GDPR og sikkerhed: knyt sikringsforanstaltninger til behandlingen

Et velfungerende ledelsessystem for informationssikkerhed leverer nyttige processer til GDPR: adgangsstyring, hændelseshåndtering, leverandørvurdering og robusthed. Databeskyttelsesarbejdet spørger desuden, hvorfor en behandling er lovlig, proportional og gennemsigtig. Spørgsmålene mødes i den samme forretningsaktivitet, men de kræver forskellige beslutninger.

For ledelsen er opgaven at forbinde dem uden at lade det ene erstatte det andet. En sikker kundedatabase kan stadig indeholde oplysninger, som virksomheden ikke burde have indsamlet. En gyldig kundekontrakt dokumenterer ikke, at alle med adgang til databasen har brug for den adgang. Et ISO 27001-certifikat løser ingen af de to spørgsmål.

Det praktiske udgangspunkt er derfor behandlingen, ikke et katalog af kontroller. Fastlæg, hvad virksomheden vil gøre med personoplysninger, vurder, om aktiviteten er tilladt, og vælg derefter sikringsforanstaltninger ud fra konsekvenserne, hvis noget går galt. Bevar begrundelsen, dokumentationen, den ansvarlige ejer og den næste begivenhed, der bør udløse en ny gennemgang.

Fastlæg, hvilke behandlinger og ansvarsområder der er omfattet

Databeskyttelsesforordningen regulerer behandling af personoplysninger. Behandling omfatter indsamling, opbevaring, søgning, videregivelse, ændring og sletning. Personoplysninger er enhver information om en identificeret eller identificerbar fysisk person; begrebet er ikke begrænset til navne eller åbenlyst følsomme registreringer.

Erhvervsmailadresser, medarbejder-id'er, enheds-id'er, lokationshistorik og supportsamtaler kan alle være personoplysninger. Om en bestemt identifikator er omfattet, afhænger af konteksten og af de midler, der med rimelighed kan tænkes anvendt til at identificere nogen. Når navne erstattes med referencenumre, opstår der normalt pseudonymiserede data, ikke anonyme data, så længe genidentifikation fortsat er mulig. Pseudonymiserede personoplysninger er stadig omfattet af GDPR.

Kontrollér det territoriale anvendelsesområde, før I vælger en driftsmodel

Artikel 3 omfatter behandling i forbindelse med aktiviteter i en etablering i EU, også når selve behandlingen finder sted andetsteds. Den kan også omfatte en organisation uden for EU, når behandlingen vedrører udbud af varer eller tjenester til personer i Unionen eller overvågning af deres adfærd dér. At et website er tilgængeligt, afgør ikke i sig selv spørgsmålet om målretning; vurder det faktiske udbud og den faktiske overvågning.

Hvor artikel 3, stk. 2, finder anvendelse, kan artikel 27 kræve en repræsentant i Unionen. Undtagelserne er begrænsede og afhænger ikke blot af virksomhedens størrelse. Undtagelsen for lejlighedsvis behandling kræver desuden, at de angivne betingelser om følsomme oplysninger og risiko er opfyldt. En repræsentant erstatter hverken den dataansvarlige, en DPO eller en ansvarlig ledelse.

GDPR trådte i kraft den 24. maj 2016 og har fundet anvendelse siden den 25. maj 2018. Ved aktuelle beslutninger skal I skelne mellem gældende ret og foreslåede forenklinger. En pressemeddelelse om en mulig undtagelse er ikke grundlag for at standse en eksisterende compliance-proces.

Fastlæg roller ud fra aktiviteten, ikke ud fra virksomhedens betegnelse

En dataansvarlig fastlægger formålene med og hjælpemidlerne til behandlingen. En databehandler behandler personoplysninger på vegne af en dataansvarlig. Fælles dataansvarlige fastlægger i fællesskab formål og hjælpemidler og har brug for en ordning efter artikel 26, der afspejler deres respektive ansvar.

En virksomhed kan have flere roller. En softwareleverandør kan være databehandler for de registreringer, kunderne uploader, og dataansvarlig for sin egen lønadministration, kontoadministration og visse sikkerhedsopgaver. Den betegnelse, en leverandørkontrakt bruger, er relevant, men kan ikke tilsidesætte det, parterne faktisk gør.

Det første leverede resultat bør være en kort afgrænsningsbeslutning: relevante aktiviteter, organisatoriske enheder, roller som dataansvarlig eller databehandler, markeder og uafklarede spørgsmål. Udpeg en ejer, der skal afklare usikkerheder, før den pågældende behandling påbegyndes eller udvides.

Adskil forretningsformålet fra retsgrundlaget

Artikel 5 og 6 udgør fundamentet for almindelig behandling af personoplysninger. Sikkerhed er en del af dette fundament, ikke en vej udenom.

Principperne i artikel 5 præsenteres normalt som syv: lovlighed, rimelighed og gennemsigtighed; formålsbegrænsning; dataminimering; rigtighed; opbevaringsbegrænsning; integritet og fortrolighed; samt ansvarlighed. Ansvarlighed kræver, at den dataansvarlige er ansvarlig for og kan påvise overholdelse. Det kræver ikke et bestemt softwareprodukt, men det kræver en forklaring, der kan forsvares og understøttes af passende dokumentation.

Omsæt hvert princip til et forretningsspørgsmål:

Vælg et grundlag for hvert formål

Artikel 6 indeholder seks retsgrundlag. Betingelserne betyder mere end betegnelserne:

• Samtykke: en frivillig, specifik, informeret og utvetydig viljestilkendegivelse, som kan trækkes tilbage.
• Kontrakt: behandling, der er nødvendig for at opfylde en kontrakt med den registrerede eller for at gennemføre foranstaltninger på dennes anmodning forud for indgåelse af en kontrakt.
• Retlig forpligtelse: behandling, der er nødvendig for at overholde en gældende retlig forpligtelse.
• Vitale interesser: behandling, der er nødvendig for at beskytte en persons vitale interesser.
• Opgave i samfundets interesse: behandling, der er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, med det påkrævede retlige grundlag.
• Legitime interesser: behandling, der er nødvendig for at forfølge legitime interesser, under forudsætning af en afvejning af disse interesser over for den registreredes interesser, rettigheder og frihedsrettigheder.

