”GDPR er ikke altid noget, man tænker over – men du skal have styr på det”

Persondatacompliance er ikke en engangsopgave, men skal være en del af ens virksomheds drift. Det er ikke nok at skrive det rigtige – man skal også gøre det, man skriver. Det er heller ikke nok at gøre det rigtige – man skal også dokumentere det, man gør.

GDPR kan ved første øjekast virke for den enkelte bilvirksomhed som en uoverskuelig og kompleks størrelse, og derfor lancerede DI Bilbranchen i foråret 2025 et medlemsrettet tilbud sammen med RISMA (i dag en del af Cerivo) og Advodan, hvor bilvirksomheder får adgang til en skræddersyet GDPR-løsning, der kombinerer platform med juridisk indhold og branchekendskab.

Ambitionen med tilbuddet er at gøre GDPR-arbejdet både nemmere og mere målrettet for medlemmerne. Her er der skabt en løsning, hvor op mod 80 pct. af arbejdet allerede er gjort, og det hele er tilpasset bilbranchens mangeartede processer. Derudover har løsningen den store fordel, at virksomhederne ikke bare får etableret et GDPR-setup, men også får struktur på de løbende driftsopgaver, opfølgninger og dokumentationskrav, som er nødvendige for at forblive compliant.

Flere virksomheder i branchen har siden lanceringen taget løsningen til sig. Det vidner ifølge advokat og partner ved Advodan-Glostrup, Karina Lind Bertelsen, om en stigende modenhed i bilbranchen i arbejdet med GDPR og databeskyttelse. Det hænger sammen med, at data i dag fylder langt mere i bilvirksomheden – både i bilen, i digitale services, på værkstedet og i kunderejsen.

- Derfor er det vigtigt, at bilvirksomhederne får struktureret deres GDPR-arbejde og får styr på ansvar, dokumentation og løbende kontroller. Når AI og andre nye teknologier i stigende grad bliver en del af forretningen, bliver det kun vigtigere at have et solidt fundament for arbejdet med persondata, governance og compliance, fortæller hun.

Andersen & Martini foretog et serviceeftersyn af 2018-politikkerne

En af de virksomheder, der har kastet sig over at få integreret RISMAs system i deres virksomhed, er Andersen & Martini A/S, hvor Thomas Floridan Strøm, Chief Compliance Quality Officer, det seneste år har stået i spidsen for arbejdet med at integrere RISMAs løsning i deres virksomhed.

- Vores motivation for at gå i gang var et ønske om at få et bedre overblik over vores systemer og processer. Da GDPR kom i 2018, lavede man hurtigt nogle politikker i branchen efter det. Men vi har nok ikke tænkt så meget over, om de politikker stadig er egnede til 2026. Og vi har indset, at det var de faktisk ikke.

Thomas vurderer selv, at Andersen & Martini i dag er 80 pct. færdige med at få integreret RISMAs system fuldt ud i virksomheden. Det har ikke været uden investeringer, både økonomisk og ressourcemæssigt, men med RISMA og Advodan som sparringspartnere har det været en meget overkommelig proces:

- Opstarten krævede tid, men Advodan har holdt os godt i hånden undervejs. De har stået klar og ikke mindst forstået vores forretning. Der har aldrig været et tidspunkt, de ikke har kunnet hjælpe. Og hvis du er et lille bilhus med få ansatte, så er opstarten helt klart mere simpel end det, vi har været igennem.

Mange gevinster ved at få GDPR i system

En af de store gevinster ved løsningen er, at den gennem pilotprojekter og input fra branchen i vid udstrækning er tilpasset branchens virksomheder og deres forretningsmodel. Systemet indeholder derfor relevante dokumenter, politikker og årshjul og tilbyder en kontraktstyringsløsning, som kan hjælpe til at holde styr på samarbejdspartnere, databehandlere og leverandørkontrakter. Så selvom processen for Andersen & Martini har været lidt mere kompleks end forventet, har det givet overblik og struktur.

- I hele opstarten handler det meget om at finde ud af, hvem er databehandler? hvem er dataansvarlig? hvilke systemer har vi? Hvilke politikker har de systemer? Vi brugte selv +10 arbejdsdage på at kortlægge den del. Vi har jo en masse data, der flyder mellem systemerne. Det handler derfor om at finde ud af, hvor data er, hvem der kontrollerer dem, og hvem der har ansvaret.

- For én ting er at læse om GDPR-krav og politikker, noget andet er at få det ind i virksomheden. GDPR er ikke altid noget, man tænker over – men du skal have styr på det.

Selvom Andersen & Martini endnu ikke er helt i mål med systemet, har Thomas allerede mærket mange af de positive gevinster og kan se frem til flere.

- Snart vil f.eks. HR automatisk få besked, når de skal slette gamle ansøgninger, slette data om tidligere medarbejdere eller hvad det kunne være. På den måde kommer der automatisk kontrol på tingene, hvor det ikke er mennesker, men systemer, der holder øje. Det er sådanne former for automatik, som jeg ser frem til, bliver bredt ud i hele virksomheden.

Derudover føler Thomas også, at de fremover står meget stærkere i forhold til at kunne hjælpe og besvare kunder, som kræver indsigt i deres egne data. Henvendelser, som de og mange andre i branchen mærkede, da der i november skete et databrud hos en systemleverandør i branchen.

- For virksomheder, der ikke arbejder med GDPR til hverdag, kan sådanne henvendelser give en masse uro om, hvordan man håndterer sådanne sager. Her har det for os været en god investering at have systemet, så vi ret præcist ved, hvad kunderne har krav på – og deraf hvordan vi mest effektivt håndterer sådanne henvendelser.

Og Thomas har også et øje for, hvordan deres GDPR-indsats kan gavne dem på anden vis:

- Vi har internt drøftet, hvordan vi i en ESG-sammenhæng kan kommunikere, at vi er en virksomhed, der har styr på GDPR. Vi er selvfølgelig ikke direkte omfattet af ESG-kravene endnu, men vi har en klar forventning om, at det bliver et af flere konkurrenceparametre i fremtiden.

Hvis du vil læse mere om GDPR-løsningen og tilbuddet gennem DI Bilbranchen, kan du læse mere nedenfor.