En behandlingsprotokoll er en oversikt over alle behandlingsaktiviteter en virksomhet gjennomfører med personopplysninger, og den er lovpålagt etter artikkel 30 i personvernforordningen (GDPR). Både behandlingsansvarlige og databehandlere plikter å føre en slik protokoll skriftlig, også elektronisk, og å gjøre den tilgjengelig for Datatilsynet på forespørsel. Protokollen er selve ryggraden i personvernarbeidet: uten en fullstendig og oppdatert oversikt over hvilke opplysninger som behandles, til hvilke formål og på hvilket rettslig grunnlag, er det praktisk talt umulig å oppfylle de øvrige pliktene i regelverket.
Denne artikkelen forklarer hvem som må føre behandlingsprotokoll, nøyaktig hvilke felter artikkel 30 krever, hvordan unntaket for små virksomheter faktisk fungerer, og hvilke feil Datatilsynet oftest avdekker. Personvernforordningen gjelder i Norge gjennom personopplysningsloven og EØS-avtalen, slik at artikkel 30 har samme innhold her som i EU.
Hva er en behandlingsprotokoll?
En behandlingsprotokoll (på engelsk record of processing activities, ROPA) er en strukturert dokumentasjon av virksomhetens behandlinger. Den beskriver ikke enkeltopplysninger om enkeltpersoner, men behandlingsaktiviteter – for eksempel «lønnsadministrasjon», «kundeoppfølging i CRM», «rekruttering» eller «kameraovervåking av inngangsparti». For hver aktivitet dokumenteres formål, kategorier av registrerte, kategorier av opplysninger, mottakere, lagringstid og sikkerhetstiltak.
Protokollen tjener to formål samtidig. Overfor Datatilsynet er den et bevis på at virksomheten har oversikt og har tatt stilling til sine plikter – et konkret uttrykk for ansvarlighetsprinsippet i artikkel 5 nr. 2. Internt er den arbeidsverktøyet som gjør det mulig å besvare innsynsforespørsler, gjennomføre sletting, håndtere avvik og vurdere om en personvernkonsekvensvurdering er nødvendig.
Hvem må føre behandlingsprotokoll?
Utgangspunktet i artikkel 30 nr. 1 er at enhver behandlingsansvarlig skal føre protokoll. Artikkel 30 nr. 2 pålegger den samme plikten databehandlere, men med et litt annet innhold, siden databehandleren opptrer på vegne av en eller flere behandlingsansvarlige.
Artikkel 30 nr. 5 inneholder et avgrenset unntak for virksomheter med færre enn 250 ansatte. En behandling kan omfattes av unntaket når den er leilighetsvis, sannsynligvis ikke medfører risiko for de registrertes rettigheter og friheter, og verken omfatter særlige kategorier opplysninger etter artikkel 9 eller opplysninger om straffedommer og lovovertredelser etter artikkel 10. Vilkårene må vurderes samlet for den aktuelle behandlingen. Fast lønns- og personalbehandling skal dermed protokollføres, men gjør ikke automatisk en annen, reelt unntatt behandling protokollpliktig. En samlet protokoll kan likevel være et nyttig arbeidsverktøy også utover minstekravet.
Hva må behandlingsprotokollen inneholde?
For den behandlingsansvarlige krever artikkel 30 nr. 1 følgende opplysninger for hver behandlingsaktivitet:
- Navn og kontaktopplysninger til den behandlingsansvarlige, eventuelle felles behandlingsansvarlige, representant og personvernombud.
- Formålene med behandlingen.
- Kategorier av registrerte (for eksempel ansatte, kunder, leverandører) og kategorier av personopplysninger.
- Kategorier av mottakere som opplysningene utleveres til, herunder mottakere i tredjeland.
- Eventuelle overføringer til tredjeland, og dokumentasjon på overføringsgrunnlaget.
- Planlagte slettefrister for de ulike kategoriene av opplysninger, når det er mulig.
- En generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene etter artikkel 32.
Databehandlerens protokoll etter artikkel 30 nr. 2 er kortere: navn på databehandleren og hver behandlingsansvarlig, kategoriene av behandlinger som utføres på vegne av hver enkelt, eventuelle tredjelandsoverføringer og en generell beskrivelse av sikkerhetstiltakene. En praktisk gjennomgang av oppsettet finnes i vår mal for behandlingsprotokoll.
Hvordan henger protokollen sammen med rettslig grunnlag?
Artikkel 30 nevner ikke uttrykkelig rettslig grunnlag som et obligatorisk felt, men i praksis er det umulig å dokumentere formålet forsvarlig uten samtidig å angi behandlingsgrunnlaget etter artikkel 6 – for eksempel samtykke, avtale, rettslig forpliktelse eller berettiget interesse. Datatilsynet forventer at protokollen kobler hvert formål til et konkret grunnlag, og de fleste kontroller starter nettopp med å be om protokollen for å se om koblingen finnes. En protokoll uten rettslig grunnlag er derfor i realiteten mangelfull.
Behandlingsprotokoll i praksis: erfaringer fra tilsyn
Datatilsynet bruker konsekvent protokollen som inngangsport til sine kontroller. Når tilsynet mottar en klage eller en avviksmelding, er behandlingsprotokollen som regel det første dokumentet de ber om. Manglende eller ufullstendig protokoll blir et selvstendig funn, i tillegg til det underliggende forholdet.
