> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/module-overview/data-management.md). # Databehandling ### Introduksjon Databehandlingsmodulen i CERRIX hjelper deg med å registrere, administrere og vurdere Databehandlingsaktiviteter innenfor Organisasjonen din. Dette er spesielt viktig for Etterlevelse av GDPR (AVG) og Risiko-styring knyttet til Databehandling. #### Formålet med Databehandlingsmodulen Databehandlingsaktiviteter trenger strukturert dokumentasjon for å sikre: * Etterlevelse av personvernregelverket * Tydelig ansvarlighet for datahåndtering * Synlighet i dataflyter og tredjepartsdatabehandlere * Risiko-styring rundt sensitiv informasjon * Revisjonsberedskap og regulatorisk rapportering Databehandlingsmodulen gir rammeverket for omfattende datastyring. #### Hva du kan gjøre * Registrer og klassifiser behandlingsaktiviteter * Knytt prosesser til ansvarlige parter, systemer og leverandører * Dokumenter personvernrisikoer og Kontrolltiltak * Eksporter oversiktsrapporter for Revisjoner eller tilsynsmyndigheter * Følg retningslinjer for datalagring og juridiske grunnlag * Overvåk tredjepartsdatabehandlere #### Fordeler for brukerne * Én sentral oversikt over all Databehandling * Sporbarhet for dataflyter innenfor Organisasjonen * Tydelig ansvarsfordeling for personvern * Integrasjon med Risiko- og Kontrollrammeverk * Bevisgrunnlag for Etterlevelse av GDPR og Revisjoner *** ### Roller i Databehandling Flere roller arbeider sammen i CERRIX for å holde informasjonen om Databehandling oppdatert og nøyaktig. #### Behandlingsansvarlig Behandlingsansvarlig er til syvende og sist Ansvarlig for en Databehandling. De: * Sikrer nøyaktig og fullstendig registrering * Godkjenner endringer i behandlingsaktiviteter * Validerer at de juridiske grunnlagene er hensiktsmessige * Overvåker etterlevelse av lagringsreglene * Tar beslutninger om databruk og tilgang Behandlingsansvarlig er vanligvis leder for en forretningsfunksjon eller prosesseier, ikke noen fra IT eller juss. #### Datavokter / Databehandler Datavokteren samler inn og vedlikeholder behandlingsdetaljer. De: * Registrerer nye behandlingsaktiviteter * Holder informasjonen oppdatert og nøyaktig * Laster opp støttedokumentasjon * Knytter relevante Risikoer, Kontroller eller Tredjepartene * Koordinerer med Behandlingsansvarlig for godkjenninger Datavoktere er ofte det operative bindeleddet mellom databrukere og styringsteam. #### Reviewer / Revisor Reviewer validerer kvaliteten på Databehandling. De: * Kontrollerer fullstendighet og konsistens i registreringene * Vurderer Etterlevelse av interne og juridiske krav * Identifiserer mangler eller utdatert informasjon * Anbefaler forbedringer i praksis for datastyring Reviewere gir uavhengig tilsyn og bidrar til å sikre at Databehandling ikke glir bort fra kravene. #### Workflow-sammendrag **Datavokter registrerer → Behandlingsansvarlig godkjenner → Reviewer validerer periodisk** Denne strukturen balanserer operasjonell effektivitet med riktig tilsyn og ansvarlighet. *** ### Brukerroller og rettigheter i CERRIX Databehandlingsmodulen har seks brukerroller. Hver rolle har spesifikke rettigheter for bestemte deler av modulen; for å gi en bruker flere rettigheter, kan flere roller kombineres. Alle begrensede roller har bare rettigheter for brukerens egen Organisasjon. * **Databehandling Ubegrenset administrator** — setter opp og holder den komplette oversikten over modulen, med rettigheter til all funksjonalitet. Denne rollen kan se og redigere all Databehandling for hele Organisasjonen, knytte Kontroller og Risikoer til dem, og vedlikeholde Databehandling Grunndata. * **Databehandling Begrenset administrator** — har rettigheter til all funksjonalitet i modulen unntatt Grunndata. * **Databehandling Ubegrenset skribent** — har lese- og skrivetilgang for hele Organisasjonen og kan