Denne klumme er et debatindlæg og er alene udtryk for skribentens synspunkter.
Så kom den 25. maj, den længe ventede ”G-Day”.
På trods af et it-dommedagsscenarie, som vi nok skal tilbage til år 2000 for at kunne matche, stod solen stadig op i øst, datatilsynet var taget på kursus og et par stykker forsøgte med lidt balloner og med billeder af ”GDPR-kage” på LinkedIn at give blot en smule forløsning på den spænding, der har været opbygget over de seneste par år.
Personligt vil jeg blot tillade mig et dele at par af mine refleksioner over det, som jeg har oplevet, og hvordan processen omkring tilblivelsen af GDPR har påvirket sikkerheden i Europa.
Der er ingen tvivl om, at de seneste par år har været temmelig unikke.
I mine 20 år i branchen, hvor jeg har arbejdet intensivt med både praktisk it-sikkerhed, regulering og politik, har jeg aldrig før set et så stort fokus på privatlivsbeskyttelse, så meget arbejde blive gjort og så mange forbedringer i virksomheder af alle størrelser.
Jeg mindes heller ikke at have set - ikke at forglemme - så mange kvaler, forvirring, papirarbejde, juridiske diskussioner og forskelligartede opfattelser af, hvad der rent faktisk skal gøres.
Som en mand, der har haft sikkerhed i blodet igennem hele min karriere, var jeg stor tilhænger af GDPR fra begyndelsen.
Jeg blev dog en smule skeptisk, efterhånden som GDPR udviklede sig i mystiske retninger og måske er jeg endt op med at blive en smule kynisk omkring, hvor vi er endt og ikke mindst, hvordan vi er endt der.
Det positive først
Det positive først: Det er uden for enhver tvivl, at sikkerheden i en stor række danske virksomheder har fået sig et gevaldigt løft.
I særdeleshed har truslen om gigantiske bøder (få taler om fordelene ved GDPR) fået ledelsens øjne op for, at det er på tide at tage sikkerhed seriøst og begynde at foretage længe ventede investeringer.
Jeg har set rigtigt mange virksomheder, som har været tvunget til at rydde op i deres data og tænke over nye måder at indsamle (eller ikke indsamle) data på.
En del virksomheder har endda taget ånden i GDPR til sig og implementeret smarte, nye GDPR-funktioner i deres produkter, som har givet brugerne nye muligheder for at se og kontrollere den måde, som deres data bliver behandlet og gemt på.
For mig er der ingen tvivl om, at GDPR har været det største sikkerhedsmæssige gennembrud på både privatlivsbeskyttelse og sikkerhedssiden. Nogensinde.
Langt fra køn - og unødvendigt kompleks
Men. Vejen til målet har været langt fra været køn, unødvendigt kompleks, forvirrende, dyr og frustrerende.
GDPR er et perfekt eksempel på at ”i teorien er teori og virkelighed det samme, i virkeligheden er de ikke.”
Specielt for små og mellemstore virksomheder (som jo udgør mere end 99 procent af alle danske virksomheder) har processen været uretfærdig, og jeg tvivler på, at dem, der påstår, at de jo blot skulle sørge for at have haft sikkerheden på plads i første omgang, rent faktisk har arbejdet med kravene til GDPR i praksis.
Virksomhederne er blevet kastet i armene på dyre advokater, konsulenter og ivrige sikkerhedssælgere.
Og selv nu, ugen efter ”G-Dag”, argumenterer flere advokater, eksperter og myndigheder stadig med, hvordan vi skal fortolke og implementere de forskellige regler og begreber.
Med implementering har operationen måske været succesfuld (det vil vise sig), men patienten har været døden nær.
Fragmenteret af nationale interesser
Og jeg tror, at de færreste vil påstå at vi er endt med en fælleseuropæisk tilgang til databeskyttelse på tværs af alle EU landene.
Stik imod hensigten, er GDPR endt med at blive fragmenteret af udhulende nationale interesser (også i Danmark), lobbyisme og en akademisk tilgang til, hvordan praktiske problemer skal løses.
Set fra et sikkerhedsperspektiv vil jeg påstå, at GDPR har været 33 procent databeskyttelse, 33 procent rent papirnusseri og 34 procent total forvirring.
Skal jeg tage de positive briller på igen, håber jeg at bureaukraterne i Bruxelles nu vil tage sig tiden til at stoppe et øjeblik, reflektere og indsamle data, før man endnu engang forsøger sig med en så omfattende og ressourcekrævende regulering i Europa.
Lad nu GDPR bundfælde sig, juster hvor nødvendigt og arbejd med virkelige mennesker og virksomheder for at indsamle erfaringer fra det virkelig live.
Og jeg håber, at processen omkring tilblivelsen af GDPR, fra ide til regulering, vil blive nøje analyseret og erfaringerne overvejet i fremtidig regulering som den kommende ePrivacy, Certificering af IT-produkter og alle de andre nye spændende EU-initiativer der er på tegnebrættet.
Personligt vil jeg bruge min energi på, hvor vi kan få mest værdi for pengene (sikkerhedsmæssigt, privatlivsbeskyttelse OG forretningsværdi).
På at hjælpe med at få de basale sikkerhedskontroller på plads, som desværre stadig er fraværende mange steder, på at samarbejde med andre EU-lande med at udveksle erfaringer og ikke mindst praktisk og reel vejledning til virksomheder og borgere.
Lad os nu bremse reguleringstoget lidt, reflektere og bruge vores energi og ressourcer på det nødvendige og værdigivende arbejde.
Ellers frygter jeg at vi er godt på vej til at bygge en kæmpe mur af papirsikkerhed omkring Europa.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os noget tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.