Da databeskyttelsesforordningen GDPR, som står for General Data Protection Regulation, trådte i kraft i mai 2018, ble reglene rundt håndtering av data strammet opp betraktelig og uforsiktighet i håndteringen av personopplysninger kan bli kostbart. Før GDPR ble håndhevet i EU, var det egentlig ikke noen form for sikkerhet for folks personlige data og deres personvern på internett.
Et vanlig spørsmål folk stiller er «hvilke selskaper er omfattet av GDPR? «
Svaret på det spørsmålet er at alle selskaper som opererer innenfor EU, uansett størrelse, er omfattet av GDPR. Det betyr at loven om GDPR er like viktig å forholde seg til uansett om du har et oppstartsselskap eller driver en større virksomhet. I dette innlegget vil vi veilede deg om hvordan bedrifter, store som små, bør tilnærme seg GDPR for å beskytte kundenes personvern.
GDPR i korte trekk
Vi starter med å kort gå gjennom hva GDPR er. Noen av hovedpunktene i den nye forordningen er at du som enkeltperson har rett til å få tilgang til, endre og til og med slette personopplysninger om deg selv som bedrifter eller organisasjoner har samlet inn om deg. Loven om GDPR vurderer at du som bedrift ikke skal samle inn legge inn flere personopplysninger enn nødvendig. Personopplysningene bør også være ment for bestemte formål og opplysningene bør ikke lagres lenger enn nødvendig.
Personer som for eksempel registrerer seg på nettstedet ditt har rett til å vite hvordan du som selskap håndterer personopplysningene deres. Det må fremgå tydelig hvorfor du samler inn disse dataene og også hvordan du vil bruke dem. De som melder seg på må også vite hvilke rettigheter de har, for eksempel hvordan de kan rette uriktige opplysninger og hvordan få personopplysninger slettet. Dette gjelder ikke bare B2C men også B2B, innenfor egen organisasjon samt andre typer avtaler.
Hva betyr GDPR for bedrifter?
Som nevnt ovenfor gjelder GDPR for alle selskaper som opererer innenfor EU, uavhengig av størrelse, og eksisterer for å beskytte privatpersoners personvern ved å sikre korrekt håndtering av personopplysninger. Når en person gir sitt samtykke til at du som selskap kan håndtere sine personopplysninger via for eksempel et skjema eller en påmelding til nyhetsbrev , så har du som selskap en plikt til å eksplisitt sørge for at personen kan velge å gi sitt samtykke og vet hvordan personopplysningene deres vil bli brukt.
Avtalene som GDPR som selskap skal ha etter regler er:
- Retningslinjer for databeskyttelse
- Tjenesteavtale for personopplysninger
Loven krever også følgende interne prosedyrer:
- Kontinuerlig fjerning av unødvendige personopplysninger
- Ta hensyn til de registrertes rettigheter
- Engasjement ved personopplysningshendelser
- Skriftlig dokument for behandling av personopplysninger
GDPR-regler i Sverige
Selv om GDPR og regelverket som er lagt til kan oppleves som komplekst og mye å holde styr på, er det faktisk til din fordel om du som selskap har visjonen om å utvide og nå markeder utenfor Sveriges grenser. Før 2018 hadde hvert land innenfor EU sine egne databeskyttelseslover, noe som kan føre til at selv om du fulgte landets lover, risikerte du å bryte lovene i det andre landet du opererer i.
Formålet med databeskyttelsesforordningen er at det skal være de samme reglene ved håndtering av personopplysninger i hele EU. Dette gjør det lettere for bedrifter å etablere seg og operere innenfor flere EU-land. Et svensk selskap som følger databeskyttelsesforordningen har ingen grunn til å bekymre seg for at reglene for håndtering av informasjon om for eksempel kundene gjøres på en annen måte i et annet EU-land.
Det er ikke uvanlig at svenske selskaper bruker digitale tjenester som håndterer data utenfor EU, for eksempel amerikanske. Det kan være alt fra analyseverktøy, kommunikasjonsplattformer eller logistikkverktøy. GDPR slår fast at overføring av personopplysninger til et land utenfor Europa kun kan finne sted dersom det aktuelle landet kan garantere et høyt beskyttelsesnivå for personopplysningene. Alle amerikanske leverandører kan ikke lenger håndtere personopplysninger under GDPR som betyr at selskaper som sender nyhetsbrev via en amerikansk leverandør risikerer å bryte GDPR.
