Hur fyller jag i en klients datasekretessfrågor?

Frågeformuläret frågar efter det som du redan dokumenterar i ditt register över behandlingsaktiviteter

En sekretessfrågelista från en uppdragsgivare handlar vanligtvis om samma ämnen som registret över behandlingsaktiviteter: vilka personuppgifter som behandlas, för vilket ändamål, hur länge de sparas, vem som har åtkomst till dem och om en personuppgiftsbiträde är inblandad. Den som redan har ordning på det registret kan svara på de flesta frågorna direkt därifrån. Frågor om säkerhet — kryptering, åtkomstkontroll, säkerhetskopior — hör till de tekniska och organisatoriska åtgärderna som uppdragsgivaren vill se innan han delar data med dig.

En del av frågeformuläret handlar ofta om organisationen omkring det: finns det en utsedd dataskyddsledare, finns det ett förfarande för en personuppgiftsöverträdelse, och hos vem anmäls sådant. Det sistnämnda skiljer sig åt mellan länder: i Sverige är det Integritetsmyndigheten, i Tyskland är det tillsynsmyndigheten i det land där verksamheten är belägen. Skyldigheten att själv utse en dataskyddsledare har i Sverige ingen tröskel baserad på personalantal — den följer av artikel 37 i GDPR — medan Tyskland med § 38 BDSG använder ett antal anställda som gräns. För en läsare som är aktiv i flera länder är det därför viktigt att kontrollera per verksamhetsställe vilken nivå som är tillämplig, i stället för att ge ett svar för hela organisationen.

Underlag: redovisningsplikten enligt artikel 5 i GDPR

Att en uppdragsgivare ställer denna typ av frågor och att du kan svara på dem följer av redovisningsplikten enligt artikel 5 i GDPR: en organisation måste inte bara följa förordningens principer, utan också kunna påvisa det. En frågelista är i huvudsak uppdragsgivaren som delvis lägger sin egen redovisningsplikt på dig. Integritetsmyndigheten publicerar allmän vägledning om dessa principer, utan att det följer ett format för en kundfrågelista därifrån — varje uppdragsgivare fyller i det själv.