GDPR og kryptering: hva kreves?

Kryptering i GDPR: hva står det egentlig?

Personopplysningsforordningen har ingen bestemmelse som sier at alle personopplysninger skal krypteres. Kravet i artikkel 32 nr. 1 er formulert som et resultatkrav: du skal ha et sikkerhetsnivå som er tilpasset risikoen, og kryptering er nevnt som ett av flere mulige virkemidler, sammen med blant annet tilgangskontroll og evne til å gjenopprette tilgjengelighet etter en hendelse. Hvilke tiltak du velger er opp til deg, men valget må kunne begrunnes. Sammenhengen mellom reglene er samlet i Regler for nettsider og netthandel: komplett guide for bedrifter.

Kryptering nevnes også i artikkel 6 nr. 4 bokstav e om lovlig behandling, og i artikkel 34 nr. 3 bokstav a om varsling ved brudd på personopplysningssikkerheten. Fortalen punkt 83 peker på kryptering som et tiltak som kan redusere risikoen for dem opplysningene gjelder. Poenget er at kryptering ikke er en formalitet, men et tiltak som påvirker hvilke plikter du har i en konkret situasjon.

Artikkel 34 er et godt eksempel. Dersom et brudd rammer opplysninger som er kryptert med en nøkkel som ikke er kompromittert, kan plikten til å varsle de registrerte falle bort, fordi opplysningene ikke er lesbare for uvedkommende. Du må likevel vurdere om bruddet skal meldes til Datatilsynet. Kryptering flytter ikke ansvaret, men den endrer risikobildet. Dette er utdypet i GDPR artikkel 32: sikkerhet og kryptering av e-post.

Hva bør du kryptere i praksis?

For de fleste små virksomheter er svaret på det praktiske spørsmålet: mer enn du tror, men ikke nødvendigvis alt. Utgangspunktet er en vurdering av hvor følsomme opplysningene er, hvor mange personer de gjelder, og hva som skjer dersom de havner på avveie. Er opplysningene fortrolige eller sensitive, bør de i de fleste tilfeller krypteres både når de lagres og når de sendes.

I praksis betyr det blant annet lønn og personalmapper, kunderegistre med kontakt- og avtaleopplysninger, saksdokumenter, sikkerhetskopier og bærbare enheter som tas med ut av kontoret. Lager du en kundeliste i et regneark på en laptop som står i bilen, har du et krypteringsbehov uansett hvor liten bedriften er.

E-post er en egen fallgruve. Vanlig e-post gir ikke tilstrekkelig beskyttelse når du sender personnummer, helseopplysninger eller andre fortrolige opplysninger. Da bør du bruke kryptert e-post eller en annen sikker kanal, for eksempel en portal der mottakeren henter dokumentet i stedet for å få det som vedlegg. Skal du sende ut markedsføring i tillegg, gjelder egne regler for samtykke, se Markedsføringsloven og samtykke: hva kreves?.

To nivåer: under overføring og på disk

Kryptering under overføring beskytter dataene mens de går over nett, typisk med TLS. Kryptering i hvile beskytter dataene når de ligger lagret, på server, disk eller i en sikkerhetskopi. God praksis er å ha begge. Data som bare er kryptert i transitt, ligger ulåst på disken, og motsatt: en kryptert disk hjelper lite dersom innholdet sendes ukryptert over åpne nett.

De mest utbredte løsningene i dag bruker AES-256 for lagring og TLS for transport. Du trenger ikke velge algoritmer selv, men du bør kunne svare på hva leverandøren din bruker, og om krypteringen er slått på som standard eller er noe du må aktivere selv.

Den vanligste svakheten er ikke algoritmen, men nøkkelen. Ligger krypteringsnøkkelen i samme system som dataene, eller på en delt mappe uten tilgangsstyring, mister krypteringen mye av verdien. Spør derfor hvem som har tilgang til nøklene, hvordan de roteres, og hva som skjer med tilgangen når en ansatt slutter.

