En risikovurdering efter GDPR er en skriftlig gennemgang af, hvad der kan gå galt med de personoplysninger, I behandler, hvor slemt det ville være for de personer, oplysningerne handler om, og hvad I gør for at forhindre det. Den er grundlaget for at vælge et passende sikkerhedsniveau, som forordningens artikel 32 kræver.
Der findes ingen officiel skabelon. Datatilsynet lægger vægt på, at vurderingen er konkret og kan dokumenteres, og det kan gøres i et regneark. Nedenfor er syv trin, som kan følges i de fleste organisationer.
Den forskel, mange overser
En almindelig forretningsmæssig risikovurdering spørger, hvad en hændelse koster virksomheden: tabt omsætning, nedetid, dårlig omtale. En risikovurdering efter GDPR spørger, hvad hændelsen koster de registrerede, altså kunderne, medarbejderne eller borgerne.
Det giver forskellige svar. Hvis en liste over deltagere i et stressforløb bliver sendt til en forkert modtager, mister virksomheden næppe en krone. For de mennesker, der står på listen, kan det være alvorligt. Datatilsynet beskriver forskellen i sit materiale om behandlingssikkerhed, og forvekslingen er en typisk fejl.
1. Få overblik over behandlingerne
Begynd med jeres fortegnelse over behandlingsaktiviteter. Har I ikke en, så lav en simpel liste: Hvilke oplysninger har vi, om hvem, i hvilke systemer, og hvem har adgang?
Tag én behandling ad gangen. “HR-data” er for bredt. “Rekruttering”, “lønudbetaling” og “sygefravær” er tre forskellige behandlinger med hver sin risiko.
2. Beskriv, hvad der kan gå galt
Brug de tre klassiske sikkerhedsbegreber som tjekliste:
- Fortrolighed: Kan uvedkommende få adgang til oplysningerne?
- Integritet: Kan oplysningerne blive ændret eller blive forkerte?
- Tilgængelighed: Kan oplysningerne gå tabt eller blive utilgængelige, når der er brug for dem?
Skriv konkrete scenarier. “Hackerangreb” er for vagt. “En medarbejders adgangskode bliver stjålet via phishing, og angriberen får adgang til lønsystemet” er et scenarie, man kan vurdere.
Husk de udramatiske scenarier. Datatilsynet modtog 9.849 anmeldelser om brud på persondatasikkerheden i 2025, og tilsynet peger selv på utilsigtet deling med forkerte modtagere som den hyppigste type. En risikovurdering, der kun handler om hackere, overser altså det, der sker oftest.
3. Vurdér konsekvensen for de registrerede
For hvert scenarie spørger I: Hvad betyder det for personen, hvis det sker? Tænk på økonomisk tab, identitetstyveri, diskrimination, tab af omdømme eller blot ubehaget ved, at fremmede kender til private forhold.
Oplysningernes art betyder meget. Et lækket arbejdstelefonnummer er sjældent et problem. Helbredsoplysninger, CPR-numre og oplysninger om strafbare forhold er noget andet. Antallet af berørte og deres situation tæller også: oplysninger om børn eller udsatte borgere vejer tungere.
De fleste bruger en skala fra 1 til 4, for eksempel ubetydelig, mindre alvorlig, alvorlig og meget alvorlig.
4. Vurdér sandsynligheden
Hvor sandsynligt er det, at scenariet indtræffer med de forhold, I har i dag? Se på, hvor mange der har adgang, hvor ofte oplysningerne sendes eller flyttes, om der har været lignende hændelser før, og hvor attraktive oplysningerne er for kriminelle.
Vær ærlige. Hvis 40 medarbejdere hver uge sender mails med personoplysninger, er sandsynligheden for en fejlsendt mail i løbet af et år høj, uanset hvor omhyggelige de er.
5. Vælg tiltag, der passer til risikoen
Konsekvens gange sandsynlighed giver et risikoniveau, og det afgør, hvor meget I skal gøre. Artikel 32 taler om både tekniske og organisatoriske foranstaltninger, og en vurdering, der kun lister teknik, er ufuldstændig.
| Scenarie | Konsekvens | Sandsynlighed | Tekniske tiltag | Organisatoriske tiltag |
|---|---|---|---|---|
| Lønseddel sendes til forkert modtager | 3 | 3 | Forsinket afsendelse, advarsel ved eksterne modtagere | Retningslinje for mail med personoplysninger, træning |
| Login stjålet via phishing | 4 | 2 | To-trins-login, logning | Træning i svindelbeskeder, klar indberetningsvej |
| Gamle ansøgninger ligger på fællesdrev | 2 | 4 | Automatisk sletning efter frist | Slettepolitik, årlig oprydning |
| Bærbar stjålet | 3 | 2 | Diskkryptering, fjernsletning | Regler for udstyr uden for kontoret |
Tallene i tabellen er eksempler. Jeres egne afhænger af jeres data og jeres organisation.
6. Medarbejdernes adfærd som selvstændig risiko
Læg mærke til højre kolonne i tabellen. I næsten alle scenarier indgår en medarbejder, enten som den, der begår fejlen, eller som den, der opdager den.
Derfor bør adfærd stå som en selvstændig linje i vurderingen. Hvem håndterer følsomme oplysninger til daglig? Ved de, hvad de må sende, og hvordan? Ved de, hvem de skal ringe til, når noget går galt? Er nye medarbejdere blevet introduceret, før de får adgang?
Træning er den organisatoriske foranstaltning, der oftest bruges til at nedbringe den risiko, og den tæller kun, hvis den kan dokumenteres. Notér i vurderingen, hvem der er blevet trænet i hvad og hvornår. Vores GDPR træning er udviklet i samarbejde med specialister i databeskyttelsesret, og scenarierne kan tilpasses de behandlinger, jeres medarbejdere faktisk arbejder med. Så kan situationerne fra risikovurderingen bruges som eksempler i træningen.
7. Dokumentér, og kom tilbage til den
Skriv ned, hvad I har vurderet, hvad I har besluttet, og hvilken risiko der er tilbage, når tiltagene er indført. Ledelsen bør godkende restrisikoen. Kan I ikke vise vurderingen frem, har I i Datatilsynets øjne ikke lavet den.
Sæt også en dato for næste gennemgang. Vurderingen skal opdateres, når I indfører nye systemer, begynder at behandle nye typer oplysninger eller har haft en hændelse, og ellers mindst én gang om året.
Hvornår skal I lave en konsekvensanalyse?
Hvis vurderingen viser, at en behandling sandsynligvis indebærer en høj risiko for de registrerede, kræver artikel 35 en egentlig konsekvensanalyse, ofte kaldet DPIA. Det gælder typisk ved omfattende behandling af følsomme oplysninger, systematisk overvågning eller ny teknologi. Datatilsynet har en liste over behandlinger, der altid kræver en konsekvensanalyse, på datatilsynet.dk.
Kom videre
Risikovurderingen efter GDPR hænger tæt sammen med den, I laver for jeres IT-systemer generelt. Vi har beskrevet den i artiklen om risikovurdering af it-sikkerhed, og det kan betale sig at lave de to samtidig. Vil I se på, hvordan træning kan indgå som dokumenteret tiltag hos jer, kan I kontakte os.
