GDPR er EU’s databeskyttelsesforordning, der stiller krav til, hvordan virksomheder indsamler, opbevarer og beskytter personoplysninger. Den gælder alle danske virksomheder uanset størrelse og kræver blandt andet dokumentation, skriftlige aftaler med leverandører og anmeldelse af alvorlige brud til Datatilsynet inden 72 timer.
Sådan fungerer det
En personoplysning er enhver information, der kan føres tilbage til et menneske – navn, mail, lønseddel, IP-adresse, et billede fra et overvågningskamera. Behandler I sådanne oplysninger, skal I kunne pege på et lovligt grundlag: en kontrakt, en retlig forpligtelse, en legitim interesse eller et samtykke.
Kravene er i praksis tre ting. I skal vide, hvilke personoplysninger I har, og hvor de ligger – det er fortegnelsen. I skal beskytte dem teknisk og organisatorisk. Og I skal kunne dokumentere begge dele, hvis Datatilsynet eller en kunde spørger.
Bruger I en leverandør, der håndterer data på jeres vegne – et lønsystem, en hostingudbyder, jeres IT-leverandør – skal der være en databehandleraftale. Ansvaret over for de registrerede bliver hos jer, uanset hvem der driver systemet.
Hvornår er det relevant for en SMV?
GDPR gælder allerede fra første medarbejder – spørgsmålet er ikke om, men hvor meget arbejde der ligger foran jer. Det bliver typisk akut, når:
- En kunde eller et udbud beder om jeres databehandleraftale og sikkerhedsdokumentation.
- I skifter system eller leverandør og skal flytte persondata.
- En mail med følsomme oplysninger er sendt til den forkerte modtager.
- I bliver omfattet af NIS2 og opdager, at meget af dokumentationen overlapper.
De fleste SMV’er kommer langt med en fortegnelse, styr på adgange, en sletterutine og aftaler med leverandørerne. Det tekniske – adgangsstyring, kryptering og logning – løser vi typisk som del af arbejdet med IT-sikkerhed.
Typiske faldgruber
At behandle det som et engangsprojekt. Mappen fra 2018 er ikke dokumentation i dag. Nye systemer, nye leverandører og nye medarbejdere ændrer billedet løbende.
Manglende databehandleraftaler. Det er et af de første punkter, Datatilsynet kigger efter, og det er samtidig det nemmeste at rette. Lav en liste over alle leverandører, der rører persondata.
Mailboksen som arkiv. Ansøgninger, sygemeldinger og kontrakter, der bliver liggende i mails i ti år, er både et sletteproblem og en risiko, hvis kontoen bliver kompromitteret.
Samtykke som standardsvar. Samtykke skal kunne trækkes tilbage. Til løn, ansettelse og bogføring er kontrakt eller retlig forpligtelse det rigtige grundlag – ikke samtykke.
Relaterede begreber
GDPR overlapper med de øvrige krav, I møder:
Ofte stillede spørgsmål om GDPR
Nej. GDPR handler om at beskytte personoplysninger og gælder alle. NIS2 handler om driftssikkerhed i samfundsvigtige sektorer og gælder udvalgte virksomheder og deres leverandører. Kravene til risikostyring og dokumentation ligner dog hinanden, så arbejdet kan i vidt omfang genbruges.
Sjældent. Kravet om en databeskyttelsesrådgiver gælder offentlige myndigheder og virksomheder, hvis kerneaktivitet er systematisk overvågning eller behandling af følsomme oplysninger i stor skala. De fleste SMV’er skal blot udpege en ansvarlig internt.
Vurdér risikoen for de personer, oplysningerne handler om, og dokumentér vurderingen – også hvis I konkluderer, at den er lav. Er der reel risiko, skal bruddet anmeldes til Datatilsynet inden 72 timer. Før en intern log over alle brud, også de små.
Skal vi kigge på det sammen?
Er I i tvivl om, hvor jeres persondata faktisk ligger? Vi driver IT for danske SMV’er og gennemgår gerne jeres opsætning, før I beslutter noget. Ingen salgstale, ingen binding.
Uforpligtende · Eller ring 70 26 48 50