Hvilke krav stiller GDPR til små virksomheder?

Kort svar: GDPR gælder også for små virksomheder

GDPR er EU's databeskyttelsesregler. De gælder, når en privat virksomhed behandler personoplysninger: indsamler, registrerer, videregiver eller sletter oplysninger om fx kunder eller ansatte. Det gælder, uanset om virksomheden har 2 eller 200 ansatte. Formålet er bl.a. at give borgeren kontrol over egne data og gøre reglerne ensartede i EU.

GDPR står for General Data Protection Regulation. På dansk kaldes reglerne databeskyttelsesforordningen.

GDPR er EU-forordning 2016/679 og fik virkning fra 25. maj 2018. I Danmark suppleres den af databeskyttelsesloven (lov nr. 502 af 23. maj 2018). Tilsynsmyndigheden er Datatilsynet.

Databeskyttelsesforordningen har direkte virkning i Danmark. Det betyder, at der som udgangspunkt ikke må være anden dansk lovgivning, der regulerer behandling af personoplysninger, i det omfang forordningen regulerer det.

Kravene gælder ikke kun store koncerner med egen IT-afdeling. De omfatter også et papirbaseret kundekartotek, et ansættelsesarkiv og en Excel-liste med kontaktoplysninger. For en lille virksomhed er kernen at vide, hvilke data man indsamler, hvad man bruger dem til, og hvordan man passer på dem.

Kravene til en lille dansk virksomhed omfatter bl.a.: at overholde principperne i artikel 5; at have et retligt grundlag efter kapitel II; at oplyse kunder og ansatte; at håndtere indsigt, rettelse og sletning; at slette, når formålet er opfyldt; at have gode procedurer og sikkerhed; at indgå databehandleraftaler efter artikel 28; og at kunne dokumentere behandlingen.

Tilsynet med reglerne ligger hos Datatilsynet. Ansvaret for at overholde reglerne ligger hos den enkelte dataansvarlige virksomhed.

Skab overblik og spørg hvorfor: de første krav i praksis

Datatilsynets guide »GDPR-univers for små virksomheder« opdeler arbejdet i 7 trin. De to første er »Skab overblik« og »Spørg dig selv hvorfor?«.

De 7 trin er: 1) Skab overblik, 2) Spørg dig selv »hvorfor?«, 3) Husk at slette, 4) Oplys om, at du behandler personoplysninger. Derefter: 5) Sørg for at have gode procedurer, 6) Husk sikkerheden, 7) Du er også ansvarlig, når du deler.

GDPR bygger på syv principper: lovlighed, rimelighed og gennemsigtighed; formålsbegrænsning; dataminimering; rigtighed; opbevaringsbegrænsning; integritet og fortrolighed; og ansvarlighed. De findes i artikel 5.

I nogle danske gengivelser kaldes rigtighed for nøjagtighed og opbevaringsbegrænsning for lageringsbegrænsning. Indholdet er det samme: data skal være korrekte og ikke gemmes længere end nødvendigt.

Overblik betyder, at I skal have styr på, hvilke data I behandler, og hvor de lagres og flyttes hen. For en lille virksomhed er det typisk kundelisten, leveringsadresser, kontaktoplysninger, ansættelsesarkivet og måske en nyhedsbrevsliste.

Spørg hvorfor: I skal have en saglig grund til at have oplysningerne. Det er svært at levere en vare uden leveringsadresse og kontaktoplysninger, hvis der går noget galt med leverancen. Der kan også være lovmæssige krav om at opbevare data i en periode, fx hvis en kunde skal kunne reklamere.

Retligt grundlag er ikke kun samtykke; det kan også være at opfylde en kontrakt eller en retlig forpligtelse. Vil I bruge de indsamlede data til andre formål – markedsføring, statistik eller evaluering – skal I spørge om samtykke.

Behandling skal have hjemmel i databeskyttelsesforordningens kapitel II. Hjemlen kan være samtykke, at opfylde en kontrakt eller en retlig forpligtelse. Læg dataminimering ind fra starten: indsaml kun de data, I faktisk har brug for, og kobl dem til det formål, I har oplyst.

Trin 1 og 2 betyder, at I skal kunne vise, hvilke personoplysninger I behandler, og hvor de lagres og flyttes hen. I skal også kunne svare på, hvorfor I har dem.

Retlige grundlag for behandling af personoplysninger (GDPR kapitel II)

Oplys kunder og ansatte – og håndter deres rettigheder

Trin 4 i Datatilsynets guide er at oplyse om, at man behandler personoplysninger. I praksis skal I fortælle, hvilke data I gemmer, hvad de bruges til, og give folk muligheden for at takke nej. Det kan være et kort afsnit i kundekontrakten, på hjemmesiden eller ved tilmelding til et nyhedsbrev.

