En digital projektledares guide till integritet

Läs transkriptet:

Vi testar att transkribera våra poddar med ett program. Ha överseende med eventuella skrivfel eftersom roboten inte har rätt 100 procent av gångerna.

Galen Low: Hej allihop, tack för att ni lyssnar. Jag heter Galen Low och representerar The Digital Project Manager. Vi är en gemenskap av digitala yrkesverksamma med uppdraget att hjälpa varandra att utveckla våra färdigheter, bli säkrare och knyta kontakter, så att vi kan förstärka värdet av projektledning i en digital värld. Om du vill höra mer om det kan du gå till thedigitalprojectmanager.com/membership.

Okej, i dag pratar vi om integritet och om hur vi som digitala projektledare behöver ta hänsyn till de senaste förändringarna inom teknik och lagstiftning i våra projekt när det gäller integritet. Med mig i dag har jag en av våra egna experter inom den digitala projektledningsgemenskapen och leveransansvarig på Thoughtworks, Mackenzie Dysart.

Mackenzie, tack för att du är med i dag.

Mackenzie Dysart: Tack för att jag fick komma. Jag ser verkligen fram emot vårt samtal i dag.

Galen Low: Jag ser också fram emot det. För våra lyssnare har Mackenzie och jag arbetat tillsammans i flera år, och jag insåg plötsligt att jag aldrig hade haft med Mackenzie i podden under min ledning. Då tänkte jag: det måste vi ändra på.

Och i dag ändrar vi på det. För de lyssnare som inte känner dig: vi pratade precis om det i väntrummet. Du tar alltid dig an uppgifter som är som att rulla en boll uppför en backe, alltså riktigt svåra utmaningar. Du har varit en förkämpe för tillgänglighet och nu har du blivit en förkämpe för integritet i digitala projekt, både på din arbetsplats och i vår gemenskap.

Mackenzie Dysart: Svåra, svåra, citron-svåra. Det är mitt angreppssätt.

Galen Low: De minst glamorösa delarna av projektledning – ta ansvar för dem, tack.

Mackenzie Dysart: Jag är här för det.

Galen Low: Jag älskar det.

Du berättade att integritet liksom smög sig på. Det dök bara upp och du sökte dig inte aktivt till det?

Mackenzie Dysart: Vi kan säga att jag kastade mig in i det. Jag har arbetat med min kund de senaste två och ett halvt åren. För ungefär ett år sedan sade de: projektet och programspåret du har arbetat med ska bytas ut, så nu är det dags för dig att gå vidare till nästa sak, vilket alltid är spännande.

Men sedan sade de att integritetsområdet behövde stöd. Det var mycket på gång, de hade inga processer, visste inte hur de skulle samarbeta med produktteamet och behövde hjälp. Så jag tänkte: okej. Sedan dess har jag tillbringat ett år med att lära mig allt om integritet. Det är skrämmande, men precis som med tillgänglighet handlar det helt enkelt om att göra rätt för människor.

Jag tycker att det är viktigt att förstå värdet och fördelarna. Det handlar inte bara om lagar, eller hur? Det handlar om att göra rätt mot människor och skydda dem. Ibland fastnar vi i att något är svårt, i stället för att tänka på exemplen och berättelserna som visar varför det spelar roll.

Jag har lärt mig mycket. Jag får arbeta med väldigt smarta människor och även med vissa utmanande personer. Svåra samtal äger rum, men i slutändan bygger man alltid en bättre produkt, ett bättre projekt och en bättre tjänst för slutanvändarna. Det är vanligtvis den kulle jag är beredd att dö på: låt oss göra rätt för slutanvändarna och människorna.

Så naturligtvis hamnade jag mitt i det, precis som med tillgänglighet. Här är vi nu. Jag är redo att prata om integritet, varför det spelar roll och varför du bör bry dig.

Galen Low: Ärligt talat älskar jag det, eftersom det verkligen är en ädel sak. Jag har definitivt arbetat i projekt där det mest har handlat om att kryssa i en ruta.

Det är en stor plåga och ingen vill egentligen göra det. Man vill bara bli av med ansvaret, eller hur? Det handlar inte så mycket om användarupplevelsen som om att minska ansvarsriskerna. Men jag gillar den inramningen: att allt detta handlar om att skapa bättre upplevelser och göra rätt mot användarna.

