Databeskyttelse er gået fra blot at være juridiske afkrydsningsfelter til et område, hvor etiske overvejelser og brugernes tillid afgør digitale projekters succes. Med de hastige teknologiske fremskridt er håndteringen af brugerdata blevet et komplekst ansvarsfelt, som projektledere ikke har råd til at overse.
Galen Low får selskab af Mackenzie Dysart, leveranceansvarlig hos Thoughtworks, for at give lytterne en omfattende køreplan til at navigere i det ofte uklare landskab inden for digital databeskyttelse.
Højdepunkter fra interviewet
- Mackenzie Dysarts vej ind i arbejdet med fortalervirksomhed for databeskyttelse [01:36]
- Hun endte uventet med at arbejde med databeskyttelse. Hendes kunde havde brug for hjælp til databeskyttelse, efter at hun havde afsluttet sit tidligere projekt.
- Databeskyttelse er det rigtige at gøre. Selvom det kan være udfordrende at implementere, er det vigtigt at beskytte brugerne.
- Fokuser på fordelene, ikke kun byrderne. Databeskyttelse handler ikke kun om at følge lovgivningen; det handler om at respektere mennesker.
- Databeskyttelse skaber bedre produkter. Når man tager databeskyttelse i betragtning under designprocessen, fører det til bedre oplevelser for slutbrugerne.
- Databeskyttelse i dag sammenlignet med for 10 år siden [03:55]
- Fokus:
- Dengang: Primært på at forhindre databrud og beskytte personligt identificerbare oplysninger (PII) som navn og adresse.
- Nu: En bredere bekymring for, hvordan data indsamles, bruges og deles, herunder:
- Sporing af brugere og onlineaktivitet.
- Følsomme oplysninger som race, køn og sundhedsdata.
- Biometriske data som ansigtsgenkendelse.
- Regler:
- Dengang: Begrænsede databeskyttelseslove.
- Nu: Flere regler som GDPR (Europa), CCPA (Californien) og PIPEDA (Canada).
- Årsager til ændringen:
- Virksomheders og regeringers øgede brug af data.
- Teknologiske fremskridt, der indsamler flere data (f.eks. forbundne biler).
- Offentlighedens øgede bevidsthed om potentielt misbrug af data (f.eks. Cambridge Analytica-skandalen).
- Det overordnede mål – at give brugerne mere kontrol over deres personlige data.
- Fokus:
- Integration af databeskyttelse i digitale projekter [8:43]
- Hvorfor databeskyttelse er vigtig for digitale projekter:
- Brugerne bliver mere bevidste om, hvordan deres data indsamles og bruges.
- Reglerne om databeskyttelse bliver flere over hele verden.
- Hvis man ikke tager databeskyttelse i betragtning, kan det føre til juridiske risici.
- Hvad man skal overveje, når databeskyttelse integreres i digitale projekter:
- Dataindsamling:
- Identificer, hvilke data der indsamles fra brugerne (godkendte og ikke-godkendte).
- Forstå begrebet “salg af data” (overførsel af data med økonomisk gevinst for øje).
- Brugersamtykke:
- Følg GDPR-reglerne for pop op-vinduer med samtykke til cookies.
- Indhent informeret samtykke fra brugerne, før deres data indsamles eller bruges.
- Datalagring og -flytning:
- Opbevar brugerdata sikkert (kryptering, anonymisering).
- Forstå, hvor data overføres, og hvordan de sikres.
- Brugerkontrol:
- Giv brugerne kontrol over deres data (muligheder for fravalg, anmodninger om adgang).
- Dataindsamling:
- Vigtige principper for databeskyttelse:
- Information: Informer brugerne om praksis for dataindsamling.
- Samtykke: Indhent brugernes samtykke til indsamling og brug af data.
- Kontrol: Giv brugerne mulighed for at kontrollere deres data (adgang, rettelse, sletning).
- Hvorfor databeskyttelse er vigtig for digitale projekter:
Man kan ikke have samtykke uden information. Man har dog ikke altid brug for kontrol, selvom kontrol generelt er den bedste praksis. Det er afgørende at have disse tre principper i tankerne under hele projektarbejdet.
Mackenzie Dysart
- Omkostningerne ved databeskyttelse [14:59]
- Det kan spare penge at tage databeskyttelse i betragtning tidligt. Det er billigere at indarbejde databeskyttelsespraksisser i et projekt fra begyndelsen end at rette op på dem senere.
- Platforme kan hjælpe med at administrere databeskyttelse. Der findes platforme, som kan hjælpe med at automatisere opgaver som håndtering af cookiesamtykke og anmodninger om sletning af brugerdata.
- Omkostningerne afhænger af dine eksisterende systemer. Hvis dine systemer er komplekse og ikke integrerede, kan administration af databeskyttelse kræve mere manuelt arbejde og specialudvikling.
