Hjelp, jeg er personvernombud: Slik lykkes du med etterlevelse i praksis

Episoden oppsummert (med hjelp av et KI-verktøy)

• Mange virksomheter har gode rutiner skrevet ned, men de lar seg ikke gjennomføre i praksis fordi systemene ikke støtter dem, eller fordi ansatte ikke kjenner til dem. Britt Eva og Stian mener at du som personvernombud bør sørge for at de tekniske løsningene og prosessene faktisk gjør det mulig å gjennomføre rutinene (f.eks. sletting, innsyn). Videre bør du unngå at dokumentasjon blir et "skall" uten reell funksjon.
• Personvern blir sjelden testet i øvelser, i motsetning til informasjonssikkerhet. Dette gjør at mange virksomheter ikke helt vet hvordan de skal håndtere for eksempel slette- eller innsynsforespørsler fra registrerte i praksis. Britt Eva og Stian oppfordrer ombud til at øvelser blir gjennomført, for eksempel gjennom enkle tester med sjekklister eller simulerte forespørsler. De mener at vi bør tenke «worst case scenario», ikke bare hverdagssituasjoner, og på den måten vurdere om virksomheten har kapasitet hvis det faktisk kommer mange forespørsler samtidig.
• For mange rutiner og policyer kan bli uoversiktlig og vanskelig å følge opp. Ansatte kjenner ofte ikke til innholdet. Britt Eva og Stian kommer med forslag til konkrete tiltak, deriblant å lage en «greatest hits»-oversikt med de viktigste rutinene for ansatte. De mener ombudet bør sørge for å integrere personvern i eksisterende prosesser i stedet for å lage et separat system. På den måten blir det mer naturlig å følge opp i praksis.
• Virksomheter er ofte flinke på dokumentasjonskrav (protokoller, avvikshåndtering, sikkerhet), men svake på opplæring. Britt Eva og Stian har selv hatt suksess med å tilby korte kurs, digitale nanokurs og praktiske løsninger tilpasset ulike grupper (f.eks. små påminnelser i lunsjpausen). De mener at opplæringen må føles relevant og målrettet, ikke «one size fits all». Samtidig må ikke andre ansatte druknes i lange regelverk. Rutiner må samles, gjøres oversiktlige og helst bygges inn i arbeidsprosesser og systemer, slik at det blir vanskelig å gjøre feil.
• Etterlevelse krever lagspill og tydelig rollefordeling. Uklare ansvarsforhold (f.eks. hvem som skal skrive protokollen) gjør at oppgaver ikke blir gjort. Mellomledere har ofte mye ansvar, men lite myndighet, og trenger støtte, opplæring og verktøy. Britt Eva og Stian foreslår at «Personvern-champions» eller personvernkoordinatorer i enheter kan avlaste, selv om de krever oppfølging fra ombudet.
• Personvern må ikke ses som byråkrati eller bare et vern mot bøter, men som et middel til å skape tillit og gjøre virksomheten mer effektiv. Når grunnarbeidet er på plass, kan du som ombud bevege virksomheten mot en «flytfase» med kontinuerlig forbedring – og utforske hvordan teknologi og nye arbeidsmåter kan styrke både personvern og drift.