RGPD (GDPR) Efterlevnadsguide för företag i Frankrike

Den allmänna dataskyddsförordningen (GDPR), känd som RGPD i Frankrike, har varit i kraft sedan 2018 men många företag uppfyller fortfarande inte kraven fullt ut. Med böter upp till 20 miljoner euro eller 4% av den globala årsomsättningen och franska tillsynsmyndigheten CNIL som skärper tillsynen är efterlevnad inte längre valfritt.

Denna guide täcker de väsentliga skyldigheterna och senaste ändringarna, inklusive AI-transparenskraven 2025.

Varför det är allvarligt

Typ av överträdelse	Maximal böter
Tekniska överträdelser	10 milj. EUR eller 2% av omsättningen
Rättighetskränkningar	20 milj. EUR eller 4% av omsättningen

CNIL har utfärdat över 400 miljoner euro i böter sedan RGPD trädde i kraft. SMF är inte undantagna — sanktioner på 50 000 till 500 000 EUR drabbar regelbundet organisationer av alla storlekar.

De 7 kärnkraven

1. Informerat samtycke

Samtycke måste vara:

• Frivilligt — inga förikryssade rutor
• Specifikt — ett samtycke per ändamål
• Informerat — tydlig förklaring av dataanvändning
• Otvetydigt — kräver positiv åtgärd från användaren

2. Register över behandlingsaktiviteter

Obligatoriskt för organisationer med över 250 anställda, men rekommenderat för alla. Måste innehålla ändamål, datakategorier, mottagare, lagringstider och säkerhetsåtgärder.

3. Dataskyddsombud (DPO)

Obligatoriskt för offentliga organ, organisationer som behandlar data i stor skala och de som hanterar känsliga uppgifter. Även utan skyldighet är det god praxis att utse ett dataskyddsombud.

4. Konsekvensbedömning (DPIA)

Krävs när behandling sannolikt leder till hög risk för individers rättigheter. Exempel: videoövervakning, profilering, behandling av hälsodata.

5. Anmälan av dataintrång

Vid dataintrång:

• 72 timmar för att anmäla till CNIL
• Informera drabbade individer vid hög risk
• Dokumentera varje intrång, även mindre

6. Rätt till information

Varje individ måste veta vilka uppgifter som samlas in, varför, hur länge de lagras, vem som har tillgång och hur rättigheter utövas (tillgång, rättelse, radering, dataportabilitet).

7. AI-transparens (Nytt 2025)

Sedan 2025 måste organisationer som använder AI för automatiserade beslut informera berörda personer, förklara logiken och möjliggöra överklagande.

Dela efterlevnadsdokument säkert

RGPD-efterlevnadsdokument innehåller känslig information: behandlingsregister, konsekvensbedömningar, revisionsrapporter, korrespondens med tillsynsmyndigheter.

Att skicka via vanlig e-post skapar extra risker. LOCK.PUB låter dig skapa en lösenordsskyddad länk med automatisk utgång för att dela dokument säkert med DPO, jurist eller CNIL. Skicka länken via WhatsApp — praktiskt och säkert.

Gratis CNIL-verktyg

CNIL erbjuder flera gratis verktyg:

• PIA: konsekvensbedömningsprogram med öppen källkod
• Mall för behandlingsregister (nedladdningsbar från cnil.fr)
• Guide för underleverantörer (personuppgiftsbiträdens skyldigheter)
• Sektorsspecifika ramverk (hälsa, HR, kunder)

RGPD Efterlevnadschecklista

• Uppdaterat behandlingsregister
• Publicerad integritetspolicy
• Regelefterlevande cookiebanner
• Dokumenterade samtyckesprocesser
• DPO utsedd (om nödvändigt)
• Rutin för anmälan av dataintrång
• Leverantörsavtal med RGPD-klausuler
• Personalutbildning
• DPIA för högriskbehandling
• Process för att hantera begäran från registrerade

Vanliga misstag

1. Förväxla samtycke med berättigat intresse — det är två olika rättsliga grunder
2. Lagra data för länge — att spara data "för säkerhets skull" är olagligt
3. Glömma leverantörer — du ansvarar för dina personuppgiftsbiträden
4. Försumma säkerheten — RGPD kräver lämpliga tekniska åtgärder
5. Ignorera registrerades rättigheter — du har 1 månad att svara

Slutsats

RGPD-efterlevnad är en pågående process, inte ett engångsprojekt. Reglerna utvecklas, CNIL skärper tillsynen och medborgarnas integritetskrav fortsätter att stiga.

Börja med grunderna — register, transparens, säkerhet — och bygg vidare därifrån. När du behöver dela känsliga efterlevnadsdokument, använd LOCK.PUB.

---

Dataskydd är inte bara en laglig skyldighet. Det är ett löfte till dina kunder och medarbetare.