opprette, vise og redigere Databehandlinger for hver Organisasjon eller forretningsenhet. * **Databehandling Begrenset skribent** — har lese- og skrivetilgang for brukerens egen Organisasjon eller forretningsenhet og kan opprette, vise og redigere Databehandlingene som tilhører den. * **Databehandling Ubegrenset leser** — har ubegrensede leserettigheter: denne brukeren kan se all Databehandling for hele Organisasjonen, men kan ikke opprette eller endre den. * **Databehandling Begrenset leser** — har begrensede leserettigheter: denne brukeren kan se all konfidensiell og ikke-konfidensiell Databehandling for sin egen forretningsenhet, men kan ikke opprette eller endre den. Rettighetene per rolle: | Rettigheter | Ubegrenset administrator | Begrenset administrator | Ubegrenset skribent | Begrenset skribent | Ubegrenset leser | Begrenset leser | | ----------------------------------------- | :----------------------: | :---------------------: | :-----------------: | :----------------: | :--------------: | :-------------: | | Søk etter Databehandlinger | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | | Opprette Databehandlinger | ✓ | ✓ | ✓ | ✓ | | | | Opprette Databehandling MoI-er | ✓ | ✓ | ✓ | ✓ | | | | Eksport av Databehandlinger via Workspace | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | | Eksport av Databehandling via rapporter | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | | Knytte Kontroller (1) | ✓ | ✓ | ✓ | ✓ | | | | Knytte Risikoer (2) | ✓ | ✓ | ✓ | ✓ | | | | Vedlikeholde Databehandling Grunndata | ✓ | | | | | | (1) I kombinasjon med Kontrolladministrator eller Kontrollskribent. (2) I kombinasjon med Risikoadministrator eller Risikoskribent. ### Databehandling Workspace Workspace for Databehandling gir en oversikt over alle behandlingsaktiviteter i Organisasjonen din.
The Data Management workspace in the Workspaces widget
#### Hva du ser i Workspace Hver behandlingsaktivitet vises med nøkkelinformasjon: * **Behandlingsform�l** – Navn eller beskrivelse av behandlingsaktiviteten * **Eier** – Den Ansvarlige personen eller avdelingen * **Datakategori** – Typer data som behandles (personlige, økonomiske, sensitive) * **Den registrerte** – Hvem dataene gjelder (kunder, ansatte, leverandører) * **Tredjepart / Databehandler** – Eksterne parter involvert i behandlingen * **Status** – Nåværende status (Utkast, Aktiv, Under vurdering, Lukket) #### Workspace-funksjoner **Avansert konfigurasjon** tilbyr detaljert filtrering: * Filtrer etter status for å se bare aktive eller under vurdering-behandlinger * Filtrer etter eier for å se dine egne eller teamets behandlingsaktiviteter * Filtrer etter risikokategori for å identifisere høyrisiko-behandling * Filtrer etter type Den registrerte (f.eks. vis bare databehandling av ansatte) **Tabellkonfigurasjon** styrer hvilke kolonner som vises i listen. Dette hjelper deg med å fokusere på informasjon som er relevant for den nåværende oppgaven din. **Administrasjon av forhåndsinnstillinger** lagrer filter- og kolonnekonfigurasjonene dine: * Opprett forhåndsinnstillinger som «Mine Behandlingsaktiviteter» eller «Høyrisiko-Behandling» * Angi en standardforhåndsinnstilling som lastes automatisk når du åpner Workspace * Del navn på forhåndsinnstillinger med kolleger for konsistente rapportvisninger #### Visuelle indikatorer Bruk farger og symboler for raskt å identifisere: * Behandlingsaktiviteter som krever gjennomgang eller oppdatering * Høyrisiko-Behandling som trenger ekstra tilsyn * Nylig lagt til eller endrede oppføringer * Behandlinger med manglende nødvendig informasjon *** ### Opprette en ny Databehandlingsaktivitet #### Slik kommer du i gang 1. Klikk **Databehandling** i hovedmenyen 2. Klikk **Legg til Behandlingsform�l** i øverste høyre hjørne Du blir veiledet gjennom registrering av viktig informasjon om behandlingsaktiviteten.
