En konsekvensanalyse er påkrævet, når en behandling af personoplysninger sandsynligvis indebærer en høj risiko for de berørte. Systematisk overvågning af medarbejdere kan falde ind under det, især hvis den er omfattende, ny eller rammer mange. Almindelig sikkerhedslogning kræver ikke nødvendigvis en fuld analyse, men det skal vurderes. Vurderingen skal skrives ned, også når konklusionen er, at der ikke skal laves en analyse. Reglerne skal tjekkes i jeres konkrete situation.
For en virksomhed med 5-200 ansatte behøver en konsekvensanalyse ikke være et stort projekt. Den kan ofte laves på få sider, hvis I ved, hvad I logger, og hvorfor.
Hvornår er den påkrævet?
Databeskyttelsesforordningen kræver en konsekvensanalyse, når en behandling sandsynligvis indebærer en høj risiko. Datatilsynet har offentliggjort en liste over behandlinger, der altid kræver en analyse, og den kan omfatte visse former for systematisk overvågning af ansatte.
Typiske tegn på, at I skal lave en:
- Kontrollen er ny og omfatter alle eller mange medarbejdere.
- Den registrerer indhold, ikke kun hændelser, for eksempel skærmbilleder eller tastetryk.
- Den kører løbende og systematisk.
- Den kombinerer data fra flere kilder om den enkelte.
- Den bruger automatiske vurderinger eller profiler.
Er I i tvivl, så lav en kort analyse. Den er sjældent spildt.
Logning og bevisberedskab
Mange virksomheder vil gerne have mere logning slået til, så de har spor, hvis der opstår en sag. Det er fornuftigt. Men logningen skal stadig vurderes. En log over, hvem der åbnede hvilke filer, er en registrering af medarbejdernes adfærd. Den er sjældent problematisk, når den er afgrænset og har et sikkerhedsformål, men det skal kunne vises.
→ Minimumslogning: hvad bør være slået til?
En kort analyse i fem afsnit
1. Beskrivelse
Hvad logges eller registreres? Fra hvilke systemer? Om hvem? Hvem har adgang, og hvor længe gemmes data?
2. Formål og nødvendighed
Hvorfor logger I? Kan formålet nås med mindre? Hvorfor er netop denne opbevaringstid nødvendig?
3. Risici for medarbejderne
Hvad kan gå galt for den enkelte? For eksempel at data bruges til andet end formålet, at for mange får adgang, at private oplysninger opsamles, eller at medarbejdere føler sig overvåget i et omfang, der påvirker arbejdsmiljøet.
4. Foranstaltninger
Hvad gør I for at mindske risiciene? Adgangsstyring, kort opbevaring, adgangslog på loggen, klare regler for, hvornår loggen må gennemgås, varsling og orientering.
5. Konklusion
Er den tilbageværende risiko acceptabel? Hvem har godkendt analysen? Hvornår skal den revideres?
Hvad I gør nu, i rækkefølge
- Bed IT lave en liste over, hvad der logges i dag. Ofte er det mere, end ledelsen ved.
- Vurder, om noget er nyt eller omfattende nok til at kræve en analyse.
- Skriv analysen kort efter de fem afsnit.
- Hør databeskyttelsesrådgiveren, hvis I har en. → DPO i en intern undersøgelse
- Varsl og orientér, når logningen er besluttet.
- Sæt en dato for revision.
Hvem gør hvad
- Ledelse · Beslutter formål og godkender analysen
- IT · Beskriver logning og opbevaring
- DPO · Rådgiver og vurderer analysen
- HR · Varsler og orienterer
I en konkret undersøgelse
En konkret intern undersøgelse kræver ikke altid en konsekvensanalyse. Det, der typisk sker, er bevarelse og afgrænset gennemgang af data, der allerede findes. Det skal vurderes efter tjeklisten for interne undersøgelser. Men hvis undersøgelsen fører til, at I vil indføre ny, løbende logning af en eller flere medarbejdere, så er det en ny behandling, og så skal analysen overvejes.
Det skal I lade være med
- At slå alt til “for en sikkerheds skyld” uden at tage stilling til, hvad det betyder for medarbejderne.
- At kopiere en skabelon uden at tilpasse den. En analyse, der ikke passer til jeres systemer, beskytter ingen.
- At lave analysen efter, at logningen er i gang. Den skal laves før.
- At glemme opbevaringstiden. En log, der gemmes i ti år, er en anden risiko end en, der gemmes i et år.
- At bruge “DPIA” som en grund til ikke at logge. Ingen logning kan også være en risiko, for både virksomheden og medarbejderne, hvis en sag ikke kan opklares.
→ Overvågningsprogrammer på arbejdscomputere
Opbevaringstid i analysen
Opbevaringstiden er ofte det punkt, hvor sikkerhed, bevisberedskab og databeskyttelse trækker i hver sin retning. Kort opbevaring beskytter medarbejderne. Lang opbevaring gør det muligt at opklare en sag, der først opdages efter flere måneder. Skriv afvejningen ned i analysen. → Hvor længe skal virksomheden gemme logs?
Hvem skal læse analysen?
Analysen er et internt dokument, men den kan blive efterspurgt af Datatilsynet eller blive relevant i en tvist. Skriv den, så en udenforstående kan forstå den. Undgå tekniske forkortelser uden forklaring. Er der en tillidsrepræsentant eller et samarbejdsudvalg, kan det være en fordel at dele en kort version. Det gør varslingen lettere og viser, at I tager medarbejdernes privatliv alvorligt.
Revision af analysen
En konsekvensanalyse er ikke et dokument, der laves én gang og glemmes. Systemer ændrer sig, nye funktioner bliver slået til, og formålet kan glide. Sæt en fast dato, typisk én gang om året, hvor IT og DPO gennemgår, om analysen stadig passer. Gennemgå den også, når I skifter system, ændrer opbevaringstid eller begynder at bruge loggen til noget nyt.
Det er en god idé at koble revisionen til jeres årshjul for bevisberedskab, så den ikke afhænger af, at nogen husker den. Notér i analysen, hvornår den sidst blev revideret, og hvad der blev ændret. Gem de gamle versioner. Hvis en log senere bliver brugt i en sag, kan det være den analyse, der gjaldt på tidspunktet, der bliver spurgt til.
Et kort eksempel
En virksomhed med 60 ansatte vil slå revisionslog til for filadgang i SharePoint og gemme den i et år. Analysen beskriver, at loggen registrerer brugernavn, fil, handling og tidspunkt, at kun IT-ansvarlig og direktør kan se den, at den kun gennemgås ved konkret anledning, og at gennemgangen logges. Risikoen vurderes som lav, fordi loggen ikke indeholder filernes indhold. Analysen fylder to sider, og den er godkendt af direktionen efter råd fra DPO’en.
Analysen nævner også, at loggen kan bruges i en konkret sag om misbrug af adgang, og at medarbejderne er orienteret om det i IT-politikken. Den har en revisionsdato.
Hvornår skal I have hjælp udefra
Få juridisk eller databeskyttelsesfaglig hjælp, hvis I vil indføre omfattende overvågning, hvis I er i tvivl om Datatilsynets liste, eller hvis analysen viser en høj risiko, I ikke kan mindske. Få en IT-sagkyndig til at vurdere, om jeres logning faktisk kan bruges i en sag. Det nytter ikke meget at have en log, hvis den ikke indeholder det, I får brug for.
Læs også: Databeskyttelsesrådgiveren (DPO) i en intern undersøgelse · Kollegers og kunders data i medarbejderens mailboks
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
