GDPR-bloggen

Schrems II-dommen har avdekket at det kan være stor forskjell på kart og terreng i forretningsverdenen. Rutiner og rapporter for økonomien følges nitidig opp, mens personvern og personopplysninger ofte er redusert til dokumentasjon som sees over og revideres en gang i året. Innføringen av GDPR var til da EUs kraftigste tiltak for å rydde opp i en stadig mer ruskete holdning til personopplysninger - nå viser Schrems II at det er behov for mye høyere presisjon i håndtering av personvernet enn hva som praktiseres.

Da GDPR ble innført våren 2016 ble det lovet kraftige sanksjoner for de som ikke overholder regelverket. Nå ser vi at dette ikke var tomme løfter. Google, Grindr, British Airways og PWC er bare noen av de internasjonale kjempene som må betale betydelige summer i overtredelsesgebyr. Også her hjemme har flere kommuner og offentlige virksomheter blitt ilagt bøter i millionklassen. Og flere skal det bli. Datatilsynet har varslet en rekke flere bøter i 2021, både til offentlig og privat sektor.

Ved introduksjonen av den nye personvernforordningen brukte virksomheter mye tid på å sette seg inn i regelverket, kartlegge personopplysninger, gjøre risikovurderinger og oppdatere rutinebeskrivelser for å møte kravene. Flere måtte også bytte ut eller oppgradere systemene de bruker til behandling av personopplysninger. Det ble også brukt mye tid på å forhandle databehandleravtaler og innhente dokumentasjon. Nå, over to år senere, har forståelsen av regelverket modnet og det som var ansett som akseptabel dokumentasjon av etterlevelse i 2018, er ikke lenger tilstrekkelig.

Etter innføringen av GDPR i 2018 har en rekke virksomheter opplevd hvor ressurskrevende det er å sikre etterlevelse av regelverket. En av utfordringene er databehandleravtaler. Mange har brukt, og fortsatt bruker, mye tid på å både forhandle- og å opprette slike avtaler. Endelig har det kommet en standard databehandleravtale som kan benyttes, men likevel foreligger det utfordringer med innhold i selve avtalen og hvordan databehandler skal forholde seg til sine forpliktelser etter avtalen i praksis.

– Før samarbeid med ICONFIRM hadde vi verdens lengste og bredeste Excel-ark som var tungvint å jobbe i.

Etterlevelse av GDPR i verdikjeden - virksomhetens ansvar

Mange organisasjoner har definerte regler eller prinsipper for valg av leverandører og samarbeidspartnere. Ordnet økonomi, riktig bruk av arbeidskraft, mangfold i ledelsen, nødvendige konsesjoner eller fagbrev er eksempler på kriterier som brukes. Nå bør også personvern legges til.

Den 28 januar 2020 var den internasjonale personverndagen. Drøye 4 år etter at GDPR ble besluttet og 18 måneder siden forordningen ble gjeldende er det interessant å gjøre opp en status.

Usikker på hva GDPR er, se vår korte GDPR-video

Det har vært mye snakk om GDPR de siste to årene - spesielt gjennom 2018 - og det har vært brukt mange komplekse ord og uttrykk for å forklare denne loven. Men hva innebærer GDPR egentlig, og hvilken betydning har det for deg og din bedrift?

Enhver bedrift må vurdere hvilke opplysninger som faktisk behøves for å oppfylle det gitte formålet - denne vurderingen må i tillegg være dokumentert. Men hva innebærer egentlig vurdering og dokumentering, og hva betyr det for din bedrift i praksis?

Da GDPR trådte i kraft før sommeren 2018 var det mange bedrifter som gjorde en stor innsats for å bli klare for denne personvernsforordningen. Loven krever også at det demonstreres etterlevelse over tid. Din bedrift må derfor klare å etterleve GDPR-kravene, helst uten at det byr på masse ekstra arbeid, ressurser eller høye kostnader.