GDPR-utbildning: krav och bästa praxis

Vad är GDPR-utbildning?

GDPR-utbildning lär medarbetare hur de ska hantera personuppgifter i enlighet med den allmänna dataskyddsförordningen (GDPR), EU:s lagstiftning som reglerar hur organisationer samlar in, lagrar och behandlar personuppgifter.

En bra utbildning gör mer än att förklara lagen. Den visar vad reglerna innebär i praktiken för den egna rollen: hur man identifierar personuppgifter, hur man hanterar en begäran från en kund, vad man ska göra om något går fel och hur man undviker vanliga misstag som kan leda till en personuppgiftsincident.

Kort sagt är det skillnaden mellan ett team som har hört talas om GDPR och ett team som vet hur de ska agera utifrån förordningen.

Är GDPR-utbildning obligatorisk?

GDPR innehåller ingen enskild bestämmelse som säger att ”du måste genomföra en årlig utbildning”. Men i praktiken är utbildning ett krav av två skäl.

För det första förväntas det enligt förordningen. Ansvarsskyldigheten innebär att du måste kunna visa att du följer reglerna, inte bara hävda att du gör det, och medvetenhet bland medarbetarna är en del av detta. Om en organisation har utsett ett dataskyddsombud ger artikel 39 dataskyddsombudet ett uttryckligt ansvar för att öka medvetenheten och utbilda medarbetare som deltar i behandlingen av personuppgifter.

För det andra, och mer praktiskt, handlar det om vad som händer när medarbetarna inte får någon utbildning. Den mänskliga faktorn ligger bakom en stor andel av personuppgiftsincidenterna som sker, och konsekvenserna kan bli allvarliga. Utöver sanktionsavgiften tillkommer kostnaderna för själva incidenten: tillsyn och utredning från myndigheter samt långvarig skada på förtroendet hos de kunder vars uppgifter du har misslyckats med att skydda.

Så även om svaret på frågan om huruvida utbildningen är ”obligatorisk” beror på hur man tolkar kraven, är det praktiska svaret enklare: om du behandlar personuppgifter behöver du utbilda de personer som hanterar dem.

Vem behöver GDPR-utbildning?

Alla som hanterar personuppgifter behöver utbildning, men utbildningens omfattning och fokus bör anpassas efter rollen. En utbildning som ser likadan ut för alla är den vanligaste orsaken till att kunskaperna inte fastnar.

GDPR-utbildning för medarbetare

Alla medarbetare som kommer i kontakt med personuppgifter, från kunduppgifter till uppgifter om kollegor, behöver en grundläggande GDPR-utbildning. Den bör omfatta de grundläggande principerna, hur man identifierar personuppgifter, säkra rutiner för hantering samt hur man upptäcker och rapporterar problem. Det är särskilt viktigt på den här nivån, eftersom vardagliga misstag som att skicka ett mejl till fel mottagare, använda ett svagt lösenord eller klicka på en nätfiskelänk ligger bakom en stor andel av personuppgiftsincidenterna. Det är grunden som resten av utbildningsprogrammet bygger vidare på.

GDPR-utbildning för chefer

Chefer ansvarar för hur deras team hanterar personuppgifter och fattar ofta beslut om vilka uppgifter som samlas in och varför. Deras utbildning bör därför gå ett steg längre och omfatta rättslig grund för behandling, hur de följer upp teamets rutiner, hur de skapar en kultur där dataskydd tas på allvar och när en fråga bör eskaleras till dataskyddsombudet.

GDPR-utbildning för HR- och L&D-team

HR-team hanterar en del av organisationens mest känsliga personuppgifter, från jobbansökningar till uppgifter om hälsa och löner. HR- och L&D-team behöver därför fokuserad utbildning om lagring och gallring, inklusive hur länge kandidatdata får sparas efter en rekrytering, samtycke, känsliga personuppgifter och reglerna för övervakning av medarbetare. L&D ansvarar dessutom för en del som få andra gör: att genomföra utbildning i hela organisationen och föra register över genomförda utbildningar, som visar att utbildningarna har genomförts.

