GDPR-skabelon til små virksomheder: fortegnelse og tjekliste

Som minimum seks ting:

• En fortegnelse over, hvad I bruger persondata til (art. 30)
• Databehandleraftaler med de leverandører, der behandler data for jer (art. 28)
• Passende sikkerhed (art. 32)
• En procedure for brud, der skal anmeldes inden 72 timer (art. 33)
• En plan for at svare på anmodninger om indsigt og sletning inden en måned (art. 12)
• En privatlivspolitik, der fortæller kunder og ansøgere, hvad I gør med deres oplysninger

Skabelonen her dækker alle punkterne undtagen selve privatlivspolitikken.

En databehandleraftale er en kontrakt med en leverandør, der behandler persondata på jeres vegne, fx mailsystem, lønsystem, bogholder eller IT-leverandør. I skal have en med hver af dem (GDPR art. 28).

Aftalen skal bl.a. sige, at leverandøren (art. 28, stk. 3):

• kun behandler oplysningerne efter jeres instruks
• sikrer, at medarbejderne har tavshedspligt
• beskytter data med passende sikkerhed
• kun bruger underleverandører med jeres godkendelse
• hjælper jer ved brud og anmodninger fra de registrerede
• sletter eller returnerer data, når samarbejdet slutter

Store leverandører har aftalen indbygget i deres vilkår. Datatilsynet har en skabelon, I kan bruge som udgangspunkt.

Et brud er en sikkerhedshændelse, der fører til, at persondata ved et uheld eller ulovligt bliver ødelagt, mistet, ændret, videregivet eller gjort tilgængelige for uvedkommende (GDPR art. 4, nr. 12).

Det behøver ikke være et hackerangreb. Eksempler:

• En mail med persondata sendt til den forkerte modtager
• En mistet bærbar uden kryptering
• En fil delt med et åbent link
• Ransomware, der krypterer eller stjæler data

Alle brud skal noteres internt. Er det sandsynligt, at bruddet giver en risiko for de berørte, skal det anmeldes til Datatilsynet inden 72 timer (art. 33).

Som udgangspunkt ja. Undtagelsen for virksomheder med under 250 ansatte (art. 30, stk. 5) gælder kun, hvis behandlingen er lejlighedsvis, ikke indebærer en risiko for de registrerede og ikke omfatter følsomme oplysninger eller oplysninger om strafbare forhold. Har I ansatte, behandler I løn- og personaleoplysninger løbende, så undtagelsen dækker sjældent.

Fortegnelsen er en liste over, hvad I bruger persondata til. Ifølge art. 30, stk. 1, skal den bl.a. indeholde:

• navn og kontakt på den dataansvarlige
• formålene med behandlingen
• hvilke grupper af personer og oplysninger det drejer sig om
• hvem oplysningerne videregives til
• eventuelle overførsler til lande uden for EU
• hvornår oplysningerne slettes
• en generel beskrivelse af sikkerheden

Afsnit 1 til 4 i skabelonen dækker punkterne.

Den er gratis og kræver hverken login eller e-mail. Det, du skriver, gemmes kun i din egen browser, mens du skriver, og sendes ikke til os. Rydder du din browserdata eller skifter computer, er det væk, så hent den som Word eller PDF, når den er færdig.

Nej, ikke alene. Den giver jer de dokumenter, Datatilsynet oftest spørger efter, og en tjekliste over sikkerheden. Men GDPR handler også om, at medarbejderne gør det rigtige i hverdagen, fx ikke sender CPR-numre i almindelig mail. Derfor hører træning med. Er I i tvivl om et konkret spørgsmål, så læs Datatilsynets vejledninger eller spørg en rådgiver.

Kun så længe, I har brug for dem til formålet (art. 5, stk. 1, litra e). GDPR har ingen fast frist, men andre love sætter nogle:

• Kundeoplysninger i regnskabet, fx fakturaer: 5 år fra udgangen af regnskabsåret (bogføringsloven)
• Oplysninger til markedsføring: så længe samtykket gælder
• Ansøgninger fra afviste kandidater: efter gængs praksis senest 6 måneder efter afslaget, medmindre ansøgeren har sagt ja til, at I gemmer dem længere

Skriv jeres frister i fortegnelsen, og sæt en påmindelse om at slette.