GDPR för småföretag: vad du faktiskt behöver göra

GDPR känns ofta stort och krångligt, men grunderna är hanterbara även för ett litet företag. I korthet handlar det om att veta vilka digitala tjänster och leverantörer som hanterar personuppgifter om era kunder eller anställda, och att ha skriftliga avtal – personuppgiftsbiträdesavtal – på plats med dem. Det låter enklare än det ofta är i praktiken, eftersom de flesta företag använder fler digitala tjänster än de själva minns.

Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal reglerar hur en leverantör – till exempel ett bokföringssystem, en e-handelsplattform eller ett nyhetsbrevsverktyg – får hantera personuppgifter åt er. Om en sådan leverantör behandlar uppgifter om era kunder eller anställda för er räkning behöver det finnas ett sådant avtal på plats mellan er och leverantören. Utan det saknar ni ett tydligt ramverk för hur uppgifterna faktiskt får användas och skyddas.

Varför ni behöver koll på vilka digitala tjänster som hanterar kunddata

Många små företag har med tiden samlat på sig fler digitala verktyg än de har full överblick över – ett bokningssystem här, ett nyhetsbrevsverktyg där, en e-handelsplattform kopplad till ytterligare tredjepartstjänster. Varje sådan tjänst som hanterar uppgifter om era kunder eller anställda är en plats där ni behöver veta att rätt avtal finns på plats, och att tjänsten faktiskt behövs och används.

Varför detta ofta upptäcks i en avtalsrevision

I praktiken är det vanligt att GDPR-avvikelser upptäcks först när ett företags samtliga avtal gås igenom samlat, snarare än när man tittar på ett avtal i taget. En avtalsrevision ger just den överblicken: vilka leverantörer som hanterar personuppgifter, vilka av dem som saknar ett giltigt personuppgiftsbiträdesavtal, och vilka tjänster som kanske inte ens används längre men ändå har tillgång till kunddata.

Vilka rättigheter har era kunder och anställda?

GDPR ger alla vars personuppgifter ni hanterar ett antal rättigheter som ni som företag behöver kunna hantera om de begärs. De vanligaste är rätten att få veta vilka uppgifter ni har om dem (registerutdrag), rätten att få felaktiga uppgifter rättade, rätten att få uppgifter raderade när det inte längre finns skäl att spara dem, och rätten att invända mot viss behandling – till exempel direktmarknadsföring. Har ni inte en tydlig rutin för hur en sådan begäran hanteras internt, och av vem, är det lätt att missa svarstiden.

Om något går fel: personuppgiftsincidenter

Om personuppgifter läcker ut, blir stulna eller av misstag skickas till fel mottagare räknas det som en personuppgiftsincident. Allvarliga incidenter ska anmälas till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål – som utgångspunkt inom 72 timmar från att ni fick kännedom om den. Därför är det värt att i förväg veta vem i företaget som ansvarar för att göra den bedömningen, snarare än att behöva reda ut det under stress när något redan har hänt.

Vanliga misstag hos småföretag

De GDPR-brister vi oftast stöter på hos mindre företag handlar sällan om ovilja, utan om att det byggts upp av misstag över tid. Vanligast är att gamla digitala tjänster som inte längre används fortfarande har tillgång till kunddata, att personuppgiftsbiträdesavtal aldrig tecknades när en ny leverantör togs in, och att ingen i företaget har ett tydligt ansvar för frågan – vilket gör att den lätt hamnar mellan stolarna tills något uppmärksammar den, till exempel en kund som ställer en fråga eller en ny leverantör som efterfrågar avtalet.