Datatilsynet og GDPR: hvem fører tilsyn med virksomheten din?

Hva Datatilsynet gjør, og hva de ikke gjør

Datatilsynet er et faglig uavhengig forvaltningsorgan som veileder om og fører tilsyn med personopplysningsloven med forskrifter. Tilsynet forvalter også særlovgivning på justis- og helsesektoren. Det er administrativt underlagt et departement, mens vedtak kan påklages til et uavhengig organ, slik at tilsynsrollen ikke avgjøres av samme instans som først har vurdert saken.

I praksis har Datatilsynet flere verktøy: de publiserer veiledning, behandler klager fra privatpersoner, fører kontroll, krever informasjon, gir pålegg og kan reagere med sanksjoner når reglene brytes. For deg som driver virksomhet betyr det at GDPR ikke bare er interne rutiner og et dokument som ligger i en mappe. Regelverket får konsekvenser utenfra dersom noen klager eller tilsynet tar kontakt.

Samtidig er det en grense mange blander sammen. Datatilsynet er ikke virksomhetens interne rådgiver. De kan ikke ta over ansvaret for å velge riktig behandlingsgrunnlag, skrive personvernerklæringen din eller lage rutinene deres. Ansvarligheten etter GDPR ligger hos virksomheten selv, og prinsippet om ansvarlighet er nettopp kjernen i regelverket.

Det er derfor lurt å begynne med det som er ditt eget ansvar, ikke med det du håper tilsynet skal ordne for deg. GDPR-sjekkliste og maler for små bedrifter gir en praktisk rekkefølge for oversikt, grunnlag, dokumentasjon og rutiner.

GDPR er felles regelverk, personopplysningsloven er den norske varianten

Personopplysningsloven består av nasjonale regler og EUs personvernforordning, også kalt GDPR. Forordningen er et felles regelsett for alle EU- og EØS-land, og den gjelder i Norge fordi den er gjennomført i norsk lov gjennom EØS-avtalen. Det er altså ikke to parallelle systemer der du kan velge det som passer best.

Det praktiske poenget er at pliktene er de samme her som i EU: du må ha et rettslig grunnlag for behandlingen, holde oversikt over hva du behandler, ivareta de registrertes rettigheter, håndtere avvik og vurdere risiko. Nasjonale særregler kommer i tillegg på enkelte områder, men grunnmuren er identisk.

Derfor er det lite å hente på å lete etter en norsk snarvei. Når du beskriver hvem som gjør hva i en databehandling, gjelder de samme begrepene i hele EØS. Behandlingsansvarlig og databehandler etter GDPR: hvem er hvem? forklarer skillet som avgjør ansvaret når du bruker leverandører, byråer eller verktøy på nettstedet.

Hvem fører tilsyn når virksomheten opererer i flere land?

Hvert EØS-land har sin egen tilsynsmyndighet, og i Norge er det Datatilsynet. Når en virksomhet behandler personopplysninger om personer i flere land, samarbeider tilsynsmyndighetene i stedet for å føre helt separate løp mot samme virksomhet.

Hovedregelen er at en virksomhet med hovedvirksomhet i ett EØS-land i hovedsak forholder seg til tilsynsmyndigheten der, også når behandlingen berører personer i andre land. For en norsk nettbutikk med kunder i Sverige, Danmark eller Tyskland er dermed Datatilsynet utgangspunktet, mens kundene beholder sine rettigheter uansett hvor de bor.

GDPR beskytter alle som befinner seg i EØS, uavhengig av statsborgerskap. Det betyr at du ikke kan ha en enklere praksis for kunder med utenlandsk bakgrunn, og at informasjonen du gir om personvern må kunne forstås av dem den gjelder.

På EU-kommisjonens nettsider finnes informasjon om forordningen rettet mot både virksomheter og privatpersoner, mens Datatilsynet har veiledning tilpasset norske forhold og norsk særlovgivning. Bruk begge, men husk at det er den norske gjennomføringen som gjelder for virksomheten din.

Når noen klager, og når tilsynet tar kontakt

De fleste saker starter ikke med en kontroll. De starter med en henvendelse fra en kunde eller ansatt som mener rettighetene deres er brutt. Det kan handle om manglende innsyn, feil opplysninger, at data er delt med noen de ikke skulle deles med, eller at opplysninger ikke er slettet når de ikke lenger trengs.

Slike henvendelser skal besvares innen fristen regelverket setter, og du skal kunne vise hvordan du har vurdert den. Har du ingen rutine, blir svaret ofte formet av den som tilfeldigvis leste e-posten den dagen, og da varierer svarene fra sak til sak.

