Mange ejere af små virksomheder tænker, at databeskyttelse er noget for store koncerner med egne jurister. Men reglerne gælder også for frisøren med kundekartotek, webshoppen med nyhedsbrev og håndværkeren, der gemmer kunders adresser og telefonnumre. Så snart du behandler oplysninger om enkeltpersoner, er du omfattet.
Den gode nyhed er, at du ikke behøver en stor organisation for at komme godt fra start. Med nogle få faste rutiner kan du komme langt. Her får du de vigtigste skridt i en rækkefølge, der giver mening i en travl hverdag. Husk, at Datatilsynet er den rigtige kilde til de aktuelle regler og vejledninger, og at du bør søge juridisk rådgivning, hvis du er i tvivl.
Hvad er persondata hos dig?
Persondata er alle oplysninger, der kan knyttes til en bestemt person. Det er mere end CPR-numre. Navn, e-mailadresse, telefonnummer, adresse, ordrehistorik, billeder og IP-adresser kan alle være persondata. Det gælder både kunder, medarbejdere, ansøgere og kontaktpersoner hos andre virksomheder.
Begynd med at gøre dig klart, hvilke oplysninger du faktisk har, hvor de kommer fra, og hvad du bruger dem til. Det lyder simpelt, men mange opdager, at der ligger mere rundt omkring, end de troede: i regneark, mailbokse, gamle mapper og på medarbejderes telefoner.
Det er også en god idé at kigge på, hvor længe du gemmer oplysningerne. Du må ikke gemme dem længere, end du har brug for dem, og det kan kræve, at du sletter gamle kundelister, ansøgninger og regneark med jævne mellemrum. Aftal faste regler: Hvor længe gemmer vi ansøgninger? Hvad gør vi med inaktive kunder? Nogle oplysninger skal du gemme i en bestemt periode på grund af andre regler, for eksempel bogføringsloven, så tjek reglerne hos de relevante myndigheder eller spørg din revisor.
Skab overblik over dine behandlinger
Det vigtigste første skridt er et overblik. Lav en simpel oversigt, hvor du for hver type oplysninger noterer, hvorfor du har dem, hvem der har adgang, hvor længe du gemmer dem, og om du deler dem med andre, for eksempel et lønsystem, et nyhedsbrevsprogram eller en revisor.
Oversigten kan være et regneark. Den skal ikke være perfekt, men den skal være ærlig og opdateret. Datatilsynet har vejledninger og skabeloner til, hvordan små virksomheder kan dokumentere deres behandling. Tjek, om reglerne om at føre fortegnelse gælder for din virksomhed, da det kan afhænge af virksomhedens forhold.
Hav styr på retsgrundlaget
Du må kun behandle persondata, hvis du har et lovligt grundlag. Det kan være, at behandlingen er nødvendig for at opfylde en aftale med kunden, at du skal følge en lovkrav, eller at kunden har givet samtykke. For hver type oplysninger bør du vide, hvilket grundlag du bruger.
Samtykke er ikke altid det rigtige. Det skal være frivilligt, specifikt og kunne trækkes tilbage. Hvis du for eksempel sender nyhedsbreve, så sørg for, at modtageren aktivt har sagt ja, og at det er nemt at afmelde sig. Datatilsynet har vejledninger, du kan bruge, og en rådgiver kan hjælpe, hvis grundlaget er uklart.
Kundernes rettigheder
Personer har ret til at få indsigt i, hvilke oplysninger du har om dem, og i visse tilfælde til at få dem rettet eller slettet. Du skal kunne svare inden for en rimelig tid, og det er meget nemmere, hvis du har overblik over, hvor oplysningerne ligger. Beslut på forhånd, hvem i virksomheden der modtager sådanne henvendelser, og hvordan de håndteres. Datatilsynet beskriver rettighederne og fristerne, så tjek dem, hvis du får en henvendelse.
