Sustainable Compliance Danmark

Alt for megen ny regulering er noget af det, der stresser i compliance-afdelingerne. Men hvad kan vi gøre ved det?

Det giver vores vært, Jacob Høedt Larsen, sit bud på her.

Det lyder nogenlunde sådan her:

En amerikansk undersøgelse viser, at overvældende megen ny regulering stresser mennesker, der arbejder med compliance.

❓”Har du fået læst afgørelsen om Helsingør Kommune og den 1.700 sider lange konsekvensvurdering? Du burde også lige læse den endnu mere omfattende vurdering fra Holland…”

🤯 ”Det der nye NIS-direktiv. Bliver vi omfattet af det? Og hvis vi gør, så skal vi jo gerne i land med det hurtigt, uden at bruge for mange ressourcer på det.”

Jeg tror, at man - også danske GDPR-folk - kan nikke genkendende til følelsen af utilstrækkelighed.

Jeg har i hvert fald aldrig været i en branche, hvor jeg oftere føler mig både uvidende og smådum.

Men, hvad er løsningen, andet end at råbe: “Stop, jeg vil af!”

Jeg tror, der er tre ting, vi kan gøre:

😀 Acceptere, at compliance er en proces, ikke et projekt. Som én af mine bekendte siger: “Lad være med at gå efter 100 %, og lad være med at gøre det hele på én gang”.

🤪 Læne sig ind i uvidenheden. Jeg har arbejdet som journalist og interviewet folk om ting, jeg ikke vidste ret meget om (det gør jeg i øvrigt stadig). Det er faktisk helt ok at stille et dumt spørgsmål - man bliver klogere af svaret.

👩‍👩‍👧‍👦 Gør det sammen. OK, du er ikke ekspert i kravene om konsekvensanalyser? Det er der garanteret en i dit netværk, der er (eller måske bare en på Linkedin). Ræk ud, spørg. De fleste vil gerne dele deres erfaringer, og så ved du måske noget om sammenhængen mellem marketing og GDPR…

Det sidste er det, vi forsøger at gøre med vores ugentlige Privacy League Live udsendelse. Her kan man bare møde op og stille spørgsmål - samt bidrage med det, man selv ved noget om.

I det hele taget er ny regulering (og meget af den) nok et grundvilkår.

Jeg håber, vi kan arbejde sammen om at blive klogere - og acceptere, at vi ved alt … sammen.

Vært: Jacob Høedt Larsen - følg ham på https://www.linkedin.com/in/jacobhoedtlarsen/

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

I denne uge tager vi en samtale med professor Henrik Udsen fra Københavns Universitet om det, der rører sig lige nu GDPR og IT-retten.

Vi taler lidt generelt og dykker så ned i tre emner, som lyttere af podcasten bad mig tage op med Henrik.

15.10 taler vi om de læringer, som Henrik Udsen mener, vi skal drage i sagen om Helsingør og deres skolers brug af Chromebooks.

22:24 taler vi om straf og erstatning på GDPR-området. Specielt erstatning er noget, som Henrik Udsen dykker ned i i øjeblikket.

32:50 taler vi om udviklingen i Software-as-a-Service kontrakter

38:50 forsøger Henrik at forudse, hvad vi skal tale om i det kommende år.

Du finder konferencen, vi taler om, her: https://dit.dk/it-jura/

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

I denne udgave af Privacy League Live taler vi om de tre ting, som stresser compliance-folk - ifølge en ny undersøgelse.

Mere end halvdelen af alle compliance-folk er udbrændte …

… viser en (amerikansk) undersøgelse.

Det talte vi om i Privacy League Live.

Vores vært, Jacob Høedt Larsen glæder sig altid til onsdag.

Der mødes han nemlig med en masse gode mennesker, som arbejder med GDPR og informationssikkerhed og diskuterer alt muligt.

Men han ved faktisk ikke, om de sidder og er stressede og udbrændte.

Den amerikanske undersøgelse tyder i hvert fald på, at compliance-funktionen kan være et barskt sted at arbejde.

1️⃣ Det vælter ind over os med ny regulering og nye afgørelser (”Har du læst den 1.700 sider lange konsekvensvurdering, som Helsingør Kommune har sendt til Datatilsynet?” - kunne være et spørgsmål i denne uge)

2️⃣ Der mangler ressourcer og opbakning fra ledelsen (”Du klarer dig da meget godt med Excel,” - kunne være svaret, når man spørger ind til muligheden for at bruge lidt penge)

3️⃣ Der opstår konflikter med kollegaerne (”Åh nej, skal vi nu tale om GDPR igen? Vi var lige godt i gang med rigtigt arbejde.” Kunne være en kommentar.

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Er det frygt og regler eller værdier, der skal drive privacy arbejdet?

1️⃣ Compliance drevet af frygt og regulering

Hvis man ser på medieomtalen i 2018, hvor GDPR trådte i kraft, var det frygten for tilsyn og bøder, der drev arbejdet. Sådan er det nok stadig mange steder.

Hvis frygt er drivende, så vil man selvfølgelig gerne sikre sig, at man ikke overtræder nogen regler. Målet bliver derfor at overholde reglerne - altså at være compliant.

Et privacy-program baseret på frygt forholder sig primært til myndighederne, fordi det handler undgå problemer, hvis nogen skulle kigge en efter i sømmene.

Sådan et program vil ofte være centraliseret, fordi det kræver skarpe juridiske kompetencer at kunne vurdere de enkelte tiltag.

Den væsentligste kompetence er altså juridisk.

