IT-sikkerhed
[ OSS oversigt ] [ IT-sikkerhed ]
Hvad skal jeg være opmærksom på når udvikling og drift overlades til en it-virksomhed?
En virksomhed eller organisation som udfører drift for andre – en it-virksomhed, et servicebyro, web-hotel osv. – kaldes i persondataloven for en databehandler. I persondatalovens § 41, stk. 1 og §42 er fastsat nærmere bestemmelser som den dataansvarlige skal følge når driften (behandling af personoplysninger) overlades til en databehandler.
Når en dataansvarlig overlader driften til en databehandler skal der indgås en skriftlig aftale. Det skal aftalen fremgå, at databehandleren skal træffe fornødne sikkerhedsforanstaltninger, som skal sikre mod at oplysningerne:
- Hændeligt eller ulovligt tilintetgøres, fortabes eller forringes
- Kommer til uvedkommendes kendskab eller misbruges
- I øvrigt behandles i strid med persondataloven.
Det kan fremgå af aftalen at databehandleren opfylder nærmere fastlagte krav, f.eks. at databehandleren har implementeret en sikkerhedsorganisation og sikkerhedsforanstaltninger i overensstemmelse med sikkerhedsstandarden fra Dansk Standard, Norm 484.
Endvidere skal det af aftalen fremgå, at databehandleren kun må handle efter instruks fra den dataansvarlige. Dette er en hel central bestemmelse som sikrer, at databehandleren ikke må anvende personoplysningerne til noget andet formål end til brug for løsning af netop den opgave, som databehandleren efter aftalen med den dataansvarlige har påtaget sig. Endelig bør det i aftalen sikres, at databehandleren har sikret sig at virksomhedens medarbejdere har tavshedspligt om personoplysninger, som måtte komme til deres kendskab.
Den dataansvarlige skal efter persondataloven aktivt sikre sig at databehandleren overholder de krævede sikkerhedsforanstaltningerne. En accepteret fremgangsmåde er at modtage en revisionserklæring fra en årlig it-sikkerhedsrevision gennemført af uafhængig tredjepart, typisk et revisionsfirma.
På Datatilsynets hjemmeside findes et forslag til indholdet af den skriftlige aftale.
Senest opdateret 25.07.2004
[ OSS oversigt ] [ IT-sikkerhed ]
