GDPR har funnits i flera år nu, men för många mindre företag känns reglerna fortfarande abstrakta och juridiska – något man löste med en cookie-ruta på hemsidan och sedan glömde. I praktiken handlar dataskydd till stor del om vardaglig IT-säkerhet: var era kunduppgifter faktiskt ligger, vem som kan komma åt dem, om de är säkrade om en dator försvinner, och vad ni gör den dagen något går fel.
Den här artikeln går igenom vad GDPR betyder konkret för er IT – inte paragraferna, utan de praktiska sakerna ni bör ha på plats. Se det som allmän vägledning för att komma igång och ställa rätt frågor, inte som juridisk rådgivning. Behöver ni tolka lagen för just er verksamhet bör ni alltid stämma av med en jurist eller med Integritetsskyddsmyndigheten (IMY).
Det första steget är att veta vilka personuppgifter ni faktiskt hanterar och var de ligger. För ett litet företag är svaret sällan en enda databas – uppgifterna sprider sig över många system utan att någon planerat det.
Personuppgifter kan finnas i fler system än man tror:
- E-postlådor och bifogade filer
- Affärs- och bokföringssystem, CRM och faktureringsverktyg
- Filer på servern, i Microsoft 365 / SharePoint eller på delade nätverksdiskar
- Lokala datorer, mobiler och USB-minnen
- Backuper och äldre system ni kanske inte längre använder aktivt
När ni vet var uppgifterna finns blir nästa fråga vem som ska kunna nå dem. En grundprincip i GDPR är att åtkomsten ska begränsas till dem som verkligen behöver den i sitt arbete. I praktiken betyder det individuella konton i stället för delade inloggningar, behörigheter anpassade efter roll, och rutiner för att stänga av konton när någon slutar. Flerfaktorsautentisering (MFA) på e-post och molntjänster är i dag en av de enklaste och mest verkningsfulla åtgärderna ni kan vidta.
Kryptering innebär att informationen görs oläsbar för den som inte har rätt nyckel. Det skyddar uppgifterna även om en enhet hamnar i fel händer. IMY beskriver kryptering som en teknisk säkerhetsåtgärd och förväntar sig att organisationer analyserar sitt behov – vilken information som behöver krypteras i olika situationer och vilken typ av skydd som är lämpligt – och dokumenterar slutsatserna, till exempel i en policy.
I praktiken handlar det ofta om:
- Diskkryptering på bärbara datorer och mobiler, så att en borttappad enhet inte blir ett dataläckage
- Krypterad överföring, alltså att webbplatser, e-post och tjänster använder säkra anslutningar
- Att seriösa molntjänster krypterar data både under överföring och vid lagring
Kryptering löser inte allt, men för ett litet företag ger diskkryptering och MFA mycket skydd för relativt liten insats. Lika viktigt är att hålla system och program uppdaterade – kända säkerhetshål är en av de vanligaste vägarna in.
Backup tänker man oftast på som skydd mot att förlora data, men det är också en dataskyddsfråga. GDPR säger att personuppgifter ska skyddas mot oavsiktlig förlust och förstöring – och en fungerande backup är just ett sådant skydd.
Samtidigt skapar backuper en egen avvägning: ni sparar kopior av personuppgifter, vilket innebär att även de behöver skyddas och inte bevaras hur länge som helst. Några saker att tänka igenom:
- Att backuperna verkligen fungerar – testa att ni kan återställa, inte bara att jobben körs
- Att backuper förvaras säkert, gärna åtskilda från originalet och med eget skydd mot till exempel utpressningsprogram
- Att gallring tänks igenom så att ni inte sparar uppgifter längre än ni har skäl till, även i backuper
Här är det värt att vara nyanserad: i en akut situation, som efter ett angrepp med utpressningsprogram, väger möjligheten att återställa verksamheten ofta tungt. Poängen är att backupen ska finnas, fungera och vara en medveten del av hur ni hanterar personuppgifter.
Förr eller senare inträffar något: ett mejl med känsliga uppgifter går till fel mottagare, en dator blir stulen, eller ni drabbas av ett angrepp. GDPR kräver att ni kan hantera en sådan personuppgiftsincident – en säkerhetshändelse som leder till att personuppgifter förstörs, förloras, ändras eller röjs för obehöriga.
Huvudreglerna att känna till:
- En anmälan ska som utgångspunkt göras till IMY inom 72 timmar från det att ni fått vetskap om incidenten, om det inte är osannolikt att den medför en risk för de berörda personerna
- Vid hög risk kan ni dessutom behöva informera de personer som drabbats
- Alla incidenter ska dokumenteras internt – även de ni bedömer att ni inte behöver anmäla
Det praktiska tipset är att förbereda detta i förväg. När klockan tickar vill ni inte stå och fundera på vem som ska kontaktas eller hur en anmälan går till. Skriv ner en enkel rutin: vem som larmas, hur ni snabbt bedömer omfattningen, och var ni dokumenterar händelsen. En förberedd plan gör skillnaden mellan kontrollerad hantering och panik.
För de flesta småföretag är e-post och molntjänster som Microsoft 365 navet i verksamheten – och därmed också den plats där flest personuppgifter passerar. Det gör dem extra viktiga att säkra.
Några saker att hålla koll på:
- Skydda kontona: MFA på all e-post och alla molntjänster är en grundbult, eftersom ett kapat e-postkonto ofta ger åtkomst till mängder av personuppgifter
- Var medveten om vad ni skickar: känsliga uppgifter i vanlig e-post är sårbara, så fundera på säkrare alternativ för det som verkligen är skyddsvärt
- Håll koll på leverantörerna: när ni anlitar en molntjänst som hanterar personuppgifter för er räkning behövs i regel ett personuppgiftsbiträdesavtal, och det är bra att veta var data lagras
- Rätt behörigheter i delade ytor: i SharePoint och delade mappar är det lätt att fler får åtkomst än som var tänkt – gå igenom delningar med jämna mellanrum
Molntjänster är inte osäkra i sig – tvärtom har seriösa leverantörer ofta bättre säkerhet än vad ett litet företag mäktar med på egen hand. Men ansvaret för hur ni konfigurerar och använder dem ligger kvar hos er.