The Add new data processing button in the Data Management workspace
#### Kjerneinformasjon **Behandlingsnavn** – Et klart og beskrivende navn for aktiviteten: * Bra: «Behandling av lønnsutbetaling for ansatte» * Bra: «Behandling av kundens kredittkortbetaling» * Svakt: «Behandlingsaktivitet 1» * Svakt: «Databehandling» Navnet skal umiddelbart fortelle noen hva som behandles og hvorfor. **Formål** – Grunnen til å behandle disse dataene: * Lønnskjøring * Kundehåndtering * Tjenesteleveranse * Kontraktsoppfyllelse * Juridisk etterlevelse * Markedsføring og kommunikasjon Vær spesifikk om forretningsformålet. Vage formål som «forretningsdrift» gir ikke tilstrekkelig begrunnelse. **Organisasjon / Forretningsdimensjoner** – Knytt behandlingen til: * Avdelingen eller forretningsenheten som er Ansvarlig * Relevante prosesser (f.eks. HR-prosesser, salgsprosesser) * Prosjekter hvis behandlingen er midlertidig eller prosjektspecifikk Disse koblingene hjelper med rapportering og ansvarlighet. #### Datakategorier **Datakategorier** beskriver hvilke typer data som behandles: * Personidentifiserende informasjon (navn, adresser, ID-er) * Finansiell informasjon (bankkontoer, betalingsdetaljer) * Sysselsettingsinformasjon (lønn, prestasjonsvurderinger) * Helseinformasjon * Strafferegisteropplysninger * Biometriske data * Posisjonsdata * Nettidentifikatorer (IP-adresser, informasjonskapsler) Velg alle kategorier som gjelder. Å forstå hvilke data du behandler er grunnleggende for Etterlevelse av GDPR. #### Den registrerte **Den registrerte** identifiserer hvis data som behandles: * Ansatte og jobbsøkere * Kunder og potensielle kunder * Leverandører og forretningspartnere * Besøkende på nettstedet * Barn (krever særlig oppmerksomhet under GDPR) * Annet (spesifiser) Å kjenne Den registrerte hjelper deg med å bruke passende beskyttelse og lagringsregler. #### Juridisk grunnlag og lagring **Juridisk grunnlag** – Den GDPR-tilpassede begrunnelsen for behandlingen: * **Samtykke** – Den enkelte har gitt klart samtykke * **Kontrakt** – Behandling er nødvendig for kontraktsoppfyllelse * **Juridisk forpliktelse** – Behandling kreves av loven * **Vitale interesser** – Behandling beskytter noens liv * **Offentlig oppgave** – Behandling er nødvendig for en oppgave i offentlig interesse * **Legitime interesser** – Behandling er nødvendig for legitime interesser (med interesseavveiing) Velg det juridiske grunnlaget nøye. Hvert av dem har ulike krav og konsekvenser for rettighetene til Den registrerte. **Lagringsperiode** – Hvor lenge data beholdes: * Angi varighet (f.eks. «7 år fra kontraktens slutt») * Forklar hvorfor denne lagringsperioden er nødvendig * Dokumenter grunnlaget for lagringsperioden (juridisk krav, forretningsbehov, bransjestandard) GDPR krever at du ikke beholder data lenger enn nødvendig. Dokumenter lagringsbeslutningene dine og implementer dem konsekvent. #### Tredjepart **Tredjepart** identifiserer eksterne organisasjoner som er involvert i behandlingen: * Skyleverandører * Betalingsformidlere * Markedsføringsplattformer * Leverandører av støttetjenester * Enhver databehandler som håndterer data på dine vegne For hver Tredjepart bør du vedlikeholde: * Databehandleravtale (DPA) * Vurdering av deres Sikkerhetstiltak * Registrering av hvilke data de har tilgang til * Varsel hvis de opplever et brudd #### Lagre behandlingsaktiviteten Klikk **Lagre** for å opprette behandlingsaktiviteten. Den vises nå i Workspace for Databehandling og kan knyttes til risikoer og Kontroller. *** ### Referanse for felter i Databehandling Å legge til en Databehandling består av to trinn: først defineres Grunndataene i Databehandlingsmodulen (de brukes til å fylle ut valgfeltene nedenfor), deretter fylles detaljene for Databehandlingen ut. Detaljskjermen inneholder følgende felt.
