En digital prosjektleders guide til personvern

Les transkripsjonen:

Vi prøver ut å transkribere podkastene våre ved hjelp av et program. Tilgi eventuelle skrivefeil, siden roboten ikke er korrekt 100 % av tiden.

Galen Low: Hei, alle sammen, og takk for at dere lytter. Jeg heter Galen Low og kommer fra The Digital Project Manager. Vi er et fellesskap av digitale fagfolk med et mål om å hjelpe hverandre med å bli dyktige, selvsikre og knyttet sammen, slik at vi kan øke verdien av prosjektledelse i en digital verden. Hvis du vil høre mer om dette, kan du gå til thedigitalprojectmanager.com/membership.

I dag snakker vi om personvern, og om hvordan vi som digitale prosjektledere må ta hensyn til de siste endringene innen teknologi og lovgivning i prosjektene våre når det gjelder personvern. Med meg i dag har jeg en av våre egne eksperter i fellesskapet for digital prosjektledelse og leveranseansvarlig hos Thoughtworks, Mackenzie Dysart.

Mackenzie, takk for at du ble med i dag.

Mackenzie Dysart: Takk for invitasjonen. Jeg gleder meg virkelig til samtalen vår i dag.

Galen Low: Jeg gleder meg også. For lytterne våre: Mackenzie og jeg har jobbet sammen i flere år, og jeg fikk plutselig denne følelsen av at jeg aldri har hatt Mackenzie med på podkasten mens jeg har vært programleder. Så jeg tenkte: La oss endre på det.

Og i dag gjør vi nettopp det. For de lytterne som ikke kjenner deg: Vi snakket nettopp om dette i green room, og du tar alltid på deg utfordringer som er som å trille en ball opp et fjell – de virkelig vanskelige utfordringene. Du har vært en forkjemper for tilgjengelighet, og nå har du havnet i rollen som forkjemper for personvern på tvers av digitale prosjekter, både der du jobber og i fellesskapet vårt.

Så varemerket ditt er på en måte vanskelige utfordringer der du må overbevise og overtale folk.

Mackenzie Dysart: Vanskelig, vanskelig, sitronvanskelig. Det er tilnærmingen min.

Galen Low: De minst sexy delene av prosjektledelse – vær så snill å være forkjemper for akkurat det.

Mackenzie Dysart: Jeg er klar.

Galen Low: Jeg elsker det.

Du fortalte meg at personvern bare snek seg inn. Det kom inn i bildet, og du oppsøkte det egentlig ikke aktivt?

Mackenzie Dysart: La oss si at jeg hoppet inn i det. Jeg har jobbet med klienten min de siste to og et halvt årene. For omtrent ett år siden sa de: «Greit, prosjektet du har jobbet med, programstrømmen, skal vi bytte ut nå. Er du klar til å gå videre til neste ting?» Det er jo alltid spennende.

Men så sa de: «Personvern trenger støtte. Det skjer mye. De har ingen prosess. De vet ikke hvordan de skal samarbeide med produktteamet. De trenger hjelp.» Så jeg tenkte: «Greit.» Og dermed har jeg brukt et år på å lære alt om personvern. Det er overveldende, men det er også akkurat som med tilgjengelighet: Det er det riktige å gjøre for mennesker.

Og jeg tror det er viktig at vi forstår verdien og fordelene, og at det ikke bare handler om lover, ikke sant? Det handler om å behandle folk riktig. Det handler om å beskytte mennesker. Noen ganger blir vi fastlåst i at «dette er vanskelig», i stedet for å se på eksemplene og historiene som viser hvorfor dette betyr noe og hvorfor det er viktig. Så ja, det har vært et år.

Jeg har lært mye. Jeg får jobbe med veldig smarte mennesker, og selvfølgelig også med noen utfordrende personer. Det føres vanskelige samtaler, men til slutt bygger man alltid et bedre produkt, et bedre prosjekt og en bedre tjeneste for sluttbrukerne. Jeg tror det vanligvis er den høyden jeg ender med å dø på: La oss behandle sluttbrukerne og menneskene riktig.

Så selvfølgelig viste det seg å være riktig, akkurat som tilgjengelighet gjorde. Derfor er vi her. Jeg er klar til å snakke om personvern, hvorfor det betyr noe, og hvorfor du bør bry deg.

Galen Low: Helt ærlig elsker jeg det, for det er jo virkelig en edel sak. Jeg har absolutt vært med på prosjekter der dette i stor grad bare har vært en avkrysningsøvelse.

Det er et stort bryderi. Ingen har egentlig lyst til å gjøre det, og de vil bare bli kvitt ansvaret. Det handler ikke så mye om brukeropplevelse som om å redusere ansvar. Men jeg liker innrammingen din: Ja, alt dette handler om å skape bedre opplevelser og behandle brukerne våre riktig.

Og jeg synes det er veldig interessant. I samtalene jeg har vært en del av, og det høres ut som det gjelder deg også, har personvern rundt data fått en mer sentral plass nå. Det å lagre data er ikke noe nytt, og personlig identifiserbar informasjon er heller ikke noe nytt. Men jeg har merket en utvikling i hvor viktig personvern er, hvor viktig det er å gjøre dette riktig, og hvor viktig det er å ha prosesser.

Det er viktig å bygge dette inn i det vi skaper, særlig de digitale løsningene våre. Men utover det er jeg uvitende.

Så kan du fortelle oss hvordan noe som personvern rundt data er annerledes i dag enn det var for fem eller ti år siden? Hva er de viktigste faktorene som driver disse forskjellene?