Angiv ikke flere grundlag som indbyrdes udskiftelig forsikring. Fastlæg det grundlag, der faktisk understøtter hvert formål, og kommunikér det korrekt. At tilføje et vilkår i en kundekontrakt gør ikke automatisk behandlingen nødvendig for den kontrakt. Tilsvarende kræver legitime interesser en vurdering; det er ikke en generel tilladelse til at bruge tilgængelige data.

Som en praktisk anbefaling bør I dokumentere en interesseafvejning, der omfatter den forfulgte interesse, nødvendighed, virkningerne for de registrerede, deres rimelige forventninger og sikringsforanstaltninger. Overvej mindre indgribende alternativer. Hold analysen proportional med aktiviteten, men specifik nok til, at en person uden for projektet kan forstå den.

Samtykke er ikke altid det sikreste valg. Det skal være reelt frivilligt, hvor omstændighederne kræver et valg, og tilbagetrækning skal fungere i praksis. Ansættelsesforhold rejser særlige spørgsmål om, hvorvidt et samtykke er frivilligt. Tilbagetrækning afslutter den behandling, der bygger på samtykket, fremadrettet; den sletter ikke automatisk registreringer, der er omfattet af selvstændige lovpligtige opbevaringskrav. Skift ikke med tilbagevirkende kraft den samme behandling over til et andet grundlag, blot fordi samtykket er trukket tilbage. Enhver selvstændig behandling, f.eks. lovpligtig opbevaring, kræver sit eget relevante grundlag og passende gennemsigtighed.

Særlige kategorier af personoplysninger, f.eks. helbredsoplysninger, kræver en betingelse efter artikel 9 ud over et grundlag efter artikel 6. Oplysninger om straffedomme og lovovertrædelser er underlagt særskilte krav i artikel 10. En virksomhed bør ikke godkende nogen af disse kategorier, blot fordi den almindelige kundebehandling allerede er vurderet.

Opbyg en fortegnelse over behandlingsaktiviteter, der kan styre beslutninger

Fortegnelser over behandlingsaktiviteter efter artikel 30 er nyttige, fordi de forbinder den juridiske analyse med den operationelle virkelighed. Den dataansvarliges fortegnelse omfatter formål, kategorier af registrerede og af personoplysninger, modtagere, overførsler, så vidt muligt de forventede tidsfrister for sletning og så vidt muligt en generel beskrivelse af sikkerhedsforanstaltningerne. Databehandlere har en anden fortegnelsespligt, der dækker den behandling, de udfører på vegne af dataansvarlige.

Undtagelsen for virksomheder med færre end 250 ansatte er betinget. Den gælder ikke for behandling, der ikke er lejlighedsvis, som sandsynligvis indebærer den angivne risiko, eller som omfatter de angivne følsomme kategorier. En lille virksomhed med løbende behandling af medarbejder- eller kundeoplysninger bør ikke gå ud fra, at antallet af ansatte fjerner dens fortegnelsespligt.

Brug behandlingsaktiviteter som den organiserende enhed. »Cloud-infrastruktur« er som regel for bredt til at forklare, hvorfor data behandles. »Håndtering af kundesupporthenvendelser« er mere brugbart, fordi det har et formål, identificerbare personer, datakategorier, modtagere, opbevaringsregler og understøttende systemer.

En praktisk arbejdsfortegnelse kan gå ud over de lovpligtige felter:

• Forretningsejer og databeskyttelsesreviewer.
• Formål og relevant retsgrundlag.
• Datakilder, kategorier og berørte grupper.
• Relationer som dataansvarlig, databehandler eller fælles dataansvarlig.
• Applikationer, eksporter, logfiler og efterfølgende modtagere.
• Opbevaringsregler og hvordan sletning gennemføres.
• Henvisninger til oplysningspligt, håndtering af rettigheder, leverandører og overførsler.
• Resultat af DPIA-screening og tilknyttede sikringsforanstaltninger.
• Godkendelsesdato, uafsluttede handlinger og udløsere for ny gennemgang.

De ekstra felter er en anbefaling til koordinering, ikke en påstand om, at artikel 30 udtrykkeligt kræver hvert punkt. Deres værdi er, at de gør fortegnelsen brugbar ved en lancering, en indsigtsanmodning, et leverandørskift eller en hændelse.

Afstem fortegnelsen med de systemer, medarbejderne faktisk bruger

Et årligt spørgeskema afslører næppe alle regnearkseksporter, prøveapplikationer eller AI-abonnementer på teamniveau. Sammenhold fortegnelsen med indkøbsoplysninger, lister over godkendte applikationer, systemfortegnelser og interviews med procesejere. Gennemgå fællesdrev og manuelle overdragelser, hvor de har væsentlig betydning for aktiviteten.

Forveksl ikke en aktivfortegnelse med en fortegnelse over behandlingsaktiviteter. Aktivfortegnelsen forklarer systemer og afhængigheder; fortegnelsen over behandlingsaktiviteter forklarer anvendelser af personoplysninger. Forbind dem, så én applikation kan understøtte flere formål, uden at formålene smelter sammen i en uklar beskrivelse.

Yderligere kontekst om arbejdsgangen finder du i datakortlægning og databeskyttelse. Kortlægningen bør give en liste over uoverensstemmelser, der kan gennemgås, ikke en antagelse om, at hvert fundet felt er korrekt klassificeret eller juridisk vurderet.

Omsæt artikel 32 til sikringsforanstaltninger mod reelle konsekvenser

Artikel 32 i GDPR kræver, at dataansvarlige og databehandlere gennemfører tekniske og organisatoriske foranstaltninger, der passer til risikoen. Vurderingen tager hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder.

De relevante konsekvenser omfatter hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse og uautoriseret adgang. Derfor er tilgængelighed og integritet lige så vigtige som fortrolighed. Hvis man mister adgangen til en tjeneste, kan det skade personer, selv om ingen data er stjålet.

En generel erklæring om, at »der anvendes branchestandard for sikkerhed«, er ikke nok til at forklare, hvorfor sikringsforanstaltningerne passer til en bestemt aktivitet. Begynd med scenarier: hvem kan blive berørt, hvad kan der ske, hvor sandsynligt er det, og hvor alvorlig kan virkningen blive? Forbind derefter hvert vigtigt scenarie med forebyggende, detekterende og genoprettende foranstaltninger.

