Hvad skal kortlægges? Hvad skal der gøres? Ledelsesudfordringerne, som GDPR stiller

Som leder er du ansvarlig for, at selskabet overholder love og regler, og nu gælder det EUs nye persondataforordning, der træder i kraft til maj 2018. 'To do'-listen involverer både advokater, teknologer og specialister i (digital) kommunikation og strategi, mens I selv kan foretage en stor del af kortlægningen. Gode strategiske GDPR-projekter danner grundlag for hurtigere implementeringstid og mindre dobbeltarbejde.

Forskellige virksomheder, forskellige behov 

For virksomheder, der er funderet på en abonnementsmodel og lange kunderelationer på forbrugermarkedet, betyder GDPR bare mere af det samme – ærlige kundedialoger. De nye regler åbner for, at kunder og forbrugere har ret til at få slettet oplysninger, de selv har opgivet i virksomhedernes databaser, hvis de ønsker det. Derudover har en forbruger ret til at få udleveret alle de data, din virksomhed har gemt om vedkommende, f.eks. CRM-data, samt de typer profiler, du har oprettet af vedkommende. I en opsigelsessituation vil forbrugeren kunne kræve, at disse oplysninger overføres til en af dine konkurrenter.

Det bedste svar på denne udfordring er at få en effektiv, åben og ærlig digital kundedialog. GDPR giver kunderne/borgerne mere magt, og I vil sandsynligvis være nødt til at foretage ændringer på systemsiden for at gøre data tilgængelige for redigering, sletning og portering til konkurrenterne, hvis kunden ønsker det.

GDPR drejer sig om digital kundedialog
GDPR er faktisk en stor markedsmulighed, og erfarne ledere, der forstår kunden, bør ikke have så mange betænkeligheder. I praksis drejer dette sig om åben, ærlig og enkel dialog.

I sidste ende betyder GDPR, at I skal tænke endnu mere i retning af det, som englænderne kalder 'privacy by design'. Det betyder, at man skal se på beskyttelse af personlige oplysninger som et centralt udgangspunkt, når man udvikler løsninger, der opbevarer kundedata. Dette bliver nu obligatorisk og meget aktuelt, fordi de teknologier, der benyttes, giver så mange muligheder for at komme i konflikt med GDPR. Kundens ret til at blive informeret understreger behovet for åbenhed i forhold til, hvordan I håndterer og benytter personoplysninger.

Samtykkeudfordringer og praktiske konsekvenser
Der skal indhentes samtykke i forbindelse med lagring af alle persondata, som man ikke ellers ville have et lovligt grundlag for at gemme. Der skal informeres om, hvilken slags data der lagres, og der skal gives specifikt samtykke for hver enkelt formål, som dataene bruges til. Det betyder, at hvis du har fået tilladelse til at gemme data, der skal bruges til et tilbud om en strømaftale, kan du næppe sende en e-mail med reklame for et mobilabonnement.

For mange virksomheder betyder det, at der skal indhentes samtykke igen. Disse og andre krav betyder, at der skal etableres nye systemer frem til maj 2018. Det nye sanktionssystem giver myndighederne ret til at pålægge et overtrædelsesgebyr for grove overtrædelser af forordningen. Da eventuelle bøder gives på koncernniveau, kan sjusk og genveje i et datterselskab med få kunder få store konsekvenser for koncernen. 

Så hvordan skal I kommunikere med kunden?
Retten til at blive informeret betyder, at brugerne får fuldt indblik i, hvordan deres personoplysninger behandles. Det vigtige her er at kommunikere i almindeligt sprog – fortælle kunden, hvilke data du gemmer, hvorfor du behandler deres data, hvor længe de vil blive opbevaret, og hvem der modtager dem.

Dette er et af de centrale punkter i GDPR, og det nødvendiggør, at oplysningerne skal være "kortfattede, ærlige, forståelige og lettilgængelige." Det er ikke tilladt at bruge forudfyldte afkrydsningsfelter, men vigtigere er måske, at kunden aldrig har brudt sig om det. GDPR er en større udfordring for virksomheder, der ignorerer kundernes behov, end for virksomheder, der har den bedst mulige kundeoplevelse som rettesnor. 

Brug GDPR som en mulighed
Formålet med GDPR er også at imødegå trusler som cyberangreb og identitetstyveri, og konsekvensen er, at virksomhedernes normale kommunikationskanal er truet. Der er mange gode løsninger, som både varetager virksomhedernes behov for effektiv, digital kundedialog, og som opfylder de nye sikkerhedskrav. GDPR er simpelthen en mulighed for virksomhederne til at vise, at de tager de fornødne skridt til at beskytte forbrugernes personoplysninger og datasikkerhed.

Hvem skal gøre hvad?

'To do'-listen involverer som tidligere nævnt både advokater, teknologer og specialister i (digital) kommunikation.

1. I skal kortlægge, hvor og hvordan I gemmer personoplysninger, om datasikkerheden er tilstrækkelig, og hvad I bruger dataene til.
2. Gennemgå de aftaler, I har med datarelaterede leverandører (CMS, hosting, kontorservice, konsulenter osv.)
3. Gennemgå praksis i forhold til performance marketing (Google AdWords, Analytics, Facebook osv.), kundekommunikation og anden digital markedsføring.
4. Gennemgå praksis med henblik på beskyttelse af personlige oplysninger, samtykke, sletning, portabilitet osv.
5. Revidere og styrke de interne kontrolrutiner (compliance), herunder underretningsrutiner for henvendelser og overtrædelser af reglerne.
6. Definere klare roller og ansvar på området for beskyttelse af personlige oplysninger (holistisk) og vurdere, om I har brug for en dedikeret databeskyttelsesansvarlig.

