Verspillingen en privacy

Het herkennen van verspillingen helpt om de AVG efficiënt te implementeren en te beheren. Vanuit privacyperspectief zijn verspillingen niet alleen inefficiënties in het werkproces, ze duiden ook vaak op een risico voor de verwerking van persoonsgegevens. Welke soorten verspilling kunnen we tegenkomen?

Twee typen verspillingen

In de Leantheorie worden alle activiteiten van een organisatie zonder waarde voor de klant gekwalificeerd als verspilling. Het Japanse woord voor verspilling, ‘muda’, wordt gebruikt om onderscheid te maken tussen verschillende typen verspilling.

Muda type 1: verspillingen die geen klantwaarde toevoegen, maar wel noodzakelijk zijn – en daarom niet direct te elimineren. Een voorbeeld is de managementrapportage. Levert die direct klantwaarde op? Nee, toch is die noodzakelijk voor een efficiënte bedrijfsvoering.

Muda type 2: de activiteiten die geen waarde voor de klant toevoegen en die onnodig zijn. Dergelijke verspillingen kunnen zonder problemen worden geëlimineerd. Een voorbeeld uit de praktijk is een vacature voor de vervanging van een vertrokken medewerker, die door twee managers en een directeur moet worden geaccordeerd.

Wet- en regelgeving worden door organisaties vaak als een verspilling gezien. Zo wordt ook de AVG vaak als verzwaring van de administratieve lasten – en dus als verspilling – ervaren. In hoofdstuk 4 over klantwaarde hebben we echter gezien dat goed omgaan met privacy ook een bijdrage levert aan klantwaarde. Voor wie de AVG toch als verspilling wil zien, is het nog steeds muda van het type 1: een noodzakelijke activiteit. Organisaties moeten simpelweg aan de AVG voldoen en de toezichthouder, de Autoriteit Persoonsgegevens (AP), controleert actief op de naleving.

Verspillingen volgens de Leanfilosofie

Bestuurskundigen Womack & Jones (zie hoofdstuk 2) hebben de verspillingen ingedeeld in zeven categorieën.

Transport

Voorraden

Beweging

Wachten

Overproductie

Overprocessing

Rework

Deze lijst met verspillingen staat – naar de Engelse trefwoorden – bekend als TIMWOOD. Het nut van dit lijstje is dat het je helpt om verspillingen te signaleren en ter discussie te stellen; vanuit de privacyrol lever je zo jouw bijdrage aan het verbeteren van de werkprocessen. Daarnaast heeft het identificeren van verspillingen nog een tweede functie: een verspilling in het werkproces duidt vaak op een risico voor de persoonsgegevens. Die risico’s zijn de leidraad voor het nemen van de in de AVG verplichte technische en organisatorische maatregelen. Deze zeven verspillingen helpen dus bij het bepalen van deze maatregelen.

TIMWOOD: de zeven verspillingen

1. Transport

Privacy is een vorm van dienstverlening, er worden geen fysieke producten gemaakt. Toch treden ook in de dienstverlening verspillingen in de categorie transport op. Het gaat dan altijd om werk dat van de ene plek naar de andere moet; een verwerkingsregister bijvoorbeeld, dat voor een verwerking wordt opgesteld en dat onnodig veel voor controle heen en weer wordt gemaild.

De verspilling in transport wordt vaak veroorzaakt doordat het werk onnodig versnipperd is over verschillende medewerkers of afdelingen. Zeker in het domein privacy, dat relatief nieuw is, kom je dat vaak tegen. De diverse taken zijn toebedeeld aan medewerkers die dit naast hun bestaande werk erbij hebben gekregen.

Een oplossing daarvoor kan zijn een privacy-managementsysteem. Iedereen die een rol heeft in het privacyvakgebied krijgt toegang. Alle informatie en documenten zijn op één plek te vinden en hoeven niet te worden getransporteerd.

2. Voorraden

In de dienstverlening hebben we het bij voorraden altijd over werk dat zich ergens opstapelt. Indicatoren daarvoor zijn bijvoorbeeld stapels dossiers op een bureau of het aantal ongeopende of onbeantwoorde mails in een inbox. Die voorraden met werk zorgen ervoor dat er geen flow in het werkproces komt. Omdat er een voorraad onderhanden werk ligt, kunnen volgende afdelingen in het proces niet verder met hun werk of wachten klanten onnodig lang op een antwoord.

In de privacypraktijk is de verwerkingsovereenkomst vaak een veroorzaker van voorraden. Zeker kort na de invoering van de AVG zorgde deze voor grote werkvoorraden. Onnodig lang bewaarde persoonsgegevens worden ook als voorraad gezien. De persoonsgegevens zitten in een database en niemand doet er feitelijk meer wat mee; de persoonsgegevens liggen er te verstoffen. Juist dat maakt ze extra kwetsbaar: niemand kijkt er meer naar om.

