Hvad skylder vi kunderne, når det gælder sikkerhed?

Kunderne giver virksomheden noget, de ikke selv kan beskytte: deres oplysninger, deres betalinger og i nogle tilfælde deres egen drift. Spørgsmålet er, hvad ledelsen skylder dem til gengæld. Svaret hviler på to ting. Den ene er de regler, der gælder, blandt andet databeskyttelsesreglerne for personoplysninger. Den anden er den forpligtelse, der følger af, at kunden har vist virksomheden tillid. Den anden rækker længere end den første, og den er ledelsens egen. Teksten er ikke juridisk rådgivning.

Det, kunderne ikke selv kan se

En kunde, der handler med virksomheden, kan ikke selv vurdere, hvordan dens oplysninger bliver beskyttet. Kunden ser hjemmesiden, fakturaen og måske en kundeportal, men ikke systemerne bag, leverandørerne eller hvem der har adgang. Kunden må stole på virksomheden. For erhvervskunder kan det handle om tegninger, priser, kundelister eller adgang til deres egne systemer gennem en fælles løsning. Et brud hos leverandøren kan derfor ramme kundens egen forretning, uden at kunden har haft mulighed for at forhindre det.

Den ubalance er kernen i spørgsmålet. Når den ene part ikke kan kontrollere den anden, får den, der har kontrollen, et særligt ansvar for at bruge den ordentligt. Det gælder, uanset om kunden er en forbruger eller en anden virksomhed, og uanset om oplysningerne er personoplysninger eller forretningsoplysninger.

Hvad reglerne siger om personoplysninger

For personoplysninger giver databeskyttelsesforordningen et udgangspunkt. Efter artikel 5, stk. 1, litra f, skal personoplysninger behandles på en måde, der sikrer tilstrækkelig sikkerhed, herunder beskyttelse mod uautoriseret behandling og mod hændeligt tab, under anvendelse af passende tekniske eller organisatoriske foranstaltninger. Efter artikel 5, stk. 2, er den dataansvarlige ansvarlig for og skal kunne påvise, at principperne overholdes.

Forordningen indeholder også regler om, hvad der skal ske, hvis noget går galt. Efter artikel 34 skal den dataansvarlige underrette de registrerede uden unødig forsinkelse, når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for deres rettigheder, med de undtagelser, artiklen nævner.

Hvordan reglerne gælder i en bestemt virksomhed, afhænger af, hvilke oplysninger der behandles, og hvordan. Det kan ledelsen få belyst af en rådgiver. Sikkerhedskravet efter artikel 32 og testens plads i det er beskrevet for sig. → Persondata og sikkerhedstest

Hvad tilliden forpligter til ud over loven

Reglerne sætter en nedre grænse. Men kunderne forventer noget, der ikke står i nogen paragraf: at virksomheden tager deres tillid alvorligt i hverdagen. Den forventning kan beskrives som fire løfter, ledelsen giver, uanset om de er skrevet ned:

At passe på det, der er betroet · både personoplysninger og forretningsoplysninger, som kunden ikke ønsker spredt.
At vide, hvor svaghederne er · så beskyttelsen bygger på viden og ikke på håb.
At sige det, hvis noget går galt · åbent og i tide, også når reglerne ikke kræver det.
At ikke love mere end virksomheden kan holde · så kunden kan regne med det, der bliver sagt.

Ingen af de fire løfter kræver, at virksomheden er fejlfri. De kræver, at ledelsen ved, hvad den gør, og står ved det. → Løfter om sikkerhed til kunderne

Hvor sikkerhedstesten passer ind

Det andet løfte er det, en sikkerhedstest bidrager mest direkte til. En virksomhed, der aldrig har afprøvet sine systemer, kan ikke sige, at den ved, hvor svaghederne er. Den kan kun sige, at den ikke har hørt om nogen. Over for en kunde, der har betroet virksomheden sine oplysninger, er det et tyndt svar, og ledelsen bør kunne gøre det bedre.