- Fokuser på at opbygge en bæredygtig proces. Det er vigtigt at etablere en proces til håndtering af databeskyttelse, som løbende kan forbedres. Det er mere omkostningseffektivt på lang sigt end en engangsløsning.
- Digitale projektlederes rolle inden for databeskyttelse [20:49]
- Skab opmærksomhed: Det vigtigste er at være opmærksom på overvejelser om databeskyttelse og tage dem op tidligt i projektet.
- Inddrag interessenter: Samarbejd med juridiske teams og databeskyttelsesteams tidligt i projektet for at drøfte praksisser for dataindsamling og potentielle risici.
- Identificer dataudløsere: Vær opmærksom på situationer, der kræver overvejelser om databeskyttelse, f.eks. indsamling af nye brugerdata eller brug af data til nye formål.
- Planlæg overholdelse: Arbejd sammen med juridiske teams og databeskyttelsesteams om at planlægge, hvordan reglerne om databeskyttelse overholdes.
- Skift til venstre
- Indfør juridiske overvejelser og overvejelser om databeskyttelse tidligt i projektets livscyklus for at undgå forsinkelser og ekstraarbejde senere.
- Denne samarbejdsbaserede tilgang er mere effektiv end at vente til senere faser af projektet.
- Udfordringer
- Projektledere kan møde modstand fra teammedlemmer, som er bekymrede over omkostningerne ved at inddrage juridiske teams og databeskyttelsesteams tidligt.
Som projektleder behøver du ikke at være ekspert i at læse kode, vælge plugins eller vælge en testsuite. Du skal blot forstå, at disse aspekter er vigtige og skal tages i betragtning.
Mackenzie Dysart
- Sådan overbeviser du interessenter om at prioritere databeskyttelse [26:37]
- Reducerede omkostninger:
- Det er billigere at indarbejde databeskyttelse i projekter tidligt end at løse problemer senere.
- At undgå retssager på grund af manglende overholdelse af databeskyttelsesregler kan spare virksomheder for betydelige beløb.
- Forbedret omdømme:
- Forbrugerne bliver stadig mere bevidste om, hvordan virksomheder håndterer deres data, og de vælger måske at handle med organisationer, der prioriterer databeskyttelse.
- Fremtidssikring:
- Lovgivningen om databeskyttelse udvikler sig konstant, og når produkter udvikles med databeskyttelse for øje fra begyndelsen, bliver det lettere at tilpasse sig nye regler.
- Konkurrencefordel:
- Ved at demonstrere et engagement i databeskyttelse kan virksomheder adskille sig fra konkurrenterne og tiltrække kunder, der lægger vægt på databeskyttelse.
- Ændring af tankegangen:
- Databeskyttelse bør betragtes som et centralt forretningskrav, ikke som en valgfri tilføjelse.
- Projektledere bør tage databeskyttelsesproblemer op tidligt og inddrage juridiske teams og databeskyttelsesteams i planlægningsprocessen.
- Ved valg af leverandører bør deres tilgang til databeskyttelse indgå som en del af vurderingskriterierne.
- At opbygge en kultur omkring databeskyttelse er ikke kun det rigtige at gøre, det er også en fornuftig forretningsbeslutning.
- Reducerede omkostninger:
- Opbygning af en kultur præget af databeskyttelse og etisk ansvarlighed [34:56]
- Projektlederen som rollemodel: Projektledere bør gå foran med et godt eksempel, stille spørgsmål om dataetik og opfordre til åbne drøftelser.
- Psykologisk tryghed: Skab et teammiljø, hvor teammedlemmer føler sig trygge ved at gøre opmærksom på bekymringer om uetisk dataanvendelse.
- Gennemsigtighed og ærlighed: Vær åben om begrænsninger og potentielle risici forbundet med praksisser for dataindsamling.
- Dokumentation: Dokumentér bekymringer og anbefalinger, der gives til kunder.
- Risikostyring: Kommunikér tydeligt de risici, der er forbundet med uetisk dataanvendelse, til kunderne.
- Kundens valg: I sidste ende træffer kunden den endelige beslutning, men projektlederen har et ansvar for at informere kunden om risiciene.
- Tag hensyn til organisationskulturen: Hvis kulturen er meget kundefokuseret og ikke tilskynder til spørgsmål, kan det være mere udfordrende at fremme etisk dataanvendelse.
- Tag små skridt: Hvis større ændringer ikke er mulige i første omgang, bør du identificere et lille, positivt skridt, der kan tages.
- Håndtering af kunderelationer og bekymringer om databeskyttelse [39:08]
- Betydningen af frister: Organisationer, der venter til sidste øjeblik med at håndtere overholdelsen af databeskyttelsesreglerne, står over for betydelige udfordringer og højere omkostninger.
- Ældre systemer: Organisationer med ældre systemer, der ikke er udviklet med databeskyttelse for øje, vil have sværere ved og højere omkostninger forbundet med at opnå overholdelse.
- Frist og forbedringsplaner: Tilsynsmyndigheder er ofte mere forstående, hvis organisationer har en plan for at opnå overholdelse inden for en rimelig tidsramme.
