Kort sagt: Spørgsmålet er sjældent, om SharePoint og OneDrive er “GDPR-sikre”. Det er, hvad der ligger i dem, og hvem der kan åbne det. Microsoft 365 Business Basic og Standard har ikke Purview DLP, som kan finde CPR-numre automatisk, så de fleste små virksomheder har intet overblik.

Er OneDrive GDPR-sikkert?

Microsoft er databehandler for jeres Microsoft 365, og der findes en databehandleraftale. Men GDPR-ansvaret forindholdet ligger hos jer som dataansvarlig: at I har hjemmel til de CPR-numre, I gemmer, at adgangen er begrænset, og at I sletter, når formålet er opfyldt (GDPR artikel 5 og 32). Et sikkert lager hjælper ikke, hvis en lønliste er delt med “alle med linket”.

Hvor gemmer CPR-numrene sig?

  • Gamle eksporter: løn, økonomi, CRM og medlemssystemer eksporteret til Excel eller CSV “bare lige for at tjekke noget”.
  • Personlige OneDrive-mapper: en medarbejders kopi af en ansættelseskontrakt, en lønseddel eller en scannet ansøgning, delt med en ekstern revisor for tre år siden.
  • Teams-filer: filer delt i en kanal ligger i SharePoint og arver kanalens adgang, også for gæster.
  • Skjulte steder: regnearksfaner, kommentarer, sidehoveder, noter i præsentationer og signaturer i PDF’er.

Delingen er risikoen

En fil med CPR-numre i en mappe, kun lønansvarlig kan åbne, er en lav risiko. Den samme fil delt med “alle med linket” eller med en ekstern mailadresse er et potentielt brud på persondatasikkerheden. I SharePoint og OneDrive er der tre ting at kigge efter:

DelingHvem kan åbneRisiko
Alle med linket (anonym)Enhver, der får linket videresendtHøj
Personer i organisationenAlle ansatte med linketMiddel
Bestemte personer, også eksterneDe navngivne, fx en tidligere revisorAfhænger af hvem

Hvad med Microsofts egne værktøjer?

Microsoft Purview har en færdig “Denmark personal identification number”-type, som DLP-politikker kan bruge til at finde og blokere CPR-numre. Men Purview DLP for SharePoint og OneDrive følger med i Microsoft 365 Business Premium, E3 og E5, ikke i Business Basic eller Business Standard. Og selv med Premium kræver overblikket over, hvor numrene ligger i dag (Content Explorer), typisk E5 eller et tilkøb, og opsætningen er ofte konsulentarbejde.

Sådan kommer I i gang uden DLP

  1. Start med delingerne. I SharePoint-administrationen kan I se og stramme delingsindstillingerne for hvert websted, fx slå “alle med linket” fra. For den enkelte fil viser “Administrer adgang”, hvem den er delt med.
  2. Stikprøver. Tag de mest oplagte filer (løn, HR, medlemmer, ansøgninger) og tjek dem for CPR-numre. Tjekket kører i browseren, så filerne bliver hos jer.
  3. Ryd op. Slet det, I ikke har brug for, flyt resten til et bibliotek med begrænset adgang, og fjern gamle links.
  4. Gentag. Nye eksporter kommer til hver måned. Et engangstjek holder ikke.

Sporlock til Microsoft 365

Vi bygger en version, der scanner SharePoint og OneDrive i jeres tenant, viser hvem der kan åbne hver fil med CPR-numre, og lukker delingen med ét klik. Den er lavet til virksomheder på Business Basic og Standard. Første scanning er gratis; oprydning fra 19 kr. pr. bruger pr. måned.Skriv dig op til tidlig adgang.

Kilder

  1. Microsoft Learn: Microsoft Purview service description (licensing)
  2. Microsoft Learn: Denmark personal identification number (Purview sensitive information type)
  3. Datatilsynet: Klage over offentliggørelse af personnummer på kommunal hjemmeside (2021)
  4. Datatilsynet: Rettighedsstyring
  5. Databeskyttelsesloven § 11 (danskelove.dk)
  6. Databeskyttelsesforordningen (GDPR), forordning (EU) 2016/679 (EUR-Lex)

Ikke juridisk rådgivning: artiklen er generel information og erstatter ikke en vurdering af jeres konkrete situation. Spørg en advokat eller jeres databeskyttelsesrådgiver, hvis I er i tvivl.