Przewodnik cyfrowego kierownika projektu po prywatności

Przeczytaj transkrypcję:

Wypróbowujemy transkrypcję naszych podcastów za pomocą programu komputerowego. Prosimy o wyrozumiałość w przypadku literówek, ponieważ bot nie zawsze działa w 100% poprawnie.

Galen Low: Cześć wszystkim, dziękuję za dołączenie. Nazywam się Galen Low i reprezentuję The Digital Project Manager. Jesteśmy społecznością specjalistów cyfrowych, której celem jest pomaganie sobie nawzajem w zdobywaniu umiejętności, pewności siebie i kontaktów, abyśmy mogli zwiększać wartość zarządzania projektami w cyfrowym świecie. Jeśli chcecie dowiedzieć się więcej, odwiedźcie stronę thedigitalprojectmanager.com/membership.

Dzisiaj rozmawiamy o prywatności i o tym, jak my, cyfrowi kierownicy projektów, musimy uwzględniać w naszych projektach najnowsze zmiany technologiczne i prawne dotyczące prywatności. Dołącza do mnie jedna z naszych ekspertek w społeczności zarządzania projektami cyfrowymi oraz dyrektorka ds. realizacji projektów w Thoughtworks, Mackenzie Dysart.

Mackenzie, dziękuję, że jesteś dziś ze mną.

Mackenzie Dysart: Dziękuję za zaproszenie. Bardzo cieszę się na naszą dzisiejszą rozmowę.

Galen Low: Ja również. Drodzy słuchacze, Mackenzie i ja współpracujemy od lat i właśnie zdałem sobie sprawę, że chyba nigdy nie gościłem jej w podcaście. Pomyślałem więc: zmieńmy to.

I właśnie to dziś robimy. Dla tych, którzy cię nie znają — rozmawialiśmy o tym przed nagraniem — zawsze podejmujesz się najtrudniejszych wyzwań, takich, które przypominają wtaczanie kuli pod górę. Byłaś orędowniczką dostępności, a teraz stałaś się także orędowniczką prywatności w projektach cyfrowych, zarówno w swojej pracy, jak i w naszej społeczności.

Twoja specjalność to więc trudne wyzwania, w których trzeba ludzi przekonać i skłonić ich do działania.

Mackenzie Dysart: Trudne, trudne, cytrynowo trudne. Tak właśnie działam.

Galen Low: Najmniej seksowne obszary zarządzania projektami — proszę, zajmij się właśnie nimi.

Mackenzie Dysart: Jestem do dyspozycji.

Galen Low: Uwielbiam to.

Mówiłaś, że prywatność po prostu się pojawiła. Wkroczyła do gry, a ty chyba nie dążyłaś do tego aktywnie?

Mackenzie Dysart: Powiedzmy, że wskoczyłam w ten temat. Od dwóch i pół roku pracuję z moim klientem. Około rok temu powiedzieli: „Dobrze, projekt i strumień programu, nad którym pracujesz, zamienimy na coś innego. Pora przejść do kolejnego zadania”, co zawsze jest ekscytujące.

Ale potem dodali: „Prywatność potrzebuje wsparcia. Dużo się tam dzieje. Nie mają żadnego procesu. Nie wiedzą, jak współpracować z zespołem produktowym. Potrzebują pomocy”. Odpowiedziałam: „Dobrze”. I tak minął rok, podczas którego uczyłam się wszystkiego o prywatności. To onieśmielające, ale podobnie jak w przypadku dostępności — to po prostu właściwe postępowanie wobec ludzi.

Ważne jest, abyśmy rozumieli wartość i korzyści, a nie postrzegali tego wyłącznie jako kwestii przepisów. Chodzi o właściwe traktowanie ludzi i ich ochronę. Czasami grzęźniemy w przekonaniu, że „to trudne”, zamiast przywołać przykłady i historie pokazujące, dlaczego te kwestie mają znaczenie.

Dużo się nauczyłam. Pracuję z bardzo mądrymi ludźmi, choć oczywiście także z osobami wymagającymi. Odbywają się trudne rozmowy, ale ostatecznie zawsze budujemy lepszy produkt, lepszy projekt i lepszą usługę dla użytkowników końcowych. To właśnie jest wzgórze, na którym zwykle gotowa jestem umrzeć: róbmy to, co słuszne dla użytkowników końcowych i ludzi.

