Når du behandler personopplysninger, må du alltid vurdere om det er risiko for å bryte opp de registrertes rettigheter og implementere de riktige tiltakene for å sikre at det ikke skjer.
Som dataansvarlig må du allerede før du foretar en behandling av personopplysninger, kartlegge risikoen for de registrertes rettigheter og vurdere hva den kan medføre hvis scenarioet utspiller seg i virkeligheten.
Deretter må du veie risikoene i forhold til de forholdsregler som blir truffet for å beskytte de registrertes rettigheter. En forholdsregel kan for eksempel være kryptering av kommunikasjon.
EN RISIKOVURDERING BESTÅR AV FLERE TRINN:
Du får oversikt over alle informasjonsaktivaer som IT-systemer, kommunikasjonskanaler m.m., der du behandler personopplysninger og kartlegger alle risikoer som behandlingen medfører.
Du fastsetter og vurderer konsekvensene av hver informasjonsaktiva (høy, medium, lav) ved tap av aktivas fortrolighet, integritet og tilgjengelighet (FIT).
Du identifiserer truslene som informasjonsaktivaene står overfor og gir din vurdering av hva sannsynligheten er for at trusselen blir realisert (høy, medium, lav).
Du vurderer hva som er egnede tekniske og organisatoriske tiltak for å redusere sårbarheten og iverksetter dempede handlinger, slik at du kan jobbe mot å overholde personvernforordningen
Du kartlegger de eksisterende sikkerhetstiltakene og dokumenterer hvordan de bidrar til å redusere sannsynlighet og konsekvens.