Gäller GDPR även för mitt företag?
Ja, i nästan alla fall är det så. Europiska dataskyddsförordningen har ingen tröskel för omsättning, personal eller sektor. Så snart ditt företag behandlar personuppgifter, som namn, e-postadresser eller lönuppgifter, gäller förordningen för den behandlingen. Det gäller för ett enmanshuvudsakligen företag med en kund lika väl som för ett installationsföretag med femtio anställda.
Skillnaden jämfört med regler som NIS2, CSRD eller VSME-standarden är att dessa arbetar med trösklar för företagsstorlek eller sektor. GDPR fungerar annorlunda: det är inte storleken på ditt företag som är avgörande, utan frågan om personuppgifter behandlas och på vilket sätt. Därför berör GDPR i praktiken nästan alla företag, även om det inte alltid känns så.
Vad förordningen förstår med personuppgifter
GDPR skiljer mellan personuppgifter som all information om en identifierad eller identifierbar fysisk person. Det är bredare än många företagare tror. En adresslista över kunder, en personalfil, ett jobbansökningsbrev som fortfarande ligger i brevlådan, eller kamerabilder vid entrén: allt faller under det. Även en frilansare som bara skickar fakturor med namn och adress behandlar redan personuppgifter.
Förordningen gör en skillnad mellan den registeransvarige, som bestämmer varför och hur uppgifterna behandlas, och den behandlingsansvarige, som gör det på någon annans vägnar. Ett lönebokföringsbyrå är till exempel behandlingsansvarig för lönuppgifterna för din personal, medan du själv är registeransvarig. Vilken roll som gäller för ditt företag och vilka skyldigheter som är förknippade med det är något som skiljer sig från situation till situation och som tillsynsmyndigheten och en jurist kan ge vägledning om.
Varför det här ämnet återkommer i din klients enkät
Mottagare frågar sina leverantörer allt oftare inte bara om hållbarhet eller cybersäkerhet, utan även om hur personuppgifter hanteras. Det händer till exempel när du behandlar uppgifter om din klients anställda eller slutkunder för dennes räkning, eller när du har åtkomst till system där den sortens uppgifter lagras. I så fall vill mottagaren veta om det finns ett behandlingsavtal, om ett register över behandlingar upprätthålls och hur ett databortfall rapporteras.
Dessa frågor överlappar ofta med cybersäkerhetsenklheten, eftersom informationssäkerhet och dataskydd ligger nära varandra i praktiken. Ett företag som levererar programvara eller administrativa tjänster till kunder får dessa frågor tidigare än ett installationsföretag som främst utför fysiskt arbete. Den som upprepade gånger stöter på denna typ av frågor i olika format från olika kunder kan i kunskapsdatabasen per ämne läsa vad bakgrunden till en sådan fråga är och var den officiella texten finns.
Vad detta betyder i praktiken
Huruvida GDPR specifikt ställer krav som en dataskyddsfunktionär, ett behandlingsavtal eller ett behandlingsregister beror på karaktären och omfattningen av behandlingen inom ditt företag. Det är inte en fråga som kan besvaras på ett allmänt sätt; förordningen själv och riktlinjerna från den nationella tillsynsmyndigheten ger kriterierna för det. För de flesta små och medelstora företag är utgångspunkten enkelt: kartlägga vilka personuppgifter som behandlas, av vem och i vilket syfte.
Den här överblicken är också användbar när en mottagare frågar om det. Förvara dokument såsom ett behandlingsavtal eller en sekretesspolicy på en fast plats så att du inte behöver söka efter dem gång på gång. Hur det fungerar inom en kedjedossier och hur uppgifterna i den skyddas läser du på sidan om hur data och sekretess skyddas.
Vill du först se vilka frågeformulär och ämnen som är relevanta för ditt företag, inklusive frågan om dataskydd spelar en roll? Gör den kostnadsfria kontrollen på några frågor för en första indikation, eller läs om svar på vanliga frågor hur andra företagare hanterar detta. För din egen situation är det klokt att rådfråga den behöriga tillsynsmyndigheten eller en jurist vid osäkerhet.