- Private søgsmål: Organisationer, der ikke aktivt arbejder hen imod overholdelse, har større sandsynlighed for at blive sagsøgt af privatpersoner eller virksomheder, der specialiserer sig i databeskyttelsesret.
- Love med tilbagevirkende kraft: Eksisterende love kan fortolkes på ny, så de finder anvendelse på nye teknologier, hvilket skaber yderligere udfordringer med at opnå overholdelse.
- Overholdelse af databeskyttelsesregler er en løbende proces, ikke en engangsrettelse.
- Små, trinvise ændringer kan foretages over tid for at forbedre praksisserne for databeskyttelse.
- De usete farer ved datadeling og synkronisering af kontakter [45:21]
- Samtalen om databeskyttelse har ændret sig betydeligt over tid. Tidligere fokuserede bekymringerne på personlige oplysninger som historik over videoudlejning. I dag omfatter bekymringerne aspekter af vores liv såsom lokationssporing via forbundne enheder.
- Der er en stigende bevidsthed om problemer med databeskyttelse og de potentielle konsekvenser af ukontrolleret dataindsamling.
- Synkronisering af kontakter med apps, som er en almindelig funktion, giver anledning til bekymringer om databeskyttelse, da det giver adgang til brugerens kontakter uden udtrykkeligt samtykke.
Mød vores gæst
Mackenzie er en PMP- og CSM-certificeret projektleder med over et årtis erfaring. Hun er lidt af en enhjørning, eftersom hun faktisk valgte at blive projektleder som karrierevej. Hendes fokus har været på digitale projekter, men hun har også arbejdet med print og appudvikling. Hendes erfaring omfatter både kundesiden og bureauverdenen.

Stil det mærkelige spørgsmål. Det hjælper med at gøre teamet mere trygt. Det er afgørende at skabe et rum med psykologisk tryghed, fordi det opmuntrer folk til at føle sig trygge ved at stille spørgsmål.
Mackenzie Dysart
Ressourcer fra denne episode:
- Bliv medlem af Digital Project Manager-fællesskabet
- Tilmeld dig nyhedsbrevet for at få vores seneste artikler og podcasts
- Forbind med Mackenzie på LinkedIn og X
- Se nærmere på Thoughtworks
Relaterede artikler og podcasts:
- Om podcasten
- Hvad er et digitalt projekt? 4 dimensioner, typer & eksempler
- 5 måder at forbedre din proces for digital projektledelse på
- Håndtering af opgaver som projektleder: 3 vigtige strategier
- Din guide til en karriere inden for projektledelse & eksempler på karriereveje
- Hvad er en projektleder, & hvad laver de hele dagen?
Læs transskriptionen:
Vi prøver at transskribere vores podcasts ved hjælp af et softwareprogram. Bær over med eventuelle tastefejl, da botten ikke er korrekt 100 % af tiden.
Galen Low: Hej alle sammen, tak fordi I lytter med. Mit navn er Galen Low fra The Digital Project Manager. Vi er et fællesskab af digitale fagfolk med en mission om at hjælpe hinanden med at blive dygtigere, mere selvsikre og bedre forbundet, så vi kan øge værdien af projektledelse i en digital verden. Hvis du vil høre mere om det, så gå over på thedigitalprojectmanager.com/membership.
I dag taler vi om privatliv, og om hvordan vi som digitale projektledere skal tage højde for de seneste ændringer inden for teknologi og lovgivning i vores projekter, når det gælder privatliv. Med mig i dag har jeg en af vores egne eksperter fra det digitale projektledelsesfællesskab og leveranceansvarlig hos Thoughtworks, Mackenzie Dysart.
Mackenzie, tak fordi du vil være med i dag.
Mackenzie Dysart: Tak fordi du inviterede mig. Jeg glæder mig virkelig til vores samtale i dag.
Galen Low: Det gør jeg også. Til vores lyttere: Mackenzie og jeg har arbejdet sammen i årevis, og jeg fik pludselig den tanke, at jeg vist aldrig har haft Mackenzie med i podcasten, mens jeg har stået for den. Så jeg tænkte, at det måtte vi ændre på.
Og det ændrer vi i dag. Til de lyttere, der ikke kender dig: Vi talte lige om det i venteværelset. Du påtager dig altid de udfordringer, der føles som at trille en kugle op ad bakke – de virkelig svære udfordringer. Du har været fortaler for tilgængelighed, og nu er du også blevet fortaler for privatliv på tværs af digitale projekter, både på din arbejdsplads og i vores fællesskab.
Så dit brand er nærmest vanskelige udfordringer, hvor man skal overbevise og overtale folk.
Mackenzie Dysart: Vanskelig, vanskelig, citronvanskelig. Det er min tilgang.
Galen Low: De mindst sexede dele af projektledelse – vær fortaler for dem.
Mackenzie Dysart: Det er jeg her for.
Galen Low: Det elsker jeg.
