GDPR gjelder ikke bare for de store konsernene med egne juridiske avdelinger og personvernombud. Det gjelder også for deg som driver en frisørsalong, et regnskapsbyrå, en liten nettbutikk – eller en gründerbedrift i vekst. Og ja, det kan virke overveldende. Mange SMB-er sitter igjen med spørsmål som: Hva må vi egentlig gjøre? Har vi allerede brutt loven? Er dette noe vi må få hjelp til – eller kan vi løse det selv?
I denne guiden gir vi deg en praktisk innføring i hva GDPR faktisk krever av deg som liten eller mellomstor virksomhet. Ikke for å skremme, men for å gjøre det mulig å ta tak i det – på en trygg og overkommelig måte.
Hva må små og mellomstore virksomheter forholde seg til?
Personvernregelverket handler i bunn og grunn om å behandle personopplysninger på en lovlig og ryddig måte. Det gjelder kundedata, ansattinformasjon, e-postlister, kameraovervåking, nettsidesporing – og mer.
Du må blant annet kunne dokumentere:
- Hvilke personopplysninger du samler inn (f.eks. navn, e-post, IP-adresser, helseinfo)
- Hva du bruker dem til – og hvilket rettslig grunnlag du har
- Hvordan opplysningene lagres og sikres
- Hvor lenge du lagrer dem, og hvordan du sletter dem
Du trenger ikke 50 sider med internkontroll. Men du trenger en viss orden i sysakene – og det skal være lett å vise frem hvis noen spør. For eksempel Datatilsynet.
En enkel sjekkliste: Er du på rett spor?
Her er en forenklet GDPR-sjekk for deg som driver SMB:
- Har du oversikt over hvilke personopplysninger dere behandler?
- Bruker du et lovlig behandlingsgrunnlag? (samtykke, avtale, rettslig plikt osv.)
- Gir du tydelig informasjon til kunder og ansatte? (personvernerklæring)
- Har du rutiner for sletting og oppdatering?
- Har du databehandleravtaler med eksterne leverandører? (f.eks. regnskap, IT, skybaserte systemer)
- Har du vurdert om du trenger å varsle ved et eventuelt databrudd?
- Har du rutiner for hvordan ansatte skal håndtere persondata?
Får du hakeslepp nå? Ikke få panikk. De fleste SMB-er vi snakker med har hull i noen av disse punktene. Det viktigste er at du får på plass det mest grunnleggende – og at du kan vise at du tar personvern på alvor.
Les også: Personvernkonsekvensvurdering (DPIA): Når må du gjøre det – og hvordan gjør du det riktig?
Markedsføring og kundedata – hva må du passe på?
GDPR gjelder i høyeste grad når du driver med markedsføring. Her er det mange SMB-er som trår feil – gjerne uten å vite det.
- Nyhetsbrev krever samtykke. Du må kunne dokumentere at mottakeren har sagt ja – og det holder ikke med et skjult avkrysningsfelt.
- Retargeting og sporing via nettsider (cookies) krever samtykke – og må forklares forståelig i personvernerklæringen din.
- Bruker du verktøy som Mailchimp, Hubspot eller Facebook Pixel? Da overfører du data til tredjeland (USA), og må være bevisst på dette.
Vi anbefaler å ha en oppdatert personvernerklæring på nettsiden og tydelige rutiner for samtykkehåndtering.
Hva med data om ansatte?
Her blir det ofte litt glemt. Men arbeidsgivere har et stort ansvar for hvordan de håndterer informasjon om sine ansatte.
- Lønn, fravær, helseopplysninger, søknader – alt dette regnes som personopplysninger.
- Du må ha klart behandlingsgrunnlag – og gjerne også samtykke i visse tilfeller.
- Hvis du vurderer kameraovervåking, e-postinnsyn eller kontrolltiltak – husk at det krever særlig vurdering og gjerne drøfting med de ansatte.
Vi ser stadig saker der arbeidsgiver har lagret for mye, for lenge – eller brukt opplysninger til noe annet enn det som var avtalt. Det kan få alvorlige konsekvenser.
Databehandleravtaler – gjort enkelt
En databehandler er en ekstern part som behandler persondata på dine vegne – for eksempel et regnskapskontor, et lønnssystem eller et markedsføringsbyrå.
Har du slike samarbeid? Da må du ha en databehandleravtale (DBA).
Den må si noe om:
- Hva slags data de behandler
- Hva formålet er
- Hvordan dataene skal sikres
- Hva som skjer ved brudd eller avsluttet samarbeid
Judicia tilbyr skreddersydde DBA-maler for SMB-er som ønsker å være på den sikre siden – uten å bruke en formue.
Når bør du kontakte advokat?
Du trenger ikke advokat for alt. Men her er noen situasjoner der det kan være klokt:
- Du er usikker på om du følger GDPR – og ønsker en gjennomgang
- Du får klage fra kunde eller tidligere ansatt
- Det har skjedd et databrudd – og du vet ikke hva du må gjøre
- Du har fått brev fra Datatilsynet
- Du vil ha enkle maler og rutiner som faktisk fungerer i hverdagen
Hos Judicia hjelper vi små og mellomstore virksomheter med akkurat dette – på en jordnær og forutsigbar måte. Du får rådgivning tilpasset din situasjon, levert av erfarne advokater som kjenner både lovverket og SMB-hverdagen.
GDPR trenger ikke være komplisert
Som liten eller mellomstor bedrift skal du ikke behøve å være ekspert på juss. Men du bør ha kontroll på det viktigste. Det handler tross alt om tillit – både fra kunder, ansatte og samarbeidspartnere.
Vil du ha hjelp til å få ting på plass – eller trenger du bare noen å sparre med?
Ta kontakt med Judicia for for en uforpliktende vurdering.
