En behandlingsprotokoll skal gjøre det mulig å forstå hvilke personopplysninger virksomheten behandler, hvorfor behandlingen skjer, og hvordan opplysningene håndteres. Denne malen gir separate oppsett for behandlingsansvarlige og databehandlere, med forklaringer som hjelper deg å fylle dem ut. Feltene må tilpasses faktiske aktiviteter; en tom mal eller en liste over datasystemer er ikke en ferdig protokoll.
Plikten følger av artikkel 30 i personvernforordningen, som gjelder i Norge gjennom personopplysningsloven § 1. Den overordnede regelen og unntaket for enkelte behandlinger i små virksomheter er forklart i guiden til behandlingsprotokoll etter artikkel 30. Her er oppgaven å lage et dokument som kollegaene kan kontrollere, vedlikeholde og bruke når en konkret behandling endres.
Avklar rollen før du velger mal
En behandlingsansvarlig bestemmer formålene og de vesentlige midlene for behandlingen. En databehandler behandler opplysninger på vegne av den behandlingsansvarlige. Samme virksomhet kan ha begge roller: et lønnsbyrå kan være databehandler for kundenes lønnsadministrasjon og behandlingsansvarlig for egne ansatte. Da trengs oversikt over begge typer aktiviteter, tydelig adskilt, selv om opplysningene ligger i samme dokumentverktøy.
Ikke avgjør rollen bare ut fra betegnelsen i leverandøravtalen. En leverandør som bruker data til egne selvstendige formål, kan være behandlingsansvarlig for den bruken. En ansatt som utfører arbeid under virksomhetens instruks, er derimot ikke av den grunn en separat databehandler. Kartlegg hvem som faktisk beslutter hva som skal gjøres med opplysningene, og dokumenter eventuelle ulike roller i samme tjenesteforhold.
For virksomheter med minst 250 ansatte gjelder ikke unntaket i artikkel 30 nr. 5. For mindre virksomheter må aktuelle behandlingsaktiviteter likevel protokollføres dersom behandlingen ikke skjer leilighetsvis, sannsynligvis medfører risiko for rettigheter og friheter, eller omfatter særlige kategorier etter artikkel 9 eller opplysninger etter artikkel 10. Vilkårene er alternative. Regelmessig kundeadministrasjon og lønnsbehandling faller normalt utenfor unntaket fordi de ikke er leilighetsvise. Vurderingen gjelder aktivitetene, ikke en generell fritaksetikett for hele selskapet.
Mal for den behandlingsansvarlige
Oppsettet under skiller mellom felles identitetsopplysninger og opplysninger om hver aktivitet. Det reduserer gjentakelser uten å skjule hvem som er ansvarlig. Alle relevante virksomheter og personer skal kunne identifiseres; skriv navn og kontaktopplysninger, ikke bare en intern avdelingskode. Der et felt ikke er relevant, oppgi dette etter en faktisk vurdering.
FELLES OPPLYSNINGER
Behandlingsansvarlig: navn og kontaktopplysninger
Eventuelle felles behandlingsansvarlige: navn og kontaktopplysninger
Eventuell representant: navn og kontaktopplysninger
Eventuelt personvernombud: navn og kontaktopplysninger
FOR HVER BEHANDLINGSAKTIVITET
Aktivitetsnavn og intern identifikator:
Formål med behandlingen:
Kategorier av registrerte:
Kategorier av personopplysninger:
Mottakerkategorier, inkludert relevante mottakere utenfor EØS:
Eventuelle overføringer til tredjestat/internasjonal organisasjon:
Identifisert land eller organisasjon:
Ved artikkel 49 nr. 1 annet ledd: dokumentasjon på garantier:
Planlagte slettefrister per opplysningskategori, dersom mulig:
Generell beskrivelse av sikkerhetstiltak, dersom mulig:
ANBEFALTE TILLEGGSFELT
Rettslig grunnlag og vurdering; eventuelt artikkel 9-vilkår:
Systemer, lagringssteder og relevante avtalehenvisninger:
Overføringsgrunnlag og dokumenthenvisning:
Intern prosesseier og ansvarlig for oppdatering:
Versjon, kontrollert dato og åpne avklaringer:
Tilleggsfeltene gjør protokollen lettere å bruke, men alle er ikke uttrykkelig pålagt av artikkel 30. Rettslig grunnlag må finnes og kunne begrunnes, selv om det ikke står som et eget obligatorisk protokollfelt. Datatilsynets veiledning og maler skiller også mellom lovens krav og ekstra opplysninger som kan være nyttige. Bruk dette skillet når dere bestemmer hva malen skal samle inn fra fagavdelingene.