Du fortalte mig, at privatliv bare sneg sig ind. Det kom pludselig ind i billedet, uden at du aktivt havde opsøgt det?
Mackenzie Dysart: Lad os sige, at jeg kastede mig ud i det. Jeg har arbejdet med min kunde de seneste to et halvt år. For omkring et år siden sagde de: Det projekt, du har arbejdet på, og den programstrøm, du har været en del af, skifter vi nu ud, så du kan komme videre til det næste – hvilket altid er spændende.
Men så sagde de, at privatliv havde brug for støtte. Der foregik en masse. De havde ingen proces. De vidste ikke, hvordan de skulle arbejde med produktet. De havde brug for hjælp. Så jeg tænkte: Nå, okay. Og det har været et år, hvor jeg har lært alt om privatliv. Det er overvældende, men ligesom med tilgængelighed er det også bare det rigtige at gøre for mennesker.
Og jeg synes, det er vigtigt, at vi forstår værdien og fordelene – det handler ikke kun om lovgivning. Det handler om at behandle mennesker ordentligt. Det handler om at beskytte mennesker. Nogle gange bliver vi fastlåst i, at noget er svært, i stedet for at fokusere på eksemplerne og historierne om, hvorfor det betyder noget, og hvorfor det er vigtigt.
Jeg har lært meget. Jeg får lov til at arbejde sammen med virkelig dygtige mennesker – og naturligvis også nogle udfordrende mennesker. Der bliver taget svære samtaler, men i sidste ende bygger man altid et bedre produkt, et bedre projekt og en bedre service for slutbrugerne. Det er som regel den bakke, jeg ender med at dø på: Lad os gøre det rigtige for slutbrugerne og for mennesker.
Så selvfølgelig bliver det bare endnu en ting, hvor det viser sig, at man har ret – ligesom med tilgængelighed. Så her er vi. Jeg er klar til at tale om privatliv, hvorfor det betyder noget, og hvorfor du bør interessere dig for det.
Galen Low: Helt ærligt, så elsker jeg det, for det er jo virkelig en ædel sag. Jeg har bestemt været med i projekter, hvor det i høj grad var en afkrydsningsøvelse.
Det er en stor smerte, som ingen rigtig har lyst til at håndtere. Folk vil bare af med ansvaret. Det handler ikke så meget om brugeroplevelsen som om at reducere ansvar. Men jeg elsker den måde, du formulerer det på: at alle disse ting handler om at skabe bedre oplevelser og behandle vores brugere ordentligt.
Og jeg synes, det er virkelig interessant. I de samtaler, jeg har deltaget i, virker det også, som om databeskyttelse nu fylder mere. Det er ikke nyt at lagre data eller håndtere personhenførbare oplysninger, men jeg fornemmer en udvikling i betydningen af privatliv, i vigtigheden af at gøre det rigtigt og i nødvendigheden af at have processer.
Så kan du fortælle os, hvordan databeskyttelse er anderledes i dag, end den var for eksempel for fem eller ti år siden? Hvad er de vigtigste drivkræfter bag forskellene?
Mackenzie Dysart: For ti år siden var vi primært bekymrede for databrud. Vi ville vide, hvor de personhenførbare oplysninger befandt sig, hvor vi lagrede dem, og om de var beskyttet. Det var stort set det, databeskyttelseslovene handlede om.
Så kom GDPR i 2016, og det var den første lovgivning, der sagde, at mennesker burde have kontrol over, hvad der blev sporet om dem online. Det påvirkede især websteder.
Det var begyndelsen på de cookiebannere, som vi alle kender. Vi bliver næsten ikke længere generet af dem, fordi de er så almindelige. Alle bruger cookies, og vi skal give samtykke til, at disse cookies må spore os. Det var det første skridt mod at sige, at det, mennesker gør, og deres aktivitet, betyder noget. De bør have kontrol, kunne give samtykke, vide hvad der sker med deres data og have valgmuligheder.
Derefter kom California Consumer Privacy Act i 2020, og i 2021 kom CPRA, endnu en lov i USA. Nu ser vi nye regler stat for stat i USA. Storbritannien og EU er længere fremme med hensyn til beskyttelse og har mere overordnet lovgivning på tværs af EU. Australien har sine egne love, og Canada har også udviklet sine egne regler – jeg tror, den canadiske lov hedder PIPEDA.
Galen Low: PIPEDA, ja.
Mackenzie Dysart: Alle disse sjove forkortelser. Der kommer bare hele tiden nye love for at beskytte folks data. Det skyldes, hvordan vi som samfund bruger data nu. Tidligere handlede det primært om at undgå identitetstyveri. Nu er der mange flere grunde til at være forsigtig med sine data.
Der findes en ret kendt historie om CVS. En teenagepige havde søgt efter nogle ting online, hvorefter CVS sendte hende en kupon på graviditets- eller babyprodukter. På den måde afslørede de i praksis over for hendes far, at hun var gravid. Systemet tænkte bare, at en person i husstanden søgte efter dette, at det ikke var følsomt, og sendte derfor kuponen. Det er ikke i orden.