Mackenzie Dysart: For ti år siden var vi først og fremst bekymret for datainnbrudd. Vi var opptatt av hvor den personlig identifiserbare informasjonen befant seg, hvor vi lagret den, og av å sørge for at den var beskyttet. Det var egentlig det personvernlovene handlet om. Der stoppet det. Så kom personvernforordningen i EU, GDPR, i 2016. Det var den første lovgivningen som sa at folk burde ha kontroll over hva som blir sporet om dem på nettet.

Galen Low: Personvernforordningen.

Mackenzie Dysart: Jeg burde vite det, men dette var den første lovgivningen som sa at mennesker burde ha kontroll over hva som blir sporet om dem på nettet. Dette påvirket først og fremst nettsteder.

Det var starten på disse informasjonsbannerne for informasjonskapsler som vi alle kjenner og elsker. Vi bryr oss ikke like mye om dem lenger fordi de er så vanlige. Alle har informasjonskapsler, og vi må samtykke til at disse informasjonskapslene spores. Det var det første steget mot å si: Det folk gjør, og aktiviteten deres, betyr noe. De bør ha kontroll og kunne samtykke, og de bør vite hva som skjer med dataene deres og ha valgmuligheter.

Så kom California Consumer Privacy Act i 2020. I 2021 kom CPRA, en annen lov i USA. Det vi virkelig begynner å se, er at det kommer ny lovgivning delstat for delstat i USA. Storbritannia og EU ligger lenger fremme når det gjelder beskyttelse, og har mer føderale eller overordnede regler på tvers av EU, noe som gjør dem enklere å forstå og anvende. Australia har sine egne lover. Canada kommer også med egne lover. Jeg tror den kanadiske heter PIPEDA.

Galen Low: PIPEDA, ja.

Mackenzie Dysart: Alle disse morsomme forkortelsene. Det kommer stadig nye lover for å beskytte folks data. Og det skyldes hvordan vi som samfunn bruker data nå. Tidligere var vi bare bekymret for at personopplysninger skulle komme på avveie på grunn av identitetstyveri. Det var hovedformålet. Nå finnes det mange flere grunner til å være forsiktig med dataene sine.

Det finnes en ganske vanlig historie fra CVS om en tenåringsjente som hadde søkt etter ulike ting på nettet. Så sendte CVS henne en kupong for graviditets- eller babyprodukter, og avslørte i praksis at hun var gravid overfor faren sin. De tenkte bare: «En person i denne husstanden ser etter dette. Det er ikke sensitivt», og sendte det ut. Det er ikke greit.

Det er eksempelet alle tenker på, men nå begynner vi også å tenke på all sporingsteknologien og alle funksjonene vi har i verktøyene våre. Det finnes også en historie om et kamera i en bil – jeg tror bilprodusenten var Mercedes. Det var et skilsmisseoppgjør der hun fikk bilen, mens han fortsatt hadde tilgang til å spore kjøretøyet, og de klarte ikke å slå det av. Dermed oppstår et sikkerhetsproblem: Hun kan ikke være noe sted uten at eksen vet hvor hun er, fordi tilgangen hans ikke kan fjernes fra bilen på grunn av måten systemene er bygget på.

Når vi bygger smartere teknologi, samler vi inn stadig mer data om mennesker. Hva gjør vi så med disse dataene? Vi kan se på helsedata og hva det innebærer, og på konsekvensene av at helsedata deles med ulike delstater. Selv begrepet personlig identifiserbar informasjon har endret seg. Tidligere var det navn, adresse, telefonnummer og postnummer.

Nå har vi det bredere begrepet sensitiv informasjon. Det er alt som gjelder hvem du er som individ: etnisitet, kjønn og også biometriske data. Et bilde av ansiktet ditt er nå biometrisk informasjon. Jeg hadde aldri tenkt på at det å laste opp profilbildet sitt til en plattform kunne bety at det regnes som biometrisk informasjon, som de deretter kan bruke til å koble ansiktet ditt til ting på internett.

Jeg har aldri vært spesielt bekymret for personvern på internett. Jeg vokste opp i en tid der jeg først var veldig forsiktig og hadde mange falske navn på Hotmail, før jeg bestemte meg for å være meg selv på internett fra da av og mistet all bekymring av en eller annen grunn.

Jeg tror det finnes så mye informasjon der ute, og folk kan koble sammen punktene og finne all denne informasjonen. Nå er jeg mer bevisst på hvordan systemer bruker den, hvordan den kan deles og selges. Det første vi tenker på når vi blir urolige over hva som gjøres med dataene våre, er Cambridge Analytica og alt som skjedde der. Aktiviteten din på Facebook kunne manipuleres for å gjøre andre ting og finne ut informasjon om deg.

Det kommer mange lover som forsøker å stoppe eller beskytte mot dette, og som skal gi deg mulighet til å velge og kontrollere opplevelsen din. Jeg tror vi kommer til å snakke om dette flere ganger i dag, men til syvende og sist mener jeg at hensikten med alle disse lovene er å gi kontrollen tilbake til sluttbrukerne, i stedet for at vi tar tilfeldige beslutninger på deres vegne.

Galen Low: Det er det jeg synes er så interessant. Du peker på to store ting. For det første utvikler teknologien seg. Den blir mer personlig og praktisk. Prisen for alt dette er vanligvis data – kunnskap om deg. Det andre handler om bevissthet. For ti år siden kunne datainnbrudd være et kredittkortselskap som mistet kontrollen over alle kredittkortnumrene dine. Nå er dette en mye større del av samtalen. Vi har en dypere forståelse av hvordan dataene våre brukes.

