Hjemmel og kilde
Personopplysningsloven med personvernforordningen (GDPR), særlig artikkel 5, 6, 13, 30, 32 og 33, og bokføringsloven § 13 om oppbevaringsplikt.
Hva dere faktisk behandler
Kundeopplysninger med navn, adresse, telefon og betalingshistorikk. Bilder fra oppdrag, som ofte viser folks hjem og av og til folk. Opplysninger om ansatte: timer, fravær, lønn og eventuelt posisjonsdata fra bil eller telefon. Opplysninger om kontaktpersoner hos næringskunder. Lag en oversikt over hva dere har, hvor det ligger og hvem som har tilgang. Artikkel 30 forutsetter en slik oversikt for de fleste virksomheter.
Grunnlag og lagringstid
Behandling krever et grunnlag etter artikkel 6, og for en elektrikerbedrift er avtale, rettslig forpliktelse og berettiget interesse de vanligste. Regnskapsmateriale må oppbevares i fem år etter bokføringsloven § 13, men det betyr ikke at all kundeinformasjon kan ligge for alltid. Sett en lagringstid per kategori, og rydd faktisk. Prinsippet om lagringsbegrensning i artikkel 5 er det som oftest brytes uten at noen har tenkt over det.
Posisjonsdata og ansatte
Sporing av firmabiler og av ansattes telefoner er behandling av personopplysninger om arbeidstakere, og det er strengere regulert enn mye annet. Det kreves gyldig grunnlag, informasjon til de ansatte, og drøfting med tillitsvalgte. Data samlet inn til ett formål, som kjøregodtgjørelse, kan ikke uten videre brukes til noe annet, som kontroll av arbeidstid. Dette er et av de vanligste stedene håndverksbedrifter trår feil.
Avvik og databehandlere
Et brudd på personopplysningssikkerheten skal som hovedregel meldes til Datatilsynet innen 72 timer etter artikkel 33, og en mistet telefon uten kodelås eller en e-post med kundeliste til feil mottaker kan være et slikt brudd. Leverandører som behandler data på deres vegne, skal ha databehandleravtale etter artikkel 28. Sjekk at avtalene finnes for fagsystem, regnskapssystem og lagringstjenester.
Vanlige spørsmål
Kan vi ta bilder inne hos kunder?
Bilder til dokumentasjon av eget arbeid har normalt et saklig grunnlag, men de skal ikke inneholde mer enn nødvendig, ikke deles utenfor formålet, og ikke brukes i markedsføring uten samtykke. Fortell kunden hvorfor du fotograferer.
Må vi ha personvernerklæring på nettsiden?
Informasjonsplikten i artikkel 13 gjelder når dere samler inn opplysninger, og en personvernerklæring er den praktiske måten å oppfylle den på. Den bør beskrive hva dere samler inn, hvorfor, hvor lenge og hvilke rettigheter folk har.
Les videre
- Rydde kundelista: slik gjør du den klar for import — Rydding og sletting er både praktisk og et personvernkrav.
- Kjøretid: slik får du flere fakturerbare timer ut av dagen — Posisjonsdata er et personvernspørsmål før det er et effektivitetstiltak.
- Hvilke forsikringer må elektrikerbedriften ha? — Yrkesskade og bilansvar er lovpålagt; resten styres av kontrakter og risiko.
- Internkontroll fra null: slik bygger du et system som brukes — De åtte kravene, hvilke som må være skriftlige, og rekkefølgen som virker.