Dlatego prywatność w końcu dopadła mnie tak samo jak dostępność. Jestem gotowa rozmawiać o prywatności, o tym, dlaczego ma znaczenie i dlaczego powinniście się nią przejmować.

Galen Low: Naprawdę to uwielbiam, bo jest to szlachetna sprawa. Pracowałem przy projektach, w których prywatność była przede wszystkim odhaczaniem kolejnych pól.

To ogromny ból i nikt nie chce się tym zajmować. Ludzie chcą tylko pozbyć się odpowiedzialności. Nie chodzi tyle o doświadczenie użytkownika, ile o ograniczenie ryzyka. Podoba mi się jednak twoje ujęcie: wszystkie te działania mają tworzyć lepsze doświadczenia i właściwie traktować użytkowników.

Myślę, że to bardzo interesujące. W rozmowach, w których uczestniczyłem, dane i prywatność rzeczywiście znajdują się dziś bardziej na pierwszym planie. Przechowywanie danych nie jest niczym nowym, podobnie jak dane umożliwiające identyfikację osoby. Wyczuwam jednak wzrost znaczenia prywatności, poprawnego jej uwzględniania oraz odpowiednich procesów.

Znaczenie ma także wbudowywanie tych kwestii w tworzone przez nas rozwiązania, zwłaszcza cyfrowe. Poza tym jestem laikiem.

Czy możesz wyjaśnić, czym prywatność danych różni się dziś od sytuacji sprzed pięciu czy dziesięciu lat? Jakie są najważniejsze czynniki powodujące te różnice?

Mackenzie Dysart: Dziesięć lat temu martwiliśmy się głównie o wycieki danych. Zastanawialiśmy się, gdzie znajdują się dane umożliwiające identyfikację osoby, gdzie je przechowujemy i czy są odpowiednio chronione. Na tym w zasadzie kończyły się przepisy dotyczące prywatności. Następnie, chyba w 2016 roku, pojawiło się RODO — ogólne rozporządzenie o ochronie danych.

Galen Low: Ogólne rozporządzenie o ochronie danych.

Mackenzie Dysart: Powinnam to wiedzieć, ale był to pierwszy akt prawny, który mówił, że ludzie powinni mieć kontrolę nad tym, co śledzi się na ich temat w internecie. Dotyczyło to przede wszystkim stron internetowych.

Wtedy zaczęły pojawiać się znane nam banery dotyczące plików cookie. Dziś już prawie ich nie zauważamy, bo są tak powszechne. Każdy korzysta z plików cookie i musimy wyrazić zgodę na ich używanie. Był to pierwszy krok w kierunku uznania, że działania ludzi i ich aktywność mają znaczenie, a oni sami powinni mieć kontrolę, możliwość wyrażenia zgody, wiedzę o tym, co dzieje się z ich danymi, oraz wybór.

Później, w 2020 roku, pojawiła się kalifornijska ustawa o ochronie prywatności, a w 2021 roku CPRA, czyli kolejny akt prawny w Stanach Zjednoczonych. Coraz częściej widzimy nowe przepisy wprowadzane przez poszczególne stany USA. Wielka Brytania i Unia Europejska są bardziej zaawansowane pod względem ochrony oraz regulacji obowiązujących szerzej, co ułatwia ich rozumienie i stosowanie. Australia ma własne przepisy, a Kanada również wprowadza kolejne regulacje. Kanadyjska ustawa nazywa się chyba PIPEDA.

Galen Low: PIPEDA, tak.

Mackenzie Dysart: Wszystkie te zabawne skróty. Nowe przepisy chroniące dane ludzi pojawiają się regularnie. Wynika to ze sposobu, w jaki jako społeczeństwo wykorzystujemy dziś dane. Dawniej chodziło głównie o to, aby dane ludzi nie wyciekły i nie doprowadziły do kradzieży tożsamości. Dziś istnieje znacznie więcej powodów, aby ostrożnie obchodzić się z danymi.

