GDPR kurser

Persondataloven er det danske ‘tillæg’ til persondataforordningen, som supplerer persondataforordningen i dansk lovgivning. 

Der findes få kurser, som er 100 % dedikeret persondataloven, men de fleste kurser med fokus på persondataforordningen vil indeholde relevant information fra persondataloven (eller nærmere databeskyttelsesloven). 

Hvis du leder efter et generalist kursus for ikke-eksperter om “GDPR”, “persondataforordningen” eller “databeskyttelsesforordningen”, så kan du evt tage et kig på vores eget GDPR kursus, som netop er målrettet alle dem, som bliver inddraget i virksomhedens GDPR uden dog at have det endelige ansvar for virksomhedens compliance.  

Et kursus i persondataforordningen har typisk et juridisk fokus, som er særligt relevant for jurister, som har behov for at kende retspraksis.

Persondataforordningen kan være nærmest uendelig kompleks, da den beskæftiger sig med en virkelighed, som er i konstant forandring. Et kursus i lovgivningen vil derfor altid forholde sig til de aktuelle emner, som kan have betydning for den praksis, som virksomheden i dag skal indordne sig efter i sin GDPR compliance.

DPO-rollen er først og fremmest en rolle, som har nogle særlige krav til sig, som er dikteret af persondataforordningens artikel 37–39. Det er vigtigt at have for øje, at du sagtens kan have en GDPR-ansvarlig i organisationen uden, at denne har titel eller rolle af DPO. Hvis du ansætter vedkommende med titel af DPO, så skal du være opmærksom på, at de har nogle rettigheder i deres jobrolle, som du som virksomhedsejer skal efterkomme jf. artikel 38. 

DPO uddannelser har fokus på de særlige lovkrav, som definerer DPO rollen. DPO’en er et krav for offentlige institutioner, samt virksomheder der behandler store mængder persondata, som en del virksomhedens kerneaktivitet, samt sker regelmæssig og systematisk overvågning af personer, eller behandling af følsomme- og strafbare oplysninger. Det er derfor et meget begrænset antal af danske virksomheder, som faktisk skal have en DPO, og kan derfor ansætte den GDPR-ansvarlige som GDPR-koordinator i stedet. 

Hvis du ønsker et arbejde som DPO, så er DPO-uddannelsen god, men hvis du blot ønsker at få styr på GDPR i organisationen som GDPR-projektleder, superbruger eller tovholder, så er DPO-uddannelserne nok ikke det bedste match for dig.

Særligt offentlige organisationer har tilknyttet en DPO, da dette er et lovkrav. En DPO har typisk ansvaret på tværs af enheder dvs. en DPO kan sagtens have ansvaret på tværs af et helt ministeriums styrelser.

DPO’en har en rolle som bindeleddet mellem virksomheden og Datatilsynet i tilfælde af et tilsyn, og det vil derfor være et af de punkter, som en DPO uddannelse vil indeholde.

Da DPO’en er organisationens databeskyttelsesekspert, som bl.a. har til opgave at overvåge at virksomheden efterlever lovgivningen, så vil en DPO uddannelse være med til at ruste dig til denne opgave. Persondataretten har overlap til andre lovgivningen fx markedsføringsloven, cookiereglerne mm., og DPO-kurset giver dig det nødvendige overblik, som du skal bruge til at varetage sådan en rolle.

I praksis vil det svært at varetage en DPO-rolle, hvis man ikke arbejder fast med GDPR, da persondataretten er for kompleks til dette. Hvis du også varetager andre opgaver i din virksomhed, så må du forvente, at der vil opstå spørgsmål i dit arbejde, hvor du vil få behov for at hente bistand udefra. Derfor er DPO uddannelsen bedst egnet til personer, som kommer til at arbejde fast med persondataforordningen.

Det er utroligt vanskeligt at finde de kompetencer på arbejdsmarkedet, som der kræves af en DPO; jura, IT og projektleder kompetencer. 

Det er svært at forestille sig en jurist, som måtte have overvejet at studere IT-sikkerhed – og omvendt – en IT-sikkerhedsspecialist som overvejede at blive jurist. Hertil kommer, at DPO-rollen kræver en stor forretningsforståelse, da man skal navigere i organisationens hverdag, hvor IT-systemerne skal fungere og nye kontrakter indgåes med databehandlere. 

