Personvernsguide for oppstartsvirksomheter

Her er tre trinn vi anbefaler å begynne med:

1. Gi én person ansvaret for personvern (selv om flere må hjelpe til).
2. Gi den ansvarlige personen grunnopplæring i personvern og informasjonssikkerhet (eksempelvis ekurs, webinar, lesestoff og/eller advokatråd).
3. Få på plass basisdokumentene:

• Lag en protokoll med oversikt over hvilken behandling av personopplysninger som skal skje/skjer
• Skaff deg oversikt over lovlige grunnlag for behandlingen
• Gi informasjon til dem som får sine opplysninger behandlet (personvernerklæring)
• Om du har leverandører som behandler data på dine vegne, inngå databehandleravtale, og sørg for rutiner for avvikshåndtering og avviksmelding

Når du har gjort dette, kan du puste roligere. Da bør du tenke på dette:

1. Betyr behandlingen høy risiko for personvernet? Om ja, så må du vurdere personvernkonsekvenser (DPIA); en vurdering av konsekvensene behandlingen kan ha for de registrertes personvern.
2. Om du fant ut at du overfører personopplysninger ut av EØS, sørg for å at overføringsgrunnlaget er på plass.
3. Begynn å planlegge et internkontrollsystem for personvern - en plan med ansvarlige, rutiner for informasjonssikkerhet og datalekkasje osv.
4. Legg inn personvern som tema i årshjulet til styret. Personvernansvarlig bør avgi rapport minst en gang i året.
5. Alt du gjør må etter personvernforordningen (GDPR) dokumenteres.

Når du har kommet hit, er du nesten på hvilepuls. Tiden er nå inne for å fortsette med disse punktene, gjerne lagt ut i en årsplan:

1. Klargjør og oppdater internkontrollsystemet. Ta de viktigste rutinene først.
2. Vurdere om du må ha personvernombud (DPO).
3. Vurdere cyberforsikring, som dekker mye risiko ifht. personvern, informasjonssikkerhet og dataangrep.

Lurer du på noe av dette, eller vil ha hjelp, ta kontakt med oss.