GDPR

GDPR er personvernforordningen og gjelder i Norge gjennom personopplysningsloven. Reglene omfatter virksomheter som behandler personopplysninger, uavhengig av størrelse.

Personopplysninger er informasjon som kan knyttes til en identifisert eller identifiserbar person. Det kan være navn og kontaktopplysninger, men også opplysninger om ansatte, bruk av digitale tjenester og helse.

For en virksomhet er ikke hovedspørsmålet om den behandler personopplysninger, men om den har tilstrekkelig kontroll med behandlingen. De fleste virksomheter behandler personopplysninger daglig, ofte uten å ha full oversikt.

Alle virksomheter som behandler personopplysninger, må følge GDPR.

GDPR krever blant annet at virksomheten:

• Har et gyldig behandlingsgrunnlag. Samtykke er bare ett mulig grunnlag. Avtale, rettslig plikt eller berettiget interesse kan være aktuelt, avhengig av formålet og vilkårene for det enkelte grunnlaget.
• Dokumenterer hvilke opplysninger som behandles, til hvilket formål, i hvilke systemer, hvem som har tilgang, hvilke leverandører som mottar dem og hvor lenge opplysningene lagres. Dette gjøres i en behandlingsprotokoll.
• Vise hvordan kravene er fulgt. Når en planlagt behandling sannsynligvis vil medføre høy risiko for enkeltpersoners rettigheter og friheter, kan det være nødvendig med en vurdering av personvernkonsekvenser før behandlingen starter.
• Gir de registrerte nødvendig informasjon, og innfører sikkerhetstiltak tilpasset risikoen.
• Har rutiner for blant annet sletting og avvikshåndtering

GDPR gir den registrerte flere rettigheter, blant annet:

• Rett til innsyn
• Rett til retting
• Rett til sletting
• Rett til begrensning av behandling
• Rett til dataportabilitet
• Rett til å protestere

Ikke alle rettigheter er ubetinget. Virksomheten må derfor undersøke hva forespørselen gjelder, kontrollere identiteten når det er nødvendig, finne opplysningene i relevante systemer og eksempelvis vurdere om et unntak eller en plikt til videre lagring gjelder. Virksomheter må ha rutiner for å håndtere slike krav innen lovens frister. Virksomheter bør utpeke en ansvarlig for å motta og koordinere slike krav. Registrer når kravet kom inn, involver systemeiere og relevante leverandører tidlig, og gi svar innen gjeldende frist. Som hovedregel skal den registrerte få svar innen én måned. Hvis virksomheten avslår helt eller delvis, bør begrunnelsen og vurderingen dokumenteres.

Feilsendt post, uvedkommende tilgang, tapt utstyr og løsepengevirus kan være brudd på personopplysningssikkerheten. Første steg er å begrense hendelsen: stans uautorisert tilgang, forsøk å få tilbake opplysninger, sikre relevante logger og avklar med leverandøren hva som har skjedd. Kartlegg deretter hvilke opplysninger og personer som er berørt, og vurder sannsynlige konsekvenser for dem.

Ikke alle hendelser skal meldes til Datatilsynet. Meldeplikten avhenger av risikoen for de berørtes rettigheter og friheter. Når melding er påkrevd, skal den som hovedregel gis innen 72 timer etter at virksomheten ble kjent med bruddet.

Ved høy risiko kan det også være nødvendig å informere de berørte uten ugrunnet opphold. Alle brudd på personopplysningssikkerheten skal dokumenteres, også når virksomheten konkluderer med at melding ikke er nødvendig. Det bør fremgå hva som skjedde, hvordan risikoen ble vurdert, hvilke tiltak som ble gjort, og hva som skal hindre en gjentakelse.

Når en leverandør behandler personopplysninger på virksomhetens vegne, må forholdet reguleres i en databehandleravtale. Virksomheten må også kontrollere hvilke underleverandører som brukes, hvilke sikkerhetstiltak som gjelder, risiko ved overføringen og hvor opplysningene behandles.

Les mer om databehandleravtaler her.

Overføres personopplysninger til land utenfor EØS, må virksomheten ha et gyldig grunnlag for selve overføringen i tillegg til grunnlaget for behandlingen. Virksomheten må også undersøke om overføringen er dekket av en beslutning om tilstrekkelig beskyttelsesnivå. Hvis ikke, må den vurdere et annet grunnlag for overføringen, for eksempel standard personvernbestemmelser, og om ytterligere tiltak er nødvendige for å beskytte opplysningene.

Når det gjelder overføring av personopplysninger til USA er det etablert et personvernrammeverk som åpner for overføring til sertifiserte amerikanske virksomheter innenfor rammen av en beslutning om tilstrekkelig beskyttelsesnivå. Før man bygger på ordningen, må man kontrollere at mottakeren er sertifisert og at den aktuelle overføringen er omfattet. For andre mottakere må et annet overføringsgrunnlag vurderes.

Det er særlig nyttig å gjennomgå personvernet når virksomheten tar i bruk nye systemer, endrer leverandører, samler inn flere opplysninger eller oppdager at rutinene ikke fungerer ved innsynskrav og hendelser. Prioriter det som gir reell risikoreduksjon: oversikt over behandlingene, avklarte ansvarsforhold, fungerende rutiner, databehandleravtaler og en plan for å håndtere brudd.

Mange virksomheter opplever at de:

• Mangler full oversikt over behandlingsaktiviteter
• Bruker leverandører uten tilstrekkelige databehandleravtaler
• Har utdaterte personvernerklæringer
• Ikke har vurdert overføringer til tredjeland, eller at slik overføring gjøres i strid med GDPR
• Mangler dokumentasjon ved kontroll

Vi bistår med å kartlegge behandlinger, vurdere rettslig grunnlag og risiko, utarbeide avtaler og rutiner, og håndtere klager, tilsyn og personvernbrudd. Du får konkrete anbefalinger om hva som må endres, hvem som bør gjøre det, og hva som bør prioriteres først.

GDPR er et komplekst regelverk med både juridiske og tekniske sider. Mange virksomheter tror de har kontroll, helt til det oppstår en klage, et tilsyn eller et brudd.

En advokat med kompetanse innen personvern kan:

• Gjennomgå rutiner og systemer
• Kartlegge risiko og sårbarhet
• Utarbeide eller kvalitetssikre databehandleravtaler, behandlingsprotokoll, personvernpolicy, personvernserklæringer og rutiner
• Bistå ved tilsyn og tvister
• Håndtere erstatningskrav

Jo tidligere juridiske vurderinger gjøres, desto mindre er risikoen for kostbare feil.

GDPR handler ikke bare om etterlevelse. Det handler om tillit, forretningskritisk risikostyring og ansvarlig drift.

Er du usikker på om din virksomhet oppfyller kravene?

Ta kontakt med oss. Vi hjelper deg med en konkret vurdering av din situasjon, og sørger for at personvernarbeidet er juridisk forankret og praktisk gjennomførbart.