Opplæring i overholdelse av GDPR: Krav og beste praksis

Hva er opplæring i GDPR-samsvar?

Opplæring i GDPR-samsvar lærer ansatte hvordan de skal håndtere personopplysninger i tråd med personvernforordningen (GDPR), EU-lovgivningen som regulerer hvordan organisasjoner samler inn, lagrer og behandler personopplysninger.

God opplæring gjør mer enn å forklare loven. Den viser medarbeiderne hva reglene betyr for deres spesifikke rolle: hvordan man gjenkjenner personopplysninger, hvordan man skal svare på en kundeforespørsel, hva man skal gjøre når noe går galt, og hvordan man unngår hverdagsfeil som fører til brudd på personvernet.

Kort sagt er det forskjellen mellom et team som har hørt om GDPR og et team som vet hvordan de skal handle i henhold til den.

Er opplæring i GDPR-samsvar obligatorisk?

GDPR inneholder ikke en eneste setning som sier «du må gjennomføre årlig opplæring». Men opplæring er i praksis påkrevd av to grunner.

For det første forventer forordningen det. Ansvarlighetsprinsippet innebærer at du må dokumentere etterlevelse, ikke bare hevde det, og bevissthet blant de ansatte er en del av dette. Der en organisasjon utpeker et personvernombud, pålegger artikkel 39 uttrykkelig pålegger denne å øke bevisstheten og gi opplæring til ansatte som er involvert i behandlingen.

For det andre, og mer praktisk sett: hva skjer når du ikke gir opplæring til de ansatte? Menneskelige feil ligger bak en stor andel av personvernbruddene, og straffene kan være alvorlige. Utover boten kommer kostnadene ved selve bruddet: myndighetsundersøkelser og varig omdømmeskade hos kundene hvis data du ikke klarte å beskytte.

Så selv om «obligatorisk» har et teknisk svar, er det praktiske svaret enklere: hvis du behandler personopplysninger, må du gi opplæring til de som har tilgang til dem.

Hvem trenger opplæring i GDPR-samsvar?

Alle som behandler personopplysninger trenger opplæring, men dybden og fokuset bør tilpasses den enkelte rolle. Et standardmodul som passer for alle er den vanligste årsaken til at opplæringen ikke gir varig effekt.

Opplæring i GDPR-samsvar for ansatte

Alle ansatte som kommer i kontakt med personopplysninger, fra kundedata til kollegers opplysninger, trenger grunnleggende opplæring i GDPR-samsvar. Denne opplæringen dekker kjerneprinsippene, hvordan man gjenkjenner personopplysninger, sikre håndteringsvaner og hvordan man oppdager og rapporterer et problem. Det er viktigst på dette nivået fordi hverdagslige handlinger som en feilsendt e-post, et svakt passord eller en phishing-lenke ligger bak de fleste brudd på personvernet. Det er grunnlaget som resten av programmet bygger på.

GDPR-opplæring for ledere

Ledere har ansvar for hvordan teamene deres håndterer data og bestemmer ofte hvilke data som samles inn og hvorfor. Opplæringen deres bør gå et skritt videre: lovlige grunnlag for behandling, tilsyn med teamets praksis, å sette tonen for hvor alvorlig personvern tas, og å vite når et problem skal eskaleres til personvernansvarlig.

Opplæring i GDPR-samsvar for HR- og L&D-team

HR-team behandler noen av de mest sensitive personopplysningene i enhver organisasjon, fra søknader til helse- og lønnsinformasjon. HR og L&D trenger målrettet opplæring om oppbevaring (inkludert hvor lenge kandidatdata skal oppbevares etter rekruttering), samtykke, opplysninger i spesielle kategorier og reglene rundt overvåking av ansatte. L&D har også et ansvarsområde som få andre har: å gjennomføre opplæring i hele virksomheten og føre oversikt over fullførte kurs som beviser at opplæringen har funnet sted.

