Outsourcet reception: hvem har ansvaret for besøgsdataene?

Mange virksomheder outsourcer receptionen, sikkerheden eller hele deres facility management (FM). De eksterne medarbejdere i receptionen arbejder så ofte i virksomhedens eget besøgsregistreringssystem (VMS). Men selvom du outsourcer receptionen, outsourcer du ikke ansvaret for besøgsregistret.

GDPR skelner skarpt mellem den dataansvarlige og databehandleren. Når receptionen er outsourcet, er din virksomhed stadig dataansvarlig, og FM-leverandøren er databehandler. Derfor skal I have en databehandleraftale. Den fastlægger, hvem der har adgang, hvilke sikkerhedsforanstaltninger der gælder, og hvad der sker med dataene, når samarbejdet slutter.

Men hvad skal aftalen egentlig indeholde? Hvad sker der med besøgsregistret, når kontrakten med FM-leverandøren udløber? Og hvordan holder du evakueringslisterne korrekte, når der sidder en ny vikar i receptionen hver uge? Det gennemgår vi i denne artikel, så du kan fordele ansvaret og bevare kontrollen over dine besøgsdata.

Hvem har ansvaret for besøgsdata, når receptionen er outsourcet?

Med en outsourcet reception står en ekstern leverandør for den daglige drift af receptionen. Det er ofte en del af en større FM-kontrakt, der også dækker sikkerhed eller andre serviceopgaver. Receptionen bemandes så af eksterne medarbejdere, og FM-leverandøren tager sig af vagtplaner, afløsning ved sygdom og ferie og oplæring af receptionisterne.

Ansvaret for besøgsregistret flytter dog ikke med over til leverandøren. Hvis det er din virksomhed, der bestemmer, hvorfor besøgende registreres, hvilke oplysninger der indsamles, og hvor længe de gemmes, ligger det juridiske ansvar fortsat hos jer. At det er eksterne receptionister, der står for selve registreringen, ændrer ikke ved det.

GDPR skelner her mellem den dataansvarlige og databehandleren, og hver rolle har sine egne forpligtelser. I næste afsnit ser vi på, hvad det betyder for dig og din FM-leverandør.

Dataansvarlig og databehandler: hvad er forskellen?

Forskellen handler om ét spørgsmål: Hvem bestemmer, hvorfor og hvordan personoplysninger behandles? De to roller er defineret i artikel 4, nr. 7 og 8, i GDPR. Kort fortalt:

• Den dataansvarlige bestemmer formålet med behandlingen og midlerne til den, altså hvorfor personoplysningerne indsamles, og hvordan.
• Databehandleren behandler personoplysninger på den dataansvarliges vegne og efter dennes instrukser.

Når du outsourcer receptionen, er din virksomhed som regel dataansvarlig, og FM-leverandøren, der bemander receptionen, er databehandler. Det er jer, der for eksempel bestemmer, hvilke besøgsoplysninger der er brug for, hvad de bruges til, og hvornår de slettes. De eksterne receptionister fører beslutningerne ud i livet.

Rollefordelingen afgør, hvad hver part skal gøre, og hvad hver part hæfter for. Her er et overblik:

Hvornår bliver FM-leverandøren selv dataansvarlig?

Som regel er virksomheden, der outsourcer receptionen, dataansvarlig, og FM-leverandøren, der driver receptionen, databehandler. Men rollerne afhænger af, hvad hver part faktisk gør og beslutter, ikke af hvad der står i kontrakten. Ved nogle behandlinger kan en FM-leverandør derfor selv være dataansvarlig.

Et par eksempler:

• Hvis FM-leverandøren også bruger besøgsdataene til at markedsføre sine egne ydelser, tilføjer den et formål af sin egen. Så er den selv dataansvarlig for den behandling og skal selvstændigt overholde GDPR for den del.
• Hvis din virksomhed og FM-leverandøren sammen bestemmer formålet med og de væsentlige midler til besøgsregistreringen, for eksempel fordi I udvikler en adgangs- og sikkerhedsproces i fællesskab, kan I være fælles dataansvarlige. I så fald skal I aftale, hvem der tager sig af hvilke forpligtelser efter GDPR.

Hvad skal databehandleraftalen indeholde?

Når en ekstern receptionsleverandør behandler jeres besøgsdata, skal aftalerne på skrift i en databehandleraftale. Den fastlægger, hvordan leverandøren skal håndtere dataene, og hvad hver part har ansvaret for.

