GDPR

GDPR er EU's databeskyttelsesregler for behandling af personoplysninger. Reglerne stiller krav til, hvordan virksomheder indsamler, bruger, opbevarer, deler og sletter oplysninger om identificerede eller identificerbare personer.

Hvorfor er begrebet vigtigt?

GDPR er vigtigt, fordi næsten alle virksomheder behandler personoplysninger om kunder, medarbejdere, kontaktpersoner eller brugere. Reglerne påvirker derfor både IT-systemer, arbejdsgange, aftaler og sikkerhedsforanstaltninger.

For virksomheder er GDPR relevant ved kunderegistre, mail, HR-systemer, hjemmesider, cloudtjenester, backup, adgangsstyring, databehandleraftaler, sletning og håndtering af sikkerhedsbrud.

Typisk misforståelse

Den mest almindelige fejl er at tro, at GDPR kun handler om samtykke. Behandling af personoplysninger kan have forskellige grundlag, og virksomheden skal også arbejde med formål, dataminimering, sikkerhed, dokumentation og de registreredes rettigheder.

Eksempel

En virksomhed bruger et cloudbaseret kundesystem. Den skal blandt andet vide, hvilke personoplysninger systemet indeholder, hvorfor oplysningerne behandles, hvem der har adgang, hvor længe de opbevares, og hvilke leverandører der behandler dem.

Best practice

• Kortlæg hvilke personoplysninger virksomheden behandler.

• Dokumentér formål og grundlag for behandlingen.

• Begræns adgang og indsamling til det nødvendige.

• Indgå relevante databehandleraftaler med leverandører.

• Fastlæg procedurer for sletning, rettigheder og sikkerhedsbrud.