Register över behandling, DPIA och att avsluta övergången

Modul 9: Människor och regler · Lästid: 12 minuter

Lärandemål: Efter den här lektionen kan du uppdatera registret över behandling och integritetspolicyn efter övergången, avgöra om en DPIA behövs, låta den gamla tjänsten raderas ordentligt och formellt avsluta övergången med en slutlig checklista.

Nyckelbegrepp: register över behandling (art. 30), undantag för färre än 250 anställda, DPIA (art. 35), IMY:s DPIA-lista, integritetspolicy (art. 13 och 14), mottagare, överföring, anmälningsplikt vid personuppgiftsincident (art. 33), radering hos den gamla tjänsten, bekräftelse på radering, utvärdering, slutlig checklista

Övergången är inte klar förrän papperen stämmer

E-posten fungerar, filerna finns på plats, alla arbetar i den nya miljön. Tekniskt sett är du klar. Men enligt dataskyddsförordningen (GDPR) finns det fortfarande arbete kvar: din dokumentation beskriver fortfarande den gamla situationen. Vid en fråga från en kund, en granskning eller en personuppgiftsincident vill du kunna visa hur det ser ut nu. Den här lektionen avslutar övergången.

Det här är en förklaring, inte juridisk rådgivning.

Registret över behandling

Artikel 30.1 i dataskyddsförordningen (GDPR) kräver att den personuppgiftsansvarige för ett register över behandling. Där anges för varje behandling (till exempel "kundbeställningar", "personaladministration", "nyhetsbrev"):

• namn och kontaktuppgifter för den personuppgiftsansvarige (och eventuellt dataskyddsombudet);
• syftena med behandlingen;
• kategorierna av registrerade och personuppgifter;
• mottagarna, inklusive personuppgiftsbiträden;
• överföringar till länder utanför EES, med skyddsåtgärderna;
• lagringstiderna, där det är möjligt;
• en allmän beskrivning av säkerhetsåtgärderna, där det är möjligt.

Gäller det även för en liten organisation?

Artikel 30.5 innehåller ett undantag för organisationer med färre än 250 anställda. Men det undantaget gäller inte om behandlingen sannolikt innebär en risk, om den inte är tillfällig, eller om den omfattar känsliga personuppgifter (till exempel hälsouppgifter) eller uppgifter om brott. Integritetsskyddsmyndigheten (IMY) förklarar att behandlingar i praktiken sällan är tillfälliga: så fort du har anställda eller stamkunder behandlar du uppgifter strukturerat. För Bakkerij De Korrel med löneadministration, kundbeställningar och sjukanmälningar gäller alltså inte undantaget.

Det finns ett europeiskt förslag om att lätta registerplikten för mindre organisationer (det så kallade Omnibus IV-paketet; i juni 2026 nådde rådet och parlamentet en preliminär överenskommelse). Så länge det inte har trätt i kraft gäller nuvarande artikel 30. Och även efteråt är en översikt praktisk: du behöver den för att kunna uppfylla resten av dina skyldigheter.

Vad justerar du efter övergången?

Gå igenom varje rad i ditt register och justera:

En övergång är ett bra tillfälle att äntligen reglera lagringstiderna på riktigt. För bokföring enligt den nederländska skattelagstiftningen gäller normalt en lagringsplikt på sju år; för ansökningsuppgifter rekommenderar den nederländska tillsynsmyndigheten i princip fyra veckor efter att rekryteringsprocessen avslutats. Kontrollera vilka tidsfrister som gäller för din bransch och ditt land, eftersom andra tidsfrister kan gälla där du verkar.

Behöver du göra en DPIA?

En DPIA (data protection impact assessment, i dataskyddsförordningen "konsekvensbedömning avseende dataskydd") är en strukturerad riskanalys som görs i förväg. Artikel 35 kräver en DPIA om en behandling sannolikt innebär en hög risk för de registrerade, särskilt vid ny teknik.

Hur vet du om det är fallet?

1. AP:s lista. Den nederländska tillsynsmyndigheten Autoriteit Persoonsgegevens publicerade 2019 en lista över sjutton typer av behandlingar för vilka en DPIA alltid är obligatorisk. Där nämns bland annat storskalig behandling av hälsouppgifter, kameraövervakning, övervakning av anställda, kommunikationsuppgifter, platsuppgifter, profilering och biometri. Varje EU-tillsynsmyndighet har en egen DPIA-lista (art. 35.4), så kontrollera vad som gäller i ditt land.
2. De europeiska kriterierna. De europeiska tillsynsmyndigheterna har tagit fram nio kriterier (som känsliga uppgifter, stor omfattning, utsatta registrerade, systematisk övervakning, ny teknik). Uppfyller en behandling två eller fler av dem krävs normalt en DPIA.

För ett bageri som flyttar e-post och filer krävs i regel ingen DPIA. För en vårdcentral som flyttar patientkommunikation till en ny tjänst, eller en skola med elevuppgifter, ser det annorlunda ut. Även när det inte är obligatoriskt kan en kort riskanalys vara användbar. Avvägningen från lektion 1.5 är en bra utgångspunkt för det. Har du redan en DPIA för den gamla tjänsten, uppdatera den.

Integritetspolicyn

I din integritetspolicy berättar du för de registrerade (kunder, sökande, webbplatsbesökare) hur du hanterar deras uppgifter (art. 13 och 14). Där anges bland annat mottagarna eller kategorier av mottagare och eventuella överföringar utanför EES. Stod det "vi använder tjänster från företag i USA baserat på Data Privacy Framework", justera det då. Ändra inget som inte stämmer: nämn bara det du verkligen är säker på utifrån personuppgiftsbiträdesavtalet och listan över underbiträden.

