GDPR-overholdelse og små virksomheder

Nej, det er de ikke. GDPR gælder, når en virksomhed indsamler personlige oplysninger fra en person, der befinder sig i EU. Det gælder, uanset om du er en enkeltmandsvirksomhed eller har kontorer på seks kontinenter.

Når det er sagt, behøver du ikke at føre skriftlige optegnelser over dine databehandlingsaktiviteter, hvis du har færre end 250 ansatte, medmindre:

• Dine databehandlingsaktiviteter kan påvirke enkeltpersoners rettigheder og frihedsrettigheder

• Du behandler data, der er omfattet af GDPR artikel 9. Det er data, der afslører en persons:
  • Race eller etnicitet
  • Politiske, religiøse eller filosofiske overbevisninger
  • Medlemskab af en fagforening
  • Genetiske eller biometriske data eller data om personens helbred eller seksualitet

• Du behandler personlige oplysninger omfattet af artikel 10, det vil sige oplysninger om strafbare forhold og domfældelser

• Du behandler personlige oplysninger regelmæssigt

Mange små virksomheder og enkeltmandsvirksomheder vil ikke være omfattet af de første tre undtagelser.

Men hvad med den fjerde? Den belgiske datatilsynsmyndighed har påpeget, at ikke al databehandling er "lovlig", selvom man måske udfører den dagligt. Ifølge denne fortolkning behøver du for eksempel ikke føre registre over personlige oplysninger, som du bruger til at afgive ordrer eller kommunikere med kunder. Men et holdningsnotat fra Artikel 29-arbejdsgruppen – forgængeren til Det Europæiske Databeskyttelsesråd – synes at antyde, at man bør fortolke "regelmæssig" bogstaveligt. Og Det Europæiske Databeskyttelsesråd er enig. Fordi notatet er så uklart, er det en god idé at føre registre, selvom du mener, at du er undtaget. Det er bedre at være på den sikre side.

Ja. GDPR gælder for amerikanske virksomheder, hvis de:

• Driver forretninger i EU

• Ikke driver forretning i EU, men indsamler eller sporer personlige oplysninger om personer, der befinder sig fysisk i EU (det omfatter personer, der rejser i EU, men som normalt ikke bor der). Det gør du måske uden engang at være klar over det. Hvis f.eks. dit websteds cookies kan bruges til at identificere en person, tæller de som personlige oplysninger i henhold til GDPR

Hvis du vil fortsætte med at drive forretning i EU, skal du overholde GDPR. Ellers risikerer du at få en stor bøde. Hvis du ikke driver forretning i EU, har du to muligheder:

• Alligevel overholde GDPR

• Begrænse adgangen til dit websted, så det ikke kan indsamle personlige oplysninger fra personer i EU

Da GDPR først trådte i kraft, lukkede mange amerikanske websteder for EU-brugere for ikke at komme i konflikt med GDPR. F.eks. var mere end 1.1 amerikanske nyhedswebsteder ikke tilgængelige i EU fra og med august 2018. Nogle udgivere har valgt at trække sig permanent ud af EU. Lee Enterprises-talsmand Charles Arms kommenterede: "Internettrafikken på vores lokale nyhedssider, der stammer fra EU og EØS, er de minimis, og vi mener, at blokering af den trafik er i vores lokale mediekunders bedste interesse". Når det er sagt, har mange amerikanske websteder nu fået adgang igen i EU uden problemer. Og dit websted for din lille virksomhed kan også være tilgængeligt i EU uden at komme i problemer. Hvilket bringer os videre til næste punkt.

At få din lille virksomhed på rette spor mod overholdelse af GDPR er ikke så svært, som du måske tror. Her er en tjekliste til GDPR-overholdelse, som du kan starte med.

1. Hvilke personlige oplysninger indsamler du?

Du bør vide, hvilke personlige oplysninger du indsamler, og om nogen af dem er følsomme, det vil sige om de falder ind under kategorierne i GDPR artikel 9 og 10. Du bør også spørge dig selv:

• Hvor kommer oplysningerne fra?

• Hvorfor indsamler du dem?

• Hvad bruger du dem til?

Du skal kunne besvare disse spørgsmål, hvis du bliver spurgt.

