Risikovurdering

En risikovurdering er et verktøy for å identifisere uønskede hendelser og risikoen for at disse skal inntreffe. Datatilsynets veileder forklarer hvordan virksomheten bør gjennomføre en risikovurdering.

Som en del av internkontrollen skal virksomheten ha en oversikt over hvilke behandlinger av personopplysninger som foretas, og hvilke personopplysninger som inngår i disse. Denne oversikten skal brukes som underlag ved risikovurderinger.

Virksomheten skal gjennomføre risikovurdering før man iverksetter en behandling og før man tar i bruk et informasjonssystem. Virksomheten skal videre gjennomføre risikovurdering ved endringer i forhold som kan påvirke informasjonssikkerheten, for eksempel endringer i behandlinger, endringer av informasjonssystem eller endringer i trusselbildet.

Risiko betegner forholdet mellom sannsynligheten for at en uønsket hendelse vil inntreffe og konsekvenser av en slik hendelse. Risikovurderingen må ses i sammenheng med etablerte akseptkriterier for risiko, og den behandlingsansvarlige skal iverksette nødvendige tiltak for å oppnå tilfredsstillende informasjonssikkerhet.

Veilederen om risikovurdering viser til bestemmelser i det gamle personvernregelverket. Det gjeldende regelverket gir nye plikter knyttet til informasjonssikkerhet og internkontroll. Det er likevel slik at grunnprinsippene i veilederen vil være i tråd med dagens regler. Vi har foreløpig ingen ny veileder om Risikovurdering, men vi vil se på hvordan vi kan erstatte denne veilederen med noe tilsvarende for de nye reglene.

Hvilken metode man bruker for å gjennomføre risikovurderinger er ikke knyttet til regelverket. Vi vil derfor anbefale at man ser på andres veiledere som for eksempel Difi og NSM

Veileder i internkontroll

Med god internkontroll og et bevisst forhold til å sikre opplysninger sørger virksomheten for at den behandler personopplysninger lovlig, sikkert og forsvarlig.

Veileder i internkontroll
21