Persondata – et spørgsmål om kultur og tillid

At have en klar strategi for virksomhedens behandling af persondata er fra foråret 2018 ikke længere bare god kutyme. Med den nye persondataforordning er det en lovmæssig pligt. Men det kan være langt mere end det. Hvis man beslutter det og får kulturen med.

13.10.2017

Eva Harpøth Skjoldborg og Alexander Melchior, CSR.dk

Den nye persondataforordning træder i kraft 25. maj 2018 med krav til hvordan alle virksomheder behandler persondata, interne, såvel som kunders og leverandørers. Ikke bare virksomheder af en hvis størrelse, men alle. Så hvordan bliver man som virksomhed klar til de nye regler?

”Man er nødt til at få det tænkt ind i forretningen. Det handler både om hvad data betyder for virksomheden, og om hvordan virksomheden er afhængig af tillid fra kunderne, når det gælder behandling af data,” siger Birgitte Kofod Olsen, partner i Carve Consulting og ph.d. i IT og privacy.

Spørgsmålet om, hvordan virksomheder behandler persondata, går nemlig langt ud over blot overholdelse af lovgivning. Det påvirker en virksomheds forhold til alle interessenter, kunder, medarbejdere leverandører.

”I virkeligheden starter det altså et helt andet sted en compliance. Man sætter sig ned med sin ledelse og finder ud af , hvad betyder persondata for os, og hvad er vores ambitionsniveau i forhold til at skabe effektiv persondatabeskyttelse,” vejleder hun.

”Det er vigtigt at have afklaring i toppen: hvor er det vi vil hen med det her, hvad skal vi bruge det til? Vil vi ”bare” være i compliance, eller vil vi gå videre end det,”  siger Birgitte Kofod Olsen.

At gå videre kan f.eks. handle om at blokere for tredjepartscookies på ens hjemmeside, så man ikke overfører vores besøgendes data til nogle af de store datamonopoler som Google, Facebook og Amazon.

Datalandskab og impact
Først når disse drøftelser er foretaget, er det tid til at lære sit datalandskab at kende. Det gør man ved at undersøge og kortlægge virksomhedens brug af data.

”Man bliver nødt til at sætte sig og tegne dataflows, så man får overblik over hvilke opgaver virksomheden løser og hvilke data man bruger til det. Den metode jeg bruger, undersøger hvordan man bruger data til løsning af konkrete opgaver i modsætning til at kigge på en afdelings brug af data i en arbejdsproces eller i et system. Det er min erfaring, at det giver et bedre overblik,” siger Birgitte Kofod Olsen.  

Det overblik skal man nemlig bruge til at foretage den nu lovpligtige konsekvensanalyse – eller data protection impact assessment (DPIA), som det så mundret hedder. Med den på plads kan man så begynde på selve implementeringen, hvor man udarbejder  politik, procedure, governancestruktur, fordele nye roller osv.

”Noget af det, som virksomhederne slås med, er, at få vendt perspektivet på risiko- og impactanalyserne fra at handle om hvad det betyder for virksomheden til hvordan virksomhedens brug af data har betydning for de mennesker, hvis data det er, vi bruger. Vi skal hen til at arbejde ud fra det punkt, hvor det ikke er et spørgsmål om hvor stor bøden bliver, men et spørgsmål om at det er nogle mennesker der bliver påført en risiko,” siger Birgitte Kofod Olsen.

En ny datakultur
Ifølge Birgitte Kofod Olsen er næste skridt at få etableret databeskyttelse som en del af kulturen. At man selvfølgelig passer på kundernes, medarbejdernes og leverandørernes data. Både, fordi data har værdi – også for forretningen Men også ud fra dataetiske overvejelser.

”Man kan komme langt med træning af medarbejdere og kommunikation, men hvis det virkelig skal blive til noget så skal et etisk forhold til persondata indarbejdes i virksomhedens DNA og forretningsstruktur,” siger Birgitte Kofod Olesen.

Hvor er der en god indikator at rapportere på?

Global Reporting Initiative (GRI) har allerede nu indikatorer, hvor man måler på antal modtagne klager, og på sikkerhedsnedbrud, som kan være hackerangreb eller at en medarbejder har fået uautoriseret adgang til data, eller situationer hvor man ved en fejl har lagt en masse cpr-numre ud på nettet.

Det gode ved de indikatorer er, at de matcher persondataforordningens krav om at underrette datatilsynet og datasubjekter om sikkerhedshændelser. Så derfor vil det ikke være en ekstra ting, man skal måle på.

I den nye GRI-standard,, kommer der i løbet af 2018 nogle nye indikatorer med. Ifølge Birgitte Kofod Olsen vil klager og sikkerhedsfejl givetvis også være med , men der vil sikkert blive tilføjet indikatorer på antal person, der er trænet i databeskyttelse, og antallet af screenede  af leverandører i samme.

Tag nu en energivirksomhed, som Carve Consulting har arbejdet med. Her har de talt med medarbejderne om, hvordan de skulle passe på data, og f.eks. peget på, at når man efterlader en arbejdsipad i bilen, så er det ikke virksomhedens men kundernes data man efterlader. Og at de data ikke tilhører virksomheden, men bare er lånt af kunderne

”Det, at vi skal passe på data, fordi de er lånt og tilhører nogle andre, udløser en bevidsthed om, at man skal være påpasselig med data. Det er den kultur, man skalhave opbygget på persondataområdet,” siger Birgitte Kofod Olsen.

