Persondata og sikkerhedstest: ledelsens ansvar efter GDPR

En virksomhed med kunder, medarbejdere eller samarbejdspartnere behandler personoplysninger om dem, og ledelsen kan høre, at databeskyttelsesforordningen kræver sikkerhedstest. Svaret er mere nuanceret. Forordningen kræver et sikkerhedsniveau, der passer til risikoen, og den nævner blandt de mulige foranstaltninger en procedure for regelmæssig afprøvning og evaluering af, om sikkerheden virker. En sikkerhedstest kan være en del af den procedure. Hvad der er passende for jeres virksomhed, afhænger af en risikovurdering, som er virksomhedens egen.

Teksten er ikke juridisk rådgivning. Spørgsmål om jeres konkrete forpligtelser bør afklares med en rådgiver eller ud fra Datatilsynets vejledninger.

Hvad artikel 32 siger

Databeskyttelsesforordningens artikel 32 handler om behandlingssikkerhed. Den kræver, at der gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen. Vurderingen skal tage hensyn til det aktuelle tekniske niveau, omkostningerne, behandlingens karakter og formål og risikoen for de registreredes rettigheder.

Bestemmelsen opregner herefter foranstaltninger, som skal gennemføres, alt efter hvad der er relevant. En af dem er en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger. Bestemmelsen siger ikke, at afprøvningen skal være en penetrationstest, og den siger ikke, hvor ofte. → Ledelsens ansvar for IT-sikkerhed

Risikoen er de registreredes

Et vigtigt punkt for ledelsen er, hvis risiko der er tale om. Når virksomheden ellers vurderer sikkerhedsrisiko, tænker den måske først på sin egen drift, økonomi og omdømme. Artikel 32 handler om risikoen for de personer, oplysningerne vedrører.

Datatilsynet beskriver, at risikovurderingen efter artikel 32 skal vise, om virksomheden har etableret tilstrækkelige foranstaltninger, og at risikoens størrelse bestemmes af forholdet mellem sandsynligheden for et sikkerhedsbrud og konsekvensen for de berørte. Tilsynet skriver også, at loven ikke foreskriver en bestemt metode.

Det betyder, at et system, der er af mindre betydning for forretningen, kan være vigtigt efter GDPR, fordi det rummer følsomme oplysninger om mennesker. En liste over virksomhedens vigtigste systemer bør derfor også se på, hvor personoplysningerne ligger. → Kronjuvelerne

Hvor sikkerhedstesten passer ind

En sikkerhedstest kan give svar på en del af det, artikel 32 lægger op til: om de foranstaltninger, virksomheden har valgt, virker i praksis. Den kan vise, om uvedkommende kan nå personoplysninger udefra, om medarbejdere har adgang til mere, end de skal bruge, og om adskillelsen mellem systemer holder.

Den kan ikke vise alt. Den afprøver ikke, om virksomheden har hjemmel til at behandle oplysningerne, om de slettes til tiden, eller om medarbejderne ved, hvad de må. Den afprøver heller ikke, om procedurerne for at håndtere et brud virker. Testen er derfor et bidrag til den regelmæssige afprøvning, ikke hele afprøvningen.

For ledelsen er det mest nyttige at bede om, at testen tager udgangspunkt i de steder, hvor personoplysninger med størst risiko for de registrerede ligger. Så bliver resultatet relevant for den vurdering, artikel 32 kræver. Det kan betyde, at testen ser på et mindre system med helbreds- eller lønoplysninger frem for det store system, som forretningen er mest afhængig af. Begge hensyn er legitime, og ledelsen kan vælge at dække dem i hver sin runde, så længe valget er truffet bevidst og skrevet ned. → Ledelsens valg, der bestemmer omfanget

Ledelsens rolle

Det er virksomheden som dataansvarlig, der har pligten, og det er ledelsen, der skal sikre, at virksomheden lever op til den. I praksis betyder det tre ting.

At risikovurderingen findes · er der vurderet, hvilke risici behandlingen af personoplysninger indebærer for de registrerede?
At der er en procedure for afprøvning · ved ledelsen, hvordan og hvornår virksomheden kontrollerer, at foranstaltningerne virker?
At resultatet bruges · bliver fund rettet, og bliver risikovurderingen opdateret?

