Hva er GDPR? Enkelt forklart

Hva GDPR er, og hvorfor reglene gjelder deg

GDPR står for General Data Protection Regulation. På norsk kalles den personvernforordningen, og den er EUs felles regelverk for personvern. Den offisielle tittelen er Forordning 2016/679 om vern av fysiske personer i forbindelse med behandling av personopplysninger. Formålet er todelt: den enkelte skal ha kontroll over opplysninger om seg selv, og opplysninger skal samtidig kunne flyte fritt mellom landene i EØS. Derfor møter du forkortelsen også i engelskspråklige tekster og verktøy.

I Norge gjelder GDPR gjennom personopplysningsloven, som består av nasjonale regler og selve forordningen. Forordningen trådte i kraft 25. mai 2018. Datoene for når GDPR trådte i kraft for EU og Norge er forklart nærmere. I Norge ble ny personopplysningslov vedtatt 15. juni 2018 og trådte i kraft 20. juli 2018. Reglene gjelder også virksomheter utenfor EU/EØS når de tilbyr varer eller tjenester til personer i Norge.

Praktisk betyr dette at du ikke kan behandle opplysninger om kunder, ansatte eller leverandører uten å vite hvorfor. Du må kunne forklare hva du samler inn, hva du bruker det til, hvem som får tilgang, og når det skal slettes. En kortere innføring finner du i en enkel forklaring for bedrifter, og hele regelbildet for nettsider og netthandel er samlet i guiden for regler for nettsider og netthandel.

Hva som er personopplysninger, og hva behandling betyr

Personopplysninger er alle opplysninger som kan knyttes til en identifiserbar person. Det kan være navn, telefonnummer, e-postadresse, adresse, fødselsdato, bilder, IP-adresse, eller en kombinasjon av opplysninger som gjør at en person kan pekes ut.

Behandling er et vidt begrep. Det dekker alt fra å samle inn, registrere, lagre og sende til å sammenstille og slette. Når du tar imot en henvendelse gjennom et skjema, fører opp en ordre, sender et nyhetsbrev eller lagrer timelister, behandler du personopplysninger.

Du er behandlingsansvarlig for opplysningene du samler inn selv. Leverandører som behandler data på dine vegne, for eksempel regnskapsbyrå, webhotell eller e-postverktøy, er databehandlere. Du er fortsatt den som må kunne svare for hva de gjør med opplysningene.

Grunnlaget du må ha for å behandle opplysninger

For hver behandling trenger du et rettslig grunnlag. Forordningen opererer med seks: samtykke, avtale, rettslig forpliktelse, vitale interesser, allmenn interesse og berettiget interesse. De to første er de vanligste i små virksomheter.

Samtykke skal være frivillig, spesifikt, informert og like enkelt å trekke tilbake som å gi. En forhåndsavkrysset boks er ikke samtykke. Skal du bruke samtykke til markedsføring på e-post til privatpersoner, kommer markedsføringsreglene, blant annet vernet mot etterligning i markedsføringsloven § 30 i tillegg.

For et kundeforhold er avtale ofte et bedre grunnlag enn samtykke, fordi du trenger opplysningene for å levere det kunden har bestilt. Da slipper du å forholde deg til at kunden trekker samtykket midt i en ordre. Uansett grunnlag gjelder prinsippet om dataminimering: samle inn det du trenger, ikke alt du kunne få tak i.

Rettighetene til den opplysningene gjelder

Den som opplysningene handler om, har rett til å få vite at du behandler dem og hvorfor. Rettighetene omfatter innsyn i egne opplysninger, retting av feil, sletting i visse tilfeller, begrensning av behandlingen og rett til å protestere. I noen tilfeller kan personen også kreve å få opplysningene utlevert i et maskinlesbart format.

For deg som driver virksomhet betyr det at du må vite hvor opplysningene ligger, og hvem som svarer når en henvendelse kommer. En kunde som ber om innsyn, skal ikke måtte vente på at du leter gjennom tre systemer og en gammel e-postkonto.

Sett opp en enkel rutine: hvem mottar henvendelsen, hvor henter du opplysningene, hvem godkjenner svaret, og hvordan dokumenterer du det. Det behøver ikke være avansert, men det må være skrevet ned.

