Når Datatilsynet varsler et tilsyn, skal I kunne vise, at jeres behandling af persondata er styret og dokumenteret. Det handler sjældent om at finde nye papirer frem. Det handler om at samle det, I allerede har, så det hænger sammen og kan forklares. Brug tiden fra varslet til tilsynet på at samle, ikke på at rette i fortiden.
Artiklen er skrevet til den DPO, IT-ansvarlige eller leder, der har fået brevet og nu skal organisere arbejdet. Den gennemgår, hvad der typisk efterspørges, hvem der gør hvad, og hvad I ikke skal gøre. Tilsynets brev styrer altid, hvad der konkret skal leveres. Læs det grundigt, før I går i gang.
Hvad tilsynet typisk ser på
Et tilsyn kan være bredt eller handle om ét emne, for eksempel logning, sletning eller behandling af medarbejderdata. Uanset emnet går nogle dokumenter igen:
- Fortegnelsen over behandlingsaktiviteter: hvilke data I behandler, til hvilket formål og hvor længe.
- Slettepolitik og opbevaringsfrister: og helst dokumentation for, at de faktisk følges.
- Databehandleraftaler: med de leverandører, der behandler data på jeres vegne.
- Risikovurderinger og eventuelle konsekvensanalyser: særligt for logning og overvågning.
- Sikkerhedsforanstaltninger: adgangsstyring, logning, backup og kryptering.
- Log over brud på persondatasikkerheden: også de brud, der ikke blev indberettet.
- Oplysninger til medarbejdere og kunder: privatlivspolitikker og interne politikker.
→ Sager hos Datatilsynet: dokumentation fra IT-siden
Hvad gør I nu, i rækkefølge
- Læs brevet og noter fristen. Skriv ned, hvilket emne tilsynet omfatter, og hvad der konkret bedes om.
- Udpeg én ansvarlig. Typisk DPO’en eller den, der har ansvaret for databeskyttelse. Vedkommende samler alt og er eneste kontakt udadtil.
- Lav en liste over efterspurgte dokumenter. Sæt navn og frist på hvert punkt.
- Find dokumenterne, som de er. Gem dem med dato for, hvornår de sidst blev ændret. Ændringshistorikken siger noget om, hvordan I har arbejdet.
- Saml IT-dokumentationen. Hvilke logs er slået til, hvor længe gemmes de, og hvem har adgang? Tag skærmbilleder af indstillingerne med dato.
- Gennemgå hullerne. Mangler der noget, så skriv det ned. Et ærligt notat er bedre end et dokument, der er lavet i hast og dateret, som om det altid har eksisteret.
- Forbered svarene. Hvem forklarer hvad, hvis tilsynet stiller spørgsmål?
Hvem gør hvad
- Ledelse · Giver mandat og tid; godkender svaret
- DPO / ansvarlig · Samler, koordinerer og skriver svaret
- IT · Leverer logindstillinger, adgange og backup-dokumentation
- HR · Leverer politikker om medarbejderdata og kontrol
- Advokat · Vurderer svar og risiko, hvis sagen er alvorlig
IT’s del: dokumentér indstillingerne, som de er
IT skal kunne vise, hvordan systemerne faktisk er sat op. Det gælder især:
- om revisionslogning er slået til i Microsoft 365 eller Google Workspace, og hvor længe logs gemmes,
- hvem der har administratorrettigheder,
- hvordan adgang tildeles og fjernes ved fratrædelse,
- hvordan backup tages, og hvor længe den gemmes,
- hvilke opbevaringspolitikker der er sat op.
Tag skærmbilleder med dato og systemnavn synligt. Gem eventuelle eksporter af indstillinger uændret. Skriv en kort beskrivelse af, hvad billedet viser, så en person uden for IT kan forstå det.
→ Bevisberedskab i Microsoft 365
Bruddene: loggen skal være komplet
Mange virksomheder har kun noteret de brud, der blev indberettet. Men loggen bør også indeholde de mindre hændelser, hvor I vurderede, at der ikke var en risiko. Tilsynet kan spørge til netop den vurdering.
