Hva må kartlegges? Hva må gjøres?
Ledelsesutfordringene GDPR gir deg

Som leder står du ansvarlig for at bedriften følger lover og forskrifter, og nå gjelder det EUs nye personvernforordning som trer i kraft i mai 2018. ’To do’-listen involverer både jurister, teknologer og spesialister på (digital) kommunikasjon og strategi, mens mye av kartleggingen kan dere gjøre selv. Gode strategiske GDPR-prosjekter legger grunnlaget for raskere implementeringstid og mindre dobbeltarbeid.

Ulike virksomheter, ulike behov 

For virksomheter som baserer seg på en abonnementsmodell og lange kunderelasjoner i forbrukermarkedet, betyr GDPR bare mer av det samme; ærlige kundedialoger. Det nye regelverket åpner for at kunder og forbrukere har retten til å få slettet informasjon de selv har oppgitt i bedriftens databaser, dersom de ønsker det. I tillegg har en forbruker rett til å få utlevert all data din bedrift har lagret om henne, som f. eks. CRM-data, samt hvilke typer profilering dere har gjort av henne. I en oppsigelsessituasjon vil hun kunne kreve at denne informasjonen kan overføres til en konkurrent av dere. 

Det beste svaret på denne utfordringen er å effektivisere en åpen og ærlig digital kundedialog. GDPR gir kundene/innbyggerne mer makt, og dere må sannsynligvis gjøre endringer på systemsiden; for å tilgjengeliggjøre data for endring, sletting og portering til konkurrenter om kunden ønsker dette.

GDPR dreier seg om digital kundedialog
GDPR er faktisk en stor markedsmulighet, og erfarne ledere som forstår kunden burde ikke ha så mye å bekymre seg for. I praksis dreier dette seg om den åpne og ærlige, enkle dialogen.

Til syvende og sist betyr GDPR at dere må tenke enda mer i retning av det engelskmennene kaller ‘privacy by design’. Det betyr å se på personvern som et sentralt utgangspunkt når man utvikler løsninger som lagrer kundedata. Dette blir nå obligatorisk og svært aktuelt fordi teknologiene som benyttes gir så mange muligheter til å komme i konflikt med GDPR. Kundens rett til å bli informert understreker behovet for åpenhet når det gjelder hvordan dere tar vare på og bruker personlige data.

Samtykkeutfordringer og praktiske konsekvenser
Samtykke må innhentes ved lagring av all persondata man ikke ellers har lovlig grunnlag for å lagre. Det må informeres om hva slags data som lagres, og spesifikt samtykkes for hvert enkelt formål dataen brukes til. Det betyr at hvis du har innhentet samtykke for å lagre data som skal brukes ved tilbud om strømavtale, kan du neppe sende en e-post med reklame for et mobilabonnement.

For mange virksomheter innebærer dette at samtykke må hentes inn på nytt. Disse og andre krav betyr at nye systemer må etableres frem til mai 2018. Det nye sanksjonssystemet gir myndighetene rett til å ilegge overtredelsesgebyr ved grove brudd på forordningen. Siden eventuelle bøter gis på konsernnivå kan slurv og snarveier i ett datterselskap med få kunder gi store konsekvenser for konsernet.

Så, hvordan skal dere kommunisere med kunden?
Retten til å bli informert innebærer at brukerne får fullt innsyn hvordan deres persondata behandles. Det viktige her er bruk av vanlig språk - fortell kunden hvilke data du lagrer, hvorfor du behandler dataene deres, hvor lenge de blir lagret og hvem som mottar dem.

Dette er et av de sentrale punktene i GDPR, noe som nødvendiggjør at informasjonen skal være "kortfattet, ærlig, forståelig og lett tilgjengelig". Det er ikke tillatt å benytte ferdigutfylte avkrysningsbokser, men kanskje viktigere er at kunden alltid har mislikt slikt. GDPR er en større utfordring for virksomheter som ignorerer kundens behov, enn for bedrifter som har best mulig kundeopplevelse som rettesnor.

Bruk GDPR som en mulighet
Hensikten med GDPR er også å motvirke trusler som cyber angrep og identitetstyveri, og konsekvensen er at bedrifters normale kommunikasjonskanal trues. Det finnes mange gode løsninger som både ivaretar bedriftenes behov for effektiv, digital kundedialog og som tilfredsstiller de nye kravene til sikkerhet. GDPR er rett og slett en mulighet for virksomheter til å vise at de tar nødvendige grep for å sikre forbrukernes personvern og egen datasikkerhet.

Hvem må gjøre hva?

’To do’-listen involverer som tidligere nevnt både både jurister, teknologer og spesialister på (digital) kommunikasjon.

1. Dere må kartlegge hvor og hvordan dere lagrer persondata, om datasikkerheten er tilfredsstillende og hva dere bruker dataen til.
2. Gjennomgå avtalene dere har med data-relaterte leverandører (CMS, hosting, kontorstøtte, konsulenter, etc)
3. Gjennomgå praksis i forhold til performance marketing (Google AdWords, Analytics, Facebook, etc), kundekommunikasjon og annen digital markedsføring.
4. Gjennomgå praksis mhp personvern-policy, samtykke, sletting, portabilitet, etc.
5. Revidere og forsterke internkontroll rutiner (compliance), herunder varslingsrutiner ved henvendelser og brudd på regelverket.
6. Definere tydelig ansvar og roller innenfor personvernfeltet (helhetlig) og avklare om dere trenger et dedikert Personvernombud.