Jag tycker att det är väldigt intressant. I de samtal jag har deltagit i, och det låter som att det gäller dig också, står dataintegritet mer i centrum nu. Att lagra data är inget nytt, och personuppgifter är inte heller något särskilt nytt. Men jag har märkt en utveckling i hur viktigt det är med integritet, att göra rätt och att ha processer.

Hur vi bygger in detta i det vi skapar, särskilt våra digitala lösningar. Men därutöver är jag okunnig. Kan du berätta hur dataintegritet skiljer sig i dag jämfört med för fem eller tio år sedan? Vilka är de viktigaste faktorerna bakom skillnaderna?

Mackenzie Dysart: För tio år sedan var vi främst bekymrade över dataintrång. Vi ville veta var personuppgifterna fanns, var vi lagrade dem och hur vi skulle skydda dem. Det var i princip vad lagarna om dataintegritet handlade om.

Sedan kom dataskyddsförordningen, GDPR, år 2016. Det var den första lagstiftningen som tydligt sade att människor borde ha kontroll över vad som spåras om dem på nätet. Det påverkade framför allt webbplatser.

Det var början på de cookie-banderoller som vi alla känner till och numera knappt reagerar på, eftersom de finns överallt. Alla använder kakor och vi måste samtycka till att de används för spårning. Det var det första steget mot att säga att människors handlingar och aktiviteter spelar roll, att de ska ha kontroll och kunna samtycka, förstå vad som händer med deras data och ha valmöjligheter.

Därefter kom Kaliforniens lagstiftning om konsumentskydd och dataskydd. Vi började se ny lagstiftning delstat för delstat i USA. Storbritannien och EU ligger längre fram när det gäller skydd och har mer övergripande regler som är enklare att förstå och tillämpa. Australien har sina egna lagar och Kanada utvecklar också sin lagstiftning.

Det kommer regelbundet nya lagar för att skydda människors data. Det beror på hur vi som samhälle använder data. Tidigare handlade det främst om att förhindra identitetsstölder. Nu finns det många fler skäl att vara försiktig med data.

Ett vanligt exempel handlar om ett apotek där en tonårsflicka sökte efter information på nätet. Apoteket skickade sedan kuponger för graviditets- och babyprodukter, vilket i praktiken avslöjade för hennes pappa att hon var gravid. De antog att någon i hushållet sökte efter detta och att informationen inte var känslig. Det är inte okej.

När vi bygger smartare teknik samlar vi in mer information om människor. Då måste vi fråga oss vad vi gör med den. Vi behöver tänka på hälsodata och vad det innebär när sådan information delas mellan olika regioner. Även begreppet personuppgifter har förändrats. Tidigare tänkte man på namn, adress, telefonnummer och postnummer.

Nu används bredare begrepp för känslig information, alltså sådant som rör vem du är som individ: etnicitet, kön och biometriska uppgifter. Ett foto av ditt ansikte kan vara biometrisk information. När du laddar upp en profilbild till en plattform kan den användas för att matcha ditt ansikte mot annat material på internet.

I grunden handlar alla dessa lagar om att ge kontrollen tillbaka till slutanvändaren i stället för att vi godtyckligt fattar beslut åt människor.

Galen Low: Det är det jag tycker är så intressant. Tekniken utvecklas, blir mer personlig och bekväm, och priset för det är ofta data – att företag vet saker om dig. Samtidigt har medvetenheten ökat. För tio år sedan pratade man om dataintrång som något som kunde drabba ett kreditkortsföretag. Nu är det en mycket större del av samtalet.

Hur kan vi återföra kontrollen till de människor som är källorna till uppgifterna? Hur kan vi fortsätta att skapa transparens och medvetenhet kring hur data används? Att få sin data såld är kanske den vanligaste diskussionen om integritet.

Men det går djupare än att köpa och sälja data. Datahantering kan byggas in i funktioner och vävas in i en större upplevelse. Medvetenheten är ett spektrum. Om jag lämnar ut min e-postadress kanske jag förväntar mig reklamutskick, men dataanvändningen kan gå mycket längre.

Mackenzie Dysart: Mycket längre. Mängden data du lämnar ut om andra människor är också intressant. Det skulle kunna vara ett helt annat samtal.

