Sådan gør TechGDPR databeskyttelse til en forretningsmæssig fordel

Compliance-illusionen: når politikkerne ikke stemmer med virkeligheden

Databeskyttelse bliver diskuteret meget, men sjældent forstået i dybden. Mange virksomheder behandler GDPR som en dokumentationsøvelse, noget, der kan klares ved hurtigt at generere politikker, nogle gange endda med AI. I praksis skaber den tilgang en falsk følelse af sikkerhed. Politikkerne findes måske, men de afspejler ofte ikke, hvordan data rent faktisk bevæger sig gennem organisationen.

»Nogle virksomheder starter med at lave deres politikker med AI. De bruger ChatGPT og lignende til at lave privatlivserklæringer, der faktisk ikke afspejler virkeligheden i virksomheden,« forklarer Jongerius. »De har ikke lavet en grundig undersøgelse. De har ikke undersøgt internt, hvilke processer der rent faktisk foregår, og de processer bliver derfor ikke afspejlet i politikkerne. Det er en stor mangel.« Alex Carroll, firmaets Consulting Manager, ser hullet fra kundesiden hver dag. »Man ville blive overrasket over, hvor mange i en virksomhed der har en helt anden forståelse af, hvad deres egen virksomhed laver, eller hvordan den bruger data,« siger han. Kløften mellem, hvordan en virksomhed præsenterer sig udadtil, og hvordan den rent faktisk fungerer indadtil, er efter hans erfaring reglen snarere end undtagelsen.

Et virkelig vigtigt skridt er først at opbygge en forståelse af, hvilke data der rent faktisk behandles i en organisation, før man overhovedet tænker på at skrive politikker.

Silvan Jongerius, administrerende partner

Ud over tjeklisten: Sådan bygger TechGDPR compliance, der holder

TechGDPR har en anden tilgang. Som specialiseret konsulentfirma fokuserer virksomheden på dybde frem for skala og arbejder tæt sammen med kunderne om at kortlægge og analysere, hvordan data rent faktisk behandles i den daglige drift. »Når vi arbejder med en kunde, får vi et virkelig dybt kig under motorhjelmen. Vi ser meget af deres interne processer og forstår præcis, hvordan de fungerer,« siger Jongerius. »At få den indsigt i så mange organisationer, der arbejder med nye slags teknologi og laver meget interessante ting, er yderst interessant.« Carroll, der leder et team af konsulenter inden for privatliv og teknologi og står for vigtige kundekonti, beskriver arbejdet i praktiske vendinger: »Compliance er ikke raketvidenskab. Man skal aldrig undervurdere, hvad der kan gå galt. Man skal aldrig overvurdere, hvor klar en virksomhed er, eller hvor godt den forstår, hvad den skal gøre. Det handler om ikke at tage noget for givet, at være organiseret og ikke at tabe noget på gulvet, og det er i bund og grund, hvad en konsulent gør.« I stedet for at levere generiske rammer omsætter TechGDPR lovkravene til konkrete, handlingsrettede forbedringer og hjælper virksomheder med at bygge systemer, der både overholder reglerne og er kommercielt bæredygtige. »TechGDPR blev grundlagt ud fra idéen om at hjælpe de virksomheder, for hvem det var meget svært at overholde GDPR, med alligevel at finde en måde at gøre tingene rigtigt på, både ved at beskytte enkeltpersoners privatliv og samtidig skabe en brugbar situation for virksomhederne,« siger Jongerius.

Fra CTO til stifter inden for compliance: et karriereskift drevet af nysgerrighed

Jongerius kom oprindeligt ikke fra databeskyttelsens verden. Med en baggrund inden for teknologi og uddannelsesledelse var hans vej ind i privatliv drevet af nødvendighed. Da han arbejdede som CTO, fik han til opgave at sikre overholdelse af GDPR, et ansvar, som de fleste i organisationen gerne ville undgå. »Der var noget, som ingen rigtig ville tage sig af, men af en eller anden grund syntes jeg, det var meget interessant,« siger han. Den nysgerrighed fik ham til at være med til at stifte TechGDPR i Berlin i 2018.

Carrolls vej var lige så utraditionel. Han kom fra verdenen af normativ compliance (ISO-standarder, ledelsessystemer), før han kom til TechGDPR i 2018. »Jeg var ret ny inden for databeskyttelse i starten,« indrømmer han. »Ved at skulle studere det og derefter omsætte det til handlingsrettede anbefalinger til kunderne har jeg helt klart ændret mit eget forhold til platforme og elektroniske enheder.«

Min samlede erfaring med iværksætteri, virksomhedsledelse, teknologi og GDPR's juridiske rammer er det, jeg mener, giver mig et forspring i at stifte TechGDPR.

