5 vanliga anledningar till varför organisationer misslyckas med sin dataskyddskultur

Svårt att få med organisationen  

Dataskydd och privacy är ett nytt perspektiv. Det är vanligt att organisationen ser detta som ytterligare en uppgift som är svår och där man inte tidigare behövt tänka på detta. Om man jämför med bokföringslagen så är det en lag där man idag inte ifrågasätter den administrativa börda den innebär. Det vill säga idag redovisar anställda sina kvitton helt naturligt, utan påtryckningar. Det är en accepterad lag. Medan dataskydd som är ett nytt perspektiv, inte sitter lika mycket i ryggmärgen. Det kan kännas som att man jobbar i motvind, och det är svårt att få med sig organisationen.

Fastnar i administrativt arbete  

Dataskyddsförordningen ställer en hel del krav på dokumentation. Enbart artikel 30, att föra registerförteckning, kräver mycket tid. Det är lätt att de administrativa uppgifterna tar över. Dels för att de är tidskrävande, men det finns även en tendens hos många att prioritera detta arbete. Anledningen till detta är att det administrativa arbetet är något konkret, något vi kan visa upp. Att prioritera dataskyddskultur och att sprida medvetenhet är däremot inte lika mätbart eller enkelt att visa upp, varför det ibland prioriteras ner.  

DSO:n har dubbla roller  

Ofta är DSO-rollen inte ett ansvar som någon har på 100 %. Många CISO:s eller kommunjurister har blivit tilldelade rollen som DSO. Detta blir lätt övermäktigt eftersom de ordinare arbetsuppgifterna är en heltidstjänst i sig. Att på detta ta sig an en DSO-roll också kan leda till att det blir svårt att hitta med allt man önskar. Många gånger har också DSO:n ett ansvar för flera organisationer. Exempelvis kan en DSO vara det i 3 olika kommuner. Det gör tiden än mer knapphänt och leder till att kulturarbetet inte hinns med i den omfattning som krävs, eller nedprioriteras helt.

DSO:n hamnar fel i organisationen  

DSO:n ska vara direkt under styrelse eller ledning. I vissa fall hamnar DSO:n under CISO, legal eller annan avdelning. För att bygga en dataskyddskultur krävs resurser i tid och pengar. När DSO:n hamnar fel i organisationen har de inte direktlinan till styrelsen för att förklara och förankra just detta. Det gör dataskyddskulturarbetet i vissa fall svårare att driva.

Krävs resurser inom olika områden  

Det krävs lite olika resurser för att lyckas med DSO-rollen. Både juridik, IT och verksamhetskunskap behöver vara representerat. Dessutom krävs projektledning för att driva frågan. I vissa fall finns dessa kompetenser inte  tillgängliga för dataskyddsarbete. I andra fall finns dessa kompetenser inte alls inom organisationen.  

Varför dataskyddskultur är centralt för att lyckas med er GDPR-efterlevnad

Har ni funderat på dataskyddskultur och om det är något ni borde ägna tid åt? Det finns ju många krav att uppfylla enligt GDPR, så hur ska kulturarbete hjälpa er öka er efterlevnad? Det får du svar på nu.

Dataskyddskultur hjälper DSO:n att påverka i tid

I en dataskyddskultur blir du som DSO inbjuden i tid i verksamhetens olika projekt. Det innebär exempelvis att när verksamheten ska köpa in ett nytt system så är du med när kravspecifikationen ska skapas. Det leder till att du har möjlighet att styra projektet mot ett privacy-vänligt sådant.  

I en verksamhet som inte genomsyras av en dataskyddskultur blir du istället (i bästa fall) tillfrågad när verksamheten ska skriva på avtalet. I värsta fall blir du inte involverad alls. Här hamnar vi i en situation där verksamheten antingen helt bryter mot GDPR, eller där du tvingas säga nej och stoppa verksamheten från att slutföra en upphandling de lagt mycket tid på. Inget av dessa alternativ är särskilt tilltalande.  

I en dataskyddskultur är privacy något som organisationen alltid har med sig i sina processer. Där blir också risken för att ni bryter mot GDPR avsevärt mindre.  

Annars glöms integriteten bort

Dataskydd och integritet är ett nytt perspektiv som organisationen behöver bli påmind om. I de flesta organisationer sitter inte dataskyddsperspektivet i ryggmärgen hos gemene anställd. Därför behöver organisationer jobba med att påminna och medvetandegöra frågan så ofta det går.  

Glömmer verksamheten bort att ta hänsyn till dataskydd är det lätt att de börjar med behandlingsaktiviteter som inte är okej, eller har riskfyllda rutiner som möjliggör incidenter. Och då blir risken överhängande att du som ansvarig för dataskydd får släcka bränder istället för att förbättra arbetssätt. Vilket leder oss in på vår sista punkt.

Organisationen arbetar proaktivt istället för reaktivt  

I en fungerande dataskyddskultur är dels verksamheten medveten om när de ska flagga eller fråga DSO:n, och DSO:n är medveten om de aktiviteter som är planerade i verksamheten som påverkar efterlevnad av GDPR.  

När dessa strukturer finns på plats kan ni föregå en incident eller en behandling av personuppgifter som inte linjerar med GDPR. Det handlar i grund och botten om att privacy ska finnas i bakhuvudet på alla. Då blir det mycket lättare att arbeta proaktivt med frågan, istället för reaktivt när något inträffar.  

Bygg en bättre dataskyddskultur

Dataskyddskultur är centralt för att organisationer ska lyckas med sin GDPR-efterlevnad. Vi på DirSys hjälper er gärna med både praktiska råd och konkreta handlingsplaner.
Kontakta oss om du vill veta mer!