Bewustwording creëren bij medewerkers en organisatie

Om de persoonsgegevens die de organisatie verwerkt optimaal te beschermen, moeten medewerkers zich bewust zijn van het belang van de bescherming van persoonsgegevens. Bovendien dragen bewuste medewerkers bij aan een effectieve implementatie en efficiënt beheer van privacy. Bewustzijn over privacy is van belang op organisatie- en medewerkersniveau.

De organisatie

Voor privacybewustzijn op organisatieniveau is een stevig privacybeleid dat is goedgekeurd door het hoogste orgaan in de organisatie noodzakelijk. Zo’n beleid is geen overschrijven van de AVG, maar beschrijft hoe de organisatie om wil gaan met het verwerken en beschermen van persoonsgegevens. De AVG is het kader, voor de invulling daarvan zal de organisatie over essentiële vragen na moeten denken. Daarbij gaat het niet alleen om wat er van de AVG moet, maar wat wil de organisatie doen om persoonsgegevens te beschermen? Wat is onze visie op de bescherming van persoonsgegevens? Hoe past dit in de missie en visie van de organisatie als geheel? Sluit het beleid aan bij de kernwaarden van de organisatie? Creëert het nadenken over beleid misschien ook nieuwe kernwaarden?

Om tot een goed privacybeleid te komen is dus input vanuit de organisatie nodig. Ontwikkel het beleid dan ook altijd samen met de belangrijkste stakeholders. Laat ze in ieder geval hun feedback op het concept-beleid geven en meedenken over privacy in de organisatie. Daarmee werk je ook meteen aan bewustwording.

Ten tweede helpt het regelmatig uitvoeren van een privacy-audit. Deze gaat niet over het privacybewustzijn van de individuele medewerker, maar over de privacy-volwassenheid van de organisatie of een onderdeel daarvan.

In hoofdstuk 13 sta ik uitgebreider stil bij privacy-volwassenheidsmodellen die je daarvoor kunt gebruiken.

Implementatie van het beleid

Minstens zo belangrijk als het beleid zelf, is de implementatie van het beleid. Maar al te vaak verdwijnen fraaie beleidsplannen in een map om er nooit meer uit te worden gehaald. Een goed beleidsplan bestaat daarom mijns inziens uit minimaal 60% implementatie. Dat deel van het plan beschrijft hoe het geformuleerde beleid geïmplementeerd wordt in de dagelijkse praktijk. Voor de implementatie van het afhandelen van een inzageverzoek zullen onder andere de volgende vragen moeten worden beantwoord: hoe stellen we de identiteit vast? Kunnen we daarvoor bestaande gegevens gebruiken? Overleggen we kopieën of geven we een overzicht middels een lijst? Verwijzen we naar het privacyreglement of geven we aanvullende informatie? Hoe handelen we als onze organisatie ook nog gebonden is aan specifieke wetgeving die ook recht op inzage biedt?

Het implementatie-onderdeel uit het beleid vertaal je weer naar werkinstructies. De werkinstructies schetsen het werkproces in concrete taken die uitgevoerd moeten worden. De instructie maakt ook duidelijk wie voor welke stap in het proces welke rol heeft. Een veel gebruikt model daarbij is het RASCI-model. In een matrix wordt weergegeven welke rol, welke verantwoordelijkheid heeft. Het model kent vijf verantwoordelijkheden:

R = Responsible = verantwoordelijk

A = Accountable = eindverantwoordelijk

S = Supportive = ondersteunend

C = Consulted = geraadpleegd

I = Informed = geïnformeerd

Om bij het voorbeeld van het inzageverzoek te blijven, daarvoor geldt in de meeste organisaties de volgende RASCI.

De Privacy Officer zal verantwoordelijk zijn voor de afhandeling. De manager van de afdeling waar het inzageverzoek is gedaan zal, meestal gemandateerd door de directie, eindverantwoordelijk zijn. De collega’s die de gegevens voor het verzoek op moeten zoeken zijn ondersteunend. Wellicht wordt de Chief Privacy Officer of Functionaris Gegevensbescherming geraadpleegd. De directie zal in een privacyrapportage geïnformeerd worden over het aantal inzageverzoeken dat is afgehandeld.

Kortom, het opstellen en implementeren van het privacybeleid is meer dan het aanpassen van een standaardmodel. Waarbij er overigens niks mis is met het gebruiken van een model: het geeft een raamwerk waardoor je efficiënter het beleid op kunt stellen.

Het beleid dient ook altijd door het ‘hoogste gezag’, directie, CEO of college van bestuur te worden goedgekeurd. Zij zijn immers volgens de AVG eindverantwoordelijk. Bovendien helpt zo’n goedkeuringstraject ook weer bij het kweken van bewustwording.

