En del af det, som en ordregiver eller forsikringsselskab spørger om, kan du selv forberede: en oversigt over hvilke personoplysninger du behandler, hvilke værktøjer du bruger hertil, og hvilke aftaler du har med leverandører. Det er vanskeligere at gøre selv: at holde oversigten fuldstændig og aktuel, og at dokumentere, at de gennemførte foranstaltninger faktisk er passende for det, du behandler. Sidstnævnte kræver struktur, der udvikler sig over tid, ikke blot et øjebliksbillede.
Om det er nok at gøre det selv, afhænger stærkt af, hvad der præcist bliver spurgt om. Et forsikringsselskab, der sender et spørgeskema om basale sikkerhedsforanstaltninger, er noget helt tredje end en ordregiver, der ønsker at se et fuldstændigt behandlingsregister, databehandleraftaler og en DPIA (data protection impact assessment). Jo mere omfattende spørgsmålet, desto mere arbejde koster det at få det på plads og holde det vedlige.
Hvad en ordregiver eller forsikringsselskab egentlig spørger om
Spørgsmålet "påvis, at du overholder forordningen" eksisterer sjældent ordret i praksis. Normalt spørges der efter konkrete dokumenter: et behandlingsregister, bevis for databehandleraftaler med leverandører, en beskrivelse af tekniske og organisatoriske foranstaltninger, og nogle gange en erklæring om, hvordan databrud håndteres. Forordningen selv forpligter organisationer til at kunne redegøre for de behandlinger, de udfører; hvad den enkelte ordregiver eller forsikringsselskab derudover spørger om, er et eget, supplerende krav, som kan variere fra part til part.
Det er således vigtigt først at få klarhed over, hvad der præcist bliver spurgt om, før du bestemmer, hvor meget arbejde det koster at håndtere det selv. Et kort spørgeskema kan besvares med et halvt arbejdsdays arbejde; en fuldstændig revision kræver løbende dokumentation.
Hvad du selv kan forberede
En første opgørelse kan de fleste iværksættere gøre selv: hvilke SaaS-værktøjer bruger du, hvilke af dem behandler personoplysninger, og har du en databehandleraftale fra hver leverandør. En generel beskrivelse af sikkerhedsforanstaltninger — adgangskodepolitik, hvem der har adgang til hvilke systemer, eller om der er backups — kan laves med sund fornuft uden ekstern hjælp. vidensbasen med forklaringer pr. emne giver i hver situation et kort svar og kildehenvisningen i den officielle tekst, så du ved, hvor et krav kommer fra, før du går i gang.
Hvis du er usikker på, om et databrud, der blev meldt tidligere, skulle have været meldt, kan du selv kontrollere det: i et par spørgsmål se, cirka hvor du står giver en første indikation, uafhængigt af om det specifikke tilfælde skulle have været meldt dengang eller ej.
Hvor det bliver vanskeligt at gøre det selv
Kompleksiteten ligger normalt ikke i ét dokument, men i sammenhængen og aktualiteten. Et behandlingsregister, som blev udarbejdet for et år siden og ikke er blevet opdateret siden, er allerede forældet ved et nyt SaaS-værktøj eller ændret leverandør. Databehandleraftaler, som du engang underskrev, skal stemme overens med, hvad du faktisk gør med leverandøren nu. Og et forsikringsselskab eller en ordregiver spørger ofte ikke blot efter eksistensen af dokumenter, men efter en sammenhængende historie: register, aftaler og foranstaltninger, der logisk hænger sammen.
Netop denne vedligeholdelse er det, der for mange små og mellemstore virksomheder koster tid, som ikke er til rådighed. Et system, som udfylder registeret ud fra et bibliotek af velkendte værktøjer, og som overvåger, om databehandleraftaler stadig holder, tager denne vedligeholdelse fra dig uden at gøre dig til jurist.
Hvad der forbliver, selvom du håndterer det selv
Intet værktøj overtager dit endelige skøn: du selv bestemmer, hvad du fremlægger for en ordregiver eller forsikringsselskab, og om det opfylder kravet. Struktur og vejledning kan gøre arbejdet betydeligt lettere. På siden hvor informationen stammer fra er det forklaret, hvordan gdpria.eu baserer indhold på selve forordningen (EU) 2016/679, på retningslinjer fra EDPB og Datatilsynet, med kilder angivet, så du ikke behøver at stole på vores ord, men selv kan læse kilden.
Grænsen i praksis
Som tommelfingerregel gælder: et engangs, begrænset spørgsmål kan ofte besvares selv med en dags research. Når det handler om et løbende register, flere leverandører med varierende databehandleraftaler, eller tilbagevendende spørgsmål fra flere ordregivere, bliver vedligeholdelse knudepunktet, ikke det første opsætningsarbejde. På det punkt er outsourcing til et system eller rådgiver ofte mindre en luksus og mere en måde at få tiden tilbage.
Er du nysgerrig på, hvad det ville gøre forskel i din situation? Foretag den gratis hurtige scan eller gennemse ofte stillede spørgsmål om dette emne for at se, hvilket trin der er mest logisk for dig.