Overholdelse av EUs personvernforordning (GDPR) og små bedrifter

Nei, det er de ikke. GDPR gjelder når en virksomhet innhenter personopplysninger fra en person som befinner seg i EU. Dette gjelder enten du er et enkeltpersonforetak eller har kontorer på seks kontinenter.

Når det er sagt, trenger du ikke å føre en skriftlig oversikt over databehandlingsaktiviteter hvis du har færre enn 250 ansatte, med mindre:

• Databehandlingsaktivitetene kan påvirke enkeltpersoners rettigheter og friheter

• Du behandler data som dekkes av GDPRs artikkel 9. Dette er data som avslører en enkeltpersons:
  • Rase eller etnisitet
  • Politiske, religiøse eller filosofiske overbevisning
  • Fagforeningsmedlemskap
  • Genetiske eller biometriske data, eller data om personens helse eller seksualitet

• Du behandler personopplysninger som dekkes av artikkel 10, som er data knyttet til straffbare forhold og domfellelser

• Du behandler personopplysninger regelmessig

Mange små virksomheter og enkeltpersonforetak faller ikke inn under de tre første unntakene.

Men hva med det fjerde? Den belgiske personvernkommisjonen har uttalt at ikke all databehandling er «regelmessig», selv om du gjør det daglig. Ifølge denne tolkningen trenger du ikke å føre oversikt over personopplysninger du for eksempel bruker for å registrere bestillinger eller kommunisere med kunder. Et posisjonsnotat fra Artikkel 29-arbeidsgruppen , forgjengeren til det europeiske personvernombudet, ser imidlertid ut til å mene at du bør tolke «regelmessig» bokstavelig. Det europeiske personvernrådet er enige. Siden dette er så uklart, er det lurt å føre oversikt, selv om du tror du er unntatt. Bedre føre var enn etter snar.

Ja. GDPR gjelder for amerikanske virksomheter hvis de:

• Driver virksomhet i EU

• Ikke driver virksomhet i EU, men innhenter eller sporer personopplysninger som tilhører personer som befinner seg fysisk i EU (dette inkluderer personer som reiser i EU, men vanligvis ikke bor der). Du kan gjøre dette uten å være klar over det. Hvis nettstedet ditt for eksempel har informasjonskapsler som kan brukes til å identifisere en enkeltperson, teller det som personopplysninger under GDPR.

Hvis du vil fortsette å drive virksomhet i EU, må du overholde GDPR. Ellers risikerer du en høy bot. Hvis du ikke driver virksomhet i EU, har du to alternativer:

• Overholde GDPR uansett

• Begrense tilgangen til nettstedet, slik at det ikke kan innhente personopplysninger fra personer som befinner seg i EU

Da GDPR først trådte i kraft, stengte mange amerikanske nettsteder brukere i EU ute for å unngå å bryte GDPR. Over 1000 amerikanske nyhetsnettsteder var for eksempel utilgjengelige i EU i august 2018. Noen utgivere har valgt å trekke seg ut av EU permanent. Charles Arms, talsperson for Lee Enterprises, uttalte: «Internett-trafikken til våre lokale nyhetsnettsteder som kommer fra EU og EØS er de minimis, og vi mener at blokkering av trafikken er i våre lokale mediekunders beste interesse.» Når det er sagt, har mange amerikanske nettsteder nå blitt tilgjengelige igjen i EU uten problemer. Nettsteder til små bedrifter kan også være tilgjengelige i EU uten å få problemer. Det tar oss videre til neste punkt.

GDPR-samsvar for små bedrifter er ikke så komplisert som du kanskje tror. Her er en sjekkliste for GDPR-samsvar som kan hjelpe deg i gang.

1. Hvilke personopplysninger innhenter du?

Du bør vite hvilke personopplysninger du innhenter og hvorvidt noen av dem er sensitive, altså om de faller inn under kategoriene i GDPR artikkel 9 og 10. Du bør også spørre deg selv:

• Hvor kommer informasjonen fra?

• Hvorfor innhenter du den?

• Hva bruker du den til?

