Personvern og GDPR for små bedrifter

Fire ting: et behandlingsgrunnlag for hver type opplysning dere bruker, databehandleravtale med alle leverandører som ser dataene, informasjon til kunder og ansatte om hva dere gjør, og en rutine for å oppdage og varsle brudd. Resten er dokumentasjon av de fire.

GDPR har rykte på seg for å være uoverkommelig for små bedrifter. Det er det ikke — men det er heller ikke noe du blir ferdig med gjennom en personvernerklæring på nettsiden. Denne siden viser hva som faktisk kreves av en virksomhet med noen få ansatte.

Hvilke regler gjelder?

Personvernforordningen — GDPR — gjelder som norsk lov gjennom personopplysningsloven § 1. Loven selv er kort; den gjennomfører forordningen og gir noen norske tilpasninger, blant annet at aldersgrensen for barns samtykke til informasjonssamfunnstjenester er 13 år, jf. § 5, og regler om bruk av fødselsnummer i § 12.

Fødselsnummerregelen er verdt å merke seg: fødselsnummer kan bare behandles når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå det. Å bruke fødselsnummer som kundenummer fordi det er praktisk, er ikke tillatt.

I tillegg gjelder arbeidsmiljøloven kapittel 9 for kontrolltiltak overfor ansatte. Der ligger de reglene som oftest brytes i praksis.

Behandlingsgrunnlag: den delen folk hopper over

Ethvert bruk av personopplysninger trenger et lovlig grunnlag. Uten grunnlag er behandlingen ulovlig, uansett hvor godt dataene er sikret.

Den vanligste feilen er å tro at samtykke er standardløsningen. Det er det sjelden.

• Kundeopplysninger behandles normalt fordi det er nødvendig for å oppfylle avtalen med kunden — ikke fordi kunden har samtykket.
• Ansattopplysninger behandles fordi det er nødvendig for arbeidsavtalen, eller fordi loven krever det (skatt, arbeidsgiveravgift, sykefraværsoppfølging).
• Regnskapsdata behandles fordi bokføringsloven pålegger det.
• Markedsføring til nye kontakter er derimot et sted der samtykke ofte er det riktige — og der markedsføringsloven har egne regler i tillegg.

Samtykke er dessuten dårlig egnet i arbeidsforhold. Et gyldig samtykke skal være frivillig og kunne trekkes tilbake uten konsekvenser, og en ansatt står sjelden reelt fritt overfor arbeidsgiveren sin. Bygger du kontrolltiltak på ansattes samtykke, står du svakt.

Sett deg ned én gang og skriv opp hva dere faktisk har av personopplysninger, hvorfor, og hvor lenge. Den øvelsen tar en ettermiddag og løser mesteparten av dokumentasjonskravet.

Databehandleravtaler: hvem ser dataene deres?

Alle som behandler personopplysninger på deres vegne er databehandlere, og det skal foreligge en skriftlig avtale med hver av dem.

For en typisk liten norsk bedrift er listen lengre enn man tror:

• Regnskapsfører eller lønnssystem
• E-post- og kontorpakke
• Skylagring
• CRM- eller kundesystem
• Nettsideleverandør og analyseverktøy
• Fakturasystem
• Rekrutteringsverktøy

De fleste seriøse leverandører har en standard databehandleravtale du kan akseptere digitalt. Jobben din er å vite hvem de er, hente inn avtalen, og sjekke to punkter: hvilke underleverandører de bruker, og om data overføres ut av EØS. Overføring ut av EØS krever et eget grunnlag.

Skriv listen ned. Den er også utgangspunktet for å oppdage hvor et brudd kan oppstå.

Merk skillet mellom rollene, for det avgjør hvem som har ansvaret. Dere er behandlingsansvarlig for egne kunde- og ansattopplysninger — det er dere som bestemmer formålet og midlene, og det er dere som svarer overfor Datatilsynet og de registrerte. Leverandøren er databehandler og skal bare gjøre det dere har instruert om.

Det betyr at du ikke kan skyve ansvaret over på leverandøren. Velger du en tjeneste som ikke holder mål, er det ditt valg som er problemet. Og går du selv ut over det du har avtalt — bruker for eksempel kundelisten fra fakturasystemet til markedsføring uten grunnlag — hjelper ingen databehandleravtale.

En vanlig gråsone er konsulenter og frilansere. Får de tilgang til kundedata for å gjøre en jobb for dere, er de databehandlere og trenger avtale. Bestemmer de selv hva de bruker opplysningene til, er de behandlingsansvarlige på egen hånd, og da er det en utlevering fra dere som trenger sitt eget grunnlag.

Personvern på arbeidsplassen

Her er reglene strengere enn mange arbeidsgivere tror, og det er her Datatilsynet oftest reagerer.

Arbeidsmiljøloven § 9-1 setter to vilkår for ethvert kontrolltiltak: det må ha saklig grunn i virksomhetens forhold, og det må ikke innebære en uforholdsmessig belastning for arbeidstakeren. Begge må være oppfylt.

§ 9-2 legger på en prosess. Arbeidsgiver plikter så tidlig som mulig å drøfte behov, utforming, gjennomføring og vesentlig endring av kontrolltiltak med tillitsvalgte, og før tiltaket iverksettes skal de berørte informeres om formålet, de praktiske konsekvensene og hvordan tiltaket gjennomføres.

