Typiske utfordringer

Hvis du er personvernombud i din virksomhet, har du garantert møtt på utfordringer knyttet til håndtering av samtykker og korrekt behandling av personopplysninger. Det er et sammensurium av regelverk som skal følges og som krever mye ressurser for å sette seg inn i og forstå seg på. Om dette ikke følges øker risikoen for bøter og dårlig omdømme. Videre er det ofte begrensninger i de tekniske systemene til virksomheten, som gjør at minimumskravene til et GDPR-gyldig samtykke ikke tilfredsstilles.

Vanlige svakheter er:

• Vanskelig å trekke sitt samtykke like enkelt som det ble gitt. Om virksomheten må kontaktes for at sluttbruker kan trekke sitt samtykke, er ikke samtykke gyldig.

• Mangelfull samtykkeerklæring. Samtykkeerklæringen skal være spesifikk og informert, og inneholde informasjon som hvem den behandlingsansvarlige er, hvilke persondata som samles inn og behandlingsformålet med disse, og konkret liste over tredjeparter — slik som tjenester og systemer, virksomheter og samarbeidspartnere virksomheten deler data med.

  • Det er ikke holdbart å skrive “dine data deles kun med selskaper underlagt virksomhet AS” eller “virksomhetens samarbeidspartnere”. Disse må listes opp på en så tydelig og informativ måte som mulig.

• Vanskelig å få oversikt over alle samtykker på tvers av systemer (tjenester, apper) som virksomheten bruker, eller på tvers av virksomheter underlagt morselskapet/organisasjonen. Det er en stor ulempe at samtykkene lagres og dokumenteres på flere steder.

• Samtykkene dokumenteres ikke med riktig versjon i henhold til standarder for dokumentasjonsforvaltning (consent management). Virksomheten må kunne dokumentere at Kari har samtykket til versjon 1.1 av samtykkeerklæringen, mens Ola har samtykket til versjon 1.2.