Det neste steget er nettopp det du sier: Hvordan kan vi gi kontrollen tilbake til menneskene som er kildene til dataene? Hvordan kan vi fortsette å skape åpenhet og bevissthet rundt hvordan dataene brukes? Og ja, det å få dataene sine solgt er kanskje den vanligste samtalen jeg har om personvern.

Men det du nevnte om bilder – jeg har sett verktøy som kobler sammen sosiale profiler for å bekrefte at det faktisk er deg og ikke en annen person med samme navn. Det kan være en annen bildefremstilling av deg her og der, men er det samme person? De bruker ansiktsgjenkjenning på den måten. Det blir ganske omfattende når man ser på hvordan dette brukes. Det handler ikke bare om den enkle økonomien i å kjøpe og selge data, men også om å bygge databehandling inn i funksjoner som er skjult og blandet inn i en større opplevelse. Bevissthet er et spekter.

Folk kan tenke: «Hvis jeg gir noen e-postadressen min, får jeg kanskje noen nyhetsbrev fra dem, kanskje fra en tredjepart.» Men det kan gå mye, mye dypere.

Mackenzie Dysart: Veldig dypt. Og mengden data du gir fra deg om andre mennesker er også interessant. Det kunne vært en helt egen samtale.

Galen Low: Jeg antar at dette er en av de tingene man bare etter hvert blir mer bevisst på. Fra et prosjektperspektiv har vi ikke ubegrenset tid og budsjett til å vite alt vi trenger om personvern rundt data.

Men vi snakket tidligere i green room om prosess, om å ha et rammeverk rundt dette. Når jeg tenker på digitale prosjekter, tenker jeg på nettsteder, apper, utvidet virkelighet, videospill og alt mulig. Må alle digitale prosjekter ta hensyn til personvern nå? Og med alle lovene og forkortelsene vi har snakket om: Hva er risikoen ved å ikke bygge personvern inn i et digitalt prosjekt?

Mackenzie Dysart: Kort svar: Ja. Alt bør ta hensyn til personvern rundt data. Det lange svaret er at det er avgjørende å forstå hvilke datapunkter du samler inn om mennesker.

Hvis vi bruker nettsteder som eksempel, finnes det to sider. Først har vi ikke-autentiserte brukere som ikke er logget inn, der vi i praksis bare sporer informasjonskapsler og økter. Det er hovedsakelig GDPR-opplevelsen vi kjenner, og der må vi forstå hvilke samtykker som kan innhentes automatisk.

Et interessant poeng er at hvert land har ulike regler for hva som skjer hvis noen ikke klikker på informasjonsbanneret. I USA kan du for eksempel anta implisitt samtykke og samle inn informasjonskapsler dersom noen klikker utenfor banneret, lukker det eller trykker på X.

Slik er det ikke under GDPR. Slik er det heller ikke i Canada. Derfor er det viktig å forstå alle regionene du opererer i, hvilke konsekvenser reglene har, og hvilke juridiske prosesser du må følge for å være så etterlevelsesdyktig som mulig. Du må også ha en intern prosess hver gang du legger til en ny piksel eller informasjonskapsel for sporing på nettstedet. Hvordan kontrollerer du at den er med i systemet for informasjonskapsler, slik at den enten er definert som nødvendig eller vurdert som unødvendig? Deretter må den kategoriseres riktig, slik at systemet oppfører seg som forventet.

Det er det enkleste stedet å begynne. Hvis du har autentiserte brukere og innloggede tilstander, må du spørre hva du gjør med all informasjonen du har om disse menneskene. Hvor sendes dataene? Når vi snakker om salg og deling av data, tenker mange at salg betyr at du tar dataene deres og selger dem til et annet selskap for penger.

Det er ikke den juridiske definisjonen av salg av data, noe jeg ikke visste før for ett år siden. Det betyr å overføre data fra ett system til et annet for økonomisk fordel på et tidspunkt. Det kan være at du sender data fra databasen din til Amplitude, Segment eller et annet verktøy for å finne ut hvordan du skal markedsføre deg overfor dem, deretter til CRM-systemet ditt, og så sender markedsførings-e-poster før de kjøper noe.

Det er en prosess for salg av data. Selv om alt skjer innenfor dine egne opplevelser og systemer, er det fortsatt en dataoverføring. Vi må derfor tenke på hvor dataene lagres, hvor de skal, og hvordan vi flytter dem. Er de anonymisert? Er de kryptert? Når dataene går fra systemet vårt til det neste, trenger vi egentlig den individuelle personlig identifiserbare informasjonen, eller kan vi bare sende aggregerte data? Det er litt tryggere.

Det handler om å forstå hvilke datapunkter vi samler inn, hvordan vi innhenter samtykke, og hva vi gjør med dataene. Jeg har lært tre nøkkelbegreper som gjelder for det meste innen personvern: varsel, samtykke og kontroll. Varsel betyr å gi informasjon om hva som skjer, og hva som vil skje hvis du tar et bestemt valg. Samtykke er selve registreringen av beslutningen personen tar.

Kontroll er muligheten til å endre beslutningen. Du kan ikke ha samtykke uten varsel. Du må ikke alltid ha kontroll, men kontroll er vanligvis beste praksis. Dette er tre ting det er lurt å ha i bakhodet gjennom ethvert prosjekt.

Galen Low: Det morsomme er at når du går gjennom dette, begynner en liten del av hjernen min å tenke: «Dette høres dyrt ut.» Jeg forestiller meg at det finnes plattformer som hjelper organisasjoner med å administrere og kategorisere data, og med å sortere data etter hvor de sendes, enten som personlig identifiserbar eller anonymisert informasjon. De kan også hjelpe med formulering av meldinger, varsler og kontroll.