Ledelsen behøver ikke selv gennemføre noget af det. Men den skal vide, at det sker, og den skal kunne vise det.

Nogle virksomheder har en person, der har fået ansvaret for databeskyttelse, eller en databeskyttelsesrådgiver. Den person kan være en god samarbejdspartner, når testen planlægges, fordi vedkommende kan kende oversigten over, hvilke oplysninger der behandles hvor. Ansvaret for, at sikkerheden er passende, ligger dog fortsat hos virksomheden og dermed hos ledelsen. Det er heller ikke testerens opgave at vurdere, om virksomheden overholder forordningen. Testeren beskriver, hvad der kunne lade sig gøre, og virksomheden vurderer, hvad det betyder for de registrerede. → Har vi gjort, hvad vi kunne?

Personoplysninger under selve testen

En sikkerhedstest kan i sig selv berøre personoplysninger. Testeren kan under arbejdet få adgang til systemer, hvor der ligger oplysninger om kunder eller medarbejdere, og rapporten kan indeholde eksempler. Det er en del af testens egne risici, som ledelsen bør tage stilling til, før testen begynder.

Spørgsmålene er, hvad testeren må se, hvad der må gemmes, hvordan rapporten opbevares, og hvornår data fra testen slettes. Det bør aftales skriftligt. → Testens egne risici

Et tænkt eksempel

En virksomhed, der driver en række fysioterapiklinikker, får en henvendelse fra en ny samarbejdspartner, som vil vide, hvordan virksomheden overholder artikel 32. Direktøren svarer, at der aldrig har været et brud.

Bestyrelsen beder om mere. Der bliver lavet en risikovurdering, som viser, at journalsystemet og bookingsystemet rummer helbredsoplysninger, og at mange behandlere har adgang hjemmefra. Ledelsen beslutter en sikkerhedstest med fokus på netop de to systemer og fjernadgangen. Resultatet bruges til at opdatere risikovurderingen, og bestyrelsen aftaler, hvornår afprøvningen skal gentages. Svaret til samarbejdspartneren bygger nu på en procedure, ikke på et fravær af uheld.

Det skal I lade være med

At tro, at GDPR kræver en penetrationstest · den kræver passende sikkerhed og nævner afprøvning som en mulighed.
At tro, at en test opfylder artikel 32 · den er et bidrag til afprøvningen, ikke hele kravet.
At vurdere risikoen kun ud fra virksomhedens interesser · artikel 32 handler om de registrerede.
At glemme personoplysninger i testen selv · aftal, hvad testeren må se og gemme.
At lade resultatet ligge · afprøvning uden opfølgning viser blot, at I kendte problemerne. → Hvem i virksomheden skal kende resultatet?

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan vise, om dele af de foranstaltninger, der beskytter personoplysninger, virker i praksis, og den kan indgå i den regelmæssige afprøvning, artikel 32 nævner. Den kan ikke afgøre, om virksomheden overholder forordningen, om sikkerhedsniveauet er passende, eller hvordan Datatilsynet eller en domstol vil vurdere en konkret sag.

Tjekliste: persondata og test

☐ Har vi en risikovurdering, der ser på risikoen for de registrerede?
☐ Ved vi, hvor personoplysningerne med størst risiko ligger?
☐ Har vi en procedure for regelmæssig afprøvning af, om foranstaltningerne virker?
☐ Er det aftalt, hvad testeren må se og gemme af personoplysninger?
☐ Bliver risikovurderingen opdateret, når testens resultat foreligger?

Kilder

Databeskyttelsesforordningen (EU) 2016/679: artikel 32, stk. 1, om et sikkerhedsniveau, der passer til risikoen, og litra d om en procedure for regelmæssig afprøvning, vurdering og evaluering af foranstaltningernes effektivitet.
Datatilsynet, Risikovurdering: at risikovurderingen efter artikel 32 skal vise, om der er etableret tilstrækkelige foranstaltninger, at risikoen bestemmes af sandsynlighed og konsekvens for de registrerede, og at loven ikke foreskriver en bestemt metode.

Senest gennemgået: oktober 2026.