Hva står forkortelsen GDPR for?

hva står GDPR for? Bøter på 20 millioner euro

hva står GDPR for representerer fundamentale krav til databehandling for alle norske virksomheter. Uklarhet rundt disse forpliktelsene medfører betydelig økonomisk risiko og juridisk ansvar. Ved å prioritere korrekt forståelse av regelverket sikrer bedriften trygg drift og unngår sanksjoner. Sett deg inn i kravene for å beskytte virksomheten mot uforutsette tap.

Hva står forkortelsen GDPR for?

GDPR står for hva er General Data Protection Regulation. På norsk omtales dette regelverket som personvernforordningen. Det er et omfattende sett med regler fra EU som ble innført for å gi enkeltpersoner bedre kontroll over egne personopplysninger og harmonisere lovverket på tvers av landegrensene i Europa.

Siden innføringen i 2018 har regelverket transformert hvordan bedrifter håndterer data. Mange europeiske virksomheter har måttet endre sine interne rutiner betydelig for å etterleve kravene.^[1] Men det er en detalj mange overser - jeg skal forklare den i avsnittet om bedriftens ansvar lenger ned.

Hvorfor ble GDPR innført?

Før GDPR fantes det et lappeteppe av ulike personvernlover i Europa som var utdaterte for den digitale tidsalderen. Hensikten med forordningen var å modernisere reglene og sikre at dine personopplysninger - alt fra navn og adresse til IP-adresser og helseinformasjon - blir beskyttet uansett hvor i EØS-området de behandles.

I min erfaring som rådgiver for småbedrifter, ser jeg ofte at folk tror personvern kun handler om IT-sikkerhet. Det stemmer ikke helt. Det handler like mye om tillit. Da jeg hjalp en lokal butikk med deres rutiner, innså de at ved å være åpne om databruken, økte faktisk kundelojaliteten. Folk liker å vite at dataene deres ikke blir solgt videre til høystbydende.

Hvordan fungerer GDPR i Norge?

Selv om forkortelsen er engelsk, er regelverket en del av norsk lov gjennom Personopplysningsloven av 2018. Det betyr at norske bedrifter må følge nøyaktig de samme strenge reglene som selskaper i Tyskland eller Frankrike. Datatilsynet er myndigheten som kontrollerer hva er GDPR på norsk i praksis.

Tall viser at Datatilsynet i Norge har sett en økning i antall meldte avvik de siste årene. Dette skyldes ikke nødvendigvis at bedrifter har blitt dårligere, men at bevisstheten rundt rapporteringsplikten har økt drastisk. For virksomheter kan konsekvensene ved alvorlige brudd bli enorme - bøter kan teoretisk nå opp til 20 millioner euro eller 4% av global årsomsetning.^[3]

Hvem gjelder reglene for?

Her er den kritiske detaljen jeg nevnte tidligere: hva står GDPR for gjelder ikke bare for gigantiske teknologiselskaper. Regelverket gjelder for alle organisasjoner, foreninger og bedrifter - uansett størrelse - som behandler personopplysninger om personer i EU og EØS. Det betyr at selv et lite borettslag eller en lokal idrettsklubb har et ansvar.

Jeg husker jeg jobbet med en frivillig organisasjon som trodde de var for små for GDPR regler kort fortalt. De ble sjokkert da de innså at medlemslisten deres med e-postadresser og telefonnumre krevde en formell behandlingsprotokoll. Det tok oss tre uker med rydding i gamle Excel-ark for å få ting på stell. Men følelsen av kontroll etterpå? Den var verdt hver time med frustrasjon.

GDPR vs. Gamle personvernregler

Før GDPR (Eldre direktiv)

1. Ulike regler i hvert enkelt land skapte forvirring
2. Relativt lave bøter som sjelden fungerte avskrekkende
3. Vanskelig å få innsyn i hvilke data som var lagret

Etter GDPR (Nåværende)

1. Harmoniserte regler for hele EU og EØS-området
2. Bøter opp til 4 prosent av global omsetning
3. Styrket rett til innsyn, sletting og dataportabilitet

Lokalbedriften som ryddet opp

Håvard, som driver et lite rørleggerfirma i Bergen med 15 ansatte, følte seg overveldet av alt snakket om GDPR. Han hadde kundelister liggende i ubeskyttede dokumenter og visste ikke hvem som hadde tilgang til hva.

Første forsøk på opprydding var å slette alt gammelt, men han innså raskt at han slettet viktig historikk han trengte for garantisaker. Det var kaos i to uker mens de prøvde å gjenopprette data.

Gjennombruddet kom da han innså at han ikke trengte å slette alt, bare sikre det. Han innførte tilgangsstyring og sletterutiner for ferdigstilte oppdrag etter fem år.

Etter seks måneder har bedriften full oversikt. De reduserte datamengden med 40 prosent og kundene melder om økt trygghet når de ser firmaets ryddige personvernerklæring.