Fortæl folk, hvad du gør
Du har pligt til at informere de personer, hvis oplysninger du behandler. Det sker typisk i en privatlivspolitik, som er skrevet i et forståeligt sprog. Den skal fortælle, hvem du er, hvilke oplysninger du indsamler, hvorfor, hvor længe du gemmer dem, og hvilke rettigheder personerne har.
Husk også medarbejdere og jobansøgere. De skal også informeres, og det kræver en anden tekst end den, der henvender sig til kunderne. Undgå at kopiere en andens politik uden at tjekke, om den passer til din virksomhed. Hvis den beskriver ting, du ikke gør, er den ikke til nogen nytte.
Sikkerhed og rutiner i hverdagen
Du skal sikre, at oplysninger ikke kommer i de forkerte hænder, og at de ikke går tabt. Det behøver ikke være avanceret. Grundlæggende tiltag kan være:
- Kodeord, der er stærke og ikke deles, og helst to-trins login.
- Opdateret software og en sikkerhedskopi, som du ved virker.
- Adgang kun for dem, der har brug for det, og lukket adgang, når nogen stopper.
- Låste skærme og enheder, der kan slettes eller spærres, hvis de bliver væk.
- Kryptering på bærbare computere og mobiltelefoner, hvis de indeholder persondata.
Tænk også på de små ting: mails sendt til forkert modtager, papirer liggende fremme og delte mapper med for bred adgang. Det er ofte her, uheldene sker.
Medarbejderne er den vigtigste sikkerhed
De fleste uheld skyldes menneskelige fejl, ikke avancerede hackerangreb. Derfor er det bedre at bruge en halv time på at tale med medarbejderne om reglerne end at investere i dyr teknik. Fortæl dem, hvad de må bruge privat udstyr til, hvordan de håndterer mails med personoplysninger, og hvem de skal kontakte, hvis noget går galt. Gentag det jævnligt, og tag det op, når nye starter.
Databehandlere og aftaler
Bruger du eksterne leverandører, som behandler persondata på dine vegne, for eksempel et regnskabsprogram, en hostingudbyder eller et lønbureau, er de typisk databehandlere. Så skal der som udgangspunkt være en databehandleraftale, og du skal vide, hvor oplysningerne bliver behandlet.
Mange leverandører har standardaftaler, du kan acceptere, men læs dem igennem. Vær særligt opmærksom, hvis data overføres til lande uden for EU og EØS, da der gælder særlige krav. Spørg Datatilsynet eller en rådgiver, hvis du er i tvivl.
Overvej også, om du har behov for en databeskyttelsesrådgiver. Det er ikke et krav for alle virksomheder, men reglerne afhænger af, hvilken type behandling du foretager, og hvor meget. Spørg Datatilsynet eller en rådgiver, hvis din virksomhed arbejder med mange følsomme oplysninger eller overvåger personer systematisk.
Hvis uheldet er ude
Selv med gode rutiner kan der ske fejl: en mistet computer, et hacket system eller en mail til den forkerte. Nogle brud skal anmeldes til Datatilsynet inden for en kort frist, mens andre blot skal registreres internt. Hvorvidt et brud skal anmeldes, afhænger af risikoen for de berørte personer, og du bør derfor undersøge det hurtigt.
Aftal på forhånd, hvem der gør hvad. Hvem skal kontaktes, hvordan vurderes alvoren, og hvem skriver til dem, der er berørt? Det er meget lettere at handle roligt, hvis planen allerede findes. Datatilsynet har vejledning om, hvordan du håndterer og anmelder brud.
Sådan kommer du i gang
Tag det i små bidder. Begynd med overblikket over de oplysninger, du har. Gennemgå derefter privatlivspolitik, samtykker og aftaler med leverandører. Sørg for de basale sikkerhedsrutiner, og tal med dine medarbejdere om, hvad de må og ikke må med persondata.
Sæt en fast dato i kalenderen, hvor du gennemgår det hele en gang om året. Virksomheden ændrer sig, og det gør dine behandlinger også. Hvis du er i tvivl, så brug Datatilsynets vejledninger, og tag fat i en advokat eller rådgiver med erfaring i databeskyttelse, især hvis du behandler følsomme oplysninger.
