Når GDPR ikke længere er nyt
– men (stadig) en hovedpine

Virksomheder har siden 2018 været forpligtet til at dokumentere deres behandling af personoplysninger i henhold til GDPR. Og i starten var der fart på: Informationsmøder, udformning af persondatapolitikker, nye processer og procedurer, databehandleraftaler og ikke mindst øjenkontakt med ledelsen, som også skulle prioritere indsatsen. Mange virksomheder kom også i mål – eller næsten i mål – med deres første implementering af GDPR, selvom det måtte ske i en tid, hvor ingen rigtigt for alvor kunne svare konkret på så meget om implementering.

Men GDPR var og er ikke en engangsindsats. Selvom baseline og intentionerne kom på plads, er der i mange virksomheder opstået en kløft mellem det lovpligtige og daglig praksis. Er der blevet lavet et årshjul for arbejdet og den jævnlige ajourføring? Er der en proces, som sikrer, at nye informationsaktiver med persondata bliver identificeret? Laves der tilsyn med de involverede databehandlere? Er der ført kontrol med sletteprocedurer?

Mange steder er svaret nej. Der er ikke et kontinuerligt arbejde med GDPR. Resultatet er “papir-compliance”: Alt ser pænt ud på overfladen, men det vil ikke holde i praksis. Compliance-indsatsen er at krydse fingre for, at ingen kommer på besøg og stiller spørgsmål. Derfor er der behov for en tilgang, hvor GDPR ikke er en særskilt øvelse, men en integreret del af hverdagen.

Mange opfatter måske stadig GDPR som et reguleringsmæssigt vadehav, men det gør ikke GDPR ret. Det er en nødvendig byrde, der heldigvis smitter grundigt af på andre dele af forretningen. Faktisk kan en struktureret tilgang til GDPR forbedre ikke bare det nødvendige overblik over systemer og persondata, men også virksomhedens informationssikkerhed og risikostyring. Det er med til at underbygge tilliden hos kunder, samarbejdspartnere og myndigheder.

Ja, styrke hele forretningen med gennemsigtighed og kontrol.
Arbejdet med GDPR handler nemlig ikke kun om at have dokumentation – men om at bruge den aktivt. Præcis som i enhver ledelsesstandard. GDPR bliver først til compliance, når registreringer omsættes til løbende handling og kobles med audit, leverandørstyring og risikovurdering.

Måske det er tid til at kigge på at strukturere GDPR-arbejdet mere, så der opnås et samlet overblik og værdifuld læring i organisationen?

Administrér procedurer, roller og opgaver ét sted – med tydelige sammenhænge mellem politik, praksis og ansvar.
Etablér en struktur til det lovpligtige Artikel 30 register, hvor informationsaktiver, systemer og risikovurderinger løbende opdateres.
Gem al dokumentation med automatisk versionsstyring og tydelig historik – og gør det søgbart og tilgængeligt for relevante medarbejdere.
Tildel ansvar og opgaver direkte i IPW, og følg op med automatiske notifikationer, så intet bliver glemt – heller ikke årshjul og regelmæssige revurderinger.
Registrér hændelser og afvigelser, og kobl dem direkte til forbedringsforslag og opdaterede procedurer.