Eksempel: Governance-model for databeskyttelse (GDPR)

Lær mere:

• Hvad er governance?
• Hvad er en governance-model? (og hvad skal den indeholde?)

1. Roller og ansvar

• Direktionen: Overordnet ansvarlig for compliance og prioritering. Direktionen godkender alle politikker og retningslinjer på området.
• Databeskyttelsesrådgiver (DPO): Skal inddrages i alle væsentlige spørgsmål om databeskyttelse og rådgiver direktionen. Overvåger virksomhedens databeskyttelsesindsats og rapporterer til direktionen om, hvad han / hun finder. Har kontakt til Datatilsynet.
• Compliance: Har det overordnede ansvar for overholdelse af GDPR og interne retningslinjer. Står for uddannelse af systemejere og medarbejdere samtid sikrer koordinering mellem systemejere, driften og IT-afdelingen.
• Systemejere: Har ansvaret for behandling af personoplysninger og databeskyttelse i de systemer, de er anvarlige for.
• HR, salg, marketing mfl.: Sikrer daglig overholdelse af i de behandlinger / processer, som de er ansvarlige for.
• IT-afdelingen: Sikrer, at der er tekniske foranstaltninger, der understøtter behandlingssikkerheden.

2. Organisering og beslutningstagning

• Der afholdes governance-møder én gang i kvartalet. Compliance indkalder og sætter dagsordenen. DPO og ledelse deltager
• Der findes en proces for “nye systemer”. Inden nye systemer kan tages i brug, skal de beskrives og risikovurderes. Ibrugtagning godkendes af compliance og IT (compliance-boardet)
• Privacy Impact Assessment (DPIA) kræves for nye databehandlinger med høj risiko.
• DPO rapporterer årligt til direktionen.
• Compliance rapporterer til direktionen kvartalsvis. Fokus på databrud og risici.

3. Politikker og dokumentation

• Politikker og dokumentation findes i Wired Relations og består af:
  
  • System- og leverandørfortegnelse 
  • Fortegnelse over behandlingsaktiviteter (artikel 30)
  • Risikovurderinger og -mitigering
  • Privatlivspolitik (offentlig + intern)
  • Samtykkepolitik, datasletningsprocedurer etc.

4. Kontrol og opfølgning

• Årlig audit af alle behandlingsaktiviteter
• Tilsyn med leverandører sker efter en risikovurdering og plan, som er godkendt af compliance
• Risikovurderinger gennemgås årligt eller ved ændringer Det gælder også DPIA’er
• Ledelsesrapportering hvert kvartal

‍