En del av det som en uppdragsgivare eller försäkringsgivare frågar om kan du själv förbereda: en översikt över vilka personuppgifter du behandlar, vilka verktyg du använder för det och vilka avtal du har med leverantörer. Vad som är svårare att göra själv är att hålla översikten fullständig och aktuell, och att visa att de åtgärder som vidtagits faktiskt är lämpliga för det du behandlar. Det senare kräver en struktur som växer med tiden, inte en ögonblicksbild.
Om att göra det själv räcker beror starkt på vad som exakt frågas. En försäkringsgivare som skickar en enkät om grundläggande säkerhetåtgärder är något annat än en upphandlande myndighet som vill se ett fullständigt behandlingsregister, databehandlaravtal och en DPIA (dataskyddskonsekvensbedömning). Ju mer omfattande frågan, desto mer arbete kostar det att själv få det i ordning och upprätthålla det.
Vad en uppdragsgivare eller försäkringsgivare egentligen frågar om
Frågan "visa att du följer GDPR" finns sällan ordagrant i praktiken. Vanligtvis frågas det efter konkreta handlingar: ett behandlingsregister, bevis på databehandlaravtal med leverantörer, en beskrivning av tekniska och organisatoriska åtgärder, och ibland en förklaring om hur dataintrång hanteras. GDPR själv förpliktar organisationer att kunna redovisa de behandlingar de genomför; det som en enskild uppdragsgivare eller försäkringsgivare frågar om därutöver är ett eget, tilläggskrav som kan skilja sig åt mellan olika parter.
Det är därför viktigt att först klargöra exakt vad som frågas innan du bestämmer hur mycket arbete det kostar att tackla det själv. En kort enkät kan besvaras på en halvdag; en fullständig revision kräver systematiskt upprätthållen dokumentation.
Vad du själv kan förbereda
En första inventering kan de flesta företagare göra själva: vilka SaaS-verktyg använder du, vilka av dem behandlar personuppgifter, och har du ett databehandlaravtal från varje leverantör. En övergripande beskrivning av säkerhetåtgärder — lösenordspolicy, vem som har åtkomst till vilka system, eller om det finns säkerhetskopior — kan göras med sunt förnuft utan extern hjälp. kunskapsbasen med förklaringar per ämne ger per situation ett kort svar och källan i den officiella texten, så att du vet varifrån ett krav kommer innan du sätter igång.
Den som är osäker på om ett dataintrång som rapporterades tidigare borde ha rapporterats kan också kontrollera det själv: i ett par frågor se ungefär var du står ger en första indikation, oberoende av om det specifika fallet skulle ha rapporterats eller inte då.
Där att göra det själv blir svårare
Komplexiteten ligger vanligtvis inte i ett enskilt dokument, utan i sammanhanget och aktualiteten i dem. Ett behandlingsregister som upprättades för ett år sedan och inte uppdaterats sedan dess är redan föråldrat vid ett nytt SaaS-verktyg eller en ändrad leverantör. Databehandlaravtal som du en gång skrev under på måste överensstämma med det du nu faktiskt gör med den leverantören. Och en försäkringsgivare eller upphandlande myndighet frågar ofta inte bara om att handlingarna finns, utan om en konsekvent berättelse: register, avtal och åtgärder som logiskt hänger ihop.
Just det underhållet är där att själv föra register för många små och medelstora företag kommer att ta tid som inte finns. Ett system som fyller registret från ett bibliotek av kända verktyg och som övervakar om databehandlaravtal fortfarande stämmer, tar bort det underhållet utan att du själv blir jurist.
Vad som återstår, även om du tacklar det själv
Inget verktyg fattar det slutgiltiga beslutet för dig: du bestämmer själv vad du presenterar för en uppdragsgivare eller försäkringsgivare och om det motsvarar de ställda kraven. Struktur och vägledning kan förenkla arbetet betydligt. På sidan där informationen kommer ifrån förklaras hur gdpria.eu baserar innehållet på GDPR själv och på riktlinjer från EDPB och Datatillsynsmyndigheten, med källhänvisningar, så att du inte behöver lita på vårt ord utan kan läsa källan själv.
Gränsen i praktiken
Som en tumregel gäller: en engångs, begränsad fråga går ofta att besvara själv med en dags utredningsarbete. Så snart det handlar om ett löpande register, flera leverantörer med varierande databehandlingsavtal, eller återkommande frågor från flera uppdragsgivare, blir underhållet flaskhalsen, inte det första gången man sätter upp det. Vid det laget är det ofta mindre en lyx att lägga ut på ett system eller en rådgivare, och mer ett sätt att få tiden tillbaka.
Är du nyfiken på vad det skulle spara i din situation? Gör den kostnadsfria snabbkontroll eller bläddra igenom vanliga frågor om det här ämnet för att se vilket steg som passar dig bäst.