Silvan Jongerius, administrerende partner

Når databeskyttelse bliver en livsstil

At arbejde med databeskyttelse påvirker ikke kun virksomhedens processer. Det ændrer også, hvordan den enkelte bruger teknologi. Både Jongerius og Carroll beskriver en faglig bevidsthed, der har ændret deres personlige vaner. »Hvis jeg ikke forstår, hvordan en virksomhed bruger mine data, er jeg den første til at bede om flere oplysninger, læse deres privatlivserklæring og kontakte databeskyttelsesrådgiveren,« siger Jongerius. Personligt tænker han nøje over, hvor han sætter sig på en café (»jeg sørger for at have ryggen mod væggen«), hvem der kan høre samtaler, og hvad der kan ses på hans skærm på offentlige steder. Carroll er gået længere. Han er holdt op med at bruge de fleste sociale medier (»LinkedIn bruger jeg, fordi det har faglig nytte, men Facebook bestemt ikke længere«) og er aktivt ved at flytte sin familie væk fra Metas produkter. »Jeg flytter min familie væk fra WhatsApp, fordi vi nu ved, at samtaler og indhold, der deles på WhatsApp, bruges til reklameformål,« forklarer han. »Jeg vil ikke have, at mine familiebilleder bliver tolket som livsstilsvalg, og at vi bliver målrettet med reklamer.« Selv noget så rutinemæssigt som et cookiebanner bliver en faglig øvelse. »Når jeg besøger en hjemmeside og bliver ramt af et cookiebanner, læser jeg det delvist,« siger Carroll. »Jeg læser ikke detaljerne, for jeg stoler ikke på detaljerne. De skal få en til at tro, at privatliv betyder noget for organisationen. Men i virkeligheden er det kun ens data, der betyder noget.« Hans råd til alle: »Før du klikker og opretter dig hos en tjeneste, så kig på hjemmesiden, kig på virksomheden, og se, hvordan de kommunikerer. Stol ikke på det, når de siger, at privatliv er vigtigt for dem. Du behøver ikke nødvendigvis at forstå privatlivserklæringen fuldt ud, men du får hurtigt en fornemmelse af, om de tager det alvorligt eller ej.« Jongerius tilføjer en bemærkning om AI-værktøjer: »Vær forsigtig med, hvad du betror ChatGPT. Den er ikke kun kendt for at genbruge dine data til at træne deres modeller, den kan også huske ting, du taler om, til senere brug. Og OpenAI har netop indgået kontrakter med det amerikanske forsvarsministerium, så man kan også stille spørgsmålstegn ved, hvad der kan ske med ens data inden for rammerne af den kontrakt.«

Selvstændighed som design: at bygge et remote first-konsulentfirma

TechGDPR er en remote first-virksomhed, der er bygget op omkring selvstændighed og tillid. Teamet er organiseret til at arbejde selvstændigt med frihed til at håndtere sine opgaver uden konstant overvågning. Jongerius' ledelsesstil er præget af en samarbejdsorienteret, hollandsk tilgang til beslutninger, hvor teamet inddrages i vigtige beslutninger, og retningen sættes i fællesskab. »Jeg er ikke typen, der kigger dem over skulderen hver dag. Jeg kan godt lide, at de er selvstændige, og jeg vil gerne give dem mulighederne,« siger han. »Jeg håber, mit team ville sige det samme. Det er vel mere et håb end en forventning.« Virksomhedens rekrutteringsstrategi afspejler en bevidst investering i udvikling. »Vi er et specialiseret konsulentfirma, så vores strategi er at ansætte folk med en lovende baggrund, som virkelig forstår teknologi eller i det mindste har en meget stor interesse for det,« forklarer Carroll. »Rådgivning inden for jura og cybersikkerhed er ikke så teknisk, som de fleste tror. Det handler i virkeligheden om at have et mindset, der kan forstå forretningsprocesser og de risici, der følger med teknologi.« Carroll ansætter unge fagfolk med et til tre års erfaring og lærer dem, hvordan virksomheder rent faktisk fungerer, fra dynamikken i bestyrelseslokalet til manglende sammenhæng mellem afdelinger. »Det, en konsulent gør, og det, mit team er ved at lære, er at se forbindelserne mellem siloerne,« siger han. Efter en periode med en vis udskiftning er teamet blevet stabilt. »Vi har nu haft et ret stabilt team i et par år, og det er en sand fornøjelse,« tilføjer Jongerius.

Sådan styrer TechGDPR sin økonomi

At drive virksomhed i Tyskland og internationalt med kundevendte aktiviteter kræver effektive økonomiske processer. Hurtige betalinger, nemt overblik og muligheden for at holde erhvervsbankforretningerne adskilt fra private enheder betyder alt sammen noget for en virksomhed, der tænker professionelt på datastrømme. Vivid hjælper TechGDPR med at effektivisere de processer med en samlet brugerflade til styring af virksomhedens udgifter og økonomi. I stedet for at være afhængigt af langsomme, opsplittede traditionelle banksystemer kan teamet følge transaktioner, holde øje med saldi og håndtere den daglige drift ét sted. For en virksomhed med fokus på gennemsigtighed og kontrol inden for databeskyttelse passer Vivids hastighed og digitale tilgang naturligt: »Med den moderne måde at drive bank på, selvom jeg ikke kan lide alle sider af den, er processerne typisk ret hurtige. Og det hjælper, når man driver en virksomhed.« Jongerius' eneste forbehold er typisk for en med fokus på privatliv: »Jeg vil gerne holde min private mobil ude af mine erhvervsbankforretninger og ikke blande tingene sammen. Det er også af hensyn til privatlivet.« Selv hans feedback om bankforretninger kommer gennem en databeskyttelseseksperts øjne.