GDPR-krav for bedrifter: slik blir du compliant

Start med å kartlegge hvilke opplysninger du behandler

Før dere skriver personvernerklæring eller kjøper nye verktøy, må dere vite hva dere faktisk behandler. Lag en liste over alle steder personopplysninger finnes: kunderegister eller CRM, ordre i nettbutikken, lønn og fravær, skjema for henvendelser på nettsiden, nyhetsbrevliste, kameraopptak, adgangskort og notatbøker i bilen. Noter hvem som har tilgang til hver kilde, og hvor lenge opplysningene blir liggende.

Deretter samler dere dette i en behandlingsprotokoll. Artikkel 30 i GDPR krever at behandlingen dokumenteres, og det finnes et unntak for visse typer behandling i virksomheter med mindre enn 250 ansatte. Unntaket er smalt, og de fleste bedrifter har uansett nytte av oversikten når de skal svare kunder eller vurdere nye systemer.

Kartleggingen avdekker ofte at to personer behandler samme kunde på ulike måter, eller at et gammelt regneark fortsatt er i bruk. Regler for nettsider og netthandel: komplett guide for bedrifter går gjennom hele regelverket rundt nettsiden og er et godt sted å starte hvis du vil se sammenhengen mellom personvern, vilkår, angrerett og markedsføring.

Finn et gyldig behandlingsgrunnlag

Hver behandling må hvile på et grunnlag: avtale med kunden, rettslig forpliktelse, samtykke eller berettiget interesse. Det er her de fleste feilene skjer. Du trenger ikke samtykke for å sende en faktura eller lagre navnet til en kunde som har bestilt en tjeneste, men du trenger det for nyhetsbrev og for mange typer sporing og markedsføring.

Samtykke skal være aktivt, dokumenterbart og like lett å trekke som å gi. En forhåndsutfylt avkrysningsboks er ikke et gyldig samtykke. GDPR og samtykke: slik lager du en samtykkeerklæring viser hvordan du formulerer det og hvordan du logger at det er gitt.

Kundene skal også kunne lese hva dere gjør. Personvernerklæringen skal svare på hvilke opplysninger som samles inn, hvorfor, hvor lenge de lagres, hvem de deles med og hvilke rettigheter den registrerte har. En nettside med erklæringen både i bunnteksten og ved hvert skjema dekker mye av informasjonsplikten i praksis.

Sikkerhet og tilgang er en del av kravene

Personopplysninger skal beskyttes mot at uvedkommende får tilgang, endrer eller sletter dem. I praksis betyr det tilgangsstyring: hver ansatt skal ha sin egen bruker og tilgang bare til det de trenger for jobben. Felles innlogginger og delte passord gjør det umulig å vite hvem som har gjort hva.

To-faktor, oppdaterte systemer, låst skjerm og en rutine for hva som skjer når noen slutter, dekker mye av grunnmuren. Adgangskontroll og GDPR: slik beskytter du personopplysninger går gjennom både fysisk og digital tilgang.

Kundedata i CRM og e-postsystem er ofte der risikoen er størst, fordi mange har tilgang og fordi dataene blir liggende i årevis. GDPR og CRM: slik behandler du kundedata trygt viser hvordan du rydder i felt, tilganger og lagringstid.

Avtaler med leverandører som ser dataene dine

Når en leverandør behandler personopplysninger på dine vegne, skal dere ha en databehandleravtale. Det gjelder nettbutikkplattform, kassasystem, regnskap, e-postmarkedsføring, bookingsystem og ofte også byrået som lager nettsiden.

Avtalen er ikke nok i seg selv. Sjekk hvor dataene lagres, om leverandøren bruker underleverandører, og hvordan dere får dataene ut igjen ved et bytte. For systemer der ansatte slår inn kundedata, bør dere avklare hvem som har tilgang til hva. Kassasystem for små bedrifter: krav, gratis og POS tar opp hva du bør spørre om før du velger løsning.

Rutiner for avvik og dokumentasjon

Dere må ha avklart på forhånd hvem som varsles internt når noe går galt, og hvem som vurderer om saken skal meldes videre. En liten bedrift trenger ikke en avansert beredskapsplan, men en navngitt person og en kort rutine som er kjent.

Alle brudd skal loggføres internt, også de dere vurderer og velger ikke å melde. Loggen er dokumentasjonen på at dere har vurdert saken, og på hvem som bestemte hva.

Ansvarlighetsprinsippet binder dette sammen: dere må kunne vise at dere gjør det dere sier. Det betyr at rutinene er skrevet ned, at sletting faktisk skjer, og at listen over systemer er oppdatert. Det er dette Datatilsynet spør om ved en kontroll.

Slik prioriterer du gdpr-implementeringen

Rekkefølgen betyr mer enn perfeksjon. Start med oversikten over hvilke personopplysninger dere har, så grunnlag og personvernerklæring, så tilganger og databehandleravtaler, og til slutt rutiner for avvik og sletting. Da får du gdpr compliance på de tingene som faktisk betyr noe, før du begynner på detaljene.

Ta én ting om gangen. En håndverker med to ansatte trenger ikke samme opplegg som en nettbutikk med lager, kundeservice og markedsføring. Kravene er de samme, men omfanget styres av hva dere faktisk gjør. GDPR for små bedrifter og foreninger viser hvordan lista ser ut når virksomheten er liten.

Trenger du gdpr rådgivning utenfra, sørg for at du får konkrete dokumenter og rutiner, ikke bare en rapport. Nettsaga bygger nettsider der personvernerklæring, samtykke og skjemaer er satt opp med personvern fra starten. Book en demo hvis du vil se hvordan det ser ut i praksis.

Vanlige spørsmål

Gjelder GDPR for små bedrifter?

Ja. Reglene gjelder alle virksomheter som behandler personopplysninger, uansett størrelse og bransje. Har du ansatte, kunder eller leverandører, behandler du personopplysninger og er omfattet.

Trenger vi personvernombud?

De fleste små og mellomstore bedrifter trenger ikke det. Det er pålagt for offentlige virksomheter og for private virksomheter som behandler sensitive opplysninger i stor skala. Vurder kravet ut fra hva dere faktisk behandler.

Må vi ha behandlingsprotokoll med under 250 ansatte?

Det finnes et unntak fra protokollkravet for visse typer behandling i virksomheter med mindre enn 250 ansatte, men unntaket er smalt. De fleste har uansett nytte av en oppdatert oversikt over hvilke personopplysninger de behandler.

Hva skjer hvis vi ikke følger gdpr-kravene?

Datatilsynet kan gi pålegg og ilegge bøter, og kundene kan klage. Minst like viktig er tilliten: en kunde som oppdager at opplysningene deres er dårlig ivaretatt, forteller det videre.

Hvor ofte må personvernerklæringen oppdateres?

Når dere tar i bruk nye systemer, endrer leverandører, begynner med nye typer markedsføring eller endrer hvem som har tilgang. Ta en gjennomgang minst én gang i året og når noe vesentlig endres.