Dość często przywołuje się przykład CVS. Pewna nastolatka wyszukiwała w internecie różne informacje, a następnie CVS wysłało jej kupon na produkty prenatalne lub artykuły dla niemowląt, w ten sposób ujawniając jej ojcu, że jest w ciąży. Firma uznała, że ktoś w tym gospodarstwie domowym szuka takich produktów, że nie są to dane wrażliwe, i po prostu je wysłała. To nie jest właściwe.

Wszyscy myślą o tym przykładzie, ale dziś musimy także uwzględniać technologie śledzenia oraz narzędzia, z których korzystamy. Istnieje historia dotycząca samochodu — chyba wyprodukowanego przez Mercedesa — w której doszło do rozwodu. Kobieta otrzymała samochód, ale jej były partner nadal miał dostęp do śledzenia pojazdu i nie można było tego wyłączyć. Powstał więc problem bezpieczeństwa: nie mogła znaleźć się nigdzie bez wiedzy byłego partnera, ponieważ nie dało się odebrać mu dostępu do samochodu z powodu sposobu zaprojektowania systemów.

Budując coraz inteligentniejsze technologie, gromadzimy dodatkowe dane o ludziach. Pojawia się więc pytanie, co z nimi robimy. Spójrzmy na dane dotyczące zdrowia i konsekwencje przekazywania ich między stanami. Zmieniło się nawet pojęcie danych umożliwiających identyfikację osoby. Początkowo były to imię, adres, numer telefonu czy kod pocztowy.

Dziś używamy szerszego pojęcia informacji wrażliwych, obejmujących wszystko, co dotyczy danej osoby: rasę, płeć, a także dane biometryczne. Zdjęcie twarzy jest obecnie informacją biometryczną. Nigdy wcześniej nie myślałam o tym, że przesłanie zdjęcia profilowego na platformę oznacza przekazanie informacji biometrycznej, którą można potem wykorzystać do dopasowania twarzy do innych treści w internecie.

Nigdy nie byłam szczególnie zaniepokojona prywatnością w internecie. Dorastałam w czasach, gdy początkowo byłam bardzo ostrożna i miałam mnóstwo fikcyjnych nazw na Hotmailu, a potem po prostu uznałam, że od tej pory będę w internecie sobą. Z jakiegoś powodu przestałam się tym przejmować.

W internecie znajduje się jednak ogromna ilość informacji. Ludzie mogą łączyć fakty i odnajdywać kolejne dane. Dziś lepiej rozumiem, jak systemy wykorzystują informacje, jak mogą je udostępniać i sprzedawać. Najczęściej, gdy czujemy dyskomfort związany z wykorzystaniem naszych danych, myślimy o Cambridge Analytica i podobnych sytuacjach: „Twoją aktywność na Facebooku wykorzystamy do manipulowania tobą i zdobycia dodatkowych informacji”.

Powstaje wiele przepisów, które mają temu zapobiegać, chronić ludzi oraz umożliwiać im wyrażanie zgody i kontrolowanie własnych doświadczeń. Prawdopodobnie jeszcze nieraz dziś o tym porozmawiamy, ale ostatecznie uważam, że wszystkie te przepisy mają przywrócić kontrolę użytkownikom końcowym, zamiast pozwalać nam arbitralnie podejmować decyzje za innych.

Galen Low: To właśnie uważam za bardzo interesujące. Wskazałaś dwa ważne punkty. Po pierwsze, technologia się rozwija, staje się spersonalizowana i wygodna, a ceną za to jest zazwyczaj przekazywanie danych i wiedzy o użytkowniku. Po drugie, rośnie świadomość. Dziesięć lat temu wyciek danych mógł dotyczyć firmy obsługującej karty kredytowe. Ktoś uzyskał dostęp do numerów kart i mówiliśmy: „Tak, to może się zdarzyć”. Dziś prywatność jest znacznie ważniejszym elementem rozmowy.

Kolejnym krokiem jest przywrócenie kontroli osobom, od których pochodzą dane, a także zwiększanie przejrzystości i świadomości sposobu ich wykorzystywania. Zgadzam się, że sprzedaż danych wywołuje największy dyskomfort.

