To elektrikerfirmaer fikk GDPR-gebyrer på til sammen 310 000 kr. Dette bør andre elektrikerfirmaer vite
GDPR gjelder ikke bare store selskaper. Også små og mellomstore elektrikerfirmaer må ha kontroll på hvordan de håndterer personopplysninger. To norske firmaer i elektrobransjen er oppført med gebyrer på til sammen 310 000 kroner etter brudd på personvernregelverket. Hva gikk galt, og hva kan andre lære av sakene?
Når man driver et elektrikerfirma, er det gjerne kunder, prosjekter, HMS og den daglige driften som får mest oppmerksomhet. GDPR er kanskje ikke det første man tenker på.
Men elektrikerfirmaer håndterer ofte flere personopplysninger enn man er klar over. Det kan være navn, adresser og kontaktinformasjon til kunder, opplysninger om ansatte, e-poster og dokumentasjon fra ulike oppdrag.
Elektro & Automasjon Systemer AS fikk et gebyr på 200 000 kroner
I 2022 fikk Elektro & Automasjon Systemer AS et gebyr på 200 000 kroner fra Datatilsynet. Saken gjaldt en kredittvurdering som ble gjennomført uten lovlig grunnlag.
En kredittvurdering innebærer behandling av personopplysninger. Et firma kan derfor ikke hente inn slike opplysninger om enkeltpersoner uten å ha et gyldig rettslig grunnlag. Saken viser at selv én handling kan få konsekvenser dersom firmaet ikke har kontroll på reglene for personvern.
For andre elektrikerfirmaer er lærdommen enkel: Det holder ikke at informasjonen er tilgjengelig. Dere må også ha lov til å hente den inn og bruke den.
Les Datatilsynets vedtak om Elektro & Automasjon Systemer AS
Elit Elektro AS fikk et gebyr på 110 000 kroner
En annen sak gjelder Elit Elektro AS, som er oppført med et gebyr på 110 000 kroner i Datatilsynets årsrapport for 2023.
Saken er omtalt med blant annet automatisk videresending av e-post. E-poster kan inneholde store mengder personopplysninger om både kunder, ansatte og samarbeidspartnere. Derfor er det viktig å ha gode rutiner for hvem som har tilgang til e-post, hvordan informasjonen håndteres, og hva som skjer når ansatte slutter.
For elektrikerfirmaer som har flere ansatte ute på oppdrag, er dette særlig relevant. Informasjon deles ofte mellom kontoret, elektrikere og prosjektledere. Har dere kontroll på hvem som har tilgang til kundeopplysninger og e-poster i firmaet?
Les om Elit Elektro AS i Datatilsynets årsrapport for 2023
Saken er omtalt på side 16 og 82 i årsrapporten.
Fem ting elektrikerfirmaer bør ha kontroll på
Det er ikke alltid lett å vite hvilke GDPR-regler som gjelder, eller hva man faktisk må ha på plass. Heldigvis trenger det ikke være så komplisert. Her er fem viktige ting alle elektrikerfirmaer bør ha kontroll på for å håndtere personopplysninger på en trygg og riktig måte.
1. Hvilke personopplysninger lagrer dere?
Har dere oversikt over hvilke opplysninger som ligger i kundesystemer, e-poster, personalmapper og andre digitale løsninger? Første steg er å vite hvilke personopplysninger firmaet faktisk håndterer.
2. Hvem har tilgang til informasjonen?
Ikke alle ansatte trenger tilgang til alt. Sørg for at elektrikere, prosjektledere og administrasjonen bare har tilgang til opplysninger de trenger for å gjøre jobben sin. Husk også å fjerne eller endre tilganger når ansatte slutter eller bytter arbeidsoppgaver.
3. Har dere lov til å bruke opplysningene?
Bare fordi informasjon er tilgjengelig, betyr det ikke at dere kan bruke den til hva som helst. Personopplysninger må behandles på et gyldig rettslig grunnlag, og dere må vite hvorfor opplysningene samles inn.
4. Vet dere hva dere skal gjøre hvis noe går galt?
Hva gjør dere hvis en e-post med kundeopplysninger sendes til feil person? Eller hvis en tidligere ansatt fortsatt har tilgang til firmaets systemer? Det bør finnes tydelige rutiner for hvordan slike hendelser skal håndteres og dokumenteres.
5. Kan dere dokumentere at dere følger GDPR?
Det holder ikke bare å si at dere har kontroll. Firmaet må kunne vise hvordan personopplysninger håndteres, hvilke rutiner som gjelder, og hvordan dere følger opp personvernarbeidet.
GDPR trenger ikke være komplisert
For mange små og mellomstore elektrikerfirmaer handler utfordringen om tid og oversikt. Dokumentasjonen ligger kanskje i Excel, e-post, permer eller ulike digitale systemer. Når flere ansatte skal følge de samme rutinene, blir det fort vanskelig å holde orden. Med Tavler kan dere samle GDPR-arbeidet på ett sted og få bedre oversikt over rutiner, dokumentasjon, risikovurderinger og oppgaver. Det gjør det enklere å følge opp personvernarbeidet i hverdagen.
Vil du vite mer om hvilke krav som gjelder for elektrikerfirmaer?
Les også: Driver du et elektrikerfirma? Har du kontroll på alle kravene som gjelder?
Få bedre kontroll på GDPR med Tavler
Det er bedre å få på plass gode rutiner nå enn å oppdage manglene når noe allerede har gått galt. Tavler hjelper elektrikerfirmaer med å komme i gang med GDPR-arbeidet, få oversikt over kravene og holde dokumentasjonen samlet. Akkurat nå får nye Tavler-kunder GDPR fra 199 kr/mnd de første 3 månedene.