GDPR: 5 kontroller før du sender personopplysninger

En skannet ID, en HR-mappe, en kundeliste: så snart en fil inneholder data som kan identifisere en person, er sendingen behandling av personopplysninger etter GDPR — og verktøyet du bruker, blir et ledd i den kjeden. Her er de fem kontrollene du bør gjøre før du klikker «send».

Gjelder dette deg? (spoiler: ja)

GDPR gjelder ikke bare de store plattformene: regnskapskontoret som mottar lønnsslipper, fotografen som leverer portretter, småbedriften som sender en HR-mappe — alle behandler personopplysninger. Ansvaret kan ikke delegeres til verktøyet, men valget av verktøy forplikter deg.

1. Hvor dataene lagres

Det første spørsmålet du bør stille overføringstjenesten din: hvor lagres filene? Lagring innenfor Det europeiske økonomiske samarbeidsområdet forenkler etterlevelsen radikalt; en overføring ut av EØS krever ekstra garantier (adekvansbeslutning, standard kontraktsklausuler). TransferNow lagrer i Europa, med valg av region avhengig av planen.

2. Den kontraktsmessige rammen (DPA)

Handler du på vegne av en juridisk enhet, er overføringstjenesten din databehandler etter artikkel 28: en databehandleravtale (DPA) må regulere forholdet. Sjekk at den finnes og er tilgjengelig — det er et dokument personvernombudet ditt vil be om. Vår er offentlig, lenket fra vår personvernerklæring.

3. Lagringstiden

GDPR krever at data ikke oppbevares lenger enn nødvendig. Oversatt til filoverføring: en lenke som utløper, er et etterlevelsesfortrinn. Velg en varighet som samsvarer med det reelle behovet — 7 dager er ofte nok — og en tjeneste som lar deg deaktivere lenken så snart overleveringen er gjort.

4. Sporbarhet

Dukker det opp et spørsmål — fra en kunde, fra en myndighet — må du kunne si hvem som hadde tilgang til dataene. Et navngitt varsel ved hver nedlasting gir det sporet uten noen ekstra prosedyre: hvem som hentet filen, og når.

5. Dataminimering

Det enkleste og mest glemte prinsippet: send bare det som er nødvendig. Den komplette «i tilfelle»-mappen mangedobler eksponeringen. Før hver sensitiv overføring, ett spørsmål: trenger denne mottakeren alle disse filene?

Disse fem punktene erstatter ikke juridisk rådgivning — men de dekker det et personvernombud vil sjekke først. For den tekniske siden utfyller vår sikkerhetssjekkliste denne.