GDPR for småbedrift – hva må du faktisk ha på plass?

Hva GDPR for småbedrift faktisk krever: protokollen først

De fleste virksomheter skal føre en protokoll over sine behandlingsaktiviteter, altså en oversikt over hvilke personopplysninger som samles inn, til hvilket formål, hvem som har tilgang, og hvor lenge de lagres. For Ingvild trenger ikke dette være mer enn et regneark med én rad per aktivitet: kundeordrer med navn, adresse og betalingsinformasjon for å levere varen; e-postadresser til nyhetsbrevet for markedsføring; sykefraværsdata for de to ansatte i personalmappen. Poenget med protokollen er ikke å imponere noen, det er å tvinge fram en bevisst gjennomgang av hva bedriften faktisk gjør med opplysningene den samler inn, slik at hun kan svare presist hvis noen spør, enten det er en kunde, en revisor eller Datatilsynet.

Behandlingsgrunnlaget: samtykke er sjelden det beste valget

Regelverket gir flere mulige rettslige grunnlag for å behandle personopplysninger, og mange småbedrifter griper automatisk til samtykke for alt, selv når det finnes et bedre og mer stabilt alternativ. For å levere en vare Ingvild har solgt, trenger hun ikke samtykke i det hele tatt, kontraktoppfyllelse er nok grunnlag for navn, adresse og betalingsopplysninger. For nyhetsbrevet er situasjonen en annen: markedsføring per e-post til forbrukere krever et aktivt forhåndssamtykke etter markedsføringsloven, og det samtykket må være fritt avgitt, spesifikt og like enkelt å trekke tilbake som det var å gi. Forskjellen er ikke akademisk. Bygger hun nyhetsbrevlisten på kontraktoppfyllelse i stedet for samtykke, kan hun ikke slette abonnenten bare fordi kunden ber om det, uten samtidig å bryte egne plikter, og hun har ikke noe å vise til hvis noen lurer på hvorfor de mottar e-post fra henne.

Personvernerklæringen kundene faktisk leser, ikke bare klikker bort

Erklæringen skal fortelle kundene hvem som er behandlingsansvarlig, hvilke opplysninger som samles inn, til hvilket formål, hvor lenge de lagres, og hvilke rettigheter kunden har, som innsyn, retting og sletting. Det som avgjør om den fungerer i praksis, er ikke juridisk presisjon alene, men om en vanlig kunde faktisk forstår hva som skjer med opplysningene sine. En personvernerklæring for liten bedrift trenger konkrete formuleringer, ikke generelle vendinger kopiert fra en mal laget for et helt annet marked. Ingvild bør sette av en ettermiddag til å skrive erklæringen selv, med egne ord om egne rutiner, fremfor å laste ned en ferdig tekst og bytte ut firmanavnet.

Databehandleravtaler: de fire leverandørene de fleste småbutikker glemmer

Alle leverandører som behandler personopplysninger på bedriftens vegne, uten selv å bestemme formålet, skal ha en databehandleravtale. For en liten nettbutikk er det typisk fire: regnskapsføreren som får tilgang til kunde- og lønnsdata, plattformen nettbutikken er bygget på, fraktleverandøren som mottar navn og adresse for hver forsendelse, og verktøyet som sender ut nyhetsbrevet. Detaljene rundt databehandleravtale med regnskapsføreren er verdt en egen gjennomgang, men hovedpoenget her er enkelt: de fleste av disse leverandørene har en ferdig standardavtale klar til signering, jobben er å faktisk be om den og signere, ikke å finne opp avtalen fra bunnen.

Sletterutiner: bestillingsdata, nyhetsbrev og kundeklubb

Regnskapsmateriale, som ordrebekreftelser og fakturaer, skal som hovedregel oppbevares i fem år etter regnskapsårets slutt, og der er valget enkelt, tallet står i loven. Alt annet må Ingvild ta stilling til selv. Nyhetsbrevsamtykker bør ryddes jevnlig, både når kunden melder seg av og når en adresse ikke har åpnet en eneste e-post på lang tid. Kundeklubbdata, som kjøpshistorikk knyttet til et medlemskap, bør ha en fastsatt levetid fra starten av, ikke lagres på ubestemt tid bare fordi det er praktisk å ha alt liggende. En enkel regel som «slett kundeklubbdata to år etter siste kjøp med mindre kunden er aktiv» er lettere å etterleve enn en vag intensjon om å rydde opp «når det blir tid».