Opplæring i GDPR-samsvar for underleverandører og tredjeparter

Forpliktelsene dine stopper ikke ved din egen lønnsliste. Entreprenører, frilansere og leverandører som behandler personopplysninger på dine vegne, er omfattet av de samme standardene, og du er ansvarlig for å sikre at de oppfyller dem. Utvid opplæringen, eller kreve bevis på den, til alle som håndterer data for deg.

Når du vet hvem som trenger opplæring og i hvilken grad, er neste spørsmål hva forordningen krever av denne opplæringen.

Opplæringskrav i henhold til GDPR

GDPR fastsetter ingen fast pensum, men den skaper klare forventninger til hva opplæringen din må oppnå og hvordan du dokumenterer dette. Tre spørsmål dukker opp oftest: hva forordningen krever, hvor ofte folk trenger opplæring, og om sertifisering er involvert.

Hva krever GDPR?

GDPR foreskriver ikke en pensumplan, men flere av forpliktelsene fungerer bare hvis de ansatte er opplært. Du er pålagt å dokumentere etterlevelse, ikke bare hevde det. Du er pålagt å beskytte personopplysninger med egnede sikkerhetstiltak og å sikre at alle som arbeider under din myndighet behandler dataene utelukkende i henhold til dine instrukser, noe som i praksis innebærer å lære dem hvordan. Organisasjoner med et personvernombud har bevisstgjøring og opplæring av ansatte eksplisitt nedfelt i denne rollen. Og multinasjonale selskaper som opererer under bindende selskapsregler, må gi opplæring til alle som har tilgang til personopplysninger.

I praksis betyr dette at opplæringen bør dokumenteres, holdes oppdatert, støttes av oversikter som viser hvem som har fullført hva og når, og ideelt sett tilpasses risikoene knyttet til hver enkelt rolle.

Hvor ofte bør ansatte få opplæring?

GDPR fastsetter ikke et fast intervall. God praksis er å gi opplæring til nye ansatte under innføringen, oppdatere hele organisasjonen minst én gang i året og gjennomføre tilleggsopplæring når prosessene endres, loven oppdateres eller en hendelse avdekker en svakhet.

Er GDPR-sertifisering påkrevd?

Nei. Det finnes ikke noe obligatorisk GDPR-sertifikat som gjør en organisasjon «i samsvar». Artikkel 42 åpner for godkjente sertifiseringsmekanismer og merker, men disse er frivillige. Enkeltpersoner kan oppnå kvalifikasjoner og utstede fullføringsbevis for sin egen opplæring, noe som er nyttig dokumentasjon, men ingen av disse er lovpålagt.

Hva bør opplæringen i GDPR-samsvar omfatte?

Et effektivt program dekker fem kjerneområder.

1. GDPR-prinsippene

Begynn med de syv prinsippene som utgjør kjernen i forordningen. Enkelt sagt:

• Ha en gyldig grunn til å bruke noens data og vær åpen om det (lovlighet, rettferdighet og åpenhet).

• Bruk opplysningene kun til det formålet du samlet dem inn for (formålsbegrensning).

• Innsamle kun det du trenger (dataminimering).

• Sørg for at opplysningene er korrekte og oppdaterte (nøyaktighet).

• Ikke oppbevar dem lenger enn nødvendig (begrensning av oppbevaringstid).

• Sørg for at opplysningene er sikre (integritet og konfidensialitet).

• Og vær i stand til å bevise at du overholder alle de ovennevnte kravene (ansvarlighet).

Ansatte trenger ikke å kunne disse utenat. De må kunne gjenkjenne når en forespørsel eller oppgave strider mot et av disse prinsippene, for eksempel når de blir bedt om å gjenbruke en kundeliste til en kampanje den aldri ble samlet inn for. Alt annet i opplæringen din følger av disse prinsippene.

