GDPR og besøgsregistrering: en praktisk guide

GDPR pålægger enhver organisation, der behandler personoplysninger i EU, strenge regler for indsamling, samtykke og opbevaring, og det gælder direkte for besøgsregistrering. Uanset om du bruger en besøgsbog i papir eller et digitalt system, skal du håndtere data om besøgende lovligt ved at indhente samtykke, begrænse indsamlingen og opbevare oplysningerne sikkert.

Hvad GDPR er, og hvordan reglerne beskytter personoplysninger

Databeskyttelsesforordningen (GDPR) er den strengeste lov om databeskyttelse af sin art. Den giver den enkelte mere kontrol over sine personoplysninger og over, hvordan de bliver behandlet. Den gælder for enhver organisation, der behandler personoplysninger om personer i EU, uanset hvor organisationen har hjemme.

GDPR opstiller 7 principper, som organisationer skal følge, når de indsamler, bruger og opbevarer personoplysninger:

Lovlighed, rimelighed og gennemsigtighed

Personoplysninger skal behandles gennemsigtigt og uden at bryde love og regler. Organisationer skal bede om samtykke til at bruge og opbevare personoplysninger. Det betyder, at du skal forklare folk præcis, hvad deres oplysninger bliver brugt til, og give dem mulighed for at sige ja eller nej.

Formålsbegrænsning

Organisationer skal have et klart formål med at indsamle personoplysninger, for eksempel sikkerhed eller markedsføring.

Dataminimering

Virksomheder må kun indsamle de personoplysninger, der reelt er brug for til det konkrete formål. Indsamler en organisation for eksempel oplysninger af sikkerhedshensyn, må den kun spørge om det, der skal til for at holde systemer og lokaler sikre.

Rigtighed

De personoplysninger, en virksomhed indsamler og behandler, skal være korrekte og opdaterede.

Opbevaringsbegrænsning

Personoplysninger må ikke gemmes længere, end det er nødvendigt til det formål, de blev indsamlet til.

Integritet og fortrolighed

Organisationer skal træffe passende foranstaltninger, der beskytter de data, de indsamler og håndterer. De skal have sikringstiltag, der forhindrer uvedkommende adgang til personoplysninger og sørger for, at data ikke går tabt, bliver beskadiget eller på anden måde kompromitteret. En organisation kan for eksempel bruge kryptering til at beskytte personoplysninger, der sendes over internettet, eller indføre sikre login-procedurer, så uvedkommende ikke får adgang til personoplysninger på serverne.

Ansvarlighed

Organisationer skal tage ansvar for, hvordan de indsamler, bruger og opbevarer personoplysninger. De skal have procedurer, der sikrer, at de overholder GDPR. Nogle organisationer udpeger en databeskyttelsesrådgiver (DPO), der har ansvaret for at føre tilsyn med databeskyttelsen.

GDPR giver også den enkelte en række rettigheder. Bedst kendt er ‘retten til at blive glemt’, som betyder, at folk kan bede om at få deres data slettet. Derudover har alle ret til at få indsigt i deres personoplysninger og vide, hvordan de bliver brugt, til at flytte deres data til andre tjenester og til at gøre indsigelse mod, at oplysningerne bruges til bestemte formål, for eksempel direkte markedsføring. Og sker der et brud på datasikkerheden, har den enkelte ret til at få besked.

Derfor kom GDPR

GDPR kom som svar på en voksende bekymring over den måde, organisationer indsamler, bruger og opbevarer personoplysninger på. I takt med at internettet og de digitale teknologier overtog verden, flød der voldsomt mange personoplysninger rundt, og folk var bekymrede for, hvad der kunne ske med dem. Der blev rejst bekymringer om misbrug og om risikoen for datalæk og andre sikkerhedshændelser.

Med klare regler og retningslinjer og med større kontrol til den enkelte over sine egne data skal GDPR tage hånd om de bekymringer.

Sådan rammer GDPR amerikanske virksomheder

USA har ikke en lov, der svarer til GDPR. Til gengæld har landet både føderale og delstatslige love, der regulerer indsamling, brug og opbevaring af personoplysninger, for eksempel helbredsoplysninger, kreditoplysninger og data om børn. Der findes også delstatslove om databeskyttelse, for eksempel California Consumer Privacy Act (CCPA).

Selvom USA ikke har en lov præcis som GDPR, skal amerikanske organisationer, der driver forretning i EU, alligevel følge den, og det gælder virksomheder overalt i verden. Loven gælder for enhver organisation, der behandler personoplysninger om personer i EU, uanset hvor den har hjemme.

Sanktioner, hvis du ikke overholder GDPR

Overholder en virksomhed ikke GDPR, kan den blive ramt af hårde sanktioner. Det kan være bøder, påbud om at stoppe behandlingen eller slette personoplysninger eller ligefrem suspension af behandlingen.

Her er nogle kendte eksempler på GDPR-bøder:

Kort sagt: organisationer bør tage GDPR alvorligt, hvis de ikke vil ende med en stor bøde.

Derfor er GDPR afgørende for besøgsregistreringssystemer

GDPR er særligt vigtig for besøgsregistreringssystemer, fordi de netop indsamler, bruger og opbevarer personoplysninger om de mennesker, der kommer på besøg i organisationen.