Adgangsbegrænsninger bør følge formålet

For en supportaktivitet skal I spørge, hvilke medarbejdere der har brug for hvilke kundeoplysninger, om følsomme vedhæftninger kræver særskilte begrænsninger, og hvornår midlertidig adgang skal udløbe. Overvej privilegeret administration, leverandørers supportadgang, masseeksport, delte konti og nødadgang.

Nyttig dokumentation omfatter rolledefinitioner, adgangsgodkendelser, registreringer af tiltrædelse, jobskifte og fratrædelse, ordninger for privilegeret adgang og gennemførte adgangsgennemgange. En adgangspolitik dokumenterer en tilsigtet regel. En nylig gennemgang, der viser, at unødvendige rettigheder er fjernet, dokumenterer, at reglen faktisk efterleves.

Ledelsen bør spørge, om organisationen kan skelne mellem autoriseret adgang og passende anvendelse. En medarbejder kan have en teknisk gyldig konto og alligevel bruge data til et uautoriseret formål. Uddannelse, tilsyn, adgangsdesign og undersøgelsesprocesser har alle betydning.

Kryptering kræver en beslutning om implementeringen

Artikel 32 nævner kryptering og pseudonymisering blandt de foranstaltninger, der skal overvejes; den indfører ikke et generelt krav om kryptering i enhver situation. Hvor kryptering vælges, skal I præcisere, hvad den beskytter, og hvad den ikke beskytter.

Kryptering under overførsel beskytter data, der bevæger sig mellem endepunkter, når protokollerne og autentificeringen af endepunkterne er korrekt konfigureret. Kryptering af lagrede data beskytter data i bestemte trusselsscenarier. Ingen af delene forhindrer automatisk en autoriseret applikation eller administrator i at se klartekst.

Gennemgå, hvem der kontrollerer nøglerne, hvordan adgangen til dem er adskilt, og hvordan nøgler genereres, roteres, tilbagekaldes, sikkerhedskopieres og gendannes. Kryptering administreret af udbyderen kan være passende over for nogle risici og samtidig lade andre stå uløste. Kryptering, hvis nøgler er tilgængelige for den samme kompromitterede aktør, adresserer måske ikke det scenarie, der vurderes.

Ledelsens beslutning handler ikke om, hvilken algoritme den selv skal implementere. Den handler om, hvorvidt designet adresserer den relevante risiko, og om den tekniske ejer kan underbygge den konklusion. Se kryptering og nøglehåndtering for sondringerne på kontrolniveau.

Robusthed skal påvises, ikke forudsættes

Artikel 32 omhandler vedvarende fortrolighed, integritet, tilgængelighed og robusthed samt evnen til rettidigt at genoprette tilgængeligheden og adgangen efter en hændelse. Et vellykket backupjob dokumenterer ikke, at virksomheden kan genoprette en brugbar tjeneste.

Fastlæg forventninger til genopretning ud fra behandlingen og konsekvenserne af en afbrydelse. Test gendannelse, afhængigheder, adgangsoplysninger og håndteringen af personoplysninger i gendannede miljøer. Bevar dokumentation for, hvad der blev gendannet, hvor lang tid det tog, hvad der fejlede, og hvad der blev rettet. Opbevarings- og sletteregler skal også tage højde for, hvordan sikkerhedskopier fungerer.

Test effektiviteten med relevant dokumentation

Artikel 32 omfatter en procedure for regelmæssig afprøvning, vurdering og evaluering af foranstaltningerne. Den rette metode afhænger af kontrollen: adgangsgennemgange, gendannelsesøvelser, konfigurationstjek, sårbarhedsvurderinger, leverandørgennemgange og hændelsesøvelser kan alle bidrage.

En penetrationstest kan være nyttig, men den er hverken en universel erstatning for disse aktiviteter eller et generelt GDPR-krav. Registrér det testede omfang og begrænsningerne. En test af én applikation dokumenterer ikke, at en nyligt indført marketingeksport, leverandørforbindelse eller genopretningsproces er tilstrækkeligt kontrolleret.

For hver væsentlig sikringsforanstaltning bør I registrere en ejer, en beskrivelse af implementeringen, relevant dokumentation, vurderingsdato og næste udløser for ny gennemgang. Det er en praktisk dokumentationsstruktur, ikke en foreskrevet skabelon efter artikel 32.

Genbrug ISMS'et uden at sammenblande sikkerheds- og databeskyttelseskonklusioner

ISO/IEC 27001 handler om et afgrænset ledelsessystem for informationssikkerhed. Risikovurderingen, risikohåndteringen, de operationelle processer, den interne audit og ledelsens evaluering kan understøtte styringen af GDPR-sikringsforanstaltninger.

Overlappet er værdifuldt. Dokumentation for adgangsstyring, leverandørvurderinger, hændelsesøvelser og genopretningstests behøver ofte ikke at blive udarbejdet på ny til databeskyttelse. Deres relevans skal dog kontrolleres i forhold til behandlingsaktiviteten og det aktuelle omfang.

Certificering fra et uafhængigt certificeringsorgan vedrører det angivne ISMS-omfang. Den dækker ikke automatisk alle produkter, enheder, leverandører eller behandlingsaktiviteter. Anvendelseserklæringen (Statement of Applicability) registrerer kontrollers relevans og beslutninger om håndtering; den er ikke en erklæring om, at alle GDPR-forpligtelser er opfyldt.

ISO 27001 er heller ikke i sig selv en generel lovbestemt ordning for anmeldelse af brud. GDPR's anmeldelsespligter skal vurderes særskilt. Omvendt dokumenterer overholdelse af GDPR ikke, at en organisation har implementeret alle krav, der er nødvendige for en ISO 27001-certificering.

GDPR indeholder certificeringsmekanismer i artikel 42 og 43. En sådan certificering mindsker ikke den dataansvarliges eller databehandlerens ansvar og svarer hverken til et ISO 27001-certifikat eller til en generel erklæring om lovmedholdelighed.

Ledelsens spørgsmål handler derfor om genbrug af dokumentation med særskilte konklusioner: Hvad påviser dette materiale, for hvilke systemer og hvilken periode, og hvilke databeskyttelsesspørgsmål står stadig ubesvarede?

