Uddannelse i overholdelse af GDPR: Krav og bedste praksis

Hvad er uddannelse i overholdelse af GDPR?

GDPR-overholdelsesuddannelse lærer medarbejderne, hvordan de skal håndtere personoplysninger i overensstemmelse med den generelle forordning om databeskyttelse (GDPR), den EU-lovgivning, der regulerer, hvordan organisationer indsamler, opbevarer og behandler personoplysninger.

En god uddannelse gør mere end blot at forklare loven. Den viser medarbejderne, hvad reglerne betyder for netop deres rolle: hvordan man genkender personoplysninger, hvordan man reagerer på en kundehenvendelse, hvad man skal gøre, når noget går galt, og hvordan man undgår de daglige fejl, der kan føre til et databrud.

Kort sagt er det forskellen mellem et team, der har hørt om GDPR, og et team, der ved, hvordan man handler i overensstemmelse med den.

Er uddannelse i overholdelse af GDPR obligatorisk?

GDPR indeholder ikke en eneste linje, der siger, at »man skal afholde årlig uddannelse«. Men uddannelse er reelt påkrævet af to grunde.

For det første forventer forordningen det. Ansvarlighedsprincippet betyder, at man skal dokumentere overholdelse, ikke blot hævde det, og medarbejdernes bevidsthed er en del af dette. Når en organisation udpeger en databeskyttelsesansvarlig, pålægger artikel 39 udtrykkeligt pålægger denne at øge bevidstheden og uddanne medarbejdere, der er involveret i databehandlingen.

For det andet, og mere praktisk set: hvad sker der, når man ikke uddanner medarbejderne? Menneskelige fejl ligger bag en stor del af databruddene, og sanktionerne kan være alvorlige. Ud over bøden er der omkostningerne ved selve databruddet: myndighedernes undersøgelse og varig skade på omdømmet hos de kunder, hvis data man ikke har beskyttet.

Så selvom der er et teknisk svar på, om det er »obligatorisk«, er det praktiske svar enklere: hvis man behandler personoplysninger, skal man uddanne de medarbejdere, der har adgang til dem.

Hvem har brug for uddannelse i overholdelse af GDPR?

Alle, der håndterer personoplysninger, har brug for uddannelse, men dybden og fokus bør tilpasses den enkelte rolle. Et standardmodul, der passer til alle, er den mest almindelige årsag til, at uddannelsen ikke giver varig effekt.

GDPR-uddannelse for medarbejdere

Alle medarbejdere, der kommer i kontakt med personoplysninger – lige fra kunderegistreringer til kollegers oplysninger – har brug for en grundlæggende GDPR-uddannelse. Denne dækker de centrale principper, hvordan man genkender personoplysninger, sikre håndteringsvaner samt hvordan man genkender og rapporterer et problem. Det er især vigtigt på dette niveau, fordi hverdagslige handlinger som en forkert adresseret e-mail, en svag adgangskode eller et phishing-link ligger bag størstedelen af databrud. Det er fundamentet, som resten af dit program bygger på.

GDPR-uddannelse for ledere

Ledere er ansvarlige for, hvordan deres teams håndterer data, og beslutter ofte, hvilke data der indsamles, og hvorfor. Deres uddannelse bør gå et skridt videre: lovlige grundlag for databehandling, tilsyn med teamets praksis, at sætte tonen for, hvor alvorligt databeskyttelse tages, og at vide, hvornår et problem skal eskaleres til den databeskyttelsesansvarlige.

GDPR-overholdelsesuddannelse for HR- og L&D-teams

HR-afdelinger behandler nogle af de mest følsomme personoplysninger i enhver organisation, lige fra ansøgninger til helbreds- og lønoplysninger. HR og L&D har brug for målrettet uddannelse i opbevaringsfrister (herunder hvor længe kandidatoplysninger skal opbevares efter rekrutteringen), samtykke, særlige kategorier af personoplysninger samt reglerne for overvågning af medarbejdere. L&D har også et ansvar, som få andre har: at gennemføre uddannelse på tværs af virksomheden og føre dokumentation for, at den er gennemført.