Har I hændelser, der ikke er skrevet ned, så skriv dem ned nu med dagens dato og en note om, at de er tilføjet efterfølgende. Lad være med at give dem en ældre dato.
→ Persondatabrud: dokumentationen inden for 72 timer
Det skal I lade være med
- Tilbagedatere en politik · Ændringshistorikken i Word eller SharePoint afslører det.
- Slette gamle data lige før tilsynet · Det kan ligne, at I skjuler noget, og der kan være en pligt til at bevare.
- Slå logning til og lade som om, den altid var der · Indstillingen har selv en dato.
- Lade flere svare tilsynet hver for sig · Svarene kan modsige hinanden.
- Rette i loggen over brud · Loggen skal vise, hvad I vidste dengang.
Det er fristende at rydde op, når et tilsyn er varslet. Oprydning, der går fremad, er fin: Lav en ny slettepolitik og sæt en dato på. Oprydning, der omskriver fortiden, er en risiko. Den kan skade jeres troværdighed mere end selve manglen.
Pas også på med sletning. Er der en verserende tvist, en medarbejdersag eller en klage, kan nogle data være omfattet af en pligt til at bevare. Tjek det, før I sletter noget som led i forberedelsen.
Når tilsynet handler om medarbejderdata
Handler tilsynet om kontrol med medarbejdere, logning af aktivitet eller interne undersøgelser, så saml også:
- jeres IT-politik og dokumentation for, at medarbejderne er orienteret,
- eventuelle kontrolaftaler eller regler i overenskomsten,
- en oversigt over interne undersøgelser, hvor medarbejderdata er gennemgået, og hvordan det blev dokumenteret.
Reglerne om medarbejderkontrol afhænger af jeres situation, og overenskomster kan stille egne krav. Få det vurderet, hvis I er i tvivl.
→ GDPR-tjekliste før en intern undersøgelse
Hvis tilsynet kommer på besøg
Nogle tilsyn foregår skriftligt, andre med et møde hos jer. Ved et møde skal I kunne vise systemerne, ikke kun papirerne. Aftal på forhånd:
- hvem der deltager fra ledelsen, DPO og IT,
- hvem der viser hvad på skærmen, og at det sker fra en konto med de rette rettigheder,
- at der tages referat, og hvem der skriver det,
- at I noterer alle spørgsmål, I ikke kunne svare på med det samme.
Svar kun på det, I ved. “Det skal vi undersøge og vende tilbage med” er et bedre svar end et gæt. Lov ikke en frist, I ikke kan holde, og send det lovede skriftligt bagefter. Skriv også ned, hvilke skærmbilleder og dokumenter tilsynet fik at se, så I senere kan dokumentere præcist, hvad der blev vist.
Hvornår skal I have hjælp udefra?
Få en advokat ind, hvis tilsynet handler om en konkret klage, et alvorligt brud eller en sag, der kan ende i en tvist. Advokaten kan vurdere, hvordan svaret formuleres.
Få en IT-sagkyndig ind, hvis I skal dokumentere, hvad der skete i jeres systemer i en bestemt periode, og jeres egne folk har været involveret i hændelsen. En uvildig gennemgang af logs og indstillinger kan være lettere at stå på end jeres egen forklaring. Nielco IT er uvildig og sælger ikke produkter. Haster det, fordi fristen er kort, koster hastesager ekstra. → Pris og tilbud
Efter tilsynet
Gem hele korrespondancen og alle de dokumenter, I sendte, i én samlet mappe. Notér, hvad tilsynet bad om, og hvad I lovede at forbedre. Næste gang skal I kunne vise, at forbedringerne er gennemført, med dato.
Læs også: Persondatabrud: dokumentationen inden for 72 timer · Arbejdstidsregistrering: gør systemet til brugbar dokumentation
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