Nu tænker vi også på alle de sporingsteknologier og funktioner, der findes i vores værktøjer. Der er for eksempel en historie om et kamera eller en bilproducent – jeg tror, det var Mercedes – hvor der var en skilsmisse. Hun fik bilen, men han havde stadig adgang til at spore den, og systemet kunne ikke slås fra. Det betød, at hun ikke kunne være nogen steder uden at hendes tidligere ægtefælle vidste, hvor hun var.
Når vi bygger smartere teknologi, indsamler vi ekstra data om mennesker. Hvad gør vi så med de data? Vi kan se på sundhedsdata og på, hvad det betyder, når sådanne oplysninger deles mellem forskellige stater. Selv begrebet personhenførbare oplysninger har ændret sig. Før omfattede det navn, adresse, telefonnummer og postnummer.
Nu taler vi bredere om følsomme oplysninger – alt, der handler om, hvem du er som individ, for eksempel race og køn. Der er også den biometriske del. Et foto af dit ansigt er nu biometriske oplysninger. Jeg havde aldrig tænkt over, at når man uploader sit profilfoto til en platform, kan det blive betragtet som biometriske oplysninger, som platformen kan bruge til at matche dit ansigt med ting på internettet.
Jeg har aldrig været ekstremt bekymret for privatliv på internettet. Jeg voksede op i den tid, hvor jeg først var meget forsigtig og havde en masse falske navne på Hotmail, men derefter besluttede mig for bare at være mig selv på internettet og mistede den bekymring af en eller anden grund.
Nu er jeg mere bevidst om, hvordan systemer bruger oplysninger, hvordan de kan deles og sælges. Det første, mange tænker på, når vi bliver utilpasse over, hvad der sker med vores data, er Cambridge Analytica. Aktivitet på Facebook kunne bruges til at manipulere os og udlede oplysninger om os.
Der kommer mange love, som forsøger at stoppe eller begrænse dette og give folk mulighed for at tilvælge ting og kontrollere deres oplevelse. Grundlæggende tror jeg, at formålet med alle disse love er at give kontrollen tilbage til slutbrugeren i stedet for, at vi træffer beslutninger på folks vegne uden grundlag.
Galen Low: Det er det, jeg synes er virkelig interessant. Teknologien udvikler sig, bliver personlig og praktisk, og prisen for alt det er som regel data – at kende ting om dig. Samtidig er bevidstheden større. For ti år siden hørte man om databrud, hvor et kreditkortselskab fik adgang til alle ens kortnumre. Nu er det en meget større del af den offentlige samtale.
Det næste skridt er netop, som du siger: Hvordan giver vi kontrollen tilbage til de mennesker, der er kilden til dataene? Hvordan skaber vi fortsat gennemsigtighed og bevidsthed om, hvordan data bruges?
Mackenzie Dysart: Og mængden af data, man giver væk om andre mennesker, er også interessant. Det kunne være en hel anden samtale. Men det er tankevækkende.
Galen Low: Fra et projektperspektiv har vi ikke uendelig tid eller budget til at vide alt om databeskyttelse. Vi talte tidligere om processer og om at have en form for ramme. Hvis vi tænker på websteder, apps, udvidet virkelighed, videospil og andre digitale projekter: Skal alle digitale projekter nu tage hensyn til databeskyttelse? Og hvad er risikoen ved ikke at indbygge privatliv i et digitalt projekt?
Mackenzie Dysart: Det korte svar er ja. Alt bør tage hensyn til databeskyttelse. Det lange svar er, at det er afgørende at forstå, hvilke datapunkter du indsamler om mennesker.
Hvis vi tager websteder som eksempel, er der to sider. Først har vi den ikke-godkendte, ikke-loggede bruger, hvor vi primært sporer cookies og sessioner. Det er den GDPR-oplevelse, vi kender bedst, og hvor vi skal forstå, hvilket samtykke der kan gives som standard.
En vigtig ting er, at hvert land har forskellige regler for, hvad der sker, hvis en person ikke klikker på cookiebanneret. I USA kan man for eksempel antage stiltiende samtykke, hvis personen klikker uden for banneret, lukker det eller trykker på X. Det gælder ikke under GDPR og heller ikke i Canada.
Derfor er det vigtigt at forstå de forskellige regioner, man opererer i, hvilke konsekvenser reglerne har, og hvilke juridiske processer man skal følge. Man skal også have en intern proces for hver gang, man tilføjer en ny pixel eller sporingscookie til sit websted. Hvordan kontrollerer man, at den er med i sit cookiessystem, og om den er nødvendig eller blot bruges til markedsføring?
Hvis man har godkendte brugere, der er logget ind, skal man forstå, hvad man gør med alle oplysningerne om dem, hvor dataene sendes hen, og hvordan de flyttes. Mange tror, at salg af data betyder, at man tager data og sælger dem til en anden virksomhed for penge. Det er ikke den juridiske definition.
