GDPR for små bedrifter og foreninger: minimumet du faktisk må ha på plass

Hvem gjelder GDPR for i praksis?

GDPR gjelder alle virksomheter som samler inn og behandler personopplysninger, uavhengig av størrelse eller bransje. En håndverker med to ansatte, en nettbutikk drevet fra et kontor i kjelleren og et idrettslag med medlemsliste er alle omfattet. Det er behandlingen som avgjør, ikke omsetningen eller antall ansatte.

Behandling er et vidt begrep. Det dekker kundelisten, e-postkorrespondanse, fakturaadresse, telefonnummer, bilder fra et oppdrag, ansattes personalopplysninger, vaktlister og opptak fra kamera i lokalet. Så snart opplysningene kan knyttes til en person, gjelder reglene.

For hver behandling trenger du et rettslig grunnlag. Det kan være avtale med kunden, rettslig forpliktelse, berettiget interesse eller samtykke. Samtykke er ikke standardvalget. Det er grunnlaget du bruker når ingen av de andre passer, og det må kunne trekkes tilbake like enkelt som det ble gitt. Trenger du en rask innføring i hva reglene faktisk handler om, finnes en enkel forklaring for bedrifter.

Minimumet du bør ha på plass

Du trenger en oversikt over hvilke personopplysninger du behandler, hvorfor, hvor de lagres og hvem som har tilgang. Hovedregelen er at virksomheter skal føre en slik behandlingsprotokoll. Det finnes et unntak for virksomheter med færre enn 250 ansatte, men unntaket faller bort når behandlingen ikke er leilighetsvis, når den kan medføre risiko, eller når den omfatter særlige kategorier av opplysninger. For de fleste små bedrifter betyr det i praksis at protokollen skal føres.

Du trenger en personvernerklæring som beskriver det du faktisk gjør. Kopierte maler som lover mer enn du holder, er verre enn en kort og presis tekst skrevet for din virksomhet. Lenk til den fra skjemaer, påmeldinger og bunnteksten, slik at den er lett å finne uten å lete.

Du trenger en rutine for avvik. Hvem skal varsles internt, hvem vurderer om hendelsen skal meldes videre, og hvor dokumenterer dere vurderingen? En halv side er nok, men den må være kjent for dem som faktisk jobber hos deg.

I tillegg kommer databehandleravtale med leverandører som ser personopplysninger på dine vegne, tilgangsstyring slik at ansatte bare ser det de trenger, og oppdaterte systemer. GDPR-krav for bedrifter går gjennom punktene én for én, og sjekklisten og malene for små bedrifter gjør dem om til noe du kan fylle ut.

Kartlegg før du kjøper verktøy

En vanlig feil er å begynne med innkjøp. Kartleggingen bør komme først, fordi den avgjør hva du faktisk trenger. Start smått og systematisk: sett et tydelig mål for gjennomgangen, bestem hvem som har ansvar, og sett en dato for når arbeidet skal være ferdig.

Gå gjennom dataflyten i rekkefølge. Hvor kommer opplysningene fra? Hvor lagres de? Hvem har tilgang? Hvor lenge blir de liggende, og hva skjer når en kunde eller et medlem ber om innsyn eller sletting? Et regneark med én linje per behandling er tilstrekkelig for de fleste små virksomheter.

Prioriter etter risiko. Lønn, helseopplysninger og opplysninger om barn veier tyngre enn en e-postadresse på en nyhetsliste. Færre systemer gir mindre å holde styr på, så rydd bort verktøy du ikke bruker før du vurderer nye. Dokumenter tiltakene du setter i gang, med ansvar og frist, slik at gjennomgangen ikke ender som en liste med gode intensjoner.

Nettsiden: skjemaer, informasjonskapsler og tredjepart

Alt som samler inn opplysninger på nettsiden er behandling. Det gjelder kontaktskjema, påmelding, nyhetsbrev, bestillingsflyt og chat. Alle henvendelser som kommer inn via skjema, bør ha en kort forklaring på hva opplysningene brukes til, og en lenke til personvernerklæringen rett ved skjemaet.

Informasjonskapsler og sporingsverktøy krever egne vurderinger. Analyse og annonsering setter ofte kapsler som ikke er strengt nødvendige for at siden skal fungere, og da må samtykke håndteres ryddig og på en måte brukeren faktisk forstår. Reglene om informasjonskapsler og samtykke forklarer forskjellen på det som er nødvendig og det som krever aktivt samtykke.

