GDPR for små bedrifter: minimum du må ha på plass

Fire ting: et behandlingsgrunnlag for hver type opplysning, databehandleravtale med alle leverandører som ser dataene, informasjon til kunder og ansatte, og en avviksrutine for brudd. Resten er dokumentasjon av de fire. Det tar en ettermiddag å komme i mål første gang.

GDPR har rykte på seg for å være uoverkommelig for små bedrifter. Det er det ikke — men det er heller ikke noe du blir ferdig med gjennom en personvernerklæring på nettsiden.

Denne guiden er del av temaet personvern og GDPR for små bedrifter.

Hva sier loven?

Personvernforordningen gjelder som norsk lov gjennom personopplysningsloven § 1: forordning (EU) 2016/679 «gjelder som lov med de tilpasningene som følger av» EØS-avtalen.

Loven selv er kort og gir noen norske tilpasninger. § 5: aldersgrensen for barns samtykke i forbindelse med informasjonssamfunnstjenester er 13 år. § 12: fødselsnummer og andre entydige identifikasjonsmidler kan bare behandles «når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering».

Protokollplikten og unntaket. Forordningens artikkel 30 krever at hver behandlingsansvarlig fører protokoll over behandlingsaktiviteter, med formål, kategorier av registrerte og opplysninger, mottakere, overføringer, slettefrister og en generell beskrivelse av sikkerhetstiltakene. Protokollene skal være skriftlige, herunder elektroniske, og gjøres tilgjengelige for tilsynsmyndigheten på anmodning.

Artikkel 30 nr. 5 gjør unntak for foretak med færre enn 250 ansatte — men unntaket gjelder ikke dersom behandlingen sannsynligvis medfører risiko for de registrertes rettigheter og friheter, ikke skjer leilighetsvis, eller omfatter særlige kategorier av opplysninger eller opplysninger om straffedommer.

Merk vilkåret om at behandlingen ikke skjer leilighetsvis. Løpende behandling av ansatt- og kundeopplysninger er ikke leilighetsvis. I praksis bør de fleste små bedrifter derfor føre en enkel oversikt uansett.

Sikkerhet. Artikkel 32 krever egnede tekniske og organisatoriske tiltak, vurdert ut fra den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenheng.

Hva betyr det i praksis?

Behandlingsgrunnlaget er der folk hopper over. Ethvert bruk av personopplysninger trenger et lovlig grunnlag. Uten grunnlag er behandlingen ulovlig, uansett hvor godt dataene er sikret.

Den vanligste feilen er å tro at samtykke er standardløsningen:

• Kundeopplysninger behandles normalt fordi det er nødvendig for å oppfylle avtalen — ikke fordi kunden har samtykket.
• Ansattopplysninger behandles fordi det er nødvendig for arbeidsavtalen, eller fordi loven krever det.
• Regnskapsdata behandles fordi bokføringsloven pålegger det.
• Markedsføring til nye kontakter er derimot et sted der samtykke ofte er riktig — og der markedsføringsloven har egne regler i tillegg.

Fødselsnummerregelen er streng. Å bruke fødselsnummer som kundenummer fordi det er praktisk, er ikke tillatt. Det kreves saklig behov for sikker identifisering.

Rollene avgjør ansvaret. Dere er behandlingsansvarlig for egne kunde- og ansattopplysninger. Leverandørene er databehandlere — se databehandleravtale.

Minimumslisten

For en bedrift med under ti ansatte er dette hva som faktisk må finnes:

1. En oversikt over hvilke personopplysninger dere har, om hvem, hvorfor, hvor de ligger og hvor lenge de beholdes.
2. Behandlingsgrunnlag notert for hver av dem.
3. Databehandleravtaler med alle leverandører på listen.
4. Personvernerklæring på nettsiden, og et kort skriv til ansatte.
5. Avviksrutine — se personvernbrudd.
6. Tilgangsstyring: hvem har tilgang til hva, og hva skjer når noen slutter.
7. Rutine for innsynskrav, med én ansvarlig og én mottaksadresse.

Punkt én løser mesteparten av de øvrige, fordi den tvinger fram svarene.

Et eksempel på en oversikt

Slik ser punkt én ut for en typisk liten bedrift. Én tabell, sju rader, ferdig på en ettermiddag.

Legg merke til at bare to av sju rader bygger på samtykke — og begge gjelder markedsføring. Det er det normale bildet, og det er derfor «vi må hente inn samtykke fra alle» nesten alltid er feil vei å begynne.

Tabellen dekker også protokollkravet i artikkel 30 hvis dere legger til kontaktopplysninger og en kort beskrivelse av sikkerhetstiltakene.

Vanlige feil

• Å bygge alt på samtykke. Det passer sjelden for kunder og nesten aldri for ansatte.
• Å tro at protokollunntaket gjelder automatisk fordi dere er få. Les vilkårene i artikkel 30 nr. 5.
• Å bruke fødselsnummer som identifikator uten saklig behov.
• Å glemme tidligere ansattes tilganger.
• Å ha en personvernerklæring som ikke stemmer med det dere faktisk gjør.
• Å oppbevare alt «for sikkerhets skyld». Lagringstid skal være begrunnet.
• Å ikke ha noen som eier ansvaret internt. Uten en navngitt person havner innsynskrav og avviksmeldinger i en generell innboks, og énmånedsfristen er brukt opp før noen har lest dem.

Når bør du kontakte advokat?

Fristen som gjelder løpende er én måned for å svare på krav fra registrerte om innsyn, retting eller sletting. Og ved brudd: 72 timer til Datatilsynet, se personvernbrudd.

Ta kontakt med advokat når:

• Dere behandler særlige kategorier — helse, fagforeningsmedlemskap, biometri — eller opplysninger om barn.
• Dere driver systematisk overvåking eller profilering, eller bygger et produkt som gjør det.
• Dere skal overføre data ut av EØS uten at leverandøren har et opplagt grunnlag.
• Dere har hatt et brudd med høy risiko, eller har fått henvendelse fra Datatilsynet.
• Personopplysninger er selve forretningsmodellen.

Du finner advokater med personvern som fagfelt i oversikten vår.