Så hanterar du GDPR i ett nystartat företag

Vad räknas som personuppgifter i ert nystartade företag?

Börja med att inventera vilka uppgifter företaget hanterar. En registrerad är en person som kan identifieras direkt eller indirekt genom exempelvis namn, ID-nummer, platsdata eller uppgifter om personens fysiska, ekonomiska, kulturella eller sociala identitet.

Även tekniska spår kan identifiera en person. Onlineidentifierare omfattar bland annat IP-adresser, cookie-ID, annons-ID, enhets-ID och RFID-taggar; fingeravtryck kan också fungera som identifierare.

Gå igenom kundregister, e-postlistor, webbanalys, rekryteringsmaterial och supportärenden. Namn, kontaktuppgifter, IP-adresser och kakor i ett analysverktyg kan vara personuppgifter om de går att koppla till en person.

Vem är personuppgiftsansvarig?

Personuppgiftsansvarig är den organisation som bestämmer ändamålen med behandlingen och hur den går till. Det kan vara ett aktiebolag, en stiftelse, en förening eller en myndighet.

Rollen avgörs av vem som bestämmer, inte av vem som utför arbetet. Om företaget bestämmer varför uppgifterna samlas in och vilka system som används är företaget personuppgiftsansvarigt och ansvarar för att kraven uppfylls.

Kartlägg behandling och gallring

Reglerna finns i EU:s allmänna dataskyddsförordning (EU) 2016/679, GDPR. För varje behandling dokumenterar ni vilka uppgifter som samlas in, varifrån de kommer, varför de används, var de finns, till vem de lämnas ut och hur länge de sparas.

Bedöm om företaget ska föra register över behandlingar enligt artikel 30. IMY anger att skyldigheten bland annat kan bero på företagets storlek och riskerna med behandlingarna; dokumentation kan också hjälpa er att visa att behandlingen är laglig.

Förteckna behandlingarna i ett enkelt kalkylblad eller ett mer avancerat verktyg. Ta med ändamål, kategorier av personuppgifter, mottagare och lagringstid.

Välj och dokumentera en rättslig grund enligt artikel 6 för varje ändamål. Samtycke enligt artikel 6.1 a och berättigat intresse enligt artikel 6.1 f är två möjliga grunder; om ingen rättslig grund finns inhämtas som regel samtycke före behandlingen.

Skilj mellan kakor som behövs för att webbplatsen ska fungera och kakor för exempelvis statistik eller riktad reklam. Beskriv användningen och den rättsliga grund ni stödjer behandlingen på; webbläsarinställningar kan användas för att välja bort kakor, men det kan påverka webbplatsens funktion.

Spara personuppgifter bara så länge de behövs för ändamålet. Sätt en gallringstid per kategori, till exempel efter avslutad rekrytering för ansökningar och så länge avtalsförhållandet består för kunduppgifter, och utse någon som ansvarar för gallringen.

Rättsliga grunder enligt GDPR – artikel 6

Avtala med personuppgiftsbiträden

När en extern leverantör behandlar personuppgifter för företagets räkning behövs ett personuppgiftsbiträdesavtal (PuBA). Enligt artikel 28.3 ska avtalet bland annat ange behandlingens föremål, varaktighet, art och ändamål, vilka personuppgifter och registrerade som omfattas samt den personuppgiftsansvariges skyldigheter och rättigheter.

Vanliga biträden är leverantörer av lönesystem, e-post, webbhotell, analys- och marknadsföringsverktyg samt bokföringsbyråer. Begär avtalet innan tjänsten tas i bruk.

Kontrollera också om en leverantör överför personuppgifter utanför EU och EES. GDPR innehåller regler om sådana överföringar.

Behöver ni ett dataskyddsombud?

Enligt artikel 37 ska ett företag utse dataskyddsombud i vissa fall. Kriterierna omfattar myndighetsutövning, storskalig regelbunden övervakning eller behandling av känsliga personuppgifter i stor omfattning.

Dataskyddsombudet ska kontrollera att GDPR följs, exempelvis genom kontroller och information. Gå igenom företagets behandlingar och dokumentera bedömningen; ompröva den när verksamheten förändras.

GDPR-kriterier för dataskyddsombud enligt artikel 37

Anonymisera där det är möjligt

Anonymisering innebär att uppgifter ändras så att den registrerade inte kan identifieras eller återidentifieras. Då är uppgifterna inte längre personuppgifter och GDPR gäller inte för den fortsatta användningen.

Anonymiserade underlag kan användas för statistik och analys. Om uppgifterna fortfarande går att koppla till en person är de fortfarande personuppgifter.

Bygg rutiner för löpande regelefterlevnad

Skapa en rutin för registrerades rättigheter enligt artiklarna 15–22, bland annat tillgång, rättelse, radering och i vissa fall dataportabilitet. En begäran om tillgång kan gälla ett registerutdrag; Integritetsskyddsmyndigheten (IMY) anger att företag i regel har en månad på sig att svara.

Ha en rutin för personuppgiftsincidenter: logga incidenten, bedöm risken och dokumentera hanteringen. Allvarliga incidenter ska anmälas till IMY inom 72 timmar.

Skriv en integritetspolicy som förklarar vilka personuppgifter ni behandlar, varför ni använder dem, vilka som får del av dem och när de raderas. Beskriv också hur registrerade kan kontakta företaget och använda sina rättigheter.

Utse en intern ansvarig och se till att beslutsfattare och andra med tillgång till personuppgifter känner till rutinerna. De ska bara behandla uppgifterna enligt företagets instruktioner; gå igenom register, gallring och leverantörsavtal när verksamheten förändras eller ett nytt system införs.

GDPR gäller i EU och EES. Den som anser att ett företag behandlar personuppgifter felaktigt kan lämna ett klagomål till IMY via myndighetens e-tjänst.