GDPR i drift: årshjul for etterlevelse

Hva GDPR i drift betyr i praksis

GDPR i drift betyr at anskaffelser, systemendringer, nettsiden, kundeservice og arkivering har et personvernsteg som alltid tas. Det er forskjellen mellom å ha gjort noe med GDPR og å drive det. Reglene gjelder uansett, men etterlevelse oppstår først når den ligger i arbeidsflyten.

De fleste små og mellomstore virksomheter har vært gjennom en runde: personvernerklæring er på plass, noen databehandleravtaler er signert, og kundelisten er ryddet. Utfordringen kommer senere, når et nytt verktøy tas i bruk, en leverandør byttes ut eller en ansatt begynner å samle opplysninger i et regneark. Da finnes det ingen rutine som fanger det opp, og arbeidet blir reaktivt.

En god start er å se personvern som en del av de vanlige reglene dere følger for nettsiden og salg. Vår gjennomgang av regler for nettsider og netthandel viser hvordan personvern henger sammen med vilkår, markedsføring og informasjonskapsler. Har dere få ansatte, gir GDPR for små bedrifter og foreninger et realistisk bilde av hva som faktisk kreves.

Slik bygger du et årshjul som blir brukt

Et årshjul er en liste oppgaver med fast rytme. Poenget er ikke å fylle kalenderen, men å gjøre få ting til faste punkter som ikke avhenger av at noen husker dem. Ta utgangspunkt i det dere allerede har: leverandører, nettside, ansatte og kunder. Hvert område får ett eller to kontrollpunkter i året.

Legg opp rytmen etter kvartaler. Et kvartal kan handle om leverandører og avtaler, et annet om nettside og informasjonskapsler, et tredje om tilganger og sikkerhet, og et fjerde om opplæring og gjennomgang av avvik. Hvert punkt skal ha en eier, en frist og et sted der det dokumenteres at det er utført.

Skriv punktene så konkret at noen andre enn den som laget hjulet kan følge dem. «Sjekk leverandører» er for vagt. «Gå gjennom leverandørlisten, bekreft at databehandleravtale finnes for hver leverandør som ser personopplysninger, noter dato og avvik» kan gjennomføres og kontrolleres.

Det faste inventaret: punktene som går igjen

Leverandører er det punktet som oftest glipper. Lag en liste over alle som ser personopplysninger på vegne av dere, fra regnskapsprogram til chat på nettsiden. For hver leverandør noterer dere avtalestatus, hvor opplysningene lagres og hvem som er underleverandør. Listen oppdateres hver gang noe nytt tas i bruk.

Nettsiden krever sin egen runde. Informasjonskapsler, samtykke, kontaktskjema og personvernerklæring må stemme med det som faktisk lastes inn. Bytter dere bookingløsning, chat eller analyseverktøy, må teksten og samtykkeløsningen følge etter. Informasjonskapsler på nettsiden: dette sier reglene går gjennom hva som gjelder, og en nettside med ryddig personvern er enklere å holde oppdatert enn en som er satt sammen uten plan.

Sikkerhet hører hjemme i samme hjul. Gå gjennom hvem som har tilgang til hva, fjern tilganger for dem som har sluttet, og kontroller at opplysninger er beskyttet der de lagres og sendes. GDPR og kryptering: hva kreves? forklarer hvordan kryptering passer inn. Driver dere nettsiden på WordPress, bør drift og vedlikehold av WordPress være et fast punkt, fordi oppdateringer og tilgangsstyring er en del av personvernet.

Til slutt henvendelser fra kunder som vil vite hva dere har lagret, eller som vil slettes. Uten rutine blir slike svar laget på nytt hver gang, og de blir ulike. Avtal hvem som svarer, hvordan henvendelsen loggføres, og hvem som godkjenner svaret når saken er uklar.

Roller, dokumentasjon og oppfølging

Navngi en eier av årshjulet. Det betyr ikke at vedkommende gjør alt, men at noen ser at punktene blir gjennomført og at avvik tas videre. Er dere flere, fordel punktene etter hvem som rår over området: den som kjøper inn systemer eier leverandørpunktet, den som publiserer eier nettsidepunktet.

