Databeskyttelse er ikke kun et juridisk krav, det er et tillidsansvar
Når din virksomhed håndterer oplysninger om kunder, er du ikke blot underlagt regler. Du har et reelt ansvar over for de mennesker, der stoler på, at du behandler deres data korrekt. Mange små virksomheder undervurderer, hvad det faktisk kræver at leve op til det ansvar, ikke fordi de er ligeglade, men fordi det kan være svært at gennemskue, hvad der egentlig er nødvendigt.
Denne guide giver dig et konkret overblik over, hvad du skal have styr på, og hvilke kriterier du bør bruge, når du vælger software eller systemer, der behandler kundedata.
Hvad betyder GDPR i praksis for din virksomhed?
GDPR, databeskyttelsesforordningen, gælder for alle virksomheder, der behandler personoplysninger om borgere i EU. Det gælder uanset om du er en enkeltmandsvirksomhed eller en virksomhed med mange ansatte. Kort sagt: hvis du gemmer navne, telefonnumre, e-mailadresser eller lignende oplysninger om dine kunder, er du dataansvarlig.
Det indebærer en række pligter:
- Du må kun indsamle de oplysninger, du reelt har brug for.
- Du skal have et lovligt grundlag for at behandle dem, typisk samtykke eller en kontraktmæssig nødvendighed.
- Du skal kunne dokumentere, at data behandles korrekt.
- Du skal informere kunderne om, hvilke data du gemmer, og hvad du bruger dem til.
- Du skal slette data, der ikke længere er nødvendige.
Hvis du bruger et eksternt system til at håndtere bookinger, betalinger eller kommunikation med kunder, er systemudbyderen din databehandler. Det er her, mange virksomheder glemmer et vigtigt skridt: en databehandleraftale.
Du kan læse mere om, hvad databeskyttelsesreglerne konkret betyder for din virksomhed, i denne gennemgang af databeskyttelse i Europa.
Databehandleraftalen, obligatorisk, men ofte overset
En databehandleraftale er en juridisk bindende aftale mellem dig som dataansvarlig og den leverandør, der behandler data på dine vegne. Den er ikke valgfri. Ifølge GDPR er det et krav, at en sådan aftale er på plads, hvis en tredjepart håndterer personoplysninger for dig.
Aftalen skal som minimum indeholde:
- Hvad databehandleren må gøre med dataene.
- Hvilke sikkerhedsforanstaltninger der er på plads.
- Regler for sletning af data, når samarbejdet ophører.
- Regler for eventuelle underbehandlere.
Når du evaluerer et nyt system, bør du derfor altid spørge leverandøren direkte: Tilbyder I en databehandleraftale, og hvad indeholder den? Leverandører, der ikke kan besvare det spørgsmål klart, er et rødt flag.
Kryptering og datahostning, hvad du skal spørge om
Det er ikke nok, at et system er "sikkert" ifølge leverandørens egne ord. Du bør stille konkrete spørgsmål om, hvordan data faktisk beskyttes.
Hvor hostes dataene?
Data bør som udgangspunkt lagres inden for EU eller EØS. Hvis data sendes til servere uden for EU, fx i USA, kræver det særlige overførselsgrundlag, og det kan komplicere din GDPR-overholdelse betydeligt. Spørg altid: Hvor er jeres servere placeret?
Er data krypteret?
Kryptering betyder, at data er ulæselige for uvedkommende, selv hvis de skulle få adgang til serverne. Du bør sikre dig, at data krypteres både under transport (typisk via HTTPS/TLS) og ved lagring. Mange leverandører nævner kryptering i generelle vendinger, bed dem specificere, hvilke standarder de benytter.
Hvem har adgang til dine data?
Spørg, om leverandørens medarbejdere kan tilgå dine kundedata, og i så fald under hvilke omstændigheder. Et professionelt system begrænser adgangen til det absolut nødvendige og logger, hvem der tilgår hvad.
Konkrete kriterier når du vælger software
Når du skal vælge et system, hvad enten det er et bookingsystem, et CRM eller noget andet, er her de kriterier, der bør veje tungest fra et databeskyttelsesperspektiv:
1. GDPR-overholdelse dokumenteret
Leverandøren bør ikke blot påstå at være GDPR-compliant, men aktivt kunne dokumentere det. Det kan være i form af en datapolitik, en databehandleraftale eller certificeringer. Er det ikke tilgængeligt på forhånd, bør du bede om det skriftligt.
