Del 3: Ad hoc eller systematik

I de två första delarna av den här serien har vi pratat om att tydliggöra ansvar och att följa upp att reglerna faktiskt efterlevs. Vi såg hur ansvar lätt blir symboliskt om det inte är förankrat, och hur kontroll riskerar att bli tandlös om den inte fångar vad som händer i vardagen. Men det är först när vi kopplar ansvar och kontroll till struktur, planering och kontinuitet som dataskyddsarbetet verkligen kan fungera hållbart. Systematik är det som gör ansvar verkligt - och kontroll meningsfull.

Från punktinsatser till långsiktighet

I många organisationer hanteras dataskydd som punktinsatser:

• En DPIA görs när någon kommit på att det behövs
• En incident leder till rutinförändringar - i bästa fall
• Ett dataskyddsprojekt avslutas, men ingen vet hur dataskyddet därefter ska leva vidare
• En revision skapar panik - och sen glöms insikterna bort

Allt det där är nödvändigt (även panik i vissa fall). Men inte tillräckligt.
Ett moget dataskyddsarbete kräver struktur, planering och ett tänk som håller över tid.

Vad menar vi med systematik?

Systematik innebär att dataskyddsarbetet är:

• Förutsägbart: det finns en plan
• Repeterbart:det är inte beroende av enskilda personer
• Uppföljningsbart:vi vet vad vi har gjort - och inte
• Lärande:det vi gör utvecklas, baserat på erfarenheter och behov

Vad händer utan struktur?

Utan en grundläggande struktur händer ofta följande:

• Ansvar finns - men tas inte
• Kontroll sker - men får inga följder vid påvisade brister
• Projekt går framåt - men uppmaningar om dataskydd kommer för sent
• Ledningen reagerar - men vidtar inga åtgärder
• Medarbetare känner: "vem äger det här egentligen?"

Vi får en illusion av kontroll - men ingen stabilitet.

Vad består struktur av?

Systematik i dataskyddsarbetet kan se ut så här:

• Ett årshjul: med planerade aktiviteter anpassade för olika chefer - DPIA-översyn, utbildning, avtalsgranskning
• En dataskyddsplan: mål, ansvar, aktiviteter och uppföljning
• Integration i relaterade processer: IT-utveckling, inköp/upphandling, HR-processer
• Tydliga stödstrukturer: mallar, kontaktvägar, instruktioner
• Förbättringsslingor: det vi ser i incidenter eller revisioner leder till förändringar

Det viktiga är inte perfektion - utan att det finns en riktning och en systematik som håller över tid.

Systematik är inte byråkrati - det är trygghet

Vi är ofta rädda att prata struktur - det låter tungt. Men i praktiken handlar det om att:

• Göra det lättare att göra rätt
• Ge verksamheten stöd och förutsägbarhet
• Skapa utrymme för förbättringar
• Minska beroendet av enskilda personer

Systematik frigör kapacitet. Det skapar trygghet - både för organisationen och individen.

Återkoppling: ansvar + kontroll kräver struktur

Vi började den här serien med att prata om att fördela ansvar. Men ett ansvar utan struktur blir snabbt en symbolhandling.

Vi fortsatte med kontroll. Men kontroll utan planering blir ineffektiv eller godtycklig.

Systematik är det som gör att:

• Ansvar följs upp
• Kontroll ger effekt
• Verksamheten vet vad som gäller - och när

Det är strukturen som får våra principer att leva i vardagen.

Vad kan du som dataskyddsjurist/expert göra?

Du kanske inte styr över hela organisationens struktur - men du kan vara en nyckelperson för att få den att ta form. Här är några praktiska förslag:

1. Skissa ett årshjul
Visualisera vad som redan sker - och vad som behöver ske - varje kvartal eller halvår.

2. Ta fram en enkel dataskyddsplan
Sätt ihop en A4 med mål, ansvar, aktiviteter och när de ska göras.

3. Knyt an till det som redan finns
Koppla in dataskydd till existerande arbetssätt för IT-utveckling, inköp, rekrytering mm.

4. Bjud in till samverkan
Sätt dig med IT, informationssäkerhet, compliance eller projektkontor - börja prata struktur och systematik, tillsammans. Kanske har ni liknande utmaningar och liknande mål?

5. Börja enkelt
Du behöver inte skapa något stort eller heltäckande, börja med något litet och låt det förbättras över tid.

Du behöver inte äga hela systemet. Men du kan vara den som får det att börja hända.

Nästa inlägg: Kultur och beteenden

I nästa del tittar vi på det som inte ryms i processkartor och styrmodeller - men som ändå avgör allt:

Hur beter vi oss i vardagen? Hur bygger vi en kultur där människor lyfter frågor, tar ansvar och gör rätt - även när ingen tvingar dem?