Personuppgifter finns i nästan varje digital verksamhet: kundregister, e-post, formulär, analysverktyg, supportärenden, bokningssystem och molntjänster. Därför behöver dataskydd vara en del av företagets löpande arbetssätt och inte bara en integritetspolicy i sidfoten.

Den här guiden sammanfattar stabila grundprinciper och praktiska kontrollpunkter. Exakta krav kan variera beroende på vilken information verksamheten behandlar, varför den behandlas och vilka system eller leverantörer som används.

GDPR i praktiken – börja med grundprinciperna

All behandling av personuppgifter behöver följa dataskyddsförordningens grundläggande principer. Det innebär bland annat att behandlingen ska ha stöd, vara tydlig för den registrerade och begränsas till vad som faktiskt behövs.

Laglighet, korrekthet och öppenhet

Företaget behöver ha en rättslig grund för varje behandling och kunna förklara hur uppgifterna används. Informationen ska vara begriplig och spegla den verkliga hanteringen.

Ändamålsbegränsning

Bestäm varför uppgifterna samlas in innan behandlingen börjar. Använd inte data för nya, oförenliga syften utan att först bedöma om det finns stöd för den nya behandlingen.

Uppgiftsminimering

Samla inte in fler uppgifter än vad ändamålet kräver. Ett kontaktformulär behöver till exempel sällan innehålla fält som inte behövs för att hantera förfrågan.

Riktighet

Personuppgifter som behöver vara korrekta ska hållas uppdaterade och felaktiga uppgifter ska kunna rättas.

Lagringsminimering

Personuppgifter ska inte sparas längre än vad ändamålet kräver. Företaget bör därför ha gallringsregler för exempelvis gamla leads, supportärenden och konton.

Integritet och konfidentialitet

Uppgifterna ska skyddas med lämpliga tekniska och organisatoriska åtgärder. Vilken nivå som är rimlig beror på riskerna, men behörighetsstyrning, flerfaktorsautentisering, uppdateringar och backup är vanliga delar av grundskyddet.

Dokumentera vilken data ni faktiskt har

Det är svårt att skydda information som ingen har överblick över. Börja med en enkel kartläggning:

  • vilka personuppgifter samlar vi in?
  • i vilka system finns de?
  • varför behandlar vi dem?
  • vilken rättslig grund använder vi?
  • vem har åtkomst?
  • vilka externa leverantörer får del av informationen?
  • hur länge behöver uppgifterna sparas?
  • hur tas de bort när de inte längre behövs?

Kartläggningen behöver uppdateras när nya system, formulär, integrationer eller arbetssätt införs.

Integritetspolicyn ska spegla verkligheten

En integritetspolicy är användbar först när den beskriver företagets faktiska behandling. Den bör vara lätt att hitta och skriven så att en vanlig användare förstår den.

Informationen behöver normalt förklara bland annat:

  • vilka typer av personuppgifter som behandlas
  • varför de behandlas
  • vilken rättslig grund som används
  • hur länge uppgifterna sparas eller hur lagringstiden bestäms
  • vilka mottagare eller kategorier av mottagare som kan få del av uppgifterna
  • vilka rättigheter den registrerade har
  • hur företaget kan kontaktas i dataskyddsfrågor

Undvik att kopiera en generell mall utan att kontrollera att den stämmer med de system och processer som faktiskt används.

Cookies, analys och spårning

Cookies och liknande tekniker berör både integritets- och kommunikationsregler. Vilka krav som gäller beror bland annat på teknikens syfte och om den är nödvändig för den tjänst användaren begärt.

Som praktisk grund bör webbplatsen:

  • kartlägga vilka cookies och liknande tekniker som används
  • skilja nödvändiga funktioner från analys, annonsering och annan spårning
  • ge tydlig information innan icke nödvändig spårning aktiveras när samtycke krävs
  • göra val och återkallelse begripliga
  • kontrollera vilka tredjepartsleverantörer som får data

Cookieverktyget ska vara konfigurerat utifrån den verkliga tekniken på sidan; en snygg banner löser inte problemet om scripts laddas på fel sätt.

