Når du behandler persondata, skal du altid vurdere, om der er en risiko for at overtræde de registreredes rettigheder og implementere de rette foranstaltninger for at sikre, det ikke sker.
Som dataansvarlig skal du allerede inden, du foretager en behandling af personoplysninger, kortlægge risikoen for de registreredes rettigheder og vurdere, hvad den kan medføre, hvis scenariet udspiller sig i virkeligheden.
Dernæst skal du afveje risiciene i forhold til de forholdsregler, der bliver truffet for at beskytte de registreredes rettigheder. En forholdsregel kan fx kryptering af kommunikation.
En risikovurdering består af flere trin:
Du skaber overblik over alle informationsaktiver såsom it-systemer, kommunikationskanaler mv, hvor du behandler personoplysninger og kortlægger alle de risici, som behandlingen medfører.
Du fastlægger og vurderer konsekvensen for hvert informationsaktiv (høj, medium, lav) ved tab af aktivets fortrolighed, integritet og tilgængelighed (FIT).
Du identificerer de trusler, som informationsaktiverne står overfor og giver din vurdering af, hvad sandsynligheden er for, at truslen bliver realiseret (høj, medium, lav).
Du vurderer, hvad der er passende tekniske og organisatoriske foranstaltninger til at nedbringe sårbarheden og igangsætter mitigerende handlinger, så du kan arbejde hen mod at overholde persondataforordningen
Du kortlægger de eksisterende sikkerhedsforanstaltninger og dokumenterer, hvordan de bidrager til at reducere sandsynlighed og konsekvens.