The processing details screen of a new data processing
#### Databehandlingsdetaljer * **Behandlingsnavn** — navnet på Databehandlingen. * **Beskrivelse** — beskrivelsen av Databehandlingen. * **Formål** — formålet med Databehandlingen. * **Sikkerhetstiltak** — sikkerhetstiltakene for denne spesifikke Databehandlingen. * **Grunnlag** — velg grunnlaget for Databehandlingen. * **Forklaring på grunnlaget** — forklar det valgte grunnlaget. * **Organisasjon** — Organisasjonen som Databehandlingen gjelder for. * **Forretningsdimensjoner** — forretningsdimensjonene som Databehandlingen gjelder for. * **Rammeverksdimensjoner** — rammeverksdimensjonene som Databehandlingen gjelder for. * **Fjerning** — fjerningsregelen som gjelder; flere elementer kan velges. * **Følsomhet i behandlingen** — følsomheten som gjelder; flere elementer kan velges. * **Generell arkiveringsregel** — en generell arkiveringsregel som gjelder for alle enheter knyttet til denne Databehandlingen. * **Profilering** — kryss av i avmerkingsboksen hvis profilering gjelder for denne Databehandlingen. * **Dataanalyse** — kryss av i avmerkingsboksen hvis dataanalyse gjelder for denne Databehandlingen. #### Datamottakere utenfor EU * **Datamottaker utenfor EU** og **Overføringsvern** — legg til eller slett datamottakere utenfor EU, hver kombinert med et overføringsvern. #### Kilde og levering * **Kilde** og **Levering** — legg til eller slett kilder for Databehandlingen, hver kombinert med en levering. #### Interessenter * **Den registrerte(e)**, **Behandlingsansvarlig(e)** og **Databehandler(e)** — disse feltene viser data hentet fra fanen Administrer datastrukturer (se nedenfor). * **Tredjepart** — velg Tredjepartene som er involvert i Databehandlingen. {% hint style="info" %} Innenfor én Databehandling kan ikke en enhet være Behandlingsansvarlig, Databehandler og Tredjepart samtidig. {% endhint %} #### Vurdering av personvernkonsekvenser * **DPIA kreves** — kryss av hvis en konsekvensvurdering må gjennomføres. Når den er krysset av, blir tre tilleggfelt tilgjengelige: * **Siste DPIA** — datoen for den sist gjennomførte vurderingen. * **DPIA-referanse** — referansen til den sist gjennomførte vurderingen. * **Siste konklusjon av DPIA** — den siste konklusjonen fra den mest nylige vurderingen. Etter at du har fylt inn alle nødvendige detaljer, klikker du **Lagre Databehandling**. ### Administrer datastrukturer Etter at du har lagret detaljene for en Databehandling, blir **Administrer datastrukturer** fanen tilgjengelig. Her registreres enhetene som er involvert i behandlingen, og dataene de håndterer. * **Legge til enheter** — klikk **Legg til enheter** for å legge til én eller flere enheter i Databehandlingen. Hver enhet blir enten en **(databehandler)** eller en **Behandlingsansvarlig**, avhengig av de forhåndsdefinerte Grunndataene. Når en enhet først er gjort til Databehandler for en Databehandling, kan den ikke gjøres til Behandlingsansvarlig i den samme Databehandlingen. * **Systemer** — når en enhet er gjort til Databehandler eller Behandlingsansvarlig, kan et system legges til, avhengig av om det kreves systemer for den enheten. * **Håndtering av data** — **Administrer data** knappen åpner en skjerm der flere registrerte og flere datastrukturer kan legges inn samtidig for enheten eller systemet. Når et tre av datastrukturer legges til, blir ikke roten av treet lagt til enheten. * **Arkiveringsregel per struktur** — når de registrerte og strukturene er valgt, kan en spesifikk arkiveringsregel legges til per datastruktur via ikonet i kolonnen for arkiveringsregel. Som standard vises teksten fra **Generell arkiveringsregel** feltet i detaljfanen, men den kan redigeres per struktur her. Når alle detaljene er riktige, lagrer du Databehandlingen.
