Acubiz fejrer to års proaktiv forberedelse i forbindelse med udrulningen af GDPR. Med ekspertrådgivning fra advokatfirmaet Horten navigerede Acubiz i komplekse dataaftaler og fremhævede udfordringerne ved forskellige GDPR-fortolkninger på tværs af EU-landene. Tilpasning er fortsat nøglen i dette udviklende databeskyttelsesområde.
TL;DRAcubiz begyndte at forberede sig på GDPR to år før forordningen trådte i kraft den 25. maj 2018. Virksomheden samarbejdede med advokatfirmaet Horten om at udarbejde databehandlingsaftaler i god tid og betragtede forordningen som en konkurrencemæssig mulighed snarere end en byrde i forbindelse med overholdelse af lovgivningen. Processen var kompleks på grund af de forskellige fortolkninger af GDPR i de forskellige EU-lande, men Acubiz gennemførte den og fik indgået aftaler med næsten alle kunder.
Fra den 25. maj er GDPR nu en realitet. Acubiz ser tilbage på to års forberedelser til denne dag. Advokatfirmaet Horten har spillet en vigtig rolle som rådgiver i forbindelse med Acubiz’ forberedelser til aftale om databehandlings – en proces, som Acubiz’ administrerende direktør og stifter, Lars de Nully, satte i gang allerede tidligt.
Partner til Advokatfirmaet Horten, fortæller Mads Nygaard Madsen, at »Lars de Nullys tilgang til GDPR er yderst ideel – at se den som en mulighed snarere end en byrde.« Allerede for to år siden begyndte de to at udarbejde Acubiz’ databehandlingsaftale, hvilket var tidligt sammenlignet med andre organisationer.
Griber ind i alt
”Vi har selv hos Horten været tidligt ude for at opbygge en stærk persondatagruppe, der kan rådgive vores klienter om forordningen – bl.a. oprustet på medarbejderfronten med forskellige kompetencer – nogle med kompetencer inden for IT-retten andre inden for ansættelsesretten og igen andre med faglighed inden for markedsføringsretten. Persondataloven griber ind i alt andet, så man bliver nød til at have en vis viden – ikke mindst som advokatfirma”, siger Mads Nygaard Madsen.
Op- og nedture undervejs
”Det er altså ikke lysten, der har drevet værket”, fortæller Lars de Nully, ”men da jeg fandt ud af, at det var uundgåeligt at gøre Acubiz klar til den nye lovgivning, valgte jeg at smøge ærmerne op og tænkte, så gør jeg det til en konkurrencefordel at være på forkant. Fra et ledelsesmæssigt perspektiv har der været ups and downs undervejs i forhold til oplevelsen af værdien af alle de ressourcer, som vi skulle investere i projektet. Men nu hvor Acubiz er helt klar – ja faktisk har været det siden januar og har databehandleraftaler med næsten alle kunder – så er det meget tilfredsstillende”, fortæller Lars de Nully.
Én standardaftale er ikke nok
Desværre er det ikke tilstrækkeligt med én standard databehandleraftale – indholdet i kontrakten skal forhandles på plads næsten fra kunde til kunde, siger Mads Nygaard Madsen:
”For Acubiz har vi nu udarbejdet to standardkontrakter – én til private virksomheder, og én til kommuner, som er baseret på kommunernes udarbejdede standard. Men vi må nogle gange – i samarbejde med Acubiz – tage nogle forhandlinger med kunderne og deres advokater, hvis de ønsker nogle andre vilkår, som rækker ud over vilkårene i standardkontrakterne og ikke er nødvendige for at leve op til Persondataforordningen.”
Landene fortolker GDPR-lovgivningen forskelligt
Det gør det heller ikke lettere med internationale kunder, når det har vist sig, at de enkelte EU-lande fortolker GDPR-loven forskelligt, fortæller Vivi Sejrsen, der er den GDPR-ansvarlige hos Acubiz:
”Vi har lige nu forhandlinger med en af vore kunder, der har hovedsæde i Sverige, og der har vi oplevet, at fortolkningen af GDPR-lovsættet er forskelligt, da det danske og det svenske datatilsyns fortolkning ikke er helt ens. Det giver nogle specielle udfordringer. Derfor er det også med stor interesse, at vi følger de nordiske datatilsyns tiltag om at lave en fælles standard”, forklarer Vivi Sejrsen.
”Arbejdet med databehandleraftalerne vil fortsætte - der vil hele tiden være behov for justeringer og brug af ressourcer på det”, afslutter Lars de Nully.
Ofte stillede spørgsmål
Hvor tidligt begyndte Acubiz at forberede sig på GDPR?
Acubiz påbegyndte forberedelserne til GDPR cirka to år før forordningen trådte i kraft den 25. maj 2018. Administrerende direktør Lars de Nully samarbejdede allerede fra dette tidlige stadie med advokatfirmaet Horten om at udarbejde databehandlingsaftaler, hvilket var markant tidligere end hos de fleste andre organisationer på det tidspunkt.
Hvad indebar Acubiz’ forberedelse til GDPR?
Hovedfokus lå på at udarbejde databehandlingsaftaler for alle kunder. Dette krævede bidrag fra flere juridiske fagområder inden for Horten, herunder IT-ret, arbejdsret og markedsføringsret, hvilket afspejler, hvor bredt GDPR påvirker forskellige aspekter af virksomhedens drift.
Hvilke udfordringer stod Acubiz over for under implementeringen af GDPR?
Den største udfordring skyldtes de forskellige fortolkninger af GDPR-kravene i de enkelte EU-lande. Dette gjorde det vanskeligt at anvende én ensartet tilgang, hvilket krævede landespecifik tilpasning af aftaler og processer. Den samlede proces blev beskrevet som krævende, men blev i sidste ende afsluttet inden ikrafttrædelsesdatoen.
Hvordan præsenterede Acubiz’ administrerende direktør GDPR-kravet internt?
Lars de Nully valgte at betragte overholdelsen af GDPR som en konkurrencemæssig fordel snarere end en byrde. Hans synspunkt var, at det at være på forkant med forberedelserne ville adskille Acubiz fra konkurrenter, der var langsommere til at handle, og at det at have databehandlingsaftaler på plads inden fristen ville styrke kundernes tillid.