Det betyder i stedet, at data overføres fra ét system til et andet med en økonomisk fordel på et tidspunkt. Det kan være, at data flyttes fra ens database til et analyseværktøj, et kundedataplatformsystem eller et CRM-system, hvorefter man sender markedsføringsmails, og brugeren køber noget. Det kan være en salgsproces for data, selv om det hele foregår i ens egne systemer.
Man skal derfor overveje, hvor data opbevares, hvor de sendes hen, og hvordan de flyttes. Er de anonymiserede? Er de krypterede? Har vi brug for de enkelte personhenførbare oplysninger, eller kan vi nøjes med samlede data?
Der er tre nøglebegreber, som gælder for det meste inden for privatliv: information, samtykke og kontrol. Information handler om at forklare, hvad der sker, og hvad der sker, hvis personen træffer et bestemt valg. Samtykke er den faktiske registrering af personens beslutning. Kontrol er muligheden for at ændre sin beslutning.
Man kan ikke have samtykke uden information. Man behøver ikke altid have kontrol, men det er generelt bedste praksis. Det er tre ting, man altid bør have for øje i projektarbejde.
Galen Low: Det lyder dyrt. Jeg forestiller mig platforme, der hjælper organisationer med at administrere og kategorisere data, placere data i grupper alt efter om det er personhenførbare eller anonymiserede oplysninger og udforme informationen og kontrolfunktionerne. Hvis nogen beder om at få slettet deres data, er det så bare nogens job at finde dem i alle systemerne og slette dem?
Mackenzie Dysart: Det kan det være. Hvis man er en produktorganisation med mange forskellige datatyper, skal man beslutte, hvordan man vil håndtere det. Det er mindre dyrt at tænke på privatliv, jura, overholdelse af regler og sikkerhed tidligt, fordi man bygger processerne ind fra begyndelsen i stedet for at skulle rekonstruere alt senere.
Der findes tjenester, der håndterer cookietilladelser. Men det afhænger af ens teknologistak og af, hvordan systemerne er bygget. Nogle ting kan automatiseres, mens andre kræver interne processer.
Hos min nuværende kunde har vi en kombination. Noget sker automatisk, men vi har også egne data. Derfor byggede vi en automatiseret proces, der håndterer anmodninger om indsigt eller sletning. Andre systemer er ikke forbundet, så der har vi en manuel liste, hvor data skal slettes manuelt.
Det er ikke let, men det bliver lettere, hvis man bygger med privatliv for øje. Man kan måske ikke lancere 100 % i overensstemmelse med alle regler, men man kan bygge på en måde, hvor det er muligt at gøre løsningen kompatibel og fremtidssikret. Tænk på det tidligt, arbejd videre med det, og byg med det i tankerne. Så er det meget lettere at overholde reglerne, især fordi der hele tiden kommer nye love.
Galen Low: Det minder om tilgængelighed. Man tilføjer ikke bare en separat linje i budgettet for tilgængelighed eller responsivt design. Det skal indgå i alt, hvad man gør – i design, teknologi og test. Det er en kvalitetsattribut og en del af hele projektet.
Jeg forestiller mig, at det samme gælder privatliv. En organisation, der forstår privatliv, vil være attraktiv for kunder. Det koster måske mere, og det kan være vanskeligt, men det er en ædel sag til gavn for brugerne og menneskeheden.
Mackenzie Dysart: Til gavn, ja.
Galen Low: Det er noget, man skal bygge til. Det er normalt at bygge til nu. Det er ikke ekstra. Det er en del af samtalen og en forventning.
Så hvad er den digitale projektleders rolle i databeskyttelse? Skal vi være privatlivschefer for vores projekter, eller handler det mere om bevidsthed, information, samtykke og kontrol? Hvor dybt skal vi gå?
Mackenzie Dysart: At være privatlivschef er nok et af de mest skræmmende og stressende job, fordi man skal træffe så mange risikobaserede beslutninger. Som digital projektleder behøver du ikke være ekspert i kode, plugins eller testværktøjer. Du skal forstå, at privatliv betyder noget, og at det skal overvejes.
Det vigtigste er at bringe det op tidligt. Sørg for, at processerne findes. Hvis organisationen har et juridisk team eller en del af teamet, der arbejder med privatliv, skal du involvere dem tidligt – især hvis der er tale om nye eller tvivlsomme typer brugerdata.
Hvis I for eksempel begynder at indsamle højde og vægt om kunder i forbindelse med fitness, skal I undersøge, hvad det betyder. Der findes love, som regulerer sundhedsdata. Overvej, om I virkelig har brug for oplysningerne.
De vigtigste signaler er nye brugerdata, eller at man gør noget nyt med eksisterende data. Hvis der tilføjes nye datapunkter, bør man kontakte privatlivsteamet, forstå konsekvenserne og overveje, hvordan dataene skal slettes eller beskyttes. Hvis man begynder at bruge kunstig intelligens eller maskinlæring baseret på brugerdata, er det også et tydeligt signal.
