GDPR-verktøy eller maler for små bedrifter: hva bør du velge?

Kravene er de samme enten du velger mal eller verktøy. Du må ha oversikt over hvilke personopplysninger du behandler, hvorfor du behandler dem, hvem du deler dem med og hvor lenge du lagrer dem. Denne oversikten er behandlingsprotokollen, og den utadvendte versjonen av den er personvernerklæringen på nettsiden.

I tillegg må du kunne vise at du har et behandlingsgrunnlag for hver behandling, at du har databehandleravtale med leverandører som ser personopplysningene dine, og at du har en rutine for innsyn, retting og sletting. Du trenger også en rutine for avvik: hvem som oppdager, hvem som vurderer, og hvem som melder internt og til Datatilsynet når det er aktuelt.

Tilgangsstyring hører med. To-trinns pålogging og rollebaserte tilganger er ikke GDPR-dokumenter, men de avgjør hva du kan dokumentere hvis noe først skjer. En steg-for-steg gjennomgang finner du i GDPR-sjekklisten for små bedrifter.

Gratis maler finnes for personvernerklæring, behandlingsprotokoll, databehandleravtale og rutine for brudd. Kvaliteten varierer, men de beste er skrevet av noen som kan regelverket, og dekker det vanlige behovet i en liten bedrift.

Svakheten er at malen er et skjelett. Den vet ingenting om systemene dine, leverandørene dine eller hvor lenge du faktisk lagrer ting. Du må fylle inn egne svar, og du må oppdatere dokumentet når du bytter regnskapsprogram, bestiller nye verktøy eller begynner å bruke et AI-verktøy som behandler personopplysninger.

Den vanligste feilen er å bruke en mal fra en annen bransje uten å tilpasse den. En mal laget for en nettbutikk passer ikke automatisk for en håndverker med kunderegister, bilder av arbeid og ansatte. En god test er om erklæringen svarer på hva dere samler inn, hvorfor, hvem dere deler med, hvor lenge dere lagrer, og hvordan noen ber om innsyn eller sletting. Hvis den ikke gjør det med deres egne ord, er den ikke ferdig.

Et GDPR-verktøy er i praksis et system for å holde orden: fast struktur for behandlingsprotokollen, oversikt over databehandlere, versjonering av dokumenter, påminnelser om gjennomgang og en logg over hvem som har gjort hva. Noen verktøy har også skjema for innsynsforespørsler og maler for databehandleravtaler.

Det viktigste verktøyet gir, er ikke dokumentene, men den jevnlige oppfølgingen. Du blir minnet på å oppdatere når noe endres, og du har ett sted å lete når en kunde, en leverandør eller en offentlig innkjøper spør.

Verktøyet gjør ikke jobben for deg. Det fyller ikke ut innholdet, vurderer ikke om behandlingsgrunnlaget er riktig, og fanger ikke opp at noen har delt en kundeliste i feil kanal. Du må fortsatt ha en person internt som eier oppgaven. Kostnaden består av lisens per bruker, tid til oppsett, opplæring, og hvor lett det er å ta dataene ut igjen hvis du bytter. Regn på total kostnad over noen år, ikke bare første faktura.

Bruk denne regelen som utgangspunkt, og juster etter hva dere faktisk gjør:

• Velg maler hvis dere er en liten organisasjon med få systemer, behandler vanlige kunde- og personalopplysninger, og har én person som kan eie oppgaven.
• Velg verktøy hvis flere ansatte behandler personopplysninger, hvis mange leverandører ser persondata, eller hvis kunder og oppdragsgivere krever dokumentasjon.
• Velg verktøy hvis dere allerede har hatt en hendelse, eller hvis dere må kunne vise frem logg og historikk.
• Velg en kombinasjon hvis dere vil ha maler for teksten og verktøy for oppfølgingen. Det er helt vanlig.

En mellomting som fungerer for mange: behold malene for personvernerklæring og databehandleravtale, og bruk et enkelt regneark med faste kolonner som behandlingsprotokoll. Det viktigste er at noen oppdaterer det med jevne mellomrom, ikke hvilket format det ligger i.

