Löpande GDPR-stöd

För vem och när

Passar organisationer som behandlar personuppgifter men inte behöver ett formellt dataskyddsombud, eller som har ett ombud men saknar någon som gör det operativa arbetet.

• Ni behöver inget dataskyddsombud, men frågorna om GDPR blir liggande.
• Register, avtal och gallringsregler togs fram en gång men har inte hållits aktuella.
• Nya system, leverantörer och AI-verktyg införs utan att någon bedömer dataskyddet.
• Ert dataskyddsombud gör i dag också det operativa arbetet och behöver avlastas för att kunna granska oberoende.

Vad vi gör

1. Uppstart och plan. Vi går igenom era behandlingar, roller och befintlig dokumentation och kommer överens om vad som ska hållas aktuellt, vem som är er kontakt och vilket upplägg som passar.
2. Register och dokumentation. Register över behandlingar, gallringsregler, integritetsinformation och styrdokument hålls aktuella när verksamheten, systemen eller leverantörerna ändras.
3. Avtal och leverantörer. Nya personuppgiftsbiträden bedöms och personuppgiftsbiträdesavtal granskas innan de skrivs under, och befintliga leverantörer följs upp.
4. Frågor och registrerades rättigheter. Frågor från verksamheten besvaras normalt inom några arbetsdagar, och begäranden om tillgång, rättelse eller radering hanteras så att svaren går ut inom en månad.
5. Nya system och incidenter. Vi bedömer dataskyddet när nya system eller AI-verktyg införs, avgör om en konsekvensbedömning behövs och stöttar vid en personuppgiftsincident, från bedömningen av anmälningsplikten till dokumentationen efteråt.
6. Uppföljning. Avstämningar i överenskommen rytm och en kort rapport till ledningen om vad som har gjorts, vilka risker som finns och vad som återstår.

Tre exempel på upplägg

Här är tre exempel på hur stödet kan läggas upp. Vi föreslår ett upplägg efter det första samtalet och anpassar rytm och innehåll efter er verksamhet och kravbild. Alla upplägg omfattar svar på frågor, normalt inom några arbetsdagar, hjälp med registrerades begäranden och stöd vid personuppgiftsincidenter.

Kvartal: några timmar i kvartalet

Passar organisationer med få behandlingar, inga känsliga personuppgifter och få nya system eller leverantörer.

• Avstämning en gång per kvartal
• Registret och integritetsinformationen ses över en gång per år
• Nya personuppgiftsbiträdesavtal granskas innan de skrivs under
• En kort rapport till ledningen en gång per år

Månad: antal timmar i månaden

Passar organisationer med fler behandlingar och leverantörer, eller med kunder som ställer krav på dataskyddet.

• Allt i kvartalsnivån
• Avstämning en gång per månad
• Register, integritetsinformation och gallringsregler hålls aktuella löpande
• Nya system och leverantörer bedöms innan de införs
• Utbildning för personalen en gång per år
• Rapport till ledningen var sjätte månad

Vecka: regelbundet varje vecka

Passar organisationer med många eller känsliga behandlingar, hög förändringstakt eller höga krav från kunder, avtal och upphandlingar.

• Allt i månadsnivån
• Fast tid varje vecka, på plats eller på distans
• Med i projekt och inköp från start, inklusive bedömningen av om en konsekvensbedömning behövs
• Uppföljning av leverantörerna och av att rutinerna följs
• Rapport till ledningen varje kvartal, med nyckeltal för begäranden, incidenter och avtal

Det här behöver ni bidra med

• En kontaktperson hos er som håller ihop dataskyddsarbetet internt, ofta en dataskyddsansvarig eller samordnare.
• Att ni berättar för oss tidigt när nya system, leverantörer eller behandlingar planeras.
• Tillgång till dem som äger processerna och systemen när vi behöver svar.
• Att ledningen fattar de beslut som bara ledningen kan fatta, till exempel om policy, ansvar och vilka risker som accepteras.

Omfattning och pris

Ett löpande uppdrag där omfattningen följer er verksamhet och kravbild: från några timmar i kvartalet för en organisation med få behandlingar, till regelbundet stöd varje vecka där behandlingarna är många, uppgifterna känsliga eller kraven från kunder och avtal höga.

Större avgränsade insatser, till exempel en konsekvensbedömning eller ett register som byggs från grunden, offereras separat. Rollen som dataskyddsombud är ett eget uppdrag, så att oberoendet består.

Priset varierar från uppdrag till uppdrag och beror på upplägget och omfattningen. Ni får ett förslag på upplägg och kostnad efter det första samtalet.

Så går det till

1. Ett första samtal. Vi lyssnar på er situation och berättar hur vi brukar lägga upp arbetet. Ni får vår bedömning direkt, utan kostnad.
2. Förslag med omfattning och pris. Ett kort skriftligt förslag med vad som ingår, vad ni får, vem som gör jobbet och vad det kostar.
3. Genomförande och löpande arbete. Vi arbetar tillsammans med er organisation, stämmer av enligt överenskommen rytm och håller dokumentationen aktuell under hela uppdraget.