Så gjorde MQ Marqet GDPR till en del av vardagen

När Carl-Fredrik Liljeström började som ansvarig för supply chain och IT på MQ Marqet följde även ansvaret för GDPR med rollen. Han och gruppen som arbetade med frågorna hade stor respekt för uppgiften, men begränsad egen specialistkompetens. Lösningen blev inte att försöka göra alla till jurister, utan att skapa ett löpande arbetssätt och använda Svensk Handel Juridik som stöd när specialistkunskap behövdes.

Vi är inga GDPR-experter. Men vi har en struktur och en process som vi förhåller oss till.

Carl-Fredrik Liljeström

Chef för supply chain och IT, MQ Marqet

– Vi är inga GDPR-experter. Men vi har en struktur och en process som vi förhåller oss till.

Lösningen blev inte att försöka göra alla till jurister. I stället byggde företaget upp ett eget, löpande arbetssätt och använde Svensk Handel Juridik som kvalificerat stöd när det behövdes.

– Tack vare att vi har en strukturerad process för GDPR-arbetet och samtidigt kan luta oss mot tung sakkunskap får vi väldigt bra utväxling på den tid vi lägger, säger Carl-Fredrik..

Från juridiskt projekt till löpande arbete

GDPR är inte något som kan hanteras vid en enstaka genomgång för att sedan läggas åt sidan. För MQ Marqet har det blivit en återkommande del av verksamheten, med månadsmöten, ett årshjul och en tydlig fördelning av vad som ska göras. Gruppen går igenom aktuella frågor, följer upp arbetet och diskuterar sådant som har dykt upp sedan förra mötet. Ibland handlar det om nya rutiner, ibland om frågor från kunder eller medarbetare och ibland om situationer som visar att en process kan behöva förtydligas.

Vi har portionerat ut arbetet över året. Då gör vi någonting varje månad och det blir hanterbart.

– Vi har portionerat ut arbetet över året. Då gör vi någonting varje månad och det blir hanterbart, säger Carl-Fredrik.

Arbetssättet har vuxit fram tillsammans med Svensk Handel Juridik. Det juridiska stödet har hjälpt företaget att bygga upp rutinerna, men också att förstå vilka delar som behöver ägas av verksamheten själv. För andra handelsföretag är det kanske den viktigaste lärdomen: när ansvar, rutiner och beslutsvägar redan finns på plats behöver företaget inte börja från noll varje gång en fråga uppstår.

Det är vardagen som testar rutinerna

När GDPR diskuteras hamnar fokus ofta på dataintrång eller uppmärksammade rättsfall. I verkligheten ser arbetet annorlunda ut. De flesta frågor uppstår i vardagen. Det kan handla om hur information delas mellan system, hur länge data sparas, vem som har ansvar för olika uppgifter eller hur personuppgifter hanteras i det dagliga arbetet. Det är också därför MQ Marqet lägger så stor vikt vid processerna. Målet är inte att eliminera varje misstag, utan att skapa ett arbetssätt som gör att organisationen vet hur den ska agera när frågor uppstår.

– Vi går igenom det som händer och funderar på om vi behöver göra någonting annorlunda. Då blir varje situation också ett sätt att utveckla arbetet framåt.

I praktiken handlar det ofta om sunt förnuft, tydliga ansvar och rutiner som människor faktiskt kan följa.

När kunden vill bli raderad

För många handelsföretag är det inte incidenter som är den största utmaningen, utan kundernas rättigheter. Ett återkommande ärende är kunder som vill veta vilka uppgifter som finns lagrade eller begär att få sina personuppgifter raderade. Första gången ett sådant ärende kommer kan det bli både tidskrävande och rörigt. Var finns uppgifterna? Vilka system berörs? Vad får raderas och vad måste företaget faktiskt behålla?
På MQ Marqet har man därför byggt upp tydliga processer och utsett ansvariga personer för arbetet.

– Första gången var det stökigt. Nu finns det en process och en ansvarig person som vet vad som ska göras.

Resultatet är inte bara effektivare hantering. Det ger också tryggare och mer professionella kunddialoger.

Kunden bryr sig inte om systemkartan

Carl-Fredrik upplever dessutom att medvetenheten kring personuppgifter har ökat.