En test kan også styrke de andre løfter. Den kan vise, hvilke kundeoplysninger der faktisk er udsat, så beskyttelsen kan prioriteres. Den kan give ledelsen et grundlag for at svare ærligt, når kunderne spørger. Og den kan indgå i det, virksomheden kan påvise, når den skal dokumentere, at den har taget sikkerheden alvorligt. Testen fjerner ikke risikoen, men den ændrer ledelsens position fra uvidenhed til viden. → Kronjuvelerne

Når kunderne spørger direkte

Kunder, der spørger til sikkerheden, har krav på et svar, der passer. Det betyder ikke, at virksomheden skal udlevere en testrapport til alle. Rapporten indeholder oplysninger, der kan skade, hvis de havner forkert. Men det betyder, at svaret skal bygge på virksomhedens faktiske forhold.

Ledelsen kan forberede et kort svar, der fortæller, hvad virksomheden gør: hvem der har ansvaret, hvornår de vigtigste systemer sidst blev afprøvet, og hvordan fund bliver fulgt op. Et sådant svar er mere troværdigt end en forsikring om, at alt er i orden. Hvis kunden har brug for mere, kan virksomheden tilbyde at gennemgå resultaterne på et møde eller dele et resumé under en fortrolighedsaftale. Beslutningen om, hvad der deles, og med hvem, bør ligge hos ledelsen og ikke hos den enkelte sælger. → Kunderne spørger til vores sikkerhed

Et tænkt eksempel

En kæde af tandlægeklinikker har et bookingsystem, hvor patienterne selv indtaster oplysninger. Ved en ledelsesdrøftelse spørger den administrerende direktør, hvad kæden egentlig skylder patienterne ud over at følge reglerne.

Drøftelsen fører til tre beslutninger. Bookingsystemet testes af en uafhængig tester, fordi ingen kan sige, hvor svaghederne er. Der laves en plan for, hvordan patienterne orienteres, hvis noget går galt, så ingen skal improvisere under pres. Og teksten om datasikkerhed på hjemmesiden skrives om, så den beskriver, hvad kæden gør, i stedet for at love, at oplysningerne er fuldt beskyttet. Ledelsen beder om en status på alle tre punkter ved næste møde. Direktøren tilføjer, at spørgsmålet om, hvad kæden skylder patienterne, skal stilles igen, hver gang et nyt system tages i brug.

Det skal I lade være med

At gøre lovens minimum til hele svaret · tilliden rækker længere end paragrafferne.
At gå ud fra, at ingen nyheder er gode nyheder · uden afprøvning ved I det ikke.
At udlevere testrapporten til alle, der spørger · giv et dækkende svar uden følsomme detaljer.
At vente med at planlægge orienteringen · beslut, hvordan kunderne får besked, før det er nødvendigt.
At love mere, end I kan holde · beskriv, hvad I gør.

Hvad kan og ikke kan konkluderes

Ledelsen skylder kunderne at beskytte det, der er betroet, at kende sine svagheder og at være ærlig om dem. En sikkerhedstest kan understøtte det, men den gør ikke virksomheden immun over for hændelser og opfylder ikke i sig selv reglerne om personoplysninger. Hvad reglerne kræver i en konkret situation, må vurderes særskilt. → Hvis testresultatet slipper ud

Tjekliste til ledelsen

☐ Ved ledelsen, hvilke kundeoplysninger virksomheden passer på?
☐ Er de systemer, der rummer dem, afprøvet af en uafhængig tester?
☐ Er der en plan for, hvordan kunderne orienteres, hvis noget går galt?
☐ Bygger svarene til kunderne på dokumenterbare forhold?
☐ Er det klart, hvem i ledelsen der står for kundernes tillid?

Kilder

Databeskyttelsesforordningen (EU) 2016/679: artikel 5, stk. 1, litra f, om integritet og fortrolighed; artikel 5, stk. 2, om ansvarlighed; artikel 34, stk. 1, om underretning af den registrerede ved brud med høj risiko.

Senest gennemgået: oktober 2026.