Databeskyttelsesrådgiver

En databeskyttelsesrådgiver hjælper organisationen med at behandle personoplysninger korrekt gennem hele deres livscyklus.

Rollen kaldes ofte GDPR-konsulent. I mere tekniske organisationer bruges også titler som informationssikkerhedskonsulent eller informationssikkerhedskoordinator.

Arbejdet ligger mellem jura, IT, sikkerhed og forretning. Rådgiveren skal forstå både reglerne og de systemer, hvor oplysningerne behandles.

Typiske opgaver er:

• vedligeholde fortegnelser over behandling af personoplysninger
• gennemføre eller støtte risikovurderinger og DPIA'er
• gennemgå databehandleraftaler og leverandørers behandling af data
• rådgive projekter om privacy by design og nye IT-systemer
• håndtere henvendelser om indsigt, sletning og andre registreredes rettigheder
• undersøge brud på persondatasikkerheden og dokumentere hændelser

En arbejdsdag kan begynde med et nyt HR-system. Rådgiveren kortlægger data, adgangsrettigheder, opbevaring og eksterne databehandlere.

Senere kan en sikkerhedshændelse kræve vurdering. Her undersøges berørte oplysninger, personer, konsekvenser og nødvendige handlinger.

Ifølge Datatilsynet skal en DPIA blandt andet beskrive behandlingen og vurdere nødvendighed, proportionalitet og risici for personer. ([Datatilsynet][1])

Databeskyttelsesrådgiveren arbejder også med slettefrister, adgangsstyring og dokumentation. Det kræver ofte samarbejde med systemejere, HR, sikkerhed og indkøb.

Rollen findes blandt andet i IT, finans, sundhed, forsikring, konsulentbranchen og større organisationer med mange personoplysninger.

En databeskyttelsesrådgiver er ikke automatisk organisationens formelle DPO. Den formelle DPO-funktion har særlige krav til blandt andet uafhængighed efter GDPR. ([EUR-Lex][2])

Hvilken lovgivning dækker denne rolle?
EU's databeskyttelsesforordning, GDPR, fastlægger de centrale regler for behandling af personoplysninger. Den danske databeskyttelseslov supplerer GDPR på danske områder. Datatilsynet fører tilsyn med myndigheders og virksomheders behandling af personoplysninger. ([Datatilsynet][3])

Der findes ikke én bestemt uddannelse til databeskyttelsesrådgiver. Arbejdsgivere søger normalt en kombination af GDPR-viden, procesforståelse og praktisk erfaring.

Typiske uddannelsesbaggrunde er:

• jura eller erhvervsjura
• informationssikkerhed eller IT
• compliance og risk management
• offentlig administration
• økonomi eller anden erhvervsuddannelse med GDPR-erfaring

En juridisk baggrund er nyttig ved behandlingsgrundlag, rettigheder og databehandleraftaler. En IT-baggrund er stærk ved systemer, adgangsstyring og sikkerhedsforanstaltninger.

Mange kommer ind i rollen gennem informationssikkerhed. En informationssikkerhedsmedarbejder kan eksempelvis begynde at arbejde mere med GDPR og privacy-processer.

Andre starter som GDPR-konsulent eller compliance-medarbejder. Her kan ansvaret gradvist udvides til DPIA'er, leverandører og større IT-projekter.

Datatilsynet tilbyder blandt andet faglig undervisning om fortegnelser, risikovurderinger og konsekvensanalyser. Det viser, hvor centrale disse discipliner er i praktisk databeskyttelsesarbejde. ([Datatilsynet][4])

Certificeringer som CIPP/E og CIPM kan styrke profilen. ISO 27001-erfaring er også relevant, når rollen arbejder tæt med informationssikkerhed.

Der er ingen lovbestemt certificering for at arbejde som almindelig databeskyttelsesrådgiver. Rollen kan udvikle sig mod senior privacy specialist, privacy manager, DPO eller informationssikkerhedsleder.

Databeskyttelsesrådgivere bruger især værktøjer til kortlægning, dokumentation, risikovurdering og kontrol.

Typiske værktøjer er:

• privacy- og GRC-systemer til behandlingsfortegnelser og kontroller
• DPIA-skabeloner til konsekvensanalyser
• Microsoft Purview til klassifikation og håndtering af data
• Microsoft Excel til fortegnelser, risici og sletteplaner
• SharePoint til dokumentation og politikker
• ticket-systemer til hændelser og registreredes henvendelser
• leverandørregistre til databehandlere og underdatabehandlere

Fortegnelser er en central del af arbejdet. GDPR artikel 30 indeholder krav om fortegnelser over behandlingsaktiviteter i de situationer, som bestemmelsen dækker. ([EUR-Lex][2])

Ved nye systemer bruges risikovurderinger og DPIA'er til at undersøge konsekvenserne for de registrerede. Datatilsynet beskriver DPIA som en proces til at vurdere behandlingens nødvendighed, proportionalitet og risici. ([Datatilsynet][1])

Rådgiveren behøver ikke administrere sikkerhedsværktøjerne selv. Rollen skal kunne forstå logging, adgangsstyring, kryptering, sletning og datadeling.