Enhver registreret person har en række rettigheder i GDPR. For en lille virksomhed betyder det typisk, at en kunde eller medarbejder kan spørge om indsigt i de oplysninger, I har registreret, bede om at få rettet forkerte oplysninger eller bede om at få dem slettet.

Retten til sletning gælder dog ikke altid. Dataansvarlige skal bl.a. slette, når oplysningerne ikke længere er nødvendige for formålet, når et samtykke trækkes tilbage uden anden hjemmel, hvis behandlingen er ulovlig, hvis en lov forpligter til sletning, eller hvis den registrerede gør indsigelse.

I skal kunne finde oplysningerne, når nogen beder om indsigt, og kunne rette dem. I skal også kunne sige nej med en begrundelse – fx at en opbevaringspligt i bogføringsloven betyder, at oplysningerne ikke må slettes endnu.

Oplysningspligten gælder, når I indsamler oplysninger direkte hos kunden eller medarbejderen. I skal informere om, hvilken data I gemmer, hvad den bruges til, og give folk muligheden for at takke nej.

Husk at slette: opbevaringsfrister uden juridisk overarbejde

Trin 3 i Datatilsynets guide er »Husk at slette«. Når I ikke længere har behov for personoplysninger, skal de slettes, medmindre andre regler pålægger jer at gemme dem. Det gælder fx, hvis bogføringsloven kræver opbevaring.

GDPR regulerer, hvor længe I må opbevare oplysningerne. Det er op til jer selv at vurdere, hvor længe I har brug for dem ud fra jeres formål. I har altså råderum til at fastsætte slettefrister.

Det vigtigste er at have rutiner til løbende sletning frem for at gennemgå alle dokumenter for enkeltstående oplysninger. Sæt konkrete frister for fx nyhedsbrevslisten, kundekartoteket og jobansøgninger, og lad sletningen ske automatisk eller på faste tidspunkter.

Det er en myte, at GDPR kan fortælle, hvornår personoplysninger skal slettes. Fristen afhænger af den enkelte behandling og det formål, du har med oplysningerne.

Opbevaringsbegrænsning er samtidig et grundlæggende princip i GDPR. Sletning er derfor ikke valgfrit, når formålet er opfyldt.

Slettepligten gælder, når oplysningerne ikke længere er nødvendige for formålet. Den gælder også, når et samtykke trækkes tilbage uden anden hjemmel, når behandlingen er ulovlig, når en lov forpligter til sletning, eller når den registrerede gør indsigelse.

Der er også en slettepligt for udbydere af informationssamfundstjenester. Hvis en registreret har fået behandlet sine oplysninger på baggrund af samtykke fra en forældremyndighedsindehaver, og den registrerede selv trækker samtykket tilbage efter at være fyldt 13 år, skal oplysningerne slettes.

Gode procedurer, sikkerhed og aftaler med leverandører

Trin 5 er »Sørg for at have gode procedurer«, og trin 6 er »Husk sikkerheden«. Data skal beskyttes mod uautoriseret adgang, ændring eller ødelæggelse, og det kan konkret betyde kryptering og sikre passwords. Hav faste rutiner for, hvem der har adgang til kunde- og medarbejderdata, og hvordan adgangen fjernes, når en medarbejder stopper.

Rollerne skal være klare: du er dataansvarlig for dine egne kunders og ansattes oplysninger. En ekstern leverandør, der behandler persondata på dine vegne, er databehandler.

En databehandleraftale er en kontrakt mellem jer, der beskriver, hvad leverandøren må og ikke må med dataene. Bruger I en cloud-tjeneste, en bogholder eller et nyhedsbrevssystem, skal der som udgangspunkt være en databehandleraftale. Kravet følger af GDPR artikel 28.

Gennemgå jeres leverandørliste og tjek, om der findes en databehandleraftale for hver enkelt. DI-medlemmer kan downloade skabeloner og vejledning om bl.a. databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter.

Trin 7 er »Du er også ansvarlig, når du deler«. Det gælder, når du deler data med andre.

Procedurerne skal bl.a. dække, hvem der har adgang til kunde- og medarbejderdata, og hvordan adgangen fjernes, når en medarbejder stopper. Sikkerheden skal beskytte data mod uautoriseret adgang, ændring eller ødelæggelse.

Dokumentation og ansvarlighed: I skal kunne vise, hvad I gør

Ansvarlighed betyder, at I skal kunne dokumentere, at I behandler persondata i overensstemmelse med reglerne. Et centralt redskab er en fortegnelse over behandlingsaktiviteter – ofte kaldet et dataregister.