Hvis noen ber om at dataene deres slettes, er det da noens jobb å gå inn i alle systemene, finne dataene og slette dem? Jeg antar at en plattform må håndtere dette. Men selv om det finnes en plattform, høres det ut som en egen budsjettpost.

Mackenzie Dysart: Det kan det absolutt være. Det er noe du må avgjøre i prosjektet og i organisasjonen som helhet. Hvis du er en produktorganisasjon som håndterer mange ulike typer data, må du finne ut hvordan du skal administrere dem.

Det er mindre kostbart å tenke på personvern, juridiske forhold, etterlevelse og sikkerhet tidlig, fordi du bygger med dette i tankene og utvikler prosessene samtidig. Alternativet er å måtte finne ut i etterkant hvor alle dataene går, hvilke data som går hvor, hvordan du setter opp et filter, eller hvor du skal stoppe behandlingen når en person har reservert seg. Det er selvsagt mye enklere å gjøre dette tidlig.

For GDPR og samtykke til informasjonskapsler finnes det tjenester som OneTrust, som er et av de mest kjente store selskapene på området. Det er ganske klart hva du trenger, og du skriver teksten selv, mens tjenesten gjør mye av det tunge arbeidet på nettstedet. Det finnes også flere selskaper og plattformer. Alt avhenger av teknologistakken din og hvordan du har bygget ting. Kan du legge på et ekstra lag, eller må du bygge funksjonaliteten internt?

Hos klienten og prosjektet mitt er det en kombinasjon. Noe skjer automatisk, men vi har også mye av våre egne data. Derfor måtte vi bygge vår egen automatiserte prosess for tilfeller der en person sender inn en forespørsel om innsyn i personopplysninger eller sletting. Da kan vi automatisk gå gjennom enkelte systemer. For andre systemer har vi en manuell liste der vi må slette dataene manuelt for å oppfylle kravet.

De ulike systemene er ikke koblet sammen, og det er en utfordring. Det er manuelt arbeid. Det er ikke enkelt, men det blir enklere hvis du bygger med dette i tankene. Du klarer kanskje ikke å bygge noe som er hundre prosent i samsvar med alle regler ved lansering, men kan du bygge det slik at det kan gjøres etterlevelsesdyktig og fremtidssikkert?

Det samme sa jeg i samtalene våre om tilgjengelighet: Tenk på dette tidlig. Fortsett å jobbe med det, så går det bra. Så lenge du arbeider mot målet og bygger med dette i tankene, er det mye enklere å etterleve personvernlovene, særlig fordi det hele tiden kommer nye lover og vi ikke vet nøyaktig hva de vil inneholde.

Galen Low: Absolutt. Du trakk frem tilgjengelighet, og det er et godt poeng. Jeg spurte om dette var en budsjettpost, og jeg ser for meg et estimat som sier «ulike personverntiltak», kanskje 25 prosent av budsjettet. Men vi ville ikke gjort det med tilgjengelighet, og vi gjorde det heller ikke med responsive nettsteder tidligere.

Det var ikke en ekstra skatt nederst i budsjettet for å gjøre nettstedet responsivt. Vi måtte bygge det inn i alt vi gjorde. Vi måtte bygge tilgjengelighet inn i alt. Det var kvalitetsattributter: Hva sikter vi mot? Sikter vi mot AA? Trenger vi å legge til rette for AAA senere?

Det var ikke bare en boks som funksjonaliteten skulle puttes i. Det var en del av designet, teknologien og testingen. Der jeg jobbet, var klientene våre offentlig sektor, så tilgjengelighet betydde noe. Som resultat ble det også et konkurransefortrinn at vi forsto tilgjengelighet, fordi alle klientene måtte forholde seg til det.

Jeg ser for meg at det samme gjelder personvern. En organisasjon som går til et byrå, et konsulentselskap eller en annen tredjepart, vil synes det er attraktivt at de forstår personvern. Ja, det koster mer. Ja, det flettes inn i alt. Ja, det er vanskelig. Men det er også en edel sak. Dette handler om brukernes og menneskehetens beste.

Mackenzie Dysart: Det handler om å gjøre det som er riktig.

Galen Low: Det er også noe du må bygge for. Det er normalt å bygge for personvern nå.

Dette er ikke ekstraarbeid. Det er en del av samtalen, en forventning. Noen organisasjoner tenker kanskje at de bare kan late som de ikke vet noe når noen saksøker dem. De vil raskt bli hengende etter i utviklingen av personvernkulturen.

Apple leder for eksempel med personvern som et salgsargument i reklame og på reklametavler. Jeg vet ikke hvor mye som faktisk er bygget inn i plattformen, men det er tydelig at det nå er markedsførbart å si: «Vi beskytter dataene dine.»

Hvis jeg knytter dette tilbake til prosjektledelse, tenker jeg: «Greit, vi må planlegge for dette.» Mange organisasjoner har kanskje ikke en egen personvernforkjemper på hvert prosjekt som ser på alle sider av prosjektet og vurderer kravene. Der jeg har jobbet, ville ansvaret ofte ligget hos den som har siste ord, og noen ganger er det prosjektlederen.

Hva er rollen til en digital prosjektleder når det gjelder personvern rundt data? Skal vi sikte mot å bli personvernansvarlige for prosjektene våre, eller handler det mer om bevisstheten du nevnte – varsel, samtykke og kontroll? Hvor dypt må vi gå?