I dag kan frågor kring integritet uppstå i allt från medlemsklubbar och e-handel till betalningar och digitala tjänster. För kunden spelar det däremot sällan någon roll vilken leverantör, plattform eller tjänst som är involverad. Kunden ser ett företag. Det innebär att handelsföretaget behöver kunna ta emot frågan, förstå vad som har hänt och ge ett tydligt svar, även när flera system eller externa aktörer är inblandade. Dataskydd blir därför inte bara en juridisk fråga. Det blir också en fråga om kundförtroende.

Eget ägarskap med juridisk expertis nära till hands

Tidigare deltog Svensk Handel Juridik vid MQ Marqets återkommande GDPR-möten. I takt med att den interna strukturen har blivit starkare har företaget tagit över mer av arbetet själva. I dag används juristerna främst när större frågor behöver bedömas eller när företaget vill diskutera ny lagstiftning, rättspraxis eller andra förändringar som påverkar verksamheten.

Vi vill ta ett tydligt ägarskap själva, men kunna luta oss mot deras tunga expertis. Vi är måna om att göra rätt och vill inte chansa på de här frågorna.

– Vi vill ta ett tydligt ägarskap själva, men kunna luta oss mot deras tunga expertis. Vi är måna om att göra rätt och vill inte chansa på de här frågorna, säger Carl-Fredrik.

Den modellen har också gjort att GDPR blivit mindre av en isolerad juridisk fråga och mer av en naturlig del av verksamheten.

Företagskulturen är en del av regelefterlevnaden

Rutiner och styrdokument behövs, men under samtalet återkommer Carl-Fredrik flera gånger till en annan faktor; företagskulturen. Om medarbetarna förstår varför personlig integritet är viktig blir GDPR inte bara ett krav som någon jurist har lagt på verksamheten. Frågan blir i stället en del av hur företaget vill behandla sina kunder och medarbetare.

– När du själv är kund hos ett annat företag vill du inte bli behandlad på något annat sätt. För oss blir det en del av företagskulturen att vara ett reko bolag mot både kunder och medarbetare.

Samma resonemang återkommer när nya regelverk diskuteras. Om syftet bakom reglerna ligger nära företagets egna värderingar blir implementeringen enklare.

AI gör ordning i datan ännu viktigare

Under intervjun återkommer Carl-Fredrik till en annan fråga som just nu påverkar hela handeln; AI. MQ Marqet arbetar med att samla data från olika system och skapa en gemensam grund för framtida analyser och AI-lösningar. Företaget använder redan AI inom flera områden, bland annat prognoser, systemutveckling och innehållsarbete. Det är också här kopplingen till GDPR blir särskilt intressant. Under många år har GDPR ofta betraktats som en fråga om efterlevnad. Men i takt med att data blir en allt viktigare tillgång förändras perspektivet.

– För att få AI att fungera blir data otroligt viktigt. Då måste GDPR-perspektivet finnas med i den data man bygger upp, säger Carl-Fredrik.

Ordning på informationen handlar alltså inte bara om att följa lagen. Den blir en förutsättning för att kunna använda data på ett effektivt sätt. Om olika delar av organisationen arbetar utifrån olika datakällor riskerar de också att komma fram till olika slutsatser. Därför blir en gemensam och kvalitetssäkrad datagrund lika mycket en affärsfråga som en IT-fråga.

Mer än bara GDPR

När man lyssnar på Carl-Fredrik är det egentligen något annat än juridik som träder fram. GDPR-arbetet har hjälpt MQ Marqet att bygga tydligare ansvar, bättre processer och större förståelse för hur information används i företaget. Samma struktur visar sig nu vara värdefull även när verksamheten arbetar med AI, datakvalitet och andra nya regelverk. Kanske är det därför hans råd till andra handelsföretag är så odramatiskt.

Hitta en intern struktur och process. Använd sedan den tunga sakkunskapen när den behövs.

Carl-Fredrik Liljeström

Chef för supply chain och IT, MQ Marqet

– Hitta en intern struktur och process. Använd sedan den tunga sakkunskapen när den behövs.

För handelsföretag handlar GDPR därmed inte bara om att undvika fel. Det handlar om att bygga en verksamhet som fungerar bättre, även när kraven på data, teknik och regelefterlevnad fortsätter att öka.