Persondataforordningen var ingen overraskelse, men mange er stadig ikke nået helt i mål

Der er nok ikke mange virksomheder i Danmark, der ikke har haft travlt med at gøre klar til, at persondataforordningen trådte i kraft den 25. Maj 2018. Den gælder nemlig for alle virksomheder – uanset størrelse – og det er ikke en forordning, der kan ignoreres. For EU har varslet store bøder, hvis man som virksomhed ikke efterlever kravene.
Ca. En måneds tid efter persondataforordningen trådte i kraft er der stadig en del virksomheder, som ikke er nået 100% i mål. Betyder det, at datatilsynet kommer og banker på døren med bøder i hånden?
Svaret et nej. Bøderne bliver nok ikke delt ud lige med det samme. Og datatilsynet kommer sandsynligvis heller ikke på besøg inden for nærmeste fremtid.
Til et møde i Industriens Hus , hvor de nye databeskyttelsesregler blev vendt med både små og store virksomheder, fortæller Allan Frank, sikkerhedsspecialist i Datatilsynet:
“Det er ikke fordi, vi nu vil ud og give bøder til højre og venstre. Generelt ønsker vi en pragmatisk tilgang til databeskyttelse. Det væsentlige er, at virksomhederne bliver bedre til at håndtere opgaven”
Muligheden for de store bøder er der. Men det er ikke det, der er det væsentligste for datatilsynet. For dem gælder det, at det er langt mere effektivt at indgå i en fornuftig dialog med virksomheder, end at de skal pålægges bøder, som de måske ikke lærer så meget af.
Hvis de store bøder skal deles ud, bliver det formentlig til virksomheder, der bevidst “sviner” med persondata og har konkrete datalæk.
En utrolig tidskrævende opgave for mindre virksomheder
Persondataforordningen har for mange virksomheder betydet panik og ændringer i deres IT-setup og interne systemer. Og for især de mindre virksomheder, har det været hårdt. Virksomheden Direct Hardware Supply  i Aalborg har blot 12 medarbejdere, og har ikke en decideret IT-afdeling eller en intern jura-afdeling – ligesom langt størstedelen af virksomheder af den størrelse. Det at skulle gøre sig klar til persondataforordningen har derfor været en større opgave, end de umiddelbart havde troet, da alle IT-systemer skulle kortlægges og den meget tunge persondataforordning skulle læses og forstås. Om forberedelsesprocessen fortæller Thomas Buus Nielsen, partner i Direct Hardware Supply:
“Det har været utrolig tidskrævende at gøre os klar til GDPR. Vi har brugt mange timer på at lave databehandleraftale og tjekke op på interne data systemer. Og det er svært at vide, hvad der er det rigtige at gøre, fordi det åbenbart er lidt af et tolkningsspørgsmål. Der er ikke meldt en konkret retningslinje ud fra hverken datatilsynet eller EU.”
Hvad mangler for at komme helt i mål?
Når mange virksomheder ikke er nået helt i mål endnu, skyldes det, at der er rigtig mange ting at holde styr på. Hele virksomheden skal tjekkes efter i sømmene, og det er ikke altid en nem opgave. Specielt ikke hvis det er en større virksomhed. Har man husket det hele, eller har man glemt noget? Hvad med de gamle, brugte computere, som bare står gemt på lageret eller i kælderen. Dem er der nemlig ofte data på. Hvis der er persondata på, og det ikke nævnes i fortegnelsen, så er det ikke i overensstemmelse med persondataforordningen. Det er højest sandsynligt ikke noget, der udløser en stor bøde fra datatilsynet, men det er bestemt værd at tage højde for.
Derfor kan det være en god idé at skille sig af med det brugte it udstyr. En løsning flere virksomheder allerede er begyndt at bruge er at sælge det brugte it udstyr til virksomheder, der specialiserer sig inden for cirkulær økonomi. Hvis udstyret stadig fungerer, men bare står og samler støv fordi det er blevet erstattet af nyt, opdateret udstyr, så kan det endda være penge værd. Særligt hvis der er server udstyr eller hard diske.
En af de virksomheder, der har fået flere henvendelser fra virksomheder, som gerne vil helt i mål persondataforordningen, er Brugt-it . Direktør i Brugt-it, Niels Esbensen, fortæller:
“Siden start april har vi oplevet en stigning i henvendelser fra både små og store virksomheder. Inden den 25. Maj var det ikke noget problem for virksomheder at have brugt udstyr stående. Det er det sådan set heller ikke i dag. Men mange af vores kunder er ikke rigtig klar over, om der er persondata på udstyret. Og så kontakter de os.”
Med persondataforordningens skærpede dokumentationskrav er der et ekstra incitament til at virksomheder skiller sig af med det brugte IT-udstyr gennem professionelle partnere som Brugt-it. Alt udstyr med hukommelse bliver nemlig 100% dataslettet med professionelt slette-software . Virksomheder får en rapport over sletningen, som fungerer som dokumentation på, at det solgte udstyr ikke indeholder persondata.