Vad GDPR kräver av ett dokumentsystem

En policy besvarar GDPR:s krav på papper. Inställningarna besvarar dem inne i systemet. Var och en av de fem delarna nedan sätts upp i M‑Files, och var och en anger vilket krav den täcker på listan med de tio krav som ställs på ärende- och dokumentsystem.

1. Ha koll på var personuppgifterna finns#

Alla andra GDPR-inställningar vilar på att ni kan säga vilka dokument som innehåller personuppgifter, och om vem. Utan det kan ni varken radera enligt en plan, styra åtkomsten efter roll eller besvara en begäran om en enskild person.

Två beslut, fattade en gång, räcker. De dokumenttyper som innehåller personuppgifter (personalakt, ansökan, medarbetarsamtal, anställningsavtal) märks som sådana, och varje dokument kopplas till den person det gäller. Då samlar en enda sökning allt om personen, var det än har arkiverats. Är ett valv inte uppsatt på det sättet hittar ni ändå dokumenten med en sökning på namn eller personnummer.

Krav 3 och 5 av de tio: radering av data, klassificering av data.

2. Radera i tid#

Personuppgifter får inte sparas längre än ändamålet kräver. Er policy anger tiderna; valvet ser till att de hålls utan att någon behöver komma ihåg det. Eftersom varje dokument är kopplat till den person det gäller kan systemet städa efter sig.

En raderingsregel kan ligga på ett enskilt dokument, på en dokumenttyp eller på ett fältvärde. Känsliga uppgifter om en medarbetare raderas till exempel en bestämd tid efter att anställningen upphört (vanligtvis sex månader), med en avisering i förväg eller en vy över kommande raderingar. Regeln läser ett datum och raderingen sker automatiskt. Kalkylbladet över "vad som ska raderas när" försvinner.

Krav 6 och 7 av de tio: raderingsregler, automatisk radering.

3. Begränsa åtkomsten till ändamålet#

Bara de som behöver personuppgifter för sin uppgift får se dem. Åtkomstreglerna avgör vem ett dokument finns för, precis som raderingsreglerna avgör hur länge det finns.

Reglerna ligger på dokumenttypen och på personen. Ett medarbetarsamtal är synligt för medarbetaren, den närmaste chefen och HR, och åtkomsten följer med när de uppgifterna ändras. Det finns ingen mappbehörighet kvar som någon satte för flera år sedan och som ingen ser över.

Krav 1 av de tio: åtkomstkontroll.

4. Logga åtkomst till personuppgifter#

Enligt GDPR innebär ansvarsskyldighet att ni i efterhand kan dokumentera hur personuppgifterna faktiskt har hanterats.

M‑Files loggar varje ändring av ett dokument och dess fält, varje nedladdning och uppladdning, raderingar och varje steg i ett godkännande. Händelseloggen kan filtreras, sökas i och exporteras, och det är vad en internrevision eller en tillsynsmyndighet ber om. Med M‑Files modul för avancerad loggning registrerar loggen också varje gång en fil öppnas.

Krav 2 av de tio: loggning av åtkomst.

5. Besvara en begäran om registerutdrag inom en månad#

En person får fråga vilka uppgifter ni har om personen och få en kopia, normalt inom en månad. Det är vid en sådan begäran som de fyra andra inställningarna prövas.

Eftersom dokument om en person är kopplade till personen blir begäran en sökning och en export: dokument i originalformat eller som PDF, övriga uppgifter i Excel. Och det som en raderingsregel redan har tagit bort finns inte längre att hitta.

Krav 4 av de tio: export av data.

Var era dokument finns#

Var M‑Files körs är ett beslut för sig, oberoende av inställningarna inne i valvet: i molnet, på egna servrar eller som en hybrid av de två. M‑Files Cloud drivs i Microsoft Azure, och där krypteras data både vid lagring och under överföring.

Fildata och själva databasen kan krypteras, och kommunikationen med M‑Files kan sättas upp att gå över en säker anslutning.

Krav 8 och 9 av de tio: kryptering av kommunikation och databaser.

Det som fortfarande är ert ansvar#

En inställning upprätthåller ett beslut; den fattar det inte. Lagringstiderna ska ni själva bestämma och skriva ner; sedan är det raderingsreglerna som håller er fast vid dem. Detsamma gäller rollerna: vem som behöver åtkomst till vad kommer från er. Registerförteckningen och personuppgiftsbiträdesavtalen blir också kvar hos er, för systemet rymmer dokument, inte hela ert arbete med regelefterlevnad. Inget av detta är juridisk rådgivning, så stäm av er egen policy med ert dataskyddsombud.

Två sidor tar det vidare: regelefterlevnad och risk för hur det levereras som en implementering, och säkerhet och regelefterlevnad för plattformens kontroller därunder.