Protokoll over behandlingsaktiviteter, DPIA og fullføring av overgangen

Modul 9: Mennesker og regler · Lesetid: 12 minutter

Læringsmål: Etter denne leksjonen kan du oppdatere protokollen over behandlingsaktiviteter og personvernerklæringen etter overgangen, vurdere om en DPIA er nødvendig, få den gamle tjenesten ryddig avsluttet og formelt fullføre overgangen med en sluttsjekkliste.

Nøkkelbegreper: protokoll over behandlingsaktiviteter (art. 30), unntak for under 250 ansatte, DPIA (art. 35), DPIA-listen til Datatilsynet, personvernerklæring (art. 13 og 14), mottakere, overføring, meldeplikt ved avvik (art. 33), sletting hos den gamle tjenesten, bekreftelse på sletting, evaluering, sluttsjekkliste

Overgangen er ikke ferdig før papirarbeidet stemmer

E-posten fungerer, filene er på plass, alle jobber i det nye miljøet. Teknisk sett er du ferdig. Men for personvernforordningen (GDPR) gjenstår det arbeid: dokumentasjonen din beskriver fortsatt den gamle situasjonen. Hvis en kunde spør, det blir en kontroll eller et datainnbrudd, vil du kunne vise hvordan det ser ut nå. Denne leksjonen fullfører overgangen.

Dette er en forklaring, ikke juridisk rådgivning.

Protokollen over behandlingsaktiviteter

Artikkel 30 nr. 1 i personvernforordningen (GDPR) pålegger den behandlingsansvarlige å føre en protokoll over behandlingsaktiviteter. Der skal det for hver behandling (for eksempel «kundebestillinger», «personaladministrasjon», «nyhetsbrev») stå:

• navn og kontaktopplysninger til den behandlingsansvarlige (og eventuelt personvernombudet);
• formålene med behandlingen;
• kategoriene av registrerte og personopplysninger;
• mottakerne, inkludert databehandlere;
• overføringer til land utenfor EØS, med garantiene som gjelder;
• lagringstidene, der det er mulig;
• en generell beskrivelse av sikkerhetstiltakene, der det er mulig.

Gjelder dette også for en liten organisasjon?

Artikkel 30 nr. 5 inneholder et unntak for organisasjoner med færre enn 250 ansatte. Men unntaket gjelder ikke hvis behandlingen sannsynligvis innebærer en risiko, hvis den ikke er sporadisk, eller hvis den omfatter særlige kategorier personopplysninger (som helseopplysninger) eller opplysninger om straffedommer. Den nederlandske tilsynsmyndigheten forklarer at behandlinger i praksis sjelden er sporadiske: så snart du har ansatte eller faste kunder, behandler du opplysninger strukturert. For Bakkerij De Korrel med lønnsadministrasjon, kundebestillinger og sykemeldinger gjelder derfor ikke unntaket.

Det foreligger et europeisk forslag om å lette registreringsplikten for mindre organisasjoner (den såkalte Omnibus IV-pakken; i juni 2026 ble Rådet og Parlamentet enige om en foreløpig avtale). Så lenge det ikke har trådt i kraft, gjelder dagens artikkel 30. Og også etterpå er en oversikt nyttig: du trenger den for å kunne oppfylle resten av forpliktelsene dine.

Hva tilpasser du etter overgangen?

Gå gjennom hver linje i protokollen din og oppdater:

En overgang er et godt tidspunkt for endelig å få orden på lagringstidene. For skatterelatert regnskap gjelder det i Nederland normalt en oppbevaringsplikt på sju år; for søknadsopplysninger anbefaler den nederlandske tilsynsmyndigheten i utgangspunktet fire uker etter at prosessen er avsluttet. Sjekk hvilke frister som gjelder i din bransje, og husk at det i Norge kan gjelde andre frister.

Må du gjennomføre en DPIA?

En DPIA (data protection impact assessment, i personvernforordningen (GDPR) kalt «vurdering av personvernkonsekvenser») er en strukturert risikoanalyse på forhånd. Artikkel 35 krever en DPIA hvis en behandling sannsynligvis innebærer høy risiko for de registrerte, særlig ved ny teknologi.

Hvordan vet du om det er tilfelle?

1. Listen til den nederlandske tilsynsmyndigheten. Den nederlandske Autoriteit Persoonsgegevens publiserte i 2019 en liste over sytten typer behandlinger der en DPIA alltid er obligatorisk. Der nevnes blant annet storskala behandling av helseopplysninger, kameraovervåking, overvåking av ansatte, kommunikasjonsdata, posisjonsdata, profilering og biometri. Merk at hver EU-tilsynsmyndighet har sin egen DPIA-liste (art. 35 nr. 4), så sjekk hva som gjelder i ditt eget land.
2. De europeiske kriteriene. De europeiske tilsynsmyndighetene har utarbeidet ni kriterier (som sensitive opplysninger, stort omfang, sårbare registrerte, systematisk overvåking, ny teknologi). Oppfyller en behandling to eller flere av dem, er en DPIA som regel nødvendig.

For et bakeri som flytter e-post og filer, er en DPIA som regel ikke obligatorisk. For en fastlegepraksis som flytter pasientkommunikasjon til en ny tjeneste, eller en skole med elevopplysninger, stiller det seg annerledes. Selv om det ikke er obligatorisk, kan en kort risikoanalyse være nyttig. Vurderingen fra leksjon 1.5 er et godt utgangspunkt for det. Har du allerede en DPIA for den gamle tjenesten, bør du oppdatere den.

