Når en virksomhed sender gavekort eller pakker ud til sine ansatte, videregives der som regel navne, mailadresser og ofte private adresser til en ekstern leverandør. Det er en behandling af personoplysninger, og den følger de samme regler som alt andet.
Leverandøren er databehandler
Modtager de en liste med ansatte og handler efter jeres instruks, er de databehandlere. Så skal der foreligge en databehandleraftale, inden listen sendes. Det er det led der oftest mangler, fordi opgaven opfattes som indkøb frem for databehandling.
Regnearket i en mail er problemet
Den typiske fremgangsmåde er et ark med alle ansatte vedhæftet en almindelig mail. Det er hverken krypteret eller sporbart, det ligger i to indbakker bagefter, og det bliver sjældent slettet.
Hjemmeadresser kræver et ekstra hensyn
Skal gaven sendes hjem, videregives privatadresser. Det bør fremgå af oplysningspligten, og medarbejderen bør kunne vælge levering på arbejdspladsen i stedet.
Slet listen bagefter
Der er ingen grund til at leverandøren har medarbejderlisten i marts. Aftal en slettefrist, og bed om bekræftelse.
Vælg en løsning der er bygget til det
Platforme til området håndterer typisk både udsendelse, samtykke og sletning. Er man i tvivl om hvad der reelt videregives, er hvordan udsendelsen fungerer det første man bør bede leverandøren redegøre for, inden listen forlader huset.