Da Gladsaxe Kommune skulle træne omkring 7.000 medarbejdere i GDPR, var et af kravene, at kurset skulle give mening for alle, fra administrative medarbejdere til pædagoger og SOSU-assistenter. De arbejder alle med personoplysninger hver dag, bare i meget forskellige situationer.
Sådan ser det ud i de fleste organisationer. Reglerne er de samme for alle, mens risikoen dukker op forskellige steder i hverdagen, for eksempel når Outlook foreslår den forkerte modtager, eller når et SharePoint-link står til “Alle med linket”. Medarbejderne behøver ikke kende GDPR-loven udenad, men de skal kunne genkende de situationer og vide, hvad de gør.
Hvad dækker GDPR-reglerne?
GDPR er EU’s databeskyttelsesforordning, og i Danmark suppleres den af databeskyttelsesloven. Når man taler om GDPR-reglerne, GDPR-loven eller GDPR-lovgivningen, er det som regel det samlede regelsæt for behandling af personoplysninger, man mener.
Behandling dækker næsten alt, man kan gøre med oplysningerne. En medarbejder behandler personoplysninger, når hun modtager en jobansøgning, opretter en kunde i CRM-systemet, deler en deltagerliste eller sender en mail om en kollegas sygefravær. Reglerne gælder derfor i alle afdelinger, også i salg, marketing, kundeservice og økonomi.
Hvad tæller som en personoplysning?
Alt, der kan knyttes til en bestemt person. Det er navn, arbejdsmail og telefonnummer, men også billeder, IP-adresser og kommentarer i et CRM-system.
Nogle gange ligger oplysningen gemt i noget, der ser uskyldigt ud. En kalenderinvitation med titlen “Samtale om langtidssygemelding” fortæller om en kollegas helbred, selv om resten af invitationen er tom. En deltagerliste med jobtitel og interesseområde siger mere om deltagerne, end en ren navneliste gør.
Helbred, religion, politiske holdninger, fagforeningsforhold, seksuelle forhold, genetik og biometri er særligt beskyttede oplysninger, og CPR-numre og oplysninger om strafbare forhold har egne regler. Møder en medarbejder den slags oplysninger i en opgave, bør hun tale med jeres DPO eller compliance-ansvarlige, før hun går videre.
Del og gem kun det, der er brug for
Dataminimering er et af de grundlæggende principper i GDPR-lovgivningen. Man må kun indsamle og bruge de oplysninger, der er nødvendige til et bestemt formål. Det lyder enkelt, indtil marketing vil have fødselsdato med i en formular, fordi den kunne blive nyttig senere, eller salg eksporterer hele CRM-databasen for at bruge 40 kontakter.
Formålet sætter også grænser for, hvad oplysningerne må bruges til bagefter. Deltagerne på et event har givet deres oplysninger til arrangementet. Skal de også have jeres nyhedsbrev, kræver det et selvstændigt grundlag.
Før personoplysninger bliver sendt eller delt, er det værd at tjekke tre ting:
- Er modtageren den rigtige, og har modtageren brug for oplysningerne?
- Kan flere end nødvendigt åbne linket eller dokumentet?
- Indeholder filen mere, end modtageren skal bruge?
Den sidste er nem at overse. HR kan sende lønoplysninger til den rigtige leder og alligevel dele for meget, hvis regnearket indeholder hele afdelingen.
GDPR har ingen fælles slettefrist, så det er virksomheden, der fastsætter, hvor længe forskellige oplysninger må gemmes. Medarbejderne skal kende de frister og huske, at en fil i SharePoint også kan ligge i en downloadmappe og som vedhæftning i flere indbakker.
Når noget går galt
Et brud på persondatasikkerheden er langt mere hverdagsagtigt, end navnet antyder. En mail til den forkerte modtager er et brud, og det samme er et regneark, der bliver slettet ved en fejl, eller et dokument, som uvedkommende kan åbne.