Als het beleid is goedgekeurd start het communicatietraject. Immers, managers en medewerkers moeten op de hoogte zijn van het beleid, de implementatie en werkinstructies.

Ook voor beleid geldt de PDCA-cyclus. Leg daarom in het beleid vast wanneer dit wordt geëvalueerd op de werking en de praktijk, en aan de hand daarvan wordt geüpdatet.

De medewerkers

Medewerkers die zich bewust zijn van de risico’s die samenhangen met de verwerking van persoonsgegevens, kunnen je veel werk uit handen nemen. Daarvoor is wel wederzijds vertrouwen nodig. Medewerkers moeten jou als privacyverantwoordelijke kunnen vertrouwen als ze kwesties over de verwerking van gegevens met je aankaarten. En jij moet erop kunnen vertrouwen dat medewerkers het meteen melden als zich bijvoorbeeld een datalek voordoet.

Als je de rol van Functionaris Gegevensbescherming (FG) hebt, dan kun je dat vertrouwen prima kweken. In jouw rol ben je immers tot op zekere hoogte onafhankelijk van de organisatie. Je bent niet alleen verantwoordelijk voor de implementatie van de AVG, volgens de AVG ben je daarmee ook een verlengstuk van de toezichthouder. Dat kan een lastige positie zijn, maar je kunt er ook je voordeel mee doen. Om die onafhankelijkheid te waarborgen eist de Autoriteit Persoonsgegevens (AP) dat de FG buiten de lijn om voor medewerkers direct bereikbaar is, bijvoorbeeld door een FG-e-mailadres.

De effectiviteit van elk privacybeleid staat of valt met kennis van dat beleid en bewustzijn van medewerkers over de gegevens die ze verwerken. Als medewerkers onzorgvuldig omgaan met persoonsgegevens, bijvoorbeeld door ze te laten slingeren of mee naar huis te nemen, dan kan dat tot ernstige reputatieschade voor de organisatie leiden. De AP legt dan ook veel nadruk op bewustwording. En terecht; beleid kan slechts effectief zijn als medewerkers het serieus nemen en daadwerkelijk uitvoeren. Als iemand zich niet realiseert dat een verloren USB-stickje persoonsgegevens kan bevatten, dan wordt het verlies nooit gemeld. Laat staan dat je passende maatregelen kunt nemen volgens je protocol voor datalekken.

Aanpak afhankelijk van context

De aanpak om privacy ‘tussen de oren’ van medewerkers te krijgen hangt af van de mate waarin de organisatie ‘volwassen’ is op het gebied van privacy. Omdat in veel organisaties de invoering van de AVG in mei 2018 de aanleiding is geweest om privacy op de agenda te zetten, zal de aandacht voor privacy meestal relatief nieuw zijn. Het is nog niet ingebakken in de bedrijfsprocessen, sterker nog: de zorg voor privacy wordt geregeld ervaren een extra last. Nog meer bureaucratie die afleidt van het werk.

Een organisatie die al veel aandacht heeft voor privacy, vraagt om een andere aanpak. Dan is het vooral een kwestie van onderhoud om privacy top of mind te houden.

Bedenk dus welke mate van volwassenheid de organisatie heeft en stem daar de acties op af. Een organisatie met een hoog bewustzijn vraagt om andere acties dan eentje waar privacy nog in de kinderschoenen staat.

Daarnaast is het van belang om te kijken of het privacybewustzijn in alle lagen van de organisatie hetzelfde is. Vaak is het management wel doordrongen van de noodzaak, als de direct verantwoordelijken voor de verwerking, maar heeft ‘de werkvloer’ een veel lager bewustzijn, of andersom.

Zichtbaarheid van de privacyverantwoordelijke

Bewustwording bij medewerkers begint met de zichtbaarheid in de organisatie van degene die verantwoordelijk is voor privacy. Dat geldt in eerste instantie voor de Privacy Officer, maar ook voor de Functionaris Gegevensbescherming (FG) is vanuit zijn toezichthoudende taak, noodzakelijk om zichtbaar te zijn op de werkvloer. In hoofdstuk 6 Gemba Walk beschreef ik al hoe je dat aan kunt pakken. Als FG onderhoud je daarnaast een stevig contact met de Privacy Officers.

Zichtbaarheid kan ook zijn podium vragen voor privacy tijdens personeelsbijeenkomsten of teamoverleggen. Zorg dat zo’n presentatie geen saaie opsomming wordt van de eisen uit de AVG, maar geef duidelijke voorbeelden en koppel die aan de organisatie. Of organiseer zelf korte voorlichtingsbijeenkomsten voor medewerkers.

Belangrijk is ook om zichtbaar te blijven voor de directie en het management. Schuif, zeker als FG, regelmatig aan bij het directie- en managementoverleg. Zorg dat privacy ook bij hen op de agenda komt en blijft, bijvoorbeeld door ze geregeld bij te praten over de stand van zaken rond privacy.

