Behandlingsoversikt (protokoll etter GDPR artikkel 30)

Etter personvernforordningen (GDPR) artikkel 30 skal det lages en protokoll over hvilken behandling av personopplysninger som skjer i en virksomhet. Selv om kravet om å lage protokoll i utgangspunktet gjelder virksomheter med mer enn 250 ansatte, er det omfattende unntak som gjør at kravet om å føre protokoll omfatte stort sett alle virksomheter (som også er anbefalt bl.a. av Datatilsynet). En annen ting er at det er anbefalt å lage en oversikt over behandlingen gjennom en slik protokoll for å få kontroll på behandlingen. De fleste virksomheter bør derfor lage en slik protokoll.

Fortsett å lese Behandlingsoversikt (protokoll etter GDPR artikkel 30)

Klargjøring av pliktene til å slette personopplysninger i personalmapper fra Personvernklagenemnda

Saken i personvernklagenemnda gjaldt en arbeidstaker som hadde fått to tilrettevisning (advarsel) fra arbeidsgiver som ble lagret i personalmappen (arbeidsgiver var offentlig virksomhet så arbeidsgiverforholdet ble regulert av tjenestemannsloven). Tilrettevisningene hadde vært lagret i personalmappen i hhv 7 år og 3 år og 9 mndr. Datatilsynet hadde avslått mannens begjæring om å få slettet tilrettevisningene. Personvernklagenamnda ga mannen rett til å få opplysningene slettet.

Fortsett å lese Klargjøring av pliktene til å slette personopplysninger i personalmapper fra Personvernklagenemnda

Ganske Dårlig Personvern Rådgivning

Mange gir velvillig råd om personvernforordningen (GDPR) – både mot betaling og ikke. Men alle råd er ikke like gode, og dette kan føre til at data blir slettet unødvendig, det pådras investeringer og kostnader som ikke er nødvendige, og det kan føre til overforsiktig tilnærming til GDPR, som kan føre til redusert omsetning og gale beslutninger. Det som ikke så mange er klar over, er risikoen ved å gi juridiske råd, både straffe- og erstatningsmessig, og at de som får rådene har færre muligheter til å fremme krav om rådene er feil.

Fortsett å lese Ganske Dårlig Personvern Rådgivning

Varsel til Datatilsynet om personvernbrudd

Skjer det et brudd på personopplysningssikkerheten (personvernbrudd), skal dette varsles til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer. Ved et personvernbrudd tikker altså klokka, og ting må skje rimelig raskt og effektivt. Det må innhentes informasjon, vurderes om det skal sendes varsel til Datatilsynet, vurderes hvem som skal varslet, innholdet i varsel, og ikke minst sende inn varselet. Det vil trolig komme inn nær 1000 varsler til Datatilsynet innen årets utløp. Nedenfor gis det en oversikt over reglene for varsel, slik at man har en oversikt når det må vurderes å sendes et varsel. Det er imidlertid vanskelig å arbeide med varselet i Altinn, og du finner derfor et arbeidsdokument for varsel til slutt i artikkelen.

Fortsett å lese Varsel til Datatilsynet om personvernbrudd

Dokumentasjon på at behandling av personopplysninger skjer etter reglene i GDPR

Etter GDPR skal det kunne dokumenteres at behandlingen skjer etter reglene i GDPR og at det er gjennomført organisatoriske og tekniske tiltak for å sikre personopplysningene.

Hva som ligger kravet til dokumentasjon er ikke klart etter GDPR, og det er nok mange behandlingsansvarlige som ikke har dokumentasjonen på plass.

Fortsett å lese Dokumentasjon på at behandling av personopplysninger skjer etter reglene i GDPR

Sett eposter for sletting og lag slettepolicy i Outlook for å håndtere ustrukturerte personopplysninger

Ustrukturerte personopplysninger (dvs. personopplysninger som ikke er organisert etter navn eller andre kriterier, som personopplysninger i epost, dokumenter på filområder mv.) er en utfordring for pliktene etter GDPR.

Fortsett å lese Sett eposter for sletting og lag slettepolicy i Outlook for å håndtere ustrukturerte personopplysninger

Veileder om behandlingsansvarlig og databehandler fra Datatilsynet

Hvem som skal anses som behandlingsansvarlig og hvem som er databehandler, og om det overhodet foreligger et databehandlerforhold, er ikke enkle spørsmål å besvare.

Fortsett å lese Veileder om behandlingsansvarlig og databehandler fra Datatilsynet

Første generelle rapport etter tilsyn under GDPR klar i Sverige med mange brudd

Den svenske Datainspektionen har hatt tilsyn i 412 selskaper og offentlige myndigheter for å undersøke om det er utnevnt og registrert personvernombud etter reglene i GDPR.

Fortsett å lese Første generelle rapport etter tilsyn under GDPR klar i Sverige med mange brudd