Både data, applikasjoner og prosesser må kartlegges

Data
1. Hvilke data-kategorier har selskapet?
2. Kan databaser og filer slås sammen og reduseres?
3. Er data-flyt monitorert, dokumentert og beskrevet?
4. Har man aktiv godkjenning fra registrert bruker i dag?
5. Har registrert bruker mulighet for å redigere opplysninger om seg?
6. Er dataene kryptert “in situ” og “in transit”
1. Lønnslipper for eksempel må sendes som "en konvolutt i en konvolutt" med andre ord må lønnsslippen være et kryptert vedlegg som bare mottakeren kjenner passordet til. Da er de personlige opplysningene kryptert "in situ" og "in transit" og kun tilgjengelig for mottakeren dom vet krypteringsnøkkelen.

Applikasjoner
1. Hvilke applikasjoner behandler berørt informasjon i selskapet i dag?
2. Er data-flyt for applikasjonen monitorert, dokumentert og beskrevet?
3. Har man aktiv godkjenning fra registrert bruker i dag i enkeltapplikasjon i dag?
4. Har registrert bruker mulighet for å redigere opplysninger om seg i en applikasjon?
5. Er Security by Design innarbeidet i applikasjonen? (Konfidensialitet, Integritet og Tilgjengelighet)
6. Er trusler og risiko vurdert under applikasjonsutviklingen?
7. Er Privacy by Design ivaretatt i applikasjonen?
8. Hvordan behandle barns aksept?
9. Er grunnlaget for innsamling av spesifikk informasjon godt beskrevet?
10. Er det lett for bruker å be om å få se hvilken informasjon som er samlet inn?
11. Er det lett for bruker å be om å få redigere informasjonen om seg selv?
12. Er det lett for bruker å be om at informasjon om seg selv blir slettet (uten å bryte andre lovkrav)?
13. Ivaretas minimalisering av datainnsamling, transparens, aktiv aksept, proaktiv sikring av innsamlet data i form av kryptering etc i applikasjonen?

Prosesser og dokumentasjon av gjennomføring av styring- og kontrollaktiviteter.
1. Er avtaler med databehandler og dennes underleverandør kartlagt og dokumentert
2. Kan databehandler fremlegge dokumentasjon av kontroll-aktiviteter
3. Gjennomføres Risikovurdering av applikasjonens/dataenes kritikalitet?
4. Er prosedyre for hendelsesrapportering på plass?
5. Er en prosess for å kunne hente ut en brukers informasjon ved forespørsel på plass?

Terminologi

• Data Subject
  • Personen hvis data samles inn og som kan identifiseres, direkte eller indirekte, fra dataene.
• Data Controller (Behandlingsansvarlig)
  • Organisasjonen som definerer årsaken til datainnsamlingen
  • Den som bestemmer hvordan dataene samles inn og behandles
  • Den som umiddelbart er ansvarlig for datalagringen
• Data Processor (Databehandler)
  • En person eller en enhet som handler på vegne av Behandlingsansvarlig for å lagre eller behandle informasjonen
  • For eksempel:
    • konsulentselskaper
    • outsourcing selskap
    • offsite lagrings-leverandør
    • sky leverandør (cloud)
    • markedsføringsorganisasjon som driver tilfeldige kampanjer
• Supervisory Authorities (Regulators)
  • Offentlige organer opprettet av myndighetene i EU-landene som rådgir behandlingsansvarlig og datasubjektet om loven og håndhevelsen av reguleringen.
  • De kan undersøke brudd og bøtlegger registeransvarlige og ”Data Processor”.
  • Noen ganger referert til som databeskyttelses-myndigheten, Data Protection Authorities (DPA).
• Data Protection Officer (DPO)
  • Et personvernombud som skal utnevnes for
    • Offentlige myndigheter
    • Virksomheter hvor Data Controller og Data Processor regelmessig og systematisk overvåker data-subjekter i større skala
    • Enheter hvor en virksomhet i stor skala behandler sensitive persondata
  • Formuleringen ”mer enn 250 ansatte” er fjernet i det nye regelverket.
• Personal Data
  • Navn, adresse, fødselsdato, personnummer, personlig e-postadresse,
  • Bedriftens e-postadresse og telefonnummer.
  • Online-identifikatorer fra ulike ’devicer’ og dataprogrammer Inkludert IP-adresse, informasjonskapsler eller andre identifikatorer som RFID-koder.
  • Data som brukes alene eller sammen med andre data for å identifisere et individ/person.
• Sensitive persondata
  • Genetiske eller biometriske data
    • Fysisk eller psykisk helse
    • Rase eller etnisk opprinnelse
    • Politiske meninger
    • Fagforenings-medlemskap
    • Religiøs eller filosofisk overbevisning
    • Seksuelle preferanser
  • Data om kriminelle handlinger og straffeutmåling behandles separat i (Direktiv 2016/680). Kan bare behandles av nasjonale myndigheter.