Politik for dataetik

I medfør af årsregnskabslovens § 99 d, stk. 1 har direktionen i PricewaterhouseCoopers Statsautoriseret Revisionspartnerselskab (“PwC DK”) vedtaget denne politik for dataetik (“Politikken”).

Formålet med Politikken er, at redegøre for PwC DK’s arbejde med dataanvendelse og dataetik, herunder at beskrive de principper, som al dataanvendelse i PwC DK baserer sig på, for derved at give personer uden for PwC DK indsigt i dataanvendelsen.

PwC DK har på grundlag af Dataetisk råds ekspertgruppes anbefalinger formuleret de grundlæggende principper for sin dataanvendelse, som definerer den etiske ramme for PwC DK’s dataetiske adfærd.

Ansvarlighed

PwC DK er en virksomhed, der som led i vores daglige arbejde anvender betydelige mængder af data, det være sig vores kunders eller vores egne data. At håndtere sådan data stiller krav til den ansvarlighed, som vi skal udvise i vores dataanvendelse. Det skal være klart, hvem der har ansvar for dataanvendelsen og hvad dette ansvar indebærer. 

Sikkerhed

PwC DK’s dataanvendelse skal i alle henseender ske på en sikker og forsvarlig måde. Dette gælder både i forhold til de teknologiske hjælpemidler, vi benytter os af, og i vores daglige adfærd. Vi skal til enhver tid stræbe efter et robust sikkerhedsniveau, og vi skal løbende kontrollere, at vi overholder alle regler og retningslinjer. 

Gennemsigtighed

Vores dataanvendelse skal være underlagt tilstrækkelig transparens til at sikre, at individer kan få indsigt i egne data og informeres om, hvilke data PwC DK behandler om dem. 

Progressivitet

Vi skal anvende data på en måde, som giver mening og hvor vi udnytter fordelen ved teknologiske værktøjer uden at gå på kompromis med grundlæggende retssikkerhedsmæssige principper, og hvor vi også sikrer individets ret til privatliv. 

Lighed

Al dataanvendelse skal ske på en måde der ikke indebærer diskrimination på baggrund af ulovlige kriterier som køn, seksualitet, etnicitet, alder, handikap, politisk eller religiøs overbevisning. 

Fortrolighed

Vi behandler data med stor fortrolighed, hvor dette er påkrævet og med omhyggelighed og påpasselighed vi udviser i forbindelse med vores dataanvendelse, skelner vi ikke mellem Kundedata og PwC DK’s egne data.

PwC DK indsamler og behandler betydelige mængder af data, herunder også personhenførbare data, der er særskilt reguleret i databeskyttelseslovgivningen. Data kan overordnet opdeles i tre typer:

• PwC’s egne data - interne data

• Data indsamlet fra og tilhørende PwC’s kunder

• Tredjeparts Data - tredjeparts data, som PwC har brugsret til

Kundedata indsamles som udgangspunkt af PwC DK selv således, at PwC DK modtager data direkte fra kunden. Visse data hentes i offentligt tilgængelige systemer som fx CVR. 

Data indsamles og opbevares i PwC DK’s egne systemer. Behandling af data vil dog efter omstændighederne kunne ske i systemer tilhørende eksterne leverandører, fx. i PwC DK’s mailsystem. 

Indsamling af data indebærer også, at metadata genereres og anvendes i de systemer, hvori data behandles. PwC DK benytter både descriptive¹ metadata og strukturelle² metadata. Descriptive metadata benyttes til søgning og katalogisering af den primære data, da det består af informationer om den pågældende data, fx hvornår data blev lagt ind i et system ved hjælp af et tidsstempel. Strukturelle metadata anvendes til at skabe orden i data og udgør information om, hvordan data opbevares. 

Formålet med PwC DK’s indsamling og behandling af kundedata er at blive i stand til at kunne udføre en konkret opgave for den pågældende kunde. PwC DK indsamler kun data, som er nødvendig for opgavens udførelse. 

Er der tale om personoplysninger, vil der i forbindelse med indsamlingen af data blive foretaget en vurdering af, om PwC DK er dataansvarlig eller databehandler. I sidstnævnte tilfælde vil der blive indgået en særskilt databehandleraftale mellem PwC DK og kunden.

Al data opbevares på en sådan måde, at kun partnere og medarbejdere med et arbejdsbetinget behov har adgang til data. Der gives således kun adgang til data efter et need-to-know-kriterium. 

PwC DK benytter kun metadata så længe den primære data eksisterer i PwC’s systemer.

PwC DK har etableret interne regler for, hvor længe data opbevares. Disse regler i er vid udstrækning knyttet op på lovgivningsmæssige krav og forpligtelser som fx bogføringsloven.

Som udgangspunkt behandles data indsamlet af PwC DK kun af PwC DK’s egne partnere og medarbejdere. Der kan dog være situationer, hvor det er nødvendigt eller hensigtsmæssigt at inddrage en tredjemand i databehandlingen. I så tilfælde vil PwC DK sikre indgåelse af en fortrolighedsaftale med den pågældende tredjemand ligesom det kan være påkrævet at indgå en databehandleraftale.

Deling af data med personer uden for PwC DK vil typisk ske i forbindelse med opgaver, der involverer andre PwC-netværksfirmaer og hvor deling af data således er nødvendig for, at det udenlandske PwC-firma bliver i stand til at udføre sin del af den samlede opgave for kunden. Der er mellem alle firmaer i PwC-netværket indgået bindende aftaler, der nøje regulerer behandlingen af kundedata. 

PwC DK sælger ikke kundedata eller andre data til tredjemand.

PwC DK har en generel målsætning om at blive ved at udvikle sine digitale kompetencer og værktøjer. Vi har et vedvarende fokus på at anvende nye teknologier, hvor dette giver værdi for både vores kunder og os selv. 

Digitale værktøjer er underlagt en række omfattende godkendelseskrav fra PwC-netværkets egen it-sikkerhedsorganisation (Network Information Security), som skal opfyldes før de kan implementeres.

Denne politik er godkendt af PwC DK’s direktion i juni 2023. 

Direktionen vurderer Politikken mindst én gang årlig og indarbejder de fornødne tilpasninger efter fælles indstilling fra PwC DK’s General Counsel, Chief Data Officer og Chief Information Security Officer.