GDPR-utbildning efter roll: en guide för Finland och Sverige

De flesta GDPR-utbildningar är organiserade kring förordningen. De börjar med principerna i artikel 5, går igenom de rättsliga grunderna, täcker de registrerades rättigheter och avslutas med ett quiz. De anställda genomför dem, får bra resultat, och exporterar tre veckor senare en kundlista till ett personligt kalkylblad för att jobba hemifrån.

Det glappet är inte ett kunskapsproblem. Det är ett kopplingsproblem. Den anställda lärde sig principerna men lärde sig aldrig vilka av de saker hen gör varje dag som principerna gäller. Utbildning som är organiserad kring lagen lär ut lagen. Utbildning som är organiserad kring arbetet förändrar vad människor gör.

Den här guiden är byggd på det andra sättet. Den beskriver vad GDPR-utbildning behöver innehålla för varje funktion, vad de finländska och svenska tillsynsmyndigheterna faktiskt ingriper mot, och det lager av finländsk lagstiftning som de flesta internationella GDPR-kurser helt utelämnar.

Grunden alla behöver, och den är kort

Det finns en gemensam kärna, men den är mycket mindre än de flesta kurser antar. Fyra saker.

För det första, vad personuppgifter är, lärt ut med exempel från er egen verksamhet snarare än genom definitioner. De flesta anställda underskattar omfattningen kraftigt. En IP-adress, ett fotografi, en arbetssökandes CV, ett kundklagomål, en kollegas sjukintyg och en leveransadress är alla personuppgifter, och förvånansvärt många tror att företagskontaktuppgifter inte är det.

För det andra, idén att varje användning av personuppgifter behöver ett skäl som bestämts i förväg, och att hitta en ny användning för uppgifter man redan har är ett beslut, inte en effektivisering.

För det tredje, att uppgifter hör hemma i de system organisationen har godkänt, och att flytta ut dem därifrån är den vanligaste enskilda orsaken till incidenter.

För det fjärde, hur man känner igen och eskalerar två specifika händelser: en möjlig personuppgiftsincident och en begäran från en enskild om de egna uppgifterna. Anställda behöver inte kunna hantera någon av dem. De behöver känna igen dem inom timmar snarare än dagar, eftersom båda startar tidsfrister.

Det är hela grunden. Allt annat bör ges rollbaserat.

Sälj och marknad

Exponeringen här är samtycke, rättslig grund för direktmarknadsföring och CRM-hygien.

Ta upp den praktiska skillnaden mellan marknadsföring till en befintlig kund och till en kall prospekt, och det faktum att nordiska nationella regler om elektronisk direktmarknadsföring gäller vid sidan av GDPR snarare än ersätts av den. Ta upp vad som händer när någon avregistrerar sig, vilket är en spärrskyldighet och inte en raderingsskyldighet, och som regelmässigt görs fel åt båda hållen.

Ta upp berikning. Att köpa eller skrapa kontaktuppgifter och ladda in dem i ett CRM skapar en skyldighet att informera de personerna om att ni har deras uppgifter, och att en leverantör sålde dem till er befriar inte från det. Det är här marknadsteam skapar den största tysta exponeringen.

Ta upp lagring i CRM-systemet. En prospektpost som legat orörd i sex år är inte bevis på en frisk pipeline.

HR och rekrytering

Detta är den funktion med högst risk i de flesta organisationer och den som med minst sannolikhet fått specifik utbildning.

Ta upp rekryteringsdata: hur länge uppgifter om sökande som inte fick jobbet får sparas, vad som får frågas, och regeln att referenser och bakgrundskontroller har gränser. Ta upp hanteringen av hälsouppgifter, som omfattas av skyddet för särskilda kategorier och som ständigt kommer in via sjukintyg och företagshälsovård.

Ta upp övervakning av anställda i detalj, eftersom det är här nordisk rätt avviker skarpast och där en koncernpolicy importerad från annat håll med störst sannolikhet är olaglig. I Finland ställer lagen om integritetsskydd i arbetslivet krav som går utöver GDPR, bland annat om behandling av anställdas personuppgifter, om förutsättningarna för att öppna anställdas e-post samt om drogtester och kameraövervakning. Finländska arbetsgivare har dessutom samarbetsskyldigheter innan övervakning införs. Svenska arbetsgivare möter motsvarande begränsningar genom medbestämmandepraxis och arbetsmiljöregler.

Ta upp den anställda som slutar, vars uppgifter ska gallras snarare än arkiveras på obestämd tid, och som statistiskt sett är den mest sannolika personen att begära registerutdrag.

Kundservice och support

Exponeringen är identitetskontroll och att dela för mycket.

Ta upp hur man kontrollerar att personen i telefon är den hen utger sig för innan man diskuterar ett konto, eftersom den vanligaste vägen till ett obehörigt utlämnande är en hjälpsam medarbetare och en trovärdig uppringare. Ta upp vad som får skrivas i ett ärende, eftersom fritextfält samlar på sig åsikter om kunder som senare lämnas ut om kunden begär sina uppgifter. Ta upp skärmdumpar och skärmdelning i supportsessioner.