Sikkerhet i praksis for en bedrift uten IT-avdeling

Sikkerhet handler for Ingvild først og fremst om enkle tiltak: sterke passord og topartsbekreftelse på alt som gir tilgang til kundelisten, tilgang begrenset til de som faktisk trenger den, og plattformer som holdes oppdatert i stedet for å bli stående uendret i årevis. Det siste hun bør ha klart før hun trenger det, er en enkel plan for hva som skjer hvis noe går galt, for eksempel hvis en leverandør varsler om et sikkerhetsbrudd på egen side. Den vurderingen henger tett sammen med spørsmålet om hva som skjer ved kundedata på avveie, og er verdt å ha lest før krisen oppstår, ikke midt i den.

Et konkret grep koster ingenting og tar ti minutter: fjern tilganger fra tidligere ansatte og eksterne konsulenter som ikke lenger jobber for firmaet. Et gammelt brukernavn med tilgang til kundelisten er en av de vanligste sikkerhetsglippene i små virksomheter, ikke fordi noen har onde hensikter, men fordi ingen har hatt en rutine for å rydde opp når noen slutter. Ingvild kan løse dette med en enkel sjekkliste hun går gjennom hver gang noen forlater firmaet eller et samarbeid avsluttes: hvilke systemer hadde vedkommende tilgang til, og er tilgangen faktisk fjernet, ikke bare glemt.

Sikkerhet er heller ikke det samme som å kjøpe et dyrt system. Den vanligste feilen blant butikker på Ingvilds størrelse er ikke mangel på teknologi, det er mangel på rutine. En gratis oppdatering som ikke installeres fordi ingen har ansvaret, gir samme risiko som å la være å låse butikkdøren om kvelden. Sett derfor navn på hvem som har ansvaret for hva, selv om det bare er Ingvild selv og én ansatt til å begynne med, slik at oppgaven faktisk blir gjort og ikke bare tenkt på.

Hva som kan vente, og hva som ikke kan det

Ikke alt i regelverket haster like mye for en butikk på Ingvilds størrelse. Personvernombud er som regel bare pålagt for virksomheter som driver omfattende og systematisk overvåking, eller som behandler store mengder særlige kategorier opplysninger, og det treffer sjelden en liten nettbutikk for interiørting. Formelle konsekvensutredninger av personvernkonsekvenser er tilsvarende noe hun kan legge til side inntil hun vurderer noe som faktisk innebærer høy risiko, som storskala profilering av kundeadferd. Det som derimot ikke kan vente, er de fem grunnpilarene: protokoll, behandlingsgrunnlag, personvernerklæring, databehandleravtaler og sletterutiner. De koster lite å få på plass tidlig, og svært mye å rette opp i etterkant hvis en kunde klager eller Datatilsynet tar kontakt.

Kort oppsummert

• GDPR for småbedrift handler i praksis om fem ting: protokoll, behandlingsgrunnlag, personvernerklæring, databehandleravtaler og sletterutiner.
• Overtredelsesgebyr etter regelverket kan i alvorlige saker nå inntil 20 millioner euro eller 4 prosent av global årsomsetning, avhengig av hva som er høyest.
• Kontraktoppfyllelse, ikke samtykke, er som regel riktig grunnlag for å behandle bestillings- og leveringsopplysninger.
• Leverandører som behandler data på bedriftens vegne, som regnskapsfører og nyhetsbrevverktøy, skal ha databehandleravtale.
• Regnskapsmateriale skal som hovedregel oppbevares i fem år, mens nyhetsbrevsamtykker og kundeklubbdata bør ryddes opp i løpende.