Artikel 28, stk. 3, i GDPR opregner, hvad aftalen skal indeholde:

1. Beskrivelse af behandlingen

Aftalen beskriver:

• hvad behandlingen omfatter, og hvor længe den varer;
• behandlingens karakter og formål;
• hvilke typer personoplysninger der behandles, for eksempel navne, kontaktoplysninger og ankomst- og afgangstidspunkter;
• hvilke grupper af personer det drejer sig om, for eksempel besøgende, leverandører og entreprenører;
• den dataansvarliges rettigheder og forpligtelser.

2. Instrukser for behandlingen

Databehandleren må kun behandle besøgsdata efter dokumenterede instrukser fra den dataansvarlige. Den må ikke selv beslutte at bruge dataene til egne formål.

Instrukserne beskriver, hvordan databehandleren skal håndtere besøgsdataene. Det kan for eksempel være, hvilket besøgsregistreringssystem der skal bruges, hvilke oplysninger der må registreres, hvilke opbevaringsperioder der gælder, hvem der har adgang, og om data må overføres uden for EØS.

Hvis databehandleren mener, at en instruks strider mod GDPR eller anden databeskyttelseslovgivning, skal den straks give den dataansvarlige besked.

3. Tavshedspligt

Databehandleren skal sikre, at alle, der må behandle besøgsdataene, har tavshedspligt, enten gennem en fortrolighedsaftale eller fordi de har lovbestemt tavshedspligt.

Det gælder også vikarer og afløsere i receptionen, der har adgang til besøgsregistret.

4. Sikkerhed

Aftalen skal forpligte databehandleren til at træffe passende tekniske og organisatoriske sikkerhedsforanstaltninger. Ved besøgsregistrering kan det for eksempel være personlige brugerkonti, begrænsede adgangsrettigheder og kryptering.

Aftalen dækker også, hvordan adgangen til dataene genoprettes efter en hændelse, og at sikkerheden testes jævnligt.

5. Underdatabehandlere

Aftalen fastlægger, om databehandleren må bruge underdatabehandlere. Det må den kun med forudgående skriftlig godkendelse fra den dataansvarlige.

Godkendelsen kan være specifik, til en bestemt underdatabehandler, eller generel. Ved en generel godkendelse skal databehandleren give dig besked på forhånd om hver ny underdatabehandler, så du har mulighed for at gøre indsigelse.

Underdatabehandlere skal kontraktligt pålægges de samme forpligtelser. Hvis en underdatabehandler ikke overholder dem, hæfter den oprindelige databehandler fortsat over for dig.

6. Hjælp med de registreredes rettigheder

Besøgende kan bede om at udøve deres rettigheder, for eksempel retten til indsigt, berigtigelse eller sletning af deres oplysninger.

Aftalen skal fastlægge, hvordan databehandleren hjælper dig med at håndtere den slags anmodninger. Det kan være ved at sende anmodningen videre til dig og ved at finde, rette eller slette oplysninger, når du beder om det.

7. Hjælp med andre forpligtelser

Databehandleren skal også hjælpe dig med behandlingssikkerheden, med brud på persondatasikkerheden og om nødvendigt med en konsekvensanalyse (DPIA) og en forudgående høring af Datatilsynet.

Aftal også, hvordan hændelser skal anmeldes. Databehandleren skal give dig besked uden unødig forsinkelse, når den opdager et brud på persondatasikkerheden.

8. Når samarbejdet slutter

Når ydelsen ophører, skal databehandleren slette besøgsdataene eller levere dem tilbage, alt efter hvad den dataansvarlige vælger. Eventuelle kopier skal også slettes, medmindre loven kræver, at de gemmes. Gør det konkret: I hvilket format overdrages dataene, hvornår skal det ske, og hvordan bekræfter leverandøren, at resten er slettet?

9. Oplysninger og audits

Databehandleren skal stille alle de oplysninger til rådighed, du har brug for til at kontrollere, at forpligtelserne overholdes. Den skal også give mulighed for og bidrage til audits og inspektioner, som du selv eller en revisor, du udpeger, gennemfører.

Aftal, hvordan en audit bestilles og gennemføres, uden at din ret til kontrol begrænses mere end nødvendigt.

Hvis system skal besøgsregistret ligge i?

GDPR siger ikke noget om, hvis system besøgsregistret skal ligge i. I praksis er det bedst at føre det i et besøgsregistreringssystem (VMS) på en konto, din virksomhed selv administrerer. De eksterne receptionister får så hver deres brugerprofil med præcis den adgang, de har brug for i deres arbejde.

På den måde bevarer I som dataansvarlig kontrollen over indstillingerne, adgangsrettighederne og besøgsdataene. Skifter I FM-leverandør, fjerner I bare adgangen for de gamle medarbejdere og opretter det nye team, uden at besøgsregistret skal flyttes til et andet system.