Personvernerklæringen

I personvernerklæringen din forteller du registrerte (kunder, søkere, nettstedsbesøkende) hvordan du håndterer opplysningene deres (art. 13 og 14). Der skal det blant annet stå mottakerne eller kategorier av mottakere og eventuelle overføringer utenfor EØS. Sto det «vi bruker tjenester fra selskaper i USA basert på Data Privacy Framework», må du oppdatere det. Ikke endre noe som ikke stemmer: nevn bare det du er sikker på ut fra databehandleravtalen og underleverandørlisten.

Datainnbrudd: vit hvem du ringer

Etter overgangen har leverandøren din endret seg, og dermed også rutinen ved et datainnbrudd. Sørg for at prosedyren din inneholder:

• kontaktadressen til den nye leverandøren for sikkerhetshendelser;
• fristen leverandøren ifølge databehandleravtalen skal informere deg innen;
• hvem hos deg som avgjør om det skal meldes fra, for meldingen til tilsynsmyndigheten må skje innen 72 timer etter at du ble kjent med hendelsen (art. 33);
• hvor du fører avviksregisteret: også avvik du ikke trenger å melde fra om, må dokumenteres internt (art. 33 nr. 5).

Avslutning hos den gamle tjenesten

Si ikke opp den gamle tjenesten før alt har fungert godt i noen uker (leksjon 3.3). Deretter:

1. Siste kontroll: er alt overført? Finnes det delte mapper, skjemaer eller koblinger som fortsatt peker til den gamle tjenesten?
2. Eksporter et siste arkiv for din egen dokumentasjon, hvis du ønsker å beholde det (for eksempel e-post som omfattes av oppbevaringsplikten). Lagre det kryptert.
3. Slett kontoer og data hos den gamle tjenesten, eller få dem slettet. Artikkel 28 nr. 3 bokstav g pålegger den tidligere databehandleren å slette eller returnere opplysningene etter avslutning, etter ditt eget valg. Be om en bekreftelse på sletting og oppbevar den sammen med protokollen din.
4. Rydd opp koblinger: «logg inn med»-koblinger hos andre tjenester, apper med tilgang, og verifiseringsposter i DNS-et ditt (leksjon 4.3).
5. Oppdater protokollen, personvernerklæringen og avviksprosedyren din (se ovenfor).

Evaluering

Planlegg en kort evaluering med ambassadørene en måned etter overgangen (leksjon 9.1). Hva gikk bra, hva gikk ikke bra, hva vil du gjøre annerledes neste gang? Noter også exit-planen for den nye tjenesten (leksjon 8.2), og sett en dato i kalenderen for å teste den årlig.

I praksis: slik ser det ut hos en leverandør

Mange leverandører har en funksjon for å laste ned dataene dine eller slette kontoen din. Hos WebOké finner du i WebOké-håndboken hvordan du laster ned eller får slettet dataene dine. Hos store amerikanske tjenester heter dette som regel «eksporter data» og «slett konto», og administratoren av en organisasjonskonto har egne eksportfunksjoner. Les på forhånd hvor lenge tjenesten oppbevarer data i sikkerhetskopier etter sletting; dette står ofte i personvernerklæringen eller databehandleravtalen.

Sluttsjekkliste

• [ ] Alle delene fra kartleggingen (leksjon 3.1) er på plass i det nye miljøet og er kontrollert
• [ ] Databehandleravtale(r) med den/de nye leverandøren(e) inngått og oppbevart (leksjon 9.2)
• [ ] Protokollen over behandlingsaktiviteter oppdatert: mottakere, overføringer, sikkerhet, lagringstider
• [ ] DPIA vurdert (nødvendig eller ikke, og hvorfor dette er dokumentert)
• [ ] Personvernerklæringen oppdatert
• [ ] Avviksprosedyre med nye kontaktopplysninger
• [ ] Gammel tjeneste sagt opp, data slettet, bekreftelse oppbevart
• [ ] Koblinger og gamle DNS-poster ryddet opp
• [ ] Sikkerhetskopi av det nye miljøet satt opp og testet (leksjon 8.1)
• [ ] Exit-plan for den nye tjenesten dokumentert (leksjon 8.2)
• [ ] Evaluering gjennomført

Oppsummering

• Oppdater protokollen over behandlingsaktiviteter etter overgangen: mottakere, overføringer, sikkerhet og lagringstider.
• Unntaket for under 250 ansatte gjelder i praksis sjelden; et forslag om å lette dette har ennå ikke trådt i kraft (per november 2026).
• En DPIA er obligatorisk ved høy risiko (DPIA-listen, europeiske kriterier); for vanlige kontoropplysninger vanligvis ikke.
• Oppdater personvernerklæringen og avviksprosedyren din.
• Be den gamle tjenesten slette opplysningene dine og be om en bekreftelse.

Quiz

Oppgave

Oppgave E9.3: Fullfør overgangen din. Oppdater for tre behandlinger i organisasjonen din linjene i protokollen over behandlingsaktiviteter (mottakere, overføring, sikkerhet, lagringstid), vurder med DPIA-listen og de europeiske kriteriene om en DPIA er nødvendig, og fyll ut sluttsjekklisten.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.

• WebOké-veiledning 11.7: Personvern: last ned eller slett opplysningene dine
• Nextcloud-veiledning 16.7: Kollega slutter: overta filer, kalender og delte mapper på en trygg måte
• Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
• Forordning (EU) 2016/679 (GDPR), artikkel 13, 14, 28, 30, 33 og 35, på EUR-Lex
• Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een DPIA verplicht is (den nederlandske tilsynsmyndigheten, Stcrt. 2019), på wetten.overheid.nl (BWBR0042812)
• Den nederlandske Autoriteit Persoonsgegevens, temaene «Register van verwerkingsactiviteiten» og «DPIA»: https://www.autoriteitpersoonsgegevens.nl