GDPR: Er du klar for å vise at du har tatt ansvar?

På Gjenvinningsbloggen snakkes det rett som det er om ansvar i forbindelse med avfallshåndtering. Da handler det gjerne om ansvar knyttet til helse og miljø i forbindelse med avfallet som kastes. Naturlig nok. Men har du tenkt på at innføring av GDPR, ny personvernforordning, også har med ansvar og avfall å gjøre? Nei, sa du? Da bør du få med deg denne artikkelen.

La oss se på ansvaret først. Med det nye personregelverket får alle norske virksomheter større ansvar for behandling av personopplysninger. 

Når loven trer i kraft, må du være klar til å vise at du har tatt dette ansvaret. At virksomheten din har gode rutiner for behandling av personopplysninger. Og det gjelder ikke bare hvordan du skal behandle og oppbevare informasjonen, men også hvordan du kvitter deg med opplysningene du ikke trenger mer. Avfallet. For hva gjør du egentlig når avfallet du kaster inneholder personopplysninger og sensitiv informasjon?

Trygghet for at opplysninger blir slettet

Retten til å bli glemt står sterkt i den nye lovgivningen: Den dagen det ikke er grunnlag for å ha personopplysninger lagret, skal de slettes. Uansett om de er lagret digitalt, eller i papirform.

Informasjonsplikt 

I den nye loven pålegges også virksomhetene åpenhet om det de registrerer. De plikter dessuten å gi informasjon om hvordan personopplysninger blir behandlet - både på eget initiativ, og hvis de blir spurt om det. Det betyr at du også må kunne vise hvilke rutiner dere har for sletting av dokumenter.

Informasjonssikkerhet

For å oppfylle lovens krav er informasjonssikkerhet et nøkkelbegrep. Det er en kontinuerlig prosess. Virksomhetene plikter å vurdere løpende om de sikkerhetsrutinene de har valgt, er gode nok. Nye tiltak skal iverksettes hvis de pålagte risikovurderingene viser at sikkerheten ikke tilfredsstiller kravene. Det gjelder også vurdering av teknologi, som for eksempel hvordan makulering av dokumenter skal foregå.

Avvik skal varsles

Det blir også strengere krav til varsling ved avvik:

• Brudd på sikkerhetsrutinene skal varsles innen 72 timer etter at man blir klar over slike brudd.
• Varsling skal også skje til de personene som blir berørte av brudd på sikkerhetsrutinene.
• Hvordan man håndterer brudd skal dokumenteres.

Erfaring viser at avvik lett kan oppstå ved håndtering av fysiske dokumenter. For det lagres fortsatt store mengder personopplysninger og sensitivt materiale på papir. Printere og kopimaskiner brukes hyppig. Har du ikke sikre nok rutiner for makulering av slike dokumenter, risikerer du at sensitivt materiale kommer på avveie. Ved å ha en beholder for sikker makulering av dokumenter, er du allerede i gang med å å vise at du tar ansvar. 

Vi i Norsk Makulering har laget en gratis sjekkliste som kan være til god hjelp i arbeidet med å imøtekomme GDPR-kravene. Den kan du laste ned gratis her:

Denne artikkelen er basert på følgende artikkel fra Makuleringsbloggen: Er du godt nok forberedt på GDPR-kontrollene?  Her finner du utfyllende informasjon rundt de forskjellige punktene hvis du ønsker å vite mer.