”Vi har ju ett cookie-banner, så vi är GDPR-compliant.”
Vi hör varianter av den meningen varje vecka. GDPR har funnits i snart tio år, men missförstånden lever kvar i svenska styrelserum, ledningsgrupper och på fikaraster ute i verksamheterna. Vissa av dem är ofarliga missuppfattningar. Andra kan leda till sanktionsavgifter, förtroendeskador eller onödigt tunga interna processer den dagen IMY knackar på.
Vi har samlat tio påståenden som vi möter regelbundet hos kunder, från småbolag som precis börjat fundera på dataskydd till större organisationer som trott sig vara klara sedan länge. Läs igenom och se hur många ni känner igen från er egen organisation.
1. GDPR gäller bara stora bolag
Falskt. Det här är kanske det mest spridda missförståndet av alla, och det är förståeligt varför: mediebevakningen handlar oftast om böter mot techjättar och storbanker. Men lagstiftningen gör ingen skillnad på bolagsstorlek. Så fort ni behandlar personuppgifter – vilket i praktiken betyder nästan alla verksamheter med anställda, kunder eller leverantörer – omfattas ni.
Det som faktiskt skiljer ett litet konsultbolag från en storbank är inte om kraven gäller, utan vilka delar av regelverket som är mest relevanta. Ett konsultbolag med tio anställda och ett CRM-system behöver till exempel fundera på personuppgiftsbiträdesavtal med sina molnleverantörer och rutiner för de registrerades rättigheter. En storbank har betydligt fler processer att hantera, men principen är densamma. Storlek påverkar omfattningen av arbetet – inte om det behöver göras.
2. Vi har fått samtycke, så vi kan behandla uppgifterna hur vi vill
Falskt. Samtycke är en av sex möjliga rättsliga grunder för att behandla personuppgifter, inte ett frikort som gör resten av regelverket irrelevant. Även när ni har ett giltigt samtycke måste ni fortfarande följa grundprinciperna: ändamålsbegränsning (ni får bara använda uppgifterna för det ni informerat om), dataminimering (ni får bara samla in det som faktiskt behövs) och lagringsminimering (uppgifterna ska raderas när de inte längre behövs).
Dessutom ska ett samtycke gå lika enkelt att återkalla som det var att lämna. Vi ser ofta att bolag bygger komplicerade avregistreringsflöden eller ”glömmer” att radera uppgifter efter att ett samtycke dragits tillbaka – vilket i sig är en överträdelse. Ett bra tips: fråga er själva om ni skulle kunna visa en tillsynsmyndighet exakt när och hur varje samtycke lämnades. Om svaret är nej finns det ett gap att täppa till.
3. Om vi inte har haft en incident behöver vi inte oroa oss
Falskt. Det här påståendet bygger på en missuppfattning om hur tillsyn faktiskt fungerar. IMY (Integritetsskyddsmyndigheten) agerar inte bara reaktivt efter en anmäld incident, de granskar även på eget initiativ, efter klagomål från enskilda, eller genom riktade tillsynsprojekt inom särskilda branscher.
Vi har sett flera exempel där bolag fått anmärkningar utan att någon dataläcka någonsin inträffat, helt enkelt för att grundläggande rutiner saknades: inget register över behandlingar, inga rutiner för att hantera registrerades rättigheter, eller avsaknad av konsekvensbedömningar där sådana krävs. Frånvaro av en incident är inte samma sak som efterlevnad, det kan lika gärna betyda att ni haft tur.
4. Ett personuppgiftsbiträdesavtal räcker för att vara skyddad
Delvis sant, men ofullständigt. Ett PUB-avtal (personuppgiftsbiträdesavtal) är ett obligatoriskt grundkrav när ni låter en extern part behandla personuppgifter för er räkning, till exempel ett molnbaserat affärssystem eller en marknadsföringsplattform. Men avtalet i sig ersätter inte er skyldighet att faktiskt kontrollera att biträdet lever upp till det.
Som personuppgiftsansvarig behåller ni ansvaret för uppgifterna, oavsett vad som står i avtalet. Det innebär i praktiken att ni behöver ha en process för att bedöma era leverantörer innan ni skriver avtal, och gärna någon form av uppföljning över tid, särskilt för leverantörer som hanterar känsliga eller stora mängder uppgifter. Många bolag har avtalen på plats men saknar helt denna uppföljning, vilket blir tydligt först den dagen en leverantör drabbas av en incident.
5. GDPR handlar bara om IT-avdelningen
Falskt. Det här är ett av de mest kostsamma missförstånden vi stöter på, för det placerar ansvaret fel i organisationen. De flesta överträdelser vi ser i praktiken handlar inte om tekniska brister, utan om mänskliga och organisatoriska processer: felaktigt adresserade e-postutskick där mottagarlistan syns för alla, bristande rutiner när en anställd slutar och fortfarande har tillgång till system, eller osäker hantering och kastning av pappersdokument med personuppgifter.
