Personvernforordningen · Datatilsynet
GDPR og personvern
Hvis bedriften har kunder, ansatte eller leverandører, behandler du personopplysninger — og er underlagt personvernforordningen (GDPR). Reglene høres formelle ut, men kjernen er enkel: du må vite hvilke data du har, hvorfor, og passe på dem.
Publisert 11. mai 2026 · Oppdatert 11. mai 2026
Hva er en personopplysning?
GDPR definerer personopplysninger bredt: enhver opplysning som direkte eller indirekte kan knyttes til en levende person. Det inkluderer:
- Navn, adresse, telefonnummer, e-post
- Fødselsnummer, kontonummer, IP-adresse, brukernavn
- Foto og video
- Stillingsbetegnelse, lønn, arbeidstid
- Helseopplysninger, etnisitet, politisk syn (særlige kategorier)
- Lokasjonshistorikk, søkehistorikk, cookies
Selv om du bare har én kunde med et navn i regnskapssystemet — du behandler personopplysninger.
De seks behandlingsgrunnlagene
Du må ha et lovlig grunnlag (GDPR art. 6) for å behandle personopplysninger. Det er seks valg:
| Grunnlag | Eksempel |
|---|---|
| Samtykke | Nyhetsbrev — krever aktiv, dokumenterbart "ja" |
| Kontrakt | Levere produkt eller tjeneste kunden har bestilt |
| Rettslig forpliktelse | Bokføring av kvitteringer, rapportering til Skatteetaten |
| Vitale interesser | Akutt helse — beskytte liv |
| Offentlig oppgave | Sjeldent for private bedrifter; kommune/stat |
| Berettiget interesse | Markedsføring til eksisterende kunder, IT-sikkerhet — krever vurdering opp mot personens interesser |
"Samtykke" i GDPR betyr: frivillig, spesifikt, informert og utvetydig. Pre-avkryssede bokser er ikke godkjent. Du kan ikke betinge en tjeneste av samtykke som ikke er nødvendig for tjenesten.
Samtykke skal også kunne trekkes tilbake like enkelt som det ble gitt — én klikk, ikke kontakt customer support.
De viktigste pliktene
- Personvernerklæring — informer brukerne hva du samler inn, hvorfor, hvor lenge, og hvem du deler det med.
- Behandlingsprotokoll — internt dokument over alle behandlinger (formål, type data, lagring, mottakere). Kreves for alle med 250+ ansatte, eller hvis behandling er regelmessig/risikofylt.
- Databehandleravtale (DPA) — skriftlig avtale med alle leverandører som behandler data på dine vegne (skytjenester, CRM, regnskapssystem, e-postsystem).
- Rettigheter til de registrerte — innsyn, retting, sletting, dataportabilitet, protest. Du må svare innen 30 dager.
- Meldeplikt ved brudd — innen 72 timer til Datatilsynet hvis brudd kan medføre risiko for personene. Brukerne skal informeres hvis høy risiko.
- Personvernombud (DPO) — kreves for offentlige organer og noen private (stor skala behandling av sensitive data, systematisk overvåking).
- DPIA — konsekvensvurdering — kreves ved høyrisikobehandling (helsedata, biometri, profilering).
Konkrete steg for en vanlig SMB
De fleste små og mellomstore bedrifter trenger ikke en hel personvernavdeling. Følgende er minimumsbasen:
- Kartlegg hva du har. Kunder, leverandører, ansatte, nyhetsbrevabonnenter. Hvor lagres de? Hvor lenge?
- Skriv en personvernerklæring for nettsiden. Datatilsynet har gode maler. Den må være klar, lett tilgjengelig og oppdatert.
- Inngå DPA med leverandørene. Google Workspace, Microsoft 365, Tripletex, MailChimp, Stripe — alle har standard DPA du kan signere.
- Sett opp slettefrister. Kvitteringer 5 år (bokføring), CV-er fra ikke-ansatte 6 mnd, kundedata "så lenge nødvendig for formålet".
- Gjør cookie-banner riktig. Nødvendige cookies kan brukes uten samtykke; analyse og markedsføring krever opt-in.
- Skriv rutiner for innsynsbegjæringer. Hva gjør du hvis en kunde ber om å se alt du har om dem? Hvem håndterer det? Hvor lang tid?
- Lag en bruddrapportering-rutine. Hvis det skjer noe — hvem ringer hvem, hvor lang tid før du melder Datatilsynet?
Bøter ved brudd
Datatilsynet kan ilegge bøter etter to skalaer (GDPR art. 83):
| Type brudd | Maksbot |
|---|---|
| Mindre alvorlige (manglende DPA, manglende vurdering) | Opp til 10 mill. EUR eller 2 % av global omsetning |
| Mer alvorlige (ulovlig behandling, brudd på rettigheter) | Opp til 20 mill. EUR eller 4 % av global omsetning |
Hva som faktisk ilegges norske bedrifter er normalt mye lavere — typisk 100 000 til 10 millioner kr. Men selv et tilsynsbrev krever ressurser å besvare.
Selv om Norge ikke er medlem av EU, gjelder personvernforordningen gjennom EØS-avtalen. Norsk personopplysningslov (2018) implementerer GDPR pluss noen nasjonale unntak (særlig for ansattvurdering og kameraovervåking).
Datatilsynet er den norske tilsynsmyndigheten — på nivå med tyske Bundesbeauftragte eller franske CNIL.
Hvis du selger til EU
Som norsk bedrift som selger til EU-borgere gjelder også deres lokale personvernlover. Hovedregelen er at GDPR er felles, men noen nasjonale særregler kan komme i tillegg. Vurder EU-representant hvis du ikke har kontor i EU og driver vesentlig behandling av EU-borgeres data.
For overføring av data utenfor EØS (særlig USA): bruk SCC (Standard Contractual Clauses) eller andre godkjente mekanismer. Etter Schrems II-dommen er reglene for amerikanske leverandører strenge — sjekk hver enkelt leverandørs status og om EU-US Data Privacy Framework dekker dem.
Kilder: Datatilsynet, Personopplysningsloven (2018), EU GDPR (Regulation 2016/679), Datatilsynet — Virksomheters plikter. Forenklet fremstilling — for kompleks behandling konsulter personvernombud eller advokat.