Gælder GDPR også for min virksomhed?
Ja, i næsten alle tilfælde. Den Europæiske Generelle Forordning om Databeskyttelse har ingen tærskel for omsætning, personale eller sektor. Så snart din virksomhed behandler personoplysninger, såsom navne, e-mailadresser eller løndata, gælder forordningen for denne behandling. Det gælder for en enkeltmandsfirma med én kunde på samme måde som for en installatørvirksomhed med halvtreds medarbejdere.
Forskellen fra forordninger som NIS2, CSRD eller VSME-standarden er, at disse arbejder med tærskler for virksomhedsstørrelse eller sektor. GDPR fungerer anderledes: det er ikke omfanget af din virksomhed, der er afgørende, men spørgsmålet om, hvorvidt personoplysninger behandles, og hvordan. Derfor påvirker GDPR i praksis næsten enhver virksomhed, selv om det ikke altid føles sådan.
Hvad forordningen forstår ved personoplysninger
GDPR skelner mellem personoplysninger som enhver information om en identificeret eller identificerbar fysisk person. Det er bredere, end mange virksomhedsledere tror. En kundeliste, en personalemappe, et ansøgningsbrev, der stadig ligger i indbakken, eller kamerabilleder ved indgangen: det falder alt sammen under det. Selv en selvstændig erhvervsdrivende, der kun sender fakturaer med navn og adresse, behandler allerede personoplysninger.
Forordningen skelner mellem den dataansvarlige, der bestemmer, hvorfor og hvordan data behandles, og den databehandler, der gør det på vegne af en anden. En lønservicevirksomhed er for eksempel databehandler for løndata for dit personale, mens du selv er dataansvarlig. Hvilken rolle, der gælder for din virksomhed, og hvilke forpligtelser, der følger med, varierer fra situation til situation og kan afklares af tilsynsmyndigheden og en jurist.
Hvorfor dette emne genoptræder i spørgeskemaet fra din kunde
Aftagere spørger deres leverandører i stigende grad ikke blot om bæredygtighed eller cybersikkerhed, men også om håndteringen af personoplysninger. Det sker for eksempel, når du behandler data om din kundes medarbejdere eller slutkunder på vegne af kunden, eller når du har adgang til systemer, hvor sådanne data opbevares. I så fald vil aftageren vide, om der er en databehandleraftale, om der føres et register over behandlinger, og hvordan et databrud anmeldes.
Disse spørgsmål overlapper ofte med cybersikkerhedsspørgeskemaet, fordi informationssikkerhed og databeskyttelse ligger tæt på hinanden i praksis. En virksomhed, der leverer software eller administrative ydelser til kunder, møder disse spørgsmål oftere end en installatørvirksomhed, der primært udfører fysisk arbejde. Hvis du gentagne gange møder denne slags spørgsmål i forskellige formater fra forskellige kunder, kan du i vidensbanken pr. emne læse hvad baggrunden for sådan et spørgsmål er, og hvor du finder den officielle tekst.
Hvad det betyder i praksis
Om GDPR stiller specifikke forpligtelser som en databeskyttelsesrådgiver, en databehandleraftale eller et behandlingsregister, afhænger af arten og omfanget af behandlingen inden for din virksomhed. Det er ikke et spørgsmål, der kan besvares generelt; forordningen selv og retningslinjerne fra den nationale tilsynsmyndighed giver kriterierne herfor. For de fleste små og mellemstore virksomheder er udgangspunktet enkelt: kortlægge, hvilke personoplysninger der behandles, af hvem, og med hvilket formål.
Dette overblik er også brugbart, når en aftager spørger om det. Gem dokumenter som en databehandleraftale eller en privatlivserklæring på et fast sted, så du ikke behøver at søge efter dem igen hver gang. Hvordan det fungerer inden for ét ketendossier, og hvordan de data, der gemmes deri, beskyttes, kan du læse på siden om hvordan data og privatlivsbeskyttelse beskyttes.
Ønsker du først at se, hvilke spørgeskemaer og emner der er relevante for dit firma, herunder spørgsmålet om databeskyttelse spiller en rolle? Foretag den gratis check i et par spørgsmål for en første indikation, eller læs om svar på hyppigt stillede spørgsmål hvordan andre virksomheder tackler dette. For din egen situation er det fortsat klogt at konsultere den relevante tilsynsmyndighed eller en jurist, hvis du er i tvivl.