De AVG, werkprocessen en Leanmanagement

De AVG ziet toe op het verantwoord verwerken van persoonsgegevens. Leanmanagement

is een theorie om processen te analyseren en efficiënter te maken.

De principes van Leanmanagement zijn, mits die op een slimme manier worden toegepast, waardevol in de dagelijkse praktijk van privacy en AVG.

In de AVG wordt steeds geschermd met termen als verwerkingen, verwerker, verwerkersverantwoordelijk en gegevensverwerking. Verwerken moet daarbij breed worden opgevat: ook het louter opslaan van persoonlijke gegevens wordt als verwerken gezien.

Het woord verwerken geeft al aan dat de wet toeziet op een activiteit: de persoonsgegevens worden verwerkt in een proces, een werkproces. Dat werkproces kan als hoofddoel hebben het verwerken van die persoonsgegevens, maar veel vaker zal de verwerking van de persoonsgegevens ondergeschikt zijn aan een werkproces. Met andere woorden: het doel van het proces ligt niet bij de verwerking van de persoonsgegevens zelf, maar elders, bijvoorbeeld in het bijhouden van een database met klanten voor commerciële doeleinden, het verwerken van patiëntgegevens in een behandeltraject of het maken van rapporten van leerlingen.

Als verantwoordelijke voor privacy kijk je simpelweg naar werkprocessen waarin persoonsgegevens worden verwerkt. Die werkprocessen moeten voldoen aan de eisen die de AVG daaraan stelt en die in het vorige hoofdstuk aan de orde zijn gekomen. Basiskennis van werkprocessen is daarom nuttig; die helpt om de werkprocessen te doorgronden en ze daarna privacyproof te kunnen maken. De belangrijkste managementtheorie over werkprocessen is Leanmanagement.

Wat is Leanmanagement?

Lean is een managementfilosofie die zich richt op het verbeteren van de werkprocessen in organisaties. Lean heeft zijn wortels in Japan, kort na de Tweede Wereldoorlog. Taiichi Ohno, de toenmalige directeur van autoconcern Toyota, is de grondlegger van het idee dat alleen productiestappen die klantwaarde toevoegen, nut hebben; de rest is verspilling. Vanuit dit idee werd het productieproces binnen de autofabriek verder vormgegeven. Dit geheel van principes staat bekend als het ‘Toyotahuis’. Vanuit deze gedachte focust Lean op de verspillingen die in elk werkproces voorkomen, met als doel die verspillingen te elimineren of om te zetten naar een activiteit die geen verspilling meer is. Daarbij staat het begrip klantwaarde centraal: elke stap in het proces wordt daaraan afgemeten. Heeft deze stap in het proces waarde voor de klant? Als de stap geen waarde heeft, dan wordt die omgezet in een waarde creërende activiteit. Als dat niet kan, dan wordt de activiteit geëlimineerd. Dit proces wordt continu herhaald. De organisatie analyseert elke keer haar processen en kijkt of deze verbeterd kunnen worden.

Het doel van Lean is niet primair om kosten te reduceren, maar om een organisatie te creëren met een continue verbetercultuur. Een organisatie die haar creativiteit benut om verspilling om te zetten in waarde voor de klant.

Koppeling met privacy

De handvatten die Leanmanagement biedt, helpen om de werkprocessen en daarmee de persoonsgegevens die worden verwerkt, op een transparante manier in kaart te brengen. Dit biedt zicht op hoe data worden verwerkt, wie ze verwerken en, bijvoorbeeld, of ze overgaan van de ene informatiecontainer naar een andere. In dat geval verandert het register van verwerkingsactiviteiten van een statische in een dynamische tool, die helpt om echt controle over de persoonsgegevens te hebben. In hoofdstuk 4 ga ik daar verder op in.

De toepassing van de Leantheorie helpt ook de externe Functionarissen Gegevensbescherming zicht te krijgen op de processen en snel de taal van de organisatie te leren spreken. Waar Lean de processtappen afstemt op de klantwaarde, leggen we de processtappen voor privacy naast de risico’s die de verwerking met zich meebrengt voor persoonsgegevens en de verplichtingen uit de AVG. De privacydiscipline draagt op die manier bij aan het innoveren van de werkprocessen in de organisatie.

In hoofdstuk 3 ga ik verder in op het begrip klantwaarde en hoe die ook met privacy kan worden gecreëerd.

De PDCA-cyclus

De principes die Toyota in de tweede helft van de jaren 40 hanteerde, zijn door William Edwards Deming in de jaren 50 beschreven en verder uitgewerkt. Zijn beschrijving wordt het ‘Wiel van Deming’ of de PDCA-cyclus genoemd.

De cyclus begint met een P: plan. In deze fase worden plannen gemaakt, doelstellingen vastgelegd in een businessplan, risico’s in kaart gebracht en wordt alle relevante wet- en regelgeving bekeken.

Daarna volgt de D: do, tijd om uit te voeren. Nu worden onder meer structuren, rollen en verantwoordelijkheden bepaald, de trainingsbehoefte in kaart gebracht, de communicatie gestart en procedures en werkinstructies opgesteld.

De volgende stap is de C: het checken van de werkwijze, waarbij het gebruikelijk is om een audit uit te voeren. Er wordt gemonitord hoe de plannen in de praktijk werken en afwijkingen worden gerapporteerd. Die afwijkingen kunnen ertoe leiden dat de procedure wordt aangepast of dat de uitvoerders worden gemaand de beschreven procedure te volgen.

