E-posten er full av personopplysninger
Navn, e-postadresser og telefonnumre er personopplysninger. Det samme er det som ofte ligger i vedleggene: lønnsslipper, CV-er, kontrakter, fødselsnumre og noen ganger helseopplysninger. Bedriften er behandlingsansvarlig for alt dette, og har ansvaret uansett hvilken leverandør som drifter e-posten.
Databehandleravtale med e-postleverandøren
Når en leverandør lagrer e-posten for dere, behandler de personopplysninger på vegne av bedriften. Da krever GDPR (artikkel 28) en databehandleravtale: hva leverandøren får gjøre med opplysningene, hvordan de sikres, og hvilke underleverandører som er med. Hos de fleste leverandører er avtalen en del av vilkårene. Sjekk at dere vet hvor den er, og hvilke land underleverandørene holder til i.
Hvor ligger e-posten, og hvem kan kreve den utlevert?
Opplysninger som sendes ut av EØS, trenger et eget grunnlag. For store amerikanske leverandører brukes i dag EUs rammeverk for overføring til USA (EU–US Data Privacy Framework), og det gjør bruken lovlig. Men amerikanske selskaper er underlagt amerikansk lov, blant annet CLOUD Act, som kan pålegge dem å utlevere data uansett hvilket land dataene er lagret i. Forrige rammeverk, Privacy Shield, ble underkjent av EU-domstolen i 2020.
Derfor velger mange bedrifter som håndterer sensitive opplysninger, en leverandør som både lagrer dataene i Norge og selv er underlagt norsk lov. Da slipper dere å vurdere overføringer ut av EØS, og risikoen for at grunnlaget endres igjen.
Sikkerhet: det loven krever i praksis
GDPR (artikkel 32) krever sikkerhet som står i forhold til risikoen. For e-post betyr det i praksis:
- Tofaktor-innlogging for alle, ikke bare for ledelsen.
- Kryptert forbindelse mellom e-posttjenestene, og kryptering av det som er lagret.
- Sensitive opplysninger sendes kryptert, ikke i vanlig e-post. Datatilsynet fraråder å sende fødselsnummer og sensitive opplysninger i vanlig, ukryptert e-post.
- Rutiner for når noen begynner eller slutter, så tilganger ikke blir hengende igjen.
Slett det dere ikke lenger trenger
Personopplysninger skal ikke lagres lenger enn det er behov for. Gamle jobbsøknader og avsluttede kundesaker bør slettes etter en fast rutine. Regnskapsmateriale har egne oppbevaringskrav i bokføringsloven, så det må dere ta vare på så lenge loven sier.
Ansattes e-postkasser
Arbeidsgiveren kan bare se i ansattes e-postkasser i bestemte tilfeller, og må følge en egen forskrift om innsyn i e-postkasse. Det enkleste er å unngå at kundehenvendelser blir låst inne i én persons innboks: bruk felles postkasser som post@ og faktura@, og ha avtalt hva som skjer med autosvar og videresending ved fravær og når noen slutter.
Markedsføring på e-post
Markedsføring på e-post til privatpersoner krever samtykke på forhånd (markedsføringsloven § 15), og det skal være enkelt å melde seg av. Har dere et nyhetsbrev, bør dere kunne vise når og hvordan hver mottaker sa ja.
Sjekkliste
- Vi har databehandleravtale med e-postleverandøren, og vet hvor dataene lagres.
- Alle har tofaktor-innlogging.
- Sensitive opplysninger sendes kryptert.
- Vi har rutiner for sletting, og for tilganger når noen slutter.
- Kundehenvendelser går til felles postkasser, ikke bare til enkeltpersoner.
- Personvernerklæringen vår sier hvilke leverandører vi bruker.
Slik hjelper Devos Kontor
E-post som er enkel å bruke i tråd med GDPR
- Lagret på servere i Norge, driftet av et norsk selskap, og bare europeiske underleverandører.
- Databehandleravtale som en del av vilkårene, med liste over underleverandørene.
- Tofaktor-innlogging, og egne app-passord for mobil og e-postprogram.
- Sikker e-post, kryptert ende-til-ende med et passord dere gir mottakeren. Heller ikke vi kan lese den.
- Felles postkasser, aliaser og kryptering av alt som er lagret.
Denne artikkelen er generell informasjon, ikke juridisk rådgivning. Er dere usikre på hva som gjelder for bedriften, kan Datatilsynet eller en advokat hjelpe.