Klokken tikker mot 25.05.18. Er du klar for GDPR?

EUs nye forordning for personvern blir norsk lov i mai neste år. Den erstatter personopplysningsloven og tilhørende forskrifter i Norge, og er den største endringen av personvernlovgivning i Europa på over 20 år. Alle norske virksomheter får nye plikter mens borgerne får nye rettigheter.

Dermed er lista lagt for EUs nye General Data Protection Regulation (GDPR).

Arbeidet med forordningen startet i 2012, og den viderefører mye fra det gjeldende direktivet fra 1995. Det er imidlertid uthulet av internett og ny teknologi som på få år har gjennomsyret samfunnet og endret måten vi lever og kommuniserer på. Vi sprer om oss med data dagen lang til stor glede for alle som samler opp store mengder informasjon om oss.

Det nye landskapet for personvern blir mer krevende å manøvrere.

Persondata er blitt vår tids gull, og den nye forordningen er derfor viktig og tidsriktig. Hensikten er å styrke borgernes rettigheter og tilliten til digitale tjenester. Forordningen skal gi et felles regelverk i Europa, lette utvekslingen av personopplysninger over landegrenser, og sikre samarbeidet mellom personvernmyndigheter.

Får de det til, er mye gjort. Men det er ikke nok. På den andre siden står alle organisasjonene som skal implementere dette. Og der står de godt plantet. I ro.

Dagens regelverk stiller krav til at organisasjoner skal ha rutiner for å etterleve personopplysningsloven. Når loven endres neste år, må rutinene justeres tilsvarende. Dette blir et krevende skifte for mange. Men er de klar over det selv?

En internasjonal studie utført av Dimensional Research i fjor høst blant ledere med ansvar for datasikkerhet og personvern ga følgende hovedfunn:

• Mer enn 80 prosent av respondentene visste lite eller ingenting om GDPR.
• Hele 97 prosent av bedriftene hadde ingen plan for innføring av dette.
• Kun ni prosent var sikre på at bedriften blir klar før fristens utløp neste år.

Dette viser en klar mangel på forståelse og forberedelse til det som kommer.

Det finnes mye informasjon om GDPR på nettet, men for mange er det vanskelig å dra ut essensen. I Norge er Datatilsynet en viktig informasjonskilde, og her er et lite utdrag av hva de mener dette vil bety. 

Alle norske virksomheter får nye plikter, og de skal ha en forståelig personvernerklæring tilpasset lesernes nivå (også barn). Alle må bygge personvern inn i nye løsninger, såkalt innebygd personvern. Det blir nye krav til avvikshåndtering, reglene for sikkerhetsbrudd blir strengere, og bøtenivået ved alvorlige avvik øker dramatisk.

Borgerne får nye rettigheter der retten til å bli glemt, dataportabilitet og nei til profilering styrkes. Alle offentlige og mange private virksomheter må i tillegg opprettet personvernombud som skal rapportere direkte til ledelsen. For å nevne noe.

Det er mye som skal på plass det neste året, og det nye landskapet for personvern blir mer krevende å manøvrere i.

Det er ikke et spørsmål om hva som skjer i EU da det er en prosess som går ufortrødent videre. Det står mer på alle de som må implementere dette. Det blir mye personvern å holde styr på, og den som utsetter vil få det svært travelt neste vår.

La meg avrunde med fire råd for innføring av GDPR inspirert av Datatilsynet:

1. Avklar personopplysninger som behandles i dag, som en start.
2. Sørg for å oppfylle dagens lovkrav, da blir overgangen lettere.
3. Sett dere inn i det nye regelverket, det kommer fortere enn svint.
4. Lag rutiner for de nye reglene. Bedre føre var enn etter snar.

Enkelt og greit. Teoretisk sett. Etter innføringen er det et løpende arbeid å kontrollere, følge opp og forbedre det hele. Arbeidet inngår i virksomhetens styringssystem for informasjonssikkerhet som er ledelsens ansvar.

Det er mye som skal på plass neste år.

DND er allerede i gang med aktiviteter på dette området i form av nettverksmøter, foredrag og webinarer. Og mer vil komme det neste året. DND er derfor et godt nettverk for kunnskap, erfaring og synspunkter på dette viktige området.

Klokken tikker videre.

Terje Wold er styreleder i Den Norske Dataforening (DND).