Hvor gjelder GDPR?
GDPR gjelder i EU og EØS, og dermed også i Norge gjennom personopplysningsloven. Norske virksomheter må derfor forholde seg til GDPR når de behandler personopplysninger som en del av sin virksomhet.
Reglene kan også få betydning for virksomheter utenfor Europa dersom de retter varer eller tjenester mot personer i EU/EØS, eller overvåker atferden deres, for eksempel gjennom sporing eller profilering.
Hva betyr dette for norske virksomheter?
En norsk bedrift som behandler opplysninger om kunder, ansatte, leverandører, brukere eller medlemmer, må normalt vurdere GDPR. Det gjelder selv om systemene ligger i skyen, leverandøren er utenlandsk eller behandlingen skjer delvis utenfor Norge.
Overføring av data til andre land
Når personopplysninger overføres til land utenfor EU/EØS, kan det kreves særskilt grunnlag og ekstra vurderinger. Dette er særlig relevant ved bruk av skyløsninger, analyseverktøy, markedsføringssystemer og eksterne databehandlere.
Virksomheten bør vite hvor opplysningene lagres, hvem som behandler dem og hvilke avtaler som gjelder.
Les mer om hvem som omfattes av GDPR, dataoverføring og databehandleravtaler.