Da det er så vanskeligt at finde denne person, så er videreuddannelse af virksomhedens eksisterende medarbejdere typisk den mest realistiske rute til at have disse kompetencer inhouse i virksomheden.

Har du brug for at blive taget igennem GDPR-reglerne af en underviser, og ikke blot læse om reglerne på nettet, så er et GDPR kursus en mulighed.

Et basis kursus er typisk målrettet personer, som har behov for en større forståelse for GDPR-reglerne uden nødvendigvis at skulle tage hele GDPR-ansvaret i virksomheden. 

Hvis du skal varetage virksomhedens efterlevelse af GDPR-reglerne, så kan det være en mulighed at tage et kursus som GDPR koordinator, og alternativt en DPO-uddannelse. Disse kurser er målrettet medarbejdere, som skal sidde med ansvaret i virksomheden, og vil typisk have et større fokus på selve jobfunktionen, og ikke blot reglerne.

Det sværeste med GDPR er typisk at stykke overblikket sammen, så der drages en forbindelse mellem nedenstående koncepter.  

• Definition af personoplysninger
• Behandlingsaktiviteter
• Dataansvarlig 
• Databehandler 

Når denne forbindelse af skabt, så kan næste lag af koncepter bygges på.

De næste lag af, som der skal bruges for at forstå GDPR omhandler de krav der påføres virksomhederne fx 

• Dokumentere fortegnelse, 
• Udarbejdelse af risikovurderinger
• Indgåelse af databehandleraftaler 
• Føre tilsyn med databehandlere,
• Indføre privacy by default and design,
• Efterlevelse af de registreredes rettigheder, 
• Dokumentation af GDPR compliance. 

Et introducerende GDPR kursus vil typisk tage udgangspunkt i fundamentet, og desuden komme ind på de øvrige emner, så fundamentet og den generelle forståelse for GDPR etableres. Herefter, så du et bedre udgangspunkt for at bygge på din GDPR viden med mere avancerede koncepter på, og fx tage en DPO-uddannelse.

Et GDPR-kursus varer typisk 1-2 dage, men du kan snildt fordybe dig i emnet i 5 hele dage, og derfor findes der også GDPR kurser, som går i dybden med GDPR over flere dage.

GDPR koordinatoren sikrer, at organisationen er compliant ved at lave opfølgninger på organisationens behandlingsaktiviteter og informationsaktiver. 

GDPR koordinatoren varetager en praktisk rolle, som koordinerer, at alle organisationens enheder er GDPR-compliant. 

En GDPR koordinator er typisk en organisatorisk skarp medarbejder, som har styr på virksomhedens processer og systemer. GDPR koordinatoren bruger sine kompetencer indenfor projektledelse og administration til at holde virksomheden på rette kurs ift GDPR compliance. 

Hvis der er behov for yderligere afklaring af en persondataretlig problemstilling, så kan der tages kontakt til en juridisk ekspert fx en DPO.

GDPR koordinatorens rolle vil ofte overlappe med en DPO, og i nogle virksomheder er disse 2 roller i praksis den samme.

Alle GDPR kurser handler i sidste ende om at blive GDPR compliant. I GDPR er den løbende drift og vedligeholdelse af organisationens compliance en stor mundfuld, som kræver overblik og struktur. 

Det kan virke banalt, men en essentiel del af at være compliant handler om organisation og struktur. 

En virksomhed, som er godt organiseret, vil have lettere ved at blive GDPR-compliant end en virksomhed, hvor det hele fungerer ad hoc. Et godt compliance kursus vil derfor give dig redskaber til bedre at organisere implementering og vedligeholdelse af virksomhedens efterlevelse af GDPR-reglerne.

Organisering af compliance arbejdet kan involvere en god projektorganisation, samt de IT-redskaber, som skal bruges til at styre virksomhedens GDPR-dokumentation, samt compliance aktiviteter.

Et andet vigtigt element i en virksomheds compliance er den løbende awareness træning af medarbejderne, som langt de fleste bør iværksætte, så alle der arbejder med persondata har et tilstrækkeligt indblik i GDPR-reglerne. Når medarbejderne er trænet i virksomhedens GDPR, så vil hele organisationen bidrage med små skridt til at gøre virksomheden compliant.

GDPR har indført nogle betydelige krav til hvordan, at man skal indgå aftaler med sine databehandlere, samt føre tilsyn med, at disse aftaler efterleves i praksis. 

