Svaret kort och gott
Det vanligaste misstaget med ett behandlingsregister är inte att det saknas, utan att det fylls i en gång och sedan aldrig uppdateras. Ett register bör vara en levande överblick över vad som händer med personuppgifter i ditt företag. Så snart du köper ett nytt verktyg, byter löneverarbetare eller installerar en kamera vid entrén, bör överblicken uppdateras — men i praktiken sker detta ofta inte.
Dessutom ser vi tre andra fel som återkommer ofta: endast de uppenbara systemen tas med, syfte och lagringstid formuleras för vagt, och registret förväxlas med ett databehandleravtal trots att det är något helt annat. Nedan förklarar vi varje fel och visar hur du undviker det i praktiken.
Fel 1: registret blir en ögonblicksbild i stället för ett levande dokument
Många företag fyller i registret när de börjar — ofta som ett svar på en fråga från en kund eller revisor — och betraktar det sedan som klart. Men en behandling från i dag ser ofta annorlunda ut om ett år: ett nytt bokföringsprogram läggs till, HR-verktyget byts ut, eller ett nyhetsbrev startas via en annan plattform. Om registret inte uppdateras uppstår en skillnad mellan vad som står på papperet och vad som faktiskt händer. Denna skillnad märks vanligtvis först när någon behöver registret: vid en begäran från en registrerad person, vid en anbudsförfrågan, eller efter ett dataintrång.
Kärnan i det här felet är att ett register ofta behandlas som ett projekt medan det är en process. Det finns ingen fastställd tidpunkt för att kontrollera det, och ingen är strukturellt ansvarig för det. läs hur sådant register förblir automatiskt uppdaterat när det är kopplat till de verktyg du redan använder, i stället för att upprätthållas separat i ett Word-dokument.
Fel 2: endast de framträdande systemen hamnar i registret
Ett andra återkommande fel är att endast de "stora" behandlingarna tas med: CRM-systemet, lönförteckningen, kanske webbutiken. Mindre eller mindre synliga behandlingar hoppas över, även om de på samma sätt omfattas av GDPR. Tänk på en Excel-lista med kunduppgifter som upprätthålls vid sidan av CRM-systemet, en WhatsApp-grupp som också innehåller kunders telefonnummer, eller ett separat bokningssystem för en showroom. Även allmänt använda SaaS-verktyg som en planeringsapp, en e-signeringstjänst eller ett tidsregistreringsverktyg hör hemma i registret, även om de "bara snabbt" infördes.
Det här felet uppstår vanligtvis inte genom oaktsamhet, utan genom okunskap: många företagare vet inte exakt vilka verktyg inom organisationen som behandlar personuppgifter. En överblick över kända SaaS-verktyg hjälper till att minska denna blindfläck; i kunskapsbanken hittar du per ämne förklaringar av när ett verktyg omfattas av GDPR.
Fel 3: syfte och lagringstid formuleras för vagt
Det tredje vanliga felet ligger i själva innehållet i registret. För varje behandling ska ett konkret syfte, en rättslig grund och en indikation på hur länge uppgifterna lagras framgå. I praktiken fylls detta ofta i med formuleringen "verksamhetsdrift" eller "så länge det är nödvändigt". Det är inte ett fel i den meningen att registret därmed blir ogiltigt, men det gör registret mindre användbart: det svarar inte på frågan varför uppgifter lagras och när de borde raderas.
GDPR fungerar själv enligt principerna om ändamålsbegränsning och lagringsbegränsning, utan att föreskriba fasta tidsperioder — dessa perioder varierar beroende på datatyp och sektor. Ett register som konkretiserar detta för varje behandling är därför värdefullare än ett register som använder samma allmänna formulering överallt.
Hur du förebygger detta i praktiken
Den röda tråden bakom dessa fel är att ett register ses som en engångsuppgift i stället för som en del av verksamheten. En god vana är att koppla registret till tillfällen som redan inträffar: när du köper ett nytt verktyg, byter leverantör eller har det årliga samtalet med revisorn. Vid dessa tillfällen är det logiskt att också kontrollera om registret fortfarande är korrekt.
Det hjälper också att fastställa i förväg vem i er organisation som ansvarar för att upprätthålla det, även om det är en person vid sidan av andra uppgifter. Utan en ägare är uppdateringen beroende av slumpen. Om du kör fast i en specifik situation, till exempel om ett visst verktyg bör inkluderas i registret eller inte, hittar du vanligtvis ett kort och konkret svar i vanliga frågor ofta ett kort och konkret svar, med källan i den officiella texten bifogad.
Vill du se hur ditt eget register skulle se ut baserat på de verktyg du redan använder, utan att du först behöver ta reda på allt manuellt? Gör den kostnadsfria snabbkontroll eller skapa ett affärskonto för att se vad som bör ingå i registret för din situation.