Bruger FM-leverandøren sit eget system eller sin egen konto, skal I have på skrift, hvordan I bevarer adgangen til dataene, hvordan de kan eksporteres, og hvordan de leveres tilbage eller slettes, når samarbejdet slutter.

Og en sidste ting: Bruger du et cloudbaseret VMS, skal du som regel også have en databehandleraftale med VMS-leverandøren. Leverandøren opbevarer besøgsdata på jeres vegne og er derfor også databehandler.

Når kontrakten udløber: hvad sker der med besøgsregistret?

Databehandleraftalen bør gøre det klart, hvad der sker med besøgsregistret, når samarbejdet slutter. Som dataansvarlig bestemmer din virksomhed, om databehandleren skal levere det tilbage eller slette det. Eventuelle kopier skal også slettes, medmindre loven kræver, at de gemmes.

Hvilke praktiske skridt der skal tages, afhænger af, hvordan I registrerer besøgende i dag. Infografikken herunder viser, hvad du og leverandøren skal gøre i hvert scenarie.

Uanset din situation er der nogle skridt, du skal huske, når samarbejdet slutter:

• Tjek, hvad I har aftalt. Gå kontrakten og databehandleraftalen igennem. Hvilke frister, eksportformater og procedurer gælder for overdragelse og sletning af data?
• Hold receptionen kørende. Opret adgang til de nye receptionister i god tid. Skal en ny leverandør være databehandler, så sørg for, at databehandleraftalen er underskrevet, før leverandøren begynder at behandle besøgsdata.
• Fjern adgang i tide. Luk for adgangen, så snart folk ikke længere har brug for den. Det gælder VMS’et, andre interne systemer, wifi og adgangskort til bygningen.
• Tjek opbevaringsperioderne. Et leverandørskifte nulstiller ikke uret. Slet data, hvis opbevaringsperiode er udløbet, også i filer, der er blevet overdraget.

Evakueringslister, når receptionspersonalet skifter

Når du outsourcer receptionen, møder du måske et nyt ansigt bag skranken en gang imellem. Eller bemandingen skifter fra dag til dag eller fra vagt til vagt. Så har du brug for en sikker måde at lave evakueringslister på. Hvis det brænder, skal listen være korrekt, uanset hvem der sidder i receptionen den uge.

Den mest pålidelige måde at vide, hvem der er i bygningen lige nu, er at gå digitalt. Et digitalt besøgsregistreringssystem registrerer, hvem der har tjekket ind og ud. Så har du altid en opdateret fremmødeliste, uanset hvem der sidder i receptionen.

Når receptionspersonalet skifter, skal den, der sidder i receptionen, når en nødsituation opstår, vide, hvordan den aktuelle liste eksporteres, og have rettigheder til det. Indarbejd det i jeres beredskabsplan, og sørg for, at alle får den rette oplæring og de rette instrukser.

Et par gode råd:

• Lav et evakueringskit, for eksempel en knaldrød mappe, der altid ligger samme sted i receptionen. Læg instrukser til at eksportere den aktuelle fremmødeliste i den, sammen med en plantegning med flugtveje og samlingssteder og en liste med alarmnumre og interne kontakter til evakueringsansvarlige og førstehjælpere. Bed receptionspersonalet om at tjekke hver dag, eller når en vagt starter, at mappen ligger der.
• Brug skiftende receptionspersonale som scenarie i jeres evakueringsøvelser. Tjek, at alle kender deres rolle, at den, der har vagten, hurtigt kan eksportere en evakueringsliste og arbejde med den, og at listen er korrekt.

Konklusion

En ekstern leverandør kan overtage det daglige arbejde i receptionen, men ikke ansvaret for besøgsdataene. Din virksomhed er fortsat dataansvarlig. Det er jer, der bestemmer, hvilke data der registreres, hvem der kan se dem, og hvor længe de gemmes. En god databehandleraftale med FM-leverandøren får de aftaler på skrift, også om hvad der sker, når kontrakten udløber.

Et digitalt besøgsregistreringssystem gør aftalerne til hverdagspraksis. Når din virksomhed selv administrerer kontoen, styrer I indstillingerne og opbevaringsperioderne, giver eksterne receptionister en personlig profil med kun de rettigheder, de har brug for, og lukker for deres adgang, så snart I skifter leverandør. Besøgsregistret bliver i jeres eget system, og du har altid en opdateret fremmødeliste, uanset hvem der sidder bag skranken.

Vil du se, hvordan Vizito hjælper dig med at bevare kontrollen over besøgsregistret, også med en ekstern receptionsleverandør? Prøv Vizito gratis i 14 dage eller book en demo.