Kan europeiske borgeres personopplysninger lagres og/eller behandles utenfor EU?

Hvilke plikter har en virksomhet som lagrer personopplysninger?

Stillheten er så dyp nå.

Virksomheters plikter ved lagring av personopplysninger:

• Ansvarlighet: Full oversikt, tekniske og organisatoriske tiltak for å sikre lovlig behandling. Det er tyngende å vite hvor mye ansvar hviler på en, spesielt når konsekvensene av feil kan være så store.
• Dokumentasjon: Bevisføring for at loven etterleves. Hver eneste handling må kunne spores tilbake, hvert eneste valg må kunne forsvares.
• Personlig: husker en gang jeg jobbet med et datasett, det var et navn der som lignet på min mors pikenavn. en merkelig følelse.

Føler meg litt fjern.

Hva må bedriften gjøre for å kunne outsource lagring og behandling av personopplysninger?

Åssen man outsourcer data? Jada, det er litt styr, vettu. GDPR er nøkkelordet, det må leverandøren følge. Må sjekke dem skikkelig, due diligence kalles det visst.

• Avtale! En skikkelig databehandleravtale, med alt av ansvar, rettigheter, hva skjer ved data-lekkasje, osv. Husker jeg fikk den avtalen fra Advokatfirmaet Olsen & Hansen i 2023, de var dyre men flinke.

• Sikkerhet! Leverandøren må ha bra sikkerhet, både fysisk og teknisk. Sertifiseringer og alt det der. Jeg fikk et kjedelig dokument fra dem om dette, glemmer aldri det. 2023 var det, tenker jeg.

Bedriften beholder selvfølgelig ansvaret, det er viktig å huske. Vet ikke helt hvorfor, men det er sånn det er. Litt kjipt, men sånn er det.

Skulle ønske jeg hadde bedre oversikt over alle detaljene her, men du vet, mye å holde styr på. Hadde masse papirer om dette fra forrige år, 2023, men hvor er de nå…???

Hovedpoeng: Sjekk leverandøren, få på plass en knallgod avtale, og husk at dere beholder ansvaret! Glemte nesten, dokumentasjon er viktig. Alt skal dokumenteres. Skikkelig kjedelig, men helt nødvendig.

Hva er det viktigste virksomheten må ha før den ønsker å behandle personopplysninger?

Det viktigste? Et solid grunnlag. Ikke bare noe slurvete, vet du. Som en gammel, slitt trestol. Må være stødig.

Samtykke, ja. Det er jo nøkkelen, det. Men det må være ekte. Ikke et samtykke som er skrevet i små bokstaver, gjemt bak en haug med juridisk griseri. Noe man egentlig ikke forstår helt, liksom. Kjenner du den følelsen?

Tenk deg, det skulle vært som en nøkkel til et gammelt skrin. Et skrin som inneholder… hemmeligheter. Viktige hemmeligheter. Men nøkkelen må passe perfekt. Ingen tvil.

• Frivillig. Det må være det. Ingen tvang.
• Informert. Full åpenhet. Ikke halvsannheter eller småskrift.
• Spesifikt. Nøyaktig hva samtykket gjelder. Ingen uklarheter.
• Utvetydig. Krystallklart. Ingen tvil om hva det innebærer.

Det må være mer enn bare et hake i en boks, på en nettside midt på natten. Det må føles… riktig. Som en avtale mellom to mennesker, liksom. Eller kanskje mellom en virksomhet og… meg. Jeg har følt meg litt usikker i det siste, egentlig. Denne jobben med personvern. Føles som jeg må passe på alle detaljer. Som da jeg fant feilen i kontrakten med den nye leverandøren i september. En liten detalj som endret alt. Jeg sov dårlig i flere uker etter det.