Persondata – et spørgsmål om kultur og tillid

At have en klar strategi for virksomhedens behandling af persondata er fra foråret 2018 ikke længere bare god kutyme. Med den nye persondataforordning er det en lovmæssig pligt. Men det kan være langt mere end det. Hvis man beslutter det og får kulturen med.

13.10.2017

Eva Harpøth Skjoldborg og Alexander Melchior, CSR.dk

Den nye persondataforordning træder i kraft 25. maj 2018 med krav til hvordan alle virksomheder behandler persondata, interne, såvel som kunders og leverandørers. Ikke bare virksomheder af en hvis størrelse, men alle. Så hvordan bliver man som virksomhed klar til de nye regler?

”Man er nødt til at få det tænkt ind i forretningen. Det handler både om hvad data betyder for virksomheden, og om hvordan virksomheden er afhængig af tillid fra kunderne, når det gælder behandling af data,” siger Birgitte Kofod Olsen, partner i Carve Consulting og ph.d. i IT og privacy.

Spørgsmålet om, hvordan virksomheder behandler persondata, går nemlig langt ud over blot overholdelse af lovgivning. Det påvirker en virksomheds forhold til alle interessenter, kunder, medarbejdere leverandører.

”I virkeligheden starter det altså et helt andet sted en compliance. Man sætter sig ned med sin ledelse og finder ud af , hvad betyder persondata for os, og hvad er vores ambitionsniveau i forhold til at skabe effektiv persondatabeskyttelse,” vejleder hun.

”Det er vigtigt at have afklaring i toppen: hvor er det vi vil hen med det her, hvad skal vi bruge det til? Vil vi ”bare” være i compliance, eller vil vi gå videre end det,”  siger Birgitte Kofod Olsen.

At gå videre kan f.eks. handle om at blokere for tredjepartscookies på ens hjemmeside, så man ikke overfører vores besøgendes data til nogle af de store datamonopoler som Google, Facebook og Amazon.

Datalandskab og impact
Først når disse drøftelser er foretaget, er det tid til at lære sit datalandskab at kende. Det gør man ved at undersøge og kortlægge virksomhedens brug af data.

”Man bliver nødt til at sætte sig og tegne dataflows, så man får overblik over hvilke opgaver virksomheden løser og hvilke data man bruger til det. Den metode jeg bruger, undersøger hvordan man bruger data til løsning af konkrete opgaver i modsætning til at kigge på en afdelings brug af data i en arbejdsproces eller i et system. Det er min erfaring, at det giver et bedre overblik,” siger Birgitte Kofod Olsen.  

Det overblik skal man nemlig bruge til at foretage den nu lovpligtige konsekvensanalyse – eller data protection impact assessment (DPIA), som det så mundret hedder. Med den på plads kan man så begynde på selve implementeringen, hvor man udarbejder  politik, procedure, governancestruktur, fordele nye roller osv.

”Noget af det, som virksomhederne slås med, er, at få vendt perspektivet på risiko- og impactanalyserne fra at handle om hvad det betyder for virksomheden til hvordan virksomhedens brug af data har betydning for de mennesker, hvis data det er, vi bruger. Vi skal hen til at arbejde ud fra det punkt, hvor det ikke er et spørgsmål om hvor stor bøden bliver, men et spørgsmål om at det er nogle mennesker der bliver påført en risiko,” siger Birgitte Kofod Olsen.

En ny datakultur
Ifølge Birgitte Kofod Olsen er næste skridt at få etableret databeskyttelse som en del af kulturen. At man selvfølgelig passer på kundernes, medarbejdernes og leverandørernes data. Både, fordi data har værdi – også for forretningen Men også ud fra dataetiske overvejelser.

”Man kan komme langt med træning af medarbejdere og kommunikation, men hvis det virkelig skal blive til noget så skal et etisk forhold til persondata indarbejdes i virksomhedens DNA og forretningsstruktur,” siger Birgitte Kofod Olesen.

Hvor er der en god indikator at rapportere på?

Global Reporting Initiative (GRI) har allerede nu indikatorer, hvor man måler på antal modtagne klager, og på sikkerhedsnedbrud, som kan være hackerangreb eller at en medarbejder har fået uautoriseret adgang til data, eller situationer hvor man ved en fejl har lagt en masse cpr-numre ud på nettet.

Det gode ved de indikatorer er, at de matcher persondataforordningens krav om at underrette datatilsynet og datasubjekter om sikkerhedshændelser. Så derfor vil det ikke være en ekstra ting, man skal måle på.

I den nye GRI-standard,, kommer der i løbet af 2018 nogle nye indikatorer med. Ifølge Birgitte Kofod Olsen vil klager og sikkerhedsfejl givetvis også være med , men der vil sikkert blive tilføjet indikatorer på antal person, der er trænet i databeskyttelse, og antallet af screenede  af leverandører i samme.

Tag nu en energivirksomhed, som Carve Consulting har arbejdet med. Her har de talt med medarbejderne om, hvordan de skulle passe på data, og f.eks. peget på, at når man efterlader en arbejdsipad i bilen, så er det ikke virksomhedens men kundernes data man efterlader. Og at de data ikke tilhører virksomheden, men bare er lånt af kunderne

”Det, at vi skal passe på data, fordi de er lånt og tilhører nogle andre, udløser en bevidsthed om, at man skal være påpasselig med data. Det er den kultur, man skalhave opbygget på persondataområdet,” siger Birgitte Kofod Olsen.

