Kort fortalt

Hva er hovedregelen?

Kartlegg opplysningene, formålene og hvem som har tilgang. Avklar behandlingsgrunnlag før innsamling, informer personene det gjelder, og inngå nødvendige databehandleravtaler. Innfør sikkerhets-, slette- og avviksrutiner. Små bedrifter er ikke generelt unntatt fra GDPR, og samtykke er bare ett av flere mulige behandlingsgrunnlag.

Gå til lovtekstenLes personopplysningsloven i Lovsamling

1. Lag en oversikt over behandlingene

Start med arbeidsprosessene: salg, kundestøtte, rekruttering, lønn og markedsføring. Skriv ned hvilke opplysninger som brukes, om hvem, til hvilket formål og i hvilke systemer. Ta med mottakere, eventuell overføring til utlandet, planlagt lagringstid og sikkerhetstiltak.

Dette gir grunnlaget for en behandlingsprotokoll etter GDPR artikkel 30. Unntaket for virksomheter med færre enn 250 ansatte er snevert, ikke et generelt fritak. Datatilsynet understreker at nesten alle virksomheter i praksis må føre protokoll. Et ryddig regneark kan være tilstrekkelig verktøy; det avgjørende er at oversikten inneholder det regelverket krever og holdes oppdatert.

Kilder: [1]

2. Må du alltid be om samtykke?

Nei. Hvert formål må ha et gyldig behandlingsgrunnlag etter artikkel 6, men dette kan blant annet være en nødvendig avtaleoppfyllelse, en rettslig plikt eller en berettiget interesse etter en konkret interesseavveining. Grunnlaget skal avklares før opplysningene samles inn. En personvernerklæring er informasjon, ikke i seg selv et samtykke eller et behandlingsgrunnlag.

Eksempel: En nettbutikk kan trenge kundens leveringsadresse for å oppfylle kjøpsavtalen. Det betyr ikke at den fritt kan bruke adressen til alle andre formål. Helseopplysninger og andre særlige kategorier krever dessuten et unntak etter artikkel 9 i tillegg til grunnlaget etter artikkel 6. Slike opplysninger bør derfor vurderes særskilt.

Kilder: [2] · [3]

3. Forklar hva dere gjør, og gjør rettighetene enkle å bruke

Gi konkret og forståelig informasjon om hvem som er ansvarlig, hva opplysningene brukes til, grunnlaget, mottakerne og lagringstiden. Forklar også hvilke rettigheter som gjelder og hvordan personen kan kontakte dere. Informasjonen må samsvare med faktisk praksis; en kopiert personvernerklæring som beskriver helt andre systemer, løser ikke oppgaven.

Avtal internt hvem som tar imot spørsmål om innsyn, retting og sletting. Den ansatte som leser kundeposten, må vite hvor forespørselen skal sendes videre. Ikke lov at alle opplysninger alltid kan slettes umiddelbart: Rettighetene har vilkår og unntak, og enkelte opplysninger kan måtte beholdes for å oppfylle lovpålagte plikter.

Kilder: [4] · [10]

4. Avklar leverandørenes roller og avtalene

Når en leverandør behandler personopplysninger på bedriftens vegne, trenger dere normalt en databehandleravtale etter artikkel 28. Dette kan gjelde systemer for kunderegister, lønn eller lagring. Avtalen skal blant annet regulere instruksjoner, sikkerhet, underleverandører og bistand med personvernpliktene. Undersøk hva den eksisterende leverandøravtalen faktisk dekker.

Ikke alle mottakere er databehandlere. En aktør som bestemmer egne formål, kan være selvstendig behandlingsansvarlig. Kartlegg også hvor opplysningene behandles og hvem som kan få tilgang. Overføring utenfor EØS må vurderes særskilt etter GDPR kapittel V; en databehandleravtale alene avgjør ikke om en slik overføring er lovlig.

Kilder: [5] · [11]

5. Gjør sikkerhet og sletting til faste rutiner

Sikkerhetstiltakene skal tilpasses risikoen for personene opplysningene gjelder. Vurder blant annet flerfaktorinnlogging, tilgang etter arbeidsbehov, sikkerhetskopier og rutiner når ansatte slutter. Opplæring er også viktig: En feil adressat eller en åpen delingslenke kan skape problemer selv om systemet ellers er godt sikret.

Samle bare inn det dere trenger, og bestem når opplysninger skal slettes eller anonymiseres. Avklar eventuelle oppbevaringsplikter før sletting. En god rutine beskriver hvilke opplysninger den omfatter, hvem som følger den opp og hvordan sletting gjennomføres i praksis. Det holder ikke å skrive at data lagres «så lenge som nødvendig» uten å gjøre vurderingen.

Kilder: [6] · [7]

6. Hva gjør dere ved et personvernbrudd?

Stans eller begrens hendelsen, sikre nødvendig dokumentasjon og vurder konsekvensene. Etter artikkel 33 skal den behandlingsansvarlige melde til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter å ha fått kjennskap til bruddet. Unntaket er når bruddet sannsynligvis ikke vil medføre risiko for personers rettigheter og friheter. Fristen er ikke 72 timer fra en ferdig intern rapport.

Alle brudd skal dokumenteres, også når dere vurderer at melding ikke er nødvendig. Ved sannsynlig høy risiko skal de berørte som hovedregel informeres uten ugrunnet opphold etter artikkel 34. Mangler dere opplysninger til meldingen, kan den suppleres trinnvis. Bestem på forhånd hvem som vurderer risikoen og sender melding, slik at ansvaret ikke blir uklart når noe skjer.

Kilder: [8] · [9]

En håndterbar start for en liten bedrift

Begynn med én faktisk arbeidsprosess og gå gjennom punktene over. Finn deretter de største gapene og gi hvert tiltak en ansvarlig og en frist. Gjenta vurderingen når dere tar i bruk nye systemer, får nye datatyper eller endrer formål.

Dette er en startoversikt, ikke en garanti for full etterlevelse. Mer inngripende behandling krever grundigere vurderinger. Bruk Datatilsynets veiledning og få kvalifisert hjelp når risikoen eller regelverket er vanskelig å avklare.

Kilder: [1] · [6]

Primærkilder og veiledning

Kilder

  1. [1] Protokoll over behandlingsaktiviteterDatatilsynet
  2. [2] Behandlingsgrunnlag – oppdatert 17. mars 2026Datatilsynet
  3. [3] Særlige kategorier av personopplysningerDatatilsynet
  4. [4] Hva skal virksomheten gi informasjon om?Datatilsynet
  5. [5] Hvordan lage en databehandleravtale?Datatilsynet
  6. [6] Informasjonssikkerhet og internkontrollDatatilsynet
  7. [7] PersonvernprinsippeneDatatilsynet
  8. [8] GDPR artikkel 33 og 34 – melding om bruddLovdata
  9. [9] Meld brudd på personopplysningssikkerheten til DatatilsynetDatatilsynet
  10. [10] Retten til slettingDatatilsynet
  11. [11] Overføring av personopplysninger ut av EØSDatatilsynet

Kildene er valgt for at du skal kunne kontrollere opplysningene mot lovtekst og offentlig veiledning.