Giv ledelse, sikkerhed og databeskyttelse adskilte ansvarsområder

En brugbar driftsmodel kræver mere end en fælles compliance-indbakke. Forretningsejere skal beskrive og begrunde deres behandling; sikkerhedsfunktionen skal vurdere og implementere relevante sikringsforanstaltninger; databeskyttelsesspecialister skal rådgive om juridiske krav, rettigheder, oplysningspligt og vurderinger. Ledelsen skal stille ressourcer til rådighed og afgøre væsentlige beslutninger inden for lovens rammer.

En databeskyttelsesrådgiver (DPO) er ikke automatisk påkrævet i enhver virksomhed. Artikel 37 omfatter offentlige myndigheder og organer, med forbehold af undtagelsen for domstole, samt organisationer, hvis kerneaktiviteter opfylder de angivne betingelser om overvågning i stort omfang eller følsomme oplysninger. National lovgivning kan tilføje krav, så kontrollér de relevante jurisdiktioner.

Hvor en DPO er udpeget, har vedkommende uafhængige rådgivnings- og overvågningsopgaver, skal inddrages korrekt og rettidigt og rapporterer direkte til det øverste ledelsesniveau. DPO'en må ikke instrueres i at nå en foretrukken konklusion eller tildeles modstridende opgaver, der fastlægger formålene med og hjælpemidlerne til behandlingen.

Gør ikke DPO'en til ejer af hver kontrol, godkender af hvert forretningsformål og samtidig den person, der auditerer de samme beslutninger. Det samler uforenelige ansvarsområder og kan få driftsteams til at tro, at ansvaret er flyttet væk fra dem.

En brugbar godkendelsesregistrering angiver den ejer, der stiller forslaget, specialistrådgivningen, den dokumentation, der er taget i betragtning, beslutningstageren, betingelserne og uafsluttede handlinger. Hvis ledelsen vælger en anden lovlig tilgang end den anbefalede, skal begrundelsen registreres. Ledelsen kan ikke gøre et manglende retsgrundlag eller en manglende obligatorisk kontraktbestemmelse lovlig ved at betegne den som »accepteret risiko«.

Vejledningen om ansvarsfordelingen mellem CISO og DPO forklarer grænsen for ejerskab mere detaljeret. For den administrerende direktør er det centrale tilsynsspørgsmål, om uenigheder når frem til en person, der kan ændre behandlingen, finansiere sikringsforanstaltningen eller standse forslaget – ikke blot godkende et dokument.

Vurder leverandører ud fra rolle, kontrakt og implementering

Leverandørers sikkerhedsgennemgang og GDPR-gennemgang af leverandører overlapper, men er ikke identiske. Fastlæg først, om leverandøren er databehandler, selvstændig dataansvarlig, fælles dataansvarlig eller har forskellige roller for forskellige tjenester.

Efter artikel 28 må dataansvarlige kun anvende databehandlere, der kan stille tilstrækkelige garantier for passende tekniske og organisatoriske foranstaltninger. Databehandlerforhold kræver en bindende kontrakt eller et andet retligt dokument, der dækker det foreskrevne indhold. En fortrolighedsklausul alene opfylder ikke dette krav.

Kravene i artikel 28 omfatter:

• Behandlingens genstand, varighed, karakter og formål.
• Typer af personoplysninger og kategorier af registrerede.
• Den dataansvarliges forpligtelser og rettigheder.
• Behandling efter dokumenteret instruks, herunder de relevante bestemmelser om overførsel.
• Fortrolighed og sikkerhedsforanstaltninger efter artikel 32.
• Betingelser for at anvende andre databehandlere.
• Bistand ved anmodninger om rettigheder og ved angivne compliance-forpligtelser.
• Tilbagelevering eller sletning af data ved tjenestens ophør, med forbehold af gældende lovkrav.
• Oplysnings- og auditordninger, der påviser overholdelse.

Gennemgå de faktiske tjenestevilkår sammen med aftalen. En leverandør kan love sletning og samtidig opbevare visse logfiler til et selvstændigt formål som dataansvarlig. Et enterprise-abonnement kan begrænse brugen til træning, mens en prøvekonto ikke gør det. En databehandler kan bruge flere underdatabehandlere med forskellige placeringer og supportordninger.

Godkendelse af underdatabehandlere kan efter artikel 28 være specifik eller generel. Hvor der anvendes en generel skriftlig godkendelse, skal databehandleren underrette den dataansvarlige om påtænkte tilføjelser eller udskiftninger og give mulighed for at gøre indsigelse. Det operationelle spørgsmål er, hvem der modtager disse meddelelser og vurderer dem, før de forsvinder i en indbakke, som ingen holder øje med.

Hold kontraktgennemgangen adskilt fra overførselsvurderingen. En aftale efter artikel 28 udgør ikke i sig selv et overførselsgrundlag efter kapitel V. At underskrive en databehandleraftale fastlægger heller ikke retsgrundlaget for den dataansvarliges aktivitet.

Håndter ikke-forhandlingsbare vilkår som en forretningsbeslutning

Mindre kunder kan have begrænset forhandlingsstyrke. Det gør en tidlig vurdering vigtigere, ikke valgfri. Dokumentér manglen, spørg efter tilgængelige alternativer, og overvej at ændre konfigurationen, reducere datamængden, vælge en anden tjeneste eller lade være med at gå videre.

Hvor et obligatorisk krav fortsat ikke er opfyldt, kan en godkendelse fra direktionen ikke afhjælpe det. Hvor spørgsmålet er et valg mellem lovlige muligheder med forskellige restrisici, kan ledelsen træffe beslutningen på grundlag af dokumenteret rådgivning. Indkøb bør skelne mellem disse situationer i stedet for at samle alle betænkeligheder i én undtagelseskategori.

En leverandørgennemgang bør munde ud i en beslutning, betingelser, henvisninger til dokumentation og udløsere for ny gennemgang – ikke blot et udfyldt spørgeskema.

Design håndteringen af rettigheder før den første vanskelige anmodning

Artikel 15–22 giver rettigheder, herunder ret til indsigt, berigtigelse, sletning, begrænsning af behandling, dataportabilitet, indsigelse og beskyttelse i forbindelse med visse afgørelser, der udelukkende er baseret på automatisk behandling. Rettighederne har forskellige betingelser og undtagelser; én enkelt »slet alt«-arbejdsgang kan ikke dække dem alle.

