Dansk Erhvervs Perspektiv

DANSK ERHVERVS PERSPEKTIV Dansk Erhvervs Perspektiv Analyse, økonomi, baggrund eprivacy-forordningen rammer hårdt i kølvandet på GDPR Fredag den 25. maj 2018 var en skillelinje for alle danske virksomheder, da det var dagen, hvor EU s Persondataforordning trådte i kraft. Efter denne skæringsdato kan virksomhederne blive pålagt enorme bøder, hvis ikke de lever op til de strenge krav i forordningen. Dansk Erhvervs analyser fra starten af maj 2018 viser, at det kun var hver anden danske virksomhed, som forventede at blive klar til ikrafttrædelsen, og samtidig forventes de danske virksomheder at have brugt i omegnen af 8 mia. kr. på at blive klar. Det varer dog ikke længe før de danske virksomheder igen må gennemgå og justere deres forretningsmodeller til nye databeskyttelseskrav fra Bruxelles. EU er nemlig på vej med en såkaldt eprivacy- eller e-databeskyttelsesforordning. Den opstiller en række samtykkekrav for behandling af kommunikationsdata, hvilket bl.a. angår cookies, metadata om fx mobiltelefoners lokation, offentlige nummeroplysningstjenester, direkte markedsføring og kommunikation mellem maskiner (M2M). Forordningen skulle være trådt i kraft samtidig med Persondataforordningen, dvs. 25. maj 2018, men en række væsentlige uklarheder og overlap med netop Persondataforordningen har forsinket processen. Behandling af persondata, der er indhentet via cookies er således dækket af Persondataforordningen, men eprivacy-forordningen lægger op til yderligere krav til anvendelse af cookies. Selv om den nye forordning er mindre kendt i offentligheden, vil den formentlig stadigvæk have betydning for langt over halvdelen af de danske virksomheder, når den træder i kraft. Dansk Erhvervs medlemsundersøgelse fra maj 2018 viser nemlig, at 45 pct. af virksomhederne allerede nu handler på en måde, så de bliver omfattet af eprivacy-forordningen og dermed vil de være tvunget til endnu en gang at gennemgå og ændre forretningsgange. Det drejer sig især om de mest digitale virksomheder, som EU s ledere ellers i skåltaler taler om at styrke i det Digitale Indre Marked. Den hastige digitale udvikling, som skyller ind over virksomhederne i disse år, får sandsynligvis endnu flere virksomheder til at bruge og behandle de berørte kommunikationsdata om deres kunder. Derfor må man forvente, at andelen af danske virksomheder, som rammes af eprivacyforordningen, vil stige til mere end halvdelen frem mod forordningens ikrafttrædelse. Efter en meget byrdefuld Persondataforordning skal mindst halvdelen af de danske virksomheder altså igen til at ændre forretningsgange og rutiner på baggrund af EU-lovgivning. Dette er EU-Kommissionens plan, selv om Persondataforordningen allerede har medført en betydelig opstramning for behandling af persondata indsamlet via fx cookies, som mange nok har bemærket i de mange mails og beskeder om opdaterede brugervilkår for hjemmesider og medier. Af: Poul Noer, chefkonsulent og Jakob Kæstel Madsen, analysekonsulent. Perspektiv nr. 8. Udgivelsestidspunkt: juni 2018

Mindst halvdelen af virksomhederne bliver ramt af eprivacy eprivacy-forordningen, som kommer i kølvandet på den omfattende Persondataforordning, kommer særligt til at ramme virksomheder, som bruger data om kunders adfærd i den virkelige verden samt på nettet til at målrette kommunikation og købstilbud. Selvom eprivacy-forordningen ikke er helt færdigbehandlet endnu, forventes den at indeholde et krav om, at fx software skal indstilles til maksimal privacy som udgangspunkt, i stedet for at overlade indstillingerne til brugeren. Direkte markedsføring er den mest anvendte af de aktiviteter, som bliver omfattet af eprivacy-forordningen. Forordningen kommer primært til at ramme virksomheder, som enten bruger direkte markedsføring, cookies, informationer fra telefonnummerregistre eller data om kunders bevægelsesmønstre. Dansk Erhvervs medlemsundersøgelse fra maj 2018 viser, at det særligt er direkte markedsføring, som virksomhederne anvender, idet hver tredje virksomhed anvender denne form for markedsføring og således vil blive ramt af eprivacyforordningen. Hver femte virksomhed anvender cookies, mens omkring hver tiende bruger informationer om telefonnummerregistre og data om kunders bevægelsesmønstre. Figur 1: Virksomhedernes brug af metadata, som er omfattet af den nye eprivacyforordning Direkte markedsføring 33% 65% Cookies 22% 71% Informationer fra telefonnummerregistre 13% 85% Data om kunders bevægelsesmønstre 9% 86% Ja Nej Ved ikke Kilde: Dansk Erhvervs medlemsundersøgelse, maj 2018. Note: n = 415. / Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 2

