Privacy na de implementatie van AVG

Als de implementatie van de AVG achter de rug is, begint een nieuwe fase: die van beheer en onderhoud. Als het goed is, liggen de privacyverklaring en het register van verwerkingsactiviteiten niet ergens te verstoffen in een directory, maar worden ze minimaal eens per jaar gereviseerd. Ook het privacybewustzijn van medewerkers vraagt om onderhoud. Wat zijn de praktische gevolgen van de overgang van implementatie naar beheer? Hoe regel je de governance en blijf je compliant?

Privacy governance

Als de maatregelen uit de AVG zijn geïmplementeerd moeten deze geborgd worden in de organisatie. In deze fase is het belangrijk om de governance van privacy goed te regelen. Hoe wordt de organisatie op het gebied van privacy bestuurd? Zijn de taken en verantwoordelijkheden die voortvloeien uit de AVG goed in de gehele organisatie belegd en ingebed?

De zorg voor persoonsgegevens is immers een verantwoordelijkheid van alle medewerkers en niet alleen van de Privacy Officers of de afdeling juridische zaken. Zij ondersteunen en adviseren de organisatie.

Hoe de governance eruit ziet zal per organisatie verschillen. Dat heeft te maken met de omvang van de organisatie maar ook met de soort persoonsgegevens die verwerkt worden en de risico’s die zich daarbij voor kunnen doen. Nuttige sturingsinstrumenten voor de governance zijn DPIA’s, het register datalekken en privacy-audits.

DPIA’s geven zicht op de risico’s die bij verwerkingsprocessen kunnen voordoen en geven aan welke maatregelen getroffen zijn om die risico’s te mitigeren en welke restrisico’s eventueel blijven bestaan. De uitgevoerde DPIA’s geven waardevolle informatie over de risico’s op het gebied van de risico’s van persoonsgegevens.

Het register datalekken geeft sturingsinformatie op de kwetsbaarheden die zich voordoen bij de verwerking van persoonsgegevens. Door in het register onder meer het aantal, de soort en de oorzaak van datalekken vast te leggen, krijg je inzicht in de kwetsbaarheden. Uit het register kun je waardevolle informatie halen voor de rapportage aan het management. Daarnaast dien je dit register minimaal eens per jaar in overleg met de IT-afdeling te evalueren. Is er een rode draad in de oorzaken van datalekken te ontdekken? Welke maatregelen zijn inmiddels getroffen en voldoen die? Is er een bepaalde applicatie of afdeling waar meer dan gemiddeld datalekken plaatsvinden?

Uit deze evaluatie volgen wellicht nieuwe maatregelen, die weer via de PDCA-cyclus kunnen worden ingevoerd.

Compliance: een continu proces

Compliance betekent voldoen aan de AVG en ook dat is een continu proces. Het register van verwerkingsactiviteiten is de basis om aantoonbaar te maken dat jouw organisatie voldoet aan de AVG. Het beheren van dit register betekent dat je alle verwerkingen checkt volgens de PDCA-cyclus: Plan-Do-Check-Act. Eerst heb je de verwerkingsactiviteiten in kaart gebracht (Plan) en die heb je allemaal opgenomen in het register (Do). Waar nodig heb je maatregelen getroffen om het veiliger en sneller te laten verlopen.

In de beheerfase volgt nu de derde stap: Check. Je kijkt hoe de maatregelen om het verwerkingsproces te verbeteren in de praktijk werken. Worden ze nageleefd? Zijn er nog meer verbeterslagen te maken? Als de maatregelen niet worden nageleefd: zijn ze niet werkbaar of hebben ze aanpassing nodig? Of is het een kwestie van de procedure opfrissen en toezien op betere naleving ervan?