Efter artikel 12 skal organisationer svare uden unødig forsinkelse og normalt senest en måned efter modtagelsen af anmodningen. Fristen kan om nødvendigt forlænges med op til to måneder under hensyntagen til kompleksiteten og antallet af anmodninger, men den registrerede skal underrettes inden for den første måned med en begrundelse. Anmodninger er som udgangspunkt gratis; gebyr eller afvisning er begrænset til forordningens betingelser, f.eks. åbenbart grundløse eller overdrevne anmodninger, hvilket den dataansvarlige skal kunne påvise.

Opbyg en operationel proces, der fungerer på tværs af support, HR, salg og databeskyttelseskanaler:

1. Registrér modtagelsen, de anmodede rettigheder og fristen.
2. Bekræft den relevante dataansvarlige og omfanget.
3. Kontrollér identiteten på en proportional måde, hvor der er rimelig tvivl.
4. Find dataene, og identificér relevante systemer, modtagere og databehandlere.
5. Vurder gældende betingelser, undtagelser og andre personers rettigheder.
6. Forbered svaret eller handlingen, og gennemgå det.
7. Udlevér sikkert, og bevar en passende registrering af afslutningen.

Kræv ikke rutinemæssigt identitetsdokumenter, når en mindre indgribende kontrol er tilstrækkelig. Udlevér heller ikke følsomme oplysninger, blot fordi nogen kender en mailadresse. Identitetskontrollen er i sig selv en behandling af personoplysninger og kræver en proportional tilgang.

Et svar på en indsigtsanmodning kræver normalt mere end en liste over kategorier. Artikel 15 omfatter en kopi af de personoplysninger, der behandles, og supplerende oplysninger. Gennemgå oplysninger om tredjeparter og deres rettigheder før udlevering; behandl ikke tilstedeværelsen af en anden persons navn som begrundelse for at tilbageholde alt.

Retten til sletning er ikke absolut. Lovpligtige opbevaringskrav og andre undtagelser i artikel 17 kan finde anvendelse. Når sletning er påkrævet, skal I fastlægge, hvordan den når forbundne tjenester og relevante modtagere, og hvordan gendannelse fra sikkerhedskopier undgår at genindføre slettede registreringer. Forklar eventuelle lovlige begrænsninger præcist.

Automatisering kan holde styr på frister og organisere søgninger, men nogen skal afgøre, om resultaterne er fuldstændige, om overstregninger er begrundede, og om en undtagelse finder anvendelse. Et standardsvar, der genereres hurtigt, er ikke nyttigt, hvis det udelader et system, der indeholder de efterspurgte data.

Se indsigtsanmodninger for en mere detaljeret arbejdsgang. Ledelsen bør med jævne mellemrum teste en repræsentativ anmodning fra modtagelse til sikker udlevering i stedet for alene at forlade sig på, at en procedure er offentliggjort.

Brug DPIA'er til at udfordre designet, før det godkendes

En konsekvensanalyse vedrørende databeskyttelse (DPIA) efter artikel 35 er påkrævet før behandling, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Forordningen nævner særlige tilfælde, herunder visse væsentlige automatiske vurderinger, behandling af følsomme oplysninger i stort omfang og systematisk overvågning af offentligt tilgængelige områder i stort omfang. De relevante tilsynsmyndigheders lister skal også tages i betragtning.

Screen foreslåede aktiviteter tidligt. Som en praktisk anbefaling bør I bevare begrundelsen, når screeningen konkluderer, at en DPIA ikke er nødvendig, særligt i grænsetilfælde. En kort screeningsregistrering gør det muligt at tage beslutningen op igen, når omfang, teknologi eller formål ændrer sig.

Den fulde DPIA bør omfatte fire sammenhængende elementer:

• En systematisk beskrivelse af den påtænkte behandling og formålene, herunder legitime interesser, hvor det er relevant.
• Nødvendighed og proportionalitet i forhold til formålene.
• Risici for de registreredes rettigheder og frihedsrettigheder.
• De foranstaltninger, der påtænkes for at imødegå risiciene og påvise overholdelse.

Begynd og slut ikke med en liste over sikkerhedstrusler. Spørg først, om de foreslåede data, hyppigheden, modtagerne og beslutningsprocessen er nødvendige. Et mindre indgribende design kan fjerne en risiko mere effektivt end en ekstra teknisk kontrol.

Et projekt om medarbejderproduktivitet kunne f.eks. foreslå løbende indsamling af skærmbilleder. Kryptering og begrænset adgang kunne mindske risikoen for videregivelse, men alvorlige spørgsmål om proportionalitet, overvågning, medarbejdernes forventninger og egnetheden af mindre indgribende foranstaltninger ville stadig stå ubesvarede. Forretningsformålet skal undersøges, før sikkerhedsdesignet giver mening.

Vurder risikoen for personer, ikke kun virksomhedens eksponering

Overvej økonomisk tab, forskelsbehandling, identitetsmisbrug, tab af fortrolighed, udelukkelse fra tjenester og andre relevante virkninger. Et scenarie kan have begrænset økonomisk betydning for virksomheden og væsentlig betydning for en enkeltperson.

Dokumentér de foreslåede afhjælpende foranstaltninger, ejerne af implementeringen og vurderingen af restrisikoen. Indhent råd fra DPO'en, hvor en sådan er udpeget. Gennemgå, om ændringer i behandlingen eller risikoen kræver, at vurderingen opdateres.

Artikel 36 kræver forudgående høring af tilsynsmyndigheden, hvor DPIA'en viser, at behandlingen vil føre til høj risiko, hvis der ikke træffes foranstaltninger til at begrænse den. Hvis organisationen ikke i tilstrækkelig grad kan imødegå den høje risiko, kan den ikke erstatte den påkrævede høring med en intern status som »accepteret«. Ledelsen kan omlægge, udskyde eller opgive aktiviteten; den kan ikke disponere over andre menneskers rettigheder, som om de alene var en kommerciel risiko.

Forbind hændelseshåndtering med beslutninger om anmeldelse efter GDPR

Et brud på persondatasikkerheden omfatter et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger. Det er bredere end en angriber, der stjæler en database. En fejlsendt vedhæftning, en mistet ubeskyttet enhed eller en hændelse, der påvirker personoplysningers tilgængelighed eller integritet, kan kræve en vurdering.