Man bør altid have sikkerheds-, juridiske og privatlivsmæssige gennemgange. Hvis organisationen ikke har den proces, bør man undersøge hvorfor og finde ud af, hvordan man kan etablere et samarbejde.
Det er også vigtigt at involvere juridiske eksperter tidligt. Så ved de, hvad der foregår, kan deltage i samtalen og stille spørgsmål, før de bliver en hindring for projektet. Jo tidligere de involverede parter kommer med, desto enklere bliver det på lang sigt. Det er det, man kalder at flytte arbejdet til venstre i processen.
Galen Low: Det kan være svært, især i et bureau, hvor man tænker, at sikkerhed og privatliv først skal håndteres senere for at holde omkostningerne nede.
Mackenzie Dysart: Man skal samle alle omkring bordet i begyndelsen. De behøver ikke være med hele tiden, men alle skal være en del af teamet. De kan tage en pause, mens resten arbejder, men alle skal være på samme båd og på vej i samme retning.
Galen Low: Det er en god måde at formulere det på. Alle disse ting er økosystemer af mennesker og teknologi, som måske ikke engang tilhører samme organisation. Man skal vælge leverandører, der også går op i privatliv, forstå kundens syn på privatliv og have en intern privatlivskultur. Ellers har man stadig et ansvar.
Når ting handler om overholdelse af regler, kan der være fristelser til at tage genveje for at holde omkostningerne nede eller overholde tidsplanen. Hvilke argumenter kan en digital projektleder bruge i de samtaler?
Mackenzie Dysart: Problemer, der opdages sent, er eksponentielt dyrere at løse. Hvis man ikke bygger med det i tankerne, bliver det sværere at rette op på senere. Det skaber også teknisk gæld, personafhængighed og forretningsmæssig risiko.
Det er også det rigtige at gøre for mennesker. Men når virksomheder kun fokuserer på tidsplanen, kan man tale om risikoen for retssager. GDPR kan medføre en bøde på op til 20 millioner euro eller 4 % af den samlede globale omsætning.
Galen Low: Hold da op.
Mackenzie Dysart: Det er en betydelig økonomisk risiko. I USA ligger mange delstatslove på omkring 7.500 dollar pr. overtrædelse. Det kan hurtigt løbe op, især ved gruppesøgsmål. Der findes også regler, hvor skadeserstatningen kan være 25.000 dollar pr. person.
Der er også forretningsmæssige og omdømmemæssige risici. Folk bliver mere opmærksomme på privatliv og vælger måske virksomheder ud fra, om de håndterer det ordentligt.
Lovene ændrer sig hele tiden, og nye regler om teenagere og sociale medier er på vej. Hvis et websted eller en digital app har et fællesskab, kan det måske blive betragtet som sociale medier. Privatliv efter design, tilgængelighed efter design og sikkerhed efter design er derfor afgørende.
Det kræver mere arbejde i begyndelsen, men er betydeligt billigere på lang sigt – både med hensyn til omarbejde og jura. Man kan måske ikke gøre alt kompatibelt på dag ét, men man kan bygge bagenden, så den senere understøtter, at brugerne ændrer mening eller fravælger noget.
Galen Low: Det interessante er, at privatliv nu er blevet en kulturel del af samtalen. Den større bevidsthed driver udviklingen i lovgivningen, som igen påvirker kundernes valg og leverandørernes konkurrenceevne.
Mackenzie Dysart: Det er en klar merværdi. Alle skal forholde sig til det nu. Det er et forretningskrav, også selv om det ikke står direkte i en udbudsanmodning. Bureauer bør forklare, hvad de gør for privatliv, og hvordan de vil bygge det ind.
Man behøver ikke være ekspert for at forstå hovedtemaerne. Man skal vide, hvordan man taler intelligent om emnet, stille de rigtige spørgsmål og sikre, at det bliver overvejet undervejs. Ellers bliver det overset, og så bliver det dyrt.
Galen Low: Lad os tale om de svære spørgsmål. Hvordan kan projektledere skabe en teamkultur, hvor medarbejderne føler sig trygge ved at sige fra, hvis de ser noget bekymrende?
Mackenzie Dysart: Først og fremmest skal man lede ved et godt eksempel. Det handler ikke altid om at slå alarm. Det kan være så enkelt som at spørge: Hvad gør vi? Hvorfor gør vi det? Har vi samtykke til det? Har vi brug for disse data, eller kan vi træffe beslutningen med færre data?
Projektledere står ofte i spidsen for teamet. Hvis vi stiller spørgsmål, også de dumme eller mærkelige spørgsmål, giver vi andre mulighed for at gøre det samme. Det skaber psykologisk tryghed.
