Det är mindre än ett halvt år kvar till den 25 maj 2018, då den nya gemensamma europeiska dataskyddsförordningen (GDPR) träder i kraft. Därmed har mer än 75 procent av den tid du har haft att implementera den i din verksamhet passerat. Har du heller inte nått 75 procent i mål? Läs då vidare här och låt oss starta ett ödesgemenskap, där vi genom våra konkreta erfarenheter förhoppningsvis kan göra varandra klokare.
Vad kommer den nya dataskyddsförordningen att innebära för ert företag?
Har du också läst stolpe upp och stolpe ner med fackmän som ger goda råd om den nya europeiska dataskyddsförordningen, som ersätter den danska personuppgiftslagen den 25 maj 2018? I så fall ska du läsa vidare. Eller mer osannolikt; Är det här första gången du stöter på den nya dataskyddsförordningen? I så fall ska du i allra högsta grad läsa vidare. Kort sagt; du ska läsa vidare.
Vi försöker nämligen att vända upp och ner på alltihop och istället utgå från hur Intempus som företag håller på att förbereda sig för dataskyddsförordningen, och vad vi förväntar oss att vi kommer att lägga ner för resurser på det. Och låt oss bara deklarera från början; Vi är i ett tidigt skede, så någon detaljerad "bästa praxis"-facitlista för implementering av dataskyddsförordningen hittar du inte här. Men kanske har ditt företag större eller mindre gemensamma drag med Intempus. Kanske kan du finna tröst i att veta att det finns andra, som har lika mycket arbete framför sig som du. Men om du även 26 procent av de medelstora danska företagen stadig går runt och talar om “lag om personuppgifter”, och det här är första gången du hör om dataskyddsförordningen, kan vi inte trösta dig – så ska du bara se att komma igång!
Vi vill skriva många fler blogginlägg när vi har kommit längre i arbetet med att implementera lagen i Intempus system, men vi börjar mjukt. Så vad har vi gjort hittills?
Först och främst har vi snabbt konstaterat att Intempus i allra högsta grad drabbas av dataskyddsförordningen. Den rör ju alla företag som arbetar med personuppgifter. Och det är nog naivt att tro att det inte skulle vara fallet för ett företag som säljer programvara för tidrapportering och hanterar dessa uppgifter för användarna.
Men det är faktiskt de flesta saker som inte är personligt identifierbara. Ta bara ett exempel från förra veckan med en kund. Vi pratade om körregistrering, och när vi också kom runt GDPR – som är den engelska förkortningen för dataskyddsförordningen – föll kunden i den klassiska fällan att tro att GDPR mest handlar om personkänsliga uppgifter som t.ex. personnumret. Men nej, tänk till exempel om man fick tag i en persons körregistreringar. Rutt och tidpunkt. Det kommer i domstolarnas ögon att vara möjligt på grundval av uppgifterna att sätta sig ut i vägkanten och identifiera personen – inte minst om uppgifterna kompletteras med registreringsskylten, vilket är fallet i Intempus.
Det är således väsentligt lättare att tala om vilka data som inte är personligt identifierbara, än vilka som är det. Och på stående fot kan vi inte riktigt komma på att vi hanterar någon av de förstnämnda. I varje fall inte när de står i samband med andra. Därtill kommer alla samarbetspartners som vårt system integrerar med, och som vi därmed levererar data vidare till, samt alla dem vi hanterar data för. Slutsats: Vi har massor av arbete framför oss med dels att optimera våra egna system och arbetsflöden för GDPR, och dels att få gjorda vattentäta kontrakt med alla dem som vi på ett eller annat sätt samarbetar med.
Branschorganisationen IT-branschen har för övrigt ett standardavtal, som man kan anpassa och göra till sin egen (kräver medlemskap). På det sättet kan man slippa en advokat som gör det för sådana timkostnader som de tar. Eller ännu värre; själv skapa ett kontrakt på måfå. Den lösningen kan knappast rekommenderas om man inte har kompetensen till det. Ett annat gott råd är för övrigt att helt undvika personkänsliga uppgifter som personnummer, sexuell och politisk läggning, fackförening och så vidare, om du kan. De är oerhört besvärliga att hantera och samtidigt leva upp till GDPR. Det gäller naturligtvis bara de data som du är databehandlare för. På anställningskontrakt och liknande är det omöjligt att inte ha personkänsliga uppgifter. Är du i tvivel om skillnaden mellan databehandlare och dataansvariga? Då fäller du ut rutan härnedan och blir klokare.
