Formål og indhold

Kurset giver en praktisk og juridisk ramme for risikovurderinger efter GDPR. Deltagerne får klarhed over, hvornår vurderinger skal foretages, hvordan de struktureres, og hvordan resultater dokumenteres, så de kan anvendes i daglig drift og ved tilsyn. Fokus er på de situationer, der oftest skaber tvivl: brug af databehandlere, outsourcing, valg og kalibrering af sikkerhedsforanstaltninger, konsekvensanalyser samt overførsler til tredjelande.

Undervisningen kobler reglernes krav med operationelle metoder. Deltagerne arbejder med kriterier for risikoidentifikation, vurdering af sandsynlighed og konsekvens for de registreredes rettigheder, fastlæggelse af passende foranstaltninger og dokumentation, der understøtter accountability.

Centrale temaer

Databehandlere og outsourcing: Screening af leverandører, udformning af databehandleraftaler, tildeling af roller og ansvar, kontrolklausuler, tilsynsplaner og opfølgning. Der gennemgås praktiske modeller for leverandørstyring og risikobaseret tilsyn.

Sikkerhedsforanstaltninger: Anvendelse af artikel 32, valg af organisatoriske og tekniske tiltag, herunder adgangsstyring, kryptering, pseudonymisering, logning, test af kontroller og løbende modenhedsvurdering.

Konsekvensanalyse (DPIA) versus almindelig risikovurdering: Afgrænsning, triggers, metodevalg, involvering af interessenter, DPO’s rolle og dokumentationskrav. Deltagerne lærer at opbygge en DPIA-struktur, der kan genbruges.

Overførsler til tredjelande: Kortlægning af overførsler, brug af SCC og BCR, gennemførelse af overførselsvurderinger og supplerende foranstaltninger. Særligt behandles koncernstrømme og moderselskabsadgang, herunder governance og praktiske kontrolmekanismer.

Dokumentation og praksis: Hvordan man anvender Datatilsynets og EDPB’s vejledninger i konkrete sager, opbygger en audit trail, forbereder sig på tilsyn og integrerer risikovurderinger i ISMS og forretningsprocesser.

Udbytte og målgruppe

Efter kurset kan deltageren identificere, hvornår risikovurderinger er nødvendige, vælge passende metode, prioritere og beskrive foranstaltninger samt etablere en skalerbar dokumentationspraksis. Deltageren får værktøjer til at planlægge leverandørtilsyn, kvalificere tekniske og organisatoriske kontroller, udarbejde DPIA’er og overførselsvurderinger samt omsætte tilsynspraksis til interne politikker og kontraktklausuler.

Kurset er relevant for jurister, DPO’er, compliance- og sikkerhedsansvarlige, projektledere og andre, der arbejder med databeskyttelsesretlig compliance i offentlige og private organisationer.