Alt du trenger å vite om GDPR

Den generelle databeskyttelsesforordningen (GDPR) trådte i kraft i mai 2018, og påvirket bedrifter av alle størrelser, inkludert små og mellomstore bedrifter (SMB). Forordningen tar sikte på å styrke databeskyttelsen for enkeltpersoner innenfor Den europeiske union (EU) og regulerer hvordan virksomheter samler inn, behandler, lagrer og bruker personopplysninger. Denne omfattende veiledningen vil hjelpe SMB-er å forstå GDPR-regelverket og sikre overholdelse.

Omfang og anvendelighet av GDPR

GDPR gjelder for enhver organisasjon, uavhengig av hvor de befinner seg, som behandler personopplysninger om enkeltpersoner innenfor EU. SMB-er må være klar over at de kan være underlagt GDPR selv om de ikke fysisk befinner seg i EU. Hvis en virksomhet tilbyr varer eller tjenester til enkeltpersoner i EU eller overvåker deres oppførsel, må den overholde GDPR-regelverket.

Personopplysninger Definisjon

Under GDPR refererer personopplysninger til all informasjon knyttet til en identifisert eller identifiserbar person. Dette inkluderer navn, adresser, e-postadresser, telefonnumre, identifikasjonsnumre, IP-adresser og til og med elektroniske identifikatorer som informasjonskapsler. Den dekker også spesielle kategorier av personopplysninger, som rase eller etnisk opprinnelse, politiske meninger, religiøs tro og helseinformasjon, som krever ekstra beskyttelse.

Nøkkelprinsipper for GDPR

GDPR er basert på syv nøkkelprinsipper som bedrifter må følge:

Lovlighet, rettferdighet og åpenhet: Personopplysninger må behandles lovlig, rettferdig og transparent.

Formålsbegrensning: Data bør kun samles inn for spesifikke, eksplisitte og legitime formål.

Dataminimering: Kun nødvendige data skal samles inn og behandles.

Nøyaktighet: Data skal være nøyaktige og oppdaterte.

Lagringsbegrensning: Data bør ikke lagres lenger enn nødvendig.

Integritet og konfidensialitet: Data bør beskyttes mot uautorisert tilgang, tap og ødeleggelse.

Ansvarlighet: Organisasjoner må vise at de overholder GDPR-prinsippene.

Source: https://www.debet.no/gdpr/alt-om-gdpr

Lovlig grunnlag for behandling av personopplysninger

GDPR krever at virksomheter skal ha et lovlig grunnlag for å behandle personopplysninger. De seks lovlige grunnlagene er:

Samtykke: Den enkelte har gitt et klart samtykke til å behandle sine data for et bestemt formål.

Kontrakt: Behandling er nødvendig for å oppfylle en kontrakt som den enkelte er part i.

Juridisk forpliktelse: Behandling er nødvendig for å overholde en juridisk forpliktelse.

Vitale interesser: Behandling er nødvendig for å beskytte noens liv.

Offentlig oppgave: Behandling er nødvendig for å utføre en oppgave i allmennhetens interesse eller for en offisiell funksjon.

Legitime interesser: Behandling er nødvendig for organisasjonens eller en tredjeparts legitime interesser, forutsatt at disse interessene ikke overstyrer individets rettigheter og interesser.

Enkeltpersoners rettigheter

GDPR gir enkeltpersoner flere rettigheter angående deres personopplysninger, inkludert:

Rett til å bli informert: Enkeltpersoner har rett til å vite hvordan opplysningene deres behandles.

Rett til innsyn: Enkeltpersoner har rett til innsyn i sine egne data.

Rett til retting: Enkeltpersoner har rett til å be om retting av unøyaktige data.

Rett til sletting (rett til å bli glemt): Enkeltpersoner kan be om sletting av dataene sine under visse omstendigheter.

Rett til å begrense behandlingen: Enkeltpersoner kan be om begrensning av behandlingen av dataene deres i bestemte situasjoner.

Rett til dataportabilitet: Enkeltpersoner har rett til å innhente og gjenbruke sine personopplysninger på tvers av ulike tjenester.

Rett til å protestere: Enkeltpersoner har rett til å protestere mot behandlingen av dataene deres under visse omstendigheter, for eksempel direkte markedsføring. Rettigheter knyttet til automatisert beslutningstaking og

Profilering: Enkeltpersoner har rett til ikke å bli underlagt avgjørelser som utelukkende er basert på automatisert behandling, inkludert profilering, som gir rettsvirkninger for dem eller påvirker dem i vesentlig grad.

Source: https://www.debet.no/gdpr/alt-om-gdpr

1.

2.

3.

4.

5.

6.

1.

2.

3.

4.

5.

6.

7. 8.

Konsekvenser av brudd på GDPR-regelverket

Brudd på GDPR-regelverket kan føre til alvorlige konsekvenser for virksomheter, inkludert bøter og skade på omdømme. Det europeiske databeskyttelsesbyrået (EDPB) har myndighet til å utstede bøter opp til 4% av en virksomhets globale årlige omsetning eller opp til 20 millioner euro, avhengig av hvilken sum som er høyere. Dessuten kan brudd på GDPR føre til skade på virksomhetens omdømme og mistet tillit blant kundene.

Hvordan SMB-er kan sikre overholdelse av GDPR

SMB-er kan sikre overholdelse av GDPR ved å følge enkle, men viktige trinn:

Forstå og evaluer virksomhetens behandling av personopplysninger.

Oppnevn en person som ansvarlig for GDPR-overholdelse.

Gjennomgå og oppdater virksomhetens retningslinjer og prosedyrer for behandling av personopplysninger.

Informere ansatte om GDPR og deres ansvar for å overholde regelverket.

Opprette en plan for håndtering av personopplysninger i tilfelle av en sikkerhetshendelse.

Gjennomgå og forbedre virksomhetens teknologiske sikkerhetstiltak.

Oppdatere virksomhetens avtaler med tredjeparter om behandling av personopplysninger.

Oppsummering:

GDPR-regelverket er en viktig del av den europeiske unionens satsing på å styrke databeskyttelsen for enkeltpersoner. Som SMB-er må virksomheter forstå regelverket og sikre overholdelse for å unngå alvorlige konsekvenser som bøter og skade på omdømme. Ved å følge enkle, men viktige trinn, kan SMB-er sikre at de overholder GDPR og beskytter enkeltpersoners personopplysninger.

Source: https://www.debet.no/gdpr/alt-om-gdpr