Petter Schultz
1d85656e96
Tidligere refererte repoet til dokumentasjon som lå utenfor (i Salg/_mal/), og brukte Obsidian-wikilinks [[...]] som ikke er klikkbare i Gitea. Begge deler gjorde at lenker var døde i Gitea-web. Endringer: - Hentet inn arbeidsdokumentene som faktisk brukes under oppdraget: _metode/ (00-konvensjoner, 01-startklar-sjekkliste, 02-gjennomforing) artefakter/ (risikoregister, integrasjonslandskap, workshop-agenda, domenemodell-skjema) - Konverterte 82 Obsidian-wikilinks til standard markdown-lenker med korrekte relative stier — klikkbare både i Gitea og lokalt - Begrepsord i begrepskatalogen ([[Bedrift]] etc.) ble til ren tekst (de var aldri filer) - Oppdaterte konvensjonsdokumentet til å foreskrive standard markdown, ikke wikilinks (med begrunnelse: Gitea rendrer ikke [[...]]) - Oras/Kirken/salgsmateriale er nå tydelig merket som eksterne arbeidsområde-referanser (andre kunder / salgsfase), ikke dinglende lenker som lot som de var i repoet Verifisert: 133 ekte interne lenker resolver korrekt. De 4 gjenværende treffene i validering er kodeeksempler i backticks (viser lenke-syntaks), ikke faktiske lenker. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
69 lines
2.3 KiB
Markdown
69 lines
2.3 KiB
Markdown
---
|
|
title: "GDPR-oversikt — Standard Online"
|
|
date: "YYYY-MM-DD"
|
|
tags: ["gdpr", "personvern", "compliance"]
|
|
refs:
|
|
- "../4.informasjonsarkitektur/masterdata-og-eierskap.md"
|
|
- "tiltak-for-innebygd-personvern.md"
|
|
qa:
|
|
status: "draft"
|
|
version: 1
|
|
---
|
|
|
|
# GDPR-oversikt
|
|
|
|
Overordnet vurdering av GDPR-etterlevelse hos Standard Online. Detaljer i de andre filene i denne mappen.
|
|
|
|
## Rolledefinisjon
|
|
|
|
| Rolle | Hvem hos Standard Online | Ansvar |
|
|
|---|---|---|
|
|
| Behandlingsansvarlig | | Bestemmer formål og midler for behandling |
|
|
| Databehandler | | Behandler personopplysninger på vegne av behandlingsansvarlig |
|
|
| Personvernombud (DPO) | | Rådgiver og kontaktpunkt for tilsyn |
|
|
|
|
## Behandlingsoversikt
|
|
|
|
Skal omfatte alle behandlinger av personopplysninger. Bygges ut i Fase B.
|
|
|
|
| Behandling | Behandlingsgrunnlag | Formål | Kategorier personopplysninger | Mottakere | Lagringstid |
|
|
|---|---|---|---|---|---|
|
|
|
|
*Behandlingsgrunnlag: Samtykke / Avtale / Rettslig forpliktelse / Vitale interesser / Allmenn interesse / Berettiget interesse*
|
|
|
|
## Sentrale GDPR-krav
|
|
|
|
| Krav | Status | Kommentar |
|
|
|---|---|---|
|
|
| Behandlingsgrunnlag dokumentert | | |
|
|
| Personvernerklæring publisert | | |
|
|
| Databehandleravtaler (DPA) på plass | | |
|
|
| Innsynsrett-prosess etablert | | |
|
|
| Sletting/rettelse-prosess etablert | | |
|
|
| Dataminimering vurdert | | |
|
|
| Lagringstid definert per kategori | | |
|
|
| Sikkerhetstiltak dokumentert | | |
|
|
| Avvikshåndtering etablert (72-timersregel) | | |
|
|
| DPIA gjennomført for høyrisiko-behandling | | |
|
|
|
|
## Cross-border data transfers
|
|
|
|
*Overføring av personopplysninger ut av EØS — er det relevant? Standard-/SCC-grunnlag på plass?*
|
|
|
|
## AI-spesifikke aspekter
|
|
|
|
- **Automatiserte beslutninger (art. 22):** Hvilke beslutninger tas helt eller delvis automatisert? Krever explicit consent eller annet grunnlag?
|
|
- **Treningsdata:** Hvis AI-modeller trenes på persondata — hva er behandlingsgrunnlaget?
|
|
- **Forklarbarhet:** Kan vi forklare hvordan en AI-beslutning er tatt? (jf. art. 13/14)
|
|
- **Sletting:** Kan persondata slettes fra både operative systemer og trente modeller?
|
|
|
|
Lenke til [ai-prinsipper](../6.ai-rammeverk/ai-prinsipper.md).
|
|
|
|
## Risikoer
|
|
|
|
Lenke til [risikoregister](../artefakter/risikoregister.md) for GDPR-relaterte risikoer.
|
|
|
|
---
|
|
|
|
*Klassifisering: Begrenset*
|