Hvor ligger dine data, og hvem behandler dem?

Enhver organisation med kunder, patienter, klienter eller medarbejdere behandler personoplysninger: navne, e-mailadresser, adresser, fakturaer, sagsakter. Oplysningerne ligger sjældent ét sted. De løber gennem din hostingudbyder, din e-mailløsning, dit CRM-system, dit regnskabsprogram, dine analyseværktøjer og sikkerhedskopierne af alle disse systemer. Alligevel kan mange organisationer ikke med sikkerhed sige, hvor dataene præcis ligger, og hvilke parter der har adgang til dem.

Under GDPR er det ikke en detalje. Som dataansvarlig er du fortsat ansvarlig for dine data, også når en leverandør udfører arbejdet.

Hvorfor det er mere end en juridisk formalitet

Hvis du ikke ved, hvor dine data ligger, er der tre ting, du ikke kan gøre godt. Du kan ikke besvare en kundes eller myndigheds spørgsmål ("hvem har mine oplysninger?"). Du kan ikke hurtigt vurdere, hvem der er berørt af en hændelse, og hvem du skal underrette. Og du kan ikke dokumentere, at du har truffet passende foranstaltninger, hvilket netop er det, GDPR kræver af dig.

Tillid er desuden blevet et indkøbskriterium. Kommuner, sundhedsinstitutioner, advokatfirmaer og finansielle virksomheder beder i stigende grad deres leverandører om at dokumentere, hvor data ligger, og hvem der har adgang. Den, der har styr på det, vinder opgaver hurtigere.

Dine data er hos flere parter, end du tror

En databehandler er enhver part, der behandler personoplysninger på dine vegne. Tænk på din hostingudbyder, dine e-mail- og samarbejdsværktøjer, et CRM- eller ticketsystem, en betalingsudbyder, marketing- og analyseværktøjer og en ekstern helpdesk. Disse parter bruger ofte selv underdatabehandlere: en cloudplatform, et supportteam i et andet land, en separat leverandør af sikkerhedskopier.

Hvert led i den kæde er et sted, hvor dine data kan ligge, eller hvor nogen kan få adgang til dem. Under GDPR skal du godkende underdatabehandlere, og den primære databehandler er fortsat ansvarlig for kæden. I praksis bliver det ikke altid fulgt.

Hvor det går galt i praksis

• Skygge-it. Teams tager selv værktøjer i brug, uden at nogen kontrollerer, hvad der gemmes i dem.
• Fjernadgang. Dataene ligger i Europa, men et supportteam eller moderselskab uden for EU kan alligevel få adgang. Det kan også regnes som en overførsel til et tredjeland.
• Forældede aftaler. Databehandleraftalen blev underskrevet for år siden, og leverandøren bruger nu andre underdatabehandlere.
• Udenlandsk lovgivning. Europæiske datterselskaber af amerikanske udbydere kan være omfattet af den amerikanske Cloud Act. Tidligere rammer for overførsler til USA (Safe Harbor og Privacy Shield) er blevet erklæret ugyldige af EU-Domstolen, hvilket viser, at aftaler på dette område kan ændre sig.

Få styr på dine data i fem trin

1. 1

   Kortlæg dine personoplysninger

   Hvilke oplysninger behandler du, om hvem, og i hvilke systemer ligger de?

2. 2

   Lav en liste over alle involverede parter

   Inklusive underdatabehandlere. Bed dine leverandører om deres aktuelle liste.

3. 3

   Kontrollér placering og adgang

   Hvor ligger dataene, og hvem har adgang, også på afstand? Vær opmærksom på supportteams og moderselskaber uden for EU.

4. 4

   Kontrollér databehandleraftalerne

   Har hver databehandler en, og passer den stadig til virkeligheden?

5. 5

   Dokumentér og gentag

   Hold din fortegnelse over behandlingsaktiviteter opdateret, og gennemgå den mindst en gang om året samt ved hver ny leverandør.

Hvor Verulon hjælper

Hos Verulon er dette overblik udgangspunktet. Vi udvikler skræddersyet software og hoster den på egne servere i Holland under hollandsk ret. Derfor kan vi præcist angive, hvor dine data ligger, hvilke parter der er involveret, og hvem der har adgang, uden udenlandsk moderselskab og uden en uklar kæde af underdatabehandlere.

Vil du vide, hvordan din egen organisation står? Start med at besvare disse spørgsmål:

• Ved du for hvert system med personoplysninger, hvor dataene fysisk ligger?
• Har du en opdateret liste over alle dine databehandlere og deres underdatabehandlere?
• Er der indgået en databehandleraftale med hver databehandler, og er den stadig korrekt?
• Ved du, hvem der har adgang til dine data, også fra udlandet?

Kan du ikke med sikkerhed besvare et eller flere af spørgsmålene? Kontakt os gerne. Vi tænker gerne med, uanset om det fører til et samarbejde.