Många organisationer resonerar att GDPR är samma sak som PUL men det finns många och stora skillnader, framförallt vad gäller vitesbelopp och inte minst kundlojalitet. För att förklara lite mer så har jag ritat upp ett litet scenario.
Anders är anställd på ett större bolag med verksamhet i Sverige. Bolaget har byggt upp sitt varumärke under många decennier. Säkerheten har byggts på med åren och inga incidenter har upptäckts förutom som Anders uttrycker det "slarviga anställda" som tar med egna telefoner och paddor. Eftersom VPN-tunneln jämnt strular och jobbet måste göras är det väl förståeligt att vissa anställda hittar på egna lösningar att dela dokument och spara dem i molnet. Hittills har väl inget hänt, vad Anders vet i alla fall.
En journalist börjar ställa frågor om intrång, dataläckage, molntjänster, GDPR, incidentrapporter, Indien och upprinnelsen verkar vara den där upphittade datorväskan som glömdes på bussen. Tyvärr låg post-it lappen där med den hypersvåra teckenkombinationen som gjorde det säkert. Därav fusklappen!?! Det var även synd med alla gamla USB-minnen som knappt används idag även låg där. Vad fanns i dessa, det vet knappt stackarn som glömde väskan?!
Panik uppstår och enorma resurser läggs nu på att ta reda på vad som eventuellt har hänt? Vad som eventuellt försvunnit? Vilka som eventuellt berörts? Var fanns den där policyn? Är det den anställdes fel? Han nämnde dock något för någon månad sedan men då fick han bara en ny dator och kunde börja jobba igen. Han hade ju redan sina inloggningsuppgifter så det blev ju knappt något besvärligt extrajobb - då.
Och med det kommer det naturligtvis råd från dem för att byta leverantör...
Men vilken organisation vill bli statuerad som exempel? Ska man gratulera? Vad är värst? Rejäla böter eller riskera att förlora kunder? Kanske både och?
Vad är känsliga personuppgifter?
Om ni inte redan startat och börjat analysera vad som är personuppgifter bör ni börja nu! Vilket syfte har det och varför har vi sparat det? Vilket flöde har personuppgifterna i våra system och vilka system hämtar data mellan varann? Skugg-IT, är det reglerat i den IT-policy som skrevs i början av 2000? Knappast…Och hur var det nu med den där duktiga programmeraren i Indien eller var det Sri Lanka, som Kenneth ibland kontaktar via Skype?
Med IT-skandalen på Transportstyrelsen, avsteg från rekommenderade krypteringsförfarande hos Polisen i färskt minne så får man en riktig funderare om varför respekten för säkerhet åsidosätts så enkelt. Undrar hur mycket tid och resurser som fått läggas ner på detta efter att det uppdagades? Tänk vad många myndigheter som fått prioritera om sina (läs: våra) resurser för att kartlägga, analysera och städa upp efter ledningens alla missar.
Vad vet du om GDPR och konsekvenser? Testa dina kunskaper i vårt Quiz. (Quizen är inte längre tillgänglig)
Kanske blir det en aha upplevelse, eller så kan du kanske känna dig lite lugnare.
Du kan också testa vår GDPR modul helt kostnadsfritt.
Frågor? Tveka inte att kontakta mig.