Den behøver ikke være tung. Lav en simpel oversigt over hvilke kategorier af personoplysninger I har, hvorfor I har dem, hvem der har adgang, hvor længe de gemmes, og hvilke leverandører der er involveret.

GDPR er fleksible regler, og du kender bedst din egen virksomhed. Det er dig, der vurderer, hvilke personoplysninger du har behov for, til hvilke formål du behandler dem, og hvor længe det er nødvendigt at gemme dem.

Datatilsynet er tilsynsmyndigheden, og ansvaret ligger normalt hos den enkelte dataansvarlige – ikke hos Datatilsynet. Datatilsynet godkender i udgangspunktet ikke virksomheder; kun i meget få tilfælde skal man indhente Datatilsynets tilladelse.

Bøderammerne understreger, hvorfor dokumentation er relevant: alvorlige overtrædelser kan straffes med op til 20 mio. euro eller 4 % af den globale årsomsætning. Mindre alvorlige overtrædelser kan straffes med op til 10 mio. euro eller 2 %.

Dokumentationskravet betyder, at I skal kunne vise, hvordan I behandler persondata. En fortegnelse over behandlingsaktiviteter er et centralt redskab.

Myter og typiske faldgruber i små virksomheder

Myte: GDPR gælder kun store virksomheder. Nej. Alle danske virksomheder skal overholde GDPR, når de behandler personoplysninger om kunder eller ansatte, uanset om der er 2 eller 200 ansatte.

Myte: Man skal altid have samtykke. Nej. Samtykke er et af flere retlige grundlag. Grundlaget kan også være at opfylde en kontrakt eller en retlig forpligtelse.

For data om indgåede aftaler – køb, abonnement, levering af varer eller ydelser – er der ikke noget lovmæssigt krav om samtykke, så længe data slettes efter aftalens udløb eller når de ikke længere skal opbevares. Vil I derimod bruge data til markedsføring, statistik eller evaluering, skal I spørge om samtykke.

Myte: Fødselsdagslisten på kontoret er forbudt. Nej, det vil normalt være helt i orden at have en liste over folks fødselsdage; Datatilsynet har selv sådan en liste på intranettet. Men hvis en kollega ikke ønsker sin fødselsdato delt med andre, skal man lave en ny vurdering af delingen.

Samme logik gælder julefrokosten. Det er en dårlig idé at registrere, hvilke medarbejdere der er muslimer eller ikke tåler skaldyr. Der er intet galt i at spørge, om der er noget, folk ikke spiser.

Myte: Man kan altid kræve alt slettet. Nej, det kan man ikke. Man kan fx ikke bede Skattestyrelsen om at slette, hvad de har registreret.

Sletning skal ske i flere situationer. Det gælder, når oplysningerne ikke længere er nødvendige, når samtykket trækkes tilbage, når behandlingen er ulovlig, når en lov forpligter til sletning, eller når den registrerede gør indsigelse.

Myte: Datatilsynet godkender virksomheder. Nej, i udgangspunktet bliver man ikke godkendt eller får tilladelse.

Myte: GDPR kan fortælle os, hvornår personoplysninger skal slettes. Nej. Det afhænger altid af den enkelte behandling og de formål, oplysningerne er indsamlet til.

Myte: GDPR kræver en persondatapolitik på hjemmesiden og bestemmer, hvordan den skal udformes. Nej.

Kom i gang: prioriter de vigtigste krav først

Start med de tre vigtigste ting: 1) Ved, hvad du indsamler. 2) Fortæl folk, hvad du bruger det til. 3) Slet det, du ikke bruger. Resten kan komme i takt med, at virksomheden vokser.

Datatilsynets »GDPR-univers for små virksomheder« er bygget op om 7 trin og er skrevet i et letforståeligt sprog. Guiden blev lanceret 3. maj 2023 i samarbejde mellem Datatilsynet, Dansk Industri og en række andre organisationer.

Du kan altid få vejledning af Datatilsynet, og din brancheorganisation vil typisk også kunne hjælpe med konkrete spørgsmål til netop din virksomheds håndtering af GDPR. Datatilsynet kan kontaktes på [email protected] eller 33 19 32 00.

Praktisk rækkefølge for de første uger: lav en simpel fortegnelse over, hvilke persondata I har, indfør en sletterutine for det, I ikke længere bruger, og tjek jeres leverandøraftaler. DI-medlemmer kan hente skabeloner til databehandleraftaler og dokumentation af databehandlingsaktiviteter.