Mackenzie Dysart: Å være personvernansvarlig ville vært den mest skremmende og stressende jobben i verden, fordi man må ta så mange risikobaserte beslutninger. Jeg er ikke den personen. Eller, jeg er kanskje det, men jeg liker å kunne rådføre meg med andre, og det er godt å ha noen å rådføre seg med.

Som digital prosjektleder trenger du ikke å være ekspert på å lese kode, velge programtillegg eller bestemme hvilken testpakke som skal brukes. Du må forstå at dette betyr noe, og at det må vurderes. Det viktigste er å ta det opp tidlig.

Sørg for at du har prosesser på plass. Hvis du har et juridisk team, eller en del av juridisk team som arbeider med personvern, involverer du dem tidlig? Gjør det særlig når det finnes tvilsomme forhold eller nye typer brukerdata som dere aldri har samlet inn før.

Det er viktig å ta samtalen: «Vi skal begynne å samle inn høyde og vekt om kundene våre fordi vi går inn i treningsområdet. Hva betyr dette for oss?» Da oppdager du kanskje at det finnes lover som regulerer helsedata, og at disse opplysningene kan regnes som helsedata. Vil vi virkelig gjøre dette? Det er slike beslutninger dere må ta.

Det er viktig å ha en partner du kan sjekke med. Mine viktigste råd er at du bør ta kontakt med personvernteamet når det gjelder nye brukerdata. Hvis du samler inn et nytt datapunkt om brukerne, må du undersøke konsekvensene. Du må også forstå hvor dataene skal, og hvordan de legges inn i sletteprosessen.

Kan dette automatiseres, eller blir det enda en manuell oppgave? Hvordan beskytter vi dataene dersom vi må gjøre det? Hvis det finnes etterlevelseskrav, hvordan kommer vi videre? Det handler egentlig om to spørsmål: Finnes det nye brukerdata, eller gjør vi noe nytt med dataene vi allerede har?

Når noe slikt blir sagt, bør alarmklokkene dine ringe: «Personvern.» Du kan se for deg en liten personvernlampe som lyser. Og så har vi den store elefanten i rommet, som henger sammen med nye måter å bruke data på: kunstig intelligens. Hvis du skal ta i bruk kunstig intelligens eller maskinlæring basert på brukerdata, hvordan ser det ut?

De to spørsmålene kan være utløsere for å si: «Nå må jeg snakke med personvernteamet.» Du bør selvfølgelig alltid ha gjennomganger med sikkerhet, juridisk team og personvern. Hvis organisasjonen din ikke har en slik prosess, bør du finne ut hvorfor og hvordan du kan samarbeide med de rette personene.

Som byråer har vi kanskje ikke dette internt, men vi bør samarbeide med klientene våre for å finne ut hvem som må gjennomgå og godkjenne arbeidet. Hvem må kontrollere den antatte dataflyten? Jeg har jobbet på mange prosjekter som har involvert juridisk team, og min viktigste lærdom er alltid: Involver juridisk team tidlig.

Ta dem med så snart som mulig, slik at de vet hva som skjer, føler seg som en del av samtalen og kan stille spørsmål tidlig. Da blir de ikke en hindring for prosjektet eller et stort problem senere. Hvis du vet at noe må vurderes juridisk på et senere tidspunkt, kan du planlegge for det. Det er mindre krevende enn å oppdage det for sent og måtte gå tilbake.

Det handler om planlegging og om å sørge for at de rette personene sitter ved bordet tidlig. Uttrykket «flytt til venstre» passer godt her, akkurat som på mange andre områder. Jo tidligere folk involveres og jo mer engasjerte de er, desto enklere blir det på lang sikt.

Galen Low: Det er nesten en egen kunstform, fordi jeg har opplevd mye motstand mot å involvere folk tidlig, særlig i byråsammenheng. Man tenker: «Disse personene kommer til å fakturere på prosjektet, men vi gjør ikke sikkerhetsarbeidet før senere. Vi gjør ikke personvernarbeidet før senere.» Jeg tenker: «Ja, men det blir billigere senere.»

Mackenzie Dysart: Vi skal bare starte prosjektet. Ta alle med til bordet fra begynnelsen. De trenger ikke å være der hele tiden. Vi bygger et team og får alle om bord.

De kan gå sin vei senere, eller – hvis vi er på en båt sammen – kan de slappe av ved bassengdekket en stund mens vi jobber. Men vi må være på samme båt, på samme skip, på vei mot det samme målet.

Galen Low: Jeg liker den innrammingen, fordi alle disse tingene er økosystemer.

Vi har nettopp tegnet et bilde av et økosystem av mennesker og teknologi som kanskje ikke engang fungerer for samme organisasjon. Vi må velge leverandører som også bryr seg om personvern. Vi må forstå hvordan klienten ser på personvern. Vi må ha en intern personvernkultur. Alt dette må kobles sammen, ellers har vi fortsatt et ansvar og en risiko.

Likevel har jeg kanskje bare vært med på to eller tre samtaler i hele karrieren der alle partene har blitt samlet for den enkle, eller nesten enkle, samtalen: «Hva gjør vi med dette som betyr noe?» Fra et juridisk perspektiv, sikkerhetsperspektiv, tilgjengelighetsperspektiv og personvernperspektiv.

Vi må ro i samme retning. Ingen kan oppdage på punkt D noe de skulle ha tenkt på ved punkt C, men ikke fikk vite om ved punkt A. Det er aldri bra.

I en perfekt verden er alle enige om personvern. Men som med mange andre etterlevelsesrelaterte forhold kan team, klienter og sponsorer fristes til å ta snarveier for å holde kostnadene nede eller levere i tide. Hva slags argumenter kan en digital prosjektleder bruke i slike samtaler?