GDPR-utbildning för konsulter och tredje parter

Dina skyldigheter gäller inte bara de egna medarbetarna. Konsulter, frilansare och leverantörer som behandlar personuppgifter för din räkning omfattas av samma krav, och du ansvarar för att se till att de uppfyller dem. Erbjud utbildning till, eller kräv dokumentation på genomförd utbildning från, alla som hanterar personuppgifter för din räkning.

När du vet vem som behöver utbildning och hur omfattande den behöver vara är nästa fråga vad förordningen kräver av själva utbildningen.

Krav på GDPR-utbildning

GDPR fastställer ingen specifik kursplan, men ställer tydliga krav på vad utbildningen ska uppnå och hur du ska kunna visa att kraven uppfylls. Tre frågor återkommer särskilt ofta: vad förordningen kräver, hur ofta medarbetare behöver utbildning och om utbildningen behöver leda till någon form av certifiering.

Vad kräver GDPR?

GDPR föreskriver ingen specifik kursplan, men flera av förordningens krav kan bara uppfyllas om medarbetarna får rätt utbildning. Du måste kunna visa att du följer reglerna, inte bara hävda att du gör det. Du måste skydda personuppgifter med lämpliga säkerhetsåtgärder och se till att alla som arbetar under ditt ansvar endast behandlar personuppgifter enligt dina instruktioner. I praktiken innebär det att du måste lära dem hur. För organisationer med ett dataskyddsombud ingår medvetenhet och utbildning av medarbetare uttryckligen i dataskyddsombudets uppgifter. Multinationella organisationer som arbetar enligt bindande företagsbestämmelser måste dessutom utbilda alla som har tillgång till personuppgifter.

I praktiken innebär det att utbildningen bör dokumenteras, hållas uppdaterad och kompletteras med register som visar vem som har genomfört vilken utbildning och när. Utbildningen bör också, om möjligt, anpassas efter riskerna i respektive roll.

Hur ofta bör medarbetare utbildas?

GDPR fastställer inget bestämt intervall. Bästa praxis är att utbilda nyanställda som en del av onboarding, uppdatera utbildningen för hela organisationen minst en gång per år och genomföra ytterligare utbildningar när era rutiner förändras, lagstiftningen uppdateras eller en incident visar på en kompetenslucka.

Krävs en GDPR-certifiering?

Nej. Det finns inget obligatoriskt GDPR-certifikat som gör en organisation ”GDPR-kompatibel”. Artikel 42 ger möjlighet till godkända certifieringsmekanismer och dataskyddsmärkningar, men dessa är frivilliga. Enskilda yrkesverksamma kan skaffa sig kvalifikationer och utfärda intyg på genomförd utbildning, vilket kan vara användbar dokumentation, men inget av detta är ett lagkrav.

Vad bör GDPR-utbildningen omfatta?

Ett effektivt utbildningsprogram omfattar fem centrala områden.

1. GDPR:s principer

Börja med de sju principerna som utgör grunden för förordningen. Enkelt uttryckt:

• Ha en giltig grund för att använda någons personuppgifter och var öppen med hur de används (laglighet, korrekthet och öppenhet).

• Använd uppgifterna endast för det ändamål som de samlades in för (ändamålsbegränsning).

• Samla bara in de uppgifter du behöver (uppgiftsminimering).

• Se till att uppgifterna är korrekta och aktuella (korrekthet).

• Spara inte uppgifterna längre än nödvändigt (lagringsminimering).

• Håll uppgifterna säkra (integritet och konfidentialitet).

• Kunna visa att du följer alla ovanstående principer (ansvarsskyldighet).

Medarbetarna behöver inte kunna rabbla principerna utantill. De behöver kunna känna igen när en förfrågan eller uppgift strider mot någon av dem, till exempel om de ombeds använda en kundlista i en kampanj som uppgifterna aldrig samlades in för. Allt annat i utbildningen bygger vidare på dessa principer.

2. Personuppgifter och registrerades rättigheter

För det första är personuppgifter mer omfattande än vad de flesta tror. Det handlar inte bara om namn och kontaktuppgifter, utan om allt som kan identifiera en person direkt eller indirekt: en IP-adress, ett kund-ID, ett foto eller till och med en befattning i ett litet team. En särskild kategori, kallad känsliga personuppgifter, omfattar känsliga uppgifter som hälsa, etnicitet, religion och biometriska uppgifter och omfattas av striktare regler. Medarbetare som inte kan identifiera personuppgifter kan inte heller skydda dem.

