Vilka dokument behöver du för att visa dataskydd vid en offentlig upphandling eller försäkring?
Om en offentlig upphandlingsmyndighet eller försäkringsgivare frågar om att påvisa att du hanterar personuppgifter varsamt, handlar det vanligtvis om ett fast paket: ett register över behandlingsverksamhet, behandlaravtalen med dina egna leverantörer, en sekretessförklaring, en översikt över de säkerhetsmått du tillämpar, och en kort beskrivning av hur du hanterar ett dataintrång eller en begäran från en registrerad. Vid en upphandling följer ofta en ifylld enkät eller ett intyg; hos en försäkringsgivare är det snarare ett intakningsformulär för en cyberpolicy.
Anledningen till att detta paket återkommer hela tiden är att GDPR innehåller ett ansvarskrav: en organisation måste inte bara behandla personuppgifter varsamt, utan också kunna påvisa det. En upphandlingsmyndighet eller försäkringsgivare prövar därför inte om du "gör något åt sekretessen", utan om du kan visa det på papper. Det är exakt den detalj som det handlar om vid detta köptillfälle: inte avsikten, utan beviset.
Register över behandlingsverksamhet som ryggrad
Registret över behandlingsverksamhet är vanligtvis det första dokumentet som begärs, och det är också det som resten bygger på. Där framgår vilka personuppgifter du behandlar, för vilket ändamål, vilka som mottar dem och hur länge du sparar dem. En upphandlingsmyndighet ser snabbt här om en organisation på strukturerat sätt har tänkt igenom sitt dataflöde, eller om registret har skapats speciellt för denna ansökan. Vad som exakt måste ingå och hur detaljerat läser du i kunskapsbanken med förklaringar per ämne.
Behandlaravtal med dina egna leverantörer
Det andra dokumentet som nästan alltid begärs är en översikt över behandlaravtal: de avtal du själv har ingått med SaaS-verktyg och tjänsteleverantörer som behandlar personuppgifter för din räkning. Tänk på ett lönepaketet, ett CRM-system eller en molntjänst för filer. En upphandlingsmyndighet eller försäkringsgivare vill inte bara se att dessa avtal finns, utan också att de är aktuella och motsvarar de verktyg som faktiskt används. Ett register som nämner tre leverantörer medan åtta i praktiken är aktiva märks snabbt vid en grundlig granskning.
Säkerhet och hantering av incidenter
Förutom registret och avtalen efterfrågas ofta de organisatoriska och tekniska åtgärder som har vidtagits: vem som har tillgång till vilka system, hur data krypteras, finns det en säkerhetskopieringsstrategi. Försäkringsgivare efterfrågar detta ofta uttryckligt i en enkät för premieberäkning. En översikt över vidtagna åtgärder hittar du på sidan om säkerhet för personuppgifter. Dessutom efterfrågas regelbundet hur en organisation upptäcker och hanterar ett dataintrång: finns det ett förfarande, vet någon vem som varnar och inom vilken tidsfrist. Du kan gå igenom beslutsträdet som avgör om en incident är anmälningspliktig på några frågor för att se ungefär var du befinner dig.
Vad en lista inte löser
Det är frestande att se dessa dokument som en checklista som du bockar av på en eftermiddag. Det fungerar inte bra, och det är direkt fällan vid detta köptillfälle. Ett register över behandlingsverksamhet som inte motsvarar de faktiska verktygen, eller ett behandlaravtal som aldrig har granskats, håller inte vid en grundlig bedömning. Tillsynsmyndigheter och även upphandlingsmyndigheter ser på sammanhang: hänger dokumenten ihop, och är det sannolikt att de uppdateras löpande i stället för att endast upprättas en gång.
Därför är det mer användbart att se dessa dokument som en löpande helhet som förändras tillsammans med de verktyg och processer du använder, i stället för som ett engångsset papper för en ansökan. Hur denna uppbyggnad ser ut och var informationen kommer ifrån förklaras på sidan hur systemet är strukturerat.
När ska du anlita en jurist
Ett upphandlingsvillkor eller ett försäkringsvillkor kan ställa specifika krav som går längre än GDPR själv, till exempel obligatorisk ISO-certifiering eller en ansvarsbestämmelse. Huruvida dina dokument uppfyller dessa krav är en juridisk bedömning som hör till den aktuella uppgiften eller försäkringen, och det är bäst att låta en jurist bedöma det eller, om du är osäker på själva GDPR, kontakta Datainspektionen.
Vill du se vilka dokument som redan är i ordning för din situation och vilka som saknas? Gör den kostnadsfria snabbkontroll eller läs de andra avsnitten i kunskapsbasen för att avgöra var du står nu.