1. Hvem er databehandleren og hvilke ansvar har de?

Databehandleren bestemmer formålene og metodene for hvordan personopplysninger brukes. De er ansvarlige for å sikre at hele operasjonen overholder GDPR, at tilstrekkelige sikkerhetstiltak er på plass, og at alle avtaler med leverandører gjenspeiler samme nivå av databeskyttelse.

2. Hva er rollen til en databehandler?

En databehandler håndterer personopplysninger på vegne av databehandleren. De følger nøye de gitte instruksjonene og har ikke lov til å ta selvstendige beslutninger om databehandling. Curera kan fungere som både en databehandler og en databehandler, avhengig av den spesifikke situasjonen.

3. Hva er rollen til databeskyttelsesrådgiveren (DPO)?

DPO fungerer primært som en rådgiver og overvåker den overordnede overholdelsen av GDPR. De er ikke involvert i den daglige behandlingen av personopplysninger, men bistår organisasjonen med å identifisere risiko og sikre at rutiner for databeskyttelse følges.

4. Hvordan sikres databeskyttelse operasjonelt?

Alle ansatte har et ansvar for å håndtere personopplysninger korrekt. Dette oppnås gjennom obligatorisk opplæring, klare prosesser, sjekklister og regelmessig oppfølging på tvers av forskjellige deler av organisasjonen.

5. Hvordan håndteres brudd på personopplysninger?

Selskapet må ha en klar hendelsesprosess som involverer:

• Raskt å identifisere hvem som er ansvarlig for rapportering.

• Informere DPO når det er nødvendig.

• Rapportere til tilsynsmyndigheten innen 72 timer hvis risikoen for enkeltpersoners rettigheter og friheter er høy.

• Følge opp tiltak som er iverksatt og implementere forbedringer for å forhindre fremtidige hendelser.

6. Gjelder GDPR de samme reglene i hele EU?

Ja, GDPR er et felles sett med lover i hele EU. Imidlertid kan det eksistere supplerende nasjonale regler, som den svenske personopplysningsloven.

7. Hvordan gjelder GDPR når databehandling skjer utenfor EU?

GDPR gjelder også for selskaper utenfor EU som håndterer data om EU-borgere. Når data overføres til et tredjeland, kreves det tilstrekkelige avtaler og sikkerhetstiltak, i tillegg til eventuelle lokale lovkrav.

8. Kan en enhet ha flere roller innen databeskyttelse?

Ja. Et selskap kan fungere som både en databehandler og en databehandler i forskjellige deler eller kontekster av driften sin. Roller defineres basert på de spesifikke dataene som håndteres og selskapets interne struktur.

9. Hvor ofte bør databeskyttelse sjekkes og følges opp?

Kontroller bør foregå kontinuerlig, med regelmessige internrapporter, for eksempel fire ganger per år. Regelmessig oppfølging gjør det mulig for organisasjonen å identifisere mangler og forbedre rutinene effektivt.

10. Hvem mottar informasjon om status for databeskyttelse og kontrollresultater?

Informasjon deles internt med ledelsen og styret for oppfølging og beslutninger om nødvendige forbedringer. Denne informasjonen er en del av den interne kulturen for databeskyttelse og er ikke ment å deles med allmennheten.