Mackenzie Dysart: Først, og dette er det vanligste svaret mitt når vi snakker om tilgjengelighet eller andre ting: Feil og problemer som oppdages sent, er eksponentielt dyrere å rette.

Hvis du ikke bygger med dette i tankene, blir det mye vanskeligere å få det til å fungere i etterkant. Du ender med en mer klønete løsning, og den blir ikke like ryddig. Det finnes også en risiko for at en person slutter, og at ingen andre forstår nyansene i det vedkommende bygget. Det er betydelig forretningsrisiko ved å utsette arbeidet.

Det er også det riktige å gjøre – å forsøke å gjøre det riktige for mennesker. Samtidig må vi forstå at virksomheter er virksomheter, og at de noen ganger bare vil nå en tidsfrist.

Da kan du begynne å snakke om søksmål. GDPR kan medføre en bot på opptil 20 millioner euro eller 4 prosent av den totale globale omsetningen ved manglende etterlevelse.

Galen Low: Oj.

Mackenzie Dysart: Det er en ganske stor økonomisk belastning. Jeg vet ikke nøyaktig hvordan beløpet beregnes, men det er en betydelig risiko.

Hvis vi ser på delstatslovene i USA, ligger mange av dem på rundt 7 500 dollar per enkeltstående overtredelse. Det blir viktig når man tenker på massesøksmål. Hvis det finnes en rett til private krav, kan enkeltpersoner saksøke et selskap, i stedet for at bare en tilsynsmyndighet eller et styrende organ gjør det.

Det dukker opp annonser på Instagram som sier: «Har du brukt dette produktet? Du kan ha krav på penger.» Vi så det samme på TV med massesøksmål. Nå skjer det samme med personvern, og det kan være 7 500 dollar per overtredelse eller klage.

Det kan raskt bli mye. Det kom også en ny lov i delstaten Washington om helsedata. Der kunne beløpet være 25 000 dollar per person dersom det kunne dokumenteres skade. Hvis bare noen hundre personer kan bevise skade, blir det mye penger.

De økonomiske konsekvensene og den økonomiske risikoen betyr noe. Det finnes også forretningsrisiko. Folk blir mer bevisste på personvern. Kanskje de ikke reserverer seg mot alt, men de kan velge samarbeidspartnere ut fra hvor viktig personvern er for dem.

Det finnes også omdømmerisiko. Lover endres hele tiden, og det er uklart hva som vil skje de neste seks månedene. Det kommer mange nye lover om tenåringer og sosiale medier. Men hva regnes som sosiale medier? Hvis nettstedet eller den digitale appen din har et fellesskap, kan det regnes som sosiale medier. Er du i samsvar med alle kravene?

Det finnes mange ulike kostnader. Hvis du ikke bygger med personvern i tankene – personvern som standard, tilgjengelighet som standard og sikkerhet som standard – blir det vanskeligere å lykkes.

Det krever mer arbeid i starten, men er betydelig billigere på lang sikt, enten når det gjelder omarbeiding eller juridiske kostnader. Du kan kanskje ikke bygge noe som er fullt ut i samsvar med alle regler fra dag én, men du kan begynne riktig.

Hvis du tenker personvern, bør du kunne avgrense en del av dataene eller la medlemmer og brukere endre mening. Det er det store poenget: Hvordan gir vi folk kontroll til å endre mening eller reservere seg, og også endre mening igjen senere? Vi trenger kanskje ikke å ha alt på plass dag én, men kan vi bygge backend-en slik at den støtter dette når det blir nødvendig?

Galen Low: Det er interessant, fordi personvern nå er en del av den kulturelle samtalen. Økt bevissthet driver utviklingen i lover og regler, som igjen henger sammen med at folk stemmer med lommeboken.

Hvis du er en organisasjon som skal velge leverandører, og personvern er en del av samtalen, vil du velge samarbeidspartnere som tror på dette. Jeg har også vært på den andre siden, der noen sier: «La oss ikke nevne det nå, så vi holder oss innenfor budsjettet. Når det blir viktig, fakturerer vi klienten for det.»

Men kostnaden ved å bytte leverandør er mye lavere enn kostnaden ved å bli saksøkt og miste 4 prosent av den globale omsetningen. Det tvinger hele bransjen mot bedre personvern, selv om enkelte aktører ikke egentlig tror på det eller bryr seg om det. Det blir en del av markedet og av det å være konkurransedyktig.

Mackenzie Dysart: Det er et tydelig merverditilbud. Du ser etter ferdigheter og evne til å tilpasse seg og drive produktet eller miljøet fremover.

Alle må ta hensyn til dette nå. Det er et forretningskrav, enten det står i forespørselen om tilbud eller ikke. Du bør svare på forespørselen med: «Forresten, dette er hva vi gjør for personvern, og slik bygger vi det inn.»

Hva klienten gjør med dette, er deres valg. Men du kan gi dem stegene, beste praksis og risikovurderingen, og la dem ta valget.

Det er ikke vanskelig å begynne å forstå temaene. Jeg har bare jobbet med dette i ett år og samarbeider tett med eksperter som vet hva de gjør. Jeg trenger ikke å vite nøyaktig hvordan det skal bygges. Jeg trenger å kunne snakke intelligent om det, stille de riktige spørsmålene og sørge for at det blir vurdert underveis.

Ellers blir det oversett, og da blir det svært kostbart. Skjulte budsjettposter liker klientene ikke alltid. Det kan være en forretningsstrategi å si: «Vi skal holde oss innenfor det budsjettet.» Men det går bare hvis vi lar være å gjøre arbeidet, og det er ikke riktig.