Beskriv aktiviteter, ikke bare programmer
Begynn med en tjeneste eller arbeidsprosess som noen i virksomheten kan forklare: håndtering av bestillinger, søknader, lønn eller kundeklager. Deretter finner dere systemene, dokumentene og menneskene som inngår. Ett system kan støtte flere formål med forskjellige mottakere og slettefrister. Samtidig kan én aktivitet foregå i flere systemer, i e-post og i et fysisk arkiv.
Det er ingen universell regel om at hvert system, hvert formål eller hver database må ha nøyaktig én rad. Velg et detaljnivå som viser relevante forskjeller. Kundeservice og utsendelse av reklame bør normalt skilles når grunnlag, databruk og sletting er forskjellige. To avdelinger som utfører samme behandling under samme ansvar, kan beskrives samlet dersom variasjonene fortsatt er synlige og beskrivelsen er korrekt.
Skriv formålet som resultatet behandlingen skal oppnå, for eksempel å behandle og besvare kundeklager. «Administrasjon» eller «forretningsdrift» forteller lite om hvorfor opplysningene er nødvendige. Når dere senere vil bruke de samme dataene til analyse eller markedsføring, må den nye bruken vurderes særskilt. Veiledningen om formålsbegrensning og gjenbruk hjelper med den vurderingen; en ny protokollrad gjør ikke gjenbruken lovlig i seg selv.
Velg presise kategorier av personer og opplysninger
Registrerte er menneskene opplysningene gjelder, for eksempel jobbsøkere, ansatte, kunders kontaktpersoner eller medlemmer. Skill kategoriene når personene har forskjellige relasjoner til virksomheten og behandlingen har ulike konsekvenser. I en bedriftskundeavtale kan både kontaktpersonen og en individuell bruker være registrert, selv om kontraktsparten er et aksjeselskap.
Datakategoriene bør være forståelige uten å åpne produksjonssystemet. «Kontaktopplysninger, bestillingshistorikk og fakturareferanser» er mer opplysende enn «kundedata». Angi særskilt om aktiviteten omfatter helseopplysninger, fagforeningsmedlemskap eller strafferettslige opplysninger. Listen skal beskrive faktiske kategorier, ikke kopiere alle feltene som leverandørens program teknisk kan lagre. Se hva som regnes som personopplysninger hvis teamet er usikkert på logger, identifikatorer eller indirekte identifikasjon.
En protokoll er normalt ikke et register over alle individuelle kunder og ansatte. Ikke legg inn pasientjournaler, søknader eller komplette saksmapper som eksempler. Kontaktpersoner som loven krever identifisert, skal likevel navngis; det er derfor heller ikke riktig å ha en absolutt regel om at protokollen aldri kan inneholde personnavn. Bruk fiktive personer dersom dere trenger illustrasjoner under utfyllingen.
Knytt det rettslige grunnlaget til den konkrete bruken
Et felt med «avtale, samtykke eller berettiget interesse» uten nærmere valg løser ikke vurderingen. Identifiser grunnlaget for den aktuelle behandlingen. Avtalegrunnlaget i artikkel 6 nr. 1 bokstav b krever nødvendig behandling knyttet til en avtale med den registrerte eller nødvendige tiltak på vedkommendes anmodning før avtaleinngåelse. Det dekker ikke automatisk alle opplysninger som virksomheten finner nyttige i et kundeforhold.
