Den digitale utviklingen har i tillegg til nye muligheter som kjent medført omfattende datakriminalitet. Dessverre har vi nok visst for lite både om truslene det representerer, hvordan vi kan bekjempe dem og hvordan vi kan skape en tryggere digital hverdag. Lett er det ikke å løse disse problemene, men på noen områder fins det løsninger som er enklere å iverksette enn andre. Blant annet gjelder det sletting av sensitive data. Slik sletting er en viktig del av datasikkerheten.

Å bruke hammer eller drill for å ødelegge harddisker i håp om å fjerne innhold er nok ikke vanlig på arbeidsplasser. Men er de slettemetodene dere har, gode nok? Og hender det at sensitive dokumenter blir kastet i papirkurven? Det er i så fall risikabelt. Da er sjansene ganske store for at uvedkommende får tilgang til dem. Derfor kan det være lurt å bruke den nasjonale sikkerhetsmåneden NorSIS arrangerer i oktober, til en gjennomgang av sletterutiner og ta en dugnad for å hindre at sensitive data kommer på avveie.

For noen år siden skrev VG om en privat videokassett med intime scener som ved en feil havnet på en søppelfylling. Der ble den stjålet, kopiert og innholdet spredd på nettet. Med jevne mellomrom har  mediene fortalt om slike hendelser og om at også virksomheter har opplevd at sensitive data har kommet på avveie. Felles for mange av eksemplene er at sikkerheten rundt lagring og sletting ikke er god nok. Hvor trygg er du på at noe liknende ikke kan skje i din virksomhet?

Hvilke data er det egentlig nødvendig å slette? Det er et spørsmål vi av og til har fått. Med varslede millionbøter fra datatilsynet og økt klagemengde etter innføring av EUs personvernforordning (GDPR), er ikke spørsmålet blitt mindre aktuelt den siste tiden. Svaret er at noe, for eksempel personopplysninger, er dere lovpålagt å slette. Andre vil det av økonomiske grunner være lurt å slette. Er dere i tvil, er det sikreste å slette alt. Makulering er da en sikker metode både for papirdokumenter og data i digitale lagringsmedier.

"En registrert bør særlig ha rett til å få sine personopplysninger slettet og ikke lenger behandlet..." Slik formuleres innledningsvis det som kalles retten til å bli glemt i den nye personopplysningsloven. I tillegg finnes det andre sensitive data som virksomheter av flere grunner bør ha slettrutiner for. Slike rutiner bør være en del av den informasjonsikkerheten som skal hindre at sensitive data kommer på avveie. Er du klar over hvordan slike data kan slettes?

Det første GDPR-året har gått. For Datatilsynet har de nye personvernreglene ført til et travelt år med mange klager og mye saksbehandling.  Noen store GDPR-bøter har det blitt selv om de fleste sakene er løst ved at virksomheter har lagt om til sikrere rutiner for behandling av personopplysninger.  Klagene og behandlingen av sakene betyr imidlertid ekstra ressursbruk for alle virksomhetene som berøres. Hvordan står det til hos dere? Har dere sikkerhetsrutiner på plass som hindrer at dere får klager, og er dere godt nok  forberedt hvis datatilsynet kommer på en uanmeldt GDPR-kontroll?

Om kort tid er det ett år siden EUs personvernforordning (GDPR) ble en del av den norske personopplysningsloven. I løpet av det året har Datatilsynet gitt norske virksomheter millionbøter for brudd på personvernet. Er dere trygge på at dere ikke får bøter? Kanskje det kan være en idé å ta en gjennomgang av rutiner og tiltak på grunnlag av erfaringene etter et år med strengere personvern? Har dere for eksempel en sikker makuleringsløsning når GDPR-kravet om sletting skal oppfylles?  

Datatilsynet gjennomførte i 2016 kontroller for å se hvordan de sentrale helseregistrene etterlever kravene i personvernreglementet. Rapporten fra kontrollen foreligger nå. Der får registrene skryt for å ha gjort et stort stykke arbeid for å etablere en tilfredsstillende  internkontroll. Selv om kontrollene ble utført før EUs personvernfordning (GDPR) ble en del av norsk lov, mener Datatilsynet også at resultatene er relevante for å etterleve kravene i GDPR. I den forbindelsen er det nyttig å notere seg hvilke temaer de var opptatte av. I tillegg til internkontroll var det informasjonssikkerhetstiltak og de registrertes rettigheter. Har dere tiltak på plass som vil tilfredsstille Datatilsynet hvis de kommer på GDPR-ettersyn?

Papirkurven er en dårlig løsning hvis du ønsker at sensitiv informasjon ikke skal komme på avveie. Å plassere brukte PCer, laptoper, mobiltelefoner eller harddisker i hyller eller andre steder i kontorlokalene hvor mange kan ha tilgang til dem, er også risikofylt. Et mye bedre valg er sikre, plomberte beholdere og sikker makulering. Har bedriften din avtale om en slik løsning? 

Det er litt over et år siden EUs personvernforordning (GDPR) ble innført i Europa og 10 måneder siden den ble innlemmet i den norske personopplysningsloven. Det har ført til betydelig større oppmerksomhet rundt personvern. Datatilsynet har i løpet av den tida fått inn nærmere 2000 saker til behandling. De aller fleste er avviksmeldinger. Om lag 350 er klager fra privatpersoner. Temaer som går igjen er ønsker om å bli slettet og sensitive data på avveier.