GDPR – Kryptering

Virksomheder kan reducere sandsynligheden for et databrud og dermed reducere risikoen for bøder i fremtiden, hvis de vælger at bruge kryptering af personoplysninger. Behandlingen af personoplysninger er naturligt forbundet med en vis grad af risiko. Især i dag, hvor cyberangreb er næsten uundgåelige for virksomheder over en given størrelse. Derfor spiller risikostyring en stadig større rolle i it-sikkerhed, og datakryptering er velegnet, blandt andre midler, til disse virksomheder.

Generelt henviser kryptering til proceduren, der omdanner klar tekst til en hashed kode ved hjælp af en nøgle, hvor de udgående oplysninger kun bliver læselige igen ved brug af den korrekte nøgle. Dette minimerer risikoen for en hændelse under databehandling, da krypterede indhold er grundlæggende ulæseligt for tredjepart, som ikke har den korrekte nøgle. Kryptering er den bedste måde at beskytte data under overførsel og en måde at sikre lagrede persondata. Det reducerer også risikoen for misbrug inden for en virksomhed, da adgangen er begrænset til kun autoriserede personer med den rigtige nøgle.

Forordningen anerkender også disse risici ved behandling af personoplysninger og placerer ansvaret på den dataansvarlige og databehandleren i art. 32(1) i den generelle databeskyttelsesforordning for at implementere passende tekniske og organisatoriske foranstaltninger til at sikre personoplysninger. GDPR definerer bevidst ikke, hvilke specifikke tekniske og organisatoriske foranstaltninger der betragtes som egnede i hvert enkelt tilfælde, for at imødekomme individuelle faktorer. Dog giver det den dataansvarlige en katalog over kriterier, der skal overvejes ved valg af metoder til at sikre persondata. Disse er teknologisk fremskridt, implementeringsomkostninger samt karakter, omfang, sammenhæng og formål med behandlingen. Udover disse kriterier skal man altid overveje alvoren af risiciene for registreredes rettigheder og friheder og hvor sandsynlige disse risici kan manifestere sig. Dette koger i bund og grund ned til følgende: Jo højere risici der er involveret i databehandlingen, og jo mere sandsynlige disse er for at manifestere sig, desto stærkere skal de trufne sikkerhedsforanstaltninger være, og desto flere foranstaltninger skal tages. Kryptering som et koncept er eksplicit næv

Kryptering af personoplysninger har yderligere fordele for dataansvarlige og/eller databehandlere. For eksempel betragtes tabet af et teknologisk avanceret krypteret mobilt lagermedium, der indeholder personoplysninger, ikke nødvendigvis som et databrud, der skal anmeldes til databeskyttelsesmyndighederne. Derudover skal myndighederne, i tilfælde af et databrud, positivt overveje brugen af kryptering i deres beslutning om, hvorvidt og hvilket beløb der skal pålægges en bøde i henhold til artikel 83(2)(c) i GDPR.