Hva er GDPR? En enkel forklaring for bedrifter

Formålet med GDPR handler om mennesker, ikke bare data

Formålet er å beskytte den enkeltes rett til privatliv og gi folk kontroll over egne opplysninger. Reglene skal også gjøre det trygt å behandle data på tvers av landegrensene, ved at samme krav gjelder i hele EØS. Det er grunnen til at regelverket er likt i Norge og i resten av området.

Forordningen er prinsippbasert. Den beskriver hva du skal oppnå, ikke bare hva du skal gjøre. Ansvarlighetsprinsippet betyr at du må kunne vise hvordan du har vurdert og fulgt kravene, ikke bare hevde at du gjør det. For en liten bedrift betyr det at rutinene bør være skriftlige og forståelige for dem som faktisk jobber hos deg.

GDPR er samtidig bare én del av regelverket som gjelder nettsiden din. Markedsføring, informasjonskapsler, personvernerklæring og vilkår henger sammen, og bør ses under ett. Vi har samlet helheten i regler for nettsider og netthandel: komplett guide for bedrifter.

Hva som regnes som personopplysninger

Personopplysninger er all informasjon som kan knyttes til en identifiserbar person. Det er mer enn navn og fødselsnummer: e-postadresse, telefonnummer, IP-adresse, bilder, lydopptak, kjøpshistorikk og kombinasjoner som bosted, alder og yrke. En enkel huskeregel er at hvis opplysningen, alene eller sammen med andre, kan peke på én person, så gjelder GDPR.

Noen opplysninger er sensitive og har strengere krav, blant annet om helse, religion, politisk oppfatning, etnisk bakgrunn, fagforeningsmedlemskap og seksuell orientering. Slike opplysninger bør du bare behandle når formålet er tydelig og nødvendig.

For en håndverker eller nettbutikk er det lett å overse at kundelister, chatlogger, tilbudsforespørsler og en SMS fra en kunde også er behandling av personopplysninger. Behandling dekker alt du gjør med dataene: samler inn, registrerer, bruker, deler og sletter. En kortere gjennomgang finnes i hva er GDPR? Enkelt forklart.

Kravene du må kunne svare på

Du må ha et klart formål med hver behandling, og et rettslig grunnlag som passer. Det kan være samtykke, en avtale med kunden, en rettslig plikt eller en berettiget interesse, og du bør kunne forklare hvorfor nettopp dette grunnlaget gjelder. Formål og grunnlag hører hjemme i personvernerklæringen, skrevet slik at en kunde forstår det uten juridiske forkunnskaper.

Du skal ikke samle inn eller lagre mer enn du trenger for formålet. I praksis betyr det å spørre seg om hvert felt i et skjema faktisk er nødvendig, og å sette en grense for hvor lenge opplysningene skal ligge. Gamle kundelister, tilbud og lange e-posttråder er typiske steder der data blir liggende uten grunn.

Opplysningene skal være trygt lagret, og bare de som trenger det skal ha tilgang. De registrerte skal få vite hva du gjør med dataene, og de skal kunne bruke rettighetene sine, som innsyn, retting og sletting. Rutinene bør være enkle nok til å bli fulgt i en travel hverdag.

Dokumentasjonen trenger ikke være omfattende, men den må finnes. En kort oppsummering på én side er ofte nok til å ta med i et personalmøte. GDPR-sjekkliste og maler for små bedrifter gir deg en struktur å jobbe etter.

Slik kommer du i gang, steg for steg

Start med en enkel oversikt: hvilke opplysninger samler vi inn, hvorfor, hvor lagres de, og hvem har tilgang. Gå gjennom skjemaene på nettsiden, kassesystemet, regnskapet, e-posten, chatten og eventuelle papirskjemaer. Oversikten trenger ikke være avansert, men den må være riktig.

Deretter fjerner du det du ikke trenger, og vurderer grunnlaget for det som står igjen. Sjekk særlig markedsføring mot eksisterende kunder, fordi markedsføringsloven stiller egne krav til samtykke og reservasjon. Markedsføringsloven kort fortalt forklarer skillet mellom nøytral informasjon og reklame.

Skriv en personvernerklæring som passer til det du faktisk gjør, og lag korte rutiner for sletting, tilgang og avvik, for eksempel at en e-post går til feil mottaker. Avtal databehandling skriftlig med leverandører som behandler opplysninger for deg, som regnskapsfører eller nettbutikkplattform.

På nettsiden må du også ha kontroll på informasjonskapsler og sporing, som har egne krav til samtykke. Informasjonskapsler på nettsiden: dette sier reglene går gjennom hva som må være på plass.

Vanlige fallgruver i små bedrifter

Den vanligste er å bruke kundelister til nyhetsbrev eller kampanjer uten å ha grunnlag for det. Her glir personvern og markedsføringsregler inn i hverandre, og manglende samtykke eller reservasjon er et typisk avvik.

Den nest vanligste er at data blir liggende for alltid, fordi ingen har ansvar for å slette dem. Sett et tidspunkt, en person og et sted for dette, ellers blir det aldri gjort.

Andre gjengangere er personopplysninger som deles i e-post eller chat uten at det er nødvendig, for vide tilganger i systemene, og rutiner som bare finnes i hodet på eieren. GDPR for små bedrifter og foreninger viser hvordan kravene ser ut når organisasjonen er liten.

Enklere å holde orden enn å rydde i etterkant

De fleste små bedrifter trenger ikke et stort prosjekt for å bli etterlevende. De trenger en oversikt over hvilke opplysninger de har, et grunnlag for å behandle dem, og rutiner som blir fulgt også når det er travelt.

Nettsiden er ofte stedet der mesteparten av innsamlingen skjer, gjennom skjemaer, kjøp og sporing. Nettsaga bygger nettsider for bedrifter der skjemaer, samtykke og personvernerklæring er en del av oppsettet fra starten. Vil du se hvordan det ser ut, kan du book en demo.

Vanlige spørsmål

Hva står GDPR for?

GDPR står for General Data Protection Regulation, som på norsk kalles personvernforordningen. Den gjelder i EU og EØS, og dermed også for norske virksomheter.

Gjelder GDPR for små bedrifter og enkeltpersonforetak?

Ja. Reglene gjelder alle som behandler personopplysninger, uansett hvor mange ansatte de har. Har du kunder, ansatte eller leverandører, behandler du personopplysninger.

Hva er forskjellen på personopplysninger og sensitive personopplysninger?

Personopplysninger er alt som kan knyttes til en person, som navn, e-post og IP-adresse. Sensitive opplysninger er en egen gruppe med strengere krav, blant annet om helse, religion og politisk oppfatning.

Må jeg ha samtykke for å sende nyhetsbrev?

Ikke alltid. Det kommer an på hvilket grunnlag du har, og markedsføringsreglene stiller i tillegg krav til samtykke og reservasjon for markedsføring. Sjekk grunnlaget før du sender til en liste.

Hva skjer hvis vi ikke følger GDPR?

Datatilsynet kan veilede og reagere på brudd, blant annet med overtredelsesgebyr. For de fleste små bedrifter er den største risikoen likevel tapt tillit og rot med kundenes data.