Guiden till GDPR-efterlevnad för startups

Dataskyddsförordningen (GDPR) är en uppsättning regler för företag som hanterar personuppgifter om personer inom Europeiska ekonomiska samarbetsområdet (EES). EES omfattar alla EU-länder samt Island, Liechtenstein och Norge. GDPR trädde i kraft den 25 maj 2018.

GDPR anses vara den striktaste dataskyddslagstiftningen i världen. Den ger individer större kontroll över sina personuppgifter och ställer strängare krav på företag när de samlar in, använder och skyddar sådana uppgifter.

Om ett företag inte följer dessa regler kan det få böter eller drabbas av andra sanktioner. Den högsta sanktionsavgiften är antingen 20 miljoner euro eller 4 % av företagets globala årsomsättning från föregående år, beroende på vilket belopp som är högst.

Skyldigheter enligt GDPR

Det finns ett antal skyldigheter och ansvarsområden som ett företag måste följa när det samlar in och behandlar personuppgifter från EES-medborgare:

1. Innan du lanserar en ny produkt eller tjänst bör du ta dig tid att fundera över hur den kommer att samla in, lagra och använda personuppgifter från EES-medborgare. Genomför vid behov en konsekvensbedömning avseende dataskydd för att identifiera och minska potentiella risker för skyddet av personuppgifter.
2. Inför lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter, till exempel kryptering och säker lagring. Se till att dina system och tjänster hålls uppdaterade med de senaste säkerhetskorrigeringarna och uppdateringarna.
3. När du samlar in personuppgifter ska du bara efterfråga den information som är absolut nödvändig för det specifika ändamål den ska användas för. Det hjälper dig att minimera mängden uppgifter du samlar in och minska risken för dataintrång.
4. Var transparent mot dina kunder om vilka personuppgifter du samlar in, varför du samlar in dem och hur de kommer att användas. Ge tydlig information om dataskydd och inhämta uttryckligt samtycke innan du samlar in personuppgifter, såvida det inte finns någon annan rättslig grund för insamlingen.
5. Respektera dina kunders rätt att invända mot behandlingen av deras personuppgifter och se till att de känner till denna rättighet.
6. Utse ett dataskyddsombud om 20 eller fler personer regelbundet behandlar personuppgifter, eller om företaget genomför behandling som kräver en konsekvensbedömning avseende dataskydd eller behandlar personuppgifter för överföring, anonymiserad överföring eller marknads- och opinionsundersökningar.
7. Om du delar personuppgifter med tredje part utanför EES ska du införa lämpliga skyddsåtgärder, till exempel EES:s standardavtalsklausuler eller Privacy Shield.
8. Använd en process med dubbelt opt-in när du skickar e-post för att säkerställa att mottagarna har samtyckt till att ta emot den.
9. Håll alla personuppgifter korrekta och aktuella och ha processer på plats för att uppdatera uppgifterna när de ändras.
10. Om en dataförlust eller säkerhetsincident inträffar ska du omedelbart vidta åtgärder för att begränsa incidenten och förhindra ytterligare skada. Ha en plan för hur sådana incidenter ska hanteras och hur kunder och relevanta myndigheter ska underrättas.
11. Vid dataintrång ska du underrätta tillsynsmyndigheten och dina kunder så snart som möjligt.
12. För register över all personuppgiftsbehandling så att du kan visa att du följer reglerna vid en eventuell granskning av tillsynsmyndigheten.

Listan innehåller de viktigaste skyldigheterna och ansvarsområdena som ett företag måste beakta enligt GDPR när det samlar in och behandlar personuppgifter om EES-medborgare.

Det är dock möjligt att ytterligare krav behöver beaktas i vissa fall. Det kan till exempel finnas särskilda krav för företag som verkar inom vissa branscher eller behandlar särskilda typer av personuppgifter.

Därför är det alltid tillrådligt att söka råd från en dataskyddsexpert eller kontakta tillsynsmyndigheten för att säkerställa att alla tillämpliga regler följs.

GDPR för företag utanför EES

Även om det är välkänt att företag baserade i EES måste följa GDPR är det inte alla som känner till att länder utanför EES också måste följa GDPR under vissa omständigheter. Nedan beskriver vi de olika sätt på vilka företag utanför EES måste följa reglerna.

Insamling av personuppgifter i Europeiska ekonomiska samarbetsområdet

Om ett företag baserat utanför EES erbjuder varor eller tjänster till, eller övervakar beteendet hos, personer i EES måste det följa kraven i GDPR när det samlar in, använder och skyddar personuppgifter om personer i EES.

Om ett företag baserat utanför EES konstateras bryta mot GDPR har EU-myndigheter flera verktyg till sitt förfogande för att säkerställa efterlevnad av GDPR.

Om ett amerikanskt företag till exempel konstateras bryta mot GDPR kan EU-myndigheter försöka få en dom verkställd mot företaget i en amerikansk domstol, beroende på överträdelsens art och lagarna i den delstat där företaget är beläget.

Dessutom kan EU-myndigheter använda andra sätt för att pressa ett företag utanför Europeiska ekonomiska samarbetsområdet att följa GDPR, till exempel genom att blockera företagets tillgång till EU-marknaden eller offentligt hänga ut företaget.