GDPR är en verksamhetsfråga som sträcker sig genom HR, sälj, marknad, ekonomi och ledning, inte en teknisk fråga som kan delegeras bort till IT och sedan glömmas. Bolag som lyckas bäst med sitt dataskyddsarbete är ofta de där ledningen aktivt äger frågan, snarare än de som förlitar sig helt på en enskild funktion.
6. Böterna är så låga att det inte spelar någon roll
Falskt. Sanktionsavgifter enligt GDPR kan uppgå till 4 % av bolagets globala årsomsättning eller 20 miljoner euro beroende på vilket belopp som är högst. Det är inga symboliska belopp, och flera svenska bolag har redan fått avgifter i miljonklassen.
Men för de flesta organisationer vi arbetar med är den större risken sällan själva boten, det är allt som kommer runtomkring en utredning. Interna resurser som binds upp under lång tid, extern juridisk rådgivning, krav på åtgärdsplaner med tajta deadlines, och inte minst förtroendeskadan gentemot kunder och partners. En offentlig anmärkning från IMY sprids snabbt, och den typen av rykte är betydligt svårare att reparera än att betala en avgift.
7. Vi är ett B2B-bolag, så GDPR berör oss knappt
Falskt. Ett vanligt resonemang är att dataskydd främst handlar om konsumentdata, och att bolag som säljer till andra företag därför står utanför riskzonen. Men så fort ni har kontaktuppgifter till fysiska personer hos era kunder eller leverantörer till exempel namn, e-post, telefonnummer, roll så behandlar ni personuppgifter, oavsett affärsmodell.
B2B-bolag har dessutom ofta stora mängder personuppgifter kopplade till anställda: löneuppgifter, rekryteringsdata, hälsodata vid sjukfrånvaro och prestationsuppföljning. Det är sällan mindre känsligt än konsumentdata, tvärtom är HR-relaterade uppgifter ofta bland de mest skyddsvärda en organisation hanterar.
8. En DPO (dataskyddsombud) tar hand om allt åt oss
Falskt. Ett dataskyddsombud har en viktig men avgränsad roll: att övervaka efterlevnad, ge råd och fungera som kontaktpunkt mot tillsynsmyndigheten. Rollen är rådgivande, inte verkställande. DPO:n fattar inte beslut om hur verksamheten ska behandla personuppgifter, och kan inte ensam se till att rutiner faktiskt följs i vardagen.
Det praktiska ansvaret för efterlevnad ligger fortfarande hos den personuppgiftsansvariga organisationen, det vill säga ledningen och de olika avdelningarna. Ett vanligt misstag är att tillsätta ett dataskyddsombud och sedan betrakta frågan som ”löst”, utan att ge rollen mandat, resurser eller ett tydligt samarbete med resten av organisationen. Ett dataskyddsombud utan stöd blir sällan mer än en varningsklocka som ingen lyssnar på.
9. Vi raderar ju uppgifter regelbundet, så vi är säkra
Sant, men bara delvis. Radering av uppgifter är en viktig del av GDPR-arbetet, men det räcker inte att göra det sporadiskt eller på magkänsla. Kravet handlar om att ha en dokumenterad gallringsrutin kopplad till specifika lagringstider för olika typer av uppgifter, och att kunna visa att rutinen faktiskt följs.
Vi ser ofta en av två ytterligheter hos kunder: antingen sparas allt ”för säkerhets skull” i evighet, vilket i sig är en överträdelse av principen om lagringsminimering, eller så raderas data inkonsekvent utan spårbarhet, vilket gör det omöjligt att bevisa efterlevnad om frågan skulle ställas. Rätt nivå ligger mittemellan: tydliga, dokumenterade rutiner som faktiskt efterlevs och kan visas upp.
10. GDPR är en engångsinsats, vi har gjort GDPR
Falskt. Och kanske det mest avgörande missförståndet av alla. Många bolag gjorde ett stort arbete inför att lagen trädde i kraft 2018, checkade av en lista och har sedan dess betraktat frågan som avslutad. Men verksamheter förändras: nya system upphandlas, nya leverantörer kopplas in, personal kommer och går, nya produkter lanseras som samlar in nya typer av data.
Dataskydd är ett kontinuerligt arbete, inte ett projekt med ett slutdatum. Organisationer som lyckas bäst är de som byggt in återkommande uppföljning, till exempel en årlig genomgång av registret över behandlingar, regelbunden granskning av leverantörer, och rutiner för att fånga upp nya behandlingar redan när de planeras, inte efter att de satts i drift.
Så, hur många kände du igen?
Om ni nickade igenkännande på fler än ett eller två av dessa påståenden är ni långt ifrån ensamma – det är precis den här typen av gap vi hjälper organisationer att identifiera och åtgärda varje dag. Ofta handlar det inte om att börja om från noll, utan om att synliggöra var de faktiska bristerna finns och prioritera rätt åtgärder utifrån risk, snarare än att jaga en checklista.
Vill ni ha en second opinion på ert nuläge, eller hjälp att reda ut vilka av de här punkterna som är relevanta för just er verksamhet? Hör av er så pratar vi vidare – no nonsense, som vanligt.
