GDPR:n voimaantulon myötä Acubiz juhlii kahden vuoden ennakoivaa valmistautumista. Horten-lakiasiaintoimiston asiantuntijoiden ohjauksessa Acubiz selviytyi monimutkaisista tietosuojasopimuksista, mikä toi esiin haasteet, joita EU-maiden väliset erilaiset GDPR-tulkintaerot aiheuttavat. Sopeutuminen on edelleen avainasemassa tässä jatkuvasti kehittyvässä tietosuojaympäristössä.
TL;DRAcubiz aloitti GDPR-valmistelut kaksi vuotta ennen asetuksen voimaantuloa 25. toukokuuta 2018. Yritys laati yhteistyössä Horten-lakiasiaintoimiston kanssa tietojenkäsittelysopimukset jo varhaisessa vaiheessa ja suhtautui asetukseen pikemminkin kilpailueduksi kuin sääntelytaakaksi. Prosessi oli monimutkainen, koska GDPR:n tulkinnat vaihtelivat EU-maiden välillä, mutta Acubiz sai sen päätökseen solmimalla sopimukset lähes kaikkien asiakkaidensa kanssa.
25. toukokuuta alkaen GDPR on nyt tosiasia. Acubiz katsoo taaksepäin kahden vuoden valmistautumiseen tätä päivää varten. Horten-lakiasiaintoimisto on toiminut tärkeässä roolissa Acubizin valmistautumisen neuvonantajana. tietojenkäsittelysopimus– prosessi, jonka Acubizin toimitusjohtaja ja perustaja Lars de Nully käynnisti jo varhaisessa vaiheessa.
Kumppani Horten-lakiasiaintoimisto, Mads Nygaard Madsen kertoo, että ”Lars de Nullyn lähestymistapa GDPR:ään on erittäin ihanteellinen – hän näkee sen mahdollisuutena eikä taakkana.” Jo kaksi vuotta sitten he alkoivat laatia Acubizin tietojenkäsittelysopimuksen, mikä oli varhaista verrattuna muihin organisaatioihin.
”Me täällä Hortenissa olemme myös pyrkineet aloittamaan valmistautumisen hyvissä ajoin, jotta voimme luoda vahvan henkilötietotiimin, joka voi neuvoa asiakkaitamme asetuksen suhteen. Tiimiin kuuluu muun muassa työntekijöitä, joilla on monipuolista osaamista muun muassa IT-oikeuden, työlainsäädännön ja markkinointilainsäädännön aloilta. Yleinen tietosuoja-asetus vaikuttaa niin moniin aloihin, että tarvitaan tiettyä asiantuntemusta – etenkin asianajotoimistona”, Mads Nygaard Madsen sanoo.
”Prosessia ei ole viety eteenpäin omasta tahdosta”, Lars de Nully kertoo, ”mutta kun huomasin, että Acubizin valmisteleminen uutta sääntelyä varten oli väistämätöntä, päätin ryhtyä töihin ja ajattelin, että tämän prosessin eturintamassa olemisesta on varmasti kilpailuetu.” Johtamisen näkökulmasta matkan varrella on ollut ylä- ja alamäkiä sen suhteen, miten olemme kokeneet projektin edellyttämien resurssien arvon. Mutta nyt, kun Acubiz on täysin valmis – ja on ollut sitä jo tammikuusta lähtien – ja sillä on tietojenkäsittelysopimukset lähes kaikkien asiakkaiden kanssa, tilanne on erittäin tyydyttävä”, sanoo Lars de Nully.
Valitettavasti yksi vakiomuotoinen tietojenkäsittelysopimus ei riitä – sopimuksen sisältö, neuvottelut ja mukautukset vaihtelevat asiakkaittain, toteaa Mads Nygaard Madsen:
”Olemme Acubizin puolesta laatineet kaksi vakiomuotoista sopimusta – yhden yksityisyrityksille ja toisen kunnille, joka perustuu kunnille laadittuun vakiomalliin. Toisinaan joudumme yhdessä Acubizin kanssa neuvottelemaan asiakkaiden ja heidän lakimiehiensä kanssa, jos he pyytävät ehtoja, jotka poikkeavat vakiomuotoisten sopimusten ehdoista ja jotka eivät ole välttämättömiä yleisen tietosuoja-asetuksen noudattamiseksi.”
”Kansainväliset asiakkaat eivät helpota tilannetta, sillä on käynyt ilmi, että yksittäiset EU-maat tulkitsevat GDPR-asetusta eri tavoin”, sanoo Acubizin GDPR-vastuuhenkilö Vivi Sejrsen:
”Neuvottelemme parhaillaan yhden Ruotsissa pääkonttoriaan pitävän asiakkaamme kanssa, ja olemme huomanneet, että yleisen tietosuoja-asetuksen tulkinta vaihtelee, sillä Tanskan ja Ruotsin tietosuojaviranomaisten tulkinnat eivät ole aivan samat. Tämä aiheuttaa joitakin erityisiä haasteita. Siksi on erittäin tärkeää, että noudatamme Pohjoismaiden tietosuojaviranomaisten aloitteita yhteisen standardin luomiseksi”, Vivi Sejrsen selittää.
Lars de Nully: ”Tietojenkäsittelysopimusten parissa työskentely on jatkuva projekti – muutoksia tarvitaan aina, ja näiden muutosten tekemiseen tarvitaan resursseja”, hän toteaa lopuksi.
Usein kysyttyjä kysymyksiä
Kuinka aikaisin Acubiz aloitti valmistautumisen GDPR:ään?
Acubiz aloitti GDPR-valmistelut noin kaksi vuotta ennen asetuksen voimaantuloa 25. toukokuuta 2018. Toimitusjohtaja Lars de Nully teki jo varhaisessa vaiheessa yhteistyötä Horten-lakiasiaintoimiston kanssa tietojenkäsittelysopimusten laatimiseksi, mikä oli tuolloin huomattavasti edellä useimpia muita organisaatioita.
Mitä Acubizin GDPR-valmistelut sisälsivät?
Pääpaino oli kaikkia asiakkaita koskevien tietojenkäsittelysopimusten laatimisessa. Tämä vaati Hortenin useiden oikeudenalojen asiantuntemusta, mukaan lukien IT-oikeus, työlainsäädäntö ja markkinointioikeus, mikä osoittaa, kuinka laajasti GDPR vaikuttaa liiketoiminnan eri osa-alueisiin.
Mitä haasteita Acubiz kohtasi GDPR:n käyttöönoton yhteydessä?
Suurin haaste johtui siitä, että GDPR-vaatimuksia tulkittiin eri tavoin eri EU-maissa. Tämän vuoksi oli vaikeaa soveltaa yhtä yhtenäistä lähestymistapaa, minkä vuoksi sopimuksia ja prosesseja jouduttiin mukauttamaan maakohtaisesti. Koko prosessia kuvailtiin vaativaksi, mutta se saatiin lopulta päätökseen ennen täytäntöönpanopäivää.
Miten Acubizin toimitusjohtaja esitti GDPR-vaatimuksen yrityksen sisällä?
Lars de Nully päätti pitää GDPR-vaatimusten noudattamista kilpailuetuna eikä taakkana. Hänen näkemyksensä mukaan valmistautuminen etuajassa erottaisi Acubizin kilpailijoista, jotka toimivat hitaammin, ja että tietojenkäsittelysopimusten solmiminen ennen määräaikaa vahvistaisi asiakkaiden luottamusta.