Vi ender opp med å behandle flere inn- og utgående fakturabetalinger, og fordi det er så enkelt, er jeg ganske åpen for å flytte flere av inn- og utbetalingene våre til Vivid.
Silvan Jongerius, administrerende partner
TechGDPR gikk over til Vivid etter å ha blitt stadig mer frustrert over rentene, servicekvaliteten og svartidene i tradisjonelle banker. «Alt gikk sakte og var dyrt», husker Jongerius. Det som startet som et sted å parkere sparepenger, utviklet seg raskt til noe mer. «I begynnelsen ble vi kunder hos Vivid mest for kapitalforvaltningen. Men nå ender vi opp med å behandle flere inn- og utgående fakturabetalinger, og fordi det er så enkelt, er jeg ganske åpen for å flytte flere av dem til Vivid. Det har vi gjort gradvis, men det var ikke det jeg ventet i utgangspunktet.»
Illusjonen om etterlevelse: når retningslinjene ikke stemmer med virkeligheten
Databeskyttelse diskuteres mye, men forstås sjelden i dybden. Mange selskaper behandler GDPR som en dokumentasjonsøvelse, noe som kan løses ved raskt å lage retningslinjer, noen ganger til og med med AI. I praksis gir denne tilnærmingen en falsk trygghet. Retningslinjene kan finnes, men de gjenspeiler ofte ikke hvordan data faktisk flyter gjennom organisasjonen.
«Noen selskaper begynner med å lage retningslinjene sine med AI. De bruker ChatGPT og lignende til å lage personvernerklæringer som ikke gjenspeiler virkeligheten i selskapet», forklarer Jongerius. «De gjorde ikke grundige nok undersøkelser. De har ikke kartlagt internt for å forstå hvilke prosesser som faktisk foregår, og de prosessene gjenspeiles derfor ikke i retningslinjene. Det er en stor svakhet.» Alex Carroll, rådgivningssjef i selskapet, ser gapet fra kundesiden hver dag. «Du ville blitt overrasket over hvor mange i et selskap som har en helt annen forståelse av hva deres eget selskap gjør, eller hvordan det bruker data», sier han. Avstanden mellom hvordan et selskap fremstiller seg utad og hvordan det faktisk fungerer internt, er etter hans erfaring regelen snarere enn unntaket.
Et svært viktig steg er først å forstå hvilke data som faktisk behandles i en organisasjon, før man i det hele tatt tenker på å skrive retningslinjer.
Silvan Jongerius, administrerende partner
Forbi sjekklisten: slik bygger TechGDPR etterlevelse som holder
TechGDPR har en annen tilnærming. Som et lite, spesialisert rådgivningsselskap prioriterer det dybde fremfor skala og jobber tett med kundene for å kartlegge og analysere hvordan data faktisk behandles i den daglige driften. «Når vi jobber med en kunde, får vi et virkelig grundig innblikk under panseret. Vi ser mye av hvordan de fungerer internt, og vi forstår nøyaktig hvordan prosessene deres er», sier Jongerius. «Å få denne innsikten i så mange organisasjoner som jobber med nye typer teknologi og gjør svært interessante ting, er ekstremt interessant.» Carroll, som leder et team av rådgivere innen personvern og teknologi og har ansvaret for viktige kundeforhold, beskriver arbeidet i praktiske termer: «Etterlevelse er ikke rakettforskning. Du skal aldri undervurdere hva som kan gå galt. Du skal aldri overvurdere hvor klart et selskap er, eller hvor godt de forstår hva de må gjøre. Det handler om ikke å ta ting for gitt, være organisert og ikke miste ting av syne, det er i bunn og grunn det en rådgiver gjør.» I stedet for å levere generiske rammeverk oversetter TechGDPR regulatoriske krav til konkrete forbedringer som kan settes ut i livet, og hjelper selskaper med å bygge systemer som både etterlever reglene og er kommersielt bærekraftige. «TechGDPR ble grunnlagt for å hjelpe selskaper som syntes det var svært vanskelig å etterleve GDPR, til likevel å finne en måte å gjøre ting riktig på, både ved å ivareta personvernet til enkeltpersoner og samtidig skape en situasjon som fungerer for selskapene», sier Jongerius.
Fra CTO til gründer innen etterlevelse: et karriereskifte drevet av nysgjerrighet
Jongerius kom ikke opprinnelig fra databeskyttelsesfeltet. Han hadde bakgrunn fra teknologi og utdanningsledelse, og veien inn i personvern var drevet av nødvendighet. Da han jobbet som teknologidirektør (CTO), fikk han i oppgave å sørge for at virksomheten etterlevde GDPR, et ansvar de fleste i organisasjonen helst ville unngå. «Det var noe ingen egentlig ville ta tak i, men av en eller annen grunn syntes jeg det var veldig interessant», sier han. Den nysgjerrigheten førte til at han var med på å grunnlegge TechGDPR i Berlin i 2018.
Carrolls vei var like ukonvensjonell. Han kom fra normativ etterlevelse (ISO-standarder, styringssystemer) før han begynte i TechGDPR i 2018. «Jeg var ganske ny innen databeskyttelse i starten», innrømmer han. «Fordi jeg har måttet studere det og deretter oversette det til konkrete anbefalinger for kundene, har jeg definitivt endret mitt eget forhold til plattformer og elektroniske enheter.»
Den samlede erfaringen min fra gründerskap, selskapsledelse og teknologi, og fra det juridiske rammeverket i GDPR, er det jeg mener ga meg et fortrinn da jeg grunnla TechGDPR.
