Persondata – et spørgsmål om kultur og tillid

At have en klar strategi for virksomhedens behandling af persondata er fra foråret 2018 ikke længere bare god kutyme. Med den nye persondataforordning er det en lovmæssig pligt. Men det kan være langt mere end det. Hvis man beslutter det og får kulturen med.

13.10.2017

Eva Harpøth Skjoldborg og Alexander Melchior, CSR.dk

Den nye persondataforordning træder i kraft 25. maj 2018 med krav til hvordan alle virksomheder behandler persondata, interne, såvel som kunders og leverandørers. Ikke bare virksomheder af en hvis størrelse, men alle. Så hvordan bliver man som virksomhed klar til de nye regler?

”Man er nødt til at få det tænkt ind i forretningen. Det handler både om hvad data betyder for virksomheden, og om hvordan virksomheden er afhængig af tillid fra kunderne, når det gælder behandling af data,” siger Birgitte Kofod Olsen, partner i Carve Consulting og ph.d. i IT og privacy.

Spørgsmålet om, hvordan virksomheder behandler persondata, går nemlig langt ud over blot overholdelse af lovgivning. Det påvirker en virksomheds forhold til alle interessenter, kunder, medarbejdere leverandører.

”I virkeligheden starter det altså et helt andet sted en compliance. Man sætter sig ned med sin ledelse og finder ud af , hvad betyder persondata for os, og hvad er vores ambitionsniveau i forhold til at skabe effektiv persondatabeskyttelse,” vejleder hun.

”Det er vigtigt at have afklaring i toppen: hvor er det vi vil hen med det her, hvad skal vi bruge det til? Vil vi ”bare” være i compliance, eller vil vi gå videre end det,”  siger Birgitte Kofod Olsen.

At gå videre kan f.eks. handle om at blokere for tredjepartscookies på ens hjemmeside, så man ikke overfører vores besøgendes data til nogle af de store datamonopoler som Google, Facebook og Amazon.

Datalandskab og impact
Først når disse drøftelser er foretaget, er det tid til at lære sit datalandskab at kende. Det gør man ved at undersøge og kortlægge virksomhedens brug af data.

”Man bliver nødt til at sætte sig og tegne dataflows, så man får overblik over hvilke opgaver virksomheden løser og hvilke data man bruger til det. Den metode jeg bruger, undersøger hvordan man bruger data til løsning af konkrete opgaver i modsætning til at kigge på en afdelings brug af data i en arbejdsproces eller i et system. Det er min erfaring, at det giver et bedre overblik,” siger Birgitte Kofod Olsen.  

Det overblik skal man nemlig bruge til at foretage den nu lovpligtige konsekvensanalyse – eller data protection impact assessment (DPIA), som det så mundret hedder. Med den på plads kan man så begynde på selve implementeringen, hvor man udarbejder  politik, procedure, governancestruktur, fordele nye roller osv.

”Noget af det, som virksomhederne slås med, er, at få vendt perspektivet på risiko- og impactanalyserne fra at handle om hvad det betyder for virksomheden til hvordan virksomhedens brug af data har betydning for de mennesker, hvis data det er, vi bruger. Vi skal hen til at arbejde ud fra det punkt, hvor det ikke er et spørgsmål om hvor stor bøden bliver, men et spørgsmål om at det er nogle mennesker der bliver påført en risiko,” siger Birgitte Kofod Olsen.

En ny datakultur
Ifølge Birgitte Kofod Olsen er næste skridt at få etableret databeskyttelse som en del af kulturen. At man selvfølgelig passer på kundernes, medarbejdernes og leverandørernes data. Både, fordi data har værdi – også for forretningen Men også ud fra dataetiske overvejelser.

”Man kan komme langt med træning af medarbejdere og kommunikation, men hvis det virkelig skal blive til noget så skal et etisk forhold til persondata indarbejdes i virksomhedens DNA og forretningsstruktur,” siger Birgitte Kofod Olesen.

Hvor er der en god indikator at rapportere på?

Global Reporting Initiative (GRI) har allerede nu indikatorer, hvor man måler på antal modtagne klager, og på sikkerhedsnedbrud, som kan være hackerangreb eller at en medarbejder har fået uautoriseret adgang til data, eller situationer hvor man ved en fejl har lagt en masse cpr-numre ud på nettet.

Det gode ved de indikatorer er, at de matcher persondataforordningens krav om at underrette datatilsynet og datasubjekter om sikkerhedshændelser. Så derfor vil det ikke være en ekstra ting, man skal måle på.

I den nye GRI-standard,, kommer der i løbet af 2018 nogle nye indikatorer med. Ifølge Birgitte Kofod Olsen vil klager og sikkerhedsfejl givetvis også være med , men der vil sikkert blive tilføjet indikatorer på antal person, der er trænet i databeskyttelse, og antallet af screenede  af leverandører i samme.

Tag nu en energivirksomhed, som Carve Consulting har arbejdet med. Her har de talt med medarbejderne om, hvordan de skulle passe på data, og f.eks. peget på, at når man efterlader en arbejdsipad i bilen, så er det ikke virksomhedens men kundernes data man efterlader. Og at de data ikke tilhører virksomheden, men bare er lånt af kunderne

”Det, at vi skal passe på data, fordi de er lånt og tilhører nogle andre, udløser en bevidsthed om, at man skal være påpasselig med data. Det er den kultur, man skalhave opbygget på persondataområdet,” siger Birgitte Kofod Olsen.

