Et personvernbudsjett bør vise hvilket arbeid virksomheten skal gjennomføre, hvem som skal gjøre det, og hvilke ressurser som trengs for å holde tiltakene i drift. En sum for «GDPR» er vanskelig å godkjenne og følge opp. Et mer nyttig resultat er en arbeidsplan med omfang, forutsetninger, interne timer, eksterne leveranser og tydelige usikkerheter.
Personvernforordningen artikkel 24 og 32 knytter tiltakene til den konkrete behandlingen og risikoen. Artikkel 38 omfatter nødvendige ressurser til personvernombudets oppgaver når virksomheten har et ombud. Regelverket angir ikke et universelt årlig kronebeløp som alle norske virksomheter må bruke på personvern. Budsjettet må bygge på virksomhetens faktiske oppgaver.
Start med leveranser som noen kan godkjenne
Del arbeidet etter resultater: oppdatert oversikt over behandlinger, avklart leverandørforhold, fungerende rettighetsrutine, kontrollerte tilganger eller gjennomført risikovurdering. «Rådgivning ti dager» sier lite dersom det er uklart hva virksomheten sitter igjen med. En leveranse bør ha en eier og et kriterium for når den er ferdig.
For eksempel kan leveransen «oppdatere leverandøravtaler» avgrenses til å kartlegge hvilke leverandører som behandler personopplysninger, kontrollere roller og prioritere nødvendige avtaleendringer. Antallet avtaler, hvor mye forhandling som forventes og hvilke tekniske forhold som må undersøkes, påvirker anslaget. En standard mal reduserer ikke behovet for å kontrollere de faktiske tjenestene.
Bruk systemkartleggingen og behandlingsprotokollen som inngang til omfanget. Hvis oversikten er usikker, budsjetter først en avgrenset kartlegging og en ny estimering. Et detaljert kostnadsark bygget på ukjent antall systemer gir falsk presisjon.
Skill etablering fra løpende arbeid
Etableringsarbeid kan omfatte opprydding i eldre dokumentasjon, nye informasjonsløp, leverandørvurderinger eller innføring av en tilgangsrutine. Løpende arbeid omfatter endringer, kontroll, opplæring, rettighetsforespørsler, hendelser og vedlikehold av dokumentasjonen. Begge deler trenger kapasitet.
En virksomhet kan ha et stort førstegangsprosjekt og deretter mindre vedlikehold, men det er ikke gitt at kostnadene faller jevnt. Nye tjenester, oppkjøp, teknisk gjeld og endret risikobilde kan skape nye oppgaver. Angi hvilke forutsetninger som må være oppfylt for at en lavere driftsramme skal være realistisk.
Skill dessuten internt arbeid fra innkjøp. Timer brukt av HR, IT og prosjektledere er en kapasitetskostnad selv om de ansatte allerede mottar lønn. Et eksternt tilbud som forutsetter omfattende datainnsamling fra virksomheten, kan kreve mer intern tid enn selve konsulentleveransen antyder.
Bruk en enkel modell med synlige forutsetninger
Et tenkt selskap planlegger en første gjennomgang av seks behandlinger og fire leverandørforhold. Tabellen nedenfor viser illustrerende timeanslag for et avgrenset prosjekt. Tallene er egne regneeksempler, ikke markedspriser, standard produktivitet eller et løfte om hva et konkret prosjekt krever.
| Arbeidspakke | Antatt omfang | Intern tid | Ekstern tid | Ferdig når |
|---|---|---|---|---|
| Kartlegging | Seks behandlinger, to intervjuer | 16 timer | 4 timer | Eiere har bekreftet vesentlige opplysninger |
| Leverandørgjennomgang | Fire forhold med tilgjengelige avtaler | 8 timer | 8 timer | Roller og nødvendige endringer er dokumentert |
| Informasjon og rettigheter | To informasjonsløp og én arbeidsrutine | 10 timer | 5 timer | Innhold og praktisk håndtering er kontrollert |
| Tiltaksoppfølging | Tilgang og sletting i to systemer | 18 timer | 3 timer | Systemeiere har dokumentert utførte kontroller |
| Prosjektstyring | Beslutninger og samordnet avslutning | 8 timer | 2 timer | Åpne punkter har eiere og finansiert oppfølging |
I dette eksemplet summeres intern tid til 60 timer og ekstern tid til 22 timer. Kostnadsberegningen kan uttrykkes som «60 × valgt intern timesats + 22 × avtalt ekstern timesats + øvrige avtalte kostnader». Bruk virksomhetens egen konsistente beregningsmåte for intern kapasitet, og et faktisk tilbud eller en tydelig merket antakelse for ekstern sats.
Hvis en av leverandørene krever omfattende forhandling, må anslaget endres. Hvis dokumentasjonen er komplett og kontrollert, kan arbeidet bli mindre. Noter begge forholdene ved anslaget, slik at ledelsen ser hva som driver intervallet. Ikke skjul usikkerhet i en tilfeldig prosent som ingen kan forklare.
