Bevisa GDPR compliance
Hur gör man då för att bli GDPR-compliant och bevisa att man är GDPR-compliant? Varför inte kopiera ett vinnande koncept. Inom branscher som flyg, järnväg och medicin finns ett sätt att hantera säkerhet. Privacy by design är en kopia på delar av detta sätt. I dessa branscher har man en struktur bestående av följande grund för att hantera säkerheten:
Strukturen är uppbyggd på
- Lagstiftning som definierar övergripande säkerhetskraven
- En standard som strukturerar säkerhetsarbetet med
- säkerhetsnivåer (Safety Integrity Level),
- metodkrav för säkerhetsarbete
- säkerhetsbevis (Safety Case)
- En myndighet som ger tillstånd och godkänner verksamhet och system enligt lagstiftningen
Inom GDPR saknas tyvärr standarder som hjälper till, flera artiklar tar upp uppförandekoder och hur dessa kan hjälpa men sådana finns tyvärr inte tillgängliga. Men sättet att hantera säkerhet är ganska likartat i de gamla branscherna, dessutom finns ISO 27000 som hjälper en bra bit på vägen.
En stor del av GDPR handlar om strukturerad spårbar dokumentation, något som ibland får falla för fäfot. En stor del av GDPR är krav som bara är att implementera, ibland krävs tolkningar av regelverket relaterat till din verksamhet, och det är ibland skillnader mot PUL. Dokumenterar du informationen som definieras av artikel 12-15, 30 och 35 har du ett bra underlag, sedan gäller det att få ordning på rutiner och system så att du kan uppfylla informationskrav, rätten att bli glömd, rätten till rättelse och begränsning m m.
Den svåra delen är bevisningen att du följer säkerhetskraven i GDPR, det är här du har nytta av branscher som flyg, järnväg och medicin och hur man där hanterar krav på säkerhet. Bevisningen är ett arbete som normalt sker integrerat med övrigt arbete, det är både ett sätt att bevisa och analysera säkerhet. Grunden är att du gör ett strukturerat kravarbete för att hitta och bryta ner kraven, sedan visar du systematiskt att dessa krav är uppfyllda. Logiskt byggs säkerhetsbeviset upp enligt nedan:
