En integration flytter data fra ét system til et andet. Som regel persondata: navne, e-mails, telefonnumre, kundehistorik. Og det er præcis dér, de skjulte GDPR-risici bor — usynlige, indtil de bliver dyre.
Når jeg gennemgår en integration teknisk, leder jeg ikke kun efter, om den virker. Jeg følger dataene: Hvor kommer de fra? Hvor ender de? Hvem har adgang undervejs? Og hvor længe bliver de liggende? Det er den rejse, der afslører faldgruberne — og dem fanger man ikke i en kontrakt eller et pænt flowdiagram.
Det, der ser uskyldigt ud
De fleste GDPR-problemer i integrationer er ikke ond vilje. De er detaljer, der blev sprunget over, fordi “det virkede jo”. For eksempel:
- Data, der sendes til et tredjeland uden grundlag. En integration synkroniserer kundedata til et amerikansk værktøj — uden databehandleraftale eller et gyldigt overførselsgrundlag.
- Persondata i logfiler. For at kunne fejlsøge logges hele beskeden — inklusive personoplysninger — og logfilerne gemmes for evigt.
- For mange felter. Man synkroniserer “bare det hele” i stedet for kun det nødvendige. Dataminimering er et lovkrav, ikke en anbefaling.
- Ingen vej til sletning. Data oprettes på tværs af fem systemer, men kan ikke fjernes igen. “Retten til at blive glemt” bliver umulig i praksis.
- Åbne endpoints og webhooks. En URL uden beskyttelse, der lækker data til alle, der kender adressen.
- Rigtige persondata i test- og udviklingsmiljøer.
De fleste databrud handler ikke om hackere. De handler om data, der lå et sted, ingen havde tænkt over.
Hvorfor det kræver teknisk indsigt at fange det
Du kan ikke se disse risici udefra. De ligger i felterne, i loggen, i den faktiske datastrøm mellem systemerne. Det kræver, at nogen kigger på integrationen på det tekniske niveau — og samtidig forstår, hvad lovgivningen kræver. Det er kombinationen, der er sjælden, og det er kombinationen, der forebygger.
To katastrofer, ét blik
Det stærke ved en teknisk gennemgang er, at den fanger begge dele på én gang. Det samme blik, der opdager den manglende fejlhåndtering, opdager også personoplysningerne i loggen. Den samme forståelse, der gør integrationen stabil, gør den også compliant.
Når jeg ser på en løsning, ser jeg helheden: stabiliteten og sårbarhederne, teknikken og ansvaret. For en integration, der taber data, koster omsætning — men en integration, der lækker persondata, kan koste langt mere.
Pointen
Det billigste tidspunkt at finde en risiko på er, før den bliver til en sag. En grundig teknisk gennemgang er ikke en udgift — det er en forsikring mod både det tekniske nedbrud og den compliance-bombe, der ellers tikker stille i baggrunden.