Data Protection Impact Assessment (DPIA)
Sidst opdateret: maj 2026 · Næste review: november 2026
🛡️ Hvad er DPIA?
En Data Protection Impact Assessment er en formel vurdering af risici ved behandling af personoplysninger. Krævet under GDPR Artikel 35 når behandlingen sandsynligvis medfører høj risiko for datasubjekter.
Tallyx udfører DPIA fordi vi behandler CPR-numre (lønningsmodul) + anvender AI til bilag-OCR. Begge udløser DPIA-pligten iht. Datatilsynets vejledning.
Sammenfatning
| Behandling | Persondata-kategori | Restrisiko efter foranstaltninger |
|---|---|---|
| Lønningsdata med CPR | Identifikation (CPR), bank, løndata | 🟡 Middel → lav efter Fernet-kryptering + RLS + 5-min UI-window for klartekst |
| AI-OCR af bilag | Typisk kun forretningsdata, sjældent personnavne | 🟢 Lav — kører på lokal LLM (ingen cloud-AI), kun assist-rolle, brugeren skal godkende |
| Audit-trail af handlinger | User-ID, IP, user-agent, action | 🟢 Lav — kun til sikkerhed/compliance, ikke profiling, 5-års retention iht. §12 |
Hovedforanstaltninger
- Fernet-kryptering af CPR (AES-128 + HMAC-SHA256) — klartekst findes kun i RAM under aktiv beregning
- Lokal LLM (supergemma4 på vores egen GPU) — ingen kundedata til OpenAI/Anthropic/Google
- PostgreSQL Row-Level Security med FORCE — selv superuser-rollen kan ikke se anden tenants data
- 5-tier backup (4× lokalt + Hetzner EU) med månedlig automatisk restore-drill
- EU-only data-lokation — ingen overførsler udenfor EU, ingen CLOUD Act-eksponering
- Refresh-token reuse detection — stjålet token detekteres og revokerer hele chain'en
- Audit-trail med tamper-detection — append-only, IP+user-agent logges ved skrive-handlinger
Brud-procedure
Ved sikkerhedsbrud: ejer vurderer indenfor 12 timer, notificerer Datatilsynet via virk.dk indenfor 72 timerhvis "høj risiko" (GDPR Art. 33), og påvirkede datasubjekter får email indenfor 72 timer hvis bruddet vedrører dem (Art. 34).
Næste skridt
- Halvårligt review: november 2026
- Ad-hoc review ved alle ændringer der påvirker behandlinger (ny AI-model, ny tredjepart, ny kategori af data)
- Pen-test af eksternt firma før formel Erhvervsstyrelsen-godkendelse
Spørgsmål?
Skriv til [email protected]. Vi har den fulde DPIA tilgængelig som markdown-download ovenfor og kan også sende den i Word/PDF-format på anmodning fra revisor eller compliance-officer.