Trusler og muligheder
Risikoen ved ikke at etablere sådan en kultur er store, men det er mulighederne ved at gøre det heldigvis også.

Birgitte Kofod Olsen beskriver risikoen som tredelt: Der er risikoen, man påfører sine kunder, der er omdømmerisikoen for virksomheden, og der er risikoen for klager eller erstatningskrav.

Sidstnævnte kan, afhængigt af hvilke regler man overtræder, være på mellem 10 millioner euro eller to procent af omsætningen eller 20 millioner euro eller op til fire procent af omsætningen. Og det er jo også en slags penge.

Omdømmerisikoen kan også blive afregnet kontant, hvis det udvikler sig til at kunder vælger din virksomhed fra, hvis du ikke kan vise at du håndterer persondata ordentligt.

”De ret betragtelige beløb afspejler jo så også konsekvensen af ikke at komme i hus med at leve op til persondataforordningen. Så må virksomheden leve med det risikobillede. Alt tyder på, at kunder bliver mere og mere bevidste om at data jo er deres. Så det handler om, at hvis kunderne skal blive ved med at bevare tilliden til ens virksomhed, og man skal bevare sin konkurrenceevne, så bliver man nødt til at gøre noget alvorligt ved det her,” siger Birgitte Kofod Olsen.

Vestforbrænding

Sponseret

Vi går i dybden med CO2

CSR.dk

Jobopslag: Fagmedie eller jobportal – hvad virker bedst?

Relateret indhold

30.06.2025Sex & Samfund

Sponseret

Mødredødelighed i verden: Både fremskridt og alarmerende tendenser

18.06.2025CSR.dk

Nyt værktøj til sundere psykosocialt arbejdsmiljø

16.06.2025Give Steel A/S

Sponseret

Svejsetraileren har besøgt kvindefængslet i Jyderup

12.06.2025UN Global Compact Network Denmark

Sponseret

Nyt nordisk program skal styrke virksomheders arbejde mod diskrimination

12.06.2025BSR

Sponseret

Four Tips for Authentic Business Leadership During Pride 2025

10.06.2025CSR.dk

Dårligt arbejdsmiljø koster Danmark milliarder hvert år

26.05.2025Sex & Samfund

Sponseret

FN's Kvindekommission: Fremme af ligestilling og seksuelle rettigheder som et spørgsmål om retfærdighed

23.05.2025Dansk Erhverv

Sponseret

Ny vejledning: Sådan bør danske virksomheder forholde sig til Trumps kamp mod DEI

Jobmarked

Se alle

Hold dig opdateret med CSR.dk

Tilmeld dig nyhedsbrevet og følg med i alt som rører sig indenfor ESG og bæredygtig udvikling Nyhedsbrevet kommer kun to gange ugentligt. Herudover sender vi dig relevante temaer og spændede events.

Se flere temaer

Events

Se alle
TANIA ELLIS - The Social Business Company
Webinar
Q&A webinar 2. juli: Sustainable Business Change Manager

Overvejer du at tage en uddannelse inden for ESG og bæredygtighed, kan Sustainable Business Change Manager være rigtig for dig. Er du interesseret, men har spørgsmål eller brug for fif til, hvordan du kan sælge uddannelsen ind internt? Deltag i et uforpligtende webinar om uddannelsen.

Dato

02.07.2025

Tid

12:30

Sted

Zoom

DTU
Webinar
Master in Sustainable Leadership Information Session

Discover how you can elevate your career and bring significant value to your company with a Master in Sustainable Leadership.

Dato

03.07.2025

Tid

09:00

Sted

Online

TANIA ELLIS - The Social Business Company
Webinar
ESG Summer School - Live Webinar - Learn to speak ESG

Want to work with ESG and sustainable business? Even experienced professionals can get lost in the terminology. Gain a clear overview and insight into the key terms and abbreviations, so you can understand and discuss how companies can create value for both society and the bottom line.

Dato

03.07.2025

Tid

14:00

Sted

Zoom

TANIA ELLIS - The Social Business Company
Webinar
ESG Sommerskole - Live Webinar - Lær at tale ESG

Ønsker du at arbejde med ESG og bæredygtig business? Selv erfarne fagfolk roder rundt i begreberne. Få overblik og indblik i de centrale nøgleord og bogstavsforkortelser. Så du kan forstå og tale med om, hvordan virksomheder kan skabe værdi for både samfund og bundlinje.

Dato

04.07.2025

Tid

09:00

Sted

Zoom

TANIA ELLIS - The Social Business Company
Webinar
Q&A webinar 8. august: Sustainable Business Change Manager

Overvejer du at tage en uddannelse inden for ESG og bæredygtighed, kan Sustainable Business Change Manager være rigtig for dig. Er du interesseret, men har spørgsmål eller brug for fif til, hvordan du kan sælge uddannelsen ind internt? Deltag i et uforpligtende webinar om uddannelsen.

Dato

04.08.2025

Tid

12:30

Sted

Zoom

TANIA ELLIS - The Social Business Company
Webinar
Q&A webinar August 5, 2025: Sustainable Business Change Manager (Intl/Online)

Are you considering an education in ESG and sustainability? The Sustainable Business Change Manager programme might be the perfect fit for you. If you’re interested but have questions or need tips on how to present the programme’s value internally, join our Q&A webinar to learn more.

Dato

05.08.2025

Tid

14:00

Sted

Zoom