GDPR/Persondataforordningen

Persondataforordningen, eller GDPR (General Data Protection Regulation) som mange kalder det, stiller større krav til datasikkerhed. Det er derfor noget, alle virksomheder skal være opmærksom på. Uanset størrelse virksomhedens størrelse.

Er du ikke helt opdateret på den, kan du læse vores blogindlæg om persondataforordningen.

Nogle af hovedelementerne i forordningen er, at registrerede har “ret til at blive glemt”. Det betyder, at hvis en person henvender sig til en virksomhed, og beder om at få slettet alle data om vedkommende, er virksomheden forpligtet til at efterkomme det krav og dokumentere, at dataene er blevet slettet.

Hvornår er noget slettet?

Der er stadig mange, der er usikre på, hvornår data er helt slettet. Er det nok at flytte filer i papirkurven og efterfølgende tømme papirkurven, eller er det nok at lave en formattering?
Da store dele af den nuværende persondatalovgivning forbliver uændret efter ikrafttrædelse af EU’s nye persondataforordning, forventes det også, at samme regler og foranstaltninger for datasletning gælder. Derfor forventes det, at Datatilsynets vejledning nr. 37 af 2. april 2011 også består. Den lyder:

“Data kan i almindelighed ikke slettes tilstrækkelig effektivt fra f.eks. en harddisk, USB-nøgle eller mobiltelefon (hukommelseskort) ved hjælp af de standardfunktioner, som er til rådighed i et operativsystem. Data vil således ikke blive slettet effektivt ved f.eks. at slette en fil i Windows og efterfølgende tømme papirkurven. Data slettes heller ikke effektivt ved en formattering.
I Datatilsynets sikkerhedsvejledning (vejledning nr. 37 af 2. april 2001) er det nærmere angivet, hvorledes sikkerhedsbekendtgørelsens krav vil kunne opfyldes. Det fremgår heraf, at
Ved kassation af lagringsmedier og udstyr, som indeholder personoplysninger, bør lagringsmedierne destrueres eller afmagnetiseres, så der ikke er mulighed for at læse indholdet.
Hvis den dataansvarlige frem for at destruere lagringsmedier afhænder disse med henblik på genbrug, skal lagrede oplysninger slettes effektivt ved overskrivning.
Datatilsynet anbefaler, at der til overskrivning af datamedier anvendes et af de dertil beregnede specialprogrammer, som overskriver data flere gange i overensstemmelse med en anerkendt specifikation (f.eks. DOD 5220.22-M).”

Det er altså ikke nok bare at trykke “slet” og “tøm papirkurv”, hvis man vil være helt sikker på, at data er helt slettet.