GDPR-efterlevnad och småföretag

Nej, det är de inte. GDPR gäller när ett företag samlar in personuppgifter från en person som befinner sig i EU. Det gäller oavsett om du driver verksamheten ensam eller har kontor på sex kontinenter.

Med det sagt slipper du föra ett skriftligt register över hur ni hanterar personuppgifter om företaget har färre än 250 anställda, såvida inte:

• Din datahantering kan påverka människors rättigheter och friheter

• Du behandlar data som omfattas av artikel 9 i GDPR. Det handlar om information som avslöjar en persons:
  • Ras eller etnicitet
  • Politiska, religiösa eller filosofiska övertygelse
  • Medlemskap i fackförening
  • Genetiska eller biometriska uppgifter, eller uppgifter om personens hälsa eller sexuella läggning

• Du behandlar personuppgifter som omfattas av artikel 10, det vill säga uppgifter som rör brott och straffdomar

• Du behandlar personuppgifter regelbundet

Många små företag och enskilda näringsidkare omfattas inte av de tre första undantagen.

Men hur är det med det fjärde? Den belgiska dataskyddsmyndigheten har hävdat att inte all personuppgiftsbehandling ska anses vara ”regelbunden”, även om den sker dagligen. Enligt den tolkningen skulle du exempelvis inte behöva föra register över personuppgifter som används för att lägga beställningar eller kommunicera med kunder. Men ett ställningstagandet från Artikel 29-arbetsgruppen , föregångaren till Europeiska dataskyddsstyrelsen, tycks antyda att man bör tolka ”regelbundet” bokstavligt. Och Europeiska dataskyddsstyrelsen har instämt. Eftersom rättsläget är så oklart är det en bra idé att föra register, även om du tror att du är undantagen. Det är bättre att vara på den säkra sidan.

Ja. GDPR gäller för amerikanska företag om de:

• Bedriver verksamhet i EU

• Bedriver du inte verksamhet i EU, men samlar in eller spårar personuppgifter som tillhör personer som befinner sig fysiskt i EU (detta omfattar personer som reser i EU men inte vanligtvis bor där). Det här kanske du gör utan att ens vara medveten om det. Om din sajt använder cookies som kan kopplas till en specifik person, räknas det nämligen som personuppgifter enligt GDPR

Om du vill fortsätta bedriva verksamhet i EU måste du följa GDPR. Annars riskerar du rejäla böter. Om du inte bedriver verksamhet i EU har du två alternativ:

• Följ GDPR ändå

• Begränsa åtkomsten till webbplatsen så att den inte kan samla in personuppgifter från personer som befinner sig i EU

När GDPR först infördes valde många amerikanska webbplatser att stänga ute EU-användare för att inte riskera att bryta mot reglerna. I augusti 2018 var till exempel över 1 1 amerikanska nyhetssajter helt otillgängliga i EU. Vissa mediehus bestämde sig till och med för att lämna EU-marknaden permanent. Charles Arms, talesperson för Lee Enterprises, kommenterade: ”Trafiken till våra lokala nyhetssajter från EU och EES är minimal, och vi anser att det bästa för våra lokala mediekunder är att blockera den trafiken.” Trots detta har många amerikanska sajter idag lyckats komma online i EU igen utan några problem. Även ditt småföretags webbplats kan vara tillgänglig i EU utan att du hamnar i klistret. Detta tar oss vidare till nästa punkt.

Att få ditt småföretag på rätt spår mot GDPR-efterlevnad är inte så svårt som du kanske tror. Här är en checklista för GDPR-efterlevnad som du kan börja med.

1. Vilka personuppgifter samlar du in?

Du bör veta vilken personlig information du samlar in och om någon av uppgifterna är känsliga, det vill säga om de omfattas av kategorierna i artiklarna 9 och 10 i GDPR. Du bör också ställa dig frågan:

• Varifrån kommer informationen?

• Varför samlar du in den?

• Vad ska du göra med den?

Du måste kunna svara på de här frågorna om du blir tillfrågad.