Det är dock osannolikt att EU omedelbart kommer att införa sanktioner mot ett litet företag som bryter mot GDPR. Trots det kan det vara fördelaktigt även för små företag utanför EES att följa GDPR. Detta beror på att efterlevnad av GDPR kan ge startups bättre affärsmöjligheter, eftersom de kan samarbeta med andra företag som också följer GDPR.

Utöver risken för böter och andra sanktioner kan startups även drabbas av anseendeskador om det konstateras att de bryter mot GDPR. Det kan göra det svårare för dem att bedriva verksamhet i EES och kan även påverka deras verksamhet internationellt.

Företag som följer GDPR kan vara mer attraktiva för kunder och samarbetspartner, eftersom de visar att de engagerar sig i att skydda personuppgifter och respektera individers integritet.

Sammantaget är GDPR en betydande utveckling för startups som hanterar personuppgifter om personer i EES, och förordningen kommer att ha stor inverkan på hur dessa startups samlar in, använder och skyddar uppgifterna.

Startups utanför EES måste vara särskilt uppmärksamma på sina skyldigheter enligt GDPR och vidta åtgärder för att säkerställa efterlevnad för att undvika risken för böter och andra sanktioner samt anseendeskador.

Vad händer om ni inte samlar in uppgifter i EES?

Det är värt att notera att även om en startup utanför EES för närvarande inte erbjuder varor eller tjänster till, eller övervakar beteendet hos, personer i EES, kan det ändå vara tillrådligt att införa GDPR.

Detta beror på att GDPR är en global standard för dataskydd och att införandet av GDPR kan hjälpa en startup att etablera sig som ett välrenommerat och pålitligt företag som värdesätter sina kunders och samarbetspartners integritet.

GDPR i Storbritannien (UK)

Efter att Storbritannien lämnade EU den 1 januari 2021 var GDPR inte längre tillämplig i landet. GDPR:s regler införlivades dock direkt i brittisk lag som UK-GDPR, så allt som diskuterats ovan om GDPR gäller även för Storbritannien.

Så skapar du ett GDPR-kompatibelt registreringsformulär i Maildroppa-appen

Maildroppa är en app för e-postmarknadsföring som gör det möjligt för dig att skapa anpassade registreringsformulär, där potentiella kunder kan registrera sig för att få regelbunden information eller nyhetsbrev från dig.

Du kan själv ange vilken information som krävs för registreringen. Till exempel kan för- och efternamn, födelsedag och den potentiella kundens nationalitet efterfrågas. Detta är naturligtvis personuppgifter.

Om du inte tekniskt utesluter européer från att besöka din webbplats och fylla i ditt registreringsformulär omfattas du av GDPR, även om ditt företag ligger utanför Europeiska ekonomiska samarbetsområdet.

Maildroppa gör det dock otroligt enkelt för dig att följa GDPR. Du kan ange om kunder som vill registrera sig på din lista alltid eller aldrig måste läsa och underteckna avtalet om personuppgiftsbehandling, eller ange att endast kunder från EU, Storbritannien och Schweiz måste lämna sitt samtycke via ditt GDPR-samtyckesformulär.

Som företag behöver du informera dina kunder om vilka typer av uppgifter du samlar in, varför du samlar in dem och hur de lagras och behandlas. Eftersom alla företag är olika kan de uppgifter de samlar in och hur de använder dem variera. Det är viktigt att du som företagsägare är transparent mot dina kunder om din datahantering och följer GDPR-reglerna.

Maildroppa förstår detta ansvar som tjänsteleverantör – därför erbjuder vi en funktion för att anpassa GDPR-samtyckesformuläret efter dina individuella krav. Vår app sparar också formuleringen i GDPR-samtyckesformuläret som en prenumerant har godkänt, vilket ger dig bevis på överenskommelsen flera år senare.

Ett annat krav i GDPR är att kunder måste genomföra dubbelt opt-in till ditt nyhetsbrev. Detta säkerställer att endast kunder som uttryckligen har samtyckt till att få information från dig enligt din GDPR-information gör det. Eftersom dubbelt opt-in är Maildroppas standardbeteende behöver du inte vidta några ytterligare åtgärder.

Sammanfattning

Sammanfattningsvis är GDPR en uppsättning regler som gäller för företag som hanterar personuppgifter om personer i EES. GDPR ger individer större kontroll över sina personuppgifter och ställer strängare krav på hur företag får samla in, använda och skydda sådana uppgifter.

Startups i EES måste vidta åtgärder för att säkerställa efterlevnad av GDPR för att undvika risken för böter och andra sanktioner samt anseendeskador.

Startups utanför EU måste också säkerställa efterlevnad av GDPR om de erbjuder varor eller tjänster till, eller övervakar beteendet hos, personer i EU. Även om det är osannolikt att EU omedelbart kommer att införa sanktioner mot varje litet företag som bryter mot GDPR har EU-myndigheter flera verktyg till sitt förfogande för att säkerställa efterlevnad.

Om en startup vill etablera sig som ett välrenommerat och pålitligt företag som värdesätter sina kunders och samarbetspartners integritet kan det vara fördelaktigt att införa GDPR, även om den inte är baserad i EU eller har kontakt med personer inom EU. Slutligen är det viktigt att komma ihåg att även om Storbritannien har lämnat EU fortsätter GDPR att gälla där i form av UK-GDPR.