3. Beweging

Wellicht ken je ze van je eigen kantoor: rondzwervende documenten of onlogische archiefsystemen. Soms nog fysiek, maar vaker nog digitaal. Een mappensysteem dat volstrekt onbegrijpelijk is, waardoor de privacydocumenten en persoonsgegevens gaan zwerven. Dat zijn allemaal verspillingen die eenvoudig te verhelpen zijn. Om verrommeling te voorkomen kun je een mappenstructuur aanleggen en fixeren. Medewerkers worden zo gedwongen alle documenten volgens het systeem te archiveren. Daarmee verminder je het risico dat persoonsgegevens gaan zwerven.

Onnodige beweging is in een kantooromgeving ook het onnodig veel van applicatie moeten wisselen. Op de computer moet dan elke applicatie worden geopend en vaak moet per applicatie weer worden ingelogd. Steeds meer organisaties stappen daarom over op ‘single sign-on’: met één password kunnen alle applicaties worden geopend. Dat scheelt veel onnodige beweging.

Een andere verspilling in deze categorie zijn de mails die vaak van de ene collega naar de andere gaan, zonder dat ze beantwoord worden. Er ontstaat dan een reeks aan mails die van hot naar her gaan. Vaak is de oorzaak hier dat de werkprocessen en verantwoordelijkheden niet duidelijk zijn. Zeker bij een relatief nieuwe discipline als privacy waar de processen nog niet goed ingericht zijn, komt deze verspilling vaak voor.

4. Wachten

De meest voorkomende verspilling in dit domein is het wachten op informatie van anderen binnen of buiten de organisatie. Het werk kan pas worden afgemaakt als de ontbrekende informatie binnen is. Blijft die uit, dan is dat wederom slecht voor de flow in het werkproces. Het register van verwerkingsactiviteiten kan pas worden gecontroleerd en gefinaliseerd als de medewerkers hun verwerkingsactiviteit hebben opgevoerd. De verwerkingsovereenkomst kan pas naar de directie ter ondertekening als de juridische afdeling en privacy deze heeft gecheckt. Iedereen wacht op elkaar.

Een andere veel voorkomende verspilling is het wachten op een akkoord. Op de privacyverklaring, bijvoorbeeld, die alleen nog door de directie moet worden geaccordeerd. Of op de retournering van een getekende verwerkingsovereenkomst. Maar het gaat ook om iets simpels als de wachttijd voor een vergadering kan beginnen, omdat het gezelschap nog niet compleet is. Hoe vaak beginnen vergaderingen niet te laat? Het is allemaal tijd die de deelnemers verspillen.

5. Overproductie

Bij overproductie gaat het om overaanbod. Er wordt meer geleverd dan waar de klant op zit te wachten, bijvoorbeeld het leveren van niet-relevante diensten of informatie. In de dienstverlening zie je dit vaak terug in te uitgebreide adviezen. Met de beste bedoelingen wordt een uitgebreid advies gegeven, met alle juridische merites, terwijl voor de klant een beknopt A4’tje op dat moment voldoende was geweest.

Voor jouw interne klant is een eenvoudig antwoord met een korte motivatie voldoende. Mag de verwerking van de gegevens die hij voorstelt binnen het kader van de AVG en welke maatregelen moeten dan worden getroffen? Dat zijn zaken die voldoen. Het gaat er niet om jouw kennis van de AVG tentoon te spreiden. Door de inhoud en de eigen kennis en niet de klantwaarde centraal te stellen, wordt veel meer geproduceerd dan gewenst is.

Een andere overproductie die in de praktijk veel voorkomt is het opvragen van te veel gegevens of gegevens die reeds in bezit zijn. Bijvoorbeeld bij het uitvoeren van een DPIA worden weer allerlei gegevens opgevraagd die als het goed is al in het register van verwerkingsactiviteiten staan (naam verwerking, doel, grondslag, etc.). Het weer opvragen van deze gegevens is een verspilling. Bovendien kan door de onnodig grote hoeveelheid gegevens die verzameld zijn , het zicht op de ‘echte’ risico’s uit beeld raken.

6. Overprocessing

Bij deze verspilling zijn de processen onnodig complex. Onnodig veel functionarissen moeten toestemming geven voor een besluit, bijvoorbeeld. Er zijn te veel controles in het proces of dingen worden dubbel gedaan, zoals data zowel fysiek als digitaal opslaan.

Het ontbreken van standaardprocedures behoort ook tot deze verspilling. Doordat er geen duidelijke procedure is voor een bepaalde handeling, wordt het proces onnodig complex of wordt veel tijd verspild met achterhalen wat er moet gebeuren.