Sjekk også det tekniske. HTTPS, kryptert lagring der det er relevant, og innstillinger som ikke lar hvem som helst eksportere kundelisten. GDPR og kryptering går gjennom hva som faktisk kreves og hva som er god praksis. Husk at tredjeparter du bygger inn, som kart, betalingsløsninger, bookingverktøy og captcha, også behandler opplysninger på dine vegne, og at du selv må vurdere om captcha-bruken er lovlig.

Foreninger: medlemslister, bilder og frivillige

Foreninger behandler ofte mer enn de tror. Medlemsregister, kontingent, påmeldingslister, dugnadsoversikter, kontaktinfo til foresatte og bilder fra arrangement er alle personopplysninger. Reglene er de samme som for bedrifter, men datamengdene er mindre og oversikten enklere å få på plass.

Bilder er en klassisk felle. Å publisere bilder av identifiserbare personer på nettsiden eller i sosiale medier krever et grunnlag, og for barn må foresatte samtykke. Spør før du publiserer, og ha en rutine for å fjerne bilder når noen ber om det.

Medlemslister skal ikke deles ut til alle, og de skal slettes når medlemmet melder seg ut, med mindre annet følger av lov. Oppbevar bare det du trenger for kontingent, kommunikasjon og aktivitet, og vær bevisst på hvem i styret som har tilgang til listene mellom møtene.

Slik kommer du i gang

Ta de fire første stegene i denne rekkefølgen: skriv ned hvilke behandlinger du har, finn rettslig grunnlag for hver av dem, oppdater personvernerklæringen så den stemmer med praksisen, og lag en kort avviksrutine. Deretter rydder du i tilganger og i avtalene med leverandørene dine.

Sett av en fast anledning til å se over én gang i året, og hver gang du tar i bruk et nytt system eller en ny tjeneste. Da blir personvern en del av driften i stedet for et prosjekt som aldri blir ferdig. Det viktigste argumentet for å ha dette i orden er ikke frykten for gebyrer, men at kunder og medlemmer forventer at opplysningene deres blir behandlet ordentlig.

Trenger du en nettside som gjør det enklere å holde orden på skjemaer, samtykke og personverninformasjon, kan du se Nettsagas tjeneste for nettsider. Vil du gå gjennom din egen situasjon, book en demo.

Vanlige spørsmål

Gjelder GDPR for små bedrifter med få ansatte?

Ja. Reglene gjelder uavhengig av størrelse og bransje, så snart du behandler personopplysninger. Unntaket fra kravet om behandlingsprotokoll for virksomheter med færre enn 250 ansatte faller bort når behandlingen ikke er leilighetsvis, når den kan medføre risiko, eller når den omfatter særlige kategorier av opplysninger. I praksis betyr det at de fleste små bedrifter bør føre protokollen likevel.

Må vi ha et personvernombud?

De fleste små bedrifter og foreninger har ikke plikt til det. Plikten gjelder først og fremst ved systematisk overvåking i stor skala eller ved behandling av særlige kategorier av opplysninger i stor skala. Det er likevel fornuftig å peke ut en navngitt person internt som har ansvar for rutinene og vet hvor dokumentasjonen ligger.

Kan vi lagre kundeopplysninger uten samtykke?

Ja, ofte. Rettslig grunnlag kan være avtale med kunden, rettslig forpliktelse eller berettiget interesse. Samtykke bruker du når ingen av de andre grunnlagene passer, og da må det være frivillig, tydelig og enkelt å trekke tilbake. Uansett grunnlag skal du bare lagre det du trenger, og ikke lenger enn nødvendig.

Hva gjør vi hvis det skjer et databrudd?

Følg rutinen dere har laget: sikre og begrens hendelsen, dokumenter hva som skjedde, og vurder om den skal meldes videre og om de berørte skal varsles. Vurderingen skal ned på papir, også når konklusjonen er at hendelsen ikke skal meldes. Har dere ingen rutine fra før, er det det første dere lager.

Hva koster det å ikke følge GDPR?

Brudd på regelverket kan gi gebyrer, men for en liten bedrift som har det grunnleggende på plass, er sannsynligheten for et stort gebyr lav. Tilsynsmyndighetene bruker ressursene sine på systematiske brudd. Det sterkeste argumentet for å ha orden er derfor kundene og medlemmenes tillit, og at dere slipper å rydde opp i etterkant av en hendelse.