Om godt et år træder EU's Databeskyttelsesforordning (GDPR) i kraft, og til den tid bør samtlige virksomheder, som håndterer persondata, have sat sig meget godt ind i reglerne. Det kan give kæmpebøder, hvis ikke bestemmelserne i forordningen overholdes. Helt op til 4 procent af global årlig omsætning kan det koste.
Men som tiden nærmer sig er der stadig et væld af spørgsmål, som mange savner svar på – men som virksomheder og offentlige organisationer imidlertid skal have styr på.
Tror, mener og håber
Uklarheden kunne spores, da Datatilsynet for nylig holdt et oplæg på konferencen Offentlig Digitalisering 2017 i Aarhus, arrangeret af Dansk IT. Mangel på præcis instruks kendetegner stadig en stor mængde af de svar, som blev givet til de lettere nervøse tilhørere.
»Jeg kan ikke få det til at blive nemt. Det er møghamrende indviklede regler,« sagde Lena Andersen, kontorchef i Datatilsynet, til konferencen.
Blandt andet kom genbrug af data op under oplægget. Der kommer til at være strengere krav til, hvornår man må genbruge eller sammenkøre data, og hvornår man skal holde fingrene væk. Dette fremgår af forordningen, men nøglen ligger som bekendt i detaljerne, og detaljerne er endnu uklare for mange brugere.
»Man må gerne genbruge persondata men løsningen skal indrettes sådan, at databehandlingen dokumenteres og er transparent, at kun de nødvendige personoplysninger udveksles, og at de registrerede gives indflydelse hvor det er relevant,« siger Lena Andersen til Version2.
Selv om de grundlæggende kriterier på området videreføres i forordningen fra den nuværende Persondatalov, så er spørgsmålet for mange bare, hvornår noget er tilstrækkeligt transparent, nødvendigt og relevant.
Et andet og måske mere oplagt usikkerhedspunkt er Persondataforordningens krav om, at it-systemers standardindstillinger skal indstilles, så de fremmer dataminimering og formålsspecifik behandling - hvis systemet vel at mærke giver en sådan teknisk mulighed.
Det er nemlig nyt og svarer ikke helt til noget i den nuværende Persondatalov. Men hvornår rammer man den rigtige indstilling, så databeskyttelsen er tilstrækkeligt fremmet?
Situationen kan f.eks. være, at man har oprettet en profil på et socialt medie. Men det kan også være relevant for myndighedernes indretning af deres systemer.
Usikkerhed i Københavns Kommune
I Københavns Kommune er man i gang med at gøre klar til, at den nye forordning træder i kraft. Den kommer til at betyde en fuldkommen ændring i de processer omkring oplysning, som man hidtil har været vandt til. Forordningen gør nemlig, at man fremover skal dokumentere, hvilke personoplysninger, man behandler.
Chefjurist i Københavns Kommunes økonomiforvaltning, Vibeke Iversen, fortæller til Version2, at de er i fuld gang med at identificere de behandlingsaktiviteter, som kommunen råder over:
»Det er en stor opgave i vores kommune, da vi er en virksomhed med 45.000 ansatte, som har en meget høj grad af borgerkontakt,« siger hun.
Hun påpeger dog også, at der er en vis usikkerhed med, hvad forordningen i sidste ende kommer til at betyde for virksomeheden.
»Der er en del uklarheder, som vi løbende må forholde os til. Justitsministeriet kommer først med en lovgivning om konsekvenserne for dansk lovgivning i øvrigt, og en meget stor betænkning inden sommerferien, som går dybere ind i fortolkningen af forordningen.«
På nuværende tidspunkt fokuserer de på, hvad der i forvejen er gældende i dansk ret.
»Vi er ret sikre på, at de krav, som står i den nuværende persondatalov, fortsat vil være gældende efter den nye forordning – der vil bare komme flere krav ovenpå,« siger Vibeke Iversen.
Uklare fælder
Eksempler på lavpraktiske problemstillinger har vi listet op nedenfor. Det er som nævnt kun eksempler; der er mange andre områder, som man bør være opmærksom på.
1) Lagring af kontakter i skyen
I forordningen står der eksplicit, at personoplysninger forstås som "en information om (…) en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn". Det tyder på, at også kontakter kan være omfattet, da de oftest vil indeholde både navn og telefonnummer.
2) Nye krav til kryptering og lagring af personoplysninger
Det er ligeledes værd at være opmærksom på, hvorvidt der vil komme nye krav til den måde, man håndterer brugerdatabaser på. Kommer der nye krav til kryptering og lagring af personoplysninger som mail, navn og adresse? Skal login foregå via HTTPS sikrede forbindelser?
3) Har det effekt på skybaserede email-systemer?
Reelt set kan man sige, at der er tale om en søgbar database, som i mange tilfælde vil indeholde personoplysninger. Her er det værd at være opmærksom på, hvorvidt eventuelle nye regler kan clashe med sit nuværende mailsystem. Risikerer man en bøde ved det system, som man bruger nu?
4) Bliver det offentlige mål for bøder?
Dette spørgsmål fyldte en del til den føromtalte konference, og var da også grundlag for spekulationer og nervøse miner blandt tilhørerne. Her kunne Lena Andersen fra Datatilsynet give en form for svar, men ikke noget, som endeligt kunne hverken be- eller afkræfte, om eksempelvis kommunerne kan blive mål for de efterhånden sagnomspundne kæmpebøder. Dog sagde hun, at
»Det er en politisk beslutning. Men der skal ske et eller andet – man kan ikke bare sige, at vi ikke skal lave bøder. Så må vi gøre noget andet, men hvad det er, kan jeg ikke engang komme med et bud på.«
I næste måned forventes Justitsministeriet at komme med deres bud på, hvordan forordningen skal implementeres i dansk lovgivning. Der er udsigt til en publikation - en betænkning - på 800-1000 sider om forordningen, som dataansvarlige og databehandlere altså skal leve op til.
Den har man i Justitsministeriet arbejdet på i et samarbejde med Datatilsynet og Digitaliseringsstyrelsen. Lena Andersen anbefalede kraftigt, at man anskaffer sig publikationen.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
