[et_pb_section fb_built=”1″ _builder_version=”4.9.4″ _module_preset=”default”][et_pb_row _builder_version=”4.9.4″ _module_preset=”default”][et_pb_column _builder_version=”4.9.4″ _module_preset=”default” type=”4_4″][et_pb_text _builder_version=”4.9.4″ _module_preset=”default” hover_enabled=”0″ sticky_enabled=”0″]<\/p>\n
Citatets oprindelse er m\u00e5ske lidt grum, men n\u00e5r det kommer til \u2019ansvar for\u2019 vs. \u2019konkret h\u00e5ndtering af\u2019 personf\u00f8lsomme data, m\u00e5 vi nok erkende, at der er noget om snakken.<\/strong><\/p>\n Det har alle dage v\u00e6ret af allerh\u00f8jeste vigtighed. Men med indf\u00f8rslen af GDPR og ikke mindst de skr\u00e6kindjagende b\u00f8detakster, er korrekt og sikker h\u00e5ndtering af personf\u00f8lsomme data for alvor kommet \u00f8verst p\u00e5 dagsordenen. Alle europ\u00e6iske virksomheder, organisationer og offentlige instanser har det sidste \u00e5r eller mere arbejdet med implementeringen af processer for at v\u00e6re i compliance med den nye forordning.<\/p>\n Det har v\u00e6ret en lang og h\u00e5rd proces. Mange har nok i deres stille sind \u00e6rgret sig over niveauet af bureaukrati. Omvendt har det ogs\u00e5 v\u00e6ret en god lejlighed til virkelig at arbejde med interne procedurer i detaljen. Og i nogle tilf\u00e6lde m\u00e5ske ligefrem at blive bevidst om de interne procedurer og kulturer omkring h\u00e5ndteringen af data. Vaner kan have mange blinde vinkler.<\/p>\n <\/b><\/p>\n Den nye udfordring<\/b><\/p>\n De fleste akt\u00f8rer n\u00e5ede at komme p\u00e5 plads, inden forordningen tr\u00e5dte i kraft den 25. maj 2018, men s\u00e5 kom det n\u00e6ste problem.\u00a0<\/span>For nok har de fleste akt\u00f8rer nu (forh\u00e5bentlig) f\u00e5et styr p\u00e5 egne interne processer. Men hvad med den videre h\u00e5ndtering? Langt st\u00f8rsteparten af akt\u00f8rer af en vis st\u00f8rrelse benytter sig af eksterne leverand\u00f8rer til fx transaktionsprint og individuel printet kundekommunikation. Det foruds\u00e6tter udveksling af personf\u00f8lsomme data, som den eksterne leverand\u00f8r herefter h\u00e5ndterer.<\/p>\n N\u00e5r samarbejdsaftaler af denne art indg\u00e5s, underskriver den eksterne leverand\u00f8r typisk en databehandleraftale, hvor den forpligter sig til at h\u00e5ndtere data jf. GDPR. S\u00e5dan en aftale kan v\u00e6re mere eller mindre detaljeret, give opdragsgiver forskellige mandater til kontrol og specifikationer af konsekvenser ved eventuelle brud p\u00e5 reglerne.<\/p>\n I sidste ende er det dog stadig opdragsgiveren \u2013 virksomheden, organisationen eller den offentlige instans \u2013 der st\u00e5r som den ansvarlige og den, der vil st\u00e5 tilbage som den tabende part, hvis brud skulle forekomme. M\u00e5ske med en \u00f8konomisk kompensation fra leverand\u00f8ren, men stadig med en sort plet p\u00e5 trov\u00e6rdigheden og mistet tillid hos dens kunder, medlemmer og \u00f8vrige stakeholders.\u00a0Det er ikke en optimal situation.<\/p>\n Den dataansvarlige, som benytter sig af databehandlere til at h\u00e5ndtere en del af deres forretning, har indledningsvis begr\u00e6nsede muligheder for at sikre overholdelse fra databehandlers side; ud over en underskrift og lovning p\u00e5 overholdelse samt eventuelt en meget dyr egenkontrol, da dette typisk er en mulighed i databehandleraftalerne. Dette er ikke er en optimal situation<\/p>\n <\/b><\/p>\n P\u00e5 forkant<\/b><\/p>\n N\u00e5r GDPR er blevet omtalt i medierne og faglige kredse, er det tilbagevendende skr\u00e6kscenarie et bes\u00f8g fra Datatilsynet. B\u00f8der og sanktioner kan nemlig ogs\u00e5 gives, selvom der ikke har v\u00e6ret konkrete l\u00e6k eller anden kompromittering af beskyttelsen af de personf\u00f8lsomme data. Manglende styr p\u00e5 de interne processer er rigeligt.