Silvan Jongerius, administrerende partner
Når databeskyttelse blir en livsstil
Å jobbe med databeskyttelse påvirker ikke bare prosessene i selskapet. Det endrer hvordan enkeltpersoner forholder seg til teknologi. Både Jongerius og Carroll beskriver en faglig bevissthet som har endret vanene deres privat. «Forstår jeg ikke hvordan et selskap bruker dataene mine, er jeg den første til å be om mer informasjon, lese personvernerklæringen og kontakte personvernombudet», sier Jongerius. Privat tenker han nøye over hvor han setter seg på en kafé («jeg sørger for å ha ryggen mot veggen»), hvem som kan høre samtaler, og hva som er synlig på skjermen hans på offentlige steder. Carroll har gått enda lenger. Han har sluttet å bruke de fleste sosiale medier («LinkedIn bruker jeg fordi det har en faglig nytte, men Facebook definitivt ikke lenger») og jobber aktivt med å flytte familien bort fra Meta-produkter. «Jeg flytter familien min bort fra WhatsApp, for nå vet vi at samtaler og innhold som deles på WhatsApp, brukes til reklameformål», forklarer han. «Jeg vil ikke at familiebildene mine skal tolkes som livsstilsvalg og bli brukt til målrettet reklame.» Selv noe så rutinemessig som et cookiebanner blir en faglig øvelse. «Når jeg besøker et nettsted og får et cookiebanner i fleisen, leser jeg det delvis», sier Carroll. «Jeg leser ikke detaljene, fordi jeg ikke stoler på detaljene. De skal få deg til å tro at personvern betyr noe for organisasjonen. Men egentlig er det bare dataene dine som betyr noe.» Rådet hans til alle: «Før du klikker og registrerer deg på en tjeneste, ta en titt på nettstedet, på selskapet og på hvordan de kommuniserer. Ikke stol på det når de sier at personvern er viktig for dem. Du trenger ikke nødvendigvis å forstå personvernerklæringen fullt ut, men du får raskt en følelse av om de tar det på alvor eller ikke.» Jongerius legger til et ord om AI-verktøy: «Vær forsiktig med hva du betror ChatGPT. Det er ikke bare kjent for å gjenbruke dataene dine til å trene modellene sine, det kan også huske ting du snakker om, til senere bruk. Og OpenAI har nettopp inngått kontrakter med det amerikanske forsvarsdepartementet, så man kan også spørre seg hva som kan skje med dataene dine innenfor rammen av den kontrakten.»
Selvstendighet som prinsipp: slik bygges et rådgivningsselskap med fjernarbeid som utgangspunkt
TechGDPR er et selskap der fjernarbeid er utgangspunktet, bygget rundt selvstendighet og tillit. Teamet er organisert for å jobbe selvstendig, med frihet til å håndtere ansvarsområdene sine uten konstant oppsyn. Jongerius' lederstil er preget av en samarbeidsorientert, nederlandsk tilnærming til beslutninger, der teamet involveres i viktige beslutninger og retningen settes i fellesskap. «Jeg er ikke en som kikker dem over skulderen hver dag. Jeg liker at de er selvstendige, og jeg vil gjerne legge til rette for det», sier han. «Jeg håper teamet mitt ville sagt det samme. Det er vel mer et håp enn en forventning.» Selskapets ansettelsesstrategi viser en bevisst investering i utvikling. «Vi er et lite, spesialisert rådgivningsselskap, så strategien vår er å ansette folk med lovende bakgrunn som virkelig forstår teknologi, eller i det minste har en svært sterk interesse for det», forklarer Carroll. «Rådgivning innen juss og cybersikkerhet er ikke så teknisk som de fleste tror. Det handler egentlig om å ha et tankesett som forstår forretningsprosesser og risikoene som følger med teknologi.» Carroll tar inn unge fagfolk med ett til tre års erfaring og lærer dem hvordan selskaper faktisk fungerer, fra dynamikken i styrerommet til manglende samkjøring mellom avdelinger. «Det en rådgiver gjør, og det teamet mitt lærer å gjøre, er å se sammenhengene mellom siloene», sier han. Etter en periode med en del gjennomtrekk tidligere har teamet stabilisert seg. «Nå har vi hatt et ganske stabilt team i et par år, og det er en sann glede», legger Jongerius til.
Slik styrer TechGDPR økonomien
Å drive i Tyskland og internasjonalt med kunderettet virksomhet krever effektive økonomiprosesser. Raske betalinger, enkel oversikt og muligheten til å holde bedriftens bankforhold atskilt fra private enheter er alle viktige for et selskap som tenker profesjonelt om dataflyt. Vivid hjelper TechGDPR med å effektivisere disse prosessene med ett samlet grensesnitt for å styre selskapets utgifter og økonomi. I stedet for å være avhengig av trege, oppstykkede tradisjonelle banksystemer kan teamet følge transaksjoner, holde øye med saldoer og håndtere den daglige driften på ett sted. For et selskap som er opptatt av åpenhet og kontroll innen databeskyttelse, passer hastigheten i driften og den digitale tilnærmingen til Vivid naturlig: «Med den moderne måten å drive bank på, selv om jeg ikke liker alle sider ved den, går prosessene som regel ganske raskt. Og det hjelper når du driver en bedrift.» Jongerius' eneste forbehold er typisk personvernorientert: «Jeg vil gjerne holde min private mobil utenfor bankløsningene for bedriften, og ikke blande ting. Og det er også av personvernhensyn.» Selv tilbakemeldingene hans om bank kommer gjennom brillene til en fagperson innen databeskyttelse.
