Behandlingsoversikt (protokoll) - hva loven egentlig krever

Har dere hørt om "behandlingsoversikt" eller "protokoll" og lurt på hva det egentlig betyr i praksis? Det er rett og slett en skriftlig oversikt over hvilke personopplysninger virksomheten deres behandler, og hvorfor. Kravet kommer fra personvernforordningen (GDPR) artikkel 30, og det er nesten alltid det aller første dere bør ha på plass, før dere begynner med mer avanserte vurderinger som DPIA og ROS-analyse.

Må virksomheten deres føre en protokoll?

Loven har et unntak for virksomheter med færre enn 250 ansatte. I praksis betyr det unntaket lite, fordi det faller bort så snart dere behandler personopplysninger jevnlig (altså ikke bare en sjelden gang), eller det finnes en viss risiko for personene opplysningene gjelder, eller dere behandler det som kalles særlige kategorier opplysninger. Det er ting som helseopplysninger, religion eller fagforeningsmedlemskap, altså opplysninger som er ekstra beskyttelsesverdige. Har dere ansatte, kunder eller for eksempel elever registrert i et fagsystem, er svaret nesten alltid ja: dere trenger en protokoll.

Hva skal den inneholde?

Loven ber om ganske konkrete opplysninger, for hver behandling dere gjennomfører:

• Hvem som er ansvarlig, altså navn og kontaktinformasjon til virksomheten (og personvernombudet, hvis dere har et)
• Hva formålet er: hvorfor gjør dere dette, helt konkret?
• Hvem opplysningene gjelder, og hvilke typer opplysninger det er snakk om
• Hvem dere eventuelt deler opplysningene med
• Om noe sendes ut av EU/EØS, og hva som i så fall sikrer at det skjer trygt
• Hvor lenge dere planlegger å oppbevare opplysningene
• En kort beskrivelse av hvordan dere sikrer opplysningene, for eksempel tilgangsstyring eller kryptering

Er dere det som kalles databehandler for en annen virksomhet, altså at dere behandler opplysninger på vegne av noen andre, gjelder et litt annet men beslektet sett med krav.

Det er ikke noe dere lager én gang og glemmer

Den vanligste fellen er å lage protokollen én gang, ofte i forbindelse med et tilsyn, og så aldri se på den igjen. Da blir den fort utdatert, for eksempel når dere tar i bruk et nytt system eller endrer en rutine. En protokoll som ikke stemmer med virkeligheten er faktisk verre enn ingen protokoll, fordi den gir et falskt inntrykk av at dere har kontroll.

Det som fungerer godt i praksis er å ha én tydelig ansvarlig person per behandling, og en fast rutine for å oppdatere oversikten. For eksempel hver gang dere tar i bruk noe nytt, eller minst én gang i året uansett.

Derfor er dette startpunktet

I Personvernkompasset er behandlingsoversikten alltid det første steget for en tjeneste, ikke bare én av flere likestilte oppgaver. Så snart formål, behandlingsgrunnlag og typer opplysninger er fylt ut, kan verktøyet bruke nettopp den informasjonen til å foreslå om dere trenger en DPIA-behovsvurdering, og senere en ROS-analyse. Dere slipper å fylle ut de samme opplysningene på nytt flere ganger.

Så før dere kaster dere over risikovurderinger: sørg først for at behandlingsoversikten faktisk stemmer med det dere gjør. Alt det andre bygger videre på den.