Både data, programmer og processer skal kortlægges

Data
1. Hvilke datakategorier har virksomheden?
2. Kan databaser og filer lægges sammen og reduceres?
3. Er dataflows overvåget, dokumenteret og beskrevet?
4. Har man aktiv godkendelse fra registrerede brugere i dag?
5. Har en registreret bruger mulighed for at redigere oplysninger om sig selv?
6. Er dataene krypteret "in situ" og "in transit"?
1. Lønsedler skal f.eks. sendes som "en kuvert i en kuvert". Med andre ord skal lønsedlen være en krypteret vedhæftet fil, som kun modtageren kender adgangskoden til. Så de personlige oplysninger krypteret "in situ" og "in transit" og kun tilgængelige for den modtager, som kender krypteringsnøglen.

Programmer
1. Hvilke programmer behandler berørte oplysninger i virksomheden i dag?
2. Er dataflows for programmet overvåget, dokumenteret og beskrevet?
3. Har man aktiv godkendelse fra registrerede brugere for hver enkelt program i dag?
4. Har en registreret bruger mulighed for at redigere oplysninger om sig selv i et program?
5. Er Security by Design indarbejdet i programmet? (fortrolighed, integritet og tilgængelighed)
6. Er trusler og risici blevet vurderet under programudviklingen?
7. Er Privacy by Design blevet sikret i programmet?
8. Hvordan skal man behandle børns accept?
9. Er grundlaget for indsamling af specifikke oplysninger godt beskrevet?
10. Er det nemt for brugeren at anmode om at se, hvilke oplysninger der er indsamlet?
11. Er det nemt for brugeren at anmode om at redigere oplysningerne om sig selv?
12. Er det nemt for en bruger at anmode om at få oplysninger om sig selv slettet (uden at bryde øvrige lovkrav)?
13. Bliver minimering af dataindsamling, gennemsigtighed, aktiv godkendelse, proaktiv sikring af indsamlede data i form af kryptering osv. varetaget i programmet?

Processer for og dokumentation af gennemførelse af kontrolaktiviteter.
1. Er aftaler med databehandler og dennes underleverandør kortlagt og dokumenteret?
2. Kan databehandler fremlægge dokumentation af kontrolaktiviteterne?
3. Gennemføres der en risikovurdering af, hvor kritiske programmet/dataene er?
4. Er procedurerne for rapportering af hændelser på plads?
5. Er der en procedure på plads for at hente en brugers oplysninger ved anmodning?

Terminologi

• Datasubjekt
  • Den person, hvis data indsamles, og som kan identificeres, direkte eller indirekte, ud fra dataene.
• Data Controller (den behandlingsansvarlige)
  • Den organisation, der definerer årsagen til dataindsamlingen
  • Den, der bestemmer, hvordan dataene indsamles og behandles
  • Den, der umiddelbart er ansvarlig for datalagringen
• Data Processor (databehandler)
  • En person eller enhed, der handler på vegne af den behandlingsansvarlige for at opbevare eller behandle oplysningerne
  • Eksempelvis:
    • konsulentvirksomheder
    • outsourcingfirmaer
    • offsite lagringsleverandører
    • cloud-leverandører (skyen)
    • markedsføringsorganisation, der fører kampagner
• Supervisory Authorities (tilsynsmyndigheder)
  • Offentlige organer oprettet af myndighederne i EU-landene, der rådgiver den dataansvarlige og datasubjektet om loven og håndhævelsen af​forordningen.
  • De kan undersøge overtrædelser og idømme den registeransvarlige og 'databehandleren' bøder.
  • Nogle gange refereret til som databeskyttelsesmyndighederne, Data Protection Authorities (DPA).
• Data Protection Officer (DPO – databeskyttelsesansvarlig)
  • En databeskyttelsesansvarlig, der skal udpeges for
    • Offentlige myndigheder
    • Virksomheder, hvor den dataansvarlige og databehandleren regelmæssigt og systematisk overvåger datasubjekter i større skala
    • Enheder, hvor en virksomhed i stor skala behandler følsomme personoplysninger
  • Formuleringen "mere end 250 ansatte" er blevet fjernet i de nye regler.
• Personoplysninger
  • Navn, adresse, fødselsdato, CPR-nummer, personlig e-mailadresse,
  • Virksomhedens e-mailadresse og telefonnummer.
  • Online-id'er fra forskellige 'enheder' og dataprogrammer, herunder IP-adresse, cookies eller andre identifikatorer såsom RFID-koder.
  • Data, der bruges alene eller sammen med andre data for at identificere et individ/en person.
• Følsomme personoplysninger
  • Genetiske eller biometriske data
    • Fysisk eller psykisk sundhed
    • Race eller etnisk oprindelse
    • Politiske holdninger
    • Fagforeningsmedlemskab
    • Religiøs eller filosofisk overbevisning
    • Seksuelle præferencer
  • Data om kriminelle handlinger og strafudmåling behandles særskilt i (direktiv 2016/680). Kan kun behandles af de nationale myndigheder.