Trusler og muligheder
Risikoen ved ikke at etablere sådan en kultur er store, men det er mulighederne ved at gøre det heldigvis også.

Birgitte Kofod Olsen beskriver risikoen som tredelt: Der er risikoen, man påfører sine kunder, der er omdømmerisikoen for virksomheden, og der er risikoen for klager eller erstatningskrav.

Sidstnævnte kan, afhængigt af hvilke regler man overtræder, være på mellem 10 millioner euro eller to procent af omsætningen eller 20 millioner euro eller op til fire procent af omsætningen. Og det er jo også en slags penge.

Omdømmerisikoen kan også blive afregnet kontant, hvis det udvikler sig til at kunder vælger din virksomhed fra, hvis du ikke kan vise at du håndterer persondata ordentligt.

”De ret betragtelige beløb afspejler jo så også konsekvensen af ikke at komme i hus med at leve op til persondataforordningen. Så må virksomheden leve med det risikobillede. Alt tyder på, at kunder bliver mere og mere bevidste om at data jo er deres. Så det handler om, at hvis kunderne skal blive ved med at bevare tilliden til ens virksomhed, og man skal bevare sin konkurrenceevne, så bliver man nødt til at gøre noget alvorligt ved det her,” siger Birgitte Kofod Olsen.

Merkur Andelskasse

Sponseret

Merkur deler ud af indtjeningen gennem andelskassens Værdipulje: Her er modtagerne

Rambøll A/S

Sponseret

Final Call: ESRS Deep-dive webinar

Relateret indhold

25.11.2024CSR.dk

Virksomheder er gode til måltal for kvinder i ledelse

20.11.2024Red Barnet

Sponseret

Børns rettigheder er med til at skabe en lysere og mere bæredygtig fremtid.

15.11.2024CSR.dk

Fik du sagt "godt nytår" til din kvindelige kollega i går?

13.11.2024CSR.dk

Ny rapport: Arbejdsvilkår overskrider firmas eget kodeks

07.11.2024CSR.dk

Ligestilling af værnepligtige kræver kulturændring

01.11.2024Meyers A/S

Sponseret

Meyers støtter Mødrehjælpens Julehjælp fra Valby til Viborg

31.10.2024BSR

Sponseret

Adequate Wages vs. Living Wages: Implementation Guidance for Companies

31.10.2024Lemvigh-Müller

Sponseret

Lemvigh-Müller er nomineret til Arbejdsmiljøprisen i Ergonomi

Jobmarked

Se alle

Hold dig opdateret med CSR.dk

Tilmeld dig nyhedsbrevet og følg med i alt som rører sig indenfor ESG og bæredygtig udvikling Nyhedsbrevet kommer kun to gange ugentligt. Herudover sender vi dig relevante temaer og spændede events.

Se flere temaer

Events

Se alle
FSR - danske revisorer
Uddannelse
Nye roller og ESG kontroller for ledere og medarbejdere i finans og regnskab

Arbejder du med vurdering af risici og kontroller inden for bæredygtighed - eller skal du til at gøre det - kan du få værdifuld viden og indsigt i den måde I kan gribe arbejdet an på ved at uddanne dig inden for FSR – danske revisorers bæredygtighedskurser

Dato

01.11.2024

Sted

Onlineundervisning selvstudie

FSR - danske revisorer
Uddannelse
Bæredygtighed for ledere og medarbejdere i finans og regnskab

Arbejder du med bæredygtighed og ESG - eller skal du til at gøre det - kan du få værdifuld viden og ny indsigt i de krav CSRD stiller til store selskabers rapportering om bæredygtighed ved at uddanne dig inden for FSR – danske revisorers bæredygtighedskurser.

Dato

01.11.2024

Sted

Onlineundervisning selvstudie

MäRK
Kursus
Impact Manager

Join the Impact Manager program in Copenhagen to lead your company towards a sustainable future. Become an expert in B Corp tools and connect with a community of change-makers dedicated to helping businesses measure what matters and improve their impact.

Dato

05.11.2024

Tid

09:00

Sted

Copenhagen

Bureau Veritas
Kursus
Intro til CSRD-rapportering

EU’s Corporate Sustainability Reporting Directive (CSRD) er en game changer for bæredygtighedsrapportering, da det blandt andet fastsætter ensartede metoder og måleenheder for virksomheders rapportering af miljømæssige, sociale og ledelsesmæssige aspekter (ESG).

Dato

07.11.2024

Sted

Bureau Veritas Business Academy, Oldenborggade 25-31, 7000 Fredericia

Sustainable Business Solutions ApS
Kursus
Sustainability Management i praksis - Efterår 24 i København

Sustainability Management i praksis er en eksklusiv, konkret og handlingsorienteret uddannelse til dig, der har ansvar for ESG og bæredygtighed. Du får overblik og indblik, der gør dig klar til at sætte mål og eksekvere på dem med det samme.

Dato

12.11.2024

Tid

09:00

Sted

Tivoli Hotel og Congress Center, Arni Magnussons Gade 2 1577 København V

UN Global Compact Network Denmark
Webinar
Velkomstmøde for nye medlemmer

Deltag i vores online velkomstmøde og bliv klogere på dine muligheder som medlem af UN Global Compact Network Denmark

Dato

27.11.2024

Tid

13:00

Sted

Online via Zoom