Virksomheden skal som udgangspunkt anmelde brud til Datatilsynet inden for 72 timer efter, at den er blevet bekendt med dem (GDPR artikel 33). Ifølge Datatilsynets vejledning om brud på persondatasikkerheden regnes virksomheden som udgangspunkt for at være bekendt med et brud, når en medarbejder bliver det. Fristen kan altså begynde at løbe i det øjeblik, en medarbejder opdager, at mailen gik til den forkerte.
Medarbejderens vigtigste opgave er derfor at sige det med det samme til den, der håndterer databrud hos jer, også når det føles pinligt. Det er den ansvarlige, der vurderer, om bruddet skal anmeldes. En kultur, hvor folk tør melde deres egne fejl, betyder lige så meget som selve reglerne.
Samtykke
Samtykke er ét af seks behandlingsgrundlag i GDPR. Et gyldigt samtykke skal være frivilligt, specifikt og informeret, og det skal kunne trækkes tilbage. Mellem arbejdsgiver og medarbejder er det svært at leve op til, fordi medarbejderen sjældent står helt frit. Medarbejderne bør derfor bruge de samtykketekster og processer, virksomheden allerede har godkendt, frem for at skrive deres egne.
Henvendelser fra kunder og ansøgere
“Hvad ved I egentlig om mig?” kan lyde som et almindeligt spørgsmål i kundeservice. Det kan også være en anmodning om indsigt, som virksomheden ifølge Datatilsynets vejledning om retten til indsigt som udgangspunkt skal besvare inden for en måned. Det samme gælder, når nogen beder om at få deres oplysninger slettet eller rettet, eller spørger, hvor I har deres mailadresse fra. Kunder bruger sjældent juridiske ord, så medarbejderne skal kunne genkende anmodningen i almindeligt hverdagssprog og sende den videre samme dag.
GDPR og AI-værktøjer
Generativ AI har gjort et gammelt GDPR-spørgsmål mere aktuelt: Hvor ender oplysningerne, når man deler dem med et eksternt værktøj?
Forestil jer en HR-medarbejder, der kopierer et CV og sine interviewnoter ind i en gratis chatbot for at få hjælp til at formulere et afslag. Det sparer ti minutter, men nu er kandidatens oplysninger behandlet af en tjeneste, som virksomheden måske hverken har vurderet eller har en databehandleraftale med. Afhængigt af tjenestens vilkår kan teksten blive gemt eller brugt til at træne modellen.
Medarbejderne har brug for en klar grænse. Det er typisk i orden at bruge et godkendt værktøj til at omformulere en generisk tekst. Kundedata, CV’er, helbredsoplysninger og personalesager skal kun ind i et AI-værktøj, hvis det er konkret godkendt. Hvor grænsen præcis går, afhænger af jeres værktøjer og aftaler, så det bør stå i jeres interne retningslinjer.
Træning, der ligner medarbejdernes hverdag
GDPR-træning virker bedst, når eksemplerne ligner det, medarbejderne selv sidder med.
Hos Gladsaxe Kommune erstattede vi de generiske eksempler i vores GDPR-kursus med dilemmaer fra kommunens egen hverdag, og kurset fik kommunens visuelle identitet. Alt indhold blev også leveret som mikrokapitler, som kommunen kan bruge i kampagner på intranettet, når et emne bliver aktuelt.
AP Pension valgte et kursus på syv moduler og cirka 60 minutter på dansk og engelsk, med versioner til forskellige målgrupper og roller. Hos Finansiel Stabilitet var den tidligere compliance-træning tidskrævende og ufleksibel. Her består GDPR-træningen nu af korte forløb og mikrolæring med løbende genopfriskning.
Kom i gang
Grapes GDPR-kursus tager udgangspunkt i jeres egne politikker og eksempler og fås på dansk, engelsk og flere sprog efter behov. Kontakt os, hvis I vil se, hvordan det kan se ud hos jer.
