Når loven langer ud

Når myndighederne stiller krav til virksomhedernes håndtering af personfølsomme data i den nye persondataforordning, er et første skridt at skabe et overblik over, hvordan lovgivningen vil ramme den enkelte virksomhed. Det kræver en analyse af, hvor hvilke data bevæger sig rundt og i hvilke systemer. Det er også nødvendigt at finde ud af hvem, der har adgang til disse data. Den største udfordring er ubetinget, at systemlandskabet er stort og kompliceret og har mange forskellige ejere.

kaastrup|andersen har arbejdet med et konkret projekt i en stor global virksomhed. Målet bestod af flere elementer: identificering af de juridiske krav for relevante lande, identificering af datatyper i interne systemer og bedømmelse af behovet for anonymisering af disse, iIdentificering af datatyper, der sendes til eksterne systemer, identificering og afprøvning af it værktøjer til at understøtte anonymisering og sletning af data.

Det konkrete projekt bød på flere aha-oplevelser undervejs. Det var en stor overraskelse, at leverandøren af det eksisterende kernesystem vidste så lidt om sit eget system. Det var især svært at få svar på spørgsmål om anvendelsesmuligheder og der opstod forsinkelser, fordi leverandøren måtte bringe adskillige specialister på banen for at svare på spørgsmål. Og selv specialisterne havde svært ved opgaven og kom ikke med bindende svar. Projektet afhjalp dette ved selv at grave i systemet, udføre tests og bringe egen viden i spil.

I arbejdet med at leve op til den nye lovgivning vil projekterne oftest være tværfaglige og involvere kerneinteressenter fra flere afdelinger, for eksempel HR, Finans og Legal. Udfordringen opstår ved, at der er stor forskel på projektmodenhed og intern kultur i de forskellige afdelinger. Derfor går de til opgaven på vidt forskellig vis. En løsning på dette er at sætte ekstra fokus på kommunikation og interessenthåndtering, så der sikres samme opfattelse og fokus blandt alle involverede.

Et analyseprojekt skaber overblik over dataflow mellem systemerne og bevidstgør vigtigheden af kontrol og styring. Det sikrer også, at virksomheden lever op til både national og EU lovgivning. Hele dette grundlæggende kortlægningsarbejde bidrager med værdifuld viden i forhold til både kommende processer og valg af it værktøjer.

Det forbereder endvidere organisationen på de nye måder at håndtere data på og ikke mindst hvad virksomheden ikke længere må. Dernæst sikres et overblik, hvorfra IT-afdelingen i samarbejde med forretningen kan estimere og planlægge den reelle implementering af nye processer og værktøjer, så alt og alle er klar, når lovgivningen træder i kraft i 2018.