Hvilke dokumenter har du brug for til at vise privatlivsbeskyttelse ved en offentlig udbudsprocedure eller over for et forsikringsselskab?
Hvis en indkøbsmyndighed eller et forsikringsselskab beder dig om at dokumentere, at du håndterer personoplysninger omsorgsfuldt, kommer det som regel ned til et fast sæt: et behandlingsregister, behandleraftaler med dine egne leverandører, en privatlivserklæring, en oversigt over de sikkerhedsforanstaltninger, du gennemfører, og en kort beskrivelse af, hvordan du håndterer en brud på datasikkerheden eller en anmodning fra en registreret. Ved en offentlig udbud vedlægges der ofte et udfyldt spørgeskema eller en erklæring; hos en forsikringsgiver er det snarere et indtagelsesformular til en cyberforsikring.
Grunden til, at dette sæt gentages hele tiden, er, at GDPR bygger på et ansvarlighedsprincip: en organisation skal ikke kun håndtere personoplysninger omsorgsfuldt, men også kunne dokumentere det. En indkøbsmyndighed eller forsikringsgiver tester derfor ikke, om du "gør noget ved privatlivets fred", men om du kan vise det på papiret. Det er præcis det, som betyder noget på dette indkøbstidspunkt: ikke hensigten, men beviset.
Behandlingsregisteret som rygraden
Behandlingsregisteret er normalt det første dokument, der bliver spurgt efter, og også det dokument, som resten bygger på. Det angiver, hvilke personoplysninger du behandler, med hvilket formål, hvem de modtager dem, og hvor længe du opbevarer dem. En indkøbsmyndighed kan hurtigt se, om en organisation strukturelt har tænkt over sine datastrømme, eller om registeret er fremstillet specielt til anmodningen. Hvad der præcist skal stå, og hvor detaljeret, kan du læse om i videnbanken med forklaringer emne for emne.
Behandleraftaler med dine egne leverandører
Det andet dokument, der næsten altid bliver anmodet om, er oversigten over behandleraftaler: de aftaler, du selv har indgået med de SaaS-værktøjer og tjenesteudbydere, som behandler personoplysninger på dine vegne. Tænk på en lønpakke, et CRM-system eller en cloudtjeneste til filer. En indkøbsmyndighed eller forsikringsgiver ønsker ikke blot at se, at disse aftaler foreligger, men også at de er aktuelle og stemmer overens med de værktøjer, der faktisk anvendes. Et register, der nævner tre leverandører, mens otte er aktive i praksis, falder hurtigt fra hinanden ved en grundig vurdering.
Sikkerhed og håndtering af hændelser
Ud over registeret og aftalerne bliver der ofte spurgt om de organisatoriske og tekniske foranstaltninger, der er gennemført: hvem har adgang til hvilke systemer, hvordan krypteres data, er der en backup-strategi. Forsikringsselskaber anmoder ofte om dette eksplicit i et spørgeskema til præmiefastsættelsen. En oversigt over de gennemførte foranstaltninger kan du læse på siden om sikkerhed for personoplysninger. Desuden bliver der regelmæssigt spurgt, hvordan en organisation opdager og håndterer et dataindtrængningsbrud: er der en procedure, ved nogen, hvem der advarer og inden for hvilken frist. Beslutningstrættet, der afgør, om en hændelse skal rapporteres, kan du gennemgå i et par spørgsmål for at se, hvor du cirka befinder dig.
Hvad en liste ikke løser
Det er fristende at se disse dokumenter som en tjekliste, du markerer af på en eftermiddag. Det fungerer ikke godt, og det er samtidig fælden på dette indkøbstidspunkt. Et behandlingsregister, der ikke svarer til de faktiske værktøjer, eller en behandleraftale, der aldrig er blevet gennemlæst, holder ikke stand ved en grundig vurdering. Tilsynsmyndigheder og også indkøbsmyndigheder ser på sammenhæng: stemmer dokumenterne overens, og er det sandsynligt, at de vedligeholdes løbende i stedet for at være udarbejdet én gang.
Derfor er det mere nyttigt at se disse dokumenter som en vedvarende helhed, der udvikler sig sammen med de værktøjer og processer, du bruger, i stedet for som et engangsprint til én anmodning. Hvordan denne opbygning ser ud, og hvor informationen kommer fra, er forklaret på siden hvordan systemet er opbygget.
Hvornår bør du inddrage en jurist
En udbudsforudsætning eller en forsikringsbetingelse kan stille specifikke krav, der går videre end GDPR'en selv, for eksempel obligatorisk ISO-certificering eller en ansvarsbegrænsningsklausul. Om dine dokumenter opfylder disse krav, er en juridisk vurdering, der hører til den pågældende kontrakt eller police, og som du bedst får vurderet af en jurist eller, hvis du er i tvivl om GDPR'en selv, ved at rådføre dig med Datatilsynet.
Vil du se, hvilke dokumenter der allerede er i orden for din situation, og hvilke der mangler? Foretag den gratis hurtigkontrol, eller læs de øvrige emner i videnbanken for at bestemme, hvor du står nu.