Gælder GDPR også for din virksomhed?
Generel Forordning om Databeskyttelse (GDPR) gælder for praktisk talt enhver virksomhed, der behandler personoplysninger, uanset virksomhedens størrelse. Så snart du registrerer, opbevarer eller bruger data fra kunder, medarbejdere, ansøgere eller webstedsbesøgende, har du med GDPR at gøre. Der findes ingen generel fritagelse for små virksomheder eller enkeltmandsvirksomheder.
Hvad der varierer, er hvor meget, der bliver krævet af dig. En webshop, der behandler kundedata, betalingsdata og nyhedsbrevadresser, har andre forpligtelser end en installatørbedrift, der kun fører en personaleadministration. Spørgsmålet er således mindre "gælder det for mig" og mere "hvilken del heraf vedrører mig, og hvor omfattende er det".
Hvornår du næsten helt sikkert er omfattet
Der er et par situationer, der forekommer hos næsten enhver virksomhed og som næsten altid er omfattet af GDPR. Tænk på en kundedatabase med navn- og kontaktoplysninger, en personaledossier med løn- og fraværsdata, en ansøgningsprocedure, hvor du modtager cv'er, en kontaktformular eller nyhedsbrev på dit websted, og kameraovervågning på arbejdspladsen eller i butikken. I alle disse tilfælde behandler du personoplysninger, og det er præcis det, GDPR handler om.
Selv hvis du deler disse data med en anden virksomhed, for eksempel en bogholder, en forsendelsespartner eller et marketingbureau, forbliver du ansvarlig for, hvordan det sker. Det gælder uanset om du selv opbevarer dataene, eller om du lader en tjenesteyder opbevare dem.
Hvornår det er mindre klart
Der er også situationer, hvor det er mindre entydig. En rent forretningsforhold mellem to virksomheder, hvor du kun udveksler virksomhedsnavne, CVR-numre og generelle kontaktoplysninger for en organisation, er omfattet af GDPR anderledes end, når du registrerer navnet på en specifik kontaktperson. Så snart en oplysning kan henføres til et individ, også i en forretningssammenhæng, er der stor sandsynlighed for, at det drejer sig om en personoplysning. Hvor præcis grænsen ligger i din situation, er noget, som en jurist eller Datatilsynet kan vurdere; denne artikel giver kun vejledning, ikke et slutgyldigt svar for dit specifikke tilfælde.
Denne slags grænsesituationer optræder ofte sammen med andre forpligtelser. En webshop, der leverer til flere EU-lande, kan samtidig have at gøre med produktsikkerhed, emballage og tilgængelighed sammen med GDPR. se hvilke platforme der findes giver et overblik over de områder, hvor det kan spille en rolle, således at du ikke behøver at finde ud af, hvor du præcist står, for hver enkelt forpligtelse.
Hvad virksomhedens størrelse ændrer og ikke ændrer
Størrelsen på din virksomhed ændrer intet ved spørgsmålet om, hvorvidt GDPR gælder, men ændrer dog en række konkrete forpligtelser. For eksempel afhænger spørgsmålet om, hvorvidt du skal ansætte en databeskyttelsesmedarbejder, eller hvor omfattende et behandlingsregister skal være, af arten og omfanget af databehandlingen. En virksomhed, der i stort omfang behandler følsomme data, såsom sundhedsoplysninger, får andre krav end en virksomhed, der kun registrerer basale kundeoplysninger til fakturering. De præcise grænsedefinitioner og definitioner findes i GDPR's officielle tekst og i retningslinjer fra Datatilsynet; det er stedet at gå tilbage til, hvis du ønsker at fastslå dette for din egen virksomhed.
Hvordan du finder ud af dette for dit eget firma
En praktisk måde at begynde på er at oprette en liste over, hvor personoplysninger kommer ind: webstedet, personaleadministrationen, kundeservice, eventuelle kameraer og eksterne parter, som du deler data med. For hver af disse steder kan du fastslå, hvilke data det præcist er, og hvorfor du opbevarer dem. Denne kortlægning er også grundlaget for et behandlingsregister, og det er arbejde, som du i sidste ende selv eller sammen med en jurist skal udføre; ingen platform kan foretage denne indholdsbestemte afvejning for dig.
Det reglia gør i den forbindelse, er at vedligeholde dine virksomheds- og produktdata på ét sted, så du ikke skal indtaste dem igen på hver compliance-platform, når du har fastslået, at en forpligtelse gælder for dig. Hvordan det præcist fungerer, og hvad der sker og ikke sker med dine data, er forklaret på siden om, hvordan reglia fungererSpørgsmål om den daglige praksis, som f.eks. hvad der sker, når data deles mellem platforme, er samlet på siden med hyppigt stillede spørgsmål.
Når du først har fastslået, hvilke forpligtelser der gælder for din virksomhed, vil du formodentlig også gerne vide, hvordan dine data beskyttes i den forbindelse. Det er beskrevet på siden om sikkerhed og privatlivsbeskyttelse.
Læs mere
GDPR er én af de bestemmelser, som en virksomhed kan få at gøre med, sammen med for eksempel produktsikkerhed, emballage eller tilgængelighed. Nysgerrig efter hvilke platforme der findes, og hvilken del af dine forpligtelser de dækker? Se hvilke løsninger der er, og hvilken der passer til din situation.