Risikoen vurderes inne i protokollen, og hver funksjon er ett ord unna

Fire manglende funksjoner, tre av dem fantes

Et personvernombud brukte plattformen i noen dager og sendte en liste over ting som etter hennes mening ikke fantes: avviksprotokollen, risikovurderingen, dokumentopplastingen og prisene. Tre av de fire hadde vært der i måneder. Prisene ligger på en side som nås fra menyen; avvik og dokumenter ligger inne i klientmappen, og det er riktig sted, for et avvik gjelder en behandlingsansvarlig og ikke kontoret.

Man kunne svart ved å forklare hvor de ligger. Det ville vært feil svar. Når en erfaren fagperson leter og ikke finner, er ikke problemet fagpersonen: seksjoner som ligger inne i en klient, vises ingen steder før du åpner en klient. Ut av dette kom to ting: funksjonen som virkelig manglet, og en måte å finne alle de andre på.

Risikoen etter art. 32, i protokollen der den trengs

Art. 32 nr. 1 krever egnede tiltak «tatt i betraktning» risikoen «med varierende sannsynlighet og alvorlighetsgrad», og nr. 2 nevner hendelsene man skal se på: ulovlig ødeleggelse, tap, endring, utlevering eller tilgang. Fram til i går inneholdt protokollen tiltak uten å si hva de beskyttet mot. Nå har hver behandling tre linjer — ulovlig tilgang til opplysningene, uønsket endring, tap eller manglende tilgjengelighet — og for hver av dem angir du hvor sannsynlig og hvor alvorlig det ville være, i fire grader: ubetydelig, begrenset, betydelig, maksimal.

• Sammendraget tar den høyeste av de tre dimensjonene, ikke gjennomsnittet: en maksimal risiko for tap av opplysninger oppveies ikke av en ubetydelig endringsrisiko, og et gjennomsnitt ville skjult den.
• Restrisikoen — det som blir igjen etter tiltakene — fylles bare ut hvis du vil: den ligger bak en avkrysningsboks, fordi å oppgi den uten å ha vurdert den ordentlig er verre enn å la den stå tom.
• Blir risikoen høy og det ikke er angitt noe tiltak for behandlingen, sier skjemaet fra. Det blokkerer deg ikke: det sier det.
• Når risikoen er betydelig eller maksimal, vises en henvisning til konsekvensvurderingen etter art. 35, og vurderingen du allerede har gjort, hentes inn av DPIA-modulen i stedet for å fylles ut på nytt.

Ett ord, og du er framme

Ctrl K, eller Cmd K på Mac, åpner et søkevindu over enhver side; det finnes også en knapp øverst i menyen og en i topplinjen på telefonen. Du skriver et hvilket som helst ord, og treffene dukker opp, sortert, med en linje under som sier hvor de ligger. Det er 29 steder: 19 menyseksjoner og 10 temaer som ligger inne i klientmappen. Velger du ett av de ti, spør søket hvilken klient og tar deg dit; er det bare én klient, spør det ikke om noe.

• Det søker i etiketten på alle ni språk, ikke bare det aktive: den som lærte faget av engelske tekster, skriver «breach» og finner avvikene også med norsk grensesnitt.
• Det forstår artikkelnumre og forkortelser: «art. 30», «art. 33», «72», «DPIA», «DSAR», «SCC», «RoPA», «Schrems».
• Det bryr seg ikke om entall eller flertall: «avvik» finner «Avvik».
• Det finner også klienter etter navn og bransje.
• Det legger ikke til en eneste databaselesning: klientlisten er den menyen allerede holder i minnet for å telle frister.

Begge tilleggene kom ut av en gratis prøveperiode og av én person som tok bryet med å skrive ned hva som ikke fungerte. Hvis noe bremser deg i arbeidet, hjelper det virkelig å si fra.