Databeskyttelsesrådgiveren og red teaming: konsekvensanalyse og behandlingsgrundlag

En red team-øvelse planlægges i en lille, lukket kreds, og databeskyttelsesrådgiveren hører først om den, når holdet allerede har rekognosceret medarbejdere og logget deres reaktioner. Svaret på, hvornår DPO skal med, hviler på databeskyttelsesforordningens artikel 38, stk. 1: rådgiveren skal inddrages tilstrækkeligt og rettidigt i alle spørgsmål om beskyttelse af personoplysninger. For en øvelse betyder det, at DPO bør høres, mens scenarierne formes, så spørgsmålene om konsekvensanalyse og behandlingsgrundlag kan besvares, før noget er sat i gang.

Teksten er ikke juridisk rådgivning. Den samler de spørgsmål, rådgiveren kan stille, og peger på kilderne. Hvordan holdet håndterer de oplysninger, det støder på undervejs, er beskrevet for sig. → Persondata i øvelsen

Hvor øvelsen behandler personoplysninger

Før de juridiske spørgsmål giver det mening at kortlægge, hvor øvelsen faktisk rører ved personer. Listen bliver længere, end white team forventer:

Rekognoscering · holdet indsamler offentligt tilgængelige oplysninger om medarbejdere, fx roller, e-mailformater og profiler.
Social engineering · der registreres, hvem der blev kontaktet, hvad de svarede, og om de meldte henvendelsen.
Fysisk adgang · billeder og noter fra bygninger kan vise ansatte og besøgende.
Systemadgang · holdet ser postkasser, filer og logfiler med navne.
Forsvarets side · blue team og overvågningsleverandøren logger og undersøger det, de tror er en ægte hændelse, med navne på involverede kolleger.
Rapporten · tidslinjen kan pege på enkeltpersoner, hvis den ikke skrives om processer.

Kortlægningen er også grundlaget for en eventuel konsekvensanalyse, fordi artikel 35, stk. 7, kræver en systematisk beskrivelse af de planlagte behandlinger og formålene.

Er en konsekvensanalyse påkrævet?

Artikel 35, stk. 1, kræver en konsekvensanalyse, når en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder. Stk. 3 nævner tre tilfælde, hvor analysen navnlig er påkrævet: systematisk og omfattende profilering med retsvirkning, behandling i stort omfang af særlige kategorier af oplysninger og systematisk overvågning af offentligt tilgængelige områder i stort omfang. En afgrænset øvelse passer ikke umiddelbart ind i nogen af dem.

Datatilsynets liste efter artikel 35, stk. 4, nævner otte typer behandlinger, der altid kræver en analyse, fx behandling ved brug af nye teknologier sammen med mindst ét yderligere kriterium fra Artikel 29-gruppens retningslinjer (WP248). Tilsynet skriver selv, at listen ikke er udtømmende.

Retningslinjerne er derfor det mest brugbare værktøj for rådgiveren. To af kriterierne ligger tæt på en red team-øvelse: systematisk overvågning, hvor registrerede observeres eller kontrolleres, og oplysninger om sårbare registrerede, hvor ansatte udtrykkeligt nævnes på grund af skævheden i magtforholdet til arbejdsgiveren. WP248 lægger op til, at en behandling, der opfylder to kriterier, bør overvejes for en analyse. Om det gælder den konkrete øvelse, afhænger af scenariet. En ren teknisk øvelse mod et afgrænset system er et andet spørgsmål end en øvelse med målrettet social engineering mod udvalgte medarbejdere.

Når analysen laves i en lukket kreds

Hvis rådgiveren vurderer, at en analyse er nødvendig, opstår et praktisk problem: analysen skal laves, uden at øvelsen bliver kendt. Det kan lade sig gøre. Artikel 35, stk. 9, siger, at den dataansvarlige indhenter de registreredes synspunkter, hvis det er relevant, men uden at det berører behandlingsaktiviteternes sikkerhed. Spørgsmålet om, hvordan medarbejdernes perspektiv alligevel kommer med, kan besvares ved at inddrage tillidsrepræsentanten eller HR under fortrolighed. → HR og tillidsrepræsentant

Rådgiveren er selv underlagt tavshedspligt eller fortrolighed efter artikel 38, stk. 5, og kan derfor stå på listen over dem, der kender til øvelsen, uden at det svækker hemmeligholdelsen. → Fortrolighed om øvelsen

Hvilket behandlingsgrundlag hviler indsamlingen på?

