Af Henrik Malmgreen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Den danske konsulentvirksomhed Devoteam har netop foretaget en undersøgelse om, hvor parate danske virksomheder er, når det gælder om at leve op til EU’s persondataforordning, der træder i kraft til maj næste år. Undersøgelsen er foretaget blandt 500 offentlige samt private virksomheder, og resultatet er ganske overraskende.
Mere end to tredjedele – hovedsagligt mindre og mellemstore virksomheder – har stadig ikke en plan, og 33 procent er endnu ikke gået i gang med implementering af forordningens krav. Næsten 62 procent svarer, at arbejdet med persondataforordningen skal forankres i it-afdelingen, men helt paradoksalt svarer lige godt 28 procent, at de slet ikke forventer at anvende it-værktøjer til at sikre efterlevelsen.
Kan ikke lade sig gøre uden it
Hvordan virksomhederne skal sikre, at de lever op til persondataforordningen, uden brug af it, er svært at forestille sig. Således siger Jørgen Papadopoulos, der er Expert Director hos Devoteam, at det er overraskende og foruroligende, at så mange ikke forventer at understøtte indsatsen med teknologi. Det er grænsende til det uladsiggørlige og ekstremt ressourcekrævende at forlade sig på manuelle processer.
Devoteam har en række større danske virksomheder på kundelisten – både giganter som Dong, Mærsk samt Danske Bank og virksomheder i segmentet 300-500 ansatte. Kerneydelsen er rådgivning og mange års erfaring inden for discipliner som risikostyring, compliance, ISO 27001 implementering og certificering, automatisering af sikkerhedsprocesser og -kontroller samt beredskabsplaner.
En bekymrende slaphed
Jørgen Papadopoulos finder det bekymrende, at så mange af virksomhederne ikke forventer at skulle anvende it-værktøjer, når persondataforordningen skal implementeres – især når det ofte er it-afdelingen, der har ansvaret for efterlevelsen af EU Persondataforordningen. Lige så bekymret er han imidlertid over den tilsyneladende slaphed, persondataforordningen mødes med.
”Efter vores opfattelse skyldes det ganske enkelt, at vi i Danmark ikke har en kultur med tradition for seriøse sanktioner, når det gælder datasikkerhed. Vi er rent ud sagt så milde og venlige af sind – modsat eksempelvis USA, hvor konsekvenserne afregnes kontant ved kasse 1, hvis man træder over stregen”, siger Jørgen Papadopoulos.
Udlandet er langt bedre med
Her er det eksempelvis helt normalt, at en virksomhed har en Risk Officer eller Compliance Officer på lønningslisten, og til sammenligning nævner han, at man i Tyskland nu har vedtaget, at alle virksomheder uanset størrelse skal ansætte eller tilknytte en Data Protection Officer, som det hedder i relation til EU’s persondataforordning.
”Stillingen kan enten være intern eller ekstern, men tyskerne har altså valgt helt at elimimere muligheden for fortolkning af, hvornår virksomheden har brug for en Data Protection Officer”, siger Jørgen Papadopoulos og understreger, at med bødemuligheder på op til 4 % af virksomhedens årsomsætning kan der blive tale om endog særdeles alvorlige konsekvenser for alle typer og størrelser af virksomheder.
Jørgen Papadopoulos fra Devoteam Danmark anbefaler klart, at virksomhederne bruger it til at understøtter processen med at leve op til persondataforordningen. Det er ikke nok at beskrive formelle tiltag. Der findes teknologier og værktøjer, som kan digitalisere efterlevelsen af persondataforordningen og minimere de manuelle indsatser.
Topledelsen mangler overblik
Et andet overraskende resultat fra undersøgelsen er, at 12 procent af de adspurgte virksomheder mener allerede for nærværende at efterleve den nye persondataforordning. Overaskende fordi Jørgen Papadopoulos siger, at man som konsulentvirksomhed ganske tit oplever, at topledelsen simpelthen har mistet det juridiske overblik over datahåndteringen.
”Når vi f.eks. med henblik på en ISO 27001 implementering og certificering, spørger ind til, hvad det er for typer af data, virksomheden arbejder med, og om der eventuelt er branchespecifikke krav, den skal leve op til, ja så aner man det ikke. Typisk har en gruppe af account managere ansvaret for hver deres kunder, men et egentligt tværgående juridisk overblik eksisterer ganske enkelt ikke”, siger Jørgen Papadopoulos.
Det behøver ikke være så svært
Han er ikke et sekund i tvivl om, at mange virksomheder – og især de små og mellemstore – står over for en seriøs opgave frem mod næste forår. Han siger samtidig, at hvis virksomheden allerede nu lever op til den danske persondatalov, behøver det ikke være specielt kompliceret at implementere compliance med persondataforordningen, men at det frem for alt handler om at få placeret ansvaret for opgaven. Samtidig gælder det om at implementere en fornuftig praksis og ikke et dokumenta-tionshelvede, der spænder ben for virksomhedens forretningsmodel.
Udfordringen er imidlertid, hvor mange virksomheder, der rent faktisk lever op til den eksisterende, danske lovgivning, så hvis ikke man er gået i gang med processen, er det nok ved at være tid.
I løbet af efteråret vil vi fra Justitsministeriet se en række retningslinjer for den præcise implementering i Danmark, og selv om bøderne næppe regner ned over de danske virksomheder præcis fra maj næste år, er der ikke nogen tvivl om, at EU mener det alvorligt med den nye forordning.