GDPR-compliance

Ja. GDPR og databeskyttelsesloven skelner ikke efter størrelse. Har I ansatte og kunder, behandler I personoplysninger. Undtagelsen fra kravet om fortegnelse for virksomheder under 250 ansatte er smal og falder bort, så snart behandlingen er løbende, og det er lønadministration altid. En lille virksomhed har mindre at kortlægge, men de samme typer dokumenter.

Ikke nødvendigvis. Er udbyderen certificeret under EU-U.S. Data Privacy Framework, eller bruger I EU's standardkontraktbestemmelser med en overførselsvurdering, kan overførslen være lovlig. Det skal bare være dokumenteret. Vil I helt undgå spørgsmålet, kan vi flytte systemet til EU-hosting. Det beskriver vi under løsningen Data i EU.

Over for en formel gennemgang kan det være. Men papir beskytter ikke data. GDPR kræver passende tekniske og organisatoriske foranstaltninger, og Datatilsynet ser på, om det beskrevne også er gennemført. Vi skelner tydeligt mellem det, der er til tilsynet, og det, der reelt nedsætter risikoen for et læk. Prioriteringen er jeres.

Med to uger eller mere kan vi som regel levere både dokumentationen og de grundlæggende tekniske tiltag. Er fristen kortere, siger vi det ærligt og prioriterer det, tilsynet spørger om først. Svarene til Datatilsynet skriver I selv, men vi leverer det faktuelle grundlag om jeres systemer.

Mindst én gang om året og altid, når I tager et nyt system eller en ny leverandør i brug. Dokumentation, der ikke følger med, er næsten lige så svag som ingen dokumentation. Vedligeholdelsen kan ligge i en fast IT-aftale med os, så årshjulet ikke afhænger af én travl medarbejder.