste kilder nævner ingen fast frekvens, så sæt selv en, og skriv den ned.
Det skal I lade være med
- At måle skaden i penge · det er personens situation, der skal beskrives.
- At vurdere systemet samlet · vurdér behandlingerne, for ét system kan rumme flere.
- At lægge driftsrisiko og personrisiko sammen i ét tal · personrisikoen forsvinder i gennemsnittet.
- At kalde en høj risiko accepteret uden begrundelse · ledelsens beslutning og grunden til den skal stå på skrift.
Det skal I kræve af den eksterne
- ☐ En læsning af vurderingen med fokus på personerne.
- ☐ Stikprøver af, om de beskrevne adgange og foranstaltninger passer med virkeligheden.
- ☐ Rådgivning om, hvornår en høj risiko bør føre til en konsekvensanalyse.
- ☐ Klar besked om, at virksomheden selv ejer vurderingen og beslutningerne.
- ☐ En skriftlig tilkendegivelse, der kan lægges i dokumentationen.
Kilder
- Datatilsynet: Risikovurdering, læst 5. november 2026: risikobegrebet, ingen krav til metode, opdelingen efter artikler og generiske scenarier.
- Datatilsynet: De 10 brud: risikoen for de berørte personer.
- Datatilsynet: Backup i kataloget over foranstaltninger: eksemplerne med patientjournal og netbutik.
- Datatilsynet: Nye skabeloner til konsekvensanalyser, 22. maj 2024: skalaen for konsekvens.
- Databeskyttelsesforordningen: art. 5, 24, 32 til 35 og 39.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Passende sikkerhed efter artikel 32 · GDPR-dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
