personvernstiltak

Personvernstiltak er tiltak som har til hensikt å beskytte personopplysninger og å ivareta individets rett til personvern i behandling av slike opplysninger. Tiltakene skal kunne redusere risikoen for uautorisert tilgang, endring, tap eller lekkasje av data, og bidra til at behandlingen skjer i tråd med gjeldende regelverk.

Tekniske tiltak inkluderer kryptering av data i hvile og under overføring, pseudonymisering der det er mulig, sterke tilgangskontroller og autentisering, sikker kode og systemdrift, sikker lagring og sletting av data, regelmessig oppdatering og sårbarhetshåndtering, samt sikre kommunikasjonskanaler (for eksempel TLS). Organisatoriske tiltak inkluderer etablering av databehandleravtaler, opplæring av ansatte, prinsippene om minst mulig tilgang, klare ansvarsområder og rutiner, en beredskaps- og hendelsesplan for datainnbrudd, og vurdering av personvernrisiko ved nye behandlinger (DPIA).

I lovverk er personvernstiltak knyttet til GDPR og den norske personopplysningsloven; Datatilsynet fører tilsyn. Flere forhold krever særlig tiltak: at personvern skal være innebygd som standard (privacy by design og privacy by default), og krav om DPIA ved behandlinger som sannsynligvis innebærer høy risiko. For offentlige organer og virksomheter av en viss størrelse kan det være krav om utpeking av personvernombud.