Registrerades rättigheter kräver interna rutiner

Personer kan beroende på situationen ha rättigheter som tillgång, rättelse, radering, begränsning, invändning och dataportabilitet. Företaget behöver veta hur sådana förfrågningar ska tas emot och hanteras.

Bestäm i förväg

  • vem som äger frågan internt
  • hur identiteten verifieras på ett proportionerligt sätt
  • var relevanta uppgifter söks fram
  • hur beslut och åtgärder dokumenteras
  • hur tidsfrister följs upp

En förfrågan ska inte bli ett improviserat projekt varje gång den kommer in.

Behörigheter i CRM, e-post och molntjänster

En vanlig risk är att fler personer än nödvändigt kan se kund- eller personaldata.

  • använd personliga konton i stället för delade inloggningar
  • styr åtkomst efter roll och arbetsuppgift
  • ta bort behörigheter när någon byter roll eller slutar
  • granska externa gäster och gamla integrationer
  • undvik privata molnkonton för verksamhetsdata

Regelbundna behörighetsgranskningar är ofta enklare än att försöka reda ut åtkomsten först efter en incident.

Leverantörer och personuppgiftsbiträden

Företag använder ofta externa tjänster för e-post, CRM, analys, bokning, support och lagring. När en leverantör behandlar personuppgifter för företagets räkning behöver roller, instruktioner och avtal hanteras korrekt.

Kontrollera bland annat:

  • vilken data leverantören får tillgång till
  • för vilket ändamål den behandlas
  • vilka underleverantörer som används
  • var behandlingen sker
  • vilka säkerhetsåtgärder som erbjuds
  • hur data lämnas tillbaka eller raderas när tjänsten avslutas

Internationella överföringar kan kräva ytterligare bedömningar. Ta juridisk hjälp när upplägget är komplext eller risknivån är hög.

Gallring – ta bort data som inte längre behövs

Gallring behöver vara praktisk. Bestäm både regel och ansvar.

Exempel på frågor

  • När tas inaktiva leads bort?
  • Hur länge behöver supporthistorik sparas?
  • När raderas tidigare användarkonton?
  • Vilken dokumentation måste sparas av andra rättsliga skäl?
  • Kan systemet automatisera delar av gallringen?

Olika informationskategorier kan behöva olika lagringstid, så undvik en enda generell tidsgräns för allt.

Personuppgiftsincidenter – ha en känd process

En personuppgiftsincident kan exempelvis vara att information skickas till fel mottagare, ett konto kapas eller data blir otillgänglig. Företaget behöver snabbt kunna förstå vad som hänt och bedöma nästa steg.

  1. Begränsa: stoppa fortsatt åtkomst eller spridning när det är möjligt.
  2. Dokumentera: vilken data berörs, vilka personer kan påverkas och när upptäcktes händelsen?
  3. Bedöm: analysera riskerna och om incidenten behöver anmälas eller kommuniceras.
  4. Åtgärda: återställ säkerheten och korrigera grundorsaken.
  5. Följ upp: förbättra teknik, rutiner eller utbildning för att minska risken för upprepning.

Vid osäkerhet om anmälningsskyldighet eller andra rättsliga krav bör ansvarig kontrollera aktuell vägledning från behörig myndighet eller ta juridisk rådgivning.

Checklista för mindre företag

  • Vi vet i vilka system personuppgifter finns.
  • Vi har dokumenterat ändamål och rättslig grund för centrala behandlingar.
  • Integritetspolicyn motsvarar verkligheten.
  • Vi har gallringsrutiner.
  • Behörigheter följer arbetsbehov.
  • Flerfaktorsautentisering används på viktiga system.
  • Leverantörer och relevanta avtal är kartlagda.
  • Cookies och spårning är inventerade.
  • Det finns en rutin för rättighetsförfrågningar.
  • Det finns en dokumenterad incidentprocess.

Sammanfattning

Praktiskt dataskydd börjar med kontroll över vilken information företaget har, varför den behövs och vem som får använda den. När rättslig grund, transparens, behörigheter, gallring, leverantörer och incidentrutiner hanteras som löpande processer blir GDPR-arbetet både mer robust och lättare att förvalta.