En enkel broschyrwebbplats med endast ett kontaktformulär är ofta löst inom en dag: en sekretesspolicy, en cookie-banner och en kort kontroll av värdleverantören. En webbutik med en betalningsleverantör, försändelsesystem, nyhetsbrevssystem och annonspixlar tar lätt två till fyra veckor, framför allt för att du för varje verktyg måste kontrollera om ett personuppgiftsbiträdesavtal behövs och om det redan finns.
Den viktigaste förseningsfaktorn är sällan skrivandet av sekretesspolicyn själv. Det kan göras på en timme. Tiden går åt på att ta reda på vilka verktyg som körs i bakgrunden, vem som hanterar personuppgiftsbiträdesavtalen för dem, och att vänta på att en leverantör svarar på en fråga om detta.
Var tiden faktiskt går
En ny webbplats börjar med en inventering: vilka tredjepartstjänster behandlar data från besökare eller kunder. Tänk på värdleverantören, ett analysverktyg, en chattwidget, en betalningsleverantör, en försändelsepartner och eventuellt ett annonseringsnätverk. För var och en av dessa parter gäller frågan om ett personuppgiftsbiträdesavtal har ingåtts och om det motsvarar det som verktyget faktiskt gör.
Därefter följer cookie-inventeringen: vilka cookies placeras, av vem, och behövs samtycke för det. Först när denna bild är komplett kan sekretesspolicyn innehållsmässigt vara korrekt och kan cookie-bannern visa rätt kategorier. Den som hoppar över dessa steg och skriver sekretesspolicyn först måste ofta justera den senare. I kunskapsbasen per ämne visas för varje vanligt använd verktyg det korta svaret på frågan om ett personuppgiftsbiträdesavtal behövs, med källhänvisningen i förordningens text.
Vad som drar ut genomlöpningstiden i praktiken
Den största förseningen brukar vanligtvis inte ligga hos dig själv, utan hos leverantören. Stora, välkända SaaS-leverantörer har vanligtvis ett personuppgiftsbiträdesavtal tillgängligt som du själv kan ladda ner eller digitalt acceptera. För mindre eller specialiserade leverantörer måste du ibland fråga aktivt, och det kan ta dagar till veckor innan svar kommer.
En andra försening uppstår när marknadsföring, IT och företagares inte sitter vid samma bord samtidigt. Marknadsföringsavdelningen väljer ett nytt verktyg, IT vet inte att det har lagts till, och ingen kontrollerar om det finns ett personuppgiftsbiträdesavtal. När detta upptäcks brukar verktyget redan ha körts i månader.
En tredje faktor är osäkerhet om rollfördelningen: är en part en personuppgiftsbiträde, eller handlar det om gemensamt ansvar, eller behandlar parten uppgifterna för sina egna ändamål. Den frågan är inte alltid möjlig att besvara på fem minuter, och vid osäkerhet är det lämpligt att fråga leverantören själv hur de ser sin roll, eller att ställa frågan till en jurist.
Vad du själv kan påskynda
Den snabbaste vägen är att göra arbetet i rätt ordning: först kartlägga verktygen, sedan begära eller kontrollera personuppgiftsbiträdesavtalen, och först därefter anpassa sekretesspolicyn och cookie-bannern till vad som faktiskt händer. Ett register som automatiskt fylls från ett bibliotek med välkända verktyg sparar tid här, eftersom mycket av utredningsarbetet redan är gjort för vanligt använda SaaS-tjänster. Så snart ett nytt verktyg läggs till är det lämpligt att registrera det omedelbar i behandlingsregistret i stället för att skjuta upp det till ett kontrolltillfälle.
Det hjälper också att i förväg fastställa vem inom företaget som är ansvarig för att begära saknade personuppgiftsbiträdesavtal. Utan en tydlig ägare av den processen brukar en utestående begäran till en leverantör ofta bli liggande.
När det tar längre tid än förväntat
Vid en webshop med många separata komponenter — en separat returportal, ett separat recensionssystem, ett externt kundserviceverktyg — räknas varje komponent separat. Även en ny AI-chattbot på webbplatsen medför en egen fråga om vart besökarnas inmatning går och vem som behandlar den. Vid osäkerhet om en ny funktion kräver en mer omfattande riskbedömning är det klokt att låta den bedömas separat; det faller utanför detta artikels omfattning.
Även säkerhetssidan av en ny webbplats tar tid: en god bedömning av vilka tekniska åtgärder som är lämpliga beror på vad webbplatsen eller webshopen exakt behandlar. En översikt över vad det handlar om finns på sidan om skydd av privathet och data.
Genomloppstiden är därför inte ett fast tal, utan resultatet av hur många separata komponenter en webbplats eller webshop har och hur snabbt leverantörer svarar. Den som uppskattar det i förväg undviker att en lansering försenas för att ett databehandlingsavtal saknas i sista stund.
Vill ni snabbt se var er egen webbplats eller webshop för närvarande står? Den kostnadsfria snabbgranskningen ger på några frågor en första indikation, och vanliga frågor besvarar en stor del av de separata frågor som uppkommer under denna process.