Personvern
Behandlingsgrunnlag: hvordan velge riktig grunnlag
Behandlingsgrunnlag må velges per formål og før opplysningene tas i bruk. Det er ikke noe man rydder opp i etterpå.
Les guideFagområde
Personvern
Guider om behandlingsgrunnlag, databehandleravtaler, avvik, lagring og andre personvernspørsmål bedrifter må ha kontroll på.
Praktiske guider i dette fagområdet
Trenger du hjelp med Personvern?
Bruk guidene til å sortere spørsmålene først. Ta kontakt hvis dere trenger hjelp til å vurdere dokumentasjon, beslutninger, plikter eller neste steg i en konkret sak.
- selskapsrett, styrearbeid og eierforhold
- skatterett, MVA og rapporteringsplikt
- arbeidsrett, kontrakter og personvern
- immaterialrett, tvister og etterlevelse
Praktisk første avklaring for bedrifter som vil håndtere juss, compliance og tvister ryddig før det blir dyrt eller tidkrevende.
Start her
Tre guider som gir rask retning i Personvern.
Personvern
Personvernerklæring: hvem trenger det og hva bør stå der?
En personvernerklæring skal forklare den faktiske behandlingen på en forståelig måte.
Les guide
Personvern
Databehandleravtale: hva må være med?
Databehandleravtalen bør være konkret nok til å styre en reell tjeneste, ikke bare oppfylle et minimumskrav.
Les guideFlere artikler i Personvern
Protokoll over behandlingsaktiviteter: slik kommer du i gang
En behandlingsprotokoll er først nyttig når den gir ledelsen oversikt over hva som faktisk skjer med dataene.
DPIA: når må du vurdere personvernkonsekvenser?
DPIA bør brukes når risikoen for personer er høy, ikke som et papirarbeid i etterkant.
Innebygd personvern når du kjøper eller bygger systemer
Innebygd personvern fungerer best når kravene kommer inn før systemvalg og utvikling er låst.
Cookies, analyse og samtykke for bedrifter
Cookies og analyseverktøy må vurderes sammen med hvordan dere faktisk sporer og profilerer brukerne.
Tilgangsstyring og rutiner for ansatte
Tilgangsstyring er ofte svakest der virksomheten vokser fort og gamle tilganger bare blir liggende.
Personvernombud: har bedriften plikt?
Personvernombud er ikke et kvalitetstegn i seg selv. Først må dere vurdere om dere faktisk har plikt eller et reelt behov.
Personvernbrudd: varsling, 72-timersfrist og sjekkliste
En praktisk beredskapsplan for personvernbrudd, fra første tiltak til melding, informasjon og etterarbeid.
Lagringstid og sletterutiner for kundedata
Gode sletterutiner handler om mer enn å sette en dato. Dere må vite hvorfor dataene lagres og hvem som eier prosessen.
Overføring av personopplysninger til land utenfor EØS
Overføring til land utenfor EØS bør vurderes før løsningen tas i bruk, ikke etterpå.
Kundeopplysninger i CRM: hva må bedriften ha kontroll på?
CRM-data blir fort en blanding av salg, support og markedsføring. Det gjør kontrollen på formål og lagring ekstra viktig.
Ansattdata: hvilke opplysninger kan arbeidsgiver behandle?
Ansattdata kan behandles når virksomheten trenger det, men arbeidsgiver må være særlig bevisst på maktbalansen og nødvendigheten.
Personvern for kamera og sporing på jobb
Kamera og sporing på jobb krever en konkret vurdering av behov, proporsjonalitet og informasjon til de ansatte.
Innsynsbegjæring fra kunde eller ansatt: hvordan svare?
Praktisk personvernguide om innsynsbegjæring fra kunde eller ansatt: hvordan svare?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste steg.
Retting, sletting og begrensning: hvordan rigge rutiner?
Praktisk personvernguide om retting, sletting og begrensning: hvordan rigge rutiner?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste steg.
Behandlingsansvarlig eller databehandler: hvordan vurdere rollen?
Mange avtaler bruker ordet databehandler automatisk, men rollevalget må bygge på hvem som faktisk bestemmer formål og midler for behandlingen.
Felles behandlingsansvar: når gjelder det?
Felles behandlingsansvar oppstår ikke bare fordi to virksomheter samarbeider. Det krever at de i fellesskap bestemmer formål og midler for behandlingen.
Markedsføring på e-post og SMS: hva må bedriften passe på?
E-post og SMS er effektive kanaler, men bare når virksomheten vet hvem den kan kontakte, på hvilket grunnlag og hvordan avmelding og dokumentasjon skal fungere.
Legitimasjonskontroll: hva kan virksomheten se og lagre?
Praktisk personvernguide om legitimasjonskontroll: hva kan virksomheten se og lagre?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste steg.
Backup, logg og arkiv: hvordan passer det med sletterutiner?
Sletterutiner fungerer ikke hvis backup, logger og arkiv holdes utenfor. Virksomheten må vite hva som faktisk slettes, når og i hvilke lag data fortsatt finnes.