GDPR-overholdelsesuddannelse for underleverandører og tredjeparter

Dine forpligtelser stopper ikke ved din egen lønliste. Underleverandører, freelancere og leverandører, der behandler personoplysninger på dine vegne, er omfattet af de samme standarder, og du er ansvarlig for at sikre, at de overholder dem. Udvid uddannelsen, eller kræv bevis for den, til alle, der håndterer data for dig.

Når du ved, hvem der har brug for uddannelse, og i hvilket omfang, er det næste spørgsmål, hvad forordningen kræver af denne uddannelse.

GDPR-uddannelseskrav

GDPR fastlægger ikke et fast pensum, men skaber klare forventninger til, hvad din uddannelse skal opnå, og hvordan du dokumenterer den. Tre spørgsmål dukker oftest op: hvad forordningen kræver, hvor ofte folk har brug for uddannelse, og om der er tale om certificering.

Hvad kræver GDPR?

GDPR foreskriver ikke et pensum, men flere af forpligtelserne fungerer kun, hvis jeres medarbejdere er uddannet. I skal påvise overholdelse, ikke blot hævde det. I skal beskytte personoplysninger med passende sikkerhedsforanstaltninger og sikre, at alle, der arbejder under jeres myndighed, kun behandler data, som I har instrueret dem i, hvilket i praksis betyder at lære dem, hvordan det skal gøres. I organisationer med en databeskyttelsesansvarlig er medarbejderoplysning og -uddannelse udtrykkeligt indskrevet i denne rolle. Og multinationale virksomheder, der opererer under bindende virksomhedsregler, skal uddanne alle, der har adgang til personoplysninger.

I praksis betyder det, at uddannelsen skal dokumenteres, holdes ajour, understøttes af registreringer, der viser, hvem der har gennemført hvad og hvornår, og ideelt set tilpasses risiciene ved hver enkelt rolle.

Hvor ofte bør medarbejderne uddannes?

GDPR fastsætter ikke et fast interval. Bedste praksis er at uddanne nye medarbejdere under indkøringen, opdatere hele organisationen mindst en gang om året og afholde yderligere uddannelse, når jeres processer ændres, loven opdateres, eller en hændelse afslører en mangel.

Er GDPR-certificering påkrævet?

Nej. Der findes ikke et obligatorisk GDPR-certifikat, der gør en organisation »overensstemmende«. Artikel 42 tillader godkendte certificeringsmekanismer og mærker, men disse er frivillige. Enkelte fagfolk kan opnå kvalifikationer og udstede afslutningsbeviser for deres egen uddannelse, hvilket er nyttigt bevis, men intet af dette er lovpligtigt.

Hvad bør GDPR-overholdelsesuddannelsen omfatte?

Et effektivt program dækker fem kerneområder.

1. GDPR-principper

Start med de syv principper, der udgør kernen i forordningen. Kort sagt:

• Hav en gyldig grund til at bruge en persons data, og vær åben om det (lovlighed, retfærdighed og gennemsigtighed).

• Brug dem kun til det formål, du indsamlede dem til (formålsbegrænsning).

• Indsaml kun det, du har brug for (dataminimering).

• Sørg for, at oplysningerne er korrekte og ajourførte (nøjagtighed).

• Opbevar dem ikke længere end nødvendigt (begrænsning af opbevaringstiden).

• Sørg for, at oplysningerne er sikre (integritet og fortrolighed).

• Og vær i stand til at bevise, at du overholder alle ovenstående principper (ansvarlighed).

Medarbejderne behøver ikke at kunne disse punkter udenad. De skal blot kunne genkende, når en anmodning eller opgave strider mod et af dem, f.eks. hvis de bliver bedt om at genbruge en kundeliste til en kampagne, som den aldrig blev indsamlet til. Alt andet i din uddannelse følger af disse principper.