Efter artikel 33 og 34 vurderer dataansvarlige to forskellige tærskler for anmeldelse og underretning:

Fristen på 72 timer løber fra det tidspunkt, hvor bruddet er blevet kendt, ikke blot fra den oprindelige hændelses tidsstempel eller den næste arbejdsdag. Hvis anmeldelsen sker senere, skal den ledsages af en begrundelse for forsinkelsen. Oplysningerne kan gives trinvis, hvor det ikke er muligt at give dem alle på én gang uden yderligere unødig forsinkelse.

Forbered eskaleringskæden på forhånd: hændelsesansvarlig, databeskyttelsesrådgiver, ansvarlig beslutningstager hos den dataansvarlige, tekniske efterforskere, kommunikation og leverandørkontakter. Find den relevante myndigheds anmeldelseskanal før en nødsituation. En databehandler bør ikke vente på sin egen endelige risikokonklusion, før den underretter den dataansvarlige.

Hændelsesregistreringen bør beskrive, hvad der skete, hvilke data og personer der er berørt, de sandsynlige konsekvenser, inddæmning og afhjælpning samt beslutningerne om anmeldelse. Artikel 33, stk. 5, kræver dokumentation af brud på persondatasikkerheden, herunder de faktiske omstændigheder, virkningerne og de trufne afhjælpende foranstaltninger. Bevar begrundelsen for ikke at anmelde, så beslutningen kan forstås senere.

Kryptering kan påvirke risikovurderingen og analysen efter artikel 34, men kun hvor beskyttelsen er relevant og effektiv. »Tjenesten bruger kryptering« er ikke nok, hvis en angriber har fået adgang til klartekst via en kompromitteret konto. Artikel 34 indeholder også andre undtagelser, f.eks. efterfølgende foranstaltninger, der sikrer, at den høje risiko sandsynligvis ikke længere vil materialisere sig; vurder de faktiske betingelser i stedet for at anvende en generel undtagelse.

Øv ét scenarie, der involverer en leverandør, og et andet, der involverer intern videregivelse. Øvelsen bør teste indsamling af dokumentation og beslutningskompetence lige så vel som teknisk inddæmning.

Behandl internationale overførsler som en særskilt vurdering

Kravene til overførsler i kapitel V gælder ved siden af resten af GDPR. Et overførselsgrundlag giver ikke et retsgrundlag efter artikel 6, og et retsgrundlag fjerner ikke behovet for en passende overførselsordning.

Kortlæg de faktiske modtagere og adgangsveje. Hosting i et datacenter i EU er relevant, men dokumenterer ikke i sig selv, at der ikke sker overførsel til tredjelande, eller at alle databeskyttelsesforpligtelser er opfyldt. Overvej supportadgang, underdatabehandlere, administrativ adgang, videregivelse og de involverede parter.

GDPR's regler for overførsler omfatter afgørelser om tilstrækkeligt beskyttelsesniveau efter artikel 45, fornødne garantier efter artikel 46 og begrænsede undtagelser efter artikel 49. Kontrollér det relevante grundlag og dets omfang på beslutningstidspunktet.

Hvor I støtter jer på en ordning om tilstrækkeligt beskyttelsesniveau, der er begrænset til deltagende organisationer, skal I kontrollere den præcise modtager og den omfattede aktivitet. Et koncernselskab eller et lignende handelsnavn er ikke nødvendigvis den omfattede modtager. Bevar resultatet og datoen for kontrollen.

Hvor der anvendes standardkontraktbestemmelser, skal I vælge de bestemmelser, der svarer til parternes faktiske roller, og udfylde de relevante bilag. Vurder lovgivning og praksis i modtagerlandet, og om der er behov for supplerende foranstaltninger for at gøre beskyttelsen effektiv. En underskrevet kontrakt alene besvarer ikke alle spørgsmål om overførselsrisiko.

En praktisk overførselsmappe bør identificere dataeksportør og dataimportør, data og formål, placeringer og adgang, videreoverførsler, det valgte grundlag, den relevante vurdering, tekniske eller organisatoriske foranstaltninger og udløsere for ny gennemgang. Udbyderens dokumentation kan understøtte arbejdet, men at spørge, om en udbyder »har en vurdering«, er ikke det samme som at evaluere dens relevante resultater.

Ledelsen bør vide, hvilke tjenester der afhænger af et bestemt overførselsgrundlag, og hvilke ændringer der vil kræve en ny vurdering. Det understøtter en gennemtænkt beredskabsplan uden at forudsætte, at alle leverandører har brug for den samme kontraktlige reserveløsning.

Vurder brug af AI som behandling, ikke blot som et nyt værktøj

En AI-applikation kan indføre nye modtagere, udlede yderligere personoplysninger, opbevare prompts eller muliggøre et nyt formål. Disse ændringer har betydning, selv om applikationen genbruger organisationens eksisterende single sign-on og adgangskontroller.

Før I godkender personoplysninger i en AI-tjeneste, skal I fastlægge:

• Den præcise opgave, og om personoplysninger er nødvendige.
• Kategorierne af input, output og berørte personer.
• Udbyderens rolle ved hver anvendelse, herunder eventuelle formål vedrørende træning eller forbedring.
• Opbevaring, menneskelig adgang, underdatabehandlere og overførselsordninger.
• Kontraktlige forpligtelser og relevante konfigurationsindstillinger.
• Risici vedrørende rigtighed, videregivelse, håndtering af rettigheder og beslutningstagning.

Gå ikke ud fra, at enhver modeludbyder udelukkende er databehandler. Dens rolle afhænger af den behandling, den udfører, og de formål, den fastlægger. Tilsvarende gør en aftale efter artikel 28 ikke automatisk den foreslåede overførsel af data lovlig. Vurder formål, retsgrundlag, gennemsigtighed, nødvendighed og alle andre relevante krav.

Hvis virksomheden selv er databehandler, kan indførelsen af en AI-udbyder skabe et underdatabehandlerforhold. Kontrollér kundernes instrukser og den aftalte godkendelsesproces, før kundedata sendes. Et nyt kontrakttillæg er ikke altid påkrævet, men overholdelse af de eksisterende kontraktlige og lovbestemte ordninger er.

