Indsigt

Privacy by Design – hvordan gør man?

Et af de vigtigste principper i den nye databeskyttelsesforordning (GDPR) er Privacy by Design. Vi bringer her gode råd til, hvordan virksomheder og organisationer gennemfører Privacy by Design-princippet i praksis.

Med databeskyttelsesforordningen bliver organisationer tvunget til at efterleve Privacy by Design-princippet. Det betyder, at organisationer tager persondatabeskyttelse i betragtning lige fra de indledende designfaser og hele vejen gennem udviklingsprocessen af nye produkter og tjenester, der vedrører brug af personoplysninger.

Selv om det er et nyt juridisk krav, er Privacy by Design (også kendt som Data Protection by Design) ikke et nyt begreb. Det betragtes allerede som en af de mest effektive måder at overholde persondatabeskyttelseslovgivning på.

For når virksomheder og organisationer fra starten tænker personoplysninger og persondatabeskyttelse ind, undgår de det dyre udbedrende arbejde senere i processen. Desuden fremmer det bevidstheden om persondata- og databeskyttelse på tværs af organisationer og letter den overordnede overholdelse af principperne for persondatabeskyttelse.
Men hvordan kan virksomheder gennemføre Privacy by Design (PbD)-princippet i praksis? Det giver vi et bud på her:

Rammen
Udgangspunktet for implementering af PbD-princippet er definition af en ramme, som typisk består af tre elementer:

  1. Definition af processen, herunder roller og ansvar for design eller ændring af systemer, produkter og tjenester. De centrale spørgsmål er her: Hvornår, hvordan og af hvem vil PbD-princippet blive håndhævet i forbindelse med projektet? For virksomhederne ligger ansvaret for persondatabeskyttelse typisk hos projektledere, ingeniører, databeskyttelsesrådgivere (DPO) og informationssikkerhedsledere.
  2. Design af et GDPR-behovskatalog med det formål at identificere de gældende persondatabeskyttelseskrav til et system, et produkt eller en proces. Dette katalog omfatter alle gældende databeskyttelsesområder - herunder lovlighed, samtykkebestemmelser, rimelighed og gennemsigtighed, formålsbegrænsning, dataminimering og sikkerhed. De personer, der er blevet identificeret i første trin, kan derefter bruge dette behovskatalog til at udføre en gap-analyse og definere de persondatabeskyttelseskrav, der gælder for et bestemt projekt.
  3. Definition af processen for konsekvensanalyser vedr. databeskyttelse (DPIA) identificerer og vurderer risici forbundet med persondatabeskyttelse og definerer begrænsende persondatabeskyttelses- og sikkerhedskontroller. Dette omfatter også en definition af de begivenheder, der udløser en DPIA, og skaber en præ-DPIA-analyse på højt niveau, som giver en indikation af det forventede risici-niveau forbundet med persondatabeskyttelse.

Implementering
Implementeringen af en ramme for PbD indebærer aktiviteter rettet mod ethvert af følgende tre nøgleområder:

  1. Medarbejdere. Dette omfatter definition og gennemførelse af korrekt kommunikation, uddannelse og awarenessmøder målrettet forskellige brugergrupper. Når man skaber et højt bevidsthedsniveau om persondatabeskyttelse, sikrer man, at organisationens medarbejdere forstår reglerne, og at specifikke målgrupper såsom projektledere, ingeniører og visse kontrolfunktioner forstår deres rolle.
  2. Processer. Forankring af PbD i en organisation kræver veldefinerede processer og præcis vejledning. Projektstyringsmetodik, systemudviklingslivscyklus (SDLC) og change management-processer bør tilpasses til at kunne rumme forskellige aspekter inden for rammen af PbD. Det er afgørende for forankring af persondatabeskyttelse i en designproces, at man sikrer, at: En DPIA-proces udløses, når det er nødvendigt, at krav om overholdelse af databeskyttelse samles i kravsindsamlingsfasen, og at passende sikkerheds- og persondatabeskyttelseskontroller vælges.
  3. Teknologi. Brug af værktøjer til at automatisere nogle af PbD-kravene kan hjælpe i implementeringsfasen. For eksempel kan DPIA-processen understøttes af et værktøj, der beder en projektleder besvare en række spørgsmål vedrørende volumen og følsomhed af personoplysninger, mulig overførsel af information og involvering af tredjeparter. Et andet eksempel er, at automatiserede scanningsværktøjer kan bruges til at opdage sikkerhedssvagheder i kildekoden eller på en platform, som kan lette rettidig fastlæggelse af begrænsende foranstaltninger.
Fandt du dette nyttigt?