Personopplysninger i regnskapssamarbeidet
Kartlegg nødvendige opplysninger, tilgang og behandlingsansvar.
Regnskapsarbeid kan omfatte kunder, ansatte og eiere. Tilgang og behandlingsrolle må passe den konkrete oppgaven. Kartlegg hvilke opplysninger som brukes og hvorfor, før dere antar at hele samarbeidet har én enkel personvernrolle.
Skill behandlingene
Datatilsynets veiledning forklarer at en databehandler behandler opplysninger på vegne av en behandlingsansvarlig. En leverandør kan samtidig ha egne lovpålagte formål for noen opplysninger. Regnskapsførerens rolle må derfor vurderes per behandling, ikke bare etter leverandørnavnet.
| Behandling | Spørsmål | Praktisk avklaring |
|---|---|---|
| Lønn | Hvilke opplysninger trengs? | Tilgang og sikker deling |
| Kundedata | Hva er nødvendig for bokføring? | Begrense ekstrainformasjon |
| Lovpålagt kontroll | Hvem bestemmer formålet? | Riktig rolle og grunnlag |
| Systemlagring | Hvem drifter og får tilgang? | Avtale og underleverandører |
Eksempel på for mye deling
Bedriften skal forklare fravær som påvirker lønnen. Den sender en full medisinsk redegjørelse til en bred e-postliste. Regnskapsoppgaven kan i stedet kreve en bestemt fraværsopplysning og periode, uten hele helsehistorikken. Avklar nødvendig underlag og bruk avtalt sikker kanal.
Dataminimering betyr ikke at relevant dokumentasjon skal slettes tilfeldig. Lagringskrav og lovpålagte oppgaver må også vurderes. En god rutine skiller nødvendig økonomiinformasjon fra detaljer som ikke har noe med oppgaven å gjøre.
Avtal tilgang og avslutning
Dokumenter hvem som kan se hvilke data, hvordan feil deling meldes og hva som skjer når oppdraget avsluttes. Databehandleravtale kreves der vilkårene gjelder, men er ikke en erstatning for å forstå behandlingsansvar, formål og grunnlag. Kontroller også underleverandører og eventuell behandling utenfor relevant område.
Personvern og regnskapsoppbevaring må ses sammen. En generell sletteforespørsel kan ikke automatisk fjerne materiale virksomheten må bevare. Samtidig skal unødvendige arbeidskopier ikke bli liggende uten vurdering. Artikkelen er en kartleggingsrutine, ikke en full juridisk klassifisering av et bestemt regnskapsforetak. Ved tvil må faktiske behandlinger og avtaler gjennomgås konkret, med relevant faglig hjelp når nødvendig.
Ved ny tilgang bør dere også undersøke om gamle brukere fortsatt har adgang. En avsluttet medarbeider eller tidligere samarbeidspartner trenger ikke nødvendigvis se nye lønnsdata. Tilgangskontroll og dokumentert sletting av unødvendige arbeidskopier kan redusere risiko, men må gjennomføres med hensyn til lovpålagt oppbevaring og faktisk behandlingsansvar.
Kilder og videre arbeid
Datatilsynet om databehandleravtaler.
Datatilsynet om behandlingsansvarlig og databehandler.
Regnskapsførerloven om regnskapsoppdrag.
Les også saldobekreftelser fra kunder og leverandører.
Les også forklare endringer i egenkapitalen med regnskapsfører.