SMV´erne kender ikke persondataregler
Ny Epinion-undersøgelse viser, at tre ud af fire SMV’ere ikke har kendskab til de nye EU-krav om persondata. Og under halvdelen har procedurer for at overholde den nuværende persondatalov.
Af Poul Bavngaard
Om to år skal virksomheder være klar til at håndtere persondata efter den nye EU-forordning. Ellers kan der vanke store bøder på op til fire procent af virksomhedens årsomsætning.
Derfor overrasker det også advokat og ekspert i persondata Karsten Holt fra Advodan, at små og mellemstore virksomheder i den grad ikke kender til den kommende lovgivning.
- Selvom den nye forordning først formelt bliver vedtaget i EU her i foråret, burde virksomhederne være klar over, at de nye skrappe krav er på vej. Det er på høje tid at komme i gang med at ruste sig til dem, da det tager tid at implementere alle procedurer. Det bliver et af de skrappere krav i den nye forordning, og særligt de virksomheder, som i dag slet ikke har skriftlige retningslinjer for håndtering af persondata, får travlt. Det kræver dog, at den øverste ledelse går forrest og prioriterer opgaven.”
Kender ikke nuværende regler
Det er især den kommende EU-forordning, som er fremmed for virksomhederne. 75 procent af virksomheder med op til ni ansatte er ikke bekendt med de nye EU-krav, mens det samme er gældende for 64 procent af virksomheder med 10-49 ansatte.
Men faktisk er ikke engang den nuværende danske persondatalov nået ud på alle direktørkontorer. Blandt virksomheder med op til ni ansatte har 36 procent et dårligt eller meget dårligt kendskab til reglerne for håndtering af persondata. Og kun 30 procent af de helt små virksomheder har procedurer for, hvordan de håndterer persondata i overensstemmelse med lovgivningen.
Personoplysninger:
- Jo mere følsom en personoplysning, jo strengere krav til virksomhedens håndtering.- Håndtering af ikke-følsomme oplysninger kræver ikke et udtrykkeligt samtykke fra fx medarbejdere. Eksempler er identifikationsoplysninger, familieforhold og kontonummer.
- Behandling af følsomme oplysninger er som udgangspunkt forbudt. Det gælder fx oplysninger om helbredsforhold, personlighedstests og seksuelle forhold.
Den danske persondatalov:
- Hovedloven for hvornår og hvordan personoplysninger skal behandles.- Den gælder for alle offentlige myndigheder, private virksomheder og foreninger, der behandler persondata.
- I forhold til personaleadministration gælder fx 12 minimumskrav til datasikkerheden – blandt andet krav til dokumentation, personaleuddannelse og databehandleraftaler.
Få overblik nu
- Det er problematisk for både ansatte og kunders sikkerhed, at så mange virksomheder famler i forhold til persondatalovgivningen. Og med de nye skrappe EU-krav på vej sætter virksomhederne sig i en sårbar situation, hvor både kundetillid og økonomi er på spil. Både små og store virksomheder håndterer persondata på fx kunder og medarbejdere, så loven gælder for dem alle, siger Karina Lind Bertelsen:
- Min klare anbefaling er at afdække de nuværende datastrømme i virksomheden, så der opnås overblik over, hvilke persondata man håndterer, og hvordan man håndterer dem. Eksempelvis skal det kortlægges, hvem der har adgang til personoplysninger, hvordan persondata videregives, og om sikkerhedsniveauet er tilstrækkeligt højt. Dette skal holdes op mod de gældende regler, så der kan udarbejdes en konkret handlingsplan og persondatainstruks til direktør og medarbejdere. Dermed kan virksomheden både overholde den nuværende lovgivning og være godt rustet til den kommende EU-forordning, mener hun.
Det primære mål med den nye EU-forordning er at ensrette reglerne om persondata inden for EU og dermed øge borgernes datasikkerhed. Forordningen skærper en række områder i den nuværende persondatalov, fx er der større bødekrav og øget krav om samtykke. Forventningen er, at EU vedtager den endelige forordning i løbet af foråret og vil træde i kraft to år efter.
