Selvstændig konsulent: ”Meningsløst at bruge en masse krudt på det”

Fredag den 25. maj træder EU’s forordning om beskyttelse af personoplysninger i kraft. Persondataforordningen (GDPR) har sat gang i ansættelsen af ’Data Protection Officers’ og omfattende projekter i mange virksomheder. Derudover har mange af os fået en lind strøm af mails fra diverse virksomheder og myndigheder, vi på et eller andet tidspunkt har været i berøring med.

Men hvordan griber man GDPR an, når man sidder i en lille virksomhed, der ikke har husjurister eller andre sagkyndige, der kan tage sig af arbejdet med databeskyttelse?

Djøfbladet har talt med en djøf-uddannet kvinde, som gennem de sidste 15 år har drevet en lille konsulentvirksomhed. Ud over hende selv er én anden tilknyttet virksomheden, som hun arbejder i på fuld tid.

Virksomhedsejeren fortæller, at hun har brugt et par dage på forordningen. Hun mener, at hun har gjort nok, men vil alligevel gerne optræde anonymt, idet hun frygter, at det modsatte er tilfældet. Redaktionen er selvfølgelig bekendt med hendes identitet.

Hvad har du konkret gjort i forhold til Persondataforordningen?

”Jeg har gået til forskellige oplæg og foredrag og læst lidt om den. Og så har jeg sikret mig, at jeg har styr på mine data. Jeg ved, hvor jeg har dem henne, og hvilke data der kan udløse udfordringer.”

Hvilke er det?

”Jeg har folks e-mailadresser, fordi jeg udsender nyhedsbreve, og så laver jeg også karriererådgivning, så jeg har folks CV’er liggende. Desuden laver jeg persontests, og der vil det fremover være sådan, at når forløbet er færdigt, så bliver de slettet.”

Så du har gjort noget?

”Jeg har forholdt mig til, hvilke data jeg har, og hvordan jeg skal håndtere dem, så de bliver opbevaret sikkert. Jeg har også altid haft Norton AntiVirus som sikkerhedssystem. Jeg har bare ikke lavet store juridiske dokumenter om det.”

Bør du gøre det?

”Det er mit indtryk, at folk har skullet beskrive, hvor de har deres data, og hvem der håndterer dem. Jeg ved faktisk ikke, hvor meget af det der er hype, og hvad der er tilstrækkeligt i en lille virksomhed som min. Jeg har dog styr på, hvor mine data er, og jeg ved, hvordan jeg skal behandle dem.”

Så du føler, at du har gjort det, du skulle?

”Ja. Det føler jeg.”

Hvorfor optræder du så anonymt?

”Fordi jeg har en fornemmelse af, at man skal beskrive mere om processerne, end jeg har gjort. Jeg skal kunne fremvise dokumenter. For mig ville det være meningsløst at bruge en masse krudt på det.”

Hvor har du data om dine kunder liggende?

”Jeg har dem kun liggende på min harddisk på computeren. Der er ingen sky involveret.”

Hvor meget tid har du brugt på forordningen?

”Et par dage. Jeg er rimelig cool omkring den.”

Hvad synes du om, at små virksomheder skal forholde sig til persondatasikkerhed?

”Det er skudt fuldstændig forbi, fordi hvor er det, vi har datalæk? Det er hos bankerne, det offentlige og de sociale medier. Jeg har ikke hørt om små virksomheder, der har datalæk. Det handler om, at vi skal have en ordentlig og fornuftig håndtering af data – det har det jo altid gjort. Jeg ser mere forordningen som rettet mod de store virksomheder, hvor data kører ind og ud af og på tværs i virksomheden.”