Hva skjer hvis et selskap bryter GDPR?
Hva er konsekvensene hvis du bryter GDPR? Det som skjer dersom man bryter loven om GDPR, uavhengig av om det er en GDPR-avtale mellom business to business, kunder eller organisasjoner, er at personvernmyndigheten avgjør om virksomheten får bot og eventuelt må betale en bot. avgift. Gebyret varierer avhengig av hvor stor overtredelsen er og hvor stor skaden er forårsaket. Den tar også hensyn til hvor sensitiv informasjonen i så fall er.
Maksimumsbeløpet på straffegebyret som et selskap kan måtte betale er opptil 20 millioner euro eller 4 % av selskapets globale årlige omsetning. Disse gebyrene forekommer imidlertid oftere for større brudd. Ved mindre brudd kan du måtte betale opptil 10 millioner euro eller 2 % av selskapets globale årlige omsetning.
Hvordan bedrifter skal håndtere personopplysninger
Hva går egentlig inn under begrepet «personopplysninger»? Det er noen grunnleggende og åpenbare personopplysninger, for eksempel for- og etternavn og personnummer. Men det er langt flere måter å identifisere en person på, spesielt på internett.
Eksempler på andre personopplysninger er:
- Stedsinformasjon
- Et bilde
- bankinformasjon
- Oppdateringer på sosiale medier
- Hvor bor du
- Relasjoner og antall barn
- Telefonnummer
Ønsker du å dykke enda litt dypere ned i GDPR-regler og hvordan bedrifter skal håndtere personopplysninger, kan du lese mer om GDPR her!
GDPR-mal for små bedrifter
For å sikre at du som selskap overholder GDPR, kan det være greit å starte med å sjekke at du:
- Følger alle grunnprinsippene i databeskyttelsesforordningen?
- Har du et korrekt rettslig grunnlag for din behandling av personopplysninger?
- Dokumentere hvordan du tenker og hvordan du gjør?
GDPR i tekst og kontrakter for små bedrifter
Å begynne å sette seg inn i regelverket og forstå hvordan man aktivt må jobbe med GDPR og ta hensyn til folks personvern kan oppleves som komplisert dersom man er en oppstartsbedrift. Vi ønsker selvfølgelig å hjelpe deg på veien. Det er derfor vi har delt det ned i fire hovedpunkter som du kan ta utgangspunkt i og bruke som en GDPR-mal for små bedrifter. Dette vil hjelpe deg å få et klarere bilde av hvilke GDPR-regler som gjelder, hvordan du kan bygge en god struktur og sette gode rutiner for å redusere risikoen for å gå glipp av viktige punkter som kan føre til kostbare straffer.
- Gjennomgå og få oversikt. Hvilke personopplysninger håndteres i din virksomhet? Kartlegg disse og husk at dette ikke bare gjelder ditt kunderegister, men også informasjon om dine ansatte og data som er lagret i ulike typer programmer som du bruker.
- Del dataene inn i kategorier. Hvilke typer ulike personopplysninger håndterer du? Kategoriser disse slik at du får et helhetsbilde og kan sette en tydelig struktur.
- Dokumentasjon. Etter at du som bedriftseier har kategorisert hva slags oppgaver du håndterer, er det enkelt å deretter begynne å dokumentere disse. Det bør foreligge dokumentasjon på hvorfor du har personopplysningene, hvordan de behandles og til hvilke formål. Deretter bør det skrives en personvernpolicy og en personopplysningsassistentavtale.
- Våg å be om hjelp. Det er mye å holde styr på når det kommer til GDPR-regelverket for virksomheter. Hvis du har mulighet, be om hjelp. Det er bedre å sørge for at det blir riktig fra starten av. Det er også veldig god GDPR-tekst på nett å lese for å sikre at du overholder GDPR-regler som gjelder for bedrifter og organisasjoner.
Har du spørsmål angående GDPR for bedrifter eller ønsker du hjelp til å komme i gang med digital kommunikasjon i Rule ? Kontakt oss så hjelper vi deg.