2️⃣ Integritet drevet af værdier

Hvis det omvendt er en værdi hos virksomheden, at man ønsker at være ansvarlig og troværdig, når det handler om personoplysninger, får programmet en anden karakter, tænker jeg.

Målet i sådan et program bliver, at man hele tiden og i hele organisationen kender værdierne, og på baggrund af dem træffer den enkelte medarbejder den rette beslutning i den enkelte situation.

Et privacy-program baseret på værdier, forholder sig altså til virksomhedens interessenter. Hvad er det, medarbejderne, kunderne, leverandørerne kan forvente af os i forhold til vores behandling af deres personoplysninger.

Sådan et program vil nødvendigvis være distribueret, fordi succes og fiasko afhænger af utallige små beslutninger i hele organisationen.

Og den væsentligste kompetence bliver derfor evnen til at bygge en kultur og dokumentere den.

I løbet af udsendelsen hen viser Søren til et link, som du finder her:
https://corporate-rebels.com/rethinking-the-employment-contract/

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Lige nu taler alle privacy-folk om Helsingør Kommune, Google og Datatilsynet - men hvad kan vi lære af sagen? Her er nogle bud:

Læring 1: GDPR foregår hele tiden - hav en krisehåndteringsplan

Læring 2: Compliance-risiko er en reel risiko

Læring 3: DU er ansvarlig

Læring 4: Måske skal vi lave flere konsekvensanalyser

“Læring” 5 Skal vi møde vores omverden med mistillid

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Mange fortæller os, at de bruger utroligt meget af deres tid på at skabe og genskabe overblik - med andre ord, de bruger tiden på det administrative.

Jacob Høedt Larsen hører ikke til dem, der mener, at man kan sætte sin compliance på autopilot.

Det vil være en total underkendelse af, hvor analytisk komplekse problemstillingerne er i en privacy afdeling

Det vil også være en total underkendelse af, hvor samarbejds-komplekse problemstillingerne i en privacy afdeling er.

Men man kan godt sørge for, at gøre sin administration enklere - sine workflows. Og det er det, han vil sige noget om, denne gang.

Link til optagelsen af masterclass: https://www.wiredrelations.com/viden/masterclass-iv-automatisering-af-administrationen

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Denne gang handler Masterclass om process-fasen, hvor vi privacy professionelle skal håndtere og processe de input, der kommer til privacy-funktionen, sådan at de kan indgå i privacy-programmet.

Jacob Høedt Larsen taler om, hvordan forskellige typer af problemstillinger, bør behandles forskelligt. Det handler både om selve problemets kompleksitet og de interessenter, der måtte være.

Link til optagelse af masterclass: https://www.wiredrelations.com/viden/masterclass-iii-effektive-processer

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Hvis vi skal løfte privacy funktionen er vi - mener Jacob Høedt Larsen - nødt til at se ud over vores egen næse, og arbejde på at indskrive hele (eller i hvert fald store dele af) vores organisation i arbejdet.

Vi skal som organisation kunne arbejde effektivt med at højne ansvarligheden og forbedre databeskyttelsen.

Effektive kulturer har fem karakteristika:

1. Psykologisk sikkerhed: En delt overbevisning i teamet om, at man kan sige ting højt, uden at frygte følgerne
2. Pålidelighed: Vi kan regne med hinanden, alle leverer høj kvalitet til den aftalte tid
3. Struktur og klarhed: Mål, roller og planer er klare
4. Mening i arbejdet: Alle føler, at det, vi arbejder på, er personligt vigtigt for dem
5. Impact: Vi tror, at det, vi arbejder på, betyder noget.

Jacob Høedt Larsen gennemgår på denne anden af fire masterclasses værktøjer til at arbejde med alle elementerne i en privacy sammenhæng.

Link til optagelsen af masterclass: https://www.wiredrelations.com/viden/masterclass-2-af-4-vaerktojer-til-en-privacy-kultur

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

På fire masterclasses præsenterer privacy evangelist i Wired Relations og Privacy League, Jacob Høedt Larsen, et bud på en model udviklet til privacy-funktioner.

I den første præsenterer han baggrunden for modellen, og det den skal løse. I de følgende webinarer, dykker han ned i de tre vigtige faser, som en compliance-afdeling skal kunne håndtere.

Capture-fasen, som handler om, hvordan man skaber en privacy-kultur og forankring i hele organisationen, som kan indfange ny lovgivning, nye systemer, leverandører og processer i organisationen og nye risici.

Process-fasen, hvor det nye skal indarbejdes i det løbende privacy-program. Det er en fase, som handler om at understøtte samarbejde med hele organisationen og kommunikation.

Retain-fasen, hvor de løbende og gentagne kontrol- og rapporteringsopgaver skal håndteres så effektivt som muligt - eksempelvis via automatisering.

Link til selve webinaret og PDF'en: https://www.wiredrelations.com/viden/privacy-pipeline-masterclass-1-af-4-sadan-organiserer-du-privacy-funktionen

Vært: Jacob Høedt Larsen

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl

Stephan Engberg fra Citizenkey fortæller om trustworthy Anonymitet.

Du kan høre tankerne i podcasten.

Og du kan hente den powerpoint præsentation, som vi omtaler i podcasten her: https://3963040.fs1.hubspotusercontent-na1.net/hubfs/3963040/Webinars/EDPS_Trustworthy_PKI_Engberg_20220622.pdf

Vært: Jacob Høedt Larsen.

Privacy League er en podcast fra Wired Relations, hvor vi taler om GDPR og informationssikkerhed. Privacy League er også et fællesskab omkring GDPR og informationssikkerhed, som du kan blive medlem af på www.wiredrelations.com/pl