…

Ekstern DPO

Jeres databeskyttelsesrådgiver med teknisk fundament

Hvem holder øje med jeres persondata?

I behandler personoplysninger. Om kunder, medarbejdere, borgere eller samarbejdspartnere. Det gør alle virksomheder og organisationer.

Spørgsmålet er, om nogen systematisk holder øje med, at I gør det korrekt. At jeres politikker følges i praksis. At jeres systemer faktisk beskytter de data, I har ansvar for. At I kan svare Datatilsynet, hvis de ringer.

For offentlige myndigheder og visse private virksomheder er svaret givet af loven: I skal have en DPO. En databeskyttelsesrådgiver, der overvåger jeres overholdelse af GDPR og fungerer som kontaktpunkt til Datatilsynet.

For mange andre virksomheder er der ikke et lovkrav, men et reelt behov. Kunder, samarbejdspartnere og forsikringsselskaber stiller i stigende grad krav om dokumenteret databeskyttelse.

Hvad en ekstern DPO er

En DPO, Data Protection Officer, er en uafhængig funktion i jeres organisation. Vedkommende må ikke instrueres af ledelsen i udførelsen af sine opgaver og må ikke have interessekonflikter med andre roller i organisationen.

Det krav om uafhængighed gør det svært at placere rollen internt. En IT-chef kan ikke samtidig være DPO, fordi DPO’en skal overvåge de beslutninger, IT-chefen træffer. En HR-chef kan ikke være DPO, fordi HR behandler følsomme persondata. Det efterlader ofte få reelle muligheder internt.

En ekstern DPO løser det problem. Jeg er uafhængig af jeres organisation og har ingen interessekonflikter. Jeg varetager de lovpligtige opgaver, rådgiver om GDPR og fungerer som jeres kontaktpunkt til Datatilsynet.

Teknisk forståelse gør en forskel

De fleste DPO-udbydere kommer fra den juridiske side. Advokatfirmaer og compliance-konsulenter, der kender lovgivningen indgående.

Jeg kommer fra IT-sikkerhed. Med mere end 30 års erfaring ved jeg, hvordan systemer faktisk fungerer, hvor data ligger, hvordan adgangsrettigheder er sat op, og hvad der sker, når nogen laver en fejl.

Det betyder, at jeg ikke bare kan fortælle jer, hvad loven kræver. Jeg kan vurdere, om jeres tekniske foranstaltninger faktisk lever op til kravene. Om jeres kryptering er tilstrækkelig. Om jeres logning er på plads. Om jeres leverandører håndterer data, som de påstår.

Den kombination af GDPR-viden og teknisk forståelse er det, der gør rollen effektiv.

Hvad der typisk indgår

• Overvågning af jeres overholdelse af GDPR og intern databeskyttelsespolitik
• Rådgivning af ledelsen om databeskyttelsesspørgsmål
• Kontaktpunkt til Datatilsynet og registrering som DPO
• Gennemgang og vedligeholdelse af fortegnelser over behandlingsaktiviteter
• Rådgivning ved konsekvensanalyser (DPIA) for nye behandlinger
• Vurdering af databehandleraftaler og leverandørers sikkerhedsniveau
• Håndtering af henvendelser fra registrerede (indsigts- og sletningsanmodninger)
• Awareness og træning af medarbejdere i databeskyttelse

Sådan foregår det

Engagementet starter med en gennemgang af jeres nuværende GDPR-situation. Jeg kortlægger behandlingsaktiviteter, politikker, databehandleraftaler og tekniske foranstaltninger. Formålet er at finde ud af, hvor I står, og hvad der eventuelt mangler.

Gennemgangen munder ud i en vurdering med konkrete anbefalinger, prioriteret efter risiko.

Derefter overgår samarbejdet til et fast månedligt engagement med en aftalt timeramme. Jeg varetager de løbende DPO-opgaver, rådgiver når der opstår spørgsmål og sikrer, at jeres databeskyttelse følger med, når virksomheden ændrer sig.

Akutte situationer som databrud håndteres uden for den faste ramme.

Hvornår I skal have en DPO

Lovkrav: Offentlige myndigheder og offentlige organer skal altid have en DPO, uanset hvilke data de behandler. Private virksomheder skal have en DPO, hvis deres kerneaktivitet indebærer regelmæssig og systematisk overvågning af personer i stort omfang, eller behandling af følsomme personoplysninger i stort omfang.

Uden lovkrav: Mange virksomheder vælger alligevel at have en DPO eller en tilsvarende funktion. Enten fordi kunder og samarbejdspartnere forventer det, eller fordi de ønsker en fast person, der tager ansvar for området.

Er I i tvivl om, hvorvidt I er forpligtet, kan vi afklare det i en samtale.

Forskellen på ekstern DPO og Cyber Security Advisor

En Cyber Security Advisor fokuserer på jeres samlede IT-sikkerhed: teknisk beskyttelse, leverandørstyring, beredskab og compliance.

En ekstern DPO fokuserer specifikt på databeskyttelse: GDPR-overholdelse, rettigheder for registrerede, behandlingsaktiviteter og kontakten til Datatilsynet.

Der er overlap, særligt omkring tekniske sikkerhedsforanstaltninger. Nogle virksomheder har brug for begge roller. Andre har brug for én af dem. Det finder vi ud af i en samtale.

Hvem det er relevant for

Offentlige myndigheder og organisationer, der er forpligtet til at have en DPO, men ikke har kompetencen internt.

Private virksomheder, der behandler persondata i et omfang, hvor en systematisk indsats er nødvendig.

Virksomheder, der har forsøgt med en intern DPO, men oplever udfordringer med uafhængighed, kompetence eller prioritering.

Organisationer, der ønsker en DPO med teknisk baggrund, der kan vurdere de faktiske forhold, ikke kun det juridiske.

Det får I med en ekstern DPO fra Nielco IT

• En fast databeskyttelsesrådgiver med teknisk baggrund
• Uafhængighed der opfylder GDPR’s krav til DPO-funktionen
• Overvågning af jeres GDPR-overholdelse i praksis
• Kontaktpunkt til Datatilsynet
• Vurdering af, om jeres tekniske foranstaltninger faktisk beskytter data
• Hurtig håndtering ved databrud

Find ud af, om en ekstern DPO giver mening for jer

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres databeskyttelsessituation og finder ud af, om rollen passer til jeres behov.