Sådan håndterer Visma GDPR...

[#1]

GDPR - General Data Protection Regulation - er EU's nye Databeskyttelsesforordning, der sikrer strammere og mere ensrettede krav til håndtering af personfølsomme oplysninger. Og loven træder i kraft i morgen (25. maj 2018).

Som I har set gennem de sidste måneder har Visma også haft stort fokus på vores forberedelse af vores håndtering af GDPR-kravene. Vores tiltag imødekommer de øgede krav til kontrol og dokumentation for håndtering af data i virksomheder, så I fremadrettet har en løsning, der sikrer overholdelse af standarderne gældende i ISO27001. 

Her har I modtaget vores opdaterede Databehandleraftaler, og systemerne er indrettet så de på langt mere sikker vis kan håndtere behandling af persondata.

>> Læs artiklen: Visma Løn indeholder nye muligheder

For koncernens vedkommende er der også lagt kræfter i forberedelserne

Visma-koncernen består af omkring 70 forskellige virksomheder, der dagligt assisterer mere end 760.000 kunder med bl.a. økonomisystemer, detail-it og udvikling af større it-løsninger – og at være en koncern af denne størrelse stiller naturligvis også store krav i forbindelse med store lovændringer som Databeskyttelsesforordningen.

Arbejdet med Databeskyttelsesforordningen siden 2015

Af samme grund satte Vismas koncernledelse allerede i 2015 et GDPR-projekt i søen, med henblik på at udvikle en struktur, der gjorde at hele koncernen kunne blive tilpasset til Databeskyttelsesforordningen, når loven træder i kraft. Projektet bestod dengang af 5 personer.

Hvad har vi gjort?

Fastlæggelse af politikker & retningslinjer

Tidligt i processen blev politikker og retningslinjer ridset op, der gjorde sig gældende for hele virksomheden, og vi strukturerede derefter vores GDPR-organisation.

Ansættelse af en Data Protection Manager i hver virksomhed

Hver virksomhed har udpeget en person som såkaldt Data Protection Manager (DPM). Denne person har fået uddannelse og ansvar for at understøtte databeskyttelse i netop sin virksomhed. Enkelte virksomheder, hvor man kun i begrænset udstrækning behandler persondata, kan eventuelt have én og samme DPM.

En Division Data Protection Manager udpeget i hver division

Hver division har en Divisions-DPM (DDPM) som koordinerer og assisterer. Disse personer udgør, sammen med centrale repræsentanter for HR og markeder, et råd – nemlig Data Protection Council (DPC). Rådet har ansvaret for at følge med i udviklingen på området, og for at organisationen bibeholder vidensniveauet. Rådet har også ansvaret for overblik og samarbejde på tværs af grænser.

Corporate Data Protection Manager udnævnt

Rådet ledes af en person, der bærer ansvaret for databeskyttelse på vegne af hele koncernen. Denne person har titlen som Corporate Data Protection Manager (CDPM) og rapporterer direkte til den administrerende direktør og bestyrelsen.

Data Protection Officer udpeges

En ny rolle i forbindelse med GDPR er den såkaldte ‘Databeskyttelsesrådgiver‘ eller Data Protection Officer (DPO). Visma-koncernen har ansat en jurist, der fungerer som central DPO.

Back-to-back aftaler underskrevet

Alle virksomheder i Visma-koncernen har underskrevet databehandleraftaler med hinanden – såkaldte back-to-back aftaler. På den måde er persondata beskyttet i hele koncernen ved deling af data, både når Visma er dataansvarlig og databehandler.

Arbejdet med at skabe overblik over- og opdatere aftaler der hvor det er påkrævet, skal være afsluttet i alle Visma-koncernens virksomheder senest 24.maj 2018. Det gælder aftaler med kunder, leverandører, partnere og andre eksterne parter.

6.500 ansatte uddannet

I efteråret 2017 startede en obligatorisk e-uddannelse som alle Visma-koncernens cirka 6.500 ansatte skal gennemgå. Den består af en del, der omhandler GDPR og databeskyttelse, og en del om hvordan Visma håndterer persondata – både for egne behov og på kundernes vegne. Hver del afsluttes med en test og for at bestå kurset kræves det, at man svarer korrekt på alle spørgsmål. Denne uddannelse indgår også i onboardingen af nye medarbejdere.

>> læs artiklen: Vores arbejde med Databeskyttelsesforordningen