Du må kunne besvare disse spørsmålene hvis du blir spurt.

2. Har du samtykke?

Med mindre du har lovmessig grunnlag til å bruke personopplysninger, må enkeltpersoner gi sitt samtykke. Dette må være:

• Frivillig gitt

• Spesifikt

• Informert

• Entydig

Du må registrere samtykket skriftlig. Du må også gjøre det raskt og enkelt å trekke samtykket tilbake. GDPR-samsvarlig kunderelasjonssystemer kan hjelpe med dette. Spesifikt kan de:

• Ta vare på en skriftlig oversikt over personers navn og personopplysninger du har registrert om dem

• Registrere deres samtykke, spesifisere hva de har samtykket til at du bruker opplysningene til (for eksempel for å motta et månedlig nyhetsbrev)

• Gi folk en enkel måte å trekke tilbake samtykket på dersom de ombestemmer seg (for eksempel ved hjelp av skript med ett klikk for avregistrering)

3. Er dataene sikre?

Virksomheten din er ansvarlig for personopplysningene du innhenter. Du risikerer også bot dersom de havner i feil hender. Derfor:

• Bruk krypteringsprogramvare når du lagrer eller overfører personopplysninger på nett

• Sikre nettverket ditt. Uaktsomme ansatte er den ledende årsaken til databrud, så en solid IT-policy er et must. Du bør også investere i sikkerhetsprogramvare, inkludert en brannmur

• Lag merknader om informasjonskapsler og personvernerklæring som overholder GDPR. Disse eksemplene på informasjonskapselinformasjon og eksempler på personvernerklæring kan hjelpe. Du kan også se Microsofts tillitssenter for å finne ut mer om anbefalte fremgangsmåter for GDPR

• Sjekk leverandørene dine for GDPR-samsvar

4. Hva hvis det skjer et alvorlig brudd?

Du må rapportere alvorlige brudd til tilsynsmyndigheten innen 72 timer, ellers risikerer du bot. Sørg for at du har etablerte rapporteringsrutiner. Enda viktigere må du lære opp de ansatte til å:

• Være oppmerksomme

• Forstå hva et alvorlig brudd er

• Kjenne igjen varselsignaler

Hvilken påvirkning har GDPR hatt på små bedrifter så langt?

Det er ingen tvil om det. Etterlevelse av GDPR er tidkrevende og kostbart. I tiden frem mot 25. mai 2018 brukte små bedrifter i Storbritannia rundt 600 timer hver på forberedelser for GDPR. Da har vi ikke engang tatt med den økonomiske kostnaden. Globalt har små og mellomstore bedrifter brukt $1,3 millioner på GDPR-samsvar. På samme måte kan manglende samsvar ha en svært negativ effekt på bunnlinjen. I den første GDPR-saken noensinne, fikk et tysk sosialt nettverk en bot på 20.000 Euro (rundt $22,600) for å ha unnlatt å beskytte personopplysninger etter at en hacker stjal 330.000 e-postadresser og passord. Selv om det kanskje er fristende å se på det som en byrde, har GDPR-samsvar også hatt en positiv effekt på små bedrifter. Dette er grunnen. Forbrukere har aldri tatt personvernet sitt mer på alvor. De forventer også at virksomheter de deler opplysningene sine med, behandler dem på samme måte. I en nylig studie sa 69 % av amerikanske forbrukere at de gjerne vil se en lov tilsvarende GDPR vedtatt i USA. Mer konkret viste en studie fra CMO Council at medlemmer som var forberedt på GDPR har sett økt engasjement, lojalitet og tillit fra forbrukere. Det er tydelig at GDPR er mer enn bare en haug med regler du må følge for å unngå bot. Ingen liker at private opplysninger blir tatt uten samtykke. Eller at de lagres et sted der kriminelle kan få tak i dem. Så ved å ta grep for å oppnå GDPR-samsvar kan du posisjonere den lille virksomheten din som en som virkelig bryr seg om kundenes private data. Dette kan også gi deg en fordel i forhold til konkurrentene.