2. EU-baseret datalagring
Som nævnt bør serverne befinde sig inden for EU. Det forenkler overholdelsen og reducerer risikoen for, at dine kunders data behandles under lovgivning, der ikke er forenelig med GDPR.
3. Adgangsstyring og rollebaserede rettigheder
Kan du styre, hvem i din virksomhed der har adgang til hvilke data? Et system, der tillader finjustering af adgangsrettigheder, reducerer risikoen for interne sikkerhedsbrud markant.
4. Sletterutiner og dataminimering
Systemet bør understøtte, at du kan slette eller anonymisere kundedata, når de ikke længere er nødvendige. Spørg, om det sker automatisk eller manuelt, og om du som dataansvarlig bevarer kontrollen.
5. Sikker betalingshåndtering
Hvis systemet håndterer betalinger, bør det integrere med en anerkendt betalingsudbyder frem for selv at gemme kortoplysninger. Betalingsstandarder som PCI DSS er her relevante at spørge om.
Læser du mere om at vælge det rette system, kan du med fordel konsultere den ultimative guide til valg af online bookingsystem, som gennemgår mange af de samme overvejelser fra et bredere perspektiv.
Hvad du bør undgå
Ligeså vigtigt som de rigtige valg er det at kende de fælder, der kan koste dig dyrt, både juridisk og omdømmemæssigt.
- Undgå systemer uden klar databehandleraftale. Ingen aftale betyder intet retsgrundlag, og det er et brud på GDPR.
- Undgå at gemme data, du ikke har brug for. Jo mere du gemmer, desto større er dit ansvar, og din risiko, hvis data lækker.
- Undgå systemer, der hostes uden for EU, uden klart overførselsgrundlag. Det kan hurtigt blive en kompliceret juridisk situation.
- Undgå gratis systemer med uklare forretningsmodeller. Hvis produktet er gratis, er det ofte fordi data er produktet. Læs altid vilkårene grundigt.
- Undgå at antage, at et system er sikkert, fordi det er populært. Popularitet er ikke det samme som compliance.
Din interne praksis er mindst ligeså vigtig som systemet
Selv det mest sikre system kan kompromitteres af svag intern praksis. Databeskyttelse er ikke kun et teknisk spørgsmål, det er også et spørgsmål om rutiner og kultur i din virksomhed.
Nogle grundlæggende principper:
- Brug stærke, unikke adgangskoder og aktivér to-faktor-godkendelse, hvis systemet understøtter det.
- Begræns adgangen til kundedata til de medarbejdere, der reelt har behov for det.
- Lav en simpel intern procedure for, hvad der sker, hvis der opstår et databrud, hvem kontaktes, og hvornår skal du underrette Datatilsynet?
- Gennemgå jævnligt, hvilke data du gemmer, og ryd op i det, der ikke længere er relevant.
Disse rutiner behøver ikke være komplicerede for at gøre en reel forskel. Det handler om at gøre det til en del af hverdagen frem for noget, der kun prioriteres, når noget går galt.
Hvis du overvejer at skifte eller opgradere dit nuværende system, er der en række yderligere overvejelser at tage stilling til, dem kan du læse mere om i denne gennemgang af hvad du skal overveje, når du opgraderer dit bookingsystem.
Opsummering: Sådan vælger du sikkert
At sikre databeskyttelsen i dit system handler om tre ting: at vælge den rigtige leverandør, at have de rigtige aftaler på plads, og at have sunde interne rutiner. Det ene erstatter ikke det andet.
Brug nedenstående tjekliste, næste gang du evaluerer et system:
- Er der en skriftlig databehandleraftale?
- Hostes data inden for EU?
- Er data krypteret under transport og ved lagring?
- Kan du styre adgangsrettigheder?
- Kan du slette eller anonymisere data?
- Håndteres betalinger via en anerkendt, certificeret udbyder?
Kan leverandøren besvare alle disse punkter klart og skriftligt, er du godt på vej. Kan de ikke, bør du søge videre.
Bruger du, eller overvejer du, et bookingsystem til din virksomhed, er Mokio et dansk alternativ med fokus på GDPR-overholdelse, EU-baseret datalagring og klar databehandleraftale. Du er velkommen til at henvende dig for at høre nærmere om, hvordan systemet håndterer databeskyttelse i praksis.