Ta upp hur man känner igen en begäran om registerutdrag även när den inte använder de orden. En kund som skriver och frågar vilka uppgifter ni har om hen har gjort en begäran, och klockan har börjat ticka oavsett kanal eller formulering.

Utvecklare och IT

Ta upp uppgiftsminimering som ett designbeslut snarare än en princip, det vill säga frågan om ett fält över huvud taget behöver finnas.

Ta upp testdata, som är det vanligaste utvecklarfelet. Att kopiera en produktionsdatabas till en testmiljö flyttar skarpa personuppgifter till ett system med svagare kontroller och bredare åtkomst, och det sker hela tiden.

Ta upp loggning, där personuppgifter ackumuleras osynligt. Ta upp radering som ett tekniskt problem, eftersom ett system som inte faktiskt kan radera en person ur varje lagringsplats inklusive säkerhetskopior inte kommer att stödja de rättigheter ni har utlovat. Ta upp åtkomstkontroll och principen att bred stående åtkomst i sig är en risk.

Ta upp den punkt där en ny funktion eller ett nytt verktyg behöver en bedömning innan det byggs snarare än efter att det lanserats.

Chefer

Chefer behöver en kort, specifik modul snarare än en längre version av den allmänna.

De behöver veta att de har prestationsanteckningar, frånvarouppgifter och ibland hälsouppgifter, och att dessa kan lämnas ut. De behöver veta att allt de skriver om en person kan komma att läsas av den personen. De behöver veta att de ofta är de första som hör om en möjlig incident och att deras eskaleringshastighet avgör om organisationen håller sin tidsfrist. De behöver veta att de inte får utreda en dataskyddsfråga själva.

Vad nordiska tillsynsmyndigheter faktiskt ingriper mot

Generiska GDPR-kurser hänvisar till Europeiska dataskyddsstyrelsens vägledning och de största EU-böterna. Nordiska läsare står under tillsyn av Dataombudsmannens byrå i Finland och IMY i Sverige, och båda publicerar beslut som är långt mer konkreta och långt mer relevanta än något på EU-nivå.

Hämta två eller tre färska beslut från respektive myndighets beslutsregister när ni bygger kursen och använd dem som genomarbetade exempel. Prioritera beslut som handlar om anställdas agerande, eftersom det är dem utbildning kan påverka: obehörig åtkomst till uppgifter av personal, för lång lagring, uteblivna svar på registerutdrag inom tidsfristen och utlämnanden till fel mottagare.

Två nationella särdrag är värda att känna till. Den finländska processen för administrativa sanktionsavgifter går via ett kollegialt påföljdskollegium snarare än genom dataombudsmannen ensam, och finländsk lag begränsar möjligheten att ålägga myndigheter administrativa sanktionsavgifter, vilket ändrar tillsynsbilden i den finländska offentliga sektorn avsevärt. Svenska IMY har beslutat om betydande sanktionsavgifter mot både privata och offentliga aktörer. Stäm av det aktuella läget för båda innan publicering, eftersom nationell kompletterande lagstiftning ändras med jämna mellanrum.

Det finländska lagret som internationella kurser missar

Om er organisation har finländska anställda och er GDPR-utbildning är skriven utanför Finland är den med stor sannolikhet ofullständig.

Finland har särskild lagstiftning om integritetsskydd i arbetslivet som reglerar behandlingen av anställdas personuppgifter striktare än GDPR ensam. Den begränsar vad en arbetsgivare får samla in om en anställd, kräver att uppgifter i första hand samlas in från den anställda själv, och ställer specifika villkor innan en arbetsgivare får öppna en anställds e-post eller införa vissa former av övervakning. Den samverkar också med samarbetsskyldigheterna, så att införande av övervakning är en process snarare än ett beslut.

En internationell kurs som lär finländska chefer enbart GDPR:s hållning till övervakning lär dem något som är korrekt och otillräckligt, och lämnar dem i tron att de får göra saker de inte får. Det är det tydligaste argumentet i hela ämnet för en finländsk version av kursen snarare än en finsk översättning av den engelska.

Hur ofta utbildningen ska genomföras

GDPR anger inget intervall. Det tillsynsmyndigheter tittar på är aktualitet och täckning: att utbildningen speglar er nuvarande behandling och era nuvarande system, och att alla som behöver den har fått den, inklusive de som började förra månaden.

En praktisk rytm för de flesta organisationer är en fullständig rollbaserad modul vid introduktionen, en kort årlig repetition för alla, en djupare repetition för högriskroller och en händelsestyrd uppdatering när ni driftsätter ett betydande nytt system eller när er tillsynsmyndighet publicerar vägledning som ändrar ert läge. Att införa AI-verktyg är den vanligaste aktuella utlösaren och kräver oftast både en bedömning och en utbildningsuppdatering.

Att kunna visa det

Spara rollkartläggningen som avgjorde vem som fick vad, innehållet med versionsdatum, leveransregister inklusive nyanställda och konsulter, och en dokumentation av översynscykeln. Om ni beslutade att en grupp behövde mindre, dokumentera varför. Ett dokumenterat beslut går att försvara; en odokumenterad lucka gör det inte.

Vanliga frågor