De grootste overprocessing in termen van privacy gebeurde kort na de introductie van de AVG in mei 2018. Nederland werd overspoeld door verwerkingsovereenkomsten, ook al waren die vaak niet nodig. De verwerkingsovereenkomsten zorgden voor de verspilling voorraden (zie boven) maar ook voor overprocessing. Geregeld werden organisaties als verwerker bestempeld, terwijl zij zelfstandig verwerkersverantwoordelijke waren. De oorzaak lag in het feit dat de rollen verwerker en verwerkingsverantwoordelijke voor velen niet duidelijk waren. De formulering in de AVG, dat de verwerkersverantwoordelijke ‘doel en middel’ bepaalt, bleek voor de praktijk te onduidelijk.

Als partijen persoonsgegevens uitwisselen en allebei verwerkersverantwoordelijke zijn, is een beperktere data-uitwisselingsovereenkomst een efficiënter alternatief. Er zijn immers minder afspraken nodig omdat beide partijen een eigen verantwoordelijkheid hebben; er worden bijvoorbeeld geen aansprakelijkheids- of boeteclausules opgenomen.

Een andere verspilling die met betrekking tot het onnodig afsluiten van verwerkingsovereenkomsten in de praktijk nogal eens voorkomt is de volgende: een verwerkingsovereenkomst hoeft alleen afgesloten te worden als persoonsgegevens worden overgedragen. In het geval dat persoonsgegevens goed geanonimiseerd zijn, is volgens de AVG geen sprake van persoonsgegevens. Een verwerkingsovereenkomst is dan niet nodig. Vanzelfsprekend dient de wijze van anonimisering wel gecheckt worden en op mogelijke restrisico’s te worden beoordeeld.

7. Rework

Onder ‘rework’ wordt verstaan dat werk opnieuw moet worden gedaan, bijvoorbeeld doordat verkeerde of onvolledige informatie is gebruikt. De oorzaak is vaak niet het gebrek aan inzet van een medewerker, maar het ontbreken van goede werkinstructies en modellen. Als niet duidelijk is wat het resultaat moet zijn en hoe dat moet worden bereikt, is de kans groot dat het werk opnieuw moet worden gedaan. Omdat de functies van Functionaris Gegevensbescherming en Privacy Officers nieuw zijn en de kennis over de AVG onvoldoende, ontstaat er in het privacydomein veel werk dat opnieuw moet worden gedaan.

Een voorbeeld uit de praktijk: een verwerkingsovereenkomst wordt door de verwerker getekend geretourneerd. In de overeenkomst vult hij in dat er geen derden worden ingeschakeld. Uit de beschrijving van de technische maatregelen blijkt echter dat hij op zijn beurt een subverwerker inschakelt. De overeenkomst moet met toelichting, uitleg en aanvullende vragen weer terug naar de verwerker.

Rework kan deels worden voorkomen door goed door te vragen. Het goed inzichtelijk maken van een verwerkingsactiviteit voorkomt dat na controle de beschrijving weer moet worden aangepast. In hoofdstuk 11 ga ik daar verder op in.

De zeven verspillingen van Womack & Jones worden vaak aangevuld met een achtste verspilling: ‘skills’, waarmee onbenut talent wordt bedoeld. Ongebruikte competenties en creativiteit van medewerkers, bijvoorbeeld doordat hun baas of collega’s geen werk kunnen of willen delegeren, vallen onder deze categorie.

Verspillingen en de risico’s voor de persoonsgegevens

Wat zijn dan de meest voorkomende verspillingen uit de TIMWOOD-lijst?

Transport

Voorraden

Overproductie

Overprocessing

Transport is een grote kwetsbaarheid, omdat gegevens kwijt kunnen raken, kunnen worden onderschept of bij de verkeerde geadresseerde kunnen worden afgeleverd. Niet voor niets is e-mail de grootste oorzaak van datalekken van persoonsgegevens.

Een andere vorm waarin verspilling voorkomt, is dat een werkproces deels digitaal en deels fysiek verloopt. De gegevens gaan in termen van het Centric Privacy Framework (zie hoofdstuk 1) over van de ene naar de andere informatiecontainer. Bij die overgang kunnen fouten optreden, bijvoorbeeld als een papieren lijst handmatig in een digitaal systeem wordt gezet. Bovendien is er een risico voor de persoonsgegevens in de fysieke informatiecontainer: wat gebeurt daarmee?

Niet alleen vanuit efficiency, maar ook vanuit risicobeperking voor de persoonsgegevens dient transport te worden geminimaliseerd. Daaronder versta ik ook het niet meer verzenden van persoonsgegevens, maar het laten raadplegen op een platform. Steeds meer organisaties zijn voor hun salarisadministratie overgestapt van het verzenden van de salarisstrook per e-mail overgestapt naar een systeem waarbij werknemers hun loonstrook zelf kunnen downloaden. Het risico van transport wordt daarmee geëlimineerd.