För det andra har människor rättigheter när det gäller deras personuppgifter: att få tillgång till dem (tillgång), att få dem rättade (rättelse), att få dem raderade (radering), att begränsa hur de används (begränsning av behandling), att få dem överförda till någon annan (dataportabilitet) och att invända mot hur de används (invändning). Medarbetarna behöver inte själva hantera dessa förfrågningar, men de måste kunna känna igen dem när de kommer in och omedelbart vidarebefordra dem till rätt person, eftersom tidsfristen börjar löpa så snart förfrågan kommer in.

3. Datasäkerhet och vanliga risker

Det är här de flesta personuppgiftsincidenter börjar. De vardagliga riskerna är viktigast: att skicka personuppgifter till fel mottagare, använda CC i stället för BCC vid massutskick, klicka på en nätfiskelänk, kopiera kunduppgifter till ett personligt kalkylark eller ett ej godkänt verktyg eller lämna en bärbar dator olåst utanför kontoret.

Ta upp de rutiner som förebygger sådana misstag: starka lösenord och flerfaktorsautentisering, att bara komma åt de uppgifter som behövs för den egna rollen, att dela filer via godkända kanaler, att skydda enheter när man är på resande fot och att hantera och radera personuppgifter på rätt sätt, både digitalt och på papper, när de inte längre behövs.

Koppla varje risk till en situation som medarbetarna känner igen från sin egen vardag.

4. Rapportering av personuppgiftsincidenter

Alla bör veta hur de identifierar en potentiell personuppgiftsincident och rapportera den omedelbart, eftersom tidsfristen är kort. Enligt artikel 33 ska en anmälningspliktig personuppgiftsincident rapporteras till tillsynsmyndigheten inom 72 timmar. Utbildningen bör göra det enkelt att rapportera incidenter internt snabbt och utan rädsla för att skuldbeläggas.

5. Organisationens policyer och rutiner

Allt ovan handlar om vad lagen kräver. Den här delen handlar om vad det innebär i just din organisation – och det är något som en färdig standardutbildning inte kan ge dig.

När medarbetarna har slutfört utbildningen bör de veta vilka system och verktyg som är godkända för hantering av personuppgifter (och att valet av ett nytt verktyg inte bara är ett IT-beslut), hur länge organisationen sparar olika typer av uppgifter och vilken roll de själva har i att inte skapa kopior som blir kvar längre än nödvändigt, vad dataskyddspolicyn kräver av dem i vardagen och framför allt exakt vem de ska vända sig till med frågor eller funderingar. Ange den personen eller rollen. Om medarbetarna bara minns en sak från utbildningen bör det vara detta.

Det är detta som omvandlar allmän kunskap till handling i organisationen.

Tillsammans tar dessa fem områden medarbetarna från att förstå reglerna till att kunna tillämpa dem i sitt faktiska arbete. Nästa steg är att omvandla innehållet till ett utbildningsprogram som medarbetarna kan genomföra och som du kan visa att de har genomfört.

Så skapar du ett utbildningsprogram för GDPR

Att veta vad utbildningen ska omfatta är en sak. Att bygga upp ett program som medarbetarna faktiskt genomför och som du dessutom kan visa att de har genomfört är en annan. Här är en praktisk steg-för-steg-process.

Kartlägg kompetensluckor och fastställ vem som behöver vad

Börja med att identifiera var de verkliga riskerna finns. Vilka team hanterar de mest känsliga personuppgifterna? Var har det tidigare begåtts misstag? Använd detta för att kartlägga vilka som behöver en grundläggande utbildning och vilka som behöver en mer rollanpassad och fördjupad utbildning, i stället för att ge alla samma utbildningsmodul.

Skapa eller hitta utbildningsinnehåll

Dela upp de fem centrala områdena ovan i fokuserade och lättillgängliga lektioner. Håll modulerna korta, använd verkliga situationer från den egna organisationen och lägg in frågor som tvingar medarbetarna att tillämpa det de har lärt sig, i stället för att bara klicka på ”Nästa”.

