GDPR-lagen för småföretag – så blir du redo utan att drunkna i juridik

GDPR-lagen gäller alla som behandlar personuppgifter i en verksamhet – även om du är ensam i bolaget. Kundregister, nyhetsbrev, fakturor och besöksstatistik räknas. Här är det du faktiskt behöver ha på plats.

Vad räknas som personuppgift?

Allt som direkt eller indirekt kan knytas till en levande person: namn, e-post, telefonnummer, IP-adress, foton och till och med en kommentar i ett CRM. Kontaktuppgifter till en enskild firma är också personuppgifter.

Fem steg som tar dig till godkänt

• Kartlägg: lista var uppgifter finns – mejl, bokföring, webbformulär, molntjänster
• Rättslig grund: avtal, rättslig förpliktelse, berättigat intresse eller samtycke
• Registerförteckning: en enkel tabell över ändamål, kategorier och lagringstid
• Gallra: radera det du inte längre behöver, sätt en lagringstid per typ
• Personuppgiftsbiträdesavtal med alla leverantörer som hanterar dina data

Webbplatsen: policy, cookies och formulär

• Integritetspolicy som förklarar vad du samlar in och varför
• Samtycke innan icke-nödvändiga cookies laddas – inte efter
• Kryssrutor för nyhetsbrev ska vara tomma från start
• Spara inte fler fält i formuläret än du faktiskt använder

Om något går fel

Vid en personuppgiftsincident ska du anmäla till Integritetsskyddsmyndigheten inom 72 timmar, och informera de drabbade om risken är hög. Ha en kort rutin nedskriven innan det händer – då blir 72 timmar gott om tid.