For samtykkebasert behandling bør protokollen vise hvor samtykket dokumenteres, hvordan det trekkes tilbake, og hvilken behandling som da stopper. Den mer detaljerte veiledningen om samtykke forklarer vilkårene. Ved en rettslig plikt bør dere vise til den konkrete bestemmelsen og avgrense hvilke opplysninger plikten gjelder. For særlige kategorier trengs dessuten et anvendelig vilkår etter artikkel 9, i tillegg til grunnlaget etter artikkel 6.
Legg gjerne inn en henvisning til en separat vurdering fremfor å kopiere hele begrunnelsen. Det gjør dokumentet mer leselig og reduserer risikoen for motstridende versjoner. En uavklart hjemmel bør merkes som et avvik med ansvarlig og planlagt oppfølging. Ikke fyll inn et tilfeldig grunnlag bare for å få alle celler til å se ferdige ut.
Mottakere, databehandlere og overføringer
Mottakerkategorier forklarer hvem opplysninger utleveres til. Dette kan omfatte tjenesteleverandører, andre behandlingsansvarlige og relevante mottakere utenfor EØS. Kartlegg den faktiske flyten, inkludert support, integrasjoner og eksportfiler. En intern liste med leverandørnavn er nyttig som underlag, men erstatter ikke vurderingen av deres roller og hvilke opplysninger de mottar.
Der en leverandør faktisk er databehandler, skal forholdet reguleres i samsvar med artikkel 28 om databehandleravtaler. Forpliktelsene skal være fastsatt i en skriftlig avtale, også elektronisk, eller en annen bindende rettsakt som bestemmelsen tillater. I ordinære leverandørforhold brukes normalt en avtale. Malen for databehandleravtale kan støtte gjennomgangen, men ikke alle leverandører skal automatisk klassifiseres som databehandlere.
Ved overføringer skal relevant tredjestat eller internasjonal organisasjon identifiseres. Angi også gjerne overføringsgrunnlaget og hvor vurderingen finnes, slik at protokollen kan kontrolleres mot avtalene. En beslutning om tilstrekkelig beskyttelsesnivå, garantier etter artikkel 46 og unntak etter artikkel 49 er forskjellige mekanismer. Guiden til tredjelandsoverføringer forklarer hvorfor en databehandleravtale alene ikke avgjør dette spørsmålet.
Artikkel 30 har et særskilt dokumentasjonskrav ved den snevre overføringsmuligheten i artikkel 49 nr. 1 annet ledd: nødvendige garantier må dokumenteres. Artikkel 49 nr. 6 krever også dokumentasjon av vurderingen i protokollen. Dette gjelder en bestemt unntaksordning med flere vilkår, ikke enhver overføring utenfor EØS eller alle artikkel 49-unntak. En standardtekst om at leverandøren «følger GDPR» erstatter ikke de nødvendige dokumentene.
Slettefrister må passe til opplysningene
Beskriv planlagte slettefrister for forskjellige kategorier dersom det er mulig. Når tidspunktet avhenger av en hendelse, skriv både hendelsen og perioden, for eksempel en konkret frist etter at en søknadsprosess er avsluttet. En formulering som «så lenge det er nødvendig» bør konkretiseres med vurderingskriterier og ansvar. Ellers får systemforvalteren ingen anvendelig instruks om hva som faktisk skal skje.
Ikke gi alle lønns- eller personalopplysninger samme oppbevaringstid fordi noe materiale omfattes av regnskapsregler. Etter gjeldende bokføringslov § 13 gjelder normalt fem år etter regnskapsårets slutt for materialet i første ledd nr. 1–4 og tre år og seks måneder for nr. 5–8, med adgang til særregler. Klassifiser dokumentene og kontroller hvilke regler som gjelder for virksomheten. Dette er ikke en generell femårsregel for hele personalmappen.
