GDPR gjelder også for enkeltpersonforetaket med én kunde og AS-et med tre ansatte. Den gode nyheten er at kravene for en liten bedrift som regel kan oppfylles med noen timers ryddig arbeid – hvis du vet hvor du skal begynne.
Personvernforordningen (GDPR) er EU-regelverket som styrer hvordan virksomheter kan samle inn og bruke personopplysninger. I Norge er reglene gjennomført i personopplysningsloven, og Datatilsynet fører tilsyn med at de følges. Mange småbedriftseiere forbinder GDPR med samtykkebokser og skremmende bøter, men kjernen er enklere: du skal ha en grunn til å behandle personopplysninger, du skal ha oversikt over hva du gjør med dem, og du skal sikre dem forsvarlig.
Behandler du personopplysninger? Ja, nesten helt sikkert
En personopplysning er enhver informasjon som kan knyttes til en identifiserbar person: navn, e-postadresse, telefonnummer, IP-adresse, bilder, lønnsopplysninger og kundehistorikk. Har du kunder som er privatpersoner, kontaktpersoner hos bedriftskunder, ansatte, jobbsøkere eller et nyhetsbrev, behandler du personopplysninger. Selv en enkel nettside for bedriften med kontaktskjema eller statistikkverktøy innebærer som regel behandling av personopplysninger.
Det betyr ikke at alt du gjør er problematisk. GDPR forbyr ikke behandling av personopplysninger – regelverket stiller krav til hvordan du gjør det. For en typisk liten bedrift handler etterlevelse om fire ting: behandlingsgrunnlag, oversikt (protokoll), avtaler med leverandører og fornuftig sikkerhet.
Behandlingsgrunnlag: grunnen til at du får lov
All behandling av personopplysninger krever et behandlingsgrunnlag – en lovlig grunn etter GDPR artikkel 6. For småbedrifter er det særlig tre grunnlag som går igjen:
- Avtale: Du kan behandle opplysningene som trengs for å oppfylle en avtale med kunden – navn, adresse og kontaktinformasjon for å levere varen eller tjenesten og sende faktura.
- Rettslig forpliktelse: Bokføringsregelverket pålegger deg å oppbevare regnskapsmateriale, inkludert fakturaer med kundeopplysninger. Da er selve loven grunnlaget.
- Berettiget interesse: Du kan behandle opplysninger når din legitime interesse veier tyngre enn ulempen for den registrerte – for eksempel å kontakte eksisterende kunder om lignende produkter. Dette krever en konkret avveining som du bør notere ned.
Samtykke er også et grunnlag, men bør være siste utvei – det kan trekkes tilbake når som helst, og et gyldig samtykke må være frivillig, spesifikt og dokumenterbart. Typisk brukes samtykke til nyhetsbrev og e-postmarkedsføring mot personer som ikke er kunder fra før, og til ikke-nødvendige informasjonskapsler på nettsiden.
En klassisk felle: bedriften ber om samtykke til noe den egentlig har lov til å gjøre uansett, for eksempel å lagre fakturaopplysninger. Da har du plutselig lovet kunden en valgfrihet som ikke finnes – og skapt trøbbel for deg selv. Velg riktig grunnlag fra start.
Protokoll over behandlingsaktiviteter: oversikten Datatilsynet spør etter
GDPR artikkel 30 krever at virksomheter fører en protokoll over behandlingsaktiviteter – en enkel oversikt over hvilke personopplysninger du behandler, hvorfor, hvor de lagres, hvem som har tilgang, og hvor lenge de oppbevares. Det finnes et unntak for virksomheter med under 250 ansatte, men unntaket er så snevert (det gjelder ikke behandling som skjer regelmessig) at Datatilsynet i praksis anbefaler alle å føre protokoll. For en liten bedrift er det uansett fornuftig: protokollen er selve arbeidsverktøyet som gir deg kontroll.
En protokoll for en liten tjenestebedrift kan være et regneark med en rad per aktivitet, for eksempel:
| Aktivitet | Opplysninger | Grunnlag | Lagres hvor | Slettes når |
|---|---|---|---|---|
| Kunderegister og fakturering | Navn, adresse, e-post, kjøpshistorikk | Avtale / bokføringsplikt | Regnskapsprogram | Etter bokføringslovens oppbevaringskrav |
| Lønn og personal | Ansattes lønn, skattekort, fravær | Avtale / rettslig plikt | Lønnssystem | Etter lovpålagte frister |
| Nyhetsbrev | E-postadresse, navn | Samtykke | E-postverktøy | Ved avmelding |
| Jobbsøknader | CV, søknad, referanser | Berettiget interesse | E-post/rekrutteringsverktøy | Kort tid etter avsluttet prosess |
Databehandleravtaler: når andre behandler data for deg
De fleste småbedrifter lagrer ikke personopplysninger på egen server – de bruker skytjenester: regnskapsprogram, e-postleverandør, nyhetsbrevverktøy, nettbutikkplattform og lagringstjenester. Disse leverandørene er databehandlere: de behandler personopplysninger på dine vegne, mens du er behandlingsansvarlig. GDPR artikkel 28 krever da en databehandleravtale som regulerer hva leverandøren kan gjøre med opplysningene, hvordan de sikres, og hva som skjer ved avtaleslutt.
