Du kan i princip själv föra ett fullständigt register över behandlingsaktiviteter. GDPR föreskriver inget specifikt program eller format: ett väl underhållet dokument eller kalkylark räcker, så länge det är fullständigt, korrekt och aktuellt. Det viktiga är inte verktyget utan innehållet: vilka personuppgifter du behandlar, för vilket syfte, vem som kan få tillgång till dem, hur länge du förvarar dem och vilka andra parter som får se dem.
Den praktiska frågan är alltså inte om det är tillåtet, utan om det är hållbart för ditt företag. Med ett fåtal fasta behandlingar — ett bokföringsprogram, en löneadministration, ett CRM — är en själv gjord översikt ofta lätt att underhålla. Så snart antalet verktyg växer, leverantörer byter eller anställda själva köper programvara, blir underhållet en återkommande uppgift som lätt skjuts på framtiden.
Vad måste finnas med
Ett register beskriver för varje behandling syftet, kategorierna av uppgifter och registrerade, bevarandetiden eller en indikation på den, och de parter med vilka uppgifter delas. För behandlingar som går via en extern part måste det också framgå om det finns ett databehandlaravtal. De exakta kraven och undantagen från dem finns i GDPR själv och är preciserade i riktlinjer från Datainspektionen och EDPB. Om du vill se detta utrett för varje situation hittar du det i kunskapsbanken där det är utrett för varje situation.
Varför det blir svårt på papper
Problemet är vanligtvis inte att sätta upp det, utan att underhålla det. Under året tecknar ett SMF-företag nya SaaS-prenumerationer, slutar med andra, och databehandlaravtalet som hör till dem ändras ibland utan att någon märker det. Ett kalkylark som var korrekt vid start är ofta bara en ögonblicksbild efter ett par månader. Det blir först synligt när det spelar roll: vid en begäran från en registrerad, vid en anbudsprövning eller när en tillsynsmyndighet frågar efter det.
Här ligger den verkliga skillnaden mellan att göra det själv och att få stöd. Att själv föra ett register är inte problem så länge det finns någon som regelbundet tar tid att kontrollera och uppdatera det. I många små företag finns den tiden vid starten, och försvinner när allvaret i arbetet tar över.
Göra det själv, använda ett verktyg eller outsourca
Mellan att göra allt själv och att outsourca helt finns en mellanväg: ett system som fyller registret från ett bibliotek av kända verktyg och varnar dig om något saknas eller ändras. Det sparar inte tänkarbetet om vad som måste ingå — det återstår för dig — men väl risken att en förändring går obemärkt förbi. Huruvida det lönar sig för ditt företag beror på antalet behandlingar och hur ofta det antal ändras. En översikt över vad som ingår och vad det kostar finns på systemets prissida.
Den som föredrar att prova själv först kan självklart göra det. GDPR förbjuder inte ett betalt system. Det som lagen kräver är att registret när som helst är en korrekt avbildning av verkligheten — inte bara den dag det skapades.
Vad du aldrig kan outsourca
Oavsett om du för registret i ett kalkylark eller låter ett system fylla det: ansvaret för att det är korrekt ligger hos organisationen, inte hos verktyget. Ett verktyg kan signalera att ett databehandlaravtal är utgånget eller att ett nytt SaaS-verktyg ännu inte är uppfört, men beslutet om vad du gör med det, och om en behandling faktiskt är nödvändig, ligger hos dig. För tillämpningen på din specifika situation är det något att diskutera med en jurist eller, om du är osäker på själva lagen, med Datainspektionen.
Vill du först se hur något sådant fungerar i praktiken innan du väljer mellan att göra det själv och få stöd, kan du läsa de vanliga frågorna om registret eller via registreringssidan skapa ett affärskonto och se skillnaden själv.
Om du vill veta var ditt företag står just nu, är den kostnadsfria snabbsökningen en bra utgångspunkt: ingen skyldighet, bara en indikation på vad som är relevant för din situation.