Vær ærlig og åpen om dette, og bygg det inn i systemet slik at det bare er en del av budsjettet. Personvern er ikke et tillegg eller en valgfri funksjon. Det er som å bygge nettsteder som fungerer på mobil. Responsivt design ble bare noe bransjen måtte gjøre. Det samme gjelder personvern.

Galen Low: Jeg liker opplæringsdelen. Når folk deler, og andre er nysgjerrige nok til å spørre, løfter det de fleste båter.

Kanskje vi kan gå inn i det vanskelige. Vi har snakket om etikk og om denne edle saken. Vi har også snakket om organisasjoner som fristes til å ta snarveier. Vi jobber med løsninger og digitale prosjekter der vi samler inn data, driver potensielle kunder gjennom digitale markedsføringskampanjer og personaliserer opplevelser. Det innebærer mye datainnsamling, noen ganger på måter teamet ikke opplever som særlig etiske, selv om de er lovlige.

Hvordan kan vi som prosjektledere skape en teamkultur der folk føler seg trygge på å varsle når de ser noe bekymringsfullt?

Mackenzie Dysart: Først og fremst må du lede ved å gå foran som et godt eksempel. Det er det viktigste. Det handler ikke alltid om å varsle formelt. Det kan være å spørre: «Hva gjør vi? Hvorfor gjør vi dette?»

Hvis noen sier: «Vi skal gjøre dette med dataene deres», kan du spørre: «Har vi samtykke til det? Bør vi gjøre det? Trenger vi dette datapunktet for å ta beslutningen, eller kan vi gjøre det med mindre data?» Det handler om å stille spørsmål.

Jeg mener prosjektledere er teamets leder. Hvis vi ikke går foran som gode eksempler og stiller spørsmål som kan være ubehagelige eller få oss til å virke mindre intelligente, skaper vi ikke rom for andre. Jeg stiller mange dumme spørsmål, fordi det kan åpne for at andre også stiller spørsmål.

Hvis du stiller det rare spørsmålet, gjør alle andre det også. Det finnes et uttrykk som går omtrent slik: Si det rare. Still det rare spørsmålet. Det gjør teamet mer komfortabelt. Det er svært viktig å skape psykologisk trygghet, slik at folk forstår at det er greit å spørre.

Dette er også en organisatorisk utfordring. Hvis du jobber et sted som er svært klientorientert og bare gjør det klienten ber om, må du kunne spørre: «Bør vi gjøre det? Kan vi gjøre det på en annen måte? Kan vi levere det klienten ber om på en mer personvernorientert måte?»

Vær ærlig og åpen om begrensningene. Noen ganger finnes ikke systemene som støtter dette, og det er frustrerende. Da må man spørre: «Hva er det første riktige steget vi kan ta?» Gi informasjonen, og gi anbefalingen.

Klienten kan likevel velge å ikke lytte. Da kan du si: «Her er risikoen. Jeg har dokumentert den. Jeg har gitt anbefalingen min. Hva dere gjør med den, er deres valg.» Det er en risikobasert beslutning virksomheten må ta. Du kan gi dem risikoene og håpe at de gjør det riktige.

Og hvis klienten gjør tvilsomme ting, kan du i det minste være takknemlig for at du ikke er ansatt der.

Galen Low: Det handler om valg og beslutninger, ikke bare om hvor du tjener mest penger, men også om hvor du kan ha størst positiv innvirkning på brukere og mennesker.

Mackenzie Dysart: Formålsdrevet.

Galen Low: En personvernhelt.

Mackenzie Dysart: Kan jeg få en kappe der det står «personvern»? Det blir flott.

Galen Low: Det høres ut som et Amazon-søk som kan gå galt. Personvernkappe.

Mackenzie Dysart: Det kan gå fryktelig galt. Jeg vil ikke vite hva det søket gir meg.

Galen Low: Når vi kommer tilbake til samtalen om klienter og organisasjoner som ikke bryr seg, handler dette også om tidsfrister. Vi har sett det med tilgjengelighet. På personvernområdet finnes det også frister for å oppfylle kravene.

Myndighetene forstår at dette ikke skjer over natten, men det må skje, og fristene nærmer seg. Jeg har vært med på prosjekter der klienten ventet til siste øyeblikk, slik at det ikke var nok tid til å bli etterlevelsesdyktig.

Hvis en organisasjon ikke har begynt å tenke på hvordan den skal overholde personvernkravene, eller forsøker å utsette det til siste øyeblikk, er den allerede for sent ute?

Mackenzie Dysart: Det er bekymringsfullt, men mange befinner seg i den situasjonen. Det avhenger av hvilken type data du har om folk og hvor sensitive dataene er.

Det er vanskelig å gjøre endringer, særlig i eldre systemer som ikke ble bygget med dette i tankene. Jo senere du gjør det, desto dyrere er det å rette opp.

Det er ikke nødvendigvis noens feil. Kanskje noe ble bygget for ti år siden, før disse lovene fantes. Men nå må man håndtere forespørsler om innsyn i personopplysninger. Det er retten til å få vite hvilke data et selskap har om deg.

Du kan også be om at dataene korrigeres dersom de er feil, og du skal få dem i et lesbart format. Vanligvis er det en CSV-fil eller lignende, men et menneske må kunne forstå dataene. Du har også rett til sletting, altså at alle dataene dine fjernes fra systemet.

Dette er krevende for selskaper som har eksistert i 10, 15 eller 20 år og samlet inn store mengder data i systemer som ikke er godt koblet sammen. Mange forsøker fortsatt å bli etterlevelsesdyktige fordi det er vanskelig.

