Et simpelt broschurewebsted med kun en kontaktformular klares ofte på en dag: en privatlivserklæring, et cookiebanner og en kortfattet kontrol af hostingudbyderen. En webshop med en betalingsudbyder, forsendelseværktøj, nyhedsbrevssystem og annoncepixels tager let to til fire uger, især fordi du for hvert værktøj skal kontrollere, om der er behov for en databehandleraftale, og om den allerede foreligger.
Den vigtigste forsinkende faktor er sjældent skrivningen af privatlivserklæringen selv. Det kan klares på en time. Tiden går med til at finde ud af, hvilke værktøjer der kører i baggrunden, hvem der håndterer databehandleraftalen for dem, og venten på, at en leverandør svarer på et spørgsmål herom.
Hvor tiden virkelig går med
For et nyt websted starter man med en kortlægning: hvilke tredjepartstjenester behandler data fra besøgende eller kunder. Tænk på hostingudbyder, et analyseværktøj, en chatwidget, en betalingsudbyder, en forsendelsesudbyder og eventuelt et annoncenetværk. For hver af disse parter gælder spørgsmålet, om der er indgået en databehandleraftale, og om den stemmer overens med, hvad værktøjet faktisk gør.
Derefter følger en cookie-kortlægning: hvilke cookies placeres, af hvem, og er der behov for samtykke dertil. Først når dette billede er fuldstændigt, kan privatlivserklæringen være indholdsmæssigt korrekt, og kan cookiebannet vise de rigtige kategorier. Den, der springer disse trin over og skriver privatlivserklæringen først, skal ofte justere den bagefter. I vidensbancen efter emne er det korte svar på spørgsmålet om, hvorvidt der er behov for en databehandleraftale, angivet for hver hyppigt brugt værktøj, sammen med stedet i forordningens tekst.
Hvad der i praksis trækker varigheden ud
Den største forsinkelse ligger sædvanligvis ikke hos dig selv, men hos leverandøren. Store, velkendte SaaS-virksomheder har typisk en databehandleraftale klar, som du selv kan hente ned eller digitalt kan acceptere. Hos mindre eller specialiserede leverandører skal du nogle gange aktivt anmode om det, og det kan tage dage til uger, før der kommer svar.
En anden forsinkelse opstår, når marketing, IT og virksomhedsejer ikke sidder ved bordet på samme tid. Marketingafdelingen vælger et nyt værktøj, IT ved ikke, at det er tilføjet, og ingen kontrollerer, om der følger en databehandleraftale med. Når det opdages, kører værktøjet ofte allerede.
En tredje faktor er usikkerhed om rollefordelingen: er en part en databehandler, eller drejer det sig om fælles ansvar, eller behandler parten dataene til egne formål. Det spørgsmål er ikke altid at besvare på fem minutter, og hvis der er tvivl, er det tilradeligt at spørge leverandøren selv, hvordan de ser deres rolle, eller at forelægge spørgsmålet for en jurist.
Hvad du selv kan fremskynde
Den hurtigste vej er at udføre arbejdet i den rigtige rækkefølge: først kortlægge værktøjerne, derefter anmode om eller kontrollere databehandleraftalerne, og først derefter stemme privatlivserklæringen og cookiebannet af med, hvad der faktisk sker. Et register, der automatisk udfyldes fra et bibliotek af velkendte værktøjer, sparer tid her, fordi en stor del af udredningsarbejdet allerede er udført for hyppigt brugte SaaS-tjenester. Så snart et nyt værktøj tilføjes, er det tilradeligt at registrere det i registeret over behandlingsaktiviteter i stedet for at udsætte det til et senere kontrolpunkt.
Det hjælper også at fastslå på forhånd, hvem i virksomheden der er ansvarlig for at anmode om manglende databehandleraftaler. Uden en klar ejer af denne proces bliver en udestående anmodning til en leverandør ofte liggende.
Når det tager længere tid end forventet
Ved en webshop med mange separate komponenter — et separat returportal, et selvstændigt anmeldelsesjystem, et eksternt kundeserviceværktøj — tæller hver komponent separat. En ny AI-chatbot på webstedet bringer også sit eget spørgsmål med sig om, hvor besøgendes input går hen, og hvem der behandler det. Hvis du er usikker på, om en ny funktionalitet kræver en mere omfattende risikovurdering, er det fornuftigt at få det vurderet separat; det ligger uden for omfanget af denne artikel.
Sikkerhedssiden af et nyt websted koster også tid: et godt skøn over, hvilke tekniske foranstaltninger der er passende, afhænger af, hvad webstedet eller webshop'en præcis behandler. Et overblik over, hvad det drejer sig om, findes på siden om databeskyttelse og sikkerhed.
Gennemløbstiden er derfor ikke et fast tal, men resultatet af, hvor mange separate komponenter et websted eller webshop har, og hvor hurtigt leverandører reagerer. Den, der skønner det på forhånd, undgår, at en lancering bliver udsat, fordi en databehandleraftale mangler i sidste øjeblik.
Ønsker du hurtigt at se, hvor dit eget websted eller webshop'en i øjeblikket befinder sig? Den gratis quick-scan giver på få spørgsmål en første indikation, og ofte stillede spørgsmål besvarer en stor del af de separate spørgsmål, der opstår under denne proces.