Artikel 22 omhandler visse afgørelser, der udelukkende er baseret på automatisk behandling, og som har retsvirkning eller på tilsvarende vis betydeligt påvirker den registrerede. En formel menneskelig gennemgang løser ikke problemet, hvis den, der gennemgår, ikke reelt kan vurdere eller ændre resultatet. Rekruttering, berettigelse og finansielle afgørelser kræver særlig opmærksomhed.

AI-forordningen og GDPR pålægger forskellige forpligtelser. En vurdering efter AI-forordningen erstatter ikke en DPIA, og overholdelse af GDPR dokumenterer ikke overholdelse af AI-forordningen. Brug Europa-Kommissionens aktuelle oversigt over AI-forordningen til datoerne for anvendelse i stedet for at overføre en gammel lanceringstidsplan til et aktuelt projekt.

I det interne databeskyttelsesarbejde kan AI udarbejde beskrivelser ud fra godkendte kilder, sammenligne dokumenter eller foreslå spørgsmål. Behandl outputtet som et udkast. Et plausibelt retsgrundlag, en overset modtager eller en forkert angivelse af opbevaringsperioden kan gøre et poleret dokument væsentligt forkert.

Automatiser koordinering, og bevar en ansvarlig gennemgang

Voksende organisationer akkumulerer tilbagevendende arbejde: opdateringer af fortegnelser over behandlingsaktiviteter, frister for anmodninger om rettigheder, leverandørdokumenter, handlinger fra vurderinger, udløb af dokumentation og beslutninger ved gennemgang. Automatisering kan organisere input og frister. Den bør ikke sløre forskellen mellem at indsamle information og at nå en konklusion, der kan forsvares.

Begynd med en stabil proces og klart ejerskab. Hvis I automatiserer en uklar overdragelse, kan uklarheden bare sprede sig hurtigere. Definér, hvad der åbner en opgave, hvem der modtager den, hvilken dokumentation der kræves, hvem der gennemgår resultatet, og hvad der afslutter arbejdet.

Ved AI-understøttet udarbejdelse skal I bevare de godkendte kilder og markere usikkerhed. Lad ikke et genereret resumé i stilhed erstatte en leverandørkontrakt eller en vurdering. De, der gennemgår, skal kunne skelne mellem leverede fakta, udledte forslag og uafklarede spørgsmål.

Anvend princippet om mindst mulige rettigheder på selve arbejdsgangen. Sager om anmodninger om rettigheder, hændelsesregistreringer og vurderinger af medarbejdere kan indeholde følsomme oplysninger. Bred adgang til et compliance-arbejdsområde kan underminere de begrænsninger, der dokumenteres. Minimér personoplysninger i dokumentationen, og begræns adgangen til materiale, der reelt kræver identifikation.

Nyttige ledelsesmål omfatter forsinkede handlinger, manglende ejere, registreringer, der afventer gennemgang efter en væsentlig ændring, og kontroller med forældet eller utilstrækkelig dokumentation. Rå dokumentantal er mindre informative. Mål, om beslutninger og korrigerende arbejde gennemføres, ikke blot om der er genereret mere tekst.

Gennemgået eksempel: en marketingintegration, der genbruger sikkerhedskontroller

Det følgende eksempel er illustrativt. Antag, at en voksende B2B-softwarevirksomhed har en etableret kundedatabase, et ISMS, der dækker dens produktionstjeneste, og en foreslået kampagneplatform. Marketing vil sende onboardingbeskeder og senere promovere yderligere produkter. Platformen ville modtage kontaktoplysninger, hændelser om produktbrug og fritekstnoter fra supporten. Der antydes ikke noget reelt kunderesultat eller nogen Secani-funktion.

1. Adskil de foreslåede formål

Den oprindelige anmodning lyder »forbedre kundeengagementet«. Forretningsejeren omskriver den til specifikke formål: nødvendig onboarding til tjenesten, frivillig markedsføringskommunikation og analyse af kampagnernes resultater.

Databeskyttelsesrevieweren vurderer grundlaget for hvert formål i stedet for at anvende kundekontrakten på alle tre. Markedsføringskommunikation kan også være omfattet af gældende nationale regler om elektronisk markedsføring. Virksomheden går ikke ud fra, at en interesseafvejning efter GDPR alene løser disse særskilte krav.

Det første leverede resultat er en beslutning om formål og grundlag, hvor de uafklarede spørgsmål er tildelt en ejer. Marketing kan ikke påbegynde den udvidede anvendelse, blot fordi integrationen har bestået et teknisk sikkerhedstjek.

2. Reducer det foreslåede dataflow

Supportnoter er praktiske til personalisering, men unødvendige for den godkendte onboardingbesked. De kan også indeholde oplysninger, som kunderne ikke forventede ville blive genanvendt til marketing. Designet fjerner dem.

Den tekniske ejer begrænser produkthændelserne til dem, der er nødvendige for den godkendte arbejdsgang, og udelader detaljerede brugerhistorikker, hvor aggregerede eller enklere hændelsesdata er tilstrækkelige. Det mindsker eksponeringen, før der tilføjes endnu en kontrol.

Fortegnelsen over behandlingsaktiviteter beskriver nu de faktiske felter, berørte brugere, modtager, formål og opbevaringstilgang. Privatlivserklæringen gennemgås i forhold til den godkendte aktivitet i stedet for den oprindelige brede anmodning.

3. Kontrollér leverandør- og overførselsordninger

Indkøb fastlægger platformens rolle ved udsendelse af kampagner og undersøger, om udbyderen har selvstændige formål. Teamet gennemgår aftalen efter artikel 28, ordningerne for underdatabehandlere, vilkårene for sletning, supportadgangen og det relevante overførselsgrundlag.

En hostingmulighed i EU registreres som et relevant faktum, men behandles ikke som afslutningen på overførselsanalysen. Hvis nødvendige oplysninger mangler, forbliver opgaven åben, og lanceringsbetingelsen angiver, hvad der skal afklares.

4. Genbrug sikkerhedsdokumentation med omtanke

Integrationen kan genbruge virksomhedens identitetskontroller og en eksisterende proces for adgangsstyring. Dokumentationen for disse kontroller kædes sammen i stedet for at blive udarbejdet på ny. Den nye kampagneplatform har dog sine egne rettigheder, eksporter og opbevaringsindstillinger.

Sikkerhedsejeren vurderer kompromittering af konti, uautoriseret masseeksport, forkert mapning af hændelser og tab af frameldingspræferencer. Teamet begrænser adgangen, godkender de nødvendige integrationsrettigheder, tester mapningen med egnede testdata og kontrollerer, hvordan registreringer slettes eller spærres.