Det er tungt, og ikke så enkelt som vi skulle ønske. Vi bruker mange forskjellige verktøy, og noen ganger har et utviklingsteam tatt i bruk et ekstra verktøy som ingen andre kjenner til. Det er ikke kartlagt eller dokumentert, men inneholder brukerdata.

Det er lett å bli overveldet og tenke: «Jeg vet ikke hvor jeg skal begynne.» Så får man handlingslammelse og stikker hodet i sanden. Det er ikke veien videre. Veien videre er å løse det litt etter litt, gjøre små, trinnvise endringer og forbedringer.

Tilsynsmyndigheter vil stort sett være på din side hvis du kan vise at du har en plan for å komme i en bedre situasjon de neste 6, 12, 24 eller 36 månedene. Du må ha den planen. Hvis du ikke har den når tilsynet kommer, ser det ut som om du ikke engang forsøkte.

Det finnes også advokater som leter etter slike saker. De finnes innen personvern også. Når en ny personvernlov kommer, leverer enkelte raskt søksmål mot store selskaper fordi de vet at selskapene kanskje ikke er fullt ut etterlevelsesdyktige fra dag én.

I USA kommer delstatene med nye regler omtrent hver sjette måned, kanskje enda oftere. De følger ikke samme tidsplan, og reglene er ofte like, men litt forskjellige. Det gjør det vanskelig. Tilsynsmyndighetene forstår dette, men private søksmål kan være mer kompliserte.

Det finnes en lov om personvern for videomedier som skal hindre at videoutleiehistorikken din deles uten samtykke. Den ble laget i videobutikkens tid, da folk leide VHS-kassetter.

Galen Low: Hva mener du med å leie en video?

Mackenzie Dysart: Leie en VHS-kassett. Vi snakker ikke engang om DVD-er.

Galen Low: Loven om manglende tilbakespoling fra 1981.

Mackenzie Dysart: Nettopp. Noen advokater fant ut at loven kunne brukes på piksler som sporer hvilke videoer folk ser på Facebook og YouTube. Flere selskaper ble saksøkt fordi de ikke hadde opplyst om at strømme- eller seerhistorikken ble delt med andre systemer.

Det viser at eldre lover kan tilpasses den digitale tidsalderen og ny teknologi. I tillegg til nye lover finnes det eksisterende lover som vi ikke har tenkt på at kan gjelde.

Galen Low: Det er fascinerende hvordan lover anvendes på nye ting. Personvern handlet tidligere om hvem som kunne se videoutleiehistorikken din. Nå handler det om hvorvidt en tidligere ektefelle kan spore hvor du er fordi vedkommende har tilgang til bilen dere kjøpte sammen.

Jeg er glad for at samtalen endrer seg, at bevisstheten øker, og at det tas grep for å hindre farlige situasjoner.

Mackenzie Dysart: Det jeg aldri hadde tenkt over, men som jeg nå kommer til å være svært forsiktig med, er synkronisering av kontakter med en app.

Dette er en flott funksjon, men når du synkroniserer kontaktene dine med en app, kan appen plutselig få navn, telefonnumre og e-postadresser til personer som ikke har noe med appen å gjøre og ikke har samtykket til dette.

Meta har faktisk godt innhold om hvordan de får tak i slike data, og hvordan du kan få dem fjernet. Men mange selskaper har ikke systemer som er avanserte nok til å håndtere det.

Det samme gjelder synkronisering av kontakter med en Bluetooth-enhet. Hvorfor har bilen alle kontaktene dine? Dette er et av de eksemplene som virkelig satte seg hos meg. Hvis det er én ting du kommer til å tenke på for alltid, er det kontaktsynkronisering.

Galen Low: Herregud, ja. Et mareritt.

Mackenzie Dysart: Beklager.

Galen Low: Jeg forstår ikke engang hvordan informasjonen min kan ende opp i en Bluetooth-enhet.

Mackenzie Dysart: Navnet ditt finnes sikkert i mange biler uten at du har samtykket til det.

Galen Low: Mackenzie, dette har vært utrolig interessant. Jeg har lært masse, og jeg tror lytterne våre også har gjort det. Vi kunne sikkert skrevet en hel bok om dette. Kanskje vi burde gjøre det. Kanskje vi burde lage en del to.

Det er så mye nyttig her: spørsmål man kan stille, ting man bør være oppmerksom på, og rollen vi har som digitale prosjektledere. Hvis du ikke er digital prosjektleder, men jobber med digitale ting, har du også en rolle å spille. Dette er ikke bare en avkrysningsøvelse, men en edel sak og et bidrag til fellesskapets beste.

Det krever litt overbevisning noen ganger, men det er ikke vanskelig å argumentere når det handler om barns personopplysninger eller søksmål.

Mackenzie Dysart: Nettopp.

Galen Low: Det er et enkelt argument.

Mackenzie Dysart: Tenk på barna.

Galen Low: Tenk på barna, og ikke gi bort 4 prosent av den globale omsetningen.

Mackenzie, tusen takk for at du tok deg tid til å være med i dag. Dette har vært veldig morsomt.

Mackenzie Dysart: Takk for invitasjonen. Dette var flott.

Galen Low: Da har dere hørt det. Som alltid: Hvis du vil delta i samtalen med over tusen likesinnede forkjempere for prosjektledelse, kan du bli medlem og lære mer på thedigitalprojectmanager.com/membership. Hvis du likte det du hørte i dag, kan du abonnere og holde kontakten på thedigitalprojectmanager.com.

Til neste gang: Takk for at du lyttet.