2. Personopplysninger og den registrertes rettigheter

For det første er personopplysninger et bredere begrep enn de fleste antar. Det handler ikke bare om navn og kontaktopplysninger, men om alt som kan identifisere noen direkte eller indirekte: en IP-adresse, en kunde-ID, et bilde, til og med en stillingstittel i et lite team. En undergruppe, kalt opplysninger i spesielle kategorier, omfatter sensitiv informasjon som helse, etnisitet, religion og biometriske data, og er underlagt strengere regler. Ansatte som ikke kan gjenkjenne personopplysninger, kan ikke beskytte dem.

For det andre har folk rettigheter til sine egne data: å se dem (innsyn), å rette dem (retting), å få dem slettet (sletting), å stanse bruken av dem (begrensning), å flytte dem til et annet sted (portabilitet) og å motsette seg bruken av dem. Ansatte trenger ikke å håndtere disse forespørslene selv, men de må gjenkjenne dem når de kommer inn og videresende dem umiddelbart, fordi tidsfristen starter i det øyeblikket de mottas.

3. Datasikkerhet og vanlige risikoer

Det er her de fleste bruddene starter. De daglige risikoene er de viktigste: å sende personopplysninger til feil mottaker, å bruke «CC» på en e-postliste i stedet for «BCC», å klikke på en phishing-lenke, å kopiere kundedata til et personlig regneark eller et ikke-godkjent verktøy, eller å la en bærbar PC stå ulåst utenfor kontoret.

Gå gjennom vanene som forhindrer dette: sterke passord og multifaktorautentisering; å kun ha tilgang til de dataene din rolle krever; å dele filer gjennom godkjente kanaler; å sikre enheter når du er på farten; og å avhende data, både digitalt og på papir, på riktig måte når de ikke lenger er nødvendige.

Knytt hver risiko til et scenario som de ansatte vil kjenne igjen fra sin egen hverdag.

4. Rapportering av datainnbrudd

Alle bør vite hvordan de kan oppdage et potensielt brudd og rapportere det umiddelbart, fordi tiden er knapp. I henhold til artikkel 33må et innberetningspliktig brudd rapporteres til tilsynsmyndigheten innen 72 timer. Opplæringen bør legge til rette for rask og skyldfri intern rapportering.

5. Bedriftens retningslinjer og prosedyrer

Alt det ovennevnte er lovpålagt. Denne delen handler om hva det betyr for din bedrift, og det er nettopp det et standardkurs ikke kan gi deg.

Ansatte bør fullføre opplæringen med kunnskap om hvilke systemer og verktøy som er godkjent for behandling av personopplysninger (og at innføring av et nytt verktøy ikke bare er en IT-beslutning); hvor lenge organisasjonen oppbevarer ulike typer data og deres rolle i å unngå at det oppstår kopier som overlever selve organisasjonen; hva personvernretningslinjene krever av dem i det daglige, og fremfor alt nøyaktig hvem de skal henvende seg til med spørsmål eller bekymringer. Nevn den personen eller rollen. Hvis folk husker én ting fra opplæringen, bør det være dette.

Det er dette som gjør at generell kunnskap blir til handling i organisasjonen.

Sammen fører disse fem områdene en person fra å forstå reglene til å anvende dem i det faktiske arbeidet. Neste trinn er å gjøre dette innholdet om til et program som folk kan gjennomføre, og som du kan dokumentere at de har fullført.

Slik lager du et opplæringsprogram for GDPR-samsvar

Å vite hva som skal dekkes, er én ting. Å sette opp et program som folk fullfører, og som du kan bevise at de har fullført, er en annen. Her er en praktisk fremgangsmåte.

Kartlegg kunnskapshull og definer hvem som trenger hva

Begynn med å identifisere hvor den reelle risikoen ligger. Hvilke team håndterer de mest sensitive opplysningene? Hvor har det skjedd feil tidligere? Bruk dette til å kartlegge hvem som trenger grunnleggende opplæring og hvem som trenger rolle-spesifikk dybde, i stedet for å tildele alle det samme modulen.

Lag eller skaff opplæringsinnhold

Gjør de fem hovedtemaene som er omtalt ovenfor om til fokuserte, lettfattelige leksjoner. Hold modulene korte, bruk virkelige scenarier fra din egen organisasjon, og bygg inn spørsmål slik at deltakerne må anvende det de har lært, i stedet for bare å klikke på «neste».

