Dataadgang efter behov

Adgangsrettigheder skal begrænses mest muligt. Når en medarbejder har adgang til mange personers oplysninger, kan det øge fristelsen til at misbruge adgangen til private formål eller formål, som ikke er arbejdsbetingede. Ved at begrænse dataadgangen, så den svarer til det arbejdsbetingede behov, kan mulighederne for misbrug mindskes. Der er altså tale om en forebyggende foranstaltning, som kan mindske sandsynligheden for misbrug af brugeradgang, og konsekvensen, hvis misbrug skulle finde sted.

Det samme er normalt også tilfældet ved en borgers/kundes adgang til en selvbetjeningsløsning hos en myndighed eller en privat virksomhed, idet adgangen ofte skal begrænses til brugerens egne personoplysninger.

Adgange for medarbejdere gives efter arbejdsbetinget behov og kan begrænses på fx datas aktualitet eller alder, datatype (fx om det er kundedata, HR-data, whistleblowerdata), sagstype (fx "Vej & park" eller "familiesager"), osv.

Adgangsrettigheder for borgere/kunder tilpasses, hvad den enkelte person har ret til at tilgå (typisk kun egne og evt. nære relateredes personoplysninger).

Mulighederne afhænger normalt af it-systemernes design, hvorfor disse aspekter tænkes ind på tidspunktet for design eller indkøb af it-systemer.

Hvis der anvendes RPA (Robotic Process Automation) eller lignende, og man i den forbindelse giver adgangsrettigheder til robot-brugere, begrænses deres adgang på samme måde mest muligt. Økonomisk besparelse på robot-brugerlicenser kan friste til at give en robot så mange adgangsrettigheder som muligt, men en robot-bruger, som har mange rettigheder, kan udgøre en højere risiko, hvis fx en hacker får mulighed for at opnå denne robots adgangsrettigheder. Robot-brugeres adgangsrettigheder minimeres også af hensyn til eventuelle fejl i koden/automatikken eller opsætningen. Herved begrænses den potentielle skade, som robot-brugeren kan forårsage.

Se også foranstaltningen Pseudonymisering og anonymisering, som ligeledes begrænser adgangen, men ved at fjerne eller separere data.

Databeskyttelsesforordningens artikel 5, stk. 1, litra f, handler om personoplysningers integritet og fortrolighed. Jo færre data, den enkelte bruger har adgang til, desto mindre er den potentielle konsekvens, hvis nogle af disse brugere foretager utilsigtede eller ondsindede handlinger eller på anden vis misbruger adgangen til data. Samtidig har dette også en beskyttende effekt ift. cybertrusler, idet en hacker ofte opererer igennem adgangsrettigheder i kompromitterede bruger-konti, og færre rettigheder giver dermed hackeren færre muligheder. Derfor skal adgangsrettigheder begrænses mest muligt.

Forordningens artikel 25: Ved udvikling eller erhvervelse af nye it-systemer eller udvikling/ændring i eksisterende it-systemer skal databeskyttelse være tænkt ind i design og standardindstillinger. Muligheden for at minimere adgangsrettigheder forudsætter, at muligheden er indbygget i de it-systemer, som styrer adgangen. Standardindstillinger kan ligeledes minimere rettigheder som udgangspunkt, men det kan også handle om fx automatisk sletning af data efter deres alder, hvilket bidrager til minimering af dataadgang.

Læs vejledning: Tænk dig om, før du slår op