I praksis er dette enklere enn det høres ut: seriøse leverandører har standard databehandleravtaler som du godtar som del av tjenestevilkårene. Jobben din er å sjekke at avtalen faktisk finnes, lagre en kopi eller lenke i protokollen, og være ekstra oppmerksom hvis leverandøren overfører data til land utenfor EØS – da kreves et gyldig overføringsgrunnlag. Driver du nettbutikk, bør du gå gjennom hele leverandørkjeden: betalingsløsning, fraktløsning, analyseverktøy og markedsføringsverktøy.
De registrertes rettigheter – og hva du må kunne svare på
Kunder, ansatte og andre du har opplysninger om, har rettigheter etter GDPR: innsyn i hvilke opplysninger du har, retting av feil, sletting («retten til å bli glemt»), og i noen tilfeller dataportabilitet og protest mot behandlingen. Du må kunne svare på slike henvendelser uten ugrunnet opphold. Merk at sletteretten ikke er absolutt – opplysninger du er lovpålagt å oppbevare, som regnskapsbilag, kan og skal du beholde ut oppbevaringstiden selv om kunden ber om sletting.
Du skal også informere om behandlingen på eget initiativ. Det gjør du normalt i en personvernerklæring på nettsiden, som forklarer hvilke opplysninger du samler inn, hvorfor, hvem de deles med, hvor lenge de lagres og hvilke rettigheter den registrerte har. Skriv den på klarspråk – en kopiert mal fra en helt annen type virksomhet avslører seg fort.
Sikkerhet og avvik: hva hvis noe går galt?
GDPR krever at du sikrer personopplysningene med tiltak som står i forhold til risikoen. For en liten bedrift betyr det i praksis god grunnleggende IT-sikkerhet: totrinnsbekreftelse på viktige kontoer, unike passord, oppdatert programvare, tilgangsstyring (ikke alle trenger tilgang til alt) og sikkerhetskopier. Opplysninger om ansatte og helseforhold krever strengere beskyttelse enn en liste med firmakontakter – tenk risiko, ikke lik behandling av alt. Rutinene henger tett sammen med arbeidet med å beskytte forretningshemmeligheter, og kan gjerne dokumenteres samlet.
Skjer det et brudd på personopplysningssikkerheten – en hacket e-postkonto, en stjålet laptop uten kryptering, en e-post med personopplysninger sendt til feil mottaker – skal bruddet som hovedregel meldes til Datatilsynet innen 72 timer, med mindre det er lite trolig at bruddet medfører risiko for de berørte. Ha en enkel rutine klar: hvem varsler, hva noteres, og hvordan begrenses skaden.
Datatilsynet har gratis veiledere, maler og en egen startpakke rettet mot små virksomheter. Bruk dem – de er skrevet nettopp for bedrifter uten egen personvernrådgiver, og du slipper å betale konsulent for det grunnleggende.
Kom i gang: en realistisk førsteplan
- Kartlegg: Lag protokollen – hvilke opplysninger har du, hvor, og hvorfor?
- Velg behandlingsgrunnlag for hver aktivitet og noter det i protokollen.
- Sjekk at databehandleravtaler er på plass med alle leverandører som håndterer persondata for deg.
- Skriv eller oppdater personvernerklæringen på nettsiden.
- Rydd: slett opplysninger du ikke lenger trenger, og sett sletterutiner.
- Sikre: totrinnsbekreftelse, tilgangsstyring og backup – og en enkel avviksrutine.
Har du ansatte, bør du i tillegg dokumentere hvordan personalopplysninger håndteres, og informere de ansatte om hva som lagres om dem. Driver du med behandling i stort omfang av sensitive opplysninger, kan det gjelde krav om personvernombud og personvernkonsekvensvurdering – da bør du søke råd hos Datatilsynets veiledere eller en advokat.
Ofte stilte spørsmål
Gjelder GDPR selv om jeg bare har bedriftskunder?
Ja. Opplysninger om kontaktpersoner hos bedriftskunder – navn, e-post, telefonnummer – er personopplysninger. Rene firmaopplysninger uten persontilknytning, som organisasjonsnummer og sentralbord, faller derimot utenfor.
Må en liten bedrift ha personvernombud?
Som hovedregel nei. Krav om personvernombud gjelder først og fremst offentlige myndigheter og virksomheter som i stort omfang behandler sensitive opplysninger eller systematisk overvåker personer. En vanlig liten handels- eller tjenestebedrift trenger det ikke, men noen velger å utpeke en ansvarlig person internt likevel.
Kan jeg sende nyhetsbrev til gamle kunder uten samtykke?
Markedsføringsloven har en egen regel om eksisterende kundeforhold som på visse vilkår tillater e-postmarkedsføring av tilsvarende produkter, forutsatt at kunden fikk mulighet til å reservere seg da opplysningene ble samlet inn, og kan melde seg av i hver utsendelse. Er du i tvil, innhent samtykke – og sjekk Forbrukertilsynets veileder om e-postmarkedsføring.
Hvor lenge kan jeg lagre kundeopplysninger?
Så lenge du har et saklig behov og et gyldig grunnlag. Regnskapsbilag skal oppbevares etter bokføringsreglene, mens for eksempel jobbsøknader bør slettes kort tid etter at prosessen er avsluttet. Sett en sletterutine per kategori i protokollen i stedet for én felles regel.
Hva risikerer jeg hvis jeg ikke følger GDPR?
Datatilsynet kan gi pålegg om retting og ilegge overtredelsesgebyr, og alvorlige brudd kan bli dyre. For små bedrifter er den vanligste konsekvensen likevel pålegg om å rydde opp – og tapt tillit hos kunder. Dokumentert, ærlig innsats teller positivt hvis tilsynet først banker på.