Dataskyddsnivå

Dataskyddsnivå är ett begrepp som används för att beskriva hur väl personuppgifter skyddas i en viss behandling av uppgifter. Det omfattar både hur lagkraven i GDPR uppfylls och hur lämpliga tekniska och organisatoriska åtgärder fungerar i praktiken. En hög dataskyddsnivå innebär att riskerna för intrång, missbruk eller oautentiserad åtkomst till personuppgifter minimeras och att skyddet konsekvent bibehålls genom hela behandlingskedjan.

Faktorer som påverkar dataskyddsnivån inkluderar både juridiska och tekniska/ organisatoriska åtgärder. Juridiska inslag innefattar rättslig grund för behandling, ändamålsbegränsning, dataminimering, lagringsperioder och tydlig reglering av överföringar till tredje part. Tekniska åtgärder kan vara stark autentisering, behörighetsstyrning, kryptering, pseudonymisering, säkra loggar och incidenthantering. Organisatoriska åtgärder inkluderar konsekvensbedömningar (DPIA), utbildning av personal, uppförande av dataskyddsstyrning och tydliga avtal med externa processorer.

I praktiken används begreppet särskilt inom offentlig sektor, upphandling och outsourcing av behandling av personuppgifter samt vid överföringar till underleverantörer eller tredje länder. Myndigheter och organisationer kan begära dokumentation eller bedömningar som visar dataskyddsnivån, särskilt när känsliga uppgifter behandlas eller när data flyttas utanför EES.

Relation till lagstiftning och bedömningar: dataskyddsnivån är ett nationellt begrepp som kompletterar GDPR:s krav på skyddsnivå. Vid externa överföringar kan åtgärder och bevis som visar en adekvat eller likvärdig skyddsnivå bli aktuella. En noggrann bedömning görs ofta genom riskanalyser, DPIA och revisioner eller certifieringar som ISO 27001 där så är möjligt.