Hvem håndhever GDPR?
I Norge er Datatilsynet tilsynsmyndighet for personvernregelverket. Tilsynet kan gi veiledning, behandle klager, føre kontroll, kreve informasjon, gi pålegg og reagere når virksomheter bryter reglene.
For virksomheter betyr dette at GDPR ikke bare er interne rutiner. Arbeidet må kunne dokumenteres dersom kunder, ansatte, brukere eller Datatilsynet spør hvordan personopplysninger behandles.
Hva kan Datatilsynet gjøre?
Datatilsynet kan undersøke saker, åpne tilsyn, be om dokumentasjon og fatte vedtak. I alvorlige tilfeller kan brudd føre til pålegg, irettesettelse eller overtredelsesgebyr.
Privatpersoner kan også klage til Datatilsynet hvis de mener at personvernrettighetene deres er brutt. Det kan for eksempel gjelde manglende innsyn, feil behandling, ulovlig deling eller manglende sletting.
Hvordan bør virksomheten forberede seg?
Den beste forberedelsen er å ha kontroll før det oppstår en sak. Virksomheten bør ha oversikt over behandlinger, behandlingsgrunnlag, databehandlere, sikkerhetstiltak, sletterutiner og avvikshåndtering.
Start med en praktisk GDPR-sjekkliste, oppdater GDPR-dokumentasjonen og les mer om mulige GDPR-bøter og reaksjoner.