Wspomniałaś o zdjęciach. Spotkałem narzędzia, które łączą profile społecznościowe, aby sprawdzić, czy dana osoba rzeczywiście jest sobą, a nie inną Mackenzie Dysart. Wykorzystują odrobinę rozpoznawania twarzy, porównując różne zdjęcia tej samej osoby. To bardzo głębokie zastosowanie danych — nie tylko prosta ekonomia kupowania i sprzedawania informacji, ale także wbudowywanie przetwarzania danych w funkcje i szersze doświadczenie użytkownika.

Ludzie mogą rozumieć, że podanie adresu e-mail prawdopodobnie spowoduje otrzymywanie promocyjnych biuletynów, być może od osoby trzeciej, ale konsekwencje mogą być znacznie głębsze.

Mackenzie Dysart: Zdecydowanie. Interesująca jest również ilość danych, które przekazujemy o innych osobach. To mogłaby być osobna rozmowa.

Galen Low: Z perspektywy projektu nie mamy przecież nieskończonego czasu ani budżetu, aby wiedzieć wszystko o prywatności danych. Rozmawialiśmy wcześniej o procesie i ramach działania. Myślę o projektach cyfrowych: stronach internetowych, aplikacjach, rzeczywistości rozszerzonej, grach wideo i podobnych rozwiązaniach. Czy każdy projekt cyfrowy musi dziś uwzględniać prywatność danych? Jakie ryzyko wiąże się z jej pominięciem?

Mackenzie Dysart: Krótka odpowiedź brzmi: tak. Każdy projekt powinien uwzględniać prywatność danych. Dłuższa odpowiedź: kluczowe jest zrozumienie, jakie dane o ludziach gromadzimy.

Jeśli weźmiemy na przykład strony internetowe, mamy dwie strony tego zagadnienia. Pierwsza to użytkownicy nieuwierzytelnieni i niezalogowani, wobec których śledzimy głównie pliki cookie i sesje. To doświadczenie związane z RODO, które znamy najlepiej, oraz rozumienie tego, na co użytkownik wyraża zgodę.

Warto pamiętać, że każdy kraj ma inne zasady dotyczące banerów cookie i tego, co dzieje się, gdy użytkownik nie kliknie banera. W Stanach Zjednoczonych, jeśli ktoś kliknie poza banerem, zamknie go i naciśnie znak X, można uznać to za zgodę dorozumianą i gromadzić pliki cookie.

W RODO tak nie jest. W Kanadzie również. Dlatego trzeba rozumieć wszystkie regiony, w których działamy, ich konsekwencje oraz zasady i procesy prawne, których musimy przestrzegać, aby zachować możliwie największą zgodność. Trzeba też mieć wewnętrzny proces na wypadek dodania nowego piksela lub pliku śledzącego do strony. Należy sprawdzić, czy został dodany do systemu śledzenia plików cookie, określić, czy jest wymagany, czy zbędny, a następnie prawidłowo go sklasyfikować.

To najprostszy przykład. Jeśli mamy uwierzytelnionych, zalogowanych użytkowników, musimy wiedzieć, co robimy ze wszystkimi danymi na ich temat i dokąd te dane trafiają. Sprzedaż danych nie oznacza wyłącznie pobrania danych i sprzedania ich innej firmie za pieniądze. Prawna definicja obejmuje transfer danych z jednego systemu do drugiego, który w pewnym momencie przynosi korzyść finansową.

Może to być przesłanie danych z bazy do narzędzia analitycznego, segmentacyjnego, systemu zarządzania relacjami z klientami, a następnie wykorzystanie ich do wysyłania wiadomości marketingowych i sprzedaży produktu. To również jest proces sprzedaży danych, nawet jeśli korzystamy wyłącznie z własnych systemów.

Musimy więc wiedzieć, gdzie dane są przechowywane, dokąd trafiają i jak je przenosimy. Czy są anonimowe? Czy są szyfrowane? Czy po przekazaniu ich do kolejnego systemu nadal potrzebujemy danych umożliwiających identyfikację osoby, czy możemy wysłać wyłącznie dane zbiorcze?