En pågående tvist kan gi grunn til å bevare et avgrenset dokumentsett lenger når vilkårene for behandlingen er oppfylt. Beskriv hvorfor, hvem som kan beslutte unntaket, og når det vurderes på nytt. Protokollen bør henvise til rutiner som også håndterer eksportfiler og sikkerhetskopier. Se lagringsbegrensning etter artikkel 5 for forholdet mellom formål, bevaringsbehov og sletting.
Beskriv sikkerheten på et kontrollerbart nivå
«God sikkerhet» eller «systemet er sikkert» sier lite. Beskriv relevante tiltak, for eksempel tilgang etter arbeidsoppgave, kontroll med administratorrettigheter, gjenoppretting, kryptering der det er egnet og håndtering av hendelser. Tiltakene skal svare til risikoen. Ikke sett inn en universell teknisk standard som alle aktivitetene angivelig oppfyller uten at dette er undersøkt.
Artikkel 30 krever en generell beskrivelse av tiltak etter artikkel 32 dersom det er mulig. Protokollen trenger derfor ikke inneholde passord, nøkkelmateriale eller detaljer som gjør det lettere å angripe systemene. Henvis til beskyttet dokumentasjon ved behov. Malen for sikkerhetstiltak etter artikkel 32 kan brukes til å konkretisere tiltakene og kontrollere at beskrivelsen stemmer med praksis.
Oppdager kartleggingen behandling som sannsynligvis medfører høy risiko, må behovet for en personvernkonsekvensvurdering håndteres. En protokoll er et nyttig underlag, men erstatter ikke vurderingen. Tilsvarende viser en registrert sikkerhetsrutine bare hva virksomheten har beskrevet; dere må fortsatt undersøke om rutinen faktisk brukes og virker.
Eget oppsett for databehandlerens aktiviteter
Databehandlerens lovbestemte felter er ikke identiske med den behandlingsansvarliges. Det sentrale er behandlingskategoriene som utføres på vegne av hver kunde som er behandlingsansvarlig. Et standardisert tjenestebilag kan brukes på tvers av kunder, men hver relevant behandlingsansvarlig og eventuelle variasjoner må kunne identifiseres. Ta også med andre relevante databehandlere og kontaktopplysninger slik artikkel 30 nr. 2 krever.
DATABEHANDLERENS PROTOKOLL
Databehandleren eller databehandlerne: navn og kontaktopplysninger
Hver behandlingsansvarlig det arbeides for: navn og kontaktopplysninger
Eventuelle representanter for disse partene: navn og kontaktopplysninger
Eventuelt personvernombud: navn og kontaktopplysninger
Kategorier av behandling på vegne av hver behandlingsansvarlig:
Eventuelle tredjestater/internasjonale organisasjoner ved overføringer:
Ved artikkel 49 nr. 1 annet ledd: vurdering og nødvendige garantier:
Generell beskrivelse av sikkerhetstiltak, dersom mulig:
Anbefalte henvisninger: instruks, avtale, underleverandører og versjon
Protokollen gir ikke databehandleren rett til å utvide kundens instruks. Dersom en kunde ber om ny analyse eller nye datakategorier, må avtale, instruks og eventuelle andre vurderinger håndteres før endringen tas i bruk. Egne formål, som databehandlerens administrasjon av sine ansatte, hører hjemme i oversikten der virksomheten er behandlingsansvarlig.
Utfylt eksempel: en liten konsulentvirksomhet
Tenk deg et konsulentselskap som fakturerer bedriftskunder og sender et frivillig nyhetsbrev. Kundeadministrasjonen omfatter kontaktpersoner, e-postkorrespondanse om oppdraget og fakturainformasjon. Nyhetsbrevet bruker navn, e-postadresse og dokumentasjon om påmelding. Disse aktivitetene bør beskrives separat når formål, grunnlag, mottakere eller sletting er forskjellige, selv om de bruker samme kontaktregister.
Ved utfyllingen oppdager selskapet at gamle nyhetsbrevkontakter finnes i en lokal eksportfil. Protokollarbeidet har da identifisert et konkret avvik: sletting i utsendelsestjenesten fjerner ikke nødvendigvis eksporten. Den ansvarlige må kartlegge filens bruk, vurdere om den fortsatt skal finnes og oppdatere rutinen. Det er mer verdifullt enn å fylle ut «sletting gjennomføres automatisk» uten å kontrollere hele informasjonsflyten.