Na deze check begint de cyclus opnieuw: de uitkomsten van de check geven weer aanleiding voor aanpassingen (Act). Het proces wordt met het volgend van deze cyclus steeds in kleine stappen verbeterd. De PDCA-cyclus zien we onder andere nog steeds terug in kwaliteitsmanagement. Om voor een ISO-certificering in aanmerking te komen, is het verplicht om de PDCA-cyclus aantoonbaar te doorlopen.

De PDCA-cyclus

Koppeling met privacy

Deze PDCA-cyclus is zeer bruikbaar voor de implementatie van privacymaatregelen in een organisatie. Naar aanleiding van de analyse van het werkproces kan het soms nodig zijn om deze aan te passen, in navolging van de AVG-eis om passende organisatorische en technische maatregelen te treffen. Die aanpassingen lenen zich prima voor de PDCA-cyclus: op basis van een analyse maak je een plan, je stelt de noodzakelijke eerste maatregelen op en die voer je in. In de checkfase kijk je hoe de maatregelen in de praktijk uitpakken en past ze waar nodig aan. Vervolgens worden deze aanpassingen de nieuwe werkprocedure. Zo blijf je steeds kijken waar verbeteringen nodig zijn om de privacy in de gegevensverwerking optimaal te beschermen.

Het voordeel van deze aanpak is dat maatregelen snel kunnen worden ingevoerd. Bovendien komt er vanaf het begin meteen feedback van de verwerkers over de maatregel, er is dus alle ruimte om bij te sturen. En, ook niet onbelangrijk: medewerkers voelen zich niet overvallen door de aanpassingen in hun werk. Ze zijn betrokken bij de maatregelen die stap voor stap worden genomen en hebben een stem in de evaluatie. Kortom, geen revolutie, maar evolutie.

Lean thinking: Womack & Jones

Tot eind jaren 90 blijft het stil rondom het oude concept Lean. Dan zorgen James P. Womack (Massachusetts Institute of Technology, VS) en Daniel T. Jones (University of Sussex, VK) voor een revival door op basis van de Leanprincipes ‘Lean Thinking’ te introduceren. Lean thinking begint met het specificeren van de klantwaarde: welke waarde leveren wij als organisatie aan onze klanten? Daarna worden alle stappen in het proces in kaart gebracht in een zogenaamde Value Stream Map. Van elke stap in het proces wordt bekeken of deze wel of geen waarde toevoegt vanuit het klantperspectief. Een processtap die geen waarde toevoegt, wordt veranderd in waarde toevoegend voor de klant en als dat niet mogelijk is, dan wordt deze geëlimineerd.

Lean thinking kun je toepassen op de eigen privacy processen. Welke stappen maken we bijvoorbeeld allemaal als er een betrokkene een inzageverzoek doet? Zijn die stappen allemaal noodzakelijk, leveren ze waarde voor de betrokkene op die inzage in zijn gegevens wil?

Als alle verspilling uit het werkproces is verwijderd, wordt een continue flow van begin tot einde gemaakt. De processtappen volgen elkaar snel op, waardoor diensten geleverd worden zonder dat er tijd verspild wordt doordat er bijvoorbeeld moet worden gewacht op informatie. Het verbeteren van de processen is een continu proces. Met verbeterprojecten kan de organisatie steeds de verspilling zoeken en die uit het werkproces halen.

Deze aanpak zien we tegenwoordig in licht gewijzigde vorm terug bij veel start-ups. Hun werkwijze is daarom bekend geworden als de ‘lean start-up cycle’. Daarin wordt een idee geboren en meteen wordt een eerste versie gebouwd. Dit ‘minimal viable product’ (MVP), een eerste versie met genoeg kenmerken om waarde toe te voegen voor klanten, wordt gelanceerd. Vervolgens worden op basis van metingen data verzameld. Die data vormen de basis voor het verder ontwikkelen van het product. Deze manier van werken waarborgt een snelle productontwikkeling, die sterk gestuurd wordt door het gebruik van de klant.

Koppeling met de AVG

De aanpak van Womack & Jones leent zich goed voor de analyse van werkprocessen vanuit privacyperspectief. In hoofdstuk 4 ga ik daar uitgebreider op in. Hoe zet je de Value Stream Map in voor het verbeteren van privacy in jouw organisatie?

Nuttig voor alle sectoren

Omdat Lean zijn wortels heeft in de productiesector, zijn de principes jarenlang alleen daar toegepast. De laatste jaren zien ook andere sectoren het nut ervan in; bij verschillende zorgverleners, van verpleeghuizen tot academische ziekenhuizen, zijn Leantrajecten georganiseerd.

Ook in de zakelijke dienstverlening worden de principes tegenwoordig toegepast. Verschillende banken en verzekeraars, waaronder ING en ARAG, zijn gestart met het implementeren van de Leanprincipes in hun organisatie. Rabobank heeft zelfs een Lean Competence Center, waar Leancoaches actief zijn bij het begeleiden van de implementatie van Leanmanagement.

Vanuit andere organisatiedelen sijpelt Lean nu ook door naar de juridische wereld. Verschillende juridische afdelingen van grootbanken zijn met Lean bezig, net als een aantal grote advocatenkantoren. De tijd is rijp om Lean ook in te bedden in het privacyvak.