Databeskyttelse er blevet en central del af det digitale samfund. Offentlige myndigheder, virksomheder og organisationer håndterer store mængder personoplysninger hver eneste dag, lige fra kundedata til medarbejderinformationer. Derfor er korrekt databeskyttelse ikke kun et lovkrav, men også en nødvendighed for at beskytte borgernes privatliv og opretholde tillid.

Det er både virksomhederne og de offentlige myndigheder, der har ansvaret for at beskytte data, men alle borgere er berørt af konsekvenserne, hvis det ikke sker.

Hvad er databeskyttelse?

Databeskyttelse handler om at sikre, at personoplysninger behandles sikkert, lovligt og gennemsigtigt. Det indebærer både tekniske og organisatoriske tiltag, som tilsammen skal forhindre misbrug, tab eller uautoriseret adgang til data. Databeskyttelse er en samlet betegnelse for alle sikkerhedsforanstaltninger og sikkerhedsforanstaltninger, der beskytter dine egne - og dine kunders - data.

Alle virksomheder i EU er i henhold til GDPR (General Data Protection Regulation) forpligtet til at beskytte deres kunders, medarbejderes og andre partneres data — herunder deres personoplysninger. Dette gælder både interne (personer i organisationen) og eksterne (for eksempel hackere) parter.

Det er op til virksomheden selv at implementere tilstrækkelige sikkerhedsforanstaltninger, der beskytter data. Disse sikkerhedsforanstaltninger kategoriseres normalt som enten:

• Tekniske sikkerhedsforanstaltninger eller forholdsregler
• Organisatoriske sikkerhedsforanstaltninger eller forholdsregler
• Den passende grad eller omfang af sådanne foranstaltninger for din virksomhed er op til dig. Dette kræver blandt andet, at du laver en Konsekvensanalyse vedrørende databeskyttelse (DPIA) og en konsekvensanalyse af din databeskyttelse. Du kan finde en skabelon til en konsekvensanalyse vedrørende databeskyttelse (DPIA) på GDPR.EU.

Desuden er det vigtigt, at der kan dokumenteres, at der er installeret eller implementeret de nødvendige foranstaltninger, og at der efterfølgende og regelmæssigt vurderes, om de er tilstrækkelige til at beskytte de personlige oplysninger, der bliver behandlet.

Centrale begreber inden for databeskyttelse omfatter:

Personoplysninger: Enhver form for information, der kan knyttes til en identificeret eller identificerbar person.

Databehandling: Enhver aktivitet, der involverer personoplysninger — indsamling, lagring, ændring, videregivelse eller sletning.

Dataansvarlig: Den organisation, der bestemmer formålet med behandling af data.

‍Databehandler: En ekstern part, der behandler data på vegne af den dataansvarlige.

Databeskyttelse handler altså både om regler og praksis samt om at skabe sikre rammer, så personoplysninger behandles med respekt og professionalisme.

Som dataansvarlig og som databehandler er det vigtigt at forstå, at selvom standarderne og retningslinjerne bliver fulgt, er dette ikke synonymt med overholdelse af GDPR. Derfor er det vigtigt, at der er en systematisk, professionel og struktureret tilgang til rollen. Hvis du behandler følsomme personoplysninger („særlig kategori af personoplysninger“), kan det være nødvendigt at tilføje eller udvide med efterfølgende beskyttelsesforanstaltninger.

Supplerende læsning: DPO - hvad er en databeskyttelsesrådgiver og datasikkerhed?

Lovgivning og regler omkring databeskyttelse

Databeskyttelse i Danmark og EU reguleres primært af GDPR (Databeskyttelsesforordningen) og den danske Databeskyttelseslov. Lovgivningen fastlægger blandt andet:

• Hvordan personoplysninger må indsamles, behandles og opbevares
• Hvilke rettigheder borgere har over deres data
• Hvilke sikkerhedsforanstaltninger virksomheder skal implementere
• Ansvar og dokumentationskrav for både dataansvarlige og databehandlere

Konsekvenser ved manglende overholdelse

Hvis en virksomhed ikke overholder databeskyttelsesreglerne, kan det få alvorlige konsekvenser. Disse konsekvenser kan komme i form af økonomiske sanktioner som bøder på op til 4% af den globale omsætning, samt kan det have konsekvenser for virksomhedens omdømme og dermed kundernes tillid. Det kan også medføre driftsforstyrrelser, hvis Datatilsynet kræver ændringer eller stopper behandlingsaktiviteter. Derudover kan der komme et erstatningsansvar for de registrerede, som sagen omhandler. 