\u00a0<\/span><\/p>\n Et bes\u00f8g af Datatilsynet er blevet omtalt som m\u00e5den, en afsl\u00f8ring af det kan ske.\u00a0Set fra et borgerperspektiv \u2013 alts\u00e5 dem, hvis data bliver h\u00e5ndteret \u2013 kunne man s\u00e5 m\u00e5ske se et bes\u00f8g fra Datatilsynet som en stor gevinst: En pr\u00e6ventiv indsats, der fanger problemerne, inden katastrofen sker.<\/p>\n Set fra akt\u00f8rer, der benytter sig af eksterne leverand\u00f8rer, kunne man se det p\u00e5 samme m\u00e5de: Et bes\u00f8g fra Datatilsynet hos den eksterne leverand\u00f8r af printet kundekommunikation, kunne give vished om, at GDPR-reglerne\/databehandlersaftalen nu ogs\u00e5 i praksis bliver overholdt.<\/p>\n Men Datatilsynet har kun begr\u00e6nsede ressourcer, og det vil nok tage dem en rum tid at komme igennem alle danske virksomheder, organisationer og offentlige instanser.\u00a0Det er lang tid at vente.\u00a0<\/span>Det er for lang tid at vente p\u00e5 at kunne f\u00f8le sig sikker.<\/p>\n <\/b><\/p>\n Man kan ikke tjekke sig selv<\/b><\/p>\n Vaner og kulturer kan have mange blinde vinkler, og hvis man skal v\u00e6re sikker p\u00e5 at komme ud i alle hj\u00f8rner samt f\u00e5 tilpasset sine procedurer, s\u00e5 de if\u00f8lge eksperter p\u00e5 omr\u00e5det, overholder GDPR, er det n\u00f8dvendigt at benytte en ekstern part.\u00a0En ekstern part, der \u2013 i stil med Datatilsynet \u2013 kan g\u00e5 tilstr\u00e6kkeligt kritisk til v\u00e6rks og ved, hvor problemerne typisk opst\u00e5r.<\/p>\n Det er en erkendelse, vi ogs\u00e5 i Express har m\u00e5tte g\u00f8re.\u00a0<\/span>Vi har erkendt, at selvom vi laver meget udf\u00f8rlige databehandleraftaler med vores kunder, og selvom vi altid har sat en \u00e6re i korrekt h\u00e5ndtering af de personf\u00f8lsomme data, s\u00e5 er vi ikke perfekte, og vi kan have blinde vinkler.<\/p>\n Men vi var ikke indstillet p\u00e5 at vente p\u00e5 et bes\u00f8g fra Datatilsynet. Og vi var ikke tilfredse med, at der kunne herske tvivl om den tillid, vores kunder kan have til os.\u00a0Derfor gik vi til en ekstern ekspert og bad dem om at afgive en erkl\u00e6ring omkring vores overholdelse af GDPR reglerne.\u00a0Det skete i januar 2019, hvor Express anmodede Piaster Revisorerne \u2013 et statsautoriseret revisionsaktieselskab \u2013 om at afgive en erkl\u00e6ring p\u00e5, at Express A\/S overholder GDPR-reglerne.\u00a0<\/span><\/p>\n Resultatet kom d. 4. februar 2019, hvor fik vi den uafh\u00e6ngig revisors ISAE 3000-erkl\u00e6ring med sikkerhed om informationssikkerhed og foranstaltninger i henhold til databehandleraftaler. Denne erkl\u00e6ring omhandler kontroller i forbindelse med h\u00e5ndteringen af personf\u00f8lsomme data og dokumenterer, at leverand\u00f8ren lever op til de aktuelle krav i persondataloven.<\/p>\n Vores kunder skal ikke bare tage vores ord for gode varer. Vi vil sikre os, at vores kunder kan have fuld tillid. Og det f\u00e5r man nu engang bedst, hvis man underkaster sig kritisk kontrol.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>","protected":false},"excerpt":{"rendered":" Citatets oprindelse er m\u00e5ske lidt grum, men n\u00e5r det kommer til \u2019ansvar for\u2019 vs. \u2019konkret h\u00e5ndtering af\u2019 personf\u00f8lsomme data, m\u00e5 vi nok erkende, at der er noget om snakken.<\/p>","protected":false},"author":4,"featured_media":713,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"","_et_gb_content_width":"","inline_featured_image":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-706","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"yoast_head":"\n