Dokumentasjon og sikkerhet du bør ha på plass

Du må kunne vise hvordan du etterlever reglene. Det handler ikke om et ferdig skjema, men om å ha oversikt. Lag en behandlingsprotokoll der du lister opp hvilke kategorier av personopplysninger du behandler, formålet, grunnlaget, hvem som har tilgang og hvor lenge opplysningene lagres.

Personvernerklæringen på nettsiden skal forklare dette i et språk kundene forstår. Bruker du verktøy som lagrer opplysninger på dine vegne, trenger du databehandleravtale med leverandøren. Avtalen skal beskrive hva leverandøren kan gjøre med dataene, og hva som skjer når avtalen avsluttes.

Sikkerhet er en del av kravet. Tilgangsstyring, oppdaterte systemer, sikkerhetskopi og kryptering av data som sendes eller lagres, er grunnleggende tiltak. Hva som er nødvendig, avhenger av hvilke opplysninger du har. Du kan lese mer om hvilke krav som stilles i artikkelen om GDPR og kryptering. Får du et avvik, for eksempel at en e-post med kundelister går til feil mottaker, må du ha en rutine for å vurdere om det skal varsles, og hvem som gjør det. Nivået på sanksjoner er omtalt i GDPR-bøter i Norge og bøtenivå.

Vanlige fallgruver for små bedrifter

Den vanligste fallgruven er å samle inn mer enn nødvendig. Et kontaktskjema som ber om telefonnummer, adresse og fødselsdato for sikkerhets skyld, har ingen god begrunnelse hvis du bare skal svare på en henvendelse.

Den andre er lagring på ubestemt tid. Gamle tilbud, tidligere kunder og avsluttede prosjekter blir liggende fordi ingen har bestemt at de skal slettes. Bestem en lagringstid per type opplysning, og rydd med jevne mellomrom.

Den tredje er nettsiden selv. Informasjonskapsler som brukes til statistikk eller markedsføring, skal håndteres etter reglene om samtykke. Detaljene er samlet i artikkelen om informasjonskapsler og samtykke. For foreninger og mindre virksomheter er det egne praktiske hensyn å ta, beskrevet i GDPR for små bedrifter og foreninger.

Den fjerde er leverandører du aldri har vurdert. Et bookingverktøy, en chat på nettsiden eller et regneark i skyen kan lagre personopplysninger du er ansvarlig for. Gå gjennom listen over verktøy du faktisk bruker, og sjekk at du har avtale og oversikt. Trenger du en nettside der skjemaer, samtykke og informasjonskapsler er satt opp ryddig fra start, kan du se hva som inngår på tjenestesiden for nettside. Nettsaga lager nettsider for små bedrifter med dette som en del av leveransen, og du kan booke en demo for å se hvordan det ser ut.

Vanlige spørsmål

Gjelder GDPR for små bedrifter?

Ja. Reglene gjelder for bedrifter, organisasjoner, foreninger, idrettslag og skoler, ikke bare store virksomheter. Du kan ikke regne med unntak fordi du er liten, men omfanget av dokumentasjon kan tilpasses hvor mye personopplysninger du faktisk behandler.

Hva står GDPR for?

General Data Protection Regulation, på norsk personvernforordningen. Det er EUs forordning om behandling av personopplysninger, og den gjelder i Norge gjennom personopplysningsloven.

Må jeg ha samtykke for å lagre kundeopplysninger?

Ikke nødvendigvis. Samtykke er ett av seks grunnlag. For et kundeforhold er avtale ofte riktig grunnlag, fordi du trenger opplysningene for å levere tjenesten. Bruker du de samme opplysningene til noe annet, for eksempel markedsføring, må du vurdere grunnlaget for det separat.

Hvor lenge kan jeg lagre personopplysninger?

Så lenge formålet med behandlingen krever det, og ikke lenger. Du må selv bestemme og dokumentere lagringstiden for hver type opplysning, og slette eller anonymisere når den er utløpt.

Hva skjer hvis virksomheten bryter GDPR?

De registrerte kan klage, og tilsynsmyndigheten kan gi pålegg om å rette forholdene. Alvorlige brudd kan også gi bøter. Hvordan nivået fastsettes, er nærmere omtalt i artikkelen om GDPR-bøter i Norge.