The Adding Entities pop-up on the Manage Data Structures tab
Entities added as (sub)processor and data controller, with systems
Adding data subjects and data structures for an entity
Editing the archive policy per data structure
The completed Manage Data Structures tab with connected data structures
### Forbedringstiltak for Databehandling Det er to måter å opprette et Databehandling MoI på: 1. **Via en Databehandling** — når en Databehandling åpnes, er **Koblinger – Forbedringstiltak** fanen tilgjengelig. Via **Legg til MoI** knappen kan et MoI opprettes; etter at fanen er lastet inn på nytt, er det opprettede MoI-et synlig. Flere MoI-er kan opprettes og knyttes på denne måten. 2. **Via MoI-arbeidsområdet** — når du oppretter et nytt MoI i MoI-arbeidsområdet, setter du **Kilde** til Databehandling; deretter kan en Databehandling velges som kilde for MoI-et. Det opprettede MoI-et er synlig i den valgte Databehandlingen i **Koblinger – Forbedringstiltak** fanen. Se [Forbedringstiltak](https://docs.cerrix.com/cerrix-functionalities/module-overview/business-improvement-management/measures-of-improvement-mois) for mer om arbeid med MoI-er.
The Links – Measures of Improvements tab of a data processing
Selecting a data processing as the source of a MoI
### Kobling av risikoer, kontroller og dokumenter Kontroller og risikoer kan knyttes til en Databehandling for å redusere den: åpne Databehandlingen, gå til **Kontroll** eller **Risikoer** fanen, og klikk **Vis koblingsbare kontroller** (eller risikoer). Knytt et element ved å dra det til den koblede kolonnen; når det er mange elementer, bruk filtrene. Kobling er mulig innenfor samme Organisasjon, og krever at Databehandling-rollen kombineres med en Kontroll- eller Risiko-rolle (se rettighetstabellen ovenfor). Dokumenter legges til via **Dokumenter** fanen: klikk **Legg til dokument**, bla til den eller de relevante filene, velg eventuelt dokumenttype og skriv inn en beskrivelse, og klikk **Legg til dokument(er)**.
Linking controls to a data processing
The Documents tab of a data processing
### Kobling av risikoer, kontroller og tredjepart Databehandling er ikke isolert – den henger sammen med de bredere programmene for risikostyring og leverandørstyring. Disse koblingene gir et komplett bilde av datastyring. #### Kobling av risikoer 1. Naviger til **Koblede Risikoer** fanen i behandlingsaktiviteten din 2. Klikk for å legge til eller knytte Risikoer 3. Velg eller opprett Risikoer som: * Personvernbrudd eller uautorisert tilgang * Datatap eller korrupsjon * Manglende etterlevelse av krav til lagring * Overdreven eller upassende innsamling av data * Svikt hos tredjepartsbehandlere Disse risiko-koblingene hjelper deg med å: * Forstå hva som kan gå galt med databehandlingen * Prioritere sikkerhetsinvesteringer * Demonstrere risikobasert databeskyttelse * Koble datastyring til virksomhetens risikostyring #### Kobling av kontroller 1. Naviger til **Koblede Kontroller** fane 2. Legg til kontroller som reduserer risikoer knyttet til databehandling: * Kryptering av personopplysninger i hvile og under overføring * Tilgangskontroller og autentisering * Rutiner for sikkerhetskopiering og gjenoppretting av data * Overvåking og logging av datatilgang * Rutiner for avviksrespons * Kontroller for innebygd personvern Ved å koble kontroller viser du at du ikke bare dokumenterer behandlingen, men aktivt beskytter data. #### Håndtering av tredjepartsforhold 1. Naviger til **Tredjepart** fane 2. Legg til eller koble eksterne behandlere 3. For hver tredjepart, dokumenter: * Databehandlingsavtale (DPA) eller kontrakt * Dato for siste sikkerhetsvurdering * Hvilke data de har tilgang til * Hvilken behandling de utfører * Deres underbehandlere (hvis aktuelt) * Rutiner for varsling av avvik Håndtering