De vigtigste krav i GDPR for besøgsregistreringssystemer er:

• Indhent udtrykkeligt samtykke, inden du indsamler, bruger eller opbevarer personoplysninger
• Giv klar og fyldestgørende information om, hvordan oplysningerne bliver brugt
• Indfør tiltag, der beskytter personoplysningerne
• Respekter den enkeltes ret til indsigt, rettelse og sletning af sine personoplysninger
• Respekter retten til dataportabilitet, så den enkelte kan få udleveret og genbruge sine oplysninger på tværs af tjenester

Det er vigtigt, at besøgsregistreringssystemer lever op til kravene, så personoplysninger bliver beskyttet, og den enkeltes rettigheder bliver respekteret.

Læs mere Sådan kommer du i gang med digital besøgsregistrering på under 30 minutter. Koldt og upersonligt? Kun for store virksomheder? 5 myter om digital besøgsregistrering.

Derfor lever besøgsbogen i papir ikke op til GDPR

Uanset om du bruger en besøgsbog i papir eller en digital løsning til besøgsregistrering, skal data om besøgende håndteres og opbevares efter GDPR. Generelt giver en besøgsbog i papir, der ligger fremme i receptionen, flere problemer:

• Blotlagte oplysninger - Ligger besøgsbogen usikret, kan alle læse oplysningerne om de tidligere besøgende.
• Ingen styring af indsamlingen - Det er svært kun at indsamle relevante oplysninger for forskellige typer gæster, når det foregår på papir.
• Begrænset gennemsigtighed - Indsamler du mange personoplysninger, er det ikke nemt at informere klart om, hvordan de bliver brugt.
• Usikker opbevaring - Papir kan nemt blive stjålet, fotograferet eller væk, og sikker opbevaring kan ikke garanteres.
• Svært at slette data - Organisationer skal kunne slette bestemte oplysninger om en besøgende på anmodning, og det er besværligt med papir.

Vil du leve op til GDPR, kan du overveje mere sikre alternativer til besøgsbogen i papir, for eksempel et elektronisk besøgsregistreringssystem, hvor personoplysninger bliver indsamlet og opbevaret mere sikkert og gennemsigtigt.

Læs mere Vil du højne sikkerheden i din virksomhed? Her er 7 måder, et besøgsregistreringssystem kan hjælpe på. Tiden er løbet fra besøgsbogen i papir: 7 grunde til at udskifte den i 2023.

7 skridt, der får dit besøgsregistreringssystem til at overholde GDPR

Der er en række skridt, organisationer kan tage for at sikre, at deres besøgsregistreringssystem overholder GDPR:

Indhent udtrykkeligt samtykke fra den besøgende

GDPR kræver, at organisationer indhenter udtrykkeligt samtykke, inden de håndterer personoplysninger. Sørg for, at dit VMS lader den besøgende bekræfte, at privatlivspolitikken er læst, eller giver valgmuligheder for, hvilke oplysninger der må gemmes.

Informer klart om brugen af data

GDPR fastslår, at den enkelte har ret til at vide, hvad du har tænkt dig at gøre med oplysningerne. Som organisation er det dit ansvar at være åben og tydelig om, hvordan data bliver brugt, til hvilket formål og hvor længe de bliver gemt.

Indsaml kun de nødvendige oplysninger

Vær selektiv med det, du indsamler: du må kun tage det med, du reelt har brug for. Vil du strømline check-in, så lav særskilte procedurer for forskellige typer gæster. Du har måske brug for oplysninger om sikkerhedsgodkendelse til folk, der skal ind i lukkede områder, mens du ved madudbringning kun har brug for firmanavnet.

Begræns adgangen til data om besøgende

Organisationer skal indføre passende tiltag, der beskytter personoplysninger. En måde at holde de besøgendes data væk fra nysgerrige øjne er at indføre adgangsstyring, så kun de rette medarbejdere kan se dem.

Kryptér data både under overførsel og i hvile

Cloudbaserede besøgsregistreringssystemer er en sikker måde at opbevare data på. De bruger krypterede databaser og HTTPS til overførsel, så uvedkommende ikke får adgang.

Respekter de besøgendes ret til at få rettet og slettet data

Husk, at besøgende når som helst kan trække deres samtykke tilbage. Som virksomhed skal du kunne fjerne, anonymisere eller ændre deres oplysninger på anmodning. Nogle besøgsregistreringssystemer lader dig beholde registreringen af besøget, men fjerne identificerende oplysninger som den besøgendes navn og virksomhed.

Før fortegnelse over behandlingen

Som organisation er du forpligtet til at føre fortegnelse over dine behandlingsaktiviteter. Hvilke data indsamler du? Hvad bruger du dem til? Og hvem deler du dem med?

Et besøgsregistreringssystem er et vigtigt værktøj for organisationer, der har brug for at holde styr på, hvem der kommer på besøg. Følger du skridtene her, kan du sikre, at dit system overholder GDPR, og at du beskytter dine gæsters personoplysninger efter lovens krav.

Vizito tager databeskyttelse alvorligt. Følgende funktioner sørger for, at din virksomhed overholder GDPR, når der indsamles data om besøgende:

• Indhent samtykke fra dine besøgende
• Bestem, hvem der har adgang til data om besøgende
• Opsæt forskellige besøgstyper, så du kun indsamler de oplysninger, du har brug for
• Fastlæg, hvornår oplysninger om besøgende automatisk bliver slettet
• Alle data bliver opbevaret sikkert på Vizitos servere

Vil du mærke, hvordan et moderne besøgsregistreringssystem kan hjælpe din virksomhed med at vokse, så prøv Vizito gratis i en prøveperiode på 14 dage. Skriv med os i chatten, eller book en demo, og lad os tale om, hvordan Vizito kan gøre din reception bedre.

Har du flere spørgsmål? Her er de 7 typiske spørgsmål om digital besøgsregistrering - og vores svar.