Den eksisterende genopretningsøvelse for produktionstjenesten påviser ikke, at kampagnepræferencer kan gendannes korrekt. Ejeren kontrollerer særskilt den genopretningsadfærd, der er relevant for denne arbejdsgang.

5. Gennemfør vurdering og godkendelse

Databeskyttelsesrevieweren screener for behovet for en DPIA ud fra den faktiske aktivitet og registrerer begrundelsen. Teamet kontrollerer også, hvordan anmodninger om indsigt, indsigelse og sletning når frem til platformen. Især må en indsigelse mod markedsføring ikke blive omgjort af den næste databasesynkronisering.

Ledelsen gennemgår en kortfattet beslutningspakke: godkendte formål, fjernede data, konklusioner om leverandør og overførsel, sikringsforanstaltninger, åbne betingelser, håndtering af rettigheder og navngivne ejere. Ethvert uafklaret obligatorisk krav blokerer den berørte behandling i stedet for at blive omdannet til en accepteret kommerciel undtagelse.

6. Bevar den næste udløser

Godkendelsen er knyttet til den vurderede konfiguration. Tilføjelse af adfærdsbaseret scoring, upload af supportnoter, ændrede træningsvilkår hos udbyderen eller en ny modtager udløser en ny gennemgang. Teamet kan genbruge uændret sikkerhedsdokumentation og samtidig vurdere de nye databeskyttelsesspørgsmål.

Det er den centrale sondring: Fælles sikringsforanstaltninger kan forblive gyldige, mens formålet, modtageren eller virkningen for personer ændrer sig væsentligt.

Sæt tilgangen i drift med et fokuseret første omfang

Vælg én behandlingsaktivitet med synligt forretningsejerskab og overskuelige afhængigheder. Kundesupport, onboarding af medarbejdere eller en repræsentativ produktarbejdsgang kan afsløre mangler, uden at hele organisationen først skal omlægges.

Som en praktisk anbefaling kan I begynde med fire leverede resultater:

• En aftalt beskrivelse af behandlingen og en rollevurdering.
• En liste over databeskyttelsesbeslutninger, herunder grundlag, oplysningspligt, opbevaring, rettigheder og DPIA-screening.
• En scenariebaseret vurdering af sikringsforanstaltninger, der er knyttet til eksisterende sikkerhedsdokumentation.
• En godkendelsesregistrering med ejere, åbne handlinger og udløsere ved ændringer.

I Secani kan teams starte med et fokuseret omfang, modellere understøttende applikationer, systemer, tjenester og udbydere og knytte dokumentation til krav, kontroller og beslutninger. Manglende dokumentation og uafklarede spørgsmål fra gennemgange kan blive til tildelte opgaver. AI-understøttede forslag forbliver udkast med sporbarhed til kilderne og eksplicit menneskelig godkendelse. Det giver sikkerheds- og databeskyttelsesreviewere en fælles dokumentationskontekst og holder samtidig deres særskilte konklusioner synlige; det erstatter ikke fortegnelser over behandlingsaktiviteter, opfyldelse af rettigheder eller juridisk analyse.

Udvid først, når den første arbejdsgang er afprøvet. Test et leverandørskift, en anmodning om rettigheder og et relevant hændelsesscenarie mod den. Hvor teamet ikke kan identificere ejeren, finde dokumentationen eller forklare beslutningen, skal driftsprocessen rettes, før der tilføjes flere aktiviteter.

Til ledelsens evaluering kan I stille tre spørgsmål: Svarer fortegnelsen til den aktuelle behandling, adresserer sikringsforanstaltningerne konsekvenserne for personer, og vil en væsentlig ændring pålideligt genåbne beslutningen? Disse spørgsmål giver et praktisk næste skridt til at forbinde sikkerhedsmæssig sikkerhed med ansvarlighed efter GDPR.

Spørgsmål, som ledelsen bør afklare eksplicit

Kan en administrerende direktør godkende en undtagelse fra GDPR?

Ledelsen kan vælge mellem lovlige muligheder og afsætte ressourcer til at håndtere risiko. Den kan ikke fravige lovkrav, godkende behandling uden et relevant grundlag eller erstatte en påkrævet forudgående høring med en intern godkendelse.

Kræver enhver ændring i behandlingen en ny DPIA?

Nej. Vurder ændringen i forhold til tærsklen for høj risiko, og gennemgå eksisterende vurderinger, hvor behandlingen eller risikoen ændrer sig. En dokumenteret screeningsbeslutning er mere nyttig end enten automatisk at udarbejde en fuld DPIA eller at gå ud fra, at det gamle resultat altid gælder.

Hvad bør gennemgås først, når ressourcerne er begrænsede?

Prioritér behandling med potentielt alvorlige konsekvenser for personer, uafklarede spørgsmål om lovlighed eller kontrakter og operationelle frister som anmodninger om rettigheder og håndtering af brud. Brug mangler i dokumentationen til at styre undersøgelsen, men gå ikke ud fra, at den aktivitet, der mangler flest dokumenter, nødvendigvis udgør den største risiko.

Hvilken myndighed håndhæver GDPR, og hvad kan overtrædelser koste?

Identificér den kompetente tilsynsmyndighed for behandlingen. Ved grænseoverskridende behandling, der opfylder betingelserne, afhænger mekanismen med en ledende tilsynsmyndighed generelt af den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering i EU, med inddragelse af andre berørte myndigheder. En repræsentant efter artikel 27 skaber hverken en etablering i EU eller adgang til denne mekanisme.

Artikel 83 fastsætter to hovedniveauer for maksimale administrative bøder: op til 10 mio. EUR eller 2 % af virksomhedens samlede globale årlige omsætning i det foregående regnskabsår og op til 20 mio. EUR eller 4 %, alt efter hvilket beløb der er højest inden for hvert niveau. Det relevante niveau afhænger af overtrædelsen; beløbene er lofter, ikke automatiske sanktioner. Myndighederne tager omstændighederne i betragtning og kan også påbyde korrigerende foranstaltninger eller begrænse behandlingen. Artikel 82 giver særskilt ret til erstatning, hvor en overtrædelse forårsager materiel eller immateriel skade.