Najważniejsze są trzy pojęcia: informacja, zgoda i kontrola. Informacja oznacza przekazanie wiedzy o tym, co się dzieje i co wydarzy się po dokonaniu określonego wyboru. Zgoda to zapis decyzji podjętej przez daną osobę. Kontrola oznacza możliwość zmiany tej decyzji. Nie można uzyskać zgody bez wcześniejszego przekazania informacji. Kontrola jest najlepszą praktyką i warto pamiętać o tych trzech elementach w każdym projekcie.

Galen Low: Kiedy tego słucham, z tyłu głowy pojawia mi się myśl: „To brzmi drogo”. Wyobrażam sobie platformy pomagające organizacjom zarządzać i kategoryzować danymi, oznaczać dane jako umożliwiające identyfikację lub anonimowe, a także przygotowywać komunikaty dotyczące informacji i kontroli. Jeśli ktoś poprosi o usunięcie danych, czy ktoś musi ręcznie odnaleźć je we wszystkich systemach i skasować? Czy to oznacza osobną pozycję w budżecie?

Mackenzie Dysart: Może tak być. Organizacja musi zdecydować, jak będzie zarządzać danymi. Jeśli jesteś organizacją produktową i pracujesz z wieloma rodzajami danych, trzeba to ustalić.

Wczesne uwzględnienie prywatności, kwestii prawnych, zgodności i bezpieczeństwa jest tańsze, ponieważ budujemy procesy od początku, zamiast później ustalać, gdzie trafiają dane i jak odciąć dostęp po wycofaniu zgody. W przypadku zgody na pliki cookie istnieją narzędzia oferowane jako usługa, które wykonują dużą część pracy na stronie.

W moim obecnym projekcie część działań jest automatyczna, ale mamy też własne dane. Musieliśmy zbudować automatyczny proces obsługi wniosków o dostęp do danych lub ich usunięcie. Niektóre systemy wymagają jednak ręcznego usuwania, ponieważ nie są ze sobą połączone.

To trudne i wymaga pracy, ale jest łatwiejsze, jeśli od początku projektujemy rozwiązanie z myślą o prywatności. Nie zawsze da się osiągnąć pełną zgodność w dniu uruchomienia, ale można budować w sposób, który ułatwi osiągnięcie zgodności i zabezpieczy rozwiązanie na przyszłość. Najważniejsze jest, aby zacząć wcześnie i konsekwentnie pracować nad poprawą.

Galen Low: To przypomina dostępność. Nie powinniśmy traktować prywatności jako dodatkowej pozycji w budżecie. Tak jak responsywność i dostępność, powinna być częścią całego procesu: projektu, technologii i testów. Prywatność staje się oczekiwaniem i elementem rozmowy.

Apple promuje prywatność jako cechę produktu. Organizacje, które rozumieją prywatność, będą więc atrakcyjnymi partnerami dla klientów. Jeśli myślę jak kierownik projektu, pojawia się pytanie: jaka jest rola cyfrowego kierownika projektu w ochronie prywatności danych? Czy mamy zostać głównymi specjalistami ds. prywatności w projektach, czy wystarczy świadomość informacji, zgody i kontroli?

Mackenzie Dysart: Bycie głównym specjalistą ds. prywatności byłoby chyba najbardziej przerażającą i stresującą pracą, ponieważ wymagałoby podejmowania wielu decyzji opartych na ryzyku. Kierownik projektu nie musi być ekspertem od czytania kodu, wyboru wtyczek czy zestawów testów. Musi rozumieć, że prywatność ma znaczenie i trzeba ją uwzględniać.

Najważniejsze jest wczesne uruchomienie odpowiednich procesów. Jeśli w organizacji działa zespół prawny lub osoby zajmujące się prywatnością, należy zaangażować je od początku, zwłaszcza gdy pojawiają się nowe rodzaje danych użytkowników.

Jeśli zaczynamy gromadzić wzrost i masę ciała klientów w związku z wejściem w obszar fitness, trzeba zapytać, jakie są tego konsekwencje. Możemy odkryć, że istnieją przepisy dotyczące danych zdrowotnych. Warto mieć partnera, z którym można to skonsultować.