At arbejde struktureret med databeskyttelse handler derfor både om risikostyring og om at sikre en sund og bæredygtig drift.

Tekniske sikkerhedsforanstaltninger

Tekniske sikkerhedsforanstaltninger er de digitale værktøjer og løsninger, der beskytter personoplysninger mod uautoriseret adgang, datalæk, manipulation eller tab. Disse tekniske foranstaltninger kan komme i mange former, f.eks.:

• Firewalls og netværksovervågning
• Kryptering af data — både under overførsel og ved opbevaring
• Adgangskontrol (f.eks. to-faktor-godkendelse)
• Sikkerhedskopiering (backup) og gendannelsesplaner
• Antivirus, antimalware og endpoint-sikkerhed
• Logning og overvågning af kritiske systemer

Internationale standarder og best practice

Mange virksomheder anvender sikkerhedsstandarder som ramme for deres tekniske databeskyttelse. Der findes en række internationalt anerkendte standarder for databeskyttelse, såsom:

ISO 29151

ISO 29134

ISO 27001

Derudover findes der en række internationalt anerkendte retningslinjer for cybersikkerhed, bl.a. NIST Cybersecurity Framework.

Standarderne hjælper virksomheder med at etablere solide processer, dokumentation og en systematisk tilgang til databeskyttelse.

Læs mere om standarderne på Den Internationale Standardiseringsorganisations hjemmeside. 

Organisatorisk databeskyttelse

Organisatorisk databeskyttelse og sikkerhedsforanstaltninger er den type databeskyttelse, der involverer mennesker og processer. Data sikres ved at uddanne medarbejdere og følge retningslinjer, der forbyder uplanlagte fejl eller forsætlige brud på personoplysninger.

Dette udtryk gælder for:

• Procedurer for databehandling
• Klar fordeling af roller og adgang
• Sikkerhedskurser
• Uddannelse af medarbejdere
• Risiko- og konsekvensvurderinger
• Handlingsplaner for brud på personoplysninger

Sådan håndteres brud på databeskyttelse

Ingen databeskyttelse er fejlsikker. Dette anerkendes også af selve GDPR og af de fleste af de tilsynsmyndigheder, der er ansvarlige for at håndhæve den i EU.

Et brud på databeskyttelse (data breach) kan f.eks. være tab af en laptop, hack, phishing-angreb, utilsigtet videregivelse af data eller interne fejl. Det er vigtigt at virksomheden har en klar handlingsplan for, hvad der skal gøres ved et data breach. Dette kan være med til at minimere skaden, hvis uheldet er ude. En sikkerhedsplan kan se således ud: 

• Identificér bruddet – Hvad er sket? Hvilke data er berørt?
• Begræns skaden – Afbryd adgangen, isolér systemer eller stop databehandlingen.
• Vurder risikoen – Kan bruddet skade de registreredes rettigheder?
• Anmeld bruddet til Datatilsynet inden 72 timer, hvis der er risiko for skade.
• Informér de berørte personer, hvis bruddet kan have væsentlige konsekvenser for dem.
• Dokumentér hændelsen – Hvad skete der? Hvilke tiltag blev taget? Hvordan forhindres det fremover?
• Implementér nye sikkerhedsforanstaltninger, hvis bruddet afslører svagheder.

Altså kræver det at der er fastlagt en klar ansvarsfordeling mellem dataansvarlig og databehandler, der skal være klarhed om hvordan der rapporteres potentielle overtrædelser til kunder, og klare retningslinjer for, hvordan der rapporteres overtrædelser til de relevante tilsynsmyndigheder.

Lad MEO stå for jeres databeskyttelse

Med Meo får du en softwareplatform, der beskytter dine kunders data og sikrer, at du overholder love og regler om bekæmpelse af hvidvaskning af penge (AML).

For virksomheder er der en række fordele ved at bruge Meo:

Onboarding

Onbord dine kunder digitalt - ved hjælp af sikre kanaler.

Validering

Opsæt dine egne krav til validering af oplysninger.

Dokumentation

Et komplet spor og oversigt over de udførte handlinger og samtykke til behandling.

Forarbejdning

Med Meo overholder du alle juridiske krav — både GDPR og AML.

Desuden hjælper platformen dig med at bekræfte dine kunders identitet, så du overholder KYC, Due Diligence og CDD. Få mere information om vores sikkerhed ved at læse vores Hvidbog om sikkerhed.