Daarnaast kijk je of de context van de verwerking is veranderd, waardoor je de beschrijving van de verwerking misschien moet aanpassen. Zijn er zaken in de business of de organisatie veranderd, waardoor bijvoorbeeld meer gegevens worden gevraagd? Kan dat op dezelfde grondslag? Worden doelbinding en dataminimalisatie nog in acht genomen? Zijn er nieuwe wettelijke bewaartermijnen? Zijn er nieuwe functies bijgekomen die ook persoonsgegevens verwerken? Zijn er nieuwe applicaties of producten waar persoonsgegevens worden verwerkt?

Voor de methodiek kun je weer dezelfde tools gebruiken als eerder in dit boek besproken; van individuele interviews met verwerkers en een ‘brown paper’-sessie tot de Gemba Walk (zie resp. hoofdstuk 4 en 6). Het kan zijn dat het resultaat van de checkfase is dat zaken moeten worden aangepast. De omgeving verandert immers voortdurend en daarmee ook de verwerking. Degene die persoonsgegevens verwerken zijn zich bovendien hopelijk meer bewust geworden van de risico’s die kleven aan het verwerken van persoonsgegevens.

Na de checkfase ga je aan de slag (Act): het up-to-date laten brengen van het register en het eventueel invoeren van nieuwe maatregelen. De aanpassingen in je register gebruik je als uitgangspunt voor de aanpassing van andere documenten.

De privacyverklaring is belangrijk middel voor transparantie. Ook deze vraagt onderhoud. Bij de implementatie van de AVG heb je een privacyverklaring opgesteld en die op de website gepubliceerd. In de checkfase heb je bij het nalopen van het register van verwerkingsactiviteiten wellicht de beschreven activiteiten aangepast. Deze aanpassingen kunnen consequenties hebben voor de privacyverklaring. Kijk dus altijd of de verklaring moet worden aangepast.

Dit geldt ook voor de procedures die tijdens de implementatie van de AVG zijn opgesteld voor het geval de betrokkenen hun rechten uitoefenen. Zijn er nieuwe applicaties die gegevens verwerken? Dan moet de procedure worden geüpdatet.

Ook de verwerkers dien je minstens één keer per jaar op actualiteit te toetsen. Uit de review van het verwerkingsregister kunnen altijd nieuwe verwerkers komen, waarmee ook een overeenkomst moet worden afgesloten. En andere verwerkers worden misschien niet meer gebruikt, waardoor je deze overeenkomsten kunt vernietigen.

Goed beheer van verwerkers betekent ook checken of de verwerker daadwerkelijk voldoet aan zijn verplichtingen uit de verwerkingsovereenkomst. Is misschien een verwerkersaudit nodig om dit te checken?

Privacy-audits

Privacy-audits zijn ook een goed sturingsmiddel. Daarnaast zal elke directie of management een keer de vraag stellen: ‘Waar staan we nu op het gebied van privacy?’ Of je hebt als verantwoordelijke voor privacy zelf de behoefte om te kijken wat je inspanningen voor resultaat hebben opgeleverd en waar nog verbeteringen mogelijk zijn. Wat de reden ook is, er zijn verschillende tools beschikbaar om de ‘privacyvolwassenheid’ van jouw organisatie in kaart te brengen. Zowel het CIP (Centrum Informatiebeveiliging en Privacybescherming) als het IAPP (International Association of Privacy Professionals) hebben modellen voor een privacy-audit ontwikkeld. Deze modellen geven een geobjectiveerd beeld van de mate van privacyvolwassenheid van je organisatie.

Het model van het CIP, de privacy baseline is onderverdeeld in drie domeinen:

Beleidsdomein: het privacybeleid van de organisatie.

Uitvoeringsdomein: de eisen aan de uitvoering van de AVG.

Control- of beheerdomein: het beheer en de controle van het privacybeleid.

De eisen aan de uitvoering van de privacywetgeving zijn weergegeven in de vorm van een normenkader. De eisen worden gestructureerd op basis van een template waarin de elementen wie, wat en waarom geadresseerd worden, zodat antwoord wordt gegeven op de vraag: ‘wie doet wat en waarom?’.

