Sjekkliste · Oppdatert 23. oktober 2026
Personvern gjennom kundereisen.
Se på hvordan kundeopplysninger samles inn, brukes og følges gjennom systemene. Bruk listen til å finne avklaringer og gi dem en ansvarlig.
Ta i bruk malenå vite hva?
Formål. Tilgang. Lagringstid.
En liste over avklaringer, dokumentasjon og ansvarlige.
Den som eier prosessen, systemansvarlig og personvernkompetanse ved behov.
Se det i praksisFra en situasjon til et neste steg
Illustrerende eksempel · ikke en kundehistorie
Et skjema sender opplysninger til både e-post, CRM og et regneark. Ingen har en samlet oversikt over hvem som bruker kopiene.
- Undersøk
Tegn den faktiske dataflyten. Undersøk formålet med hver kopi, tilgangene, leverandørene og hvor lenge opplysningene beholdes.
- Prøv
Gi hver uavklart behandling en ansvarlig. Dokumenter vurderingene og oppdater rutiner og informasjon slik at de beskriver det faktiske oppsettet.
- Følg opp
Vet dere hvor opplysningene finnes, hvorfor de er der og hvem som håndterer tilgang, rettigheter og sletting?
01 / 06
Formål og behandlingsgrunnlag
Beskriv hvilke opplysninger dere behandler, hvorfor og på hvilket rettslig grunnlag. Vurder hvert formål før innsamlingen begynner. Det å svare på en forespørsel og det å sende senere markedsføring er ulike formål.
02 / 06
Forståelig informasjon
Forklar hva som skjer med opplysningene der kunden trenger det. Informasjonen må passe det faktiske oppsettet: formål, ansvarlig, mottakere, lagring og rettigheter. Et gammelt standarddokument kan beskrive verktøy dere ikke lenger bruker.
03 / 06
Samtykke til sporing
Kartlegg cookies og annen teknologi som lagrer eller henter informasjon på enheten. Der samtykke kreves, må det innhentes før teknologien brukes. Kontroller unntakene for strengt nødvendig bruk konkret. Det skal være like lett å si nei som ja, og lett å trekke samtykket tilbake.
04 / 06
Leverandører og dataflyt
Finn ut hvem som behandler opplysninger på deres vegne, og sørg for nødvendige databehandleravtaler. Undersøk underleverandører, lagringssteder og eventuell tilgang fra land utenfor EØS. En europeisk serverplassering alene svarer ikke på hele overføringsspørsmålet.
05 / 06
Tilgang og sikkerhet
Gi tilgang etter behov, og gå gjennom den når roller eller ansatte endres. Vurder risiko, beskyttelse av kontoer, sikkerhetskopiering og rutiner ved feil eller avvik. Kontroller at integrasjoner ikke gir bredere tilgang enn oppgaven krever.
06 / 06
Lagring, sletting og rettigheter
Bestem hvor lenge opplysningene er nødvendige for formålet, og avklar eventuell plikt til å beholde dokumentasjon. Test retting, innsyn og sletting på tvers av systemene. Sletting i CRM betyr ikke automatisk at kopier i andre verktøy er borte.
Se også Datatilsynets veiledning om overføring utenfor EØS og oversikten over virksomhetenes plikter.
Gjør det til en avtale.
Én konkret forbedring er et godt sted å begynne. Avklar hvem som tar den videre, og når dere skal se om den virker. Planen følger med når du laster ned notatene.
Vurder et samarbeid