Databehandlare eller personuppgiftsansvarig?
Istället för att jonglera med en massa facktermer menar vi att det kan uttryckas mer precist och pedagogiskt; Är den omnämnda datan din eller bara någon data du behandlar åt någon annan? I det första fallet är man dataansvarig – i det andra fallet är man databehandlare.
Intempus levererar programvara för rapportering av arbetsrelaterad data. Och bakom den programvaran har vi naturligtvis några databaser som lagrar denna data. Men det är alltså inte data vi äger eller är särskilt intresserade av. Det är våra kunders data, och därför är vi databehandlare.
Dessutom har alla företag naturligtvis en massa HR-data som anställningskontrakt, löneinformation, kundinformation och så vidare. Dessa är man personuppgiftsansvarig för, och här är kraven strängare, men det gäller för alla. Om du kan undvika att lagra personnummer och andra personkänsliga uppgifter, ska du göra det – de är nämligen besvärliga att hantera!
Vad har vi konkret gjort i Intempus?
Vi hörde första gången om den nya dataskyddsförordningen av en slump på ett kundmöte under våren. Reaktionen var förmodligen, som förväntat hos de flesta; att vifta bort det och underskatta det lite – troligen för att det verkade alltför oöverskådligt. Det krävdes dock inte mycket research för att konstatera att detta är något som vi inte kommer att komma lindrigt undan ifrån, så fokus har legat på att samla mycket kunskap, så att vi har de bästa förutsättningarna för att ta de rätta stegen från början.
Helt praktiskt har en person fått i uppgift att hålla sig helt uppdaterad på GDPR. Och ett enkelt sätt att spara tid på den uppgiften är att sätta upp en Hootsuite– eller TweetDeck-konto och göra en danskspråkig bevakning av orden ‘GDPR’ och ‘dataskyddsförordningen’. GDPR diskuteras en hel del på Twitter, så vår teori är att om innehåll skapas om ämnet, finns det på Twitter, som är ett mycket överskådligt medium att bevaka.
Dessutom har vi deltagit i några evenemang där kunniga personer har hållit presentationer om dataskyddsförordningen och naturligtvis dess implementering i företagen. Fördelen med dessa är att man kan få svar på specifika frågor, prata med likasinnade och få värdefulla inspel för att kunna avgöra hur hårt man ska springa i det egna företaget. Och inte minst är de ofta gratis.
Förra veckan gjorde vi det vi tror är det första steget för alla typer av företag när man har tagit sig förbi den inledande kunskapsinsamlingen – nämligen att kartlägga de olika datamängderna och segmentera dem i ofarliga, personidentifierbara och personkänsliga. Vi har helt enkelt skapat ett dokument där vi har delat upp data i de som vi är dataansvariga för (främst HR-data och lead-data) och de som vi är databehandlare för (främst app-data).
Det var allt. Längre har vi faktiskt inte kommit. Men det ska vi naturligtvis, och det ska vara snart – i alla fall på denna sida av julen.
Vad är nästa steg?
Det har vi inte en fullständig överblick över. Men vi förväntar oss att nästa steg blir att göra en analys av hur de olika data just nu behandlas, och vad som saknas för att uppfylla de nya kraven. Därifrån ska arbetet med att optimera företagets digitala och analoga infrastruktur samt ingå databehandlingsavtal naturligtvis påbörjas.
Det måste vara planen i grova drag. Har vi någon överblick över hur många resurser det kommer att kräva? Inte alls. Blir vi negativt överraskade över det? Högst troligt. Därför desto mer anledning att komma igång redan nu, för det finns ingen väg utom. Eller jo, det finns det, om man vill ta risken att dela ut en massa människors personliga data, få företagskrossande stora böter och bli en kolsvart får i flocken. Men den risken vill vi inte ta. Lyckligtvis faller vi i facket av databehandlare, som klarar sig lite lättare undan GDPR, än vad de dataansvariga företagen gör.
Selvom Intempus kun er databehandler, slipper vi dog næppe for at skulle have en dataskyddsombud (DSO) – eller en “professionell pain in the ass”, som personen skämtsamt kallas. Alltså en person som har ansvaret för att övervaka att dataskyddsförordningen följs. Efter vår egen bästa bedömning är vi inte på väg att anställa nytt, utan bara en befintlig medarbetare som får ansvaret lagt under sig och därmed en tuff uppgift att hålla sig på god fot med kollegorna framöver.