For at være omfattet af eprivacy-forordningen, skal man som virksomhed kun gøre brug af én af de fire ovennævnte aktiviteter. Figuren nedenfor viser, at det er knap hver anden virksomhed, som allerede nu gør brug af mindst én af de fire aktiviteter, og som dermed med sikkerhed vil være omfattet af forordningen. Dertil kommer, at den digitale udvikling formentlig vil medvirke til, at endnu flere virksomheder bruger kundedata til at målrette kommunikation og købstilbud i de kommende år, hvilket vil få antallet af virksomheder, som bliver ramt af eprivacy-forordningen, til at stige. Selvom det stadigvæk vil være en markant lavere andel end det antal danske virksomheder, som var omfattet af Persondataforordningen, så er det stadigvæk en lovgivning, som bliver særdeles omkostningsfuld og vanskelig at håndtere for de danske virksomheder. Figur 2: Andelen af virksomheder, der minimum bruger én af de typer af metadata, som er omfattet af den nye eprivacy-forordning 55% 45% Gør brug af enten direkte markedsføring, cookies, Gør IKKE brug af direkte markedsføring, cookies, informationer fra telefonnummerregistre eller data informationer fra telefonnummerregistre eller data om kunders bevægelsesmønstre om kunders bevægelsesmønstre Kilde: Dansk Erhvervs medlemsundersøgelse, maj 2018 Note: n = 415 Som forventet er det særligt virksomheder inden for rådgivnings-, detail- og engroshandlen, som bliver ramt af eprivacy-forordningen. Størstedelen af virksomhederne i disse brancher bruger kundedata til fx markedsføring og kommunikation og vil derfor blive ramt af den nye forordning. I rådgiverbranchen er det helt op mod tre ud af fire virksomheder, mens det gælder for to ud af tre virksomheder i engrosbranchen. Modsat vil eksempelvis transportbranchen formodentlig ikke blive ramt så hårdt af de nye regler, da de i mindre grad gør brug af de aktiviteter, som vil blive ramt af lovgivningen. Lige knap halvdelen af virksomheder foretager sig i dag minimum én af de ting, som hører under den nye eprivacy-forordning. Rådgivningsbranchen vil formentlig blive ramt særligt hårdt af eprivacyforordningen. / Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 3

Figur 3: Andelen af virksomheder, der minimum bruger én af de typer af metadata, som er omfattet af den nye eprivacy-forordning, fordelt på branche 100% 90% 80% 70% 60% 73% 65% 50% 40% 45% 40% 30% 20% 10% 13% 0% Transport Detailhandel Engroshandel Rådgivning Alle brancher Andel Nedre konfidensinterval (95%) Øvre konfidensinterval (95%) Kilde: Dansk Erhvervs medlemsundersøgelse, maj 2018 Note: n = Alle (415), Rådgivning (37), Engroshandel (62), Detailhandel (62) og Transport (94). / Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 4

