En praktisk GDPR-veiledning

GDPR står for General Data Protection Regulation, og er en forordning fra EU, som nå også blir lov i Norge. Det betyr at vi får nye personvernregler som trer i kraft 25.05.2018. Det nye regelverket gir virksomheter nye plikter når det gjelder håndtering av personopplysninger, mens enkeltpersoner får nye rettigheter. Intensjonen med GDPR er å gjøre internett tryggere og bedre for folk flest, og dette er noe vi i Increo tar svært seriøst.

 

Selv om de nye reglene er en videreføring av dagens lovverk, må nye rutiner på plass i alle virksomheter, og alle i organisasjonen må kjenne til og følge de nye reglene.

Vi har ansvar for all data vi samler inn i forbindelse med kundeavtaler, markedskommunikasjon og liknende. Vi har et ansvar overfor våre kunder, når det kommer til veiledning og rådgivning i forbindelse med GDPR. Vi skal sørge for at våre kunder er best mulig rustet til å håndtere de nye reglene, samt hjelpe dem å bygge en løsning for datainnsamling som ivaretar personvern. I tillegg er vi ansvarlige for å rådgi slik at kundens instruksjoner ikke er i strid med GDPR eller øvrige personvernregler. Som samarbeidspartner og databehandler av personopplysninger på vegne av våre kunder, har Increo også et delansvar for å sikre at reglene følges opp.

 

‍I henhold til GDPR må kunden gjøre sin due diligence med hensyn til sine prosessorer, inkludert Increo. Hovedansvarlig for behandling av personopplysninger er fortsatt kunden. Det er ikke vårt ansvar å sørge for at kunden gjør sin del. Vi kan tilby veiledning/rådgivning, men det er klientene som har det siste ordet og er juridisk ansvarlige for sine avgjørelser. Våre plikter følges av en databehandleravtale, som er en del av vår Service Level Agreement.

De nye reglene innebærer at du har rett til større innsyn i hvilke personlige data som er lagret om deg hos en organisasjon. Du har også rett til å be om at dine personlige opplysninger slettes, og du har lov til å ta med deg personopplysningene dine til en annen virksomhet, for å nevne noe. Dette stiller høye krav til virksomhetene når det kommer til systematisering av persondata i ulike databaser.

1. Identifisere hvilke personopplysninger de faktisk trenger å lagre. Det skal kun samles inn informasjon det er behov for og som det er fått samtykke til.
    
2. Kartlegge hvilke personopplysninger de allerede har lagret  og organisere nødvendig data på en ryddig måte. Personopplysninger skal slettes når de ikke lenger er nødvendige for formålet de ble samlet inn for.
    
3. Samle og lage regler for automatisk håndtering av persondata i tråd med kravene, for å unngå for mye manuell håndtering.
    
4. Kommunisere klart og tydelig overfor brukerne sine når det gjelder personvern. Dette kan du gjøre ved å produsere en lett forståelig personvernerklæring på nettsiden. Du må også forklare tydelig hvorfor, og hvor lenge, personlige data blir lagret, samt presisere hvilke data som lagres til enhver tid, basert på hvilke handlinger brukerne utfører. Gi tydelig informasjon om hvordan en som har sine data registrert kan be om endringer av registrert data, sletting av data og få informasjon om hvilke data som samles inn. Her finner du vår personvernerklæring.
    
5. Kontrollere hvordan du ber om samtykke fra brukerne, hvordan dette lagres og dokumenteres. Dersom samtykkeprosessen ikke møter GDPR-standarden må denne oppdateres.

Vi hjelper deg gjerne med å analysere ditt nettsted for å finne ut hva du kan gjøre for å håndtere GDPR-reglene på best mulig måte, for både virksomheten din og brukerne dine. Ikke nøl med å ta kontakt med oss!