Galen Low: Ur ett projektperspektiv har vi inte oändligt med tid eller pengar för att förstå allt om dataintegritet. Men vi pratade tidigare om processer och att ha någon form av ramverk. Behöver varje digitalt projekt nu ta hänsyn till dataintegritet – webbplatser, appar, förstärkt verklighet och spel? Vilken är risken med att inte bygga in integritet i ett digitalt projekt?

Mackenzie Dysart: Det korta svaret är ja. Allt bör ta hänsyn till dataintegritet. Det längre svaret är att det är avgörande att förstå vilka datapunkter du samlar in om människor.

För webbplatser finns det två sidor. Först har vi icke-autentiserade användare som inte är inloggade, där vi främst spårar kakor och sessioner. Där behöver vi förstå GDPR-upplevelsen och vilket samtycke som kan lämnas som standard.

Varje land har olika regler för vad som händer om någon inte klickar på en cookiebanner. I USA kan man exempelvis ibland anta att samtycke har lämnats om någon klickar utanför bannern eller stänger den. Så fungerar det inte enligt GDPR eller i Kanada. Därför måste du förstå alla regioner där du verkar, vilka effekterna är och vilka regler och juridiska processer du behöver följa.

Du behöver också ha en intern process för varje ny spårningspixel eller cookie. Hur kontrollerar du att den finns i systemet och är definierad som nödvändig eller valfri? Det är den enklaste platsen att börja.

Om användarna är autentiserade och inloggade måste du förstå vad du gör med all information om dem och vart den skickas. Att sälja data betyder juridiskt inte nödvändigtvis att du bokstavligen säljer informationen för pengar. Det kan innebära att data överförs från ett system till ett annat och på sikt skapar ekonomisk nytta.

Det kan vara en överföring från en databas till ett analysverktyg, ett kundrelationssystem och sedan ett marknadsföringsverktyg. Även om allt tillhör samma organisation är det fortfarande en dataöverföring. Därför måste vi förstå var data lagras, vart den skickas och hur den flyttas. Är den anonymiserad? Är den krypterad? Behöver vi verkligen skicka personuppgifter, eller räcker det med sammanställd information?

Tre viktiga begrepp är information, samtycke och kontroll. Information innebär att du berättar vad som händer och vad som kommer att hända om personen gör ett visst val. Samtycke är själva registreringen av personens beslut. Kontroll är möjligheten att ändra beslutet. Dessa tre delar är bra att ha i åtanke under hela projektet.

Galen Low: När du beskriver detta tänker jag att det låter dyrt. Jag föreställer mig plattformar som hjälper organisationer att hantera och kategorisera data, avgöra var den skickas och formulera informationen till användarna. Och om någon ber att få sina uppgifter raderade – är det då någons jobb att hitta uppgifterna i alla system och ta bort dem?

Mackenzie Dysart: Det kan absolut bli en budgetpost. Om du är en produktorganisation och hanterar många olika sorters data måste du bestämma hur den ska hanteras. Att tänka på integritet, juridik, efterlevnad och säkerhet tidigt är mindre kostsamt, eftersom du bygger processerna från början i stället för att i efterhand försöka hitta vart all data har tagit vägen.

Det finns tjänster för samtycke till kakor, men det beror på teknikstacken och hur systemen är byggda. I vissa fall kan saker automatiseras, medan andra system kräver manuella steg för att hantera begäran om tillgång till eller radering av personuppgifter.

Det är inte enkelt, men det blir enklare om du bygger med detta i åtanke. Du kanske inte kan vara helt efterlevande på lanseringsdagen, men du kan bygga på ett sätt som gör det möjligt att bli efterlevande och framtidssäker senare. Tänk på det tidigt, fortsätt arbeta med det och bygg med integritet som grund.

Galen Low: Det liknar tillgänglighet. Man lägger inte till en särskild skatt längst ned i budgeten för att göra en webbplats responsiv. Det måste vävas in i design, teknik och testning. Jag tänker att samma sak gäller integritet. Det är en kvalitetsaspekt och en del av det normala arbetet.

Mackenzie Dysart: Precis. Det är inte ett tillval. Det är en del av hur man bygger digitala produkter.

Galen Low: Vilken är då den digitala projektledarens roll i dataintegritet? Måste vi bli integritetsansvariga för våra projekt, eller handlar det mer om medvetenhet, information, samtycke och kontroll?

