Hvad er compliance?

Når man slår ordet compliance op, defineres det som “overholdelse af regler og retningslinjer”. Dette er en god start til at forstå, hvad compliance indebærer, men det er ikke en fuldstændig definition. Compliance kan have to forskellige betydninger, da det både refererer til det, som virksomheden gør – altså dét, man som virksomhed gør med henblik på at følge regler og retningslinjer – og det, som virksomheden er, når den følger regler og retningslinjer. En virksomhed bliver altså compliant, når den overholder forskellige lovgivninger. Det er dog ikke en permanent tilstand, da der ofte kommer nye krav, som virksomheden skal tilpasse sig efter.

Compliance handler som nævnt om overholdelse af alle relevante love, regler, standarder og interne politikker, der gælder for en virksomhed. Dette kan inkludere lovgivning relateret til finanser, databeskyttelse, arbejdsmiljø, handel, miljø, sundhed og sikkerhed, samt etiske standarder og branche-specifikke krav. Compliance indebærer også implementering af passende kontrol- og overvågningsmekanismer for at sikre, at disse regler og standarder overholdes på en konsekvent og effektiv måde. Compliance er således et bredt begreb. I artiklen her vil jeg dog behandle compliance i relation til databeskyttelse.

Compliance kan virke som en tung opgave for virksomheder, men det er en proces, der ikke bør nedprioriteres. At være compliant indebærer, at man overholder de love og regler, der er gældende for éns virksomhed, når det drejer sig om at håndtere personoplysninger. Kort sagt kan man sige, at compliance er vigtig af tre årsager:

• Compliance demonstrerer ansvarlig forretningspraksis og styrke tilliden til bl.a. kunder og samarbejdspartnere
• Compliance reducerer økonomiske tab ved at undgå eller minimere bøder
• Compliance kan fungerer som et værn mod datalæk og cyberangreb

I Danmark udstikker Persondataloven og GDPR de regler for håndtering af personoplysninger, man som virksomhed skal følge. Og i Danmark står Datatilsynet for at lave tilsyn. Har man forretning i andre dele af verden, gælder andre forordninger som CCPA, UK-GDPR etc. Brud på compliance med GDPR kan have omfattenede konsekvenser både for de personer, hvis persondata er blevet mishandlet og for virksomheden, som har eksponeret persondata.

For at opnå compliance, er der en række processer man skal igennem. Det er eksempelvis afgørende, at man forstår de gældende regler, har procedurer for behandling af følsomme data, formulerer en privatlivspolitik, udpeger en dataansvarlig osv. For at hjælpe til at blive compliant, har vi lavet en GDPR-guide.

Som udgangspunkt har ledelsen – bestyrelsen eller direktionen – det overordnede ansvar for intern kontrol og risikostyring, som inkluderer compliance. I større virksomheder er det imidlertid påkrævet, at man ansætter en dataansvarlig eller Data Protection Officer (DPO), der kan tage sig af alt arbejdet vedrørende overholdelse af regler og standarder.

Ved at have en dataansvarlig øges sandsynligheden for, at virksomheden overholder alle kravene. I mindre virksomheder kan ejeren typisk selv tage sig af dette arbejde eller udpege en medarbejder, hvis vedkommende holder sig opdateret om reglerne for virksomhedens arbejdsområde. Det er dog vigtigt at huske, at compliance er en virksomhedsomfattende ansvar, og alle medarbejdere og afdelinger bør arbejde sammen om at opretholde overholdelsen af relevante standarder og regler.

For en virksomhed kan compliance være en omfattende opgave. Heldigvis kan GDPR-værktøjer hjælpe jer med at opfylde GDPR-kravene hurtigere og mere præcist end ved manuel behandling. Disse værktøjer er i stand til at automatisere mange af de processer, der er involveret i behandlingen af personoplysninger og overholdelsen af GDPR-kravene.

Læs mere om compliance:
Er billeder personlige oplysninger?
Hvad er følsomme persondata?
Hvad er en data-anmodning?
GDPR cookie compliance
Hvad er en Tredjelandsoverførsel?
Hvad er personlige oplysninger?
Sådan opretter man en privatlivspolitik
Sådan minimerer man mængden af persondata