eprivacy-forordningen er stadig ukendt for langt de fleste danske virksomheder Selvom vi forventer, at minimum halvdelen af virksomhederne bliver berørt af forordningen, er den stadigvæk stort set ukendt for langt de fleste virksomheder. Således angiver knap hver anden virksomhed, at de slet ikke kender til den, mens hver fjerde virksomhed kun kender meget lidt til den, hvilket typisk indebærer, at de kender den af navn, men uden at vide, hvilke konsekvenser den vil få for deres virksomhed. Kun omkring hver ottende virksomhed angiver, at de kender en del eller meget til forordningen. Om end der stadigvæk er lang tid til, at forordningen træder i kraft, understreger resultaterne fra undersøgelsen, at der er behov for en storstilet oplysningskampagne, hvis ikke vi skal ende i samme situation som med EU s Persondataforordning, hvor hver anden virksomhed ikke var klar til at leve op til forordningen på ikrafttrædelsesdatoen. 70 pct. af virksomhederne kender ikke den nye eprivacy-forordning eller kender den kun af navn. Figur 4: Virksomhedernes kendskab til EU s kommende eprivacy-forordning Vi kender meget til den 3% Vi kender en del til den 10% Vi kender lidt til den 17% Vi kender meget lidt til den 26% Vi kender den ikke 44% Kilde: Dansk Erhvervs medlemsundersøgelse, maj 2018. Note: n = 415. Afslutningsvist har vi spurgt virksomhederne, hvor meget de forventer at ændre som følge af eprivacy-forordningen. Her svarer lige godt to ud af fem (43 pct.), at de forventer at lave større eller mindre ændringer som følge af forordningen. Det er stort set det samme antal virksomheder, som angiver, at de gør brug af én af de fire aktiviteter, som omfattes af forordningen. Kigger man i stedet på fordelingen blandt de virksomheder, som vi forventer vil blive ramt af forordningen, svarer mere end hver tredje, at de ikke ved, hvad det vil komme til at betyde for dem på trods af, at de formodentlig bliver ramt af forordningen. Det understreger blot den usikkerhed, som rigtig mange virksomheder oplever i forbindelse med den kommende eprivacy-forordning. 40 pct. ved ikke, hvor meget de kommer til at ændre som følge af eprivacy-forordningen på trods af, at de med sikkerhed bliver ramt af den. / Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 5

Figur 5: Virksomhedernes forventninger til, hvor meget de vil ændre som følge af eprivacy-forordningen 41% 38% 25% 25% 27% 16% 17% 2% 3% 7% Ja, meget Ja, en del Ja, men kun meget lidt Nej Ved ikke Alle Virksomheder, der bliver ramt af eprivacy Kilde: Dansk Erhvervs medlemsundersøgelse, maj 2018. Note: n = 415/186 (alle/virksomheder, der bliver ramt af eprivacy). Spørgsmål: Forventer du, at din virksomhed vil ændre noget (fx nye tekniske tiltag eller ændring af forretningsgange eller -betingelser) som følge af EU s kommende eprivacy-forordning? / Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 6

/ Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 7

Om denne udgave eprivacy-forordningen rammer hårdt i kølvandet på GDPR er det 8. nummer af Dansk Erhvervs Perspektiv i 2018. Redaktionen er afsluttet den 25. juni. Om Dansk Erhvervs perspektiv Dansk Erhvervs Perspektiv henvender sig til beslutningstagere og meningsdannere på alle niveauer. Ambitionen er at udgøre et kvalificeret og anvendeligt beslutningsgrundlag i forhold til væsentlige, aktuelle udfordringer på alle områder, som har betydning for dansk erhvervsliv og den samfundsøkonomiske udvikling. Det er tilladt at citere fra Dansk Erhvervs Perspektiv med tydelig henvisning til Dansk Erhverv. Det er tilladt at citere fra Dansk Erhvervs Perspektiv med tydelig kildeangivelse og med henvisning til Dansk Erhverv. ISSN-NR.: 1904-7694 Dansk Erhvervs Perspektiv indgår i det nationale center for registrering af danske periodika, ISSN Danmark, med titlen Dansk Erhvervs perspektiv: Analyse, økonomi og baggrund (online) Redaktion Geert Laier Christensen, underdirektør (ansvarlig), Malthe Munkøe, chefkonsulent, Jakob Kæstel Madsen, konsulent, Kristian Skriver Sørensen, økonom, Jonas Spendrup Meyer, økonom og Lotte Holmstrup, Direktionssekretær. Kontakt Henvendelser angående analysen kan ske til analysekonsulent Jakob Kæstel Madsen på jkm@danskerhverv.dk eller tlf. 3374 6079. Henvendelser angående eprivacy-forordningen kan ske til chefkonsulent Poul Noer på pno@danskerhverv.dk eller tlf. 3374 6763. / Dansk Erhvervs Perspektiv analyse, økonomi, baggrund juni 2018 8