Når trådte GDPR i kraft? Datoene for EU og Norge

Tre datoer du bør holde fra hverandre

Forordningen ble vedtatt i EU 27. april 2016. Den trådte i kraft i EU og i alle medlemslandene 25. mai 2018. I Norge ble personopplysningsloven, som gjennomfører forordningen, vedtatt 15. juni 2018 og trådte i kraft 20. juli 2018.

Disse datoene går igjen i nesten alle spørsmål om personvern, og de henger sammen med kravene du møter på en vanlig nettside eller nettbutikk. Regler for nettsider og netthandel: komplett guide for bedrifter samler regelverket som har gjeldt fra ikrafttredelsen og frem til nå.

Kort oppsummert: vedtakelsen skjedde i 2016, reglene begynte å gjelde i EU 25. mai 2018, og i Norge 20. juli 2018. Det er altså ikke én dato, men et hendelsesforløp over rundt to år.

Hva «ikrafttredelse» egentlig betyr

Mange blander sammen vedtakelse og ikrafttredelse. Vedtakelsen er når regelverket formelt blir bestemt. Ikrafttredelsen er når det begynner å gjelde og kan håndheves. Forordningen ble vedtatt i 2016, men virksomhetene fikk tid til å tilpasse seg før reglene begynte å gjelde i 2018.

I praksis betyr det at behandling av personopplysninger som skjedde før ikrafttredelsen, ble vurdert etter det som gjaldt den gangen. Etter ikrafttredelsen gjelder GDPR fullt ut, og du må kunne vise at du behandler opplysningene lovlig.

Søker du på «gdpr ikrafttredelse», er det ofte nettopp dette skillet du leter etter. Vær oppmerksom på at «i kraft» brukes løst i dagligtale: noen mener vedtaksdatoen, andre mener datoen reglene begynte å gjelde. Når du leser om GDPR, er det lurt å sjekke hvilken av dem som menes.

Hvorfor Norge fikk 20. juli 2018

Norge er ikke medlem av EU, men er bundet av forordningen gjennom EØS-samarbeidet. Reglene måtte derfor gjennomføres i norsk rett. Det skjedde med ny personopplysningslov, vedtatt 15. juni 2018, som trådte i kraft 20. juli 2018 og dermed ga forordningen lovs kraft i Norge.

Datoforskjellen har praktisk betydning. Frem til 20. juli 2018 gjaldt den tidligere lovgivningen. Etter denne datoen gjelder forordningens krav, med de norske tilpasningene som står i loven.

For en liten virksomhet betyr det at kravene du forholder deg til i dag, stammer fra et regelverk som ble bestemt i EU i 2016 og gjort gjeldende i Norge sommeren 2018. GDPR for små bedrifter og foreninger går gjennom hva det konkret innebærer i hverdagen.

Hva ikrafttredelsen betyr for bedriften din

Kravene gjelder fra ikrafttredelsen, ikke fra den dagen du tilfeldigvis rydder i rutinene. Du skal kunne vise at du behandler personopplysninger lovlig. Det innebærer å vite hvilke opplysninger du samler inn, hvorfor du har dem, hvor lenge du beholder dem, og hvem du deler dem med.

På en nettside er det særlig tre ting som går igjen: skjemaer der kunder sender deg en henvendelse, informasjonskapsler og sporing, og lagring av kunde- og ordredata i nettbutikken. Informasjonskapsler på nettsiden: dette sier reglene forklarer hvordan du setter dette opp uten å love mer enn du kan holde.

Sikkerhet er en del av samme plikt. GDPR og kryptering: hva kreves? tar for seg hva som faktisk står i regelverket, og hvor langt du bør gå ved innsending av skjema og ved lagring av kundedata.

Vanlige misforståelser om datoene

«GDPR kom i 2018.» Det er halve sannheten. Forordningen ble vedtatt i 2016, og reglene begynte å gjelde i EU 25. mai 2018 og i Norge 20. juli 2018.

«GDPR er en norsk lov.» Forordningen er en EU-forordning som er gjort til norsk lov gjennom personopplysningsloven. Det er derfor du ser begge navnene brukt om hverandre.

«Vi er for små til at dette gjelder oss.» Regelverket har ingen nedre grense for hvem som må følge det. Foreninger, håndverkere med én ansatt og nettbutikker med få ordrer i måneden er omfattet når de behandler personopplysninger. Hva brudd kan koste, og hvordan nivået fastsettes, er omtalt i GDPR-bøter i Norge og bøtenivå.

Slik holder du deg oppdatert etter ikrafttredelsen

Ikrafttredelsen var et startpunkt, ikke en avsluttet oppgave. Nye tjenester, nye leverandører og nye ansatte endrer hvilke opplysninger du behandler, og dermed hva du må dokumentere.

Et årshjul hjelper. GDPR i drift: årshjul for etterlevelse gir en rytme for å gjennomgå databehandleravtaler, oppdatere personvernerklæringen og sjekke at samtykker fortsatt er gyldige.

Nettsaga bygger nettsider der skjemaer, informasjonskapsler og personvernerklæring er satt opp etter regelverket fra start. Vil du se hvordan det ser ut for din virksomhet, kan du book en demo.

Vanlige spørsmål

Når trådte GDPR i kraft i Norge?

20. juli 2018. Da trådte personopplysningsloven i kraft, og forordningen ble dermed norsk lov. Loven ble vedtatt 15. juni 2018.

Når trådte GDPR i kraft i EU?

25. mai 2018, i EU og i alle medlemslandene. Forordningen var vedtatt 27. april 2016.

Når ble GDPR vedtatt?

27. april 2016, av Europaparlamentet og Rådet i EU.

Hvorfor har Norge en annen dato enn EU?

Fordi Norge måtte gjennomføre forordningen i norsk rett gjennom en egen lov. Personopplysningsloven trådte i kraft 20. juli 2018, og fra da av gjelder forordningen som norsk lov.

Gjelder GDPR for små bedrifter?

Ja. Regelverket har ingen nedre grense for størrelse. Det som varierer, er hvor omfattende dokumentasjonen trenger å være. Se [GDPR for små bedrifter og foreninger](/artikler/gdpr-for-smaa-bedrifter-og-foreninger/).