Beregn tekniske tiltak sammen med IT
Et personvernprosjekt kan identifisere behov for bedre autentisering, logging, tilgangsstyring eller sletting. Noen tiltak finnes allerede i lisensen, men krever konfigurering og vedlikehold. Andre krever endringer i integrasjoner eller arbeidsprosesser. Be IT beskrive arbeid, avhengigheter og drift før tiltakene får et beløp.
Matrisen for sikkerhetstiltak etter artikkel 32 kan koble risiko, kontroll, eier og dokumentasjon. Et tiltak som deles mellom sikkerhet og personvern, bør ikke telles to ganger i budsjettet. Samtidig må det ikke forsvinne fordi hver avdeling antar at den andre betaler.
Ta med overgangsarbeid. En ny sletterutine kan kreve kartlegging av kopier, håndtering av sikkerhetskopier og oppdatering av informasjon. En ny tilgangsløsning kan kreve opplæring og en beredskapsvei ved driftsfeil. Lisensprisen alene sier derfor lite om den fulle kostnaden ved endringen.
Sett av kapasitet til ombud og faglig vurdering
Avklar hvilke oppgaver personvernombudet skal utføre, og hvilke oppgaver som tilhører linjeledelsen eller prosjektet. Ombudet skal kunne gi råd og overvåke etterlevelsen innenfor sin rolle. Virksomheten beholder ansvaret for beslutningene og gjennomføringen. Budsjettet bør ikke gjøre ombudet til eneste utførende ressurs for alle personvernoppgaver.
Vurder kompetanse, tid, tilgang til informasjon og mulige interessekonflikter. Personvernombudets uavhengighet er relevant når samme person også har andre oppgaver. En lav stillingsandel kan være tilstrekkelig i én virksomhet og utilstrekkelig i en annen; anslaget må knyttes til faktisk arbeidsmengde og kompleksitet.
Skill opplæring fra dokumentert evne til å utføre arbeidet. Et kurs eller en sertifisering kan dekke et kompetansegap, men gir ikke automatisk mer tilgjengelig kapasitet. Hvis budsjettet omfatter kompetanseutvikling for personvernombudet, angi hvilke oppgaver læringen skal støtte, og sett av tid til anvendelse og oppdatering.
Sammenlign tilbud med samme oppgavebeskrivelse
Be leverandører beskrive hva som er inkludert, hvilke forutsetninger de legger til grunn og hva virksomheten må levere selv. For programvare bør dere avklare brukere, virksomhetsenheter, datamengder, import, tilgangsstyring, støtte, integrasjoner og uttrekk ved avslutning. For rådgivning bør leveranser, møtetid, revisjonsrunder og endringshåndtering være tydelige.
Be om en demonstrasjon eller et konkret løsningsforslag for deres representative arbeidsoppgave. Det kan være å oppdatere en behandling, behandle en rettighetsforespørsel eller følge opp en leverandør. Registrer hva løsningen faktisk utfører, hva som krever manuelt arbeid og hva som krever ytterligere integrasjoner.
En påstand om tidsbesparelse trenger en målemetode. Sammenlign samme oppgave før og etter, og ta med innføring, kontroll og retting. Frigjort tid som brukes til andre oppgaver er forskjellig fra en redusert faktura eller lønnskostnad. Hold prognoser og observerte resultater atskilt i beslutningsgrunnlaget.
Prioriter med konsekvenser og avhengigheter
Skill mellom lovpålagte mangler som trenger løsning, risikoreduserende forbedringer og valgfrie effektiviseringer. Det betyr ikke at et ufinansiert lovkrav kan skyves ut av planen uten videre. Synliggjør hva som gjenstår, hvem som har beslutningsansvaret, og hvordan virksomheten skal håndtere situasjonen.
En prioritering kan følge av at flere tiltak avhenger av samme kartlegging, eller at én feil påvirker mange personer. Begrunn rekkefølgen med slike forhold. Ikke bruk maksimal mulig bot som et påstått forventet årlig tap. Tilsynsreaksjoner, erstatningsspørsmål og driftskonsekvenser følger ulike vurderinger og kan ikke omgjøres til ett udokumentert avkastningstall.
Sett også en avgrenset reserve for identifiserte usikkerheter, som ufullstendige avtaler eller ukjent teknisk støtte. Beskriv når reserven kan brukes og hvem som beslutter det. Ved større avvik bør planen reestimeres fremfor å trekke tilfeldig fra andre nødvendige leveranser.
Følg opp med faktisk arbeid og åpne beslutninger
Ved hver avtalt oppfølging sammenlignes fremdrift, timer og utgifter med forutsetningene. Et budsjett kan være brukt opp uten at leveransen er ferdig, eller leveransen kan være ferdig med mindre ressursbruk enn ventet. Undersøk årsaken før resultatet brukes til neste anslag.
Bevar et kort beslutningsspor med omfang, godkjent ramme, endringer, leveransebevis og gjenstående oppgaver. Dokumentasjon av ansvarlighet hjelper med å skille vedtatte tiltak fra faktisk gjennomføring. Et godt personvernbudsjett gir dermed ledelsen et konkret grunnlag for å bemanne og finansiere arbeidet, og gjør det mulig å forbedre neste plan med virksomhetens egne erfaringer.