Mange virksomheter har av og til behov for å destruere varer eller produkter. Årsakene til det kan være flere. Når man er nødt til å gjøre det, bør flere hensyn tas. Først og fremst må destruksjon skje på en sikker måte, slik at produktene ikke kommer på avveie og blir omsatt i markedet med mulighet for skader på firmaet ditt og på andre. Men man bør også tenke på at mange produkter kan resirkuleres og brukes som råstoff i ny produksjon og at farlig avfall behandles på en trygg måte. 

Datatilsynet stadfestet nylig gebyret på 1,6 millioner kroner for brudd på EUs personvernforordning (GDPR) som de tidligere har varslet Bergen kommune om.  Nå har Oslo kommune fått varsel om en enda høyere GDPR-bot, nemlig 2 millioner kroner. I begge tilfeller er begrunnelsen at kommunene ikke har ivaretatt den informasjonssikkerheten som de nye personvernreglene krever. Hvordan står det til med sikkerheten for at personopplysninger ikke skal komme på avveie i din virksomhet?

Denne gangen har jeg lyst til å bruke blogginnlegget mitt til å fortelle litt om oss selv. Som dere vet, stiller GDPR nye krav om personvern til alle norske virksomheter og pålegger dem nye plikter. Det er krav og plikter vi også tar på alvor. Derfor har vi nå investert i økt sikkerhet og nye løsninger som skal tilfredsstille kravene ved sletting av personopplysninger og andre sensitive data. Vi har også laget en ny web-side som forteller om tjenestene og sikkerheten vår.

Forrige uke arrangerte Nasjonal Sikkerhetsmyndighet (NSM) Nasjonale sikkerhetsdager.  Hovedtema var denne gangen hvordan man gjennom forebyggende tiltak kan hindre at sensitiv informasjon kommer på avveie. Drøftelsene skjedde med ferske eksempler på alvorlige brudd på datasikkerheten, ny sikkerhetslov med forskrifter, nye nasjonale strategier for digital sikkerhet og GDPR som bakteppe. Uka før hadde vi i NG Secure våre egne årlige sikkerhetsdager.

Bruker dere nok ressurser på opplæring og kompetanseutvikling innen IT-sikkerhet? Gjør dere ikke det, blir informasjonssikkerheten i virksomheten for dårlig. Sjansene øker da for å pådra seg store driftskostnader og høye bøter for brudd på EUs personvernforordning (GDPR). De første millionbøtene for GDPR-brudd er allerede varslet.

Det franske datatilsynet har satt en foreløpig rekord for bøtelegging av brudd på GDPR-regelverket. Det amerikanske søkeselskapet Google har fått en bot på 50 millioner euro, eller om lag 490 millioner kroner – for brudd personvernreglene nedfelt i EUs personvernforordning (GDPR). Boten skyldes manglende åpenhet ved innhenting av samtykke fra brukerne når de samler inn personopplysninger om dem.

Personvern og miljøvern kan gå hånd i hånd. Hvis du makulerer papirdokumenter og digitale lagringsmedier som ikke lenger er i bruk, bidrar du til gjenvinning, mindre bruk av råvarer og skaper arbeidsplasser. I tillegg bidrar du til at EE-avfall behandles på en forsvarlig måte. Du kan med andre ord oppfylle kravene i den nye personopplysningsloven og GDPR og bidra litt til det grønne skiftet.

Jeg har flere ganger i disse bloggene understreket hvor viktig det er å ha et system med rutiner for informasjonssikkerhet som hindrer at at personopplysninger og annen sensitiv informasjon kommer på avveie. I et slikt system kan det være lett å glemme at printere og kopimaskiner kan være hull i informasjonssikkerheten. Glemmer dere det, er risikoen stor for at uvedkommende får tilgang til sensitive data. Det kan ramme personer og skade virksomheten din. 

Har dere mange PCer, harddisker og andre digitale lagringsmedier som ikke lenger er i bruk? Hva gjør dere med dem? Er de lagret på en sikker måte, og har dere rutiner for makulering av lagringsmediene slik at personopplysningene og andre sensitive data ikke kommer i hendene på uvedkommende? Når EUs personvernforordning (GDPR) nå er en del av norsk lovgivning, har dere plikt til å ha slike rutiner.

Et knapt halvår etter at EUs personvernforordning (GDPR) ble en del av personopplysningsloven, varslet Datatilsynet den første boten – eller overtredelsegebyret – for brudd på reglene for personvern. Bergen kommune har ikke sørget for god nok informasjonssikkerhet og kan blitt nødt til å betale 1,6 millioner kroner. Dette kan kanskje være en påminnelse om å ta en titt på informasjonssikkerheten i din virksomhet. Er den god nok og er du klar for å ta i mot Datatilsynet hvis de dukker opp for GDPR-kontroll?