Kryptering alene gir ikke etterlevelse

Artikkel 32 handler om helheten, ikke om ett enkelt tiltak. Kryptering må kombineres med tilgangsstyring, logging, opplæring og rutiner for sikkerhetskopi og gjenoppretting. Det hjelper lite å kryptere en database dersom alle i bedriften har administratortilgang til den.

Leverandører er en del av bildet. Bruker du et system der personopplysninger behandles på dine vegne, skal du ha en databehandleravtale, og du bør vite hvor dataene lagres og hvordan de beskyttes. GDPR artikkel 28 og databehandleravtale: hva kreves? går gjennom hva avtalen skal inneholde.

Nettsiden er ofte stedet der personopplysninger kommer inn først. Skjemaer for henvendelser bør gå over kryptert forbindelse, og du bør vite hvor opplysningene havner etter at skjemaet er sendt, og hvem som har tilgang til dem. Hvordan informasjonskapsler og samtykke henger sammen med dette, er forklart i Informasjonskapsler på nettsiden: dette sier reglene.

En enkel sjekkliste

Kartlegg først hvilke personopplysninger du behandler, hvor de ligger og hvem som har tilgang. Del dem i tre: opplysninger som er sensitive eller fortrolige, opplysninger som er ordinære men mange, og opplysninger du strengt tatt ikke trenger å lagre. Den siste gruppen bør du kvitte deg med, uansett hvor god krypteringen er. Bruker du automatisert beslutningstaking, må du også kartlegge hva artikkel 22 krever.

Slå så på kryptering i hvile der det er mulig, krev TLS på nettsiden og i systemene du bruker, og bytt til en sikker kanal for fortrolig e-post. Sjekk nøkkeladministrasjonen hos deg selv og hos leverandørene. Skriv ned vurderingene kort, slik at du kan vise dem fram dersom du får spørsmål fra en kunde eller fra Datatilsynet.

Til slutt: gjør dette til en rutine, ikke et engangsprosjekt. Nye verktøy, nye ansatte og nye kunder endrer risikobildet. GDPR for små bedrifter og foreninger gir et rammeverk du kan følge uten å ansette en egen personvernrådgiver.

Trenger du en nettside der skjemaer, informasjonskapsler og personvern er satt opp ordentlig fra starten, kan du se Nettsagas tjeneste for nettside eller book en demo for å se hvordan det fungerer i praksis.

Vanlige spørsmål

Må alle personopplysninger krypteres etter GDPR?

Nei. GDPR har ikke et generelt krav om å kryptere alle personopplysninger. Du skal ha et sikkerhetsnivå som passer risikoen, og kryptering er ett av tiltakene som nevnes i artikkel 32. Fortrolige og sensitive opplysninger bør likevel i de fleste tilfeller krypteres.

Er vanlig e-post kryptert nok?

Vanlig e-post gir ikke tilstrekkelig beskyttelse for personnummer, helseopplysninger eller andre fortrolige opplysninger. Bruk kryptert e-post eller en sikker kanal der mottakeren henter dokumentet selv.

Hva er forskjellen på kryptering under overføring og i hvile?

Under overføring beskytter krypteringen dataene mens de sendes over nett, typisk med TLS. I hvile beskytter den dataene når de ligger lagret på disk, server eller sikkerhetskopi. God praksis er å ha begge.

Må jeg varsle kundene hvis dataene er kryptert?

Plikten til å varsle de registrerte kan falle bort dersom opplysningene var kryptert med en nøkkel som ikke er kompromittert, fordi de ikke er lesbare for uvedkommende. Du må uansett vurdere om bruddet skal meldes til Datatilsynet.

Hva bør jeg spørre leverandøren min om?

Spør om dataene krypteres både i hvile og under overføring, hvilke algoritmer som brukes, hvor nøklene oppbevares, og om du har en databehandleravtale som dekker behandlingen.