Elk transportmoment is een potentieel datalek. Probeer deze daarom zoveel mogelijk te elimineren.

Als verspilling in de categorie voorraden noemde ik al persoonsgegevens die niet meer worden gebruikt. Persoonsgegevens die zijn gearchiveerd, op papier of digitaal, zijn kwetsbaar. Deze ‘vergeten’ persoonsgegevens hebben geen aandacht meer van medewerkers en management. Het risico dat deze ‘op straat komen te liggen’, is vele malen groter dan bij gegevens die elke dag worden gebruikt. Als persoonsgegevens niet meer gebruikt worden, gooi ze dan weg. Het scheelt je opslagcapaciteit en vermindert het risico. Check als privacyverantwoordelijke ook de archieven, fysiek en digitaal, op de voorgeschreven bewaartermijnen.

Overproductie zorgt ook voor kwetsbaarheid bij de controle over persoonsgegevens. Overproductie in het kader van gegevensverwerking kan worden geïnterpreteerd als het vragen van meer gegevens dan voor het doel nodig is. De AVG schrijft dataminimalisatie voor: alleen die gegevens die noodzakelijk zijn voor het doel, mogen worden verwerkt. Omdat data echter het nieuwe goud zijn, worden in de praktijk nogal eens meer gegevens gevraagd dan wat voor het doel noodzakelijk is. Overproductie speelt ook een rol als een betrokkene een beroep doet op zijn recht van inzage. Onder het inzagerecht vallen niet alleen formele dossiers maar bijvoorbeeld ook mails over de betrokkene, of eigen aantekeningen van medewerkers in het vrije veld in een klantendatabase. Het verzamelen van meer gegevens dan noodzakelijk is, leidt dus bij een inzageverzoek ook nog eens tot veel meer onnodig werk.

Overproductie is dus volgens de Leantheorie een verspilling en volgens de AVG zelfs verboden. Zoals ik in hoofdstuk 4 over klantwaarde schreef, dragen ze ook niet bij aan het creëren daarvan.

In privacytermen behelst overprocessing vaak het dubbel verwerken van persoonsgegevens: naast een digitaal dossier wordt ook nog een fysiek dossier aangehouden. De medewerkers zijn gewend om met papier te werken en het papieren dossier geeft ze vaak ten onrechte het gevoel van zekerheid. Als er wat met het systeem is, hebben we altijd nog de papieren dossiers, zo wordt geredeneerd. Een werkproces waarin zowel digitaal als fysiek persoonsgegevens worden verwerkt, is echter niet alleen inefficiënt, het verdubbelt ook nog eens het risico voor de persoonsgegevens.

Wordt de soep wel zo heet gegeten?

Soms wel. Een bekend voorbeeld hiervan is de boete die de AP heeft uitgedeeld aan de bank Theodoor Gilissen, inmiddels InsingerGilissen. Het ging om een zaak uit 2016, toen de voorganger van de AVG, de Wet Bescherming Persoonsgegevens (WBP), nog van kracht was. Destijds deed een klant van de bank een verzoek tot inzage van zijn persoonsgegevens. Hij wilde een overzicht van de persoonsgegevens die de bank over hem had vastgelegd, waar die vandaan kwamen en met wie ze waren gedeeld. Ook wilde hij afschriften van de chatberichten tussen hem en de bank en een kopie van de interne instructies over afspraken die de bank met hem zou moeten maken. De bank wilde geen inzage geven, met het argument dat de klant er een gerechtelijke procedure mee zou willen beginnen.

De advocaat van de klant diende daarop een handhavingsverzoek in bij de AP, die van mening was dat de bank het verzoek tot inzage moest honoreren. Om de uitspraak kracht bij te zetten, legde de AP de bank een dwangsom op van 12.000 euro per week.

Uiteindelijk had de bank een maand nodig om de informatie ter inzage te geven aan de klant: dat kostte de bank dus 48.000 euro. Of alles wat gevraagd werd ook is geleverd, is onduidelijk. De AP stelt zich op het standpunt dat persoonlijke werkaantekeningen niet onder het inzagerecht vallen, maar als deze worden opgeborgen in een dossier of aan derden worden verstrekt, dan vallen ze er weer wel onder. Wat echter wel duidelijk is geworden door deze zaak, is dat een verzoek tot inzage van persoonsgegevens niet snel kan worden geweigerd. En het kostte de bank vier weken om de gegevens boven water te krijgen, ondanks de dwangsom. Dit onderstreept nog eens de noodzaak om goede procedures te hebben. Als je op voorhand goede procedures maakt voor de rechten die klanten op grond van de AVG kunnen uitoefenen, dan voorkom je een hoop stress – en soms dus zelfs grote kosten.