2. Har du samtykke?

Medmindre du har et lovligt grundlag for at bruge personlige oplysninger, skal personer give deres samtykke. Det skal være:

• Givet frivilligt

• Specifik

• Informeret

• Utvetydigt

Du skal føre en skriftlig registrering af samtykke. Du skal også gøre det hurtigt og nemt at trække samtykket tilbage. Overholder angivne standarder i GDPR Customer Relationship Management-software, kan hjælpe her. Det kan især:

• Føre en skriftlig oversigt over personers navne og de personlige oplysninger, du har om dem

• Registrere deres samtykke, og angiv, hvad de har givet samtykke til, at du bruger deres data til (for eksempel til at modtage dit månedlige nyhedsbrev)

• Give folk en nem måde at trække deres samtykke tilbage på, hvis de skulle skifte mening (for eksempel via scripts til "afmeld" med ét klik)

3. Er dataene sikre?

Din virksomhed er ansvarlig for de personoplysninger, du indsamler. Og du risikerer at få en bøde, hvis de havner i de forkerte hænder. Så:

• Brug krypteringssoftware, når du gemmer eller overfører personlige oplysninger online

• Beskyt dit netværk. Uforsigtige medarbejdere er den hyppigste årsag til databrud, så en solid it-politik er et must. Du bør også investere i sikkerhedssoftware, herunder en firewall

• Opret erklæringer om beskyttelse af personlige oplysninger og cookies, der overholder angivne standarder i GDPR. Disse eksempler på skabeloner til erklæringer om beskyttelse af personlige oplysninger og cookies kan være til hjælp. Du kan også se Microsofts center for sikkerhed og rettighedsadministration for at få mere at vide om bedste praksis for GDPR

• Kontrollér dine leverandører for overholdelse af regler og standarder af GDPR

4. Hvad hvis der er et alvorligt brud?

Du skal indberette alvorlige brud til tilsynsmyndigheden inden for 72 timer, ellers risikerer du at få en bøde. Sørg for, at du har rapporteringsprocedurer på plads. Og vigtigst af alt skal du lære dine medarbejdere at:

• Være opmærksom

• Forstå, hvad et alvorligt brud er

• Genkende røde flag

Hvad har GDPR's betydning været for små virksomheder indtil nu?

Der er ingen vej uden om det. GDPR-overholdelse er tidskrævende og dyrt. Op til den 25. maj 2018 brugte små virksomheder i Storbritannien omkring 600 timer hver på at forberede sig på GDPR. Og det er uden at medregne de økonomiske omkostninger. På verdensplan har små og mellemstore virksomheder brugt 1,3 millioner USD på GDPR-overholdelse. Ligeledes kan manglende overholdelse have en meget stor effekt på din bundlinje. I den første GDPR-sag nogensinde, fik et tysk socialt netværk en bøde på 20.000 € (cirka 22.600 USD) for ikke at beskytte brugernes personlige oplysninger efter at en hacker stjal 330.000 mailadresser og adgangskoder. Men selv om du måske er fristet til at se det som en byrde, har GDPR-overholdelse også haft en positiv effekt på små virksomheder. Og her er hvorfor. Forbrugerne har aldrig taget deres beskyttelse af personlige oplysninger mere alvorligt. Og de forventer, at virksomheder, de deler deres oplysninger med, føler det samme. I en nylig undersøgelse sagde 69 % af amerikanske forbrugere endda, at de gerne så en lov, der ligner GDPR, indført i USA. Mere præcist viste en undersøgelse fra CMO Council, at medlemmer, der var forberedt på GDPR, har set større engagement, større loyalitet og øget tillid fra forbrugerne. Det er tydeligt, at GDPR er mere end bare en masse regler, du skal følge for ikke at få en bøde. Ingen kan lide, at deres personlige oplysninger indhentes uden deres samtykke. Eller opbevaret et sted, hvor kriminelle kan få fat i dem. Så ved at tage skridt til at opnå GDPR-overholdelse kan du positionere din lille virksomhed som en virksomhed, der virkelig går op i kundernes personlige oplysninger. Og det kan give dig fordelen i forhold til din konkurrence.