3 steg til GDPR-klarering
Dato publisert:
Er du fortsatt usikker på hvordan du tilrettelegger bedriftens aktiviteter og systemer slik at de overholder de nye personvernreglene? Advokat Ove Vanebo gir gode råd om hvordan din bedrift bør gå fram for å bli GDPR-klarert!
Involver hele bedriften
– Bedrifter bør bruke mer tid på å sette seg inn i hva GDPR er og prioritere å få på plass rutiner og opplæring av de ansatte. Mange tror dette er en oppgave de kan gi fra seg til IT-avdelingen, men hele bedriften skal involveres da alle bør begynne å jobbe på en litt annen måte enn før, sier Vanebo.
Slik går dere fram
- Skaff oversikt over hvilke personopplysninger dere har, hvordan disse behandles, hvorfor dere har dem og med hvilket rettslig grunnlag dere sitter på dem.
- Kartlegg risikoen for trusler mot personvernsikkerheten, og hvilke tiltak dere må gjøre for å sikre tilstrekkelig vern av personopplysningene. Sørg for å involvere hele bedriften i rutinene.
- Sett sammen et team som har ansvar for å lage en gjennomføringsplan og dokumentere arbeidet i et styringsdokument. Det er viktig å huske at dette blir måten dere skal jobbe på fremover, så gi tilstrekkelig opplæring og innfør jevnlige kontroller.
– Sørg for at dere innhenter informasjon fra avdelingslederne, HR-avdelingen og administrasjonen. Å bli “GDPR-klarert” er ikke en uoverkommelig oppgave, men det er ikke en enmannsjobb heller, poengterer Vanebo.
Hva er en personopplysning?
En personopplysning er en opplysning som kan knyttes til en enkeltperson. Det er forbudt å behandle personopplysninger uten rettslig grunnlag. Samtykke er ett av totalt seks vilkår for å behandle personopplysninger. Datatilsynet skriver mer om de seks behandlingsgrunnlagene.
Eksempler på personopplysninger:
- Navn, adresse, telefonnummer, e-postadresse
- Fotografier der mennesker er identifiserbare
- Indirekte opplysninger som f.eks. bilskilt og IP-adresse
- Se mer utfyllende oversikt hos Datatilsynet
LES OGSÅ: 5 vanlige misforståelser knyttet til GDPR
I personvernerklæringen på nettsiden din skal du oppgi hvor lenge bedriften oppbevarer personopplysninger og informere om hvordan personer kan få tilgang til egne opplysninger.
Er du i rute med GDPR?
Avslutningsvis sier Vanebo at det ofte koker ned til et enkelt spørsmål som Datatilsynet stiller i sine GDPR-foredrag: Har du i det minste prøvd å gjøre det riktig?
GDPR er fremdeles nytt, og det gjenstår å se hvordan det blir i praksis. Hittil er ingen dømt for brudd på forordningen. Så lenge du gjør ditt beste, har gjort seriøse forsøk og kan dokumentere det, risikerer du ofte et pålegg om å endre praksis – ikke sanksjoner i hundre-millioner-klassen.
Få med deg det siste innen markedsføring på nett. Meld deg på vårt nyhetsbrev!