Kostnad ved GDPR-compliance for små bedrifter

Hva du faktisk betaler for

Kostnaden ved GDPR-compliance for en liten bedrift er ikke først og fremst en programvarelisens. Den største posten er vanligvis tiden dere bruker på å forstå hvilke personopplysninger som behandles, hvem som har tilgang, og hvordan rutinene fungerer i praksis. I tillegg kommer eventuelle verktøy, ekstern rådgivning og endringer i nettside eller systemer.

For en nettside eller nettbutikk henger personvern tett sammen med skjemaer, informasjonskapsler, betalingsløsninger, kundeområder og vilkår. Regler for nettsider og netthandel: komplett guide for bedrifter gir en samlet oversikt over hva som må være på plass. Bruk den som utgangspunkt før dere bestiller dyre enkeltiltak.

Tenk på kostnaden som flere poster: intern tid, verktøy, ekstern bistand og tekniske endringer. Den interne tiden er ofte den største, men også den som er lettest å undervurdere. Et lite håndverkerfirma med én kundeliste og en enkel nettside har et helt annet behov enn en nettbutikk med mange kunder, abonnementer og markedsføring.

Slik setter du opp et realistisk kostnadsbilde

Start med en enkel kartlegging. Skriv ned hvilke personopplysninger dere samler inn, hvor de lagres, hvem som ser dem, og hvor lenge de brukes. Ta med e-post, regnskap, kundesystem, nettsideskjemaer, kamera, adgangskontroll og eventuelle underleverandører. Uten denne oversikten blir alle priser bare gjetting.

Deretter vurderer dere hva som mangler av rutiner og dokumentasjon. GDPR-krav for bedrifter: slik blir du compliant beskriver hva som typisk må være på plass. Ikke kjøp verktøy før dere vet hvilket problem verktøyet skal løse. Mange små bedrifter kan komme langt med ryddig lagring, tydelige ansvarsforhold og faste rutiner for innsyn og sletting.

Sett opp et enkelt budsjett med det dere gjør selv, det dere trenger hjelp til, og det som kan vente. Da ser dere også om et verktøy faktisk sparer tid, eller bare legger til enda et system. Kostnaden varierer mye, og det finnes ingen fornuftig standardpris for alle.

Når trenger du rådgivning eller personvernombud?

Mange små bedrifter trenger ikke eget personvernombud. Kravet gjelder først når kjernevirksomheten består i systematisk overvåking eller behandling av særlige kategorier personopplysninger i stor skala. For mange lokale tjenester og små nettbutikker er det mer aktuelt med en fagperson til enkeltoppgaver.

Typiske oppgaver der ekstern hjelp kan være nyttig, er konsekvensvurdering, databehandleravtaler, protokoll over behandlingsaktiviteter og vurdering av nye systemer. Prisen på slik bistand settes ofte etter omfang, hvor mange systemer som er involvert, og hvor mye som må dokumenteres. Det varierer mye mellom leverandører og oppdrag. Kryptering og tilgangsstyring kan redusere risiko og gjøre manuelt arbeid enklere. GDPR og kryptering: hva kreves? forklarer hvordan dette henger sammen med kravene.

Hva koster en nettside eller nettbutikk som tar personvern på alvor?

For nettsider og nettbutikker kan prisen ligge et sted mellom rundt 10 000 og 250 000 kroner, avhengig av omfang, funksjoner og hvem som lager den. Dette er prisen for selve nettsiden eller nettbutikken, ikke for GDPR-arbeidet. Personvern er en del av kravene til løsningen, ikke et separat produkt dere må kjøpe for å få en lovlig nettside.

En enkel informasjonsside har andre kostnader enn en nettbutikk med betaling, kundekontoer, fraktvalg og markedsføring. Hva koster webbyrå og webdesigner? går gjennom hva som påvirker prisen. Velg løsning etter hva dere faktisk skal bruke, ikke etter hva som ser mest avansert ut.

Nettsiden bør ha oppdaterte personvernerklæringer, tydelig informasjon om informasjonskapsler og skjemaer som bare samler inn det dere trenger. Nettside er en tjenesteside for bedrifter som vil ha en nettside der dette er tenkt gjennom fra starten.

Fallgruver og en enkel prioritert plan

Den vanligste fallgruven er å gjøre for mye på én gang. Bedrifter kjøper et stort verktøy, lager mange dokumenter og ender med et system ingen bruker. Det gir høyere kostnad uten lavere risiko. Start med det som betyr noe for kundene og for den daglige driften. Bestem hvem som svarer på henvendelser, hvem som oppdaterer dokumentasjonen, og hvordan nye systemer blir vurdert før de tas i bruk.

Et stort gebyr er en åpenbar kostnad, men ikke den eneste. Eiere og aksjonærer kan i prinsippet stille spørsmål ved styrets oppfølging av personvern, og kunder kan miste tillit etter en hendelse. GDPR-bøter: hva koster brudd på personvernreglene? forklarer mer om hva som står på spill.

Begynn med kartlegging og rydding. Finn ut hvilke opplysninger dere har, hvor de ligger, og hvem som har tilgang. Slett det dere ikke trenger, og begrens tilgangen til dem som faktisk trenger den. Deretter dokumenterer dere det viktigste og tester at rutinene fungerer i praksis. Hvis nettsiden er en del av bildet, kan Nettsaga hjelpe med en løsning som gjør personvernarbeidet mer oversiktlig. Book en demo for å se hvordan det kan gjøres i praksis.

Vanlige spørsmål

Må alle små bedrifter ha personvernombud?

Nei. Kravet gjelder først når kjernevirksomheten innebærer systematisk overvåking eller behandling av særlige kategorier personopplysninger i stor skala. Mange små bedrifter kan i stedet bruke ekstern hjelp ved behov.

Koster GDPR-compliance det samme for alle?

Nei. Kostnaden avhenger av hvilke opplysninger dere behandler, hvor mange systemer som brukes, hvor mange underleverandører dere har, og hvor mye som allerede er dokumentert. Den varierer derfor mye fra bedrift til bedrift.

Kan vi bruke maler og ferdige verktøy?

Ja, men maler må tilpasses måten dere faktisk jobber på. Et verktøy er nyttigst når dere vet hvilket problem det skal løse. Uten en enkel kartlegging kan et verktøy bli ekstraarbeid i stedet for støtte.

Hva koster det å ikke gjøre noe?

Det kan gi gebyrer, krav fra kunder, tapt tillit og mye intern tid til brannslukking. Hvor stort det blir, avhenger av hendelsen og hvor godt dere kan dokumentere arbeidet. Det er derfor vanskelig å sette en fast pris på risikoen.

Trenger vi GDPR-programvare?

Ikke nødvendigvis. En liten bedrift med få behandlinger kan ofte starte med enkle rutiner og et ryddig dokument. Programvare kan være nyttig når antall systemer, kunder eller henvendelser blir stort, men den erstatter ikke ansvaret for å følge opp.