av tredjepart er et kritisk krav i GDPR. Du forblir ansvarlig for data selv når andre behandler dem på dine vegne. #### Det komplette bildet Når du har koblet risikoer, kontroller og tredjepart, blir behandlingsaktiviteten din en omfattende datastyringspost som viser: * Hvilke data som behandles og hvorfor (rettslig grunnlag) * Hvem som er ansvarlig (dataeier) * Hva som kan gå galt (risikoer) * Hvilke beskyttelser som finnes (kontroller) * Hvem som hjelper til med å behandle dataene (tredjepart) * Hvor lenge data oppbevares (lagringstid) Denne fullstendigheten er akkurat det revisorer og tilsynsmyndigheter ønsker å se. *** ### Den registrertes rettigheter og konsekvensvurderinger #### Den registrertes rettigheter Når du behandler personopplysninger, har enkeltpersoner rettigheter i henhold til GDPR: * **Rett til innsyn** – Gi kopier av dataene deres * **Rett til retting** – Korrigere uriktige data * **Rett til sletting** – Slette data under visse forhold * **Rett til begrensning** – Begrense behandlingen under visse forhold * **Rett til dataportabilitet** – Gi data i maskinlesbart format * **Rett til å motsette seg** – Stoppe behandlingen for visse formål Dokumenter i behandlingsaktivitetene dine: * Hvordan du håndterer forespørsler fra den registrerte * Forventede responstider * Hvem som er ansvarlig for å svare * Hvilke tekniske muligheter som finnes for å oppfylle rettigheter #### Personvernkonsekvensvurderinger (DPIA) Behandling med høy risiko kan kreve en DPIA i henhold til GDPR. Vurder en DPIA når: * Behandling av store mengder sensitive data * Systematisk overvåking av offentlige områder * Behandling av data om sårbare personer * Bruk av ny teknologi * Å ta automatiserte beslutninger med rettsvirkninger CERRIX kan lagre DPIA-dokumenter knyttet til behandlingsaktiviteter. Dette sikrer at konsekvensvurderinger er lett tilgjengelige og integrert med risikostyring. *** ### Periodisk gjennomgang og oppdateringer Databehandlingsaktiviteter er ikke statiske. Regelmessige gjennomganger sikrer at informasjonen forblir nøyaktig og i samsvar. #### Når du bør gjennomgå Planlegg gjennomganger når: * Rettslige grunnlag eller formål endres * Nye tredjepartsbehandlere legges til * Datakategorier eller registrerte endres * Lagringsperioder må justeres * Betydelige sikkerhetshendelser oppstår * Nye regler påvirker behandlingen Vi anbefaler årlige gjennomganger som et utgangspunkt, med hyppigere gjennomganger for behandling med høy risiko. #### Sjekkliste for gjennomgang Under gjennomganger, kontroller: * ✓ Beskrivelsen av behandlingen er fortsatt nøyaktig * ✓ Rettslig grunnlag er fortsatt passende * ✓ Dataminimering er brukt (samler ikke inn mer enn nødvendig) * ✓ Lagringsperiodene er begrunnet og implementert * ✓ Avtalene med tredjepart er oppdaterte * ✓ Koblede kontroller er effektive * ✓ Rutiner for den registrertes rettigheter fungerer * ✓ Ingen uautoriserte endringer i behandlingen har skjedd Dokumenter resultatene av gjennomgangen og eventuelle nødvendige oppdateringer. *** ### Rapportering via Direct Data API Ved siden av Workspace-eksporten er databehandlingsregistrene tilgjengelige for rapporteringsverktøy som Power BI via Direct Data API: ett datasett returnerer behandlingsdetaljene, inkludert de koblede MoI-ene, risikoene og kontrollene, og et andre datasett returnerer de forvaltede datastrukturene. Se [API-dokumentasjon](https://docs.cerrix.com/cerrix-functionalities/admin-settings/api-documentation) for en oversikt. ### Beste praksis #### Vær spesifikk i beskrivelsene Vage behandlingsbeskrivelser oppfyller ikke GDPR-kravene. Sammenlign: **Svakt:** "Vi behandler kundedata for forretningsformål" **Sterkt:** "Vi behandler kundenes navn, e-postadresser og kjøpshistorikk for å oppfylle bestillinger, sende fraktvarsler