GDPR har funnits i snart tio år, men missförstånden lever kvar i svenska styrelserum, ledningsgrupper och på fikaraster ute i verksamheterna. Vissa av dem är ofarliga missuppfattningar. Andra kan leda till sanktionsavgifter, förtroendeskador eller onödigt tunga interna processer den dagen IMY knackar på. Gör vårt quiz och testa din GDPR-koll.”
Sant eller falskt: Testa din GDPR-koll
Tio påståenden om GDPR som cirkulerar bland svenska bolag. Vad tror du gäller, sant eller falskt?
Tyckte du att svaren var knepiga?
Vi har utvecklat svaren på varje fråga. Scrollar ner och läs mer!
1. GDPR gäller bara stora bolag
Falskt. Det här är kanske det mest spridda missförståndet av alla, och det är förståeligt varför: mediebevakningen handlar oftast om böter mot techjättar och storbanker. Men lagstiftningen gör ingen skillnad på bolagsstorlek. Så fort du behandlar personuppgifter – vilket i praktiken betyder nästan alla verksamheter med anställda, kunder eller leverantörer – omfattas ni.
Det som faktiskt skiljer ett litet konsultbolag från en storbank är inte om kraven gäller, utan vilka delar av regelverket som är mest relevanta. Ett konsultbolag med tio anställda och ett CRM-system behöver till exempel fundera på personuppgiftsbiträdesavtal med sina molnleverantörer och rutiner för de registrerades rättigheter. En storbank har betydligt fler processer att hantera, men principen är densamma. Storlek påverkar omfattningen av arbetet – inte om det behöver göras.
2. Vi har fått samtycke, så vi kan behandla uppgifterna hur vi vill
Falskt. Samtycke är en av sex möjliga rättsliga grunder för att behandla personuppgifter, inte ett frikort som gör resten av regelverket irrelevant. För att ett samtycke ska vara giltigt måste det dessutom vara frivilligt. Den som lämnar samtycket ska ha ett verkligt val och kunna tacka nej utan negativa konsekvenser.
Även när du har ett giltigt samtycke måste du fortfarande följa grundprinciperna: ändamålsbegränsning (du får bara använda uppgifterna för det du informerat om), dataminimering (du får bara samla in det som faktiskt behövs) och lagringsminimering (uppgifterna ska raderas när de inte längre behövs).
Dessutom ska ett samtycke vara lika enkelt att återkalla som det var att lämna. Vi ser ofta att bolag bygger komplicerade avregistreringsflöden eller ”glömmer” att radera uppgifter efter att ett samtycke dragits tillbaka. Ett bra tips: fråga dig själv om du skulle kunna visa en tillsynsmyndighet exakt när och hur varje samtycke lämnades. Om svaret är nej finns det ett gap att täppa till.
3. Om vi inte har haft en incident behöver vi inte oroa oss
Falskt. Det här påståendet bygger på en missuppfattning om hur tillsyn faktiskt fungerar. IMY (Integritetsskyddsmyndigheten) agerar inte bara reaktivt efter en anmäld incident, utan granskar även på eget initiativ, efter klagomål från enskilda eller genom riktade tillsynsprojekt inom särskilda branscher.
Vi har sett flera exempel där bolag fått anmärkningar utan att någon dataläcka någonsin inträffat, helt enkelt för att grundläggande rutiner saknades: inget register över behandlingar, inga rutiner för att hantera registrerades rättigheter eller avsaknad av konsekvensbedömningar där sådana krävs. Frånvaro av en incident är inte samma sak som efterlevnad, det kan lika gärna betyda att du haft tur.
4. Ett personuppgiftsbiträdesavtal räcker för att vara skyddad
Delvis sant, men ofullständigt. Ett PUB-avtal (personuppgiftsbiträdesavtal) är ett obligatoriskt grundkrav när du låter en extern part behandla personuppgifter för din räkning, till exempel ett molnbaserat affärssystem eller en marknadsföringsplattform. Men avtalet i sig ersätter inte din skyldighet att faktiskt kontrollera att biträdet lever upp till det.
Som personuppgiftsansvarig behåller du ansvaret för uppgifterna, oavsett vad som står i avtalet. Det innebär i praktiken att du behöver ha en process för att bedöma dina leverantörer innan du skriver avtal, och gärna någon form av uppföljning över tid, särskilt för leverantörer som hanterar känsliga eller stora mängder uppgifter. Många bolag har avtalen på plats men saknar helt denna uppföljning, vilket blir tydligt först den dag en leverantör drabbas av en incident.
5. GDPR handlar bara om IT-avdelningen
Falskt. Det här är ett av de mest kostsamma missförstånden vi stöter på, för det placerar ansvaret fel i organisationen. De flesta överträdelser vi ser i praktiken handlar inte om tekniska brister, utan om mänskliga och organisatoriska processer: felaktigt adresserade e-postutskick där mottagarlistan syns för alla, bristande rutiner när en anställd slutar och fortfarande har tillgång till system, eller osäker hantering och kastning av pappersdokument med personuppgifter.