Hvis kunden ønsker noget, bør man spørge, om det kan gøres på en mere privatlivsorienteret måde. Vær ærlig og gennemsigtig om begrænsningerne. Hvis systemerne ikke kan understøtte det endnu, skal man finde det første rigtige skridt og arbejde sig frem.
Hvis kunden ikke følger anbefalingen, kan man dokumentere risikoen, give sin anbefaling og overlade den risikobaserede beslutning til virksomheden. Man kan ikke tvinge dem til at gøre det rigtige, men man kan sørge for, at de forstår risikoen.
Galen Low: Det handler også om at træffe valg – ikke kun om hvor man tjener flest penge, men om hvor man kan skabe den mest værdifulde effekt for brugere og menneskeheden.
Mackenzie Dysart: Formålsdrevet.
Galen Low: En privatlivssuperhelt.
Mackenzie Dysart: Kan jeg få en kappe, hvor der bare står privatliv?
Galen Low: Det lyder som en søgning på Amazon, der kan gå galt.
Mackenzie Dysart: Ja, det kan gå frygteligt galt.
Galen Low: Tilbage til organisationer, der ikke ser ud til at interessere sig for privatliv: Hvad sker der, hvis de venter til sidste øjeblik med at blive kompatible?
Mackenzie Dysart: Det er bekymrende, men mange befinder sig i den situation. Det afhænger af, hvilken type data man har om mennesker, og hvor følsomme dataene er.
Det er svært at ændre gamle systemer, som ikke blev bygget med privatliv for øje. Jo senere man gør det, desto dyrere bliver det. Men man skal ikke lade sig overvælde. Start lidt efter lidt, foretag små forbedringer, og lav en plan for de næste 6, 12, 24 eller 36 måneder.
Tilsynsmyndighederne vil ofte være mere forstående, hvis man kan dokumentere, at man har en plan. Hvis man slet ikke har en plan, ser det ud som om, man ikke engang forsøger.
Et eksempel er retten til indsigt i egne data, retten til at få ukorrekte oplysninger rettet og retten til sletning. Virksomheder, der har eksisteret i 10, 15 eller 20 år og har mange ikke-forbundne systemer, kan have svært ved at finde og slette alle oplysninger.
Det kan være en tung proces, men man skal finde måder at arbejde sig frem på. Man må ikke stikke hovedet i sandet.
Der findes også ældre love, som kan få ny betydning i den digitale tidsalder. Video Privacy Protection Act handlede oprindeligt om, at ens videoudlejningshistorik ikke måtte deles uden samtykke. Senere fandt advokater ud af, at reglerne kunne gælde pixels, der sporer, hvilke videoer mennesker ser på Facebook og YouTube.
Det viser, at eksisterende love kan anvendes på nye teknologier, selv om man ikke oprindeligt havde forestillet sig det.
Galen Low: Det er fascinerende, hvordan lovgivning anvendes på nye ting. Privatliv handlede tidligere om, hvem der kunne se ens videoudlejningshistorik. Nu handler det om, hvorvidt en tidligere ægtefælle kan spore ens færden gennem en bil, man købte sammen.
Mackenzie Dysart: En ting, jeg aldrig havde overvejet konsekvenserne af, er synkronisering af kontakter med en app. Når du synkroniserer dine kontakter, kan appen pludselig få navn, telefonnummer og e-mailadresse på mennesker, der aldrig har givet samtykke til at være en del af appen.
Det samme gælder synkronisering med Bluetooth-enheder. Hvorfor har bilen eller enheden nu alle dine kontakter? Det er noget, man begynder at tænke over for altid.
Galen Low: Det er mareridtsbrændstof.
Mackenzie Dysart: Ja, undskyld.
Galen Low: Mackenzie, det har været virkelig fascinerende. Jeg har lært en masse, og det tror jeg også, vores lyttere har. Vi kunne fylde en hel bog med dette. Måske burde vi lave en del to.
Der er så mange gode spørgsmål at stille, ting at være opmærksom på og overvejelser om den rolle, vi spiller som digitale projektledere – eller som alle, der arbejder med digitale løsninger. Det er ikke bare en afkrydsningsøvelse, men faktisk en ædel sag til gavn for alle.
Mackenzie Dysart: Præcis.
Galen Low: Det er også nemt at argumentere for, når det handler om børns personoplysninger eller om risikoen for retssager.
Mackenzie Dysart: Tænk på børnene.
Galen Low: Tænk på børnene – og lad være med at give 4 % af din globale omsætning væk.
Mackenzie, mange tak fordi du ville bruge tid sammen med mig i dag. Det har været rigtig sjovt.
Mackenzie Dysart: Tak fordi jeg måtte være med. Det var fantastisk.
Galen Low: Så er der ikke mere for i dag. Hvis du vil deltage i samtalen med over tusind ligesindede projektledelsesforkæmpere, kan du gå til thedigitalprojectmanager.com/membership. Hvis du kunne lide det, du hørte i dag, så abonnér, og hold kontakten på thedigitalprojectmanager.com.
Indtil næste gang – tak fordi du lyttede.