Datatilsynet kan også føre kontroll og kreve informasjon. Da er det dokumentasjonen du allerede har som teller: oversikt over behandlinger, behandlingsgrunnlag, avtaler med databehandlere, beskrivelse av sikkerhetstiltak og rutiner for avvik. GDPR og kryptering: hva kreves? går gjennom hvordan sikkerhetstiltak bør begrunnes ut fra risiko, ikke bare nevnes som stikkord.

For nettsteder er informasjonskapsler og samtykke det området flest henvendelser gjelder i praksis. Informasjonskapsler på nettsiden: dette sier reglene viser hva som må være på plass før du setter sporingsverktøy på besøkende, og hva som skiller nødvendige kapsler fra de som krever samtykke.

Fire misforståelser om tilsyn og ansvar

Den første er at Datatilsynet skal godkjenne personvernerklæringen din. Det finnes ingen slik godkjenning. Erklæringen er din egen redegjørelse for hva du gjør med personopplysninger, og ansvaret for at den er riktig og oppdatert ligger hos deg.

Den andre er at reglene bare gjelder store selskaper. Personopplysningsloven gjelder alle som behandler personopplysninger, men omfanget av dokumentasjonen kan tilpasses virksomhetens størrelse og hva den faktisk gjør. GDPR for små bedrifter og foreninger viser hva som er et fornuftig minimum for en liten virksomhet.

Den tredje er at GDPR er noe som først skal innføres i Norge ved en senere anledning. Forordningen gjelder allerede som norsk rett gjennom personopplysningsloven, og Datatilsynet håndhever den aktivt overfor norske virksomheter.

Den fjerde er at personvern er en oppgave for IT-leverandøren eller den som tilfeldigvis har ansvar for nettsiden. Ansvarlighet etter GDPR ligger på virksomheten som sådan, og ledelsen må kunne svare for hvordan personopplysninger behandles og sikres.

Hva du bør ha på plass, uansett størrelse

Du trenger ikke gjøre alt på en gang, men du bør kunne svare skriftlig på fire spørsmål: hvilke personopplysninger du behandler og hvorfor, hvilket grunnlag du har, hvem som behandler dem på dine vegne, og hvordan de er sikret. Klarer du det, har du dekket det tilsynet oftest spør om først.

Deretter bør du ha en personvernerklæring som stemmer med det du faktisk gjør, en rutine for henvendelser om innsyn og sletting, og en rutine for hva som skjer ved avvik. Det er dette som gjør at du svarer likt hver gang, uavhengig av hvem i bedriften som får spørsmålet.

Mye av dette handler om hvordan nettstedet er satt opp. På Nettsagas tjeneste for nettside bygges personvernerklæring, samtykke for informasjonskapsler og skjemaer med dokumentert behandlingsgrunnlag inn som en del av leveransen, slik at rutinene henger sammen med løsningen du faktisk bruker. Vil du se hvordan det ser ut for din bedrift, kan du book en demo.

Vanlige spørsmål

Hvem fører tilsyn med GDPR i Norge?

Datatilsynet. De veileder om regelverket, behandler klager fra privatpersoner, fører kontroll, krever informasjon og kan gi pålegg og sanksjoner når personopplysninger behandles i strid med reglene.

Gjelder GDPR i Norge selv om Norge ikke er medlem av EU?

Ja. Personvernforordningen er gjennomført i norsk rett gjennom EØS-avtalen og personopplysningsloven, og gjelder derfor for virksomheter som behandler personopplysninger i Norge.

Er Datatilsynet rådgiveren min?

Nei. Datatilsynet veileder på generelt grunnlag, men er ikke virksomhetens interne rådgiver. Valg av behandlingsgrunnlag, utforming av personvernerklæring og rutiner er virksomhetens eget ansvar.

Kan Datatilsynet gi overtredelsesgebyr til en liten bedrift?

Regelverket gjelder uavhengig av størrelse, men et eventuelt overtredelsesgebyr vurderes blant annet ut fra overtredelsens art og alvor og virksomhetens størrelse. For en liten virksomhet er det viktigste å kunne vise dokumenterte vurderinger og rutiner.

Må jeg melde et databrudd til Datatilsynet?

Ved brudd på personopplysningssikkerheten som kan medføre risiko for de registrerte, skal du varsle tilsynet innen fristen regelverket setter. Vurderingen bør være skriftlig, også når du kommer til at det ikke skal varsles.