Teknologien fordeler ikke ansvaret
At virksomheten deler et bevis fra egen lommebok, avgjør ikke alene hvem som er behandlingsansvarlig, hvilket rettsgrunnlag som gjelder, eller hva som skal arkiveres. Fordel ansvaret ut fra formålet og den faktiske behandlingen.
Et virksomhetsbevis kan også inneholde personopplysninger, særlig når en navngitt person representerer organisasjonen.
Avklar for hvert bevis
- formålet med å utstede, oppbevare og kontrollere opplysningene
- minste nødvendige felter og hvor ferske de må være
- autentisk kilde og ansvarlig utsteder
- hvem som kan dele på vegne av virksomheten
- hvem som får se kontrollresultat og hendelseslogg
- retting, tilbakekalling, innsyn og klage
- hva som er arkivpliktig, og hva som skal slettes
Selektiv deling reduserer datamengden, men erstatter ikke vurderingen av formål og behandlingsgrunnlag.
Dokumenter mottakerens kontroll
Mottakeren bør kunne vise hva som ble bedt om, hvorfor det var nødvendig, hvilken utsteder som ble godtatt, hvilke kontroller som ble utført og hvilket resultat saken bygget på. Unngå å lagre hele beviset dersom et datert kontrollresultat er tilstrekkelig.
Når dere bør gjøre en grundigere vurdering
Vurder personvernkonsekvenser og sikkerhetsrisiko særskilt når løsningen kombinerer flere kilder, omfatter sårbare personer, brukes til automatiserte avgjørelser, gir omfattende sporing eller håndterer sensitive opplysninger.
Avklar også en forståelig reserveflyt for virksomheter eller representanter som ikke kan bruke lommeboken.