För ett litet företag med ett överblickbart antal behandlingar — personaladministration, bokföring, en kunddatabas, ett par SaaS-verktyg — är en första, grov översikt ofta möjlig att få på några timmar. Den totala tiden fram till ett register som är verkligen komplett och användbart är dock högre i praktiken: räkna med några dagars arbete fördelat över två till fyra veckor. Denna fördelning beror inte på att inmatningen själv tar lång tid, utan på att du under tiden måste vänta på svar från andra.
Själva lagstiftningen anger ingen tidsfrist för att upprättar ett register. Vad GDPR föreskriver är att en personuppgiftsansvarig ska upprätthålla en förteckning över de behandlingar som genomförs under hans eller hennes ansvar, innehållande bland annat syftet, kategorier av uppgifter och mottagare, och lagriningstider. Hur lång tid det tar att nå dit beror därför inte på en legal tidsfrist utan på hur väl din organisation själv vet vad som händer med uppgifterna.
Vad de första dagarna går åt till
Den första fasen handlar om inventering: vilka system använder du, vem har åtkomst, och vilka uppgifter finns i dem. För en egenföretagare eller ett företag med ett litet antal anställda är det ofta möjligt att överblicka på en förmiddag. Vid en organisation med flera avdelningar växer det snabbt, helt enkelt för att ingen enskild person har en fullständig bild: HR vet vilka verktyg de använder för rekrytering och sjukfrånvaro, administrationen vet vilket bokföringssystem som körs, och ledningen vet ofta inte att marknadsföringsavdelningen har tecknat ett separat CRM-abonnemang. Denna fragmentering är den första och största orsaken till fördröjning, inte själva inmatningsarbetet.
En praktisk metod är att börja med fakturorna: varje abonnemang som dras av månadsvis är en god indikation på en behandling som bör ingå i registret. Ett bibliotek med kända SaaS-verktyg kan påskynda denna del, eftersom vanlig programvara redan är försedd med de vanliga syften och lagringtider, så att du inte behöver ta reda på dem själv. I kunskapsbanken hittar du per ämne ett kort svar tillsammans med källan i den officiella texten, vilket är praktiskt när du bestämmer vad som ska och inte ska ingå i registret.
Vad som orsakar förseningar: databehandlaravtal
Den andra fördröjningen uppstår när du kopplar databehandlaravtal till behandlingarna i registret. För varje SaaS-leverantör som behandlar personuppgifter å dina vägnar bör det finnas ett avtal. I praktiken visar det sig ofta att det inte finns eller att ingen längre är säker på den senaste versionen. Det betyder att du måste kontakta leverantörer, vilket kan leda till dagar eller veckors väntetid — inte för att själva upprättandet tar lång tid, utan för att du är beroende av hur snabbt ett annat företag svarar.
Det är därför klokt att inte se registret och övervakningen av databehandlaravtal som två separata projekt, utan som en pågående process: så snart ett nytt verktyg köps in bör avtalet finnas tillgängligt direkt, i stället för att senare behöva rekonstruera vad som ursprungligen avtalades.
Genomlopp vid tillväxt och förändring
Ett register är aldrig slutfört i den bemärkelsen att det inte förändras efter det. Nya verktyg, nya medarbetare, nya kundprocesser — var och en av dessa påverkar registret på nytt. Genomlöpningstiden för en engångs inventeringen säger därför lite om underhållet därefter. Företag som endast fyller i registret vid grundandet och sedan låter det ligga skapar risken att det efter ett år inte längre motsvarar verkligheten. Den som låter registret växa tillsammans med verktygsbiblioteket och automatiskt signalerar när något saknas, sparar sig själv den upprepad inventeringen som annars krävs vid varje granskning eller upphandling.
För den som måste påvisa att grunden är i ordning — till exempel gentemot ett försäkringsbolag eller vid en upphandling — räknas det inte bara att ett register finns, utan också hur aktuellt det är. En sammanfattning från ett halvt år sedan, medan tre nya verktyg sedan dess har lagts till, ger en annan bild än ett register som uppdateras veckovis.
Gör det själv eller låt det löpa parallellt
Oavsett om du själv upprätthåller registret i ett kalkylblad eller låter det fyllas från ett system ligger genomlöpningstiden i båda fallen framför allt i insamlingen av information, inte i inmatningen av den. Skillnaden ligger i underhållet: ett kalkylblad kräver att du själv kommer ihåg när något ska uppdateras, medan ett system som är kopplat till verktygsbiblioteket och dina databehandleravtal signalerar det för dig. Läs mer om hur denna koppling exakt fungerar på sidan om systemets funktionalitet.
Om du vill veta vad ett fullständigt, aktuellt register för din situation skulle kosta i tid och resurser, ger prislistan en indikation på vad som passar din företagsstorlek. Och om du är osäker på om din nuvarande sammanfattning är tillräcklig, hittar du i de vanligaste frågorna svar på ett antal praktiska tveksamma fall.
Den slutgiltiga bedömningen av huruvida ditt register uppfyller de lagstadgade kraven är upp till dig själv eller en jurist, och vid tvivel är det Datainspektionen. Om du först vill få en uppfattning om var du står, gör då den kostnadsfria snabbkontroll eller bläddra genom ämnena i kunskapsbanken.