EU's databeskyttelsesforordning, ofte kaldet GDPR, regulerer, hvordan virksomheder og organisationer indsamler, opbevarer og bruger oplysninger om personer. Reglerne gælder for næsten alle virksomheder, uanset størrelse, hvis de behandler personoplysninger om kunder, medarbejdere eller andre. Overgangen fra den tidligere persondatalov kræver, at virksomheder gennemgår deres processer og dokumentation, og at medarbejderne får viden om reglerne. Det kan være omfattende, og mange får hjælp udefra. Her er en oversigt over de væsentligste elementer.
Overblik over persondata
Første skridt er at kortlægge, hvilke personoplysninger virksomheden behandler. Det omfatter alt fra kundelister og ansøgninger til lønoplysninger, billeder og oplysninger fra hjemmesiden. For hver type data bør det fremgå, hvorfor oplysningerne indsamles, hvor de opbevares, hvem der har adgang, hvor længe de gemmes, og om de deles med andre. Kortlægningen giver et grundlag for at vurdere, om behandlingen har et lovligt grundlag, og om der indsamles flere oplysninger end nødvendigt. Mange opdager i den proces, at der findes data, som ingen længere har brug for, og som med fordel kan slettes.
Risikovurdering og handlingsplan
Derefter bør virksomheden vurdere de risici, der er forbundet med behandlingen. Hvad sker der, hvis oplysninger kommer på afveje, bliver stjålet eller ændret? Hvilke konsekvenser får det for de personer, oplysningerne handler om? På baggrund af vurderingen kan der laves en handlingsplan med konkrete tiltag, for eksempel adgangsstyring, kryptering, sikkerhedskopiering og regler for sletning. Planen bør have ansvarlige personer og tidsfrister, og den skal følges op regelmæssigt, da både teknologi og trusler ændrer sig.
Aftaler og beredskab
Hvis virksomheden bruger eksterne leverandører til at behandle data, for eksempel til lønadministration eller skylagring, skal der indgås databehandleraftaler, som fastlægger, hvordan leverandøren må behandle oplysningerne. Virksomheden bør desuden have et beredskab for brud på persondatasikkerheden. Det omfatter en procedure for, hvem der skal underrettes internt, hvornår tilsynsmyndigheden skal have besked, og hvornår berørte personer skal informeres. Reglerne indeholder korte tidsfrister, og det er derfor en fordel at have en plan klar, før noget går galt.
Dokumentation og oplæring
Mange virksomheder samler deres retningslinjer i en intern håndbog eller compliance-manual, som beskriver procedurer, ansvar og dokumentation. Selv det bedste regelsæt hjælper dog kun, hvis medarbejderne kender det. Undervisning og workshops kan sikre, at alle forstår, hvad der er personoplysninger, hvordan de skal håndteres, og hvad man gør, hvis man opdager en fejl. Ledelsen bør vise, at emnet tages alvorligt, og følge op med jævne mellemrum.
Kompleksiteten afhænger af virksomhedens størrelse og af, hvilke oplysninger den behandler. Mange mindre virksomheder kan klare sig med enkle rutiner, mens andre har brug for juridisk rådgivning. Uanset størrelse er det en fordel at komme i gang tidligt og at arbejde systematisk, så virksomheden efter omlægningen hurtigt kan vende tilbage til sin normale drift.
