Hvem har ansvaret for data, når ældre systemer lukkes ned?
Emanuel Böminghaus, ekspert i legacy-systemer, administrerende direktør i AvenDATA
Emanuel Böminghaus
Ekspert i legacy-systemer, administrerende direktør i AvenDATA
Nedlukningen af et ældre system er ofte en teknisk milepæl. Projektet betragtes som afsluttet, grænseflader afbrydes, og servere deaktiveres. Men dataene består. Og med dem et centralt spørgsmål: Hvem har egentlig ansvaret for disse oplysninger, når det oprindelige system ikke længere findes?
I praksis opstår der ofte uklarhed, efter at ældre systemer er lukket ned. IT-afdelingen anser sig ikke længere for ansvarlig, fagafdelingerne mister adgangen, databeskyttelsesrådgiveren kræver sletning, og de compliance-ansvarlige kræver samtidig opbevaring. Dette spændingsfelt kan kun løses, hvis ansvarsfordelingen afklares tidligt og entydigt.
Ansvaret ophører ikke med nedlukningen af systemet
Selvom et ældre system er lukket teknisk ned, er de tilhørende data stadig relevante, indholdsmæssigt, juridisk og organisatorisk. Forretningsdokumenter, transaktioner, kontrakter og personaleoplysninger er fortsat omfattet af lovpligtige opbevaringsfrister, databeskyttelsesregler og mulige kontrolkrav. Ansvaret for disse data flytter sig altså, men det forsvinder ikke.
En udbredt fejl er at antage, at ansvaret automatisk overgår til IT-afdelingen eller ophører dér, når systemet lukkes ned. I virkeligheden er der som regel flere parter involveret, og de har hver deres perspektiv.
IT-afdelingens rolle
IT-afdelingen har typisk ansvaret for den tekniske nedlukning, dvs. sikker nedlukning af infrastrukturen, migrering eller arkivering af dataene og lukning af adgangsveje. Det hører ofte også under IT at stille en arkivløsning til rådighed for det tidligere system. Men IT-afdelingen er ikke ansvarlig for den faglige vurdering af dataene eller deres juridiske betydning. Den kan gennemføre tekniske tiltag, men har ikke det indholdsmæssige ansvar.
Fagafdelingernes ansvar
Fagafdelingerne har det indholdsmæssige ansvar for, hvordan dataene i det ældre system er opstået, bruges og fortolkes. Det gælder også efter nedlukningen. De ved, hvilke data der er relevante, hvilke dokumenter der skal opbevares, og hvad der i det enkelte tilfælde kan slettes. Derfor bør fagafdelingerne inddrages aktivt i arkiveringsprocessen, især når dataomfang, adgangsrettigheder og opbevaringsfrister skal fastlægges.
Efter arkiveringen ligger det indholdsmæssige ansvar fortsat hos den pågældende fagafdeling, også selvom der kun er læseadgang. Hvis ansvaret ikke er klart placeret, opstår der huller i ansvarsfordelingen netop dér, hvor det gælder, fx ved skattekontrol, revision eller interne forespørgsler.
Databeskyttelse og sletningspligt
Databeskyttelsesrådgiveren (DPO) skal overvåge, at princippet om opbevaringsbegrænsning og de registreredes rettigheder overholdes. Også efter en arkivering skal det sikres, at personoplysninger fra ældre systemer ikke opbevares ubegrænset, men kan slettes eller anonymiseres, når fastlagte frister udløber.
Det kræver en afstemt slettepolitik og klar ansvarsfordeling, især når det skal besluttes, hvilke data fra det ældre system der skal arkiveres, og hvilke der skal slettes. Ansvaret for databeskyttelsen ligger ikke hos IT-afdelingen, men som regel hos fagafdelingen i samarbejde med databeskyttelsesrådgiveren.
Compliance, revision og hæftelse
Compliance- og juraafdelingerne har en særlig interesse i, at arkiverede data fra ældre systemer forbliver fuldstændige, uændrede og tilgængelige. De står til ansvar over for tilsynsmyndigheder, revisorer og domstole. Især ved skatterelevante data eller mulige retstvister er adgangen til historiske oplysninger afgørende.
Compliance-afdelingen bør derfor arbejde tæt sammen med IT og fagafdelingerne for at sikre, at alle relevante regelsæt overholdes, fx bogføringsloven, GDPR, databeskyttelsesloven og branchespecifikke krav. I sidste ende er det ofte direktionen eller bestyrelsen, der kan gøres ansvarlig ved en pligtforsømmelse, også flere år efter at et ældre system er lukket ned.
Konklusion: Klar ansvarsfordeling forhindrer dyre misforståelser
Ansvaret for data ophører ikke, når et ældre system lukkes ned. Det fordeles på flere parter, nemlig IT, fagafdelingerne, databeskyttelse og compliance, og det skal være klart placeret. Hvis du ikke aktivt definerer disse roller, risikerer du uklarhed, overtrædelse af lovkrav eller tab af vigtige oplysninger.
Arkivering er derfor ikke kun en teknisk opgave, men et tværfagligt projekt. Kun med klar ansvarsfordeling, afstemte processer og gennemsigtig dokumentation kan du sikre, at dataene også efter nedlukningen af et ældre system håndteres korrekt: retssikkert, sporbart og tilgængeligt.
Planlægger du at arkivere et ældre system?