Sammenhengen ble tydelig i saken mot Østre Toten kommune, der Datatilsynet ila et overtredelsesgebyr på 4 millioner kroner etter et dataangrep i 2021. En del av kritikken gjaldt manglende oversikt og styring av personopplysningene. Poenget er generelt: virksomheter som ikke kan dokumentere hva de behandler, klarer heller ikke å vurdere konsekvensene av et brudd eller å svare de registrerte innen fristene. En oppdatert protokoll er dermed ikke et skjema man fyller ut én gang, men et levende arbeidsdokument.
Hvordan komme i gang med en behandlingsprotokoll?
Den mest effektive fremgangsmåten er å kartlegge virksomheten funksjon for funksjon. Gå gjennom HR, økonomi, salg, marked, IT og kundeservice, og noter hver aktivitet som innebærer personopplysninger. For hver aktivitet fylles feltene i artikkel 30 nr. 1 ut, med formål, rettslig grunnlag, kategorier, mottakere, slettefrist og sikkerhetstiltak. Erfaringsmessig avdekker en slik kartlegging alltid behandlinger ingen hadde full oversikt over – gjerne skygge-IT, gamle e-postlister eller regneark med personopplysninger på fellesområder. Nettopp derfor er kartleggingen verdifull i seg selv: den gir ledelsen et realistisk bilde av hvor opplysningene faktisk befinner seg, før man i det hele tatt vurderer tiltak. Se vår mal for behandlingsprotokoll for et ferdig oppsett å arbeide ut fra.
En systemoversikt med eiere og dataflyter gjør det lettere å finne hvilke tjenester og integrasjoner hver behandlingsaktivitet bruker. Koble oversikten til protokollen, slik at et systembytte kan følges opp i de berørte aktivitetene.
Vanlige feil
- Å bruke størrelsen som eneste unntaksvilkår. Under 250 ansatte er ikke tilstrekkelig: den enkelte behandlingen må også være leilighetsvis, sannsynligvis uten risiko og uten opplysninger etter artikkel 9 eller 10. Fast personalbehandling skal protokollføres.
- Å blande protokoll og personvernerklæring. Personvernerklæringen er informasjon til de registrerte; protokollen er intern dokumentasjon til tilsynet. De to har ulikt formål og ulikt innhold.
- Å glemme databehandlerne. Hver ekstern leverandør som behandler opplysninger på virksomhetens vegne, skal fremgå av protokollen og ha en gyldig databehandleravtale.
- Å utelate slettefrister. «Så lenge det er nødvendig» er ikke en slettefrist. Angi konkrete perioder eller kriterier, jf. prinsippet om lagringsbegrensning.
- Å la protokollen bli utdatert. En protokoll fra oppstartsåret uten senere oppdatering er nesten verre enn ingen protokoll, fordi den gir falsk trygghet.
Ofte stilte spørsmål
I en frivillig forening bør oversikten knyttes til medlemsadministrasjon, arrangementer og hvem som overtar tilgangen ved skifte av verv. Det gjør protokollarbeidet lettere å følge opp i den faktiske organisasjonen.
Må små bedrifter føre behandlingsprotokoll?
Små virksomheter må blant annet protokollføre fast personalbehandling. Unntaket for virksomheter med færre enn 250 ansatte vurderes for den enkelte behandlingen: den må være leilighetsvis, sannsynligvis ikke medføre risiko og ikke omfatte opplysninger etter artikkel 9 eller 10. En annen aktivitet kan derfor være unntatt selv om lønnsbehandlingen skal inn i protokollen.
Hva er forskjellen på behandlingsprotokoll og personvernerklæring?
Behandlingsprotokollen er intern dokumentasjon som virksomheten fører for å ha oversikt og for å kunne fremlegge den for Datatilsynet. Personvernerklæringen er ekstern informasjon som gis til de registrerte etter artikkel 13 og 14. Protokollen er mer detaljert og teknisk, og skal ikke publiseres.
Kan Datatilsynet kreve å få se protokollen?
Ja. Etter artikkel 30 nr. 4 skal både behandlingsansvarlige og databehandlere gjøre protokollen tilgjengelig for Datatilsynet på forespørsel. Manglende protokoll er et selvstendig brudd på forordningen og kan sanksjoneres uavhengig av om det foreligger et annet regelbrudd.
Hvem har ansvaret for å føre protokollen?
Den behandlingsansvarlige har ansvaret for at protokollen føres og holdes oppdatert, og dette ansvaret kan ikke delegeres bort. Et personvernombud bistår ofte i praksis, men overtar ikke ansvaret. Er virksomheten også databehandler for andre, må den i tillegg føre en egen protokoll etter artikkel 30 nr. 2 for disse behandlingene.
Konklusjon
Behandlingsprotokollen etter artikkel 30 er ikke et byråkratisk vedlegg, men det dokumentet hele personvernarbeidet hviler på. Den gir virksomheten oversikt over egne behandlinger, kobler formål til rettslig grunnlag, og gjør det mulig å svare på innsyn, gjennomføre sletting og håndtere avvik innen fristene. Unntaket for små virksomheter er så snevert at nesten alle bør føre protokoll uansett. Start med en fullstendig kartlegging, bruk vår mal for behandlingsprotokoll, og hold dokumentet levende ved å oppdatere det ved hver ny behandling. En protokoll er alltid det første Datatilsynet ber om – og ofte det som avgjør hvor godt en kontroll ender.
Denne artikkelen gir generell informasjon om artikkel 30 og utgjør ikke juridisk rådgivning.
Praktisk oppfølging i tilknyttede systemer
Når materialet også omtaler andre, bruk arbeidsrutinen for innsyn og sladding til å vurdere opplysningene enkeltvis, bevare forståelig sammenheng og kontrollere at skjult tekst ikke følger med utleveringen.