Artikel 6, stk. 1, kræver, at mindst ét af seks grundlag er opfyldt. I en skjult øvelse er samtykke fra de berørte medarbejdere i praksis udelukket, fordi samtykket ville afsløre øvelsen. Rådgiveren vil derfor se på andre muligheder, i private virksomheder især litra f om legitim interesse, hvor den dataansvarliges interesse vejes mod de registreredes interesser. Bemærk, at litra f efter bestemmelsens andet afsnit ikke gælder for offentlige myndigheder, når de udfører deres opgaver.

Datatilsynets vejledning om databeskyttelse i ansættelsesforhold kan bruges som målestok. Når en arbejdsgiver kontrollerer medarbejdere, lægger tilsynet vægt på, at kontrollen er nødvendig for en berettiget interesse, at hensynet til de ansatte ikke vejer tungere, og at medarbejderne på forhånd er informeret. Det sidste punkt er det svære i en skjult øvelse. Spørgsmålet til rådgiveren er, om en generel oplysning i IT-politikken om, at der gennemføres sikkerhedsøvelser, kan bære, og hvad der skal oplyses bagefter.

Vejledningen gennemgår også undtagelser fra oplysningspligten, fx artikel 14, stk. 5, litra b, hvor oplysningen i alvorlig grad vil hindre formålet med behandlingen. Om en undtagelse passer på den konkrete øvelse, og hvad de berørte skal have at vide bagefter, er en vurdering for rådgiveren. En orientering efter øvelsen er under alle omstændigheder en del af planen. → Debriefing af medarbejdere

Hvad rådgiveren kan kræve af planen

Rådgiverens opgaver efter artikel 39 omfatter at rådgive den dataansvarlige og overvåge overholdelsen af reglerne. I en øvelse kan det blive til konkrete krav til planen:

Dataminimering i scenariet · flag og attrapdata i stedet for rigtige personoplysninger, hvor det kan lade sig gøre.
Afgrænsede kilder · hvilke oplysninger om medarbejdere holdet må indsamle, og hvilke der holdes ude. → Private profiler
Sletning · frister for holdets materiale og for forsvarets sagsmapper fra den formodede hændelse.
Rapportens form · fund beskrevet som processer og kontroller, ikke som navngivne personer.
Fund uden for scenariet · en fast vej til den dataansvarlige, hvis holdet støder på et muligt brud.

Kravene hører hjemme i rules of engagement, så de er en del af det, holdet og white team arbejder efter. → Rules of engagement i red teaming

Det skal I lade være med

At orientere rådgiveren efter kontraktunderskrift · så er scenarierne allerede valgt.
At gå ud fra, at øvelsen ikke kræver en analyse, fordi den ikke står på listen · listen er ikke udtømmende.
At bruge samtykke som grundlag · det kan ikke indhentes uden at afsløre øvelsen.
At glemme forsvarets egne data · blue teams sagsmapper indeholder også oplysninger om kolleger.
At give rådgiveren instrukser om vurderingen · artikel 38, stk. 3, sikrer rådgiverens uafhængighed.

Hvad kan og ikke kan konkluderes

En tidlig inddragelse af rådgiveren giver en dokumenteret vurdering af konsekvensanalyse, behandlingsgrundlag og orientering, før øvelsen starter. Den giver ikke en generel garanti for, at alle behandlinger i øvelsen er lovlige, og den erstatter ikke den dataansvarliges eget ansvar. Svarene afhænger af scenariet og skal tages op igen, hvis rammen ændres.

Tjekliste til rådgiveren

☐ Er rådgiveren inddraget, før scenarierne er låst?
☐ Er behandlingerne i øvelsen kortlagt, også på forsvarets side?
☐ Er det vurderet og dokumenteret, om en konsekvensanalyse er påkrævet?
☐ Er behandlingsgrundlaget for indsamlingen om medarbejdere afklaret?
☐ Er det besluttet, hvordan og hvornår de berørte orienteres?
☐ Står kravene om dataminimering og sletning i rules of engagement?

Kilder

Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 6, stk. 1, om behandlingsgrundlag; artikel 35, stk. 1, 3, 4, 7 og 9, om konsekvensanalyse; artikel 38, stk. 1, 3 og 5, og artikel 39 om databeskyttelsesrådgiverens stilling og opgaver.
Datatilsynet: Konsekvensanalyse: hvornår en analyse er påkrævet, og at vurderingen i første omgang ligger hos den dataansvarlige.
Datatilsynets liste over behandlinger, der altid kræver en konsekvensanalyse: otte typer behandlinger efter artikel 35, stk. 4; listen er ikke udtømmende.
Artikel 29-gruppens retningslinjer om konsekvensanalyse (WP248): kriterierne systematisk overvågning og sårbare registrerede, herunder ansatte.
Datatilsynet: Databeskyttelse i forbindelse med ansættelsesforhold: betingelser for kontrol med medarbejdere og undtagelser fra oplysningspligten.

Senest gennemgået: oktober 2026.