To eksempler der bedrifter oftest bommer:

Kameraovervåking. Kan være lovlig ved reell risiko for tyveri eller for å ivareta sikkerheten, men ikke for å følge med på hvor lenge folk er i pausen. Kameraer i garderober og pauserom er ikke tillatt. Skilting og informasjon på forhånd er et krav, ikke en høflighet.

Innsyn i ansattes e-post. Regulert i egen forskrift med hjemmel i § 9-5. Hovedreglene: innsyn krever enten begrunnet mistanke om noe alvorlig, eller at det er nødvendig for driften. Den ansatte skal varsles og gis anledning til å uttale seg og være til stede. Innsynet skal begrenses til det som er nødvendig. Å søke gjennom en tidligere ansatts innboks «for å se om det er noe der» er ikke lov — sett heller opp videresending og slett kontoen etter en avtalt periode.

Når noe går galt

Et personvernbrudd er ikke bare hacking. Det vanligste er langt mer hverdagslig: en e-post med vedlegg til feil mottaker, en mistet telefon, en feilkonfigurert delingslenke, en tidligere ansatt som fortsatt har tilgang.

Rutinen bør være kort nok til å faktisk brukes:

1. Stopp bruddet. Trekk tilbake tilgangen, be om sletting, endre passord.
2. Vurder risikoen for de personene opplysningene gjelder. Hva slags opplysninger, hvor mange, hvor sannsynlig er misbruk?
3. Varsle Datatilsynet uten ugrunnet opphold, og som hovedregel innen 72 timer etter at dere ble kjent med bruddet, med mindre det er usannsynlig at bruddet medfører risiko.
4. Varsle de berørte hvis risikoen er høy.
5. Dokumenter hva som skjedde og hva dere gjorde — også når dere konkluderte med at varsling ikke var nødvendig. Vurderingen er en del av dokumentasjonsplikten.

72 timer er kort. Det er derfor rutinen må finnes før bruddet, ikke skrives mens det pågår.

Rettighetene kundene og de ansatte har — og fristen din

GDPR gir enkeltpersoner rettigheter de kan bruke når som helst, uten å begrunne det. Som bedrift må du kunne svare, og du har som hovedregel én måned på deg.

• Innsyn. Hvilke opplysninger har dere om meg, hvorfor, hvor har dere dem fra og hvem deler dere dem med? Dette er det vanligste kravet, og det kommer oftest fra en misfornøyd kunde eller en tidligere ansatt.
• Retting av feil opplysninger.
• Sletting. Ikke absolutt — dere kan beholde det annen lov krever, som regnskapsmateriale, eller det som er nødvendig for å fastsette eller forsvare et rettskrav.
• Dataportabilitet. Å få utlevert egne opplysninger i et maskinlesbart format, når behandlingen bygger på samtykke eller avtale.
• Innsigelse mot behandling basert på berettiget interesse, og en ubetinget rett til å reservere seg mot direkte markedsføring.

To praktiske råd. Det første: bestem nå hvem i bedriften som håndterer slike krav, og hvor de skal sendes. Én måned går fort når kravet først har ligget i en generell innboks i tre uker. Det andre: et innsynskrav fra en person dere er i konflikt med skal håndteres like ryddig som alle andre. Det er ofte det første steget mot en klage til Datatilsynet, og en avvisende eller sen respons er i seg selv noe tilsynet ser på.

Et eksempel

En bedrift med sju ansatte sier opp en medarbeider. To uker senere kommer et innsynskrav: alle personopplysninger bedriften har om vedkommende.

Det omfatter mer enn personalmappen. Det omfatter e-poster der personen er omtalt, notater fra drøftelsesmøtet, loggdata fra adgangskort, og vurderinger lagret i et rekrutteringsverktøy. Bedriften må gjennomgå dette, skille ut opplysninger om andre personer, og svare innen én måned.

Poenget er ikke at kravet er urimelig — det er lovlig og skal besvares. Poenget er at jobben blir mye mindre hvis dere allerede vet hvor personopplysninger ligger. Det er derfor oversikten over behandlinger er nyttig i praksis, og ikke bare et dokumentasjonskrav.

Når holder det ikke med maler og selvhjelp?

Personvernerklæring, oversikt over behandlinger, standard databehandleravtaler og en enkel avviksrutine er ting en liten bedrift kan sette opp selv.

Hent inn hjelp når:

• Dere skal behandle særlige kategorier opplysninger — helse, fagforeningsmedlemskap, biometri — eller opplysninger om barn.
• Dere driver systematisk overvåking eller profilering, eller bygger et produkt som gjør det.
• Dere skal overføre data ut av EØS uten at leverandøren har et opplagt grunnlag på plass.
• Dere har hatt et brudd med høy risiko, eller har fått henvendelse fra Datatilsynet.
• En registrert krever innsyn eller sletting og dere er uenige i at kravet skal etterkommes.
• Dere utvikler et produkt der personopplysninger er selve forretningsmodellen.

Henvendelse fra Datatilsynet bør besvares raskt og presist, og det er verdt rådgivning. Du finner advokater med personvern som fagfelt i oversikten vår.