Svaret kort
Den mest almindelige fejl ved en behandlingslog er ikke, at den mangler, men at den udfyldes én gang og derefter aldrig opdateres. En behandlingslog skal være et levende overblik over, hvad der sker med persondata i din virksomhed. Så snart du køber et nyt værktøj, skifter lønbehandler eller anbringer et kamera ved indgangen, skal dette overblik opdateres – men i praksis sker det ofte ikke.
Desuden ser vi tre andre fejl gentage sig: kun de åbenlyse systemer medtages, formål og opbevaringsfrist formuleres for utydeligt, og behandlingslogen forveksles med en databehandleraftale, selvom det er noget helt tredje. Nedenfor præciserer vi hver fejl og viser, hvordan du undgår den i praksis.
Fejl 1: behandlingslogen bliver et øjebliksbillede i stedet for et levende dokument
Mange virksomheder udfylder behandlingslogen på det tidspunkt, hvor de begynder på det – ofte efter forespørgsel fra en kunde eller revisor – og betragter det derefter som afsluttet. Men en behandling fra i dag ser ofte anderledes ud om et år: der kommer en ny regnskabspakke til, HR-værktøjet udskiftes, eller der påbegyndes et nyhedsbrev via en anden platform. Hvis behandlingslogen ikke følger med, opstår der en forskel mellem det, der står på papiret, og det, der faktisk sker. Denne forskel bemærkes normalt først, når nogen har behov for behandlingslogen: ved en anmodning fra en registreret person, ved en udbudsrunde eller efter et databrud.
Kernen i denne fejl er, at en behandlingslog ofte behandles som et projekt, mens det er en proces. Der er intet fast tidspunkt til at gennemgå den, og ingen er strukturelt ansvarlig for den. læs hvordan sådan en behandlingslog forbliver automatisk ajourført når det er knyttet til de værktøjer, du allerede bruger, i stedet for at blive holdt adskilt i et Word-dokument.
Fejl 2: kun de markante systemer kommer ind i registret
En anden tilbagevendende fejl er, at kun de "store" behandlinger optages: CRM-systemet, lønadministrationen, måske webshop. Mindre eller mindre synlige behandlinger bliver overset, selvom de lige så meget falder under GDPR. Tænk på en Excel-liste med kundedata, der vedligeholdes ved siden af CRM'et, en WhatsApp-gruppe, der også indeholder kunders telefonnumre, eller et separat bookingsystem til en showroom. Også meget brugte SaaS-værktøjer som en planlægningsapp, en e-underskriftstjeneste eller et værktøj til tidsregistrering hører hjemme i registret, også selvom de "bare er blevet indsat hurtigt".
Denne fejl opstår normalt ikke på grund af uagtsomhed, men på grund af uvidenhed: mange virksomhedsindehavere ved ikke præcis, hvilke værktøjer inden for deres organisation, der behandler personoplysninger. En oversigt over kendt SaaS-værktøjer hjælper med at reducere dette blindpunkt; i knowledgebase finder du forklaret pr. emne, hvornår et værktøj falder under GDPR.
Fejl 3: formål og opbevaringsperiode formuleres for vagt
Den tredje hyppigt begået fejl ligger i indholdet af selve registret. For hver behandling skal der være et konkret formål, et retsgrundlag og en indikation af, hvor længe dataene skal opbevares. I praksis udfyldes dette ofte med formuleringer som "forretningsdrift" eller "så længe det er nødvendigt". Det er ikke en fejl i den forstand, at registret hermed bliver ugyldigt, men det gør registret mindre brugbart: det giver ikke svar på spørgsmålet om, hvorfor data bliver opbevaret, og hvornår de burde slettes.
GDPR selv arbejder ud fra principperne om formålsbinding og begrænsning af opbevaringstid, uden at foreskrive faste opbevaringstider — disse tider varierer afhængigt af datatypen og sektoren. Et register, som gør dette konkret for hver behandling, er derfor mere værdifuldt end et register, som bruger den samme generelle formulering overalt.
Sådan forhindrer du det i praksis
Den røde tråd bag disse fejl er, at et register betragtes som en engangsjob i stedet for som en del af forretningsdriften. En god vane er at knytte registeret til momenter, som alligevel finder sted: køb af et nyt værktøj, skift af leverandør eller det årlige møde med revisoren. Ved disse lejligheder er det naturligt også at kontrollere, om registeret stadig er korrekt.
Det hjælper også at fastlægge på forhånd, hvem i din organisation, der er ansvarlig for at vedligeholde det, også hvis det er én person ved siden af andre opgaver. Uden en ejer afhænger opdateringer af tilfældigheder. Hvis du sidder fast på en specifik situation, for eksempel om et bestemt værktøj skal være i registeret eller ej, finder du ofte et kort og konkret svar i ofte stillede spørgsmål ofte med angivelsen af findesteder i den officielle tekst.
Vil du se, hvordan dit eget register ville se ud på baggrund af de værktøjer, du allerede bruger, uden at du først skal gennemgå alt manuelt? Foretag den gratis hurtige scan eller opret en erhvervskonto for at se, hvad der ville komme med i registeret for din situation.