Mackenzie Dysart: Som digital projektledare behöver du inte vara expert på kod, insticksprogram eller testsviter. Du behöver förstå att integritet spelar roll och att den måste beaktas. Det viktigaste är att lyfta frågan tidigt och se till att rätt personer involveras.

Om det finns ett juridikteam eller personer med ansvar för integritet bör de involveras tidigt, särskilt när projektet börjar samla in nya typer av användardata. Om ni till exempel vill samla in längd och vikt för en träningsprodukt måste ni förstå vilka lagar som gäller för hälsodata.

Det är viktigt att ha en partner som du kan stämma av med. Några tydliga varningssignaler är ny användardata och nya användningsområden för befintlig data. När sådant kommer upp bör du fråga: vart ska datan skickas, hur skyddas den och hur tas den bort?

Den stora frågan i dag är dessutom artificiell intelligens. Om ni börjar använda AI eller maskininlärning baserat på användardata måste ni förstå vad det innebär. De två viktigaste frågorna är: samlar vi in ny data, eller gör vi något nytt med den data vi redan har?

Involvera alltid säkerhet, juridik och integritet i granskningar. Om ni arbetar på en byrå och inte har dessa funktioner internt bör ni samarbeta med kunden för att hitta rätt personer. Involvera juridiken tidigt. Då kan ni planera för eventuella krav i stället för att upptäcka dem sent och behöva gå tillbaka i projektet.

Galen Low: Det är en konst i sig att få människor att delta tidigt, särskilt på en byrå där man kanske tänker att säkerhets- och integritetsfrågor kan tas senare.

Mackenzie Dysart: Börja med att samla alla runt bordet. De behöver inte vara med hela tiden, men alla måste vara på samma båt och arbeta mot samma mål.

Galen Low: Det handlar om ett ekosystem av människor och teknik, ibland från flera organisationer. Man måste välja leverantörer som bryr sig om integritet, förstå kundens inställning och ha en intern integritetskultur. Annars finns risken kvar.

Men ibland vill team, kunder eller sponsorer ta genvägar för att hålla kostnaderna nere eller leverera i tid. Vilka argument kan en digital projektledare använda?

Mackenzie Dysart: Det vanligaste argumentet är att problem som upptäcks sent är exponentiellt dyrare att åtgärda. Om du inte bygger med integritet i åtanke från början blir lösningen ofta mer komplicerad, mindre ren och mer riskfylld.

Det finns också juridiska och ekonomiska risker. GDPR kan innebära mycket stora sanktionsavgifter, och många amerikanska delstatslagar kan medföra ersättning per individuell överträdelse. Det kan snabbt bli mycket pengar i grupptalan.

Det finns dessutom affärsrisker och anseenderisker. Människor blir mer medvetna om integritet och kan välja bort företag som inte hanterar data ansvarsfullt. Lagarna förändras också hela tiden.

Därför är principerna integritet genom design, tillgänglighet genom design och säkerhet genom design avgörande. Det innebär visserligen mer arbete i början, men mycket lägre kostnader på lång sikt. Du kanske inte kan göra allt helt efterlevande dag ett, men du kan bygga en teknisk grund som gör att användarna senare kan ändra sig, välja bort eller radera sina uppgifter.

Galen Low: Medvetenheten driver utvecklingen av lagar, och människor börjar rösta med sina pengar. Organisationer kommer att välja leverantörer som tar integritet på allvar.

Mackenzie Dysart: Det är ett stort mervärde. Alla behöver ta hänsyn till detta nu. Även om det inte uttryckligen står i en offertförfrågan bör man beskriva hur integritet byggs in i arbetet och vilka bästa metoder som används.

Det är inte svårt att förstå huvudtemana. Du behöver inte veta exakt hur lösningen ska byggas. Du behöver kunna prata intelligent om frågan, ställa rätt frågor och se till att den inte glöms bort.

Galen Low: Hur skapar vi en teamkultur där människor känner sig trygga med att säga ifrån när de ser något oroande?

Mackenzie Dysart: Led genom exempel. Det handlar inte alltid om att slå larm, utan om att ställa frågor: Har vi samtycke? Bör vi göra detta? Behöver vi verkligen den datapunkten, eller kan vi fatta beslutet med mindre data?

