Gäller GDPR även för ditt företag?
Dataskyddsförordningen (GDPR) gäller för praktiskt taget alla företag som behandlar personuppgifter, oavsett företagets storlek. Så snart du samlar in, sparar eller använder data från kunder, anställda, arbetssökande eller webbplatsbesökare, är du underkastad GDPR. Det finns ingen allmän undantag för små företag eller enskilda näringsidkare.
Det som varierar är dock hur mycket som krävs av dig. En webbutik som behandlar kunddata, betalningsuppgifter och e-postadresser för nyhetsbrev har andra skyldigheter än ett installationsföretag som endast för en personaladministration. Frågan är alltså mindre "gäller det för mig" och mer "vilken del av det berör mig, och hur omfattande är det".
När du nästan säkert är berört
Det finns några situationer som förekommer hos nästan alla företag och som nästan alltid faller under GDPR. Tänk på en kunddatabas med namn och kontaktuppgifter, en personalpärm med löne- och frånvarodata, en rekryteringsprocess där du mottar CV:n, ett kontaktformulär eller nyhetsbrev på din webbplats, och kameraövervakning på arbetsplatsen eller i butiken. I alla dessa fall behandlar du personuppgifter, och det är exakt vad GDPR handlar om.
Även om du delar dessa uppgifter med ett annat företag, till exempel en revisor, en leveranspartner eller en marknadsföringsbyrå, är du fortfarande ansvarig för hur det sker. Det gäller oavsett om du själv sparar uppgifterna eller låter en tjänsteleverantör spara dem.
När det är mindre klart
Det finns också situationer där det är mindre tydligt. En rent affärsmässig relation mellan två företag, där du endast utbyter företagsnamn, KvK-nummer och allmänna kontaktuppgifter för en organisation, faller annorlunda under GDPR än när du registrerar namnet på en specifik kontaktperson. Så snart en uppgift kan spåras till en individ, även inom en affärskontexts sammanhang, är det troligt att det är en personuppgift. En jurist eller Datainspektionen kan bedöma var exakt gränsen ligger i din situation; den här artikeln ger bara vägledning, inget slutgiltigt svar för ditt specifika fall.
Den här sortens gränsfall kombineras ofta med andra skyldigheter. En webbutik som levererar till flera EU-länder kan samtidigt behöva hantera produktsäkerhet, förpackningar och tillgänglighet vid sidan av GDPR. se vilka plattformar som finns ger en översikt över de områden där detta kan spela in, så att du inte behöver utforska var du exakt står för varje skyldighet igen.
Vad storleken på ditt företag förändrar och inte förändrar
Storleken på ditt företag förändrar inget när det gäller huruvida GDPR gäller, men det förändrar ett antal konkreta skyldigheter. Till exempel beror frågan om du måste utse en dataskyddschef, eller hur omfattande ett behandlingsregister måste vara, på karaktären och omfattningen av din databehandling. Ett företag som behandlar känslig data i stor skala, såsom hälsouppgifter, ställs inför andra krav än ett företag som endast registrerar grundläggande kunduppgifter för fakturering. De exakta gränserna och definitionerna finns i GDPR:s officiella text och i Datainspektionens riktlinjer; det är dit du bör vända dig när du vill fastställa detta för ditt eget företag.
Hur du tar reda på det för ditt eget företag
Ett praktiskt sätt att börja är att göra en lista över var personuppgifter kommer in: webbplatsen, personaladministrationen, kundtjänsten, eventuella kameror och externa parter som du delar uppgifter med. För var och en av dessa platser kan du fastställa vilka uppgifter det exakt är och varför du sparar dem. Den här inventeringen är också grunden för ett behandlingsregister, och det är arbete som du i slutändan själv eller tillsammans med en jurist måste göra; ingen plattform kan göra den innehållsmässiga bedömningen åt dig.
Det som reglia gör i detta avseende är att upprätthålla dina företags- och produktuppgifter på ett ställe, så att du inte behöver mata in dem på nytt på varje compliance-plattform när du väl fastställer att en förpliktelse gäller för dig. Hur det precis fungerar och vad som händer med dina uppgifter och vad som inte händer, förklaras på sidan om hur reglia fungerarFrågor om den dagliga praktiken, till exempel vad som händer när uppgifter delas mellan plattformar, har samlats på sidan med vanliga frågor.
När du väl har fastställt vilka förpliktelser som gäller för ditt företag, vill du förmodligen också veta hur dina uppgifter skyddas i detta sammanhang. Det beskrivs på sidan om säkerhet och integritet.
Läs mer
GDPR är en av de regelgivningar som ett företag kan behöva förhålla sig till, tillsammans med till exempel produktsäkerhet, förpackningar eller tillgänglighet. Nyfiken på vilka plattformar som finns och vilken del av era skyldigheter de täcker? Se vilka lösningar som finns och vilken som passar er situation.