GDPR for små virksomheder — hvad skal være på plads?

GDPR gælder også for virksomheder med to ansatte. Men kravene skalerer med risikoen — en lille virksomhed uden følsomme data skal ikke bygge et compliance-program, den skal have styr på fem konkrete ting.

De fem ting, Datatilsynet forventer

1. Overblik (fortegnelse): hvilke persondata har I, hvorfor, og hvor længe? Et regneark er nok — men det skal findes og passe med virkeligheden.
2. Databehandleraftaler: enhver leverandør, der behandler persondata for jer (mailsystem, løn, CRM, hosting), skal have en databehandleraftale. De store leverandører har standardaftaler — de skal bare være accepteret og arkiveret.
3. Sletning: data skal væk, når formålet er væk. Den klassiske fejl er gamle ansøgninger, tidligere kunder og udtrådte medarbejdere, der ligger i årevis.
4. Oplysning: kunder og medarbejdere skal kunne se, hvad I behandler — en privatlivspolitik, der beskriver jeres faktiske behandling, ikke en skabelon.
5. Brud-beredskab: ved brud på persondatasikkerheden har I som udgangspunkt 72 timer til at anmelde til Datatilsynet. Beslut på forhånd, hvem der gør hvad.

Hvad kan I selv — og hvornår giver advokat mening?

Fortegnelsen, sletterutiner og indsamling af databehandleraftaler kan de fleste selv, med Datatilsynets vejledninger som opskrift.

En advokat med speciale i databeskyttelse giver mening, når noget er atypisk: I behandler følsomme oplysninger (helbred, fagforening, straffedomme), I overfører data ud af EU, I har fået en klage eller en henvendelse fra Datatilsynet — eller I skal forhandle databehandleraftaler med kunder, der stiller krav til jer som leverandør.

Prisen

Et grundlæggende GDPR-eftersyn af en lille virksomhed er en afgrænset opgave — bed om en fast pris. Løbende compliance-abonnementer er sjældent nødvendige for små virksomheder uden følsomme data.

Kom i gang

Lav fortegnelsen først. Den afslører selv, hvor hullerne er — og gør enhver efterfølgende rådgivning billigere, fordi advokaten kan se jeres behandling i stedet for at skulle udrede den.