Undrar du hur väl din organisation uppfyller kraven i dataskyddsförordningen? Eller saknar du ett strukturerat sätt att arbeta med GDPR? Oavsett vart ni befinner er i dataskyddsarbetet är en GAP-analys ett effektivt sätt att synliggöra risker, skapa en gemensam bild av nuläget och lägga grunden för fortsatt arbete. Så hur gör ni en GAP-analys inom GDPR? Det svarar vi på i det här blogginlägget.
Vad är en GAP-analys inom GDPR?
En GAP-analys är en strukturerad genomgång av var verksamheten står idag i förhållande till GDPR:s krav. Syftet är att identifiera skillnader mellan nuläget och det önskade läget. Resultatet blir ett tydligt underlag för vilka insatser som krävs för att nå full compliance.
Varför ska jag göra en GAP-analys inom GDPR?
En GAP-analys ger er flera viktiga fördelar som:
- Ökad förståelse för vilka krav GDPR ställer på er organisation
- Insikt kring ert nuläge och vilka brister i er GDPR-efterlevnad som behöver åtgärdas
- Ett konkret beslutsunderlag som visar hur ni bör prioritera och fördela resurser
- Stärkt förtroende hos kunder och registrerade genom att visa att ni tar dataskydd på allvar
Framför allt är det ett praktiskt verktyg för uppföljning som gör det enkelt att mäta och följa er regelefterlevnad över tid. Ni ser er utveckling och analysen kan med fördel användas som underlag för att äska mer resurser.
Hur gör jag en GAP-analys för GDPR-efterlevnad?
1. Definiera kraven
Utgå från kraven enligt dataskyddsförordningen. Exempelvis registerförteckning, incidenthantering, personuppgiftsbiträdesavtal, integritetspolicy mm.
2. Kartlägg ert nuläge
Se över dokumentation och interna processer. Stödjer sig alla personuppgiftsbehandlingar på en rättslig grund? Har ni en integritetspolicy som är lätt att ta till sig av och som är anpassad efter er målgrupp? Intervjua nyckelpersoner och/eller genomför workshops där ni går igenom kraven tillsammans.
3. Identifiera gapen och upprätta en åtgärdsplan
Bedöm hur väl ni uppfyller kraven och dokumentera detta i en rapport. Upprätta en aktivitetslista för varje krav som ni inte uppfyller. Upprätta även en aktivitetslista för varje krav som uppfylls, men med aktiviteter som ska ingå i ert systematiska dataskyddsarbete
Vilka ska jag involvera i arbetet?
För att få en heltäckande bild av er GDPR-efterlevnad bör flera roller involveras:
- Personer med god verksamhetskännedom
- HR och marknad som hanterar personuppgifter i sina processer
- IT för tekniska frågor
- Informationssäkerhetssamordnare eller motsvarande
- Ledningen för mandat och strategiska beslut kring vilka aktiviteter som ska prioriteras
Hur arbetar jag vidare med resultatet?
När GAP-analysen är klar är nästa steg att omsätta insikterna i handling:
Prioritera åtgärder – utgå från aktivitetslistan ni tagit fram för alla krav som ni inte uppfyller. Exempelvis: För att uppfylla kravet på en registerförteckning behöver vi kartlägga alla våra personuppgifter. Börja med aktiviteter som kräver liten insats men ger stor effekt på compliance.
Fördela ansvar – tydliggör vem som gör vad för att säkerställa framdrift i dataskyddsarbetet.
Upprätta ett årshjul – för alla krav som uppfylls upprättar ni ett årshjul. I årshjulet bestämmer ni när under året aktiviteter i ert systematiska dataskyddsarbete ska genomföras. Exempelvis: Under januari månad granskar och uppdaterar vi registerförteckningen.
Det blir med andra ord två separata aktivitetslistor – en för aktiviteter inför det systematiska dataskyddsarbetet och en i det systematiska dataskyddsarbetet. Vi rekommenderar att ni delar upp arbetet på detta sätt för att skapa tydlighet kring vad som behöver göras, samtidigt som ni betonar att dataskyddet är en kontinuerlig process med återkommande aktiviteter.
Hur ofta ska jag göra en ny GAP-analys för GDPR?
GDPR-arbetet är inte statiskt. Nya system, processer och lagtolkningar påverkar efterlevnaden. Därför bör en GAP-analys genomföras minst en gång per år, samt vid större förändringar i verksamheten. Regelbunden uppföljning gör att ni håller jämna steg med kraven och minskar risken för sanktionsavgifter.
GAP-analys inom GDPR som strategiskt verktyg
En GAP-analys inom GDPR är ett verktyg som hjälper organisationen att förstå, prioritera och agera i tid. Det är det bästa sättet att säkerställa att ni inte bara följer GDPR, utan även att ni kan visa hur ni efterlever lagkravet.
Vill du veta hur processen fungerar i praktiken?
👉 Läs mer om hur en GAP-analys genomförs hos DirSys och hur den kan stärka er dataskyddsstrategi här.
Författare Louise Andersson,
Konsult Dataskydd och informationssäkerhet på DirSys AB