Najważniejsze sygnały ostrzegawcze to nowe dane użytkowników oraz nowe wykorzystanie już posiadanych danych. Trzeba ustalić, dokąd dane trafią, jak dodać je do procesu usuwania, jak je chronić i jakie są wymogi zgodności. Sygnałem jest także rozpoczęcie korzystania ze sztucznej inteligencji lub uczenia maszynowego na podstawie danych użytkowników.

Zawsze należy przeprowadzać przeglądy bezpieczeństwa, kwestii prawnych i prywatności. Jeśli organizacja nie ma takiego procesu, trzeba dowiedzieć się dlaczego i znaleźć partnera, który pomoże go stworzyć. Współpraca z zespołem prawnym powinna rozpocząć się wcześnie, aby można było zaplanować ewentualne zmiany, zamiast wracać do wcześniejszych etapów projektu. Im wcześniej zaangażowane są odpowiednie osoby, tym prostszy będzie projekt w dłuższej perspektywie.

Galen Low: To często trudne, zwłaszcza w agencjach, gdzie ludzie obawiają się dodatkowych kosztów. Mówimy: „Zajmiemy się bezpieczeństwem i prywatnością później, będzie taniej”.

Mackenzie Dysart: Lepiej zaprosić wszystkich na początku. Nie muszą uczestniczyć przez cały czas. Budujemy zespół i włączamy wszystkich do pracy. Później mogą odpocząć, ale wszyscy muszą płynąć tą samą łodzią w tym samym kierunku.

Galen Low: Podoba mi się to ujęcie, bo mówimy o ekosystemie ludzi i technologii, który może obejmować różne organizacje. Trzeba wybierać dostawców, którzy również dbają o prywatność, rozumieć podejście klienta i budować wewnętrzną kulturę prywatności. Wszystkie elementy muszą się ze sobą łączyć.

W praktyce zespoły czasem próbują skracać procesy związane z prywatnością, aby ograniczyć koszty lub dotrzymać terminu. Jakich argumentów może użyć cyfrowy kierownik projektu?

Mackenzie Dysart: Po pierwsze, problemy znalezione późno są wykładniczo droższe w naprawie. Jeśli nie zbudujemy rozwiązania z myślą o prywatności, późniejsze zmiany będą trudniejsze, mniej eleganckie i bardziej ryzykowne. To najprostszy argument.

Można również mówić o ryzyku prawnym. W przypadku RODO maksymalna kara wynosi 20 milionów funtów lub 4% całkowitego światowego obrotu.

Galen Low: To bardzo dużo.

Mackenzie Dysart: To ogromne obciążenie finansowe. W wielu stanach USA kara wynosi około 7500 dolarów za każde indywidualne naruszenie. W przypadku pozwów zbiorowych kwota może bardzo szybko wzrosnąć. Niedawno w stanie Waszyngton pojawiły się przepisy dotyczące danych zdrowotnych, przewidujące 25 000 dolarów za każdą osobę, jeśli zostanie wykazana szkoda.

Istnieje również ryzyko biznesowe i reputacyjne. Ludzie coraz bardziej świadomie wybierają firmy, z którymi współpracują. Przepisy ciągle się zmieniają, zwłaszcza dotyczące nastolatków i mediów społecznościowych. Nawet społeczność na stronie internetowej lub w aplikacji może zostać uznana za media społecznościowe.

Prywatność w fazie projektowania, dostępność w fazie projektowania i bezpieczeństwo w fazie projektowania są kluczowe. Wymagają nieco więcej pracy na początku, ale w dłuższej perspektywie kosztują znacznie mniej. Nie zawsze trzeba osiągnąć pełną zgodność pierwszego dnia, ale warto zbudować zaplecze umożliwiające późniejsze zapewnienie użytkownikom kontroli, zmianę decyzji oraz wycofanie zgody.

Galen Low: Świadomość kulturowa prowadzi do zmian w prawie, a następnie do świadomych wyborów klientów. Organizacje będą wybierać dostawców, którzy traktują prywatność poważnie. Jeśli dostawca nigdy nie wspominał o prywatności, klient może uznać, że zmiana agencji będzie tańsza niż ryzyko pozwu.

