GDPR-sjekkliste for små bedrifter: steg, maler og fallgruver

Steg 1: kartlegg hvor personopplysningene kommer fra

Alt personvernarbeid starter med datakartlegging. Før du ser på maler, må du vite hvilke opplysninger du har, hvor de kommer fra, hvor de lagres, hvem som har tilgang, og hvor lenge de blir liggende. En håndverker har kanskje kundehenvendelser på e-post, adresser i ordrebekreftelser, bilder fra oppdrag og personalmapper. En nettbutikk har i tillegg kontoopplysninger, ordrehistorikk, markedsføringssamtykke og data hos betalings- og fraktleverandører. Regler for nettsider og netthandel gir en god oversikt over hva en nettside typisk samler inn.

Lag oversikten som en tabell med faste kolonner: system, formål, hvilke opplysninger, behandlingsgrunnlag, lagringstid, mottakere og intern ansvarlig. Gå gjennom innboksen, telefonen, regnskapsprogrammet, fagsystemet, delte mapper, skylagring og alle abonnementer dere betaler for. Fallgruven er å kartlegge bare fagsystemet. Personopplysninger ligger også i privat e-post, på en telefon, i en mappe alle har tilgang til og på papir i bilen. Skriv dem opp selv om de er midlertidige, så du vurderer dem med vilje i stedet for å oppdage dem ved en hendelse.

Steg 2: dokumentasjonen som må finnes

Behandlingsprotokollen etter artikkel 30 er kjernen. Den er oversikten over hvilke behandlinger dere utfører og hvorfor, og den bygges direkte videre på tabellen fra kartleggingen. Dette er ikke et skjema du fyller ut for tilsynets skyld. Det er dokumentet du selv trenger når en kunde spør, når en leverandør skal godkjennes, eller når noe går galt.

Databehandlere er dekket av artikkel 28, og alle som behandler personopplysninger på deres vegne skal dere ha skriftlig avtale med. Det gjelder regnskapsfører, nettsideleverandør, e-postleverandør, lønnssystem, lagringstjeneste og markedsføringsverktøy. Kontroller at avtalen faktisk gjelder deres avtale og deres bruk, ikke en generell tekst leverandøren har lagt ut.

I tillegg trenger du en personvernerklæring som forklarer på et forståelig språk hva dere gjør med opplysningene, og korte interne rutiner for hvem som svarer på en henvendelse om innsyn, hvem som sletter, og hva som skjer ved avvik. GDPR-krav for bedrifter går gjennom kravene i den rekkefølgen de bør løses.

Steg 3: maler og sjekklister i Excel

Det finnes mange GDPR-maler, lister og ferdige sjekklister, og de sparer deg for å starte på blanke ark. Problemet er at en mal beskriver en generell virksomhet, mens du har konkrete systemer, leverandører og arbeidsmåter. En mal er et spørreskjema, ikke et svar. Bruk den til å stille de riktige spørsmålene, og skriv svarene med egne tjenester og egne eksempler.

En GDPR-sjekkliste i Excel fungerer godt så lenge hver linje har en ansvarlig person, en status og en dato. Legg inn kolonner for frist, eier og lenke til dokumentasjonen, og hold filen lukket for andre enn dem som jobber med den. Uten eier blir listen liggende, uansett hvor god malen er. GDPR for små bedrifter og foreninger viser hvordan kravene ser ut i en liten organisasjon uten egen jurist.

Steg 4: samtykke og informasjonskapsler på nettsiden

Nettsiden er der mange små bedrifter samler inn mest opplysninger uten å tenke over det: kontaktskjema, chat, nyhetsbrev, statistikk og annonser. Gå gjennom hva som lastes inn før brukeren har tatt stilling til det, og hvilke informasjonskapsler som settes. Informasjonskapsler på nettsiden: dette sier reglene forklarer skillet mellom det som er nødvendig for at siden virker, og det som krever samtykke.