For kundekontaktpersonene må selskapet velge og begrunne riktig grunnlag; avtalen med kundeselskapet gjør ikke nødvendigvis artikkel 6 nr. 1 bokstav b anvendelig på kontaktpersonen. Eksemplet viser hvorfor en kopi av en annen virksomhets ferdigutfylte rad kan være misvisende. Bruk eksempler til å forstå vurderingen, og fyll deretter inn egne dokumenterte forhold.
Kontroller avgrensningen med et faktisk saksforløp
Følg én vanlig henvendelse fra den kommer inn til opplysningene slettes eller bevares på et nytt, begrunnet grunnlag. Undersøk hvem som mottar den, hvilke vedlegg som lagres, om opplysninger kopieres til andre arbeidsflater, og hva som skjer når saken avsluttes. Denne kontrollen kan avdekke at protokollen beskriver hovedsystemet riktig, men overser et felles postmottak eller et gammelt prosjektområde. Det er en praktisk kontrollmetode, ikke et bestemt formatkrav i artikkel 30.
I et konsern kan flere selskaper bruke samme mal og dokumentasjonsplattform. Hvert selskaps ansvar og aktiviteter må likevel fremgå. En samlet oversikt med tydelig filtrering kan fungere, mens en umerket liste over hele konsernets systemer kan gjøre det umulig å se hvem som behandler hvilke opplysninger. Kontroller også at et selskap som er databehandler for et annet, er beskrevet i riktig rolle, og at avtaler og overføringsvurderinger gjelder de faktiske partene.
Når en aktivitet avvikles, skill mellom behandlingen som har opphørt og eventuell videre oppbevaring. En utgått tjeneste kan etterlate dokumenter som fortsatt må vurderes for regnskap eller rettskrav. Bevar nødvendig versjonshistorikk om protokollen under en fastsatt rutine, men bruk ikke behovet for historikk som begrunnelse for å beholde alle underliggende kundeopplysninger.
Vedlikehold, kontroll og bruk ved forespørsler
Utpek en intern eier for hver aktivitet og en ansvarlig for å samle endringer. Det kan være hensiktsmessig at personvernombudet gir råd og følger opp kvaliteten, men virksomheten beholder ansvaret. Ombudet skal ikke automatisk gjøres til beslutningstaker for alle behandlingsformål. Veiledningen om personvernombudets rolle forklarer skillet mellom rådgivning, kontroll og operativ ledelse.
Oppdater ved relevante endringer, som nye formål, mottakere, systemer eller sletteordninger. En fast gjennomgang er en nyttig intern kontroll, men artikkel 30 fastsetter ikke en universell årlig oppdateringsdato. Be fagansvarlige bekrefte både innholdet og endringer siden forrige gjennomgang. Versjonshistorikk gjør det enklere å forstå hvilken beskrivelse som gjaldt da en tidligere behandling fant sted.
Protokollen skal være skriftlig, kan være elektronisk og skal gjøres tilgjengelig for tilsynsmyndigheten på forespørsel. Det finnes ingen generell garanti for at den alltid er det første dokumentet tilsynet ber om, eller at et bestemt format gir raskere kontroll. Prøv heller å hente frem én aktivitet sammen med de dokumentene den viser til. Manglende tilgang, uklare navn og brutte dokumentlenker blir da synlige før oversikten trengs i en konkret sak.
Sammenlign til slutt protokollen med virksomhetens personvernerklæring. Formål, mottakere og oppbevaring må beskrive samme virkelighet, selv om dokumentene har forskjellige målgrupper og detaljnivå. En full intern protokoll behøver ikke publiseres som personvernerklæring. Det avgjørende er at virksomheten kan forklare behandlingen korrekt og bruke oversikten til å gjennomføre de pliktene som gjelder.