Dataminimering: hvordan rydde i skjemaer og systemer?
Dataminimering er enklest når virksomheten går konkret inn i felter, rutiner og rapporter og spør hva som faktisk trengs for formålet.
Databrudd hos databehandler: hvem gjør hva?
Når et databrudd skjer hos databehandler, må både varsling, rolleforståelse og praktisk håndtering sitte. Uklare avtaler koster dyr tid i de første timene.
Logging og kontroll i IT-systemer: hva må avklares?
Praktisk personvernguide om logging og kontroll i it-systemer: hva må avklares?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste steg.
Samtykke: når fungerer det og når bør det unngås?
Samtykke passer ikke for alt. Det fungerer best når den registrerte har et reelt valg og virksomheten faktisk kan leve med at samtykket trekkes tilbake.
Personvern i rekruttering og jobbsøknader
Rekruttering innebærer mye persondata på kort tid. Derfor bør virksomheten vite hva som samles inn, hvem som ser det og hvor lenge materialet beholdes.
Informasjonsplikt når opplysninger kommer fra andre enn den registrerte
Når personopplysninger samles inn fra andre kilder enn personen selv, må virksomheten være ekstra bevisst på hva som skal informeres om og når.
Deling av personopplysninger i konsern eller med rådgivere: hva må vurderes?
Praktisk personvernguide om deling av personopplysninger i konsern eller med rådgivere: hva må vurderes?, med kontrollpunkter for ansvar, dokumentasjon.
Profilering og segmentering av kunder: hva må bedriften vurdere?
Profilering og segmentering kan være nyttig, men virksomheten bør vite hvilke data som brukes, hva analysen påvirker og hvordan kundene informeres om dette.
Kundedata i AI-verktøy: hva må bedriften avklare?
Praktisk personvernguide om kundedata i ai-verktøy: hva må bedriften avklare?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste steg.
Sensitive personopplysninger: når er de i spill og hva kreves?
Praktisk personvernguide om sensitive personopplysninger: når er de i spill og hva kreves?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste.
Privat bruk av arbeidsutstyr og innsyn fra arbeidsgiver: hva gjelder?
Praktisk personvernguide om privat bruk av arbeidsutstyr og innsyn fra arbeidsgiver: hva gjelder?, med kontrollpunkter for ansvar, dokumentasjon, risiko og.
Leverandørbytte og migrering av personopplysninger: hva må planlegges?
Praktisk personvernguide om leverandørbytte og migrering av personopplysninger: hva må planlegges?, med kontrollpunkter for ansvar, dokumentasjon, risiko og.
Tilgangsstyring ved fratreden: hvordan sikre data når noen slutter?
Når noen slutter, må virksomheten både beskytte personopplysninger og sikre kontinuitet. Det krever mer enn bare å deaktivere én bruker sent på siste dag.
Berettiget interesse: hvordan gjøre interesseavveining?
Praktisk personvernguide om berettiget interesse: hvordan gjøre interesseavveining?, med kontrollpunkter for ansvar, dokumentasjon, risiko og neste steg.
Personvernrisiko ved nytt IT-system: hva bør sjekkes?
Nytt IT-system bør vurderes før innkjøp, slik at formål, datatyper, leverandørrolle og sikkerhet er avklart tidlig.
Databehandlerkjede: hvordan følge opp underleverandører?
Databehandlerkjeden bør være synlig nok til at bedriften vet hvem som behandler data, hvor, og på hvilket grunnlag.
Personvern i kundeundersøkelser og NPS-målinger
Kundeundersøkelser bør planlegges med tydelig formål, kort lagringstid og kontroll på om svar kan knyttes til enkeltpersoner.
Sletting av ansattdata etter fratreden
Når ansatte slutter, bør bedriften ha en rutine for tilgangsstenging, arkivering og sletting av opplysninger som ikke lenger trengs.
Bruk av biometri og adgangskontroll på jobb
Biometri og adgangskontroll krever en streng vurdering av nødvendighet, alternativer, informasjon og tilgang til data.
Personvernvedlegg i SaaS-avtaler: hva bør med?
Et personvernvedlegg i en SaaS-avtale bør gjøre databehandling, sikkerhet, underleverandører og exit tydelig.
GDPR-databehandleravtale for bedrifter
Slik skriver dere en databehandleravtale som dekker GDPR artikkel 28 og fungerer i praksis.
Neste område
Selskapsrett
Guider om selskapsform, eierskap, vedtekter, registreringer og beslutninger som må sitte når virksomheten skal bygges, endres eller avsluttes.
Neste område
Skatterett
Guider om MVA, forskuddsskatt, skattemelding, fradrag og andre skattevalg som påvirker drift, likviditet og risiko.
Neste område
Arbeidsrett
Guider om arbeidsavtaler, arbeidstid, sykefravær, permittering, varsling og andre spørsmål arbeidsgivere må håndtere ryddig.