GDPR-kurs for ansatte og ledere på nett

6 moduler i kurset

Hver modul lenker direkte til lovdata og Datatilsynets veiledning.

Slik er kurset bygget opp. Åpne en modul for å se hva den dekker og hvilke paragrafer den bygger på.

1. 01Hva personvern og GDPR er, og hvorfor det gjelder din virksomhet

   Modulen slår fast at GDPR er norsk lov gjennom personopplysningsloven §1 og gjelder enhver virksomhet som behandler personopplysninger, også den minste. Du lærer hva en personopplysning og en behandling er, med eksempler som e-post, IP-adresse og bilde, og forskjellen på personvern og informasjonssikkerhet. Modulen avgrenser også kurset ærlig: opplæring som ledd i internkontroll, ikke en sertifisering.

   Hjemmel:Personopplysningsloven §1

2. 02Behandlingsgrunnlag og grunnprinsippene

   Hver behandling trenger ett av de seks grunnlagene i art. 6 nr. 1: samtykke, avtale, rettslig forpliktelse, vitale interesser, allmenn interesse eller berettiget interesse. Du lærer hvorfor samtykke sjelden er riktig grunnlag i et arbeidsforhold, hvorfor helseopplysninger som sykefravær er særlige kategorier etter art. 9, og hvordan prinsippene i art. 5 gjør at virksomheten må kunne dokumentere etterlevelsen.

   Hjemmel:GDPR art. 5 til 9

3. 03Rettighetene til de du har data om

   Modulen går gjennom rettighetene i art. 13 til 22: informasjon, innsyn, retting, sletting, begrensning, dataportabilitet og retten til å protestere. Fristen for å svare er én måned, som kan forlenges med to måneder ved mange eller kompliserte henvendelser (art. 12 nr. 3). Du lærer å gi innsyn uten å lekke andres opplysninger, og hvorfor sletting ikke er absolutt når annen lov krever at noe skal oppbevares.

   Hjemmel:GDPR art. 12 til 22

4. 04Virksomhetens plikter: ansvar, rutiner og internkontroll

   Den behandlingsansvarlige har hovedansvaret og skal kunne påvise etterlevelse (art. 24), og ansvaret flyttes ikke over på leverandører. Du lærer hva en protokoll over behandlingsaktiviteter er, og hvorfor unntaket for virksomheter under 250 ansatte ofte faller bort når dere behandler lønn eller helseopplysninger (art. 30 nr. 5). Modulen dekker også innebygd personvern (art. 25), og når personvernombud og personvernkonsekvensvurdering kreves.

   Hjemmel:GDPR art. 24 til 30GDPR art. 37 til 39

5. 05Informasjonssikkerhet og databehandlere i praksis

   Art. 32 krever tekniske og organisatoriske tiltak tilpasset risikoen, som tilgangsstyring, tofaktor, kryptering, oppdateringer og sikkerhetskopi, og nr. 4 sier at de ansatte bare skal behandle opplysninger etter instruks. Derfor trengs rutiner og opplæring. Du lærer når en leverandør er databehandler og trenger databehandleravtale etter art. 28, og hvorfor de fleste brudd skyldes vanlige feil i hverdagen.

   Hjemmel:GDPR art. 32GDPR art. 28

6. 06Når noe går galt: avvikshåndtering og brudd

   Et brudd på personopplysningssikkerheten kan være alt fra en feilsendt e-post til en mistet PC. Etter art. 33 skal den behandlingsansvarlige melde bruddet til Datatilsynet uten ugrunnet opphold og når det er mulig senest 72 timer etter å ha fått kjennskap til det, med mindre bruddet sannsynligvis ikke medfører risiko. Ved høy risiko skal de berørte også varsles (art. 34), og alle brudd skal dokumenteres, også de som ikke meldes.

   Hjemmel:GDPR art. 33 og 34Datatilsynet: avvikshåndtering