Som projektledare är du teamets ledare. Om du ställer frågor som ibland känns obekväma blir det lättare för andra att göra samma sak. Psykologisk trygghet är avgörande. Teamet måste kunna fråga om integritet utan rädsla.

Var ärlig och transparent med begränsningarna. Ibland finns inte systemen som krävs och då måste man ta det steg för steg. Om kunden inte lyssnar bör du dokumentera risken och din rekommendation. Därefter är det företagets riskbaserade beslut.

Galen Low: Så det handlar om att välja var man kan skapa värdefull påverkan för användare och mänskligheten, inte bara var man tjänar mest pengar.

Mackenzie Dysart: Precis, att drivas av ett syfte.

Galen Low: En integritetssuperhjälte.

Mackenzie Dysart: Kan jag få en mantel där det står integritet?

Galen Low: Det låter som en sökning på Amazon som kan gå fel.

Mackenzie Dysart: Ja, det kan gå väldigt fel.

Galen Low: Om en organisation ännu inte har börjat arbeta med efterlevnad – är det redan för sent?

Mackenzie Dysart: Det är oroande, men många befinner sig där. Det beror på vilken typ av data organisationen har. Äldre system byggdes inte med dagens krav i åtanke, och ju senare man agerar desto dyrare blir det.

Användare kan ha rätt att få veta vilka uppgifter ett företag har om dem, få felaktiga uppgifter rättade och få sina uppgifter raderade. Det är svårt för företag som har funnits i 10, 15 eller 20 år och samlat data i många system.

Det är lätt att bli överväldigad och stoppa huvudet i sanden. Men vägen framåt är att ta reda på det steg för steg, göra små förändringar och skapa en plan för de kommande månaderna och åren. Tillsynsmyndigheter är ofta mer förstående om du kan visa att du har en plan. Det viktiga är att du faktiskt försöker.

Det finns också äldre lagar som plötsligt kan tillämpas på ny teknik. Lagstiftning som ursprungligen gällde uthyrningshistorik för videofilmer kan exempelvis användas för spårning av vilka videor människor tittar på på sociala plattformar.

Galen Low: Det är fascinerande hur lagar tillämpas på nya företeelser. Samtalet om integritet har gått från vem som kan se min videouthyrningshistorik till om en före detta partner kan spåra var jag befinner mig genom en bil vi köpte tillsammans.

Mackenzie Dysart: En sak jag aldrig tidigare tänkte på är synkronisering av kontakter med appar. När du synkroniserar dina kontakter får appen plötsligt namn, telefonnummer och e-postadresser till personer som aldrig har samtyckt till att använda appen.

Det gäller även synkronisering av kontakter med Bluetooth-enheter och bilar. Det är en funktion som jag numera tänker mycket mer på.

Galen Low: Herregud, ja. Det är rena mardrömsbränslet.

Mackenzie Dysart: Alla platser där ditt namn finns utan att du har samtyckt till det – ditt namn finns kanske i fler bilar än du tror.

Galen Low: Mackenzie, det här har varit otroligt intressant. Jag har lärt mig massor och jag tror att våra lyssnare också har gjort det. Vi skulle kunna fylla en hel bok med detta. Kanske borde vi göra det och spela in en del två.

Det finns så mycket bra här: frågor att ställa, saker att vara medveten om och den roll vi har som digitala projektledare. Det handlar inte bara om att kryssa i en ruta, utan om en ädel sak och om ett större gott. Det kräver ibland övertygelse, men det är inte svårt att argumentera för när det gäller barns personuppgifter eller risken för stämningar.

Mackenzie Dysart: Precis.

Galen Low: Tänk på barnen och på att inte ge bort fyra procent av era globala intäkter.

Mackenzie, tack så mycket för att du tog dig tid att vara med i dag. Det har varit väldigt roligt.

Mackenzie Dysart: Tack för att jag fick komma. Det här var fantastiskt.

Galen Low: Då var det allt för i dag. Som alltid: om du vill delta i samtalet med över tusen likasinnade projektledningsförkämpar och få veta mer om medlemskapet kan du gå till thedigitalprojectmanager.com/membership. Om du tyckte om det du hörde i dag får du gärna prenumerera och hålla kontakten på thedigitalprojectmanager.com.

Tills nästa gång – tack för att du lyssnade.