Vær ærlig om kapasiteten. Et verktøy dere ikke åpner, gir dårligere vern enn en mal dere faktisk vedlikeholder. Og en mal dere aldri oppdaterer, gir ingen trygghet uansett hvor god den var da dere lastet den ned.

Dette går igjen hos små bedrifter:

• Personvernerklæringen stemmer ikke med nettsiden. Står det at dere bruker cookies til analyse, må det stemme med det som faktisk ligger i koden. Se gjennom reglene for nettsider og netthandel før du publiserer endringer.
• Databehandleravtaler mangler. Hver leverandør som behandler personopplysninger på deres vegne skal ha en avtale. Det gjelder også skylagring, e-post, regnskap og AI-verktøy.
• Ingen rutine for innsyn. Når en kunde ber om innsyn eller sletting, må noen vite hvem som svarer og hvor opplysningene ligger.
• Ingen logg ved brudd. Alle brudd skal loggføres internt, også de dere vurderer at ikke skal meldes.
• Dokumentene er skrevet for et konsern. Korte, konkrete setninger som passer egen drift er bedre enn lange maltekster ingen leser.

Legg merke til at ingen av feilene handler om hvilket verktøy du valgte. De handler om at dokumentene ikke henger sammen med virkeligheten, og at ingen har ansvar for å holde dem oppdatert.

Sett av en rolig ettermiddag og gjør dette i rekkefølge:

1. Skriv en liste over systemene dere bruker og hvilke personopplysninger som ligger i hver av dem. Regnskap, e-post, kunderegister, booking, nettside, lager.
2. Noter formålet med hver behandling og hvor lenge opplysningene skal ligge der. Regnskapsmateriale har egne lagringskrav, så avklar dette med regnskapsføreren din.
3. Lag eller tilpass personvernerklæringen slik at den beskriver det du nettopp skrev ned.
4. Samle databehandleravtalene i én mappe. Be leverandørene om avtalen hvis du ikke finner den.
5. Skriv en halv side om avvik: hvem som varsles internt, hvem som vurderer, og hvem som kontakter Datatilsynet og eventuelt de berørte. Ved høy risiko skal de registrerte varsles direkte.
6. Sett en dato i kalenderen for gjennomgang, og ta en ny runde hver gang dere bytter verktøy.

Det siste punktet er det som oftest glipper. En gjennomgang som gjøres én gang og aldri mer, blir raskt utdatert. Skriv ned datoen og navnet på den som eier oppgaven, så er mye gjort.

Det er på nettsiden og i butikken de fleste små bedrifter samler mest. Kontaktskjema, chat, nyhetsbrev, booking og betaling gir personopplysninger. Hvert skjema bør ha en kort tekst om hva opplysningene brukes til, og en lenke til personvernerklæringen der resten står.

Telefonnummer og e-post er også personopplysninger når de kan knyttes til en person. Hva det betyr i praksis for kundelister og kontaktskjema, står i denne gjennomgangen av telefonnummer som personopplysning.

Har du nettbutikk, må personvern og vilkår henge sammen med betalingsløsning, frakt og angrerett. Lurer du på hva du egentlig får med en enkel butikkløsning, er gjennomgangen av gratis Shopify-butikkbygger nyttig lesing før du velger plattform.

Nettsaga lager nettsider og nettbutikker og setter opp skjemaer, betalingsløsninger og oppfølging av henvendelser slik at det henger sammen med det du skriver i personvernerklæringen. Vi har 4,6 av 5 stjerner på Google fra 35 omtaler, og over 1 200 bedrifter har valgt oss. Et norsk team i Oslo jobber med bedrifter i hele landet og samler nettside, Google Bedriftsprofil, oppføringer, omtaler, annonser og kundesystem på ett sted. Kundene våre fikk 119 000 kundehenvendelser de siste 12 månedene, og første steg er å booke en demo.