GDPR är en verksamhetsfråga som sträcker sig genom HR, sälj, marknad, ekonomi och ledning, inte en teknisk fråga som kan delegeras bort till IT och sedan glömmas. Bolag som lyckas bäst med sitt dataskyddsarbete är ofta de där ledningen aktivt äger frågan, snarare än de som förlitar sig helt på en enskild funktion.
6. Böterna är så låga att det inte spelar någon roll
Falskt. Sanktionsavgifter enligt GDPR kan uppgå till 4 % av bolagets globala årsomsättning eller 20 miljoner euro beroende på vilket belopp som är högst. Det är inga symboliska belopp, och flera svenska bolag har redan fått avgifter i miljonklassen.
Men för de flesta organisationer vi arbetar med är den större risken sällan själva boten, det är allt som kommer runtomkring en utredning. Interna resurser som binds upp under lång tid, extern juridisk rådgivning, krav på åtgärdsplaner med tajta deadlines, och inte minst förtroendeskadan gentemot kunder och partners. En offentlig anmärkning från IMY sprids snabbt, och den typen av rykte är betydligt svårare att reparera än att betala en avgift.
7. Vi är ett B2B-bolag, så GDPR berör oss knappt
Falskt. Ett vanligt resonemang är att dataskydd främst handlar om konsumentdata, och att bolag som säljer till andra företag därför står utanför riskzonen. Men så fort du har kontaktuppgifter till fysiska personer hos era kunder eller leverantörer till exempel namn, e-post, telefonnummer, roll så behandlar ditt företag personuppgifter, oavsett affärsmodell.
B2B-bolag har dessutom ofta stora mängder personuppgifter kopplade till anställda: löneuppgifter, rekryteringsdata, hälsodata vid sjukfrånvaro och prestationsuppföljning. Det är sällan mindre känsligt än konsumentdata, tvärtom är HR-relaterade uppgifter ofta bland de mest skyddsvärda en organisation hanterar.
8. En DPO (dataskyddsombud) tar hand om allt åt oss
Falskt. Ett dataskyddsombud har en viktig men avgränsad roll: att övervaka efterlevnaden, ge råd och fungera som kontaktpunkt mot tillsynsmyndigheten. Rollen är rådgivande, inte verkställande. DPO:n fattar inte beslut om hur verksamheten ska behandla personuppgifter och kan inte ensam se till att rutiner följs i vardagen. DPO:n ska kunna agera oberoende och får inte ha andra uppgifter eller roller som leder till en intressekonflikt.
Ansvaret för efterlevnaden ligger fortfarande hos den personuppgiftsansvariga organisationen. Ledningen och verksamhetens olika delar måste därför se till att regler och rutiner följs i praktiken. Ett vanligt misstag är att tillsätta ett dataskyddsombud och sedan betrakta frågan som ”löst”, utan att ge ombudet tillräckliga resurser, tillgång till relevant information och ett tydligt samarbete med resten av organisationen. Ett dataskyddsombud utan stöd blir sällan mer än en varningsklocka som ingen lyssnar på.
9. Vi raderar ju uppgifter regelbundet, så vi är säkra
Sant, men bara delvis. Radering av uppgifter är en viktig del av GDPR-arbetet, men det räcker inte att göra det sporadiskt eller på magkänsla. Kravet handlar om att ha en dokumenterad gallringsrutin kopplad till specifika lagringstider för olika typer av uppgifter, och att kunna visa att rutinen faktiskt följs.
Vi ser ofta en av två ytterligheter hos kunder: antingen sparas allt ”för säkerhets skull” i evighet, vilket i sig är en överträdelse av principen om lagringsminimering, eller så raderas data inkonsekvent utan spårbarhet, vilket gör det omöjligt att bevisa efterlevnad om frågan skulle ställas. Rätt nivå ligger mittemellan: tydliga, dokumenterade rutiner som faktiskt efterlevs och kan visas upp.
10. GDPR är en engångsinsats, vi har gjort GDPR
Falskt. Och kanske det mest avgörande missförståndet av alla. Många bolag gjorde ett stort arbete inför att lagen trädde i kraft 2018, checkade av en lista och har sedan dess betraktat frågan som avslutad. Men verksamheter förändras: nya system upphandlas, nya leverantörer kopplas in, personal kommer och går, nya produkter lanseras som samlar in nya typer av data.
Dataskydd är ett kontinuerligt arbete, inte ett projekt med ett slutdatum. Organisationer som lyckas bäst är de som byggt in återkommande uppföljning, till exempel en årlig genomgång av registret över behandlingar, regelbunden granskning av leverantörer, och rutiner för att fånga upp nya behandlingar redan när de planeras, inte efter att de satts i drift.
Så, hur många kände du igen?
Om du nickade igenkännande på fler än ett eller två av dessa påståenden är du långt ifrån ensam – det är precis den här typen av gap vi hjälper organisationer att identifiera och åtgärda varje dag. Ofta handlar det inte om att börja om från noll, utan om att synliggöra var de faktiska bristerna finns och prioritera rätt åtgärder utifrån risk, snarare än att jaga en checklista.
Vill du ha en second opinion på nuläget, eller hjälp att reda ut vilka av de här punkterna som är relevanta för just din verksamhet? Hör av dig så pratar vi vidare.
