GDPR Compliance-plattform & ISO 27701 PIMS

Ofte stilte spørsmål om GDPR

Hva er en behandlingsprotokoll, og hvorfor er den et lovkrav?

En behandlingsprotokoll (Record of Processing Activities) er et lovkrav under GDPR artikkel 30, som pålegger de fleste virksomheter å føre en detaljert oversikt over hvilke personopplysninger de behandler, til hvilket formål, og hvem som har tilgang til dem. Den fungerer som det sentrale dokumentasjonsgrunnlaget en tilsynsmyndighet vil be om å se i forbindelse med en undersøkelse eller et avvik.

Hva er forskjellen på en pre-DPIA og en full DPIA, og når utløses hver av dem?

En pre-DPIA er en kort, innledende screening som vurderer om en gitt behandlingsaktivitet sannsynligvis utgjør en høy risiko for de registrertes rettigheter. Hvis screeningen identifiserer en slik risiko, utløses kravet om en full DPIA under GDPR artikkel 35, som er en langt mer omfattende risikovurdering. De fleste virksomheter trenger begge trinnene i sin arbeidsflyt, ettersom det sjelden er nødvendig eller proporsjonalt å gjennomføre en full DPIA for hver eneste behandlingsaktivitet.

Hvordan håndterer NorthGRC tredjelandsoverføringer og TIA-er (Schrems II)?

Etter Schrems II-dommen må virksomheter som overfører personopplysninger til land utenfor EU/EØS, gjennomføre en Transfer Impact Assessment (TIA) for å vurdere om mottakerlandets lovgivning gir et tilstrekkelig beskyttelsesnivå. NorthGRC kobler TIA-vurderinger direkte til leverandørdataene deres, slik at det automatisk fremgår hvilke tredjepartsoverføringer som krever en vurdering, og hvilke som allerede er dokumentert.

Hvilke bøter kan man få for manglende etterlevelse av GDPR?

GDPR opererer med to nivåer av administrative bøter: opptil 10 millioner euro eller 2 % av den globale årsomsetningen for mindre alvorlige overtredelser, og opptil 20 millioner euro eller 4 % av den globale årsomsetningen for de mest alvorlige overtredelsene, avhengig av hvilket beløp som er størst. I tillegg til bøter kan manglende etterlevelse også medføre pålegg fra tilsynsmyndigheter, omdømmetap og krav om kompensasjon fra registrerte hvis rettigheter er krenket.

Hvordan håndterer NorthGRC GDPR og personvern-compliance?

NorthGRC gjør GDPR operativt ved å automatisere de tyngste oppgavene. Plattformen fungerer som deres sentrale behandlingsprotokoll (artikkel 30), men går et skritt videre ved å veilede dere gjennom DPIA-er med ferdige maler. Hvis det oppstår et avvik, har systemet en innebygd Incident Workbench som automatisk genererer de nødvendige oppgavene for å varsle myndighetene innen 72-timersfristen.

Kan NorthGRC integrere GDPR med informasjonssikkerhet?

Absolutt. Det er her NorthGRC virkelig skiller seg ut. I stedet for å ha personvernombudet i ett system og CISO-en i et annet, kobler vi GDPR-kontroller direkte sammen med ISO 27001-rammeverket deres. Det betyr at når dere oppdaterer en sikkerhetskontroll ett sted, reflekteres det automatisk i begge regnskapene. Dette eliminerer silotenkning og sikrer at personvern-compliance blir en naturlig del av den generelle IT-sikkerheten.

Hva er ISO 27701, og hvordan relaterer det seg til GDPR?

ISO 27701 er en internasjonal standard for et Privacy Information Management System (PIMS), som utvider ISO 27001 med spesifikke krav til håndtering av personopplysninger. Standarden er ikke et lovkrav i seg selv, men gir virksomheter et sertifiserbart, strukturert rammeverk for å dokumentere GDPR-etterlevelse og vise overfor kunder og myndigheter at personvern er en integrert del av informasjonssikkerhetsarbeidet.

Profesjonell personvernstyring – uten den administrative byrden

GDPR-compliance skal ikke være en manuell motbakke

Én plattform. Felles innsikt

Samlet dokumentasjon og oppfølging på tvers av flere selskaper

Fra enkeltstående erklæringer til løpende etterlevelse

ISO 27001-sertifisert på bare 4 måneder

Forenklet NIS2-etterlevelse uten å miste fokus på kjernevirksomheten

1/1

Effektivitet for DPO-en

1. Den levende behandlingsprotokollen (RoPA)

(Record of Processing Activities)

2. Integrerte DPIA- og TIA-arbeidsflyter

3. Samlet håndtering av avvik og personvernbrudd

Nøkkelfunksjoner for GDPR-compliance

Behandlingsaktiviteter

Håndtering av DPIA og TIA

Leverandør- og databehandlerstyring

Risikostyring

Policyer og dokumentasjon

Dashbord og rapportering

Oppgaver og planlegging

Fra kompleksitet til tydelig personvernstyring