Dette er systemet som virkelig hjelper bedriftene ut av GDPR-knipa

De færreste norske virksomheter har oversikt over hva slags personopplysninger man har, hvor de er lagret og hvor lenge de lagres.

Advokat Rune Opdahl

Om én forkortelse kan oppsummere 2017 i IT-bransjen, så er mulighetene store for at det blir GDPR. I hele Europa jobbes det på spreng for å oppdatere IT-infrastruktur til å følge opp det kommende regelverket, også i Norge. Som en del av EØS gjelder reglene også for oss, og i mai er det omtrent ett år til reglene inntrer med full kraft.

Men i kjølvannet av stive EU-direktiv, dukker det også opp smarte løsninger som løser de nye flokene. En av de som merker rushet for å komme á jour med både GDPR og kontroll på dokumentene er Thomas Grønlie i Konica Minolta.

– Vi har et svært godt system for dokumenthåndtering, dokoniFIND, men at det skulle passe så bra med behovene som GDPR skapte, var litt overraskende, sier Grønlie som er sjef for Konica Minoltas avdeling for IT-tjenester.

Personopplysninger er den viktigste grunnen, men med et system som rydder opp i dokumentjungelen får du tilbake kontrollen på bedriftens dokumenter, data og informasjon på kjøpet. 

– Vi kommer jo fra en bakgrunn der digitalisering av papir har vært fokuset de seneste årene, så det er naturlig å ta steget videre fra organisering av papir til organisering av filer.

Bedrifter får dårlige vaner

Noe alle bedrifter kan kjenne seg igjen i, er brukernes tendens til å ikke alltid følge det som er best practise for lagring av filer.

– Man er fortsatt på det stadiet der mye informasjon «lagres» i epost, med ustrukturerte data og på lokale PCer.

Grønlie får støtte fra advokat Rune Opdahl i Wiersholm, som er ekspert på immaterialrett. 

– I dag er min erfaring at de færreste norske virksomheter har oversikt over hva slags personopplysninger man har, hvor de er lagret og hvor lenge de lagres. Dette skal man nå ha fullstending oversikt over, noe som er vanskelig å gjøre manuelt. Dermed må man innføre rutiner og tekniske verktøy for å etterleve GDPR-kravene, sier Opdahl.

Løsningen kan ligge i en enkel avgjørelse, å anskaffe et dokumenthåndteringssystem og forankre avgjørelsen godt i ledelsen av bedriften.

– Hvordan bedriften velger å håndtere dokumentene sine må komme fra toppen, og når den avgjørelsen er tatt kommer vi inn.

DokoniFIND er et system fra Konica Minolta som løser denne utfordringen. Teknologien er norskutviklet, og finner frem internt i selskapers ustrukturerte lagring av filer, spesielt på nettverksdisker og epost.

Slik løses GDPR-floken

For med GDPR skal ikke bare alle bedrifter ha kontroll på personopplysninger lagret på IT-systemet, de skal også finne frem opplysningene som tilhører en person og være i stand til å slette dem etter visse regler.

For mange bedrifter, spesielt mindre foretak, betyr det at en skikkelig GDPR-vårrengjøring i dokumentjungelen er på sin plass. Slike oppgaver er perfekte for dokumenthåndteringssystemer som dokoniFIND.

– Når man implementerer løsningen, får man en oversikt over informasjonen som ligger i sine egne systemer. Setter du dokoniFIND til å lete etter personnummer, vil den tagge dokumenter den finner med dette. Resultatet blir en rapport som beskriver hvor muligens sensitiv informasjon ligger på dine egne nettverksområder, forklarer Grønlie.

Rapporten kan brukes til å påvise at bedriften har kontroll på sine egne data, men når indekseringen er gjort løser det enda flere GDPR-floker.

– Et annet vilkår i GDPR, gir en person muligheten til å be en bedrift om å oppgi hvilke opplysninger som er lagret om seg selv. Under visse omstendigheter kan man også be om sletting av disse, begge deler er vanskelig for en bedrift som ikke vet hvor alle opplysningene ligger.

Dokumenthåndteringssystemer gir dermed bedriften muligheten til å indeksere dokumenter som kan inneholde personopplysninger, presentere alt de har til de som måtte ha innsyn i dokumentene og verifisere at dokumentene er slettet dersom det skulle være nødvendig. 

Ta kontroll, og behold kontroll

Før var dokumentsystemer krevende å anskaffe og sette opp, det er de ikke lenger  En av grunnene til suksessen bak dokiniFIND, er muligheten for selv små og mellomstore bedrifter å raskt kunne få kontroll på dokumentflyten uten en gigantinvestering på IT-budsjettet.

– Det er en serverbasert løsning, som står hos kunden. Etter at vi har satt opp systemet, tygger serveren på informasjon i filer på det interne nettverket, og i epostbokser. Via et webgrensesnitt som også er mulig å integrere i intranettet, kan man se gjennom, sortere og søke i alle filene.

Grunnleggende sikkerhetsdoktrine tilsier at brukere kun skal ha tilgang til filer knyttet til sin egen profil, det er løst ved å koble dokiniFIND til bedriftens ActiveDirectory-innlogging eller liknende. Nesten like viktig er det at løsningen fungerer, og at brukerne finner den nyttig i hverdagen. 

– For brukerne oppfattes det ganske enkelt som en god søkemotor, og kombinert med rettighetssystemer som finnes i bedriftene som ActiveDirectory, får man kun tilgang til det man har rett til å se, sier Grønlie.

Selv mer avanserte oppgaver, som indeksering av databaser i for eksempel CRM-systemer, kan mer spesialiserte løsninger innenfor dokoniFIND tilpasses. 

– I utgangspunktet, for mindre bedrifter er dette en rimelig løsning, med enkel lisensiering. For de fleste bedrifter er den ganske ferdig ut av boksen, og tar unna epost og mapper uten tilpasning, men den kan også tilpasses for mer avanserte behov.

Det er mye å lære seg med GDPR, og alle kravene som stilles til bedrifter og organisasjoner. På Konica Minoltas GDPR-seminar, kan du få vite mer om GDPR, møte både Thomas Grønlie og Rune Opdahl som forklarer hva direktivet innebærer. Fra scenen gir de rådene og løsningen på utfordringene som står i kø før fristen 25 mai 2018.

Opdahl beroliger den som føler presset litt vel mye, men oppforder til en kalkulert overgang.

– Det er jo litt Y2K, for de som husker det. Du står opp 25. mai 2018 og finner ut at verden stort sett er den samme. Men det er jo en del innstramming, og nye regimer som inntrer. Ett av den er for eksempel 'innebygget personvern' som gjør at man må inkorporere personvern i teknologien sin, og dataportabilitet, avslutter han.