Tekniske foranstaltninger

Forordningen siger passende sikkerhed, og den giver ingen fast liste. Det er art. 32’s styrke og dens vanskelighed. Niveauet afhænger af risikoen for personerne, og det er jer, der skal kunne begrunde det. EU-Domstolen fastslog i C-340/21, at I ikke er dømt alene, fordi et brud er sket, og at I selv må løfte beviset for, at sikkerheden var passende. Det flytter emnet fra dokumenter til systemer. Her samler vi artiklerne om, hvad kravet betyder i IT, og hvordan I kan se, om det virker.

Sådan bruger I siden

Begynd med kravet, og gå derefter til kontrollen. De fleste virksomheder har en beskrivelse af deres sikkerhed. Færre har set efter, om beskrivelsen holder. Har en kunde stillet spørgsmål, eller har en medarbejder nævnt, at alle kan se alt, så gå direkte til artiklen om det. Sikkerhedsledelsen som helhed, herunder NIS2, hører til på ciso-as-a-service.dk, og her står det, der følger af databeskyttelsesreglerne.

Kravet

• Passende sikkerhed: hvad artikel 32 kræver af jeres IT Sådan fastlægger I niveauet, og hvad litra a til d betyder i praksis.
• Datatilsynets katalog over foranstaltninger oversat til IT-opgaver Kataloget læst som opgaver, med det, I kan bede IT om at vise.
• Skal I teste sikkerheden for at leve op til GDPR? Art. 32, stk. 1, litra d, og hvad der tæller som regelmæssig afprøvning.

Kataloget er hverken udtømmende eller absolut, og forordningen nævner ikke pentest. Læs mere om, hvad en test kan svare på.

Kontrollen i systemerne

• Når DPO’en går ned i systemerne: sådan ser kontrollen ud Adgangslister, logudtræk og slettejob som grundlag, uden at DPO’en driver noget selv.
• Politikken siger ét, systemet gør noget andet De typiske afvigelser mellem papir og IT, og hvordan I selv finder dem.

Overvågningen er en opgave efter art. 39, stk. 1, litra b, og ingen kilde beskriver, hvordan den gøres teknisk. Metoden i de to artikler er vores arbejdsmetode. Den hviler på én forudsætning: DPO’en beslutter og driver intet i systemerne, for ellers kommer vedkommende til at vurdere sit eget arbejde. En DPO med baggrund i jura kan bruge den samme metode sammen med en teknisk rådgiver. Vil I have jeres beskrivelse efterprøvet af en udefra, begynder det med en GDPR-gennemgang.

Kryptering og data, der skal gøres mindre følsomme

• Kryptering og GDPR: hvad er kravet, og hvad hjælper det? Hvornår det er passende, hvad det betyder efter et brud, og hvorfor nøglerne afgør det.
• Kryptering af mail: hvornår er det et krav? Datatilsynets vurdering fra oktober 2025, og hvordan I tester jeres egen opsætning.
• Pseudonymisering eller anonymisering: hvornår er data ikke persondata? Forskellen på de to, typiske fejl og betydningen af dommen i C-413/23 P.

Adgange, gamle systemer og CPR

• Alle kan se alt på drevet: rettighedsstyring efter Datatilsynets vejledning En første oprydning i delte drev, chatkanaler og fælleskonti.
• Det gamle system kan ikke opdateres, men indeholder persondata Valget mellem at isolere, tømme eller erstatte.
• CPR-numre i virksomheden: hvornår må I, og hvordan beskytter I dem? Databeskyttelseslovens § 11 og de steder, hvor numrene gemmer sig.

Hvordan ledelsen sætter princippet for adgange, står under adgangsstyring som politik.

Indkøb og medarbejdere

• Databeskyttelse gennem design: det, I kan kræve af et standardsystem Art. 25 set fra køberen, med krav om indstillinger, roller, sletning og logning.
• GDPR-træning af medarbejdere: det, der skal sidde på rygraden Indholdet pr. funktion, og hvordan det bliver dokumenteret.

Foranstaltningerne bygger på risikovurderingen for de registrerede. Når driften ligger hos en leverandør, gælder det samme krav, og I skal kunne vise det, som det står under databehandlere og leverandører.

Også relevant

• Må man sende CPR-nummer på mail? Og fortrolige oplysninger i øvrigt

Det skal I lade være med

• At tage en leverandørs certifikat som svar på det hele · jeres opsætning og brug skal stadig vurderes.
• At købe teknik, før risikoen er vurderet · foranstaltningen skal passe til behandlingen.
• At give DPO’en administratorrettigheder · et udtræk eller en læseadgang giver bedre kontrol og færre konflikter.

Det skal I kræve af den eksterne

• ☐ Kontrol, der bygger på udtræk og stikprøver fra systemerne.
• ☐ Fund beskrevet med risikoen for personerne, så ledelsen kan prioritere.
• ☐ Rådgivning om, hvad der er passende, mens IT vælger og driver løsningen.
• ☐ Faglig indsigt i både databeskyttelsesret og teknik, som art. 37, stk. 5, forudsætter for rollen.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679: art. 25, 32, 37 og 39.
• Datatilsynet: Katalog over foranstaltninger.
• Datatilsynet: Behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger, 2018.
• EU-Domstolen, C-340/21, 14/12 2023.

Senest gennemgået: november 2026.

Næste skridt

• Passende sikkerhed: hvad artikel 32 kræver af jeres IT
• Når DPO’en går ned i systemerne

Læs også: Hvilke adgange skal en ekstern DPO have? · Vores DPO er jurist

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT