Det er forskjell på om du er behandlingsansvarlig eller databehandler (f.eks. skyleverandør)
Når må personopplysningene slettes? Og når kan du beholde dem?
Husk å behandle personopplysninger konfidensielt, og ha system for endring av dataene.
Husk gode avtaler med de som behandler personopplysninger på vegne av deg.
Samarbeider du med land utenfor EU/EØS? Da er det litt mer komplisert.
– Sammen har vi fått til en bra GDPR-sertifisering, sier Erlend Olsen (t.v.) i Intility og George Turk i PwC.
I 2017 anga 60 prosent av respondentene til PwCs Cybercrime Survey at personopplysningene i deres virksomhet var tilstrekkelig beskyttet i henhold til GDPR. På slutten av 2018 hadde tallet falt til 51 prosent.
– I 2019 ser vi fortsatt at virksomheter ikke har kontroll på GDPR, selv om mange er på god vei, sier George Turk.
Datatilsynet i Danmark har laget en ny standard som sikrer at databehandlere lever opp til kravet i GDPR.
– Dette burde vi hatt i Norge også. Slik det er nå, så er det altfor mange som ikke holder seg innenfor GDPR, og de vet det ikke selv, sier Turk.
Vi ville ha et kvalitetsstempel på at dette har vi kontroll på. Og det fikk vi til sammen med George.
Hverken Datatilsynet eller det europeiske personvernstyret (European Data Protection Board) har funnet ut hvordan en sertifisering skal gjøres i praksis. Mange bedrifter ønsker sertifisering for at kundene skal stole på at deres personopplysninger er trygge.
– Å kunne dokumentere god etterlevelse av GDPR er viktig for virksomhetenes omdømme, sier GDPR-ekspert i PwC, Christine Ask Ottesen.
En av få i Norge som har revidert sitt internkontrollsystem for personvern, er IT-selskapet Intility. Revisjonen er basert på et rammeverk for GDPR-revisjoner utarbeidet av den nederlandske revisorforeningen og gjennomført med revisjonsstandarden ISAE 3000 type 2. Rapporten dekker områder som retningslinjer og prosedyrer for behandling, sletting og overføring av personopplysninger, opplæringsprosesser og informasjonssikkerhetstiltak på vegne av Intilitys kunder. Totalt inneholder rapporten 48 unike kontroller.
Å kunne dokumentere god etterlevelse av GDPR er viktig for virksomhetenes omdømme.