De zogenaamde conformiteitsindicator uit het model is een sub-norm waaraan voldaan moet worden om aan de hoofdnorm te voldoen. Aan elke conformiteitsindicator wordt dan één of meerdere maatregelen gekoppeld. Voor elk domein wordt de privacyvolwassenheid op die manier in kaart gebracht.

Het model van de IAPP is wat beknopter en werkt daardoor in de praktijk efficiënter. Dit model hanteert vijf beheerniveaus

Informeel: de werkzaamheden worden op verwerkingsniveau informeel uitgevoerd.

Beheerst: de werkzaamheden worden binnen een afdeling als een beheerst en herhaalbaar proces uitgevoerd.

Vastgesteld: de werkzaamheden worden organisatiebreed volgens een vastgestelde werkwijze uitgevoerd.

Voorspelbaar: de prestaties worden gemeten, vergeleken met de branche en gebruikt voor een optimaal lerend vermogen (PDCA-cyclus).

Geoptimaliseerd: de gemeten prestaties maken integraal onderdeel uit van de bedrijfsstrategie en -uitingen.

Het IAPP-model heeft twaalf kerngebieden waar direct op gescoord wordt:

Privacyverklaring

Aantoonbaarheid

Identificatie en classificatie

Incidenten en datalekken

Informatie en gebruik

Toegang en nauwkeurigheid

Training

Privacy by design

Verwerker (‘third party’)

Internationale overdracht

Opslag en vernietiging

Veiligheid

Bij de scorekaart krijgt elk kerngebied een toelichting over de behaalde score. Het voordeel van deze methode is dat op de scorekaart in één oogopslag de mate van privacy op een bepaald kerngebied is af te lezen. De toelichting geeft een verdieping; in die zin is het model van de IAPP meer Lean.

Voor welk model je uiteindelijk kiest, hangt af van de organisatie en de context waarin de organisatie opereert.

Security

Op het gebied van security is het in de beheerfase vooral belangrijk zicht krijgen op nieuwe applicaties die binnen jouw organisatie in gebruik genomen zijn. Worden in de nieuwe applicaties persoonsgegevens vastgelegd? Welke technische en organisatorische maatregelen zijn getroffen om die persoonsgegevens veilig te stellen?

Daarnaast is het aan te raden om met de IT-afdeling te overleggen welke incidenten zich hebben voorgedaan. Waren daarbij persoonsgegevens in het geding? Hoe zijn de incidenten opgevolgd? Zijn met de genomen maatregelen de risico’s voldoende ondervangen?

Organisatie en medewerkers

Het privacybewustzijn bij medewerkers en management moet voortdurend worden onderhouden. Dat gebeurt alleen al door de dialoog over het verwerken van de persoonsgegevens. Daarnaast kan het geen kwaad een opfriscursus aan te bieden of interactieve meetings te organiseren. Hier is het vooral een kwestie van herhalen en ervoor zorgen dat in de hectiek van alledag privacy nog top of mind blijft. Nieuwe medewerkers krijgen vanzelfsprekend weer een training in privacy en uitleg over het privacybeleid.

Het management en/of de directie moet regelmatig op de hoogte worden gesteld van de mogelijke risico’s die de organisatie loopt bij het verwerken van persoonsgegevens. Doe dat kort en overzichtelijk. Realiseer je dat privacy één van de vele onderwerpen is waarover zij zich moeten buigen.

Het beleid zal niet jaarlijks ingrijpend wijzigen, want als het goed is, is hierin een langetermijnvisie over privacy verwoord. Toch is het goed om hier nog eens naar te kijken vanuit de context van privacy. Zijn er zaken of opvattingen veranderd, waardoor het beleid ter discussie moet worden gesteld?

De publieke opinie laat een toenemend privacybewustzijn zien; wellicht dat meer privacybewuste klanten, cliëntraden of ouderzeggenschapsraden jouw organisatie nopen tot een nieuwe visie op privacy.