For at kunne indsamle og behandle persondata skal du have et såkaldt "lovligt behandlingsgrundlag".

Når du laver løn, vil persondata som CPR-nummer og lønoplysninger være en del af at leve op til ansættelseskontrakten, og derfor har du dit behandlingsgrundlag i orden. 

Men hvad med de situationer, hvor du indsamler data af andre årsager? Fx, hvis lageret eller parkeringspladsen er videoovervåget, eller hvis I logger alle e-mails. Her er det vigtigt at sikre, at du har et lovligt behandlingsgrundlag på plads.

Du skal kunne dokumentere, at al dataindsamling er rimelig og relevant. GDPR kalder det "proportionalitet" – og det er ikke kun vigtigt i praksis, men også i kommunikationen med de ansatte. Det handler om at sikre gennemsigtighed og give medarbejderne klar besked, så du lever op til GDPR-kravene om information.

Bortset fra at du altid kun må indsamle de absolut nødvendige persondata, skal I være klare i spyttet med hensyn til, hvordan og hvor ofte I sletter data igen.

Ikke alle data må opbevares lige længe (eller kort!). Fx er der stor forskel på, hvor længe du må opbevare en ansøgning, og så data på en medarbejder der er fratrådt. 

GDPR kalder det "integritet og fortrolighed", men du kan snildt oversætte det til sikkerhed. 

Sikkerhed handler ikke kun om, at it-sikkerheden er i orden. Det gælder også rent fysisk. Fx at dokumenter med persondata ikke ligger og flyder. 

Sikkerhed betyder også, at du skal være helt spids på, hvem i virksomheden der har adgang til hvilke data. Her gælder de andre GDPR-principper også. Det er ikke i orden, at alle har adgang til alt. Det skal være relevant.