Dokumentasjonen skal være kort nok til at den blir oppdatert. Én oversikt med punkt, dato, ansvarlig og kommentar er nok for mange. Legg til grunnlaget der det trengs: databehandleravtaler, vurderinger dere har gjort, og logg over henvendelser og avvik.

Legg inn en kort opplæring i året for dem som håndterer kundeopplysninger: hva de kan samle inn, hvor det skal lagres, og hva de gjør hvis de er usikre. Om dere er pålagt å ha personvernombud avhenger av hva slags behandling virksomheten gjør. Sjekk vilkårene i regelverket før dere konkluderer, og ikke anta at størrelse alene avgjør.

Fallgruver som stopper årshjulet

Den vanligste fallgruven er at personvern konkurrerer med alt som haster mer. Leveranser, salg, bemanning og IT-prosjekter vinner, fordi risikoen ved å utsette personvern føles fjern mens konsekvensen av å utsette en leveranse er tydelig. Løsningen er ikke mer motivasjon, men punkter som ligger i kalenderen på lik linje med andre oppgaver.

Den andre er at hjulet blir for omfattende. Et hjul med tretti punkter blir liggende. Start med fire til seks, få dem gjennomført et helt år, og utvid når rytmen sitter. Den tredje er at personvern ikke kobles til endringer: skal dere bytte lønnssystem eller lansere nettsiden på nytt, må personvern være et steg i prosessen, ikke en opprydding i etterkant.

Hva som kan skje hvis rutinene mangler, varierer med hva slags opplysninger dere behandler og hvordan avviket ser ut. GDPR-bøter i Norge og bøtenivå gir bakgrunn for hva tilsynsmyndigheten vurderer. For de fleste små virksomheter er likevel den største kostnaden tilliten dere mister, og tiden som går med til å rydde opp i noe som kunne vært unngått.

Skal nettsiden og personvernarbeidet inn i en fast rytme dere faktisk klarer å holde, kan dere booke en demo og se hvordan Nettsaga jobber.

Kort oppsummert

Årshjulet trenger ikke være stort. Fire til seks punkter, en navngitt eier og et sted der gjennomføringen dokumenteres, er nok til å flytte personvern fra sideprosjekt til normal drift. Det viktigste er at nye systemer, nye leverandører og endringer på nettsiden alltid utløser en sjekk før de tas i bruk.

Da blir spørsmålet om dere er à jour besvart med en dato og et navn, ikke med en følelse av at det sannsynligvis går bra.

Vanlige spørsmål

Hva betyr GDPR i drift?

At personvern er bygget inn i faste rutiner for anskaffelser, systemendringer, nettside og kundebehandling. Arbeidet avsluttes ikke med en kartlegging, men gjentas med jevne mellomrom og følges opp av en navngitt ansvarlig.

Hvor ofte bør vi gå gjennom GDPR-arbeidet?

For de fleste små virksomheter er det nok med noen faste punkter fordelt over året, for eksempel ett kontrollpunkt per kvartal. Viktigere enn hyppigheten er at hvert punkt har eier og frist, og at nye verktøy og leverandører alltid utløser en sjekk.

Trenger en liten bedrift årshjul for GDPR?

Har dere personopplysninger om kunder, ansatte eller leverandører, er det nyttig. Årshjulet er ikke et krav i seg selv, men det er en praktisk måte å sikre at pliktene deres blir fulgt over tid, og at dere kan vise hva som er gjort.

Hva er den vanligste feilen med GDPR-arbeid?

At det blir et engangsprosjekt. Når rutinene ikke er koblet til innkjøp, endringer og nettside, blir personvern noe som tas frem først når noe har skjedd, og da blir det både dyrere og mer stressende.

Hvem bør eie GDPR-arbeidet i en liten virksomhet?

Det bør være en navngitt person med mandat til å følge opp, gjerne daglig leder eller en som allerede styrer systemer og nettside. Ansvaret kan ligge hos én, selv om de enkelte punktene utføres av dem som rår over området.