Med databehandleraftalen, så skal du sikre dig, at dine databehandlere behandler persondata i overensstemmelse med din behandlingshjemmel, samt risikovurdering af din behandlingsaktivitet og informationsaktiver. 

Praktisk tilsyn med databehandlere er særligt vigtigt for større virksomheder, som ofte har mere persondata, samt flere databehandlere. 

Det kan være en stor opgave at føre tilsyn med databehandlere, og tilsynet kan have et betydeligt overlap med den indkøbsansvarliges dialog med databehandleren.

Et kursus med fokus på databehandlere vil omhandle indgåelse af databehandleraftaler, samt tilsyn med databehandlere. Begge dele kræver, at man har kendskab til både IT og GDPR-reglerne, således at man som dataansvarlig kan stille passende krav om sikkerhedsforanstaltninger til databehandleren.

GDPR er et lovområde, som er inspireret af det fagområde, som kaldes informationssikkerhed. 

Der findes særligt ISO 27001 standarden, som har inspireret GDPR-lovgivningen.

Informationssikkerhed handler om at “sikre organisationens informationer” dvs. data. Informationssikkerhed handler altså om alle organisationens data, og ikke blot persondata. 

Man kan sige, at ISO 27001 handler mere om virksomhedens sikkerhed, hvorimod at GDPR handler om de personer, som virksomheden behandler oplysninger om. 

Der er et betydeligt overlap mellem ISO 27001 og GDPR, og derfor kan det være godt for professionelle, som allerede arbejder med GDPR at lade sig inspirere af kurser i informationssikkerhed.

Netværk i persondataret er typisk målrettet eksperter, som dagligt arbejder med GDPR. Det er typisk personer som har en juridisk baggrund, arbejder som DPO’er eller er GDPR koordinatorer i deres arbejde. 

Det kan være meget givende at være med i et netværk for at holde sig opdateret om udviklingen i persondataretten, som bevæger sig hurtigt, da den i høj grad også drives af IT-udviklingen. 

Derudover, så er persondataretten drevet af EU-lovgivning, hvor udviklingen i andre medlemslande, og særligt EU-domstolens afgørelser også er med til at præge praksis i Danmark.

Deltagelse i et netværk er med til at sikre et højt fagligt niveau, da disse netværk kan gå helt ned i detaljen med fx de seneste afgørelser indenfor persondataretten.

Det er et krav i persondataforordningen at en virksomhed indfører passende organisatoriske foranstaltninger for at beskytte behandlingen af personoplysninger. 

En vigtig organisatorisk foranstaltning er løbende at uddanne medarbejderne, så de har et tilstrækkeligt kendskab til GDPR-reglerne til at kunne afgøre om deres behandling af personoplysninger er korrekt. 

Det er selvsagt vanskeligt at uddanne alle i organisationen til eksperter, og dette er heller ikke målet med GDPR awareness træning. Målet er, at alle medarbejdere har kendskab til reglerne, således at de kan identificere situationer i hverdagen, hvor at reglerne skal overholdes. GDPR awareness træning er typisk en basal og tilbagevendende træning af medarbejdere, så kendskabet til GDPR-reglerne forankres i organisationen.  

Awareness træning i GDPR er et vigtigt element i enhver organisations GDPR compliance program.

Denne træning kan udføres på flere måder:

• Elearning
• Oplæg
• Inhouse GDPR kursus

Elearning bruges af flere virksomheder, som en metode til at kunne øge kendskabet til GDPR for alle på arbejdspladsen. Med Elearning, så kan der skabes målrettede moduler til medarbejderne, som er relevante for netop deres daglige arbejde.

Denne slags målrettet læring er nødvendig når hele organisationen skal med. GDPR er åbenlyst ikke en publikumsfavorit, så når manden på gulvet skal trænes, så skal det dælme være spændende, hvis det skal have effekt. Elearning kan være en let spiselig metode til dette og evt. koblet med video, som også er gjort let og underholdende, så alle kan være med.

Elearning er et nyttigt redskab for virksomhedens GDPR koordinator, som sikrer GDPR compliance. Elearning fungerer også godt til at efterleve dokumentationskravet om at virksomheden uddanner sine medarbejdere i databeskyttelse.

Afhængigt af virksomhedens forretningsområde og behandling af persondata, så kan et træningsforløb inddrage medarbejderne fx hver måned af evt. 10 minutters engagement fra medarbejderen i målgruppen.