GDPR-process för systemägare

GDPR skapar utmaningar för de flesta verksamheter, men det finns några gemensamma steg för dig som systemägare, som tar dig från osäkerhet till kontroll. I de gapanalyser som Multisoft drivit har det visat sig att det finns några gemensamma steg som enkelt ta dig (som systemägare) från ett ”jag vet inte var jag ska börja” till ett ”nu har jag koll på vad vi ska göra” läge. Detta löser inte hela företagets krav gällande GDPR, men det tar dig som systemägare till ett läge av mer kontroll. Denna process har vi tillämpat i flertalet organisationer och speciellt för system inom B2B verksamheter har den visat sig mycket lämplig. (För medlemsorganisationer och verksamheter med mycket konsumentdata kan ytterligare några steg tillkomma)

1. Berätta dina personuppgifters livshistoria

Kartlägg dina Personuppgifters Livscykel i systemet, från ett verksamhetsperspektiv och i samråd med din systempartner från ett tekniskt perspektiv och koppla dem till den typ av person som personuppgifterna berör. Hur ser flödena ut?

• Hur matas/kommer personuppgifterna in i systemet (entry-points)
• Vad görs med personuppgifterna?
• Hur kommer de ut ur systemet (exit-points/integrationer)
• När tas de bort/raderas/anonymiseras? Hur länge behöver ni egentligen ha kvar datat för verksamhetens skull, felsökning etc? (beskriv behovet)
• Varför finns ett behov av att hantera datat – vilken laglig grund bör tillämpas?
• Behöver GDPR- special regler tillämpas? Hanterar systemet något av följande data i stor utsträckning:  sexuell läggning, uppgifter om hälsa, politisk åsikt, religiös eller filosofisk övertygelse, ras/etniskt ursprung, medlemskap i fackförening, genetiska eller biometriska uppgifter. à Om inte: ”GO”. OM ”ja”: ta lite mer hjälp att ta reda på vad det innebär för just er.

2. Identifiera riskzoner

Leta särskilt efter typiska riskzoner såsom fritextfält, email-utskick och dokument upp/nedladdningar. Var behöver vi system-täppa till gapen och var kan manuella rutiner hjälpa?

3. Dokumentera rutin för både systemanvändare och icke systemanvändare

Har du data om andra personer än systemanvändare och hur informerar du dessa om datat du sparar om dem? Hur kan detta förbättras i enlighet med ovan? Beskriv även rutinen hur du informerar dina systemanvändare.

4. Automatisera eller manuellt hantera rättigheter?

Hur mycket vill du automatisera vs manuellt hantera de rättigheter som registrerade personer har på sin egen data? Hur ofta kan detta komma och inträffa: räcker en manuell rutin tills vidare? Hur kan den se ut? Eller bör vi automatisera direkt?

5. Riskhantera

Om du ansvarar för drift av systemet: vad kan göras med hjälp av kryptering och maskning av data, för att minimera access via andra ingångar än systemet självt? Vill ni ha hjälp och stöd i detta så hjälper vi gärna till! Läs mer om GAP-analys