Norsk · Art. 30
Behandlingsprotokoll for SMB (uten enterprise GRC)
Hva en liten virksomhet faktisk må ha i en behandlingsprotokoll, hvordan den skiller seg fra leverandørregisteret, og hvordan du holder den levende.
Published 2026-08-31
Datatilsynet ber om oversikt over behandlinger. Kunder ber om underleverandører. To dokumenter. Ett register som mater begge er det SMB tåler å vedlikeholde.
Minsteinnhold som faktisk brukes
- Formål og behandlingsgrunnlag i vanlig språk.
- Kategorier av registrerte og opplysninger.
- Mottakere / behandlere.
- Lagringstid og overføring ut av EØS.
Dette er generell praksis for SMB, ikke juridisk rådgivning. La DPO eller advokat se gjennom før noe sendes til kunde eller tilsyn.
Questions
Må et AS med 12 ansatte ha behandlingsprotokoll?
Art. 30 gjelder. Unntaket for virksomheter under 250 ansatte er smalt og faller bort ved risiko, jevnlig behandling eller særlige kategorier. De fleste SaaS-selskaper bør føre en kort protokoll.
Kan leverandørlisten erstatte protokollen?
Nei. Listen svarer «hvem». Protokollen svarer «hvorfor, hjemmel, hvem sine data, hvor lenge».