Alternativet: Skal alle have lov til at håndtere vores data?

Af René Gade
Digitale frihedsrettighedsordfører

Tænk hvis de ansatte, som har ansvaret for persondata i de offentlige institutioner, skulle besidde en særlig autorisation, der kvalificerede dem til at varetage denne tillidspost.

Disse personer er jo reelt pålagt et enormt personligt ansvar i og med, at manglende viden eller sløseri kan udgøre en stor datarisiko, hvis der opstår fejl. For når det gælder data, er fejlene ofte ikke til at redde fuldstændigt, når de er sket – data finder hurtigt nye livsledsagere uden for deres økosystem, hvis sluserne først en gang har været åbne ud til offentligheden.

Autorisationsordningen kunne sammenlignes med de eksisterende statslige autorisationskrav, der i dag er til blandt andre elinstallatører og VVS-montører. Konkret skulle de dataansvarlige måske have pligt til at afkoble usikre systemer fra al tele- og onlinekommunikation, indtil de var behørigt sikret. På linje med en elinstallatør, der har pligt til at afbryde strømmen under visse omstændigheder.

Datatilsynet burde måske ligeledes bemyndiges til at hive stikket ud, når de ved inspektioner opdager it-systemer, der er for usikre til at behandle persondata. Præcis på samme måde, som en fødevarevirksomhed eksempelvis kan beordres til at stoppe produktionen ved bakteriefund. Den ansvarliges autorisation ville i samme ombæring blive indstillet.

Uoverskueligt projekt?
Hold da op, hvor virker det uoverskueligt og enormt omkostningstungt at indføre, for der er jo virkelig mange niveauer af persondataansvar, hos de enkelte medarbejdere, og derfor skulle autorisationen også nivelleres og tilpasses specifikt til de enkelte områder. 

Ville det være umuligt at administrere? Ville det være et fleksibelt og let autorisationssystem? Sådan fra hoften er det nok et nej til begge dele, hvilket jo ikke umuliggør tanken, men omvendt kræves en rigtigt stærk og agil implementering, for at det kunne blive til virkelighed. Til gengæld er jeg usikker på, om vi har råd til at lade være. Ja, faktisk synes jeg ikke, at vi kan tillade os at lade være. Data er jo blandt andet data om os. Om mennesker. Informationer om dig og mig og vores mest private oplysninger og relationer. Bør vi ikke forlange, at de bliver behandlet professionelt og i fortrolighed? Det mener jeg.

Derfor plejer jeg at sige fortrolige ting til dem, jeg stoler på. Det valg har jeg bare ikke rigtigt med de data, der opbevares om mig. Derfor må vi sikre, at de mennesker, der håndterer vores personfølsomme data, er autoriserede og vidende om deres ansvar. 

It-fadæser koster kassen 
Senest har vi set store offentlige it-projekter og persondatasager, som skreg til himlen, at her burde man have gjort sit forarbejde bedre. Og i alle tilfælde ville de ansvarlige nok gerne have brugt de nødvendige ressourcer på at forhindre, at det skete var sket – for omkostningerne ved de kommunale it-fadæser er mange gange større, end hvad det ville have kostet at holde medarbejderne proaktivt skarpe på deres ansvarsområder. Ofte er det nemlig lavpraktiske og personlige fejl, der skaber problemerne.

Alt lige fra at sende mails, opbevare datasæt på computeren eller tjekke en mail med vedhæftning det forkerte sted kan give problemer, og præcis derfor må vi gribe massivt og ambitiøst ind. Jo før, jo bedre. I begyndelsen vil det kræve en væsentlig investering i uddannelse og autorisation, men holdt op mod omkostningerne forbundet med de fejl og mangler, som den uvidende håndtering allerede har forårsaget, ja, så ved jeg godt, hvad jeg ville prioritere i min organisation. Rettidig omhu er et slidt begreb, men det gør det ikke mindre aktuelt.

debat@altinget.dk