Trusler og muligheder
Risikoen ved ikke at etablere sådan en kultur er store, men det er mulighederne ved at gøre det heldigvis også.

Birgitte Kofod Olsen beskriver risikoen som tredelt: Der er risikoen, man påfører sine kunder, der er omdømmerisikoen for virksomheden, og der er risikoen for klager eller erstatningskrav.

Sidstnævnte kan, afhængigt af hvilke regler man overtræder, være på mellem 10 millioner euro eller to procent af omsætningen eller 20 millioner euro eller op til fire procent af omsætningen. Og det er jo også en slags penge.

Omdømmerisikoen kan også blive afregnet kontant, hvis det udvikler sig til at kunder vælger din virksomhed fra, hvis du ikke kan vise at du håndterer persondata ordentligt.

”De ret betragtelige beløb afspejler jo så også konsekvensen af ikke at komme i hus med at leve op til persondataforordningen. Så må virksomheden leve med det risikobillede. Alt tyder på, at kunder bliver mere og mere bevidste om at data jo er deres. Så det handler om, at hvis kunderne skal blive ved med at bevare tilliden til ens virksomhed, og man skal bevare sin konkurrenceevne, så bliver man nødt til at gøre noget alvorligt ved det her,” siger Birgitte Kofod Olsen.

Miljømærkning Danmark

Sponseret

Fra ambition til action – succes med miljømærkede indkøb

CSR.dk

Jobopslag: Fagmedie eller jobportal – hvad virker bedst?

Relateret indhold

28.08.2025Sex & Samfund

Sponseret

"Jeg var så bange for at dø"

27.08.2025UN Global Compact Network Denmark

Sponseret

UN Global Compact Network Denmark opstarter nyt Think Lab med fokus på Living Wage

26.08.2025Toyota Material Handling A/S

Sponseret

FreeBee A/S skaber et mere sikkert arbejdsmiljø med ny halvautomatiseret lagerløsning

18.08.2025Dansk Standard

Sponseret

Tiden er inde til at sætte fokus på overgangsalder på arbejdspladser

15.08.2025UN Global Compact Network Denmark

Sponseret

Fordi inklusion, lighed og værdighed ikke er til forhandling

15.08.2025CSR.dk

Ny rapport: Børnearbejde falder markant og flere børn kommer i skole verden over

11.08.2025Klimakampen ApS

Sponseret

Sæt turbo på CSR initiativerne med nudging!

30.07.2025UN Global Compact Network Denmark

Sponseret

FN-værktøj skal styrke lige muligheder på arbejdspladsen

Hold dig opdateret med CSR.dk

Tilmeld dig nyhedsbrevet og følg med i alt som rører sig indenfor ESG og bæredygtig udvikling Nyhedsbrevet kommer kun to gange ugentligt. Herudover sender vi dig relevante temaer og spændede events.

Se flere temaer

Events

Se alle
UN Global Compact Network Denmark
Efteruddannelse
Nordic Programme on Non-Discrimination

The Nordic Programme on Non-Discrimination is an online programme designed to support Nordic businesses in advancing equality and inclusion across their operations. If your company is ready to take meaningful steps to identify, assess, and address discrimination-related risks, this programme will guide you through the process with practical tools and expert insights. Sign up before 16 June.

Dato

29.08.2025

Tid

09:30

Sted

Online

Bureau Veritas
Kursus
QMS ISO 9001:2015 Lead Auditor Kvalitet (CQI IRCA-certificeret)

Bliv certificeret ISO 9001:2015 Lead Auditor i kvalitetsledelsessystemer (CQI-IRCA-certificeret)

Dato

01.09.2025

Tid

08:30

Sted

Middelfart

Dansk Standard
Kursus
Kursus i Svanemærket renovering

Du får en dybdegående gennemgang af Svanemærkets krav til renovering af byggeri. Kurset tager udgangspunkt i kriteriegeneration 2 for renovering, der bl.a. stiller krav til miljøundersøgelser og kortlægning af eksisterende byggeri, energi, klima, ressourceeffektivitet, cirkulær økonomi, indeklima, materialer og kemi.

Dato

03.09.2025

Tid

09:00

Sted

Hindsgavl Slot, Middelfart

Byggeriets Samfundsansvar
Morgenmøde
Online morgenmøde: Introduktion til Byggeriets Samfundsansvar

Er du lige blevet medlem, overvejer du det eller vil du høre mere om Byggeriets Samfundsansvar? Så kom med når vi holder en times online morgenmøde som introduktion til foreningen. Her kan du blandt andet kan få en introduktion til foreningens arbejdsgrupper, nye ESG-rapport, projekter og tilgængelige værktøjer og samtidigt få en stemme i foreningens fremtidige retning. Møderne er åbne for alle, og finder sted en gang hvert halve år på teams.

Dato

03.09.2025

Tid

09:00

Sted

Online

Bureau Veritas
Kursus
Intro til NIS2

- Hvad er det, hvad betyder det, og hvordan kommer vi i gang?

Dato

04.09.2025

Tid

08:00

Sted

Fredericia

DTU
Efteruddannelse
Kvalitetsstyring

På kurset, som også er et diplommodul, vil du få forståelse for sammenhængen mellem kvalitetsstyring af produkter og services og virksomhedens drift.

Dato

04.09.2025

Tid

09:00

Sted

Lautrupvang 15. 2750 Ballerup