Tilldela, följ upp och dokumentera genomförandet

Tilldela rätt utbildning till rätt grupper, sätt tidsfrister och spara dokumentation över vem som har genomfört vilken utbildning, när den genomfördes och vilket resultat personen fick. Dokumentationen är inte administration för sakens skull – den är beviset på att ni följer kraven om ni någon gång behöver visa det.

Håll utbildningen aktuell med repetitionsutbildningar

GDPR-utbildning är inte något man gör en gång och sedan är klar. Planera in repetitionsutbildningar, uppdatera innehållet när regler eller interna rutiner förändras och genomför en ny utbildning efter en personuppgiftsincident. Ett utbildningsprogram som kontinuerligt hålls uppdaterat är betydligt lättare att försvara än ett certifikat från tre år sedan.

Nu har du ett program som fungerar i praktiken. Men det som skiljer ett program som bara genomförs från ett program som faktiskt förändrar beteenden handlar om några principer som är värda att bygga in från början.

Bästa praxis för GDPR-utbildning

Att ta upp rätt ämnen ger dig ett utbildningsprogram som uppfyller kraven på papperet. Det är de här metoderna som gör att utbildningen faktiskt fungerar i praktiken, så att medarbetarna kommer ihåg det de lär sig och ändrar sitt sätt att hantera personuppgifter.

Anpassa utbildningen efter olika roller

Generisk utbildning är utbildning som lätt glöms bort. När medarbetarna får se situationer från sin egen arbetsvardag ökar både engagemanget och kunskapsbevarandet, liksom sannolikheten att de faktiskt ändrar sitt beteende.

Använd interaktiva utbildningsmetoder

Passiva bildspel förändrar inte beteenden. Frågesporter, scenarier och korta kunskapskontroller tvingar medarbetarna att vara aktiva och ger dig samtidigt information om var kunskaperna brister.

Genomför regelbundna repetitionsutbildningar

Människor glömmer. Regler och rutiner förändras. Korta, regelbundna repetitionsutbildningar håller GDPR aktuellt och dokumentationen uppdaterad, i stället för att ni förlitar er på ett enda långt utbildningstillfälle en gång om året.

Alla dessa delar blir svårare att hantera manuellt när teamet växer – att anpassa innehåll, genomföra interaktiva moment och följa upp repetitionsutbildningar. Det är här rätt verktyg gör skillnad.

Så hjälper ett LMS dig att genomföra GDPR-utbildning online

Att hantera allt detta manuellt i en hel organisation blir snabbt ohållbart. En lärplattform (LMS) gör det enkelt att genomföra GDPR-utbildning online på ett praktiskt och skalbart sätt.

Med ett LMS kan du skapa rollanpassade kurser en gång och sedan tilldela dem till rätt grupper, lägga till frågor och certifikat samt automatisera påminnelser, så att du slipper jaga medarbetare.

Det viktigaste när det gäller utbildning inom regelefterlevnad är att du får tillgång till rapportering: en tydlig och exporterbar dokumentation över vem som har genomfört vilken utbildning, när den genomfördes och vilket resultat personen fick. Det är precis den typ av dokumentation som ansvarsskyldigheten kräver.

Skapa GDPR-utbildning med Easy LMS

Easy LMS ger dig allt du behöver för att skapa, genomföra och följa upp GDPR-utbildning på ett och samma ställe. Skapa kurser och prov, organisera dina deltagare i grupper, utfärda certifkat när utbildningen är slutförd och ta fram rapporter per deltagare när du behöver dokumentation som visar vilka som har genomgått utbildningen.

Om du erbjuder utbildning till kunder eller på flera olika platser kan du hålla grupperna separerade med eget innehåll och egen rapportering och använda White-labeling för att anpassa upplevelsen till ditt eget varumärke. Det är ett enkelt sätt att hantera ett utbildningsprogram inom regelefterlevnad som är lätt för administratörer att hantera och enkelt för deltagarna att genomföra.

Starta din kostnadsfria testperiod och skapa din första GDPR-kurs redan i dag.

Användbara resurser

1. Allmänna dataskyddsförordningen (GDPR)