og yte kundestøtte i 2 år etter siste kjøp" Den sterke beskrivelsen forklarer hva, hvorfor og hvor lenge – essensielt for åpenhet og etterlevelse. #### Bruk dataminimering Samle og behandle bare data du faktisk trenger. Før du legger til en ny datakategori i en behandlingsaktivitet, spør: * Er disse dataene nødvendige for det angitte formålet? * Kunne vi oppnå samme formål med mindre data? * Finnes det alternativer som ivaretar personvernet (aggregering, anonymisering)? Dataminimering reduserer risiko og forenkler etterlevelse. #### Oppretthold oppdaterte tredjepartsregistre Utdaterte tredjepartsopplysninger skaper etterlevelsesrisiko. Når et behandlerforhold endres: * Oppdater CERRIX umiddelbart * Sørg for at nye DPA-er er signert * Vurder nye behandleres sikkerhetspraksis * Dokumenter endringen i historikken for behandlingsaktiviteten Ikke vent til de årlige gjennomgangene med å oppdatere behandleropplysninger. #### Knytt til rammeverk for risiko og kontroll Integrert styring er mer effektiv enn isolerte systemer. Koble databehandling til: * Risikoregistre (personvernrisikoer) * Kontrollkataloger (databeskyttelseskontroller) * Avvikshåndtering (respons på personvernbrudd) * Revisjonsprogrammer (revisjoner av databeskyttelse) Disse koblingene viser helhetlig datastyring og reduserer dobbelt dokumentasjon. #### Dokumenter rettslige grunnlag nøye Å velge feil rettslig grunnlag skaper betydelig etterlevelsesrisiko. Hvis du er usikker: * Rådfør deg med juridiske eller personvernfaglige eksperter * Dokumenter begrunnelsen for det valgte grunnlaget * Vær særlig forsiktig med "berettigede interesser" – det krever en interesseavveining * Husk at samtykke må være frivillig gitt og enkelt kunne trekkes tilbake #### Hold lagringspolicyene realistiske Ikke sett vilkårlig lange lagringsperioder "for sikkerhets skyld." Begrunn lagringen med: * Juridiske eller regulatoriske krav * Forretningsmessig nødvendighet * Bransjestandarder Implementer deretter lagringsperioden med automatisk sletting eller arkivering. *** ### Øvelser #### Øvelse 1: Opprett en ny behandlingsaktivitet 1. Opprett en ny databehandlingsaktivitet i opplæringsmiljøet 2. Fyll ut alle nødvendige felt: * Navn på behandlingen: Velg noe realistisk (f.eks. "Databehandling av ansattes medarbeidersamtaler") * Formål: Tydelig erklæring om hvorfor behandlingen skjer * Organisasjons- / forretningsdimensjoner: Koble til en avdeling * Datakategorier: Velg relevante typer * Registrerte: Hvem dataene gjelder * Rettslig grunnlag: Velg riktig * Lagringsperiode: Angi varighet og begrunnelse 3. Lagre behandlingsaktiviteten #### Øvelse 2: Koble risikoer og kontroller 1. Åpne den nylig opprettede behandlingsaktiviteten din 2. Naviger til **Koblede Risikoer** fane 3. Legg til minst én risiko (f.eks. "Uautorisert tilgang til data om medarbeidersamtaler") 4. Naviger til **Koblede Kontroller** fane 5. Legg til minst én kontroll som reduserer risikoen (f.eks. "Rollebasert tilgangskontroll til HR-systemet") 6. Kontroller at koblingene er synlige i behandlingsaktiviteten #### Øvelse 3: Gjennomfør en gjennomgang 1. Velg en eksisterende behandlingsaktivitet (din eller et opplæringseksempel) 2. Gjennomgå alle felt for nøyaktighet og fullstendighet 3. Kontroller at: * Beskrivelsen av behandlingen er fortsatt nøyaktig * Det rettslige grunnlaget er fortsatt passende * Lagringsperiodene er begrunnet * Tredjepartsopplysningene er oppdaterte (hvis aktuelt) 4. Oppdater statusen om nødvendig (f.eks. merk som "Under gjennomgang" mens du kontrollerer, og gå deretter tilbake til "Aktiv") 5. Dokumenter eventuelle endringer i kommentarfeltet eller notatdelen --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/module-overview/data-management.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.