Kontroller at samtykket er aktivt, dokumenterbart og like enkelt å trekke tilbake som å gi. En forhåndsavkrysset boks oppfyller ikke det. Sørg også for at personvernerklæringen nås fra alle sider, og at skjemaet bare ber om opplysninger dere faktisk bruker. Er nettsiden satt opp med hCaptcha eller et annet verktøy dere ikke har kontroll over, må dere likevel kunne svare på hvilke data som samles inn og hvor de havner.

Steg 5: risiko, sikkerhet og avvik

Ikke alle behandlinger krever en vurdering av personvernkonsekvenser etter artikkel 35, men noen gjør det, og da skal vurderingen være skriftlig. Spør dere selv om behandlingen innebærer systematisk overvåking, sensitive opplysninger eller ny teknologi. Er dere i tvil, skriv ned vurderingen dere har gjort, slik at den kan vises fram senere.

Sikkerhetstiltakene skal stå i forhold til risikoen. I praksis betyr det tilgang etter behov, passordhvelv, to-trinns innlogging der det er mulig, sikkerhetskopi som er testet, og en oppdatert liste over hvem som har tilgang til hva. GDPR og kryptering går gjennom når kryptering er et naturlig tiltak. Skriv også ned hva som skjer ved et avvik: hvem varsles internt, hvem vurderer alvorlighetsgrad, og hvem kontakter myndighetene. Datatilsynet og GDPR i EU forklarer hvem som fører tilsyn og hva det betyr i praksis.

Slik holder du sjekklisten levende

En GDPR-liste som ble fylt ut for lenge siden er ikke dokumentasjon, den er et minne. Gå gjennom listen når dere tar i bruk et nytt system, ansetter noen, bytter leverandør eller lanserer ny nettside, og sett i tillegg et fast intervall som passer virksomheten. Poenget er at listen oppdateres når virksomheten endres.

Gi jobben til én person med navn, ikke til alle. Den ansvarlige trenger ikke være jurist, men må ha mandat til å kreve svar fra kolleger og leverandører, og til å si nei til et verktøy som samler inn mer enn dere trenger. Lag en kort status ved hver gjennomgang: hva er på plass, hva mangler, og hvem gjør hva. Da har du både sjekklisten og beviset på at den følges opp. Nettsaga lager nettsider der informasjon og samtykke er en del av oppsettet, og du kan book en demo for å se hvordan det ser ut.

Vanlige spørsmål

Finnes det en GDPR-sjekkliste fra Datatilsynet?

Ja, Datatilsynet har en egen sjekkliste for virksomheter på sine nettsider. Den er et godt utgangspunkt fordi den kommer fra tilsynsmyndigheten, men den er generell. Du må oversette hvert punkt til dine egne systemer og leverandører.

Kan jeg bruke Excel som GDPR-sjekkliste?

Ja. Det viktige er at hver linje har en ansvarlig person, en status og en dato, og at filen bare er åpen for dem som jobber med den. En enkel oversikt som oppdateres, er bedre enn et fint dokument ingen rører.

Hva må en liten bedrift dokumentere?

Behandlingsprotokoll, databehandleravtaler med leverandører, personvernerklæring og en rutine for avvik. I tillegg kommer risikovurdering der behandlingen krever det, og interne rutiner for innsyn og sletting.

Hva er forskjellen på behandlingsprotokoll og personvernerklæring?

Behandlingsprotokollen er den interne oversikten over hva dere behandler og hvorfor. Personvernerklæringen er den utadrettede forklaringen til kunder, brukere og ansatte, skrevet i et språk de forstår.

Hvor ofte bør GDPR-sjekklisten gås gjennom?

Ved endringer i systemer, leverandører eller bemanning, og i tillegg med et fast intervall dere setter selv. Poenget er at listen oppdateres når virksomheten endres, ikke at den ligger urørt i en mappe.