Mackenzie Dysart: To zdecydowanie wartość dodana. Prywatność jest wymogiem biznesowym, nawet jeśli nie wspomniano o niej w zapytaniu ofertowym. Należy wyjaśnić klientowi, jak zostanie uwzględniona, jakie kroki zostaną podjęte i jakie najlepsze praktyki będą stosowane.

Nie trzeba od razu wiedzieć, jak wszystko zbudować. Trzeba wiedzieć, jak inteligentnie rozmawiać o prywatności, zadawać właściwe pytania i pilnować, aby była uwzględniana. Powinna być częścią budżetu, a nie dodatkiem. Tak jak projektowanie responsywnych stron stało się standardem, tak samo prywatność musi stać się standardem.

Galen Low: Porozmawiajmy o trudniejszych kwestiach. Mówiliśmy o etyce, szlachetnej sprawie i organizacjach, które chcą iść na skróty. Jak kierownicy projektów mogą tworzyć kulturę, w której zespół czuje się bezpiecznie, zgłaszając niepokojące działania?

Mackenzie Dysart: Przede wszystkim trzeba dawać przykład. Nie zawsze chodzi o formalne zgłaszanie naruszeń. Czasem wystarczy zapytać: „Co robimy? Dlaczego to robimy? Czy mamy zgodę? Czy naprawdę potrzebujemy tych danych, czy możemy podjąć decyzję na podstawie mniejszej ilości informacji?”

Kierownik projektu jest liderem zespołu. Jeśli zadaje pytania, które bywają niewygodne lub mogą sprawić, że nie wygląda na najbardziej kompetentną osobę w pokoju, inni również poczują się swobodniej. Zadawanie dziwnych pytań pozwala stworzyć przestrzeń bezpieczeństwa psychologicznego.

W organizacjach skoncentrowanych wyłącznie na kliencie warto pytać: „Czy powinniśmy to zrobić? Czy możemy zrealizować tę potrzebę w sposób bardziej przyjazny prywatności?” Trzeba też uczciwie mówić o ograniczeniach systemów i rekomendować właściwe rozwiązania.

Jeśli klient nie przyjmuje rekomendacji, należy udokumentować ryzyko i przekazać mu decyzję. To decyzja oparta na ryzyku, którą firma musi podjąć. Możemy przedstawić konsekwencje i mieć nadzieję, że klient zrobi właściwą rzecz.

Galen Low: To kwestia podejmowania decyzji nie tylko na podstawie tego, gdzie zarobimy najwięcej, lecz także tego, gdzie wywrzemy najbardziej wartościowy wpływ na użytkowników i ludzkość.

Mackenzie Dysart: Działanie oparte na celu.

Galen Low: Superbohater prywatności.

Mackenzie Dysart: Czy mogę dostać pelerynę z napisem „prywatność”?

Galen Low: To może być ryzykowne wyszukiwanie w Amazonie.

Mackenzie Dysart: Bardzo ryzykowne. Nie chcę wiedzieć, co by się pojawiło.

Galen Low: Wracając do organizacji, które nie przejmują się prywatnością: przepisy mają terminy wejścia w życie. Firmy czasem czekają do ostatniej chwili i nie mają już wystarczająco dużo czasu na zapewnienie zgodności. Czy organizacja, która jeszcze nie zaczęła myśleć o prywatności danych, jest już spóźniona?

Mackenzie Dysart: To niepokojące, ale wiele osób znajduje się w takiej sytuacji. Wiele zależy od rodzaju danych, które posiada organizacja, i ich wrażliwości. Zmiany są trudne, zwłaszcza w starszych systemach, które nie zostały zaprojektowane z myślą o prywatności.

W ramach RODO użytkownicy mogą składać wnioski o dostęp do danych, żądać ich sprostowania, otrzymać je w formacie możliwym do odczytu maszynowego oraz żądać usunięcia wszystkich danych z systemów firmy. Dla przedsiębiorstwa działającego od 10, 15 czy 20 lat, wykorzystującego wiele niepołączonych systemów, jest to skomplikowane.

Nie wolno jednak patrzeć na problem i uznać, że jest zbyt trudny. To prowadzi do bezczynności. Trzeba działać krok po kroku i wprowadzać małe, stopniowe usprawnienia. Organy regulacyjne często są bardziej wyrozumiałe, jeśli firma potrafi przedstawić plan poprawy sytuacji w ciągu 6, 12, 24 lub 36 miesięcy. Najważniejsze jest posiadanie takiego planu.

