Gælder GDPR også for min virksomhed, hvis jeg ikke har medarbejdere?
Den Generelle Forordning om Databeskyttelse skelner ikke efter virksomhedsstørrelse. Der står intet i loven om en nedre grænse for antal medarbejdere eller omsætning, under hvilken reglerne ikke gælder. Afgørende er ét spørgsmål: behandler du personoplysninger? Fra det øjeblik du noterer et kundenavn, en e-mailadresse, en adresse til en faktura eller oplysninger om en ansøger, udfører du en behandling i henhold til GDPR, selv hvis du er den eneste medarbejder i din virksomhed.
Det betyder i praksis, at næsten enhver virksomhed, fra enkeltmandsforetagende til større virksomhed, falder inden for GDPRs område. Forskellen ligger ikke i, om loven gælder, men i omfanget og arten af det, du behandler: en soloprenør, der fakturerer tre kunder om året, har en anden praktisk opgave end en webshop med tusindvis af kundeprofiler. Forpligtigelserne bliver tungere, jo mere risikabel eller omfattende behandlingen er, men udgangspunktet forbliver det samme for alle.
Hvad der faktisk afgør, hvor tungt GDPR vejer for dig
GDPR har én konkret undtagelse, der vedrører virksomhedsstørrelse: forpligtelsen til at vedligeholde en behandlingslog gælder principielt ikke for organisationer med færre end 250 medarbejdere, medmindre behandlingen ikke er begrænset, udgør en risiko for registreredes rettigheder, eller vedrører særlige personoplysninger såsom sundhedsoplysninger. I praksis falder de fleste små og mellemstore virksomheder stadig ind under en af disse undtagelser, simpelt fordi kundeoplysninger behandles strukturelt og dermed ikke er begrænset. Undtagelsen er således mindre end den ved første øjekast ser ud til at være.
Vigtigere end denne ene undtagelse er arten af det, du behandler. Hvis du kun behandler forretningskontaktoplysninger fra andre virksomheder, er risikoen normalt begrænset. Hvis du behandler oplysninger om forbrugere, medarbejdere, ansøgere eller kameraoptagelser, gælder samme forpligtelser som for en stor virksomhed: et retsgrundlag for behandlingen, klarhed over for registreredes, aftaler med parter, der behandler data på dine vegne, og en plan for, hvis noget går galt.
Situationer hvor GDPR klart gælder for dig
Hvis du har en webshop, behandler du kundeoplysninger, ordreoplysninger og ofte oplysninger via en betalingsudbyder eller leveringstjeneste. Hvis du har ansatte, behandler du lønoplysninger, sygefraværsoplysninger og nogle gange et CPR-nummer. Hvis du arbejder med ansøgere, behandler du CV'er og motivationsbrevee. Hvis du bruger videoovervågning på en lokation, behandler du billedmateriale af besøgende og medarbejdere. I alle disse tilfælde gælder GDPR utvivlsomt, uanset om du arbejder alene eller med ti mennesker.
Situationer hvor det vejer mindre tungt, men ikke forsvinder
En soloprenør, der udelukkende fakturerer til forretningsmæssige klienter og ikke har ansatte eller forbrugere, behandler normalt mindre følsomme oplysninger og i mindre mængder. Det gør den praktiske opgave mere overskuelig, men det betyder ikke, at loven ikke gælder. Selv da skal du kunne forklare, hvorfor du opbevarer oplysninger, hvor længe, og med hvem du eventuelt deler dem, for eksempel via en bogføringspakke eller en cloudtjeneste. EDPB-retningslinjerne og forklaringerne fra Datatilsynet understreger konsekvent, at forpligtigelserne følger risikoen, ikke at de forsvinder hos små udbydere.
Sådan undersøger du din egen situation
Det mest brugbare spørgsmål er ikke "er jeg stor nok til at tælle", men "hvilke personoplysninger behandler jeg, fra hvem, og hvorfor". Gå dine vigtigste forretningsprocesser igennem: fakturering, kundekontakt, personaladministration, marketing, sikkerhed. I hver proces, hvor et navn, e-mailadresse eller anden identificerbar oplysning optræder, er GDPR relevant. Hvis du ikke har overblik over det endnu, finder du svar i videnbase med forklaring pr. situation et udgangspunkt til at bestemme, hvilke forpligtelser der hører til hvilken type behandling.
De hyppigst stillede spørgsmål fra andre virksomhedsledere giver også et godt billede af, hvor tvivlen oftest ligger; disse er samlet på siden med svar på spørgsmål, som små og mellemstore virksomheder ofte stillerHvis du vil vide, hvordan oplysningerne på gdpria.eu er fremkommet, og hvilken kilde der hører til hvert svar, kan du læse det på den side, der forklarer hvor de anvendte oplysninger kommer fra.
Den endelige vurdering af din egen situation er op til dig, eventuelt med en advokat eller med Tilsynsmyndigheden for Databeskyttelse som sparringspartner for generel vejledning. Det, vi tilbyder på disse sider, er struktur til at foretage denne vurdering, ikke selve rådet.
Hvis du hurtigt og uforpligtende vil se, hvilke forpligtelser der gælder for din virksomhedstype, kan du oprette en forretningskonto og opbygge oversigten for din egen situation. Den første erkundelse, inklusive kildeoplysninger for hvert svar, er og bliver gratis.