GDPR gjelder også for små virksomheter. Start med å få oversikt over hvilke personopplysninger dere behandler, hvorfor dere trenger dem, hvem som får tilgang og hvor lenge de lagres. Da blir det lettere å se hva dere allerede har kontroll på, og hva som må avklares.
En virksomhet med få ansatte kan ha krevende behandlinger, for eksempel helseopplysninger, opplysninger om barn eller systematisk overvåking. Behovet for tiltak følger bruken og risikoen, ikke antall ansatte alene.
Start med disse seks avklaringene
1. Hva behandler dere, og hvorfor?
Lag en oversikt over behandlingene, ikke bare en liste over IT-systemer. Ta med formål, opplysningstyper, behandlingsgrunnlag, mottakere og lagringstid. Registrer hvem som har ansvar for å holde oversikten oppdatert. Datatilsynets veiledning om behandlingsprotokoll beskriver innholdet.
2. Vet de berørte hva som skjer?
Skriv informasjon som passer den faktiske behandlingen. En ansatt, en kunde og en jobbsøker kan ha ulike behov. Forklar hvem som behandler opplysningene, hvorfor, hvilke rettigheter personen har og hvor spørsmål skal sendes. En generell nettsidemal dekker ikke nødvendigvis alle behandlingene.
3. Er leverandørrollene avklart?
Avklar om leverandøren behandler opplysninger på deres vegne eller bestemmer egne formål. Når leverandøren er databehandler, skal behandlingen reguleres i en bindende skriftlig avtale; den kan være elektronisk. Kontroller også underleverandører, behandlingssteder og faktisk tilgang. Se databehandleravtale i praksis og Datatilsynets rolleavklaring.
Kartlegg om personopplysninger overføres utenfor EØS, også gjennom leverandørtilgang. Avklar grunnlaget for overføringen, for eksempel en adekvansbeslutning eller standard personvernbestemmelser, og om ytterligere vurderinger og tiltak er nødvendige. Dette kommer i tillegg til de øvrige personvernkravene. Se Datatilsynets veiledning om overføring ut av EØS.
4. Hvem trenger tilgang, og hva skjer når de slutter?
Gi tilgang etter arbeidsoppgave, gjennomgå administratorrettigheter og avtal hvordan tilganger avsluttes. Sjekk sikkerhetskopier og gjenoppretting. Tiltakene må passe opplysningene og konsekvensene av tap eller uautorisert tilgang.
5. Når skal opplysningene slettes?
Sett lagringstid ut fra formålet og eventuelle lovkrav. Ikke bruk én standardfrist for alt. Avklar hvem som gjennomfører sletting, om den gjelder kopier og eksportfiler, og hvordan dere kontrollerer at rutinen følges. Datatilsynet om retting og sletting.
6. Kan dere håndtere spørsmål og hendelser?
Ha en kjent kontakt og en rutine for innsyn, retting og sletting. Innsyn skal som hovedregel håndteres uten ugrunnet opphold og senest innen én måned; det er ikke en generell frist på 30 dager. Ved brudd på personopplysningssikkerheten må dere raskt vurdere risikoen for de berørte. Meldepliktige brudd skal meldes uten ugrunnet opphold og om mulig innen 72 timer etter at dere fikk kjennskap til bruddet. Dokumenter vurderingen også når dere ikke melder. Innsyn og hvilke brudd som skal meldes.
Når dere tar i bruk KI eller annen ny teknologi
Vurder det konkrete bruksområdet før dere deler opplysninger eller kobler til en ny datakilde. Produktutgave, avtale, konfigurasjon og tilgang kan endre risikoen. Se personopplysninger i ChatGPT og Copilot.
Vurder om behandlingen sannsynligvis vil gi høy risiko og derfor krever en personvernkonsekvensvurdering (DPIA). Avklar også reglene for automatiserte avgjørelser når systemet avgjør noe om mennesker. En person som bare godkjenner maskinens forslag uten en reell vurdering, løser ikke nødvendigvis dette. Datatilsynets DPIA-veiledning.
KI-forordningens norske gjennomføring er fortsatt under arbeid per 1. oktober 2026. Det endrer ikke at gjeldende personvern- og diskrimineringsregler kan gjelde KI-bruken. Avklar hvilke regler, roller og frister som gjelder virksomheten fremfor å legge alle KI-prosjekter i samme kategori. Regjeringens status 4. august 2026.
Hva bør dere gjøre først?
Velg én behandling som er viktig for driften eller innebærer særlig risiko. Gå gjennom de seks avklaringene, noter dokumentasjonen dere bygger på og sett ansvar og frist for manglene. En kort oversikt som holdes oppdatert er mer nyttig enn et omfattende dokument som ikke brukes.
Vil dere gå gjennom dette sammen?
Jeg kan hjelpe dere med å avklare behovet og prioritere neste steg.