2. Personoplysninger og den registreredes rettigheder

For det første er personoplysninger et bredere begreb, end de fleste antager. Det er ikke kun navne og kontaktoplysninger, men alt, der direkte eller indirekte kan identificere en person: en IP-adresse, et kunde-ID, et foto, ja, endda en stillingsbetegnelse i et lille team. En underkategori, kaldet data i særlige kategorier, omfatter følsomme oplysninger såsom helbred, etnicitet, religion og biometriske data og er underlagt strengere regler. Medarbejdere, der ikke kan genkende personoplysninger, kan ikke beskytte dem.

For det andet har personer rettigheder over deres data: retten til at se dem (adgang), rette dem (berigtigelse), få dem slettet (sletning), sætte brugen af dem på pause (begrænsning), flytte dem til et andet sted (portabilitet) og gøre indsigelse mod brugen af dem. Medarbejderne behøver ikke selv at behandle disse anmodninger, men de skal kunne genkende en, når den indkommer, og straks videresende den, for tidsfristen begynder at løbe i det øjeblik, den modtages.

3. Datasikkerhed og almindelige risici

Det er her, de fleste brud på datasikkerheden starter. De daglige risici betyder mest: at sende personoplysninger til den forkerte modtager, at sætte en mailingliste i CC i stedet for BCC, at klikke på et phishing-link, at kopiere kundedata til et personligt regneark eller et ikke-godkendt værktøj, eller at efterlade en bærbar computer ulåst uden for kontoret.

Gennemgå de vaner, der forhindrer disse risici: stærke adgangskoder og multifaktor-autentificering; kun at få adgang til de data, som din rolle kræver; at dele filer via godkendte kanaler; at sikre enheder, når du er på farten; og at bortskaffe data – både digitale og på papir – korrekt, når de ikke længere er nødvendige.

Knyt hver risiko til et scenarie, som dine medarbejdere kan genkende fra deres egen hverdag.

4. Indberetning af databrud

Alle bør vide, hvordan man opdager et potentielt brud og straks indberetter det, for tiden er knap. I henhold til artikel 33skal et anmeldelsespligtigt brud indberettes til tilsynsmyndigheden inden for 72 timer. Jeres uddannelse bør sikre, at den interne indberetning foregår hurtigt og uden skyldspørgsmål.

5. Virksomhedens politikker og procedurer

Alt det ovenstående er lovkrav. Denne del handler om, hvad det betyder i netop jeres virksomhed, og det er netop det, som et standardkursus ikke kan give jer.

Medarbejderne skal efter endt uddannelse vide, hvilke systemer og værktøjer der er godkendt til behandling af personoplysninger (og at tilføjelsen af et nyt ikke blot er en IT-beslutning); hvor længe jeres organisation opbevarer forskellige typer data, og hvilken rolle de spiller i at undgå, at der opstår spredte kopier, der overlever organisationen; hvad jeres databeskyttelsespolitik kræver af dem i det daglige, og frem for alt præcis, hvem de skal henvende sig til med et spørgsmål eller en bekymring. Navngiv den person eller rolle. Hvis folk husker én ting fra jeres uddannelse, bør det være dette.

Det er det, der omsætter generel viden til handling i din organisation.

Tilsammen fører disse fem områder en person fra at forstå reglerne til at anvende dem i det daglige arbejde. Det næste skridt er at omdanne dette indhold til et program, som medarbejderne kan gennemføre, og hvor du kan dokumentere, at de har gennemført det.

Sådan opretter du et uddannelsesprogram om overholdelse af GDPR

At vide, hvad der skal dækkes, er én ting. At oprette et program, som medarbejderne gennemfører, og som du kan dokumentere, at de har gennemført, er noget andet. Her er en praktisk fremgangsmåde.

Kortlæg videnhuller og definer, hvem der har brug for hvad

Start med at identificere, hvor den reelle risiko ligger. Hvilke teams håndterer de mest følsomme data? Hvor er der sket fejl før? Brug det til at kortlægge, hvem der har brug for grundlæggende uddannelse, og hvem der har brug for rolle-specifik dybdegående viden, i stedet for at tildele alle det samme modul.

Udarbejd eller indhent dit uddannelsesindhold

Omdan de fem centrale emner, der er beskrevet ovenfor, til fokuserede, letforståelige lektioner. Hold modulerne korte, brug virkelige scenarier fra din egen organisation, og indbyg spørgsmål, så deltagerne er nødt til at anvende det, de har lært, i stedet for blot at klikke på »næste«.

