Tillykke til nødvendig - men besværlig databeskyttelseslov

Af Sven Petersen, erhvervsjuridisk chef og Poul Noer, chefkonsulent i Dansk Erhverv.

Danskerne har i det forløbne år opnået et meget stort løft i sikkerheden for, at deres personlige data opbevares og behandles forsvarligt. Det gælder for eksempel oplysninger i lægens journal, kommunens sagsmapper, webshoppens kundekartotek og bankernes bøger. Det gælder også for de sociale medier og kommunikationstjenester, uanset om udbyderen har hovedsæde i Danmark, Tyskland eller USA.

Forbedringerne kan vi takke EU's databeskyttelsesforordning og den følgende danske databeskyttelseslov for. Begge dele har fødselsdag i dag. For i dag er det præcis ét år siden, at de trådte i kraft. Det er en nyttig og nødvendig lov, da persondata i nogle tilfælde flød frit tilgængeligt på nettet eller blev anvendt til formål, som borgeren ikke var indforstået med. Persondataloven giver borgeren flere rettigheder, og i virksomhederne har de ansatte ydet en kolossal indsats for at omlægge deres procedurer for at opnå sikker omgang med data.

Vi er ikke i mål endnu

Der er grund til at markere fødselsdagen i dag, for vi skal glæde os over resultatet. EU er gået foran resten af verden, og det har været både fornuftigt og nødvendigt at indføre lov på europæisk plan, da virksomhederne i dag opererer på tværs af grænserne.

For nogle virksomheder kan databeskyttelsesforordningen ligefrem blive en konkurrencefordel. Virksomhederne og dygtige medarbejdere fortjener et stort skulderklap for at udføre den store operation i både Danmark og de øvrige EU-lande.

Vi er bestemt ikke kommet gratis til det. Det har været en hård fødsel. Databeskyttelsesloven har voldt mange hovedbrud i virksomhederne. Alene omkostningerne ved lovens indførelse for et år siden gjorde Dansk Erhverv op til 8 mia. kr. for de danske virksomheder.

Trods gode hensigter og hårdt arbejde råder der stadig tvivl om rækkevidden af persondataloven i mange virksomheder. De fleste kan forstå principperne og også se formålet med reglerne, men kløften mellem regler og den praktiske virkelighed er enorm. Hvad betyder slettepligten i relation til e-mails, hvad med de ansattes adgang til persondata, når de logger på deres bærbare i et usikkert tredjeland, og hvordan håndterer vi oplysningsforpligtelserne ved optagelse af telefonsamtaler eller ved optagelse af personer i virksomhedens register over potentielle kunder osv.

Fortsat behov for vejledning

Der er masser af emner at tage fat på. Vi møder ofte virksomheder, der savner svar på, hvad det er, der skal til, for at de i det konkrete tilfælde lever op til databeskyttelsesloven. Forretningsmodeller og procedurer i både små og store virksomheder er komplekse, og der opstår tvivlsspørgsmål i forbindelse med fortolkningen af loven i konkrete tilfælde. Det gælder i høj grad også de offentlige myndigheder, som tit har svært ved at finde ud af, om deres private leverandør er dataansvarlig eller databehandler.

For godt et år siden opfordrede vi Datatilsynet til at børste støvet af sig. Det er der blevet lyttet til, og det vil vi gerne kvittere for.

Der er skrevet mange vejledninger og med en pæn fremdrift. Men i lyset af de beskrevne udfordringer er der forsat behov for endnu klarere vejledninger. Mange problemstillinger er jo trods alt ens for alle virksomheder.

Herudover bør Datatilsynet prioritere en meget tæt dialog med både små og store virksomheder.

Desuden er dialogen med erhvervs- og brancheorganisationerne samt advokater og revisorer vigtig, da budskaber om korrekt anvendelse af databeskyttelsesloven ofte formidles ad disse kanaler. Ligesom databeskyttelsesloven har været en stor opgave for virksomhederne, har den været en stor mundfuld for Datatilsynet.

På etårsdagen for loven vil vi dog opfordre til, at tilsynet får flere ressourcer målrettet den rådgivning, som både små og store virksomheder og vi som erhvervsorganisation er afhængige af, når vi skal hjælpe medlemsvirksomhederne på rette vej.

Persondataloven er nyt land, og det gælder stadig her på lovens ét års fødselsdag.