Hvad der tæller som personoplysninger
Enhver information, der direkte eller indirekte kan henføres til en levende person. Navn, e-mail, IP-adresse, kundenummer, lokationsdata, billeder. Særlige kategorier som helbred, fagforening, religion og biometri har skærpet beskyttelse.
De fleste virksomheder behandler langt flere persondata, end de tror. Medarbejderdata, kundedata, leverandørkontakter, webstatistik, kameraovervågning. Listen bliver som regel dobbelt så lang som forventet, første gang nogen sætter sig ned og skriver den.
De seks grundprincipper
Al behandling skal hvile på GDPR’s principper. Lovlighed, rimelighed og gennemsigtighed. Formålsbegrænsning, så data indsamlet til ét formål ikke frit kan genbruges til andre. Dataminimering. Rigtighed. Opbevaringsbegrænsning, altså at I sletter, når formålet er opfyldt. Og integritet og fortrolighed, hvilket i praksis betyder passende sikkerhed.
Oven på det hele ligger ansvarlighedsprincippet. I skal kunne dokumentere, at I overholder reglerne. Compliance, der ikke er skrevet ned, findes ikke i Datatilsynets øjne.
Pligterne i hverdagen
Hverdagens GDPR for en dansk SMV eller kommune handler om et behandlingsgrundlag for hver aktivitet, hvor samtykke kun er ét af seks. En ajourført artikel 30-fortegnelse over behandlingsaktiviteter. Databehandleraftaler med alle leverandører. Håndtering af de registreredes rettigheder inden for en måned. Anmeldelse af brud på persondatasikkerheden til Datatilsynet inden 72 timer. Og passende tekniske og organisatoriske sikkerhedsforanstaltninger efter artikel 32.
Artikel 32 er der, hvor GDPR og cybersikkerhed mødes. Kryptering, adgangsstyring, backup, logning og evnen til at genoprette efter en hændelse er lovkrav, skaleret efter jeres risiko. Ikke noget, man tager, hvis der er budget til overs. Skal nogen holde øje med efterlevelsen udefra, findes rollen som ekstern DPO.