Istnieją również prawnicy, którzy szybko składają pozwy po wejściu w życie nowych przepisów. W Stanach Zjednoczonych poszczególne stany wprowadzają przepisy w różnym czasie, często o podobnej, lecz nie identycznej treści. To komplikuje sytuację.

Istnieją także starsze przepisy, które mogą znaleźć zastosowanie w cyfrowym świecie. Przykładem jest ustawa o ochronie prywatności nagrań wideo, zgodnie z którą historii wypożyczeń filmów nie można udostępniać bez zgody użytkownika. Prawnicy odkryli, że można ją stosować do pikseli śledzących filmy oglądane na Facebooku i YouTube. Firmy pozywano za to, że nie informowały o udostępnianiu historii oglądania innym systemom.

To pokazuje, że nowe technologie mogą podlegać zarówno nowym, jak i istniejącym od dawna przepisom. Czasami nie przewidujemy, że starsza ustawa będzie miała zastosowanie do nowego sposobu korzystania z danych.

Galen Low: Fascynujące jest zastosowanie prawa do nowych technologii. Kiedyś prywatność oznaczała pytanie, kto widzi historię wypożyczeń filmów, a dziś — czy były partner może śledzić moje położenie za pomocą samochodu, który kupiliśmy razem. Rozmowa rzeczywiście się zmieniła.

Mackenzie Dysart: Jest jeszcze jedna rzecz, której konsekwencji dotyczących prywatności nigdy wcześniej nie brałam pod uwagę: synchronizacja kontaktów z aplikacją. To świetna funkcja, ale kiedy synchronizujesz kontakty, aplikacja może otrzymać imię, numer telefonu i adres e-mail osoby, która nigdy nie wyraziła zgody na korzystanie z tej aplikacji.

Meta ma nawet sekcję pomocy wyjaśniającą, jak pozyskuje takie dane i jak można je usunąć, ale wiele firm nie ma odpowiednich systemów. To samo dotyczy synchronizowania kontaktów z urządzeniami Bluetooth. Dlaczego samochód ma teraz wszystkie twoje kontakty? To właśnie najbardziej mnie zaniepokoiło.

Galen Low: Koszmar.

Mackenzie Dysart: Przepraszam. Twoje imię może znajdować się w nie wiadomo ilu samochodach.

Galen Low: Mackenzie, ta rozmowa była niezwykle interesująca. Bardzo dużo się nauczyłem i sądzę, że nasi słuchacze również. Można by napisać o tym książkę. Może powinniśmy przygotować drugą część.

Jest tu wiele pytań, które warto zadawać, rzeczy, o których należy pamiętać, oraz kwestii związanych z rolą cyfrowych kierowników projektów i wszystkich osób pracujących przy projektach cyfrowych. To nie jest tylko odhaczanie pól. To szlachetna sprawa i działanie dla dobra wspólnego. Czasem trzeba kogoś przekonać, ale trudno argumentować przeciwko bezpieczeństwu danych osobowych dzieci albo przeciwko unikaniu pozwów.

Mackenzie Dysart: Dokładnie.

Galen Low: To również łatwy argument.

Mackenzie Dysart: Pamiętajmy o dzieciach.

Galen Low: Pamiętajmy o dzieciach i nie oddawajmy 4% światowego obrotu.

Mackenzie, jeszcze raz dziękuję za poświęcony czas. To była świetna rozmowa.

Mackenzie Dysart: Dziękuję za zaproszenie. Było wspaniale.

Galen Low: Dobrze, wszystkim, to już koniec. Jak zawsze, jeśli chcecie dołączyć do rozmowy z ponad tysiącem podobnie myślących osób zajmujących się zarządzaniem projektami, odwiedźcie stronę thedigitalprojectmanager.com/membership. Jeśli podobało wam się to, czego dziś słuchaliście, zasubskrybujcie podcast i pozostańcie z nami na stronie thedigitalprojectmanager.com.

Do następnego razu. Dziękuję za słuchanie.