2. Har du fått samtycke?

Om du inte har laglig grund för att använda personuppgifter måste personerna ge sitt samtycke. Det måste vara:

• Frivilligt

• Specifikt

• Informerat

• Entydigt

Du måste ha ett skriftligt underlag på samtycket. Du måste också göra det snabbt och enkelt att ta tillbaka ett samtycke. Ett GDPR-anpassat CRM-system(Customer Relationship Management) kan hjälpa till med detta. Specifikt bör det:

• Hålla en skriftlig förteckning över personers namn och de personuppgifter du har om dem

• Registrera deras samtycke och ange vad de har samtyckt till att du använder deras uppgifter för (till exempel att de ska få ditt månatliga nyhetsbrev)

• Ge personerna ett enkelt sätt att återkalla sitt samtycke om de ångrar sig (till exempel via skript för avregistrering med ett klick)

3. Är uppgifterna säkra?

Ditt företag ansvarar för de personuppgifter du samlar in. Och du riskerar böter om de hamnar i fel händer. Så:

• Använd krypteringsprogram när du lagrar eller överför personuppgifter online

• Skydda ditt nätverk. Oaktsamma medarbetare är den vanligaste orsaken till dataintrång, så en stabil it-policy är ett måste. Du bör också investera i säkerhetsprogram, inklusive en brandvägg

• Skapa GDPR-anpassade cookie- och integritetspolicyer. De här exemplen på cookiemallar och mallar för integritetsprinciper kan hjälpa dig på traven. Du kan också gå till Microsofts Trust Centre om du vill få metodtips för GDPR

• Kontrollera att dina leverantörer följer GDPR

4. Vad händer om det inträffar en allvarlig överträdelse?

Du måste rapportera allvarliga intrång till tillsynsmyndigheten inom 72 timmar, annars riskerar du böter. Se till att du har rutiner för rapportering på plats. Och, ännu viktigare, utbilda dina anställda i att:

• Vara uppmärksamma

• Förstå vad en allvarlig incident är

• Känna igen varningssignaler

På vilket sätt har GDPR påverkat småföretag hittills?

Det råder inget tvivel om saken. GDPR-efterlevnad är tidskrävande och dyrt. Inför 25 maj 2018 lade småföretag i Storbritannien omkring 600 timmar vardera på att förbereda sig för GDPR. Och då är de rent ekonomiska kostnaderna inte medräknade. Globalt sett har små och medelstora företag lagt ner 1,3 miljoner USD på GDPR-efterlevnad. Samtidigt kan bristande efterlevnad få kännbara ekonomiska konsekvenser för verksamhetens resultat. I det allra första GDPR-fallet bötfälldes ett tyskt socialt nätverk med 20 000 euro (cirka 22 600 USD) för underlåtenhet att skydda användarnas personuppgifter efter att en hackare kommit över 330 000 mejladresser och lösenord. Men även om det är lätt att betrakta regelverket som en börda, har GDPR-efterlevnad också haft en positiv inverkan på småföretag. Det beror på följande. Konsumenter har aldrig tagit sin personliga integritet på större allvar. Och de förväntar sig att företag som de delar sin information med känner likadant. I en nyligen genomförd studie uppgav 69 % av de amerikanska konsumenterna till och med att de skulle vilja se en lagstiftning liknande GDPR i USA. Mer specifikt visade en studie från CMO Council att de medlemmar som var förberedda på GDPR har noterat högre engagemang, ökad lojalitet och starkare förtroende från konsumenterna. Det är uppenbart att GDPR är mer än bara en samling regler som måste följas för att undvika sanktionsavgifter. Ingen uppskattar att deras privata information inhämtas utan samtycke. Eller förvaras på ett sätt som gör den åtkomlig för brottslingar. Genom att vidta åtgärder för att uppnå GDPR-efterlevnad kan du därför positionera ditt småföretag som en verksamhet som genuint värnar om sina kunders personuppgifter. Detta kan i sin tur ge företaget en konkurrensfördel.