Tildel, følg opp og dokumenter fullføring

Tildel riktig opplæring til de riktige gruppene, sett frister og før oversikt over hvem som har fullført hva, når og med hvilket resultat. Denne dokumentasjonen er ikke administrasjon for administrasjonens skyld; den er beviset som viser at dere overholder regelverket hvis dere noen gang blir spurt.

Hold opplæringen oppdatert med oppfriskningskurs

GDPR-opplæring er ikke noe man gjør én gang for alle. Planlegg oppfriskningskurs, oppdater innholdet når regelverket eller interne prosesser endres, og gjennomfør ny opplæring etter eventuelle hendelser. Et levende program er langt lettere å forsvare enn et sertifikat fra for tre år siden.

Da får du et program som fungerer. Men det som skiller et program som bare fungerer fra et som endrer atferd, kommer ned til noen få prinsipper som det er verdt å bygge inn fra starten av.

Beste praksis for opplæring i GDPR-samsvar

Å dekke de riktige temaene gir deg et program som oppfyller kravene på papiret. Det er disse metodene som sørger for at det slår an, slik at folk husker det de lærer og endrer måten de håndterer data på.

Skreddersy opplæringen til ulike roller

Generisk opplæring er opplæring man glemmer. Når folk ser scenarier fra sin egen jobb, øker engasjementet og læringseffekten, og dermed også sjansen for at de vil oppføre seg annerledes.

Bruk interaktive læringsmetoder

Passive lysbildefremvisninger endrer ikke atferd. Quizer, scenarier og korte kunnskapstester tvinger deltakerne til å engasjere seg, og gir deg data om hvor forståelsen er svak.

Tilby regelmessig oppfriskningsopplæring

Folk glemmer. Regler og prosesser endres. Korte, regelmessige oppfriskningskurs holder GDPR i fokus og sørger for at dokumentasjonen din er oppdatert, i stedet for å stole på én enkelt årlig maratonøkt.

Det blir vanskeligere å håndtere alt dette manuelt etter hvert som teamet ditt vokser – å tilpasse innhold, gjennomføre interaksjoner og følge opp oppfriskningskursene. Det er her det riktige verktøyet gjør hele forskjellen.

Hvordan et LMS bidrar til å levere opplæring i GDPR-samsvar på nettet

Å gjøre alt dette manuelt i en hel organisasjon blir raskt uhåndterlig. Et læringsstyringssystem (LMS) gjør opplæring i GDPR-samsvar praktisk og skalerbar på nettet.

Med et LMS kan du lage rollespesifikke kurs én gang og tildele dem til de riktige gruppene, legge til spørrekonkurranser og sertifikater, samt automatisere påminnelser slik at du slipper å jage etter folk.

Det viktigste når det gjelder et tema knyttet til samsvar, er at du får rapportering: en oversiktlig, eksporterbar oversikt over hvem som har fullført hvilken opplæring, når og hvordan de har prestert – akkurat den dokumentasjonen som ansvarlighetsprinsippet forventer.

Lag opplæring i GDPR-samsvar med EasyLMS 

EasyLMS gir deg alt du trenger for å lage, gjennomføre og spore opplæring i GDPR-samsvar på ett sted. Lag kurs og eksamener, gruppér deltakerne, utsted sertifikater ved fullføring og hent ut rapporter for hver enkelt deltaker når du trenger bevis på hvem som har gjennomført opplæringen.

Hvis du tilbyr opplæring til kunder eller på flere steder, kan du holde hver gruppe adskilt med eget innhold og egne rapporter, og tilpasse opplevelsen med ditt eget merke. Det er en enkel måte å gjennomføre et samsvarsprogram på, som er lett for administratorer å administrere og lett for deltakerne å fullføre.

Start din gratis prøveperiode og lag ditt første kurs i GDPR-samsvar i dag.

Nyttige ressurser

1. Personvernforordningen (GDPR)