Veranker privacy in de organisatie

Als het eerste missiewerk erop zit, dan is het belangrijk de aandacht voor privacy niet te laten verslappen. Ook hier geldt weer dat je moet kijken wat past bij de organisatie. Zorg er in ieder geval voor dat jij de kar niet alleen hoeft te trekken: de leidinggevenden en degene die de persoonsgegevens daadwerkelijk verwerken, zijn de verantwoordelijken. Houd na verloop van tijd privacy-audits in de organisatie, waarin je op verschillende punten checkt hoe het met de bescherming van persoonsgegevens staat.

Omdat iedereen wel doordrongen is van de (reputatie)schade die datalekken op kunnen leveren, is dat ook een goed instrument voor het onderhouden van privacybewustzijn. Aan de hand van het register datalekken kun je analyses maken en bijvoorbeeld een keer per kwartaal rapporteren op oorzaak en maatregelen die naar aanleiding hiervan zijn getroffen. Bespreek zo’n rapportage ook met het management/directie.

Als het misgaat: het Haga Ziekenhuis

Het Haga Ziekenhuis in Den Haag, dat zo’n 3600 medewerkers telt, kwam in 2019 in het nieuws, omdat medewerkers de privacy van patiënten hadden geschonden. Twee incidenten hebben tot flinke reputatieschade voor het ziekenhuis geleid.

In de zomer van 2019 kwam aan het licht dat tientallen medewerkers van het ziekenhuis het medische dossier van realityster Samantha de Jong, beter bekend als Barbie, hadden bekeken. Via de website Publeaks had een tipgever dit aan de redactie van het actualiteitenprogramma EenVandaag gemeld, dat het ziekenhuis vervolgens om een bevestiging vroeg. Naar aanleiding van deze vraag heeft het ziekenhuis melding gedaan bij de Autoriteit Persoonsgegevens (AP). De medewerkers hadden de gegevens van De Jong bekeken via Chipsoft, een door veel zorginstellingen gebruikt informatiesysteem. Normaal gesproken hebben alleen medewerkers met medische betrokkenheid bij de patiënt toegang tot die gegevens.

De AP deed onderzoek en kwam tot de conclusie dat het ziekenhuis de beveiliging van de medische gegevens niet op orde had en deelde een boete uit van 460.000 euro.

De regels die het ziekenhuis hanteerde om de dossiers te beveiligen, bleken onvoldoende. Inloggen was mogelijk met slechts een gebruikersnaam en een wachtwoord, terwijl medische dossiers moeten worden beveiligd met zogenaamde tweefactorauthenticatie; inloggen met gebruikersnaam, wachtwoord én controle van personeelspas en pincode.

Daarnaast merkte de AP op dat iedereen die met gebruikersnaam en wachtwoord was ingelogd vier uur toegang had tot de gegevens. Die duur was te lang, er moet in zo’n tijd vaker worden ingelogd, zodat de controle ook vaker gebeurt.

Deze technische kant van het verhaal is betrekkelijk eenvoudig aan te pakken. Het begint echter met medewerkers die het blijkbaar geen probleem vinden om te neuzen in het dossier van een patiënt. Enkele tientallen medewerkers hebben dit gedaan, later blijkt dat het ziekenhuis aan 85 medewerkers een waarschuwing heeft gestuurd.

Dat het met het bewustzijn over privacy niet snor zat in het ziekenhuis, bleek een paar maanden later toen zich een nieuw incident voordeed. Een klant van een supermarkt in Den Haag vond in een boodschappenkarretje een boodschappenlijstje dat op de achterkant van een dienstoverdracht van het Haga Ziekenhuis was gemaakt. Op de achterkant van het lijstje stonden de namen van patiënten, behandelend artsen, redenen voor opname en de medicatie; allemaal bijzondere gegevens en dus een ernstig datalek. De vinder bracht de lijst naar de politie, waardoor het balletje ging rollen.

Dit incident toonde dat het ziekenhuis zijn zaken niet alleen op het gebied van beveiliging niet op orde had, maar dat het bij de medewerkers ook ontbrak aan privacybewustzijn.

Wat kunnen we hiervan leren?

Als een incident heeft plaatsgevonden, in dit geval het op grote schaal ongeautoriseerd raadplegen van een patiëntendossier, onderneem dan meteen actie. Analyseer de oorzaak, stel verbetervoorstellen op en implementeer deze.

Maak medewerkers middels een solide programma bewust van het feit dat ze met bijzondere gegevens werken en maak hen duidelijk dat deze gegevens de organisatie niet mogen verlaten. De boetes voor nalatigheid zijn, zoals het Haga Ziekenhuis heeft ondervonden, niet mals.