Tildel, spor og dokumenter gennemførelse

Tildel den rigtige uddannelse til de rigtige grupper, fastsæt frister, og før protokol over, hvem der har gennemført hvad, hvornår og med hvilket resultat. Denne dokumentation er ikke administration for administrationens skyld; den er det bevis, der viser, at I overholder reglerne, hvis I nogensinde bliver spurgt.

Hold det opdateret med genopfriskningskurser

GDPR-uddannelse er ikke en engangsforeteelse. Planlæg opfriskningskurser, opdater indholdet, når lovgivningen eller interne processer ændres, og gennemfør genuddannelse efter enhver hændelse. Et levende program er langt mere forsvarligt end et certifikat fra for tre år siden.

Så har du et program, der fungerer. Men forskellen mellem et program, der blot fungerer, og et, der ændrer adfærd, kommer i sidste ende ned på nogle få principper, som det er værd at indarbejde fra starten.

Bedste praksis for GDPR-overholdelsesuddannelse

Ved at dække de rigtige emner får du et program, der overholder reglerne på papiret. Det er disse fremgangsmåder, der får det til at slå an, så medarbejderne husker det, de lærer, og ændrer den måde, de håndterer data på.

Tilpas uddannelsen til forskellige roller

Generisk uddannelse er uddannelse, man glemmer. Når folk ser scenarier fra deres eget arbejde, stiger engagementet og fastholdelsen, og det samme gør chancen for, at de vil opføre sig anderledes.

Brug interaktive læringsmetoder

Passive slideshows ændrer ikke adfærd. Quizzer, scenarier og korte videnstests tvinger deltagerne til at engagere sig og giver dig data om, hvor forståelsen er svag.

Tilbyd regelmæssig opfriskningsuddannelse

Folk glemmer. Regler og processer ændrer sig. Korte, regelmæssige opfriskningskurser holder GDPR i fokus og sikrer, at jeres dokumentation er opdateret, i stedet for at I er afhængige af en enkelt årlig marathonsession.

Det bliver sværere at håndtere alt dette manuelt, efterhånden som dit team vokser – at tilpasse indhold, gennemføre interaktioner og holde styr på opfriskningskurserne. Det er her, det rigtige værktøj gør en forskel.

Sådan hjælper et LMS med at levere online GDPR-overholdelsesuddannelse

At gøre alt dette manuelt på tværs af en hel organisation bliver hurtigt uoverskueligt. Et læringsstyringssystem (LMS) gør GDPR-overholdelsestræning praktisk og skalerbar online.

Med et LMS kan du oprette rollespecifikke kurser én gang og tildele dem til de rette grupper, tilføje quizzer og certifikater samt automatisere påmindelser, så du ikke skal jagte folk.

Og hvad der er allervigtigst for et compliance-emne, er, at du får rapportering: en overskuelig, eksporterbar oversigt over, hvem der har gennemført hvilken uddannelse, hvornår og med hvilket resultat – hvilket er præcis den dokumentation, som ansvarlighedsprincippet forudsætter.

Opret GDPR-compliance-uddannelse med EasyLMS 

EasyLMS giver dig alt, hvad du har brug for til at oprette, levere og spore GDPR-compliance-uddannelse på ét sted. Opret kurser og eksamener, inddel dine deltagere i grupper, udsted certifikater efter afslutning og hent rapporter for hver enkelt deltager, når du har brug for bevis på, hvem der er blevet uddannet.

Hvis du afholder kurser for kunder eller på tværs af flere lokationer, kan du holde hver gruppe adskilt med sit eget indhold og sine egne rapporter og tilpasse oplevelsen med dit eget brand. Det er en enkel måde at køre et compliance-program på, som er let for administratorer at administrere og let for deltagerne at gennemføre.

Start din gratis prøveperiode, og opret dit første kursus i overholdelse af GDPR i dag.

Nyttige ressourcer

1. Den generelle forordning om databeskyttelse (GDPR)