Personuppgiftsincidenter: vet vem du ringer

Efter övergången har din leverantör bytts ut, och därmed även vägen vid en personuppgiftsincident. Inkludera i din rutin:

• kontaktadressen hos den nya leverantören för säkerhetsincidenter;
• tidsfristen inom vilken leverantören informerar dig enligt personuppgiftsbiträdesavtalet;
• vem hos dig som avgör om en anmälan ska göras, eftersom anmälan till tillsynsmyndigheten måste ske inom 72 timmar efter upptäckt (art. 33);
• var du för registret över personuppgiftsincidenter: även incidenter du inte behöver anmäla måste dokumenteras internt (art. 33.5).

Avsluta hos den gamla tjänsten

Säg inte upp den gamla tjänsten förrän allt har fungerat bra i några veckor (lektion 3.3). Därefter:

1. Sista kontroll: har allt flyttats över? Finns det delade mappar, formulär eller kopplingar som fortfarande pekar mot den gamla tjänsten?
2. Exportera ett sista arkiv för din egen dokumentation, om du vill spara det (till exempel e-post som omfattas av lagringsplikten). Spara det krypterat.
3. Radera konton och uppgifter hos den gamla tjänsten, eller låt dem radera dem. Artikel 28.3 g kräver att det gamla personuppgiftsbiträdet raderar eller återlämnar uppgifterna efter avslutat uppdrag, efter ditt val. Begär en bekräftelse på radering och spara den tillsammans med ditt register.
4. Städa upp kopplingar: "logga in med"-kopplingar hos andra tjänster, appar med åtkomst, och verifieringsposter i din DNS (lektion 4.3).
5. Justera ditt register, din integritetspolicy och din rutin för personuppgiftsincidenter (se ovan).

Utvärdera

Planera en kort utvärdering en månad efter bytet tillsammans med ambassadörerna (lektion 9.1). Vad gick bra, vad gick inte bra, vad gör ni annorlunda nästa gång? Notera även din exitplan för den nya tjänsten (lektion 8.2) och sätt ett datum i kalendern för att testa den årligen.

I praktiken: så ser det ut hos en leverantör

Många leverantörer har en funktion för att ladda ner dina uppgifter eller låta radera ditt konto. Hos WebOké beskriver WebOké-manualen hur du laddar ner dina uppgifter eller låter radera dem. Hos stora amerikanska tjänster kallas det oftast "exportera data" och "radera konto", och administratören av ett organisationskonto har egna exportfunktioner. Läs i förväg hur länge tjänsten sparar uppgifter i backuper efter radering; det anges ofta i integritetspolicyn eller personuppgiftsbiträdesavtalet.

Slutlig checklista

• [ ] Alla delar från inventeringen (lektion 3.1) finns i den nya miljön och har kontrollerats
• [ ] Personuppgiftsbiträdesavtal med den nya leverantören/leverantörerna är tecknat och sparat (lektion 9.2)
• [ ] Registret över behandling är uppdaterat: mottagare, överföringar, säkerhet, lagringstider
• [ ] DPIA bedömd (behövs eller inte, och varför det är dokumenterat)
• [ ] Integritetspolicyn är justerad
• [ ] Rutin för personuppgiftsincidenter med nya kontaktuppgifter
• [ ] Den gamla tjänsten uppsagd, uppgifter raderade, bekräftelse sparad
• [ ] Kopplingar och gamla DNS-poster är städade
• [ ] Backup av den nya miljön inrättad och testad (lektion 8.1)
• [ ] Exitplan för den nya tjänsten dokumenterad (lektion 8.2)
• [ ] Utvärdering genomförd

Sammanfattning

• Uppdatera registret över behandling efter övergången: mottagare, överföringar, säkerhet och lagringstider.
• Undantaget för färre än 250 anställda gäller i praktiken sällan; ett förslag om att lätta det har ännu inte trätt i kraft (läget i november 2026).
• En DPIA krävs vid hög risk (IMY:s lista, europeiska kriterier); för vanliga kontorsuppgifter oftast inte.
• Justera din integritetspolicy och din rutin för personuppgiftsincidenter.
• Låt den gamla tjänsten radera dina uppgifter och begär en bekräftelse.

Quiz

Uppgift

Uppgift E9.3: Avsluta din övergång. Uppdatera för tre behandlingar i din organisation raderna i registret över behandling (mottagare, överföring, säkerhet, lagringstid), bedöm med hjälp av IMY:s lista och de europeiska kriterierna om en DPIA behövs, och fyll i den slutliga checklistan.

Läs mer

Stegen i dessa artiklar gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• WebOké manual 11.7: Integritet: ladda ner eller ta bort dina uppgifter
• Nextcloud-guide 16.7: Kollega slutar: ta över filer, kalender och delade mappar på ett säkert sätt
• Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
• Förordning (EU) 2016/679 (dataskyddsförordningen, GDPR), artiklarna 13, 14, 28, 30, 33 och 35, på EUR-Lex
• Beslut om lista över behandlingar av personuppgifter för vilka en DPIA är obligatorisk (den nederländska tillsynsmyndigheten Autoriteit Persoonsgegevens, Stcrt. 2019), på wetten.overheid.nl (BWBR0042812); observera att varje EU-lands tillsynsmyndighet har en egen sådan lista
• Autoriteit Persoonsgegevens, ämnena "Register över behandling" och "DPIA" (nederländsk tillsynsmyndighet): https://www.autoriteitpersoonsgegevens.nl
• Är det här en dataläcka och behöver jag anmäla det?