Register van verwerkingsactiviteiten en de Data Stream Map

In het register van verwerkingsactiviteiten

zijn de verwerkingsactiviteiten beschreven. Deze statische verwerkingsactiviteit kun je tot een dynamisch verwerkingsproces maken met behulp van een Data Stream Map

. Een extra voordeel: je kunt er ook de betrokkenheid van de verwerkers mee verhogen.

Register van verwerkingsactiviteiten voor verwerkersverantwoordelijken en verwerkers

De AVG verplicht organisaties hun privacyinspanningen aantoonbaar te maken. Een van de verplichte maatregelen is het opstellen van een register van verwerkingsactiviteiten. Dit register is vormvrij: de AVG stelt geen eisen waaraan het moet voldoen, maar somt wel op welke gegevens moeten worden opgenomen:

naam en contactgegevens van de organisatie, de Functionaris Gegevensbescherming als die er is en eventuele internationale organisaties waarmee gegevens worden gedeeld;

het doel waarvoor gegevens worden verwerkt;

de categorieën personen waarvan de gegevens worden verwerkt (de betrokkenen);

de soorten gegevens die worden vastgelegd;

hoelang de gegevens worden bewaard;

of persoonsgegevens worden verstrekt aan een derde partij en zo ja, aan wie;

of de gegevens buiten de EU worden gedeeld en zo ja, met welke organisatie en waar die zijn gevestigd;

een beschrijving van de technische en organisatorische maatregelen die de organisatie heeft getroffen om de gegevens te beschermen.

Bovenstaande opsomming geldt voor organisaties die verwerkingsverantwoordelijke zijn. Verwerkers kunnen met een beperkter register volstaan. Dan moet worden vermeld:

naam en contactgegevens van de organisatie en de Functionaris Gegevensbescherming als die er is;

een beschrijving van de categorieën van verwerkingen die in opdracht van de verwerkingsverantwoordelijke worden uitgevoerd;

de internationale organisaties waarmee eventueel gegevens worden gedeeld;

of de gegevens buiten de EU worden gedeeld en zo ja, met welke organisatie en waar die zijn gevestigd;

een beschrijving van de technische en organisatorische maatregelen die de organisatie heeft getroffen om de gegevens te beschermen.

Het opstellen van het register is in veel organisaties een ingewikkelde en tijdrovende klus. Daarnaast dient het continu te worden geüpdatet. Verwerkingen kunnen veranderen, verwerkers kunnen worden ingeschakeld. Kortom, het register vraagt onderhoud.

Door alle gegevens die het register vraagt, krijgt de organisatie goed zicht op de persoonsgegevens die worden verwerkt, of ze buiten de EU gaan en welke maatregelen de organisatie heeft getroffen, zowel technisch als organisatorisch. Het register helpt dus om in control te zijn over de verwerking van persoonsgegevens.

Daarnaast kun je bij het opstellen van het register onrechtmatige verwerkingen opsporen. Verwerkingen waarvoor een grondslag ontbreekt, verwerkingen die geen doelbinding hebben of verwerkingen waarbij niet voldaan is aan de eis van dataminimalisatie.

Het opstellen van het verwerkingsregister noodzaakt de organisatie ook om na te denken over de bewaartermijnen van de persoonsgegevens. Gegevens die niet zijn gebruikt of gegevens die over de houdbaarheid heen zijn, worden meteen geschoond.

Als laatste dwingt het register ook om na te denken over beveiligingsmaatregelen, want die moeten worden beschreven. In welke informatiecontainers (IC’s) worden de persoonsgegevens opgeslagen? Welke maatregelen zijn er per IC getroffen?

Van verwerkingsactiviteit naar verwerkingsproces: de Data Stream Map

In het register zijn de persoonsgegevens steeds het uitgangspunt, niet de werkprocessen waarin die worden verwerkt. Daarmee geeft het register geen inzage in de verbinding tussen de verschillende processen waarin persoonsgegevens worden verwerkt. Waar komen de gegevens vandaan? Wie heeft ze vastgelegd? Waar gaan de gegevens naartoe? Wie is de volgende verwerker binnen de organisatie? Daardoor ontstaat er geen volledig zicht op de risico’s die de persoonsgegevens in het werkproces lopen. Om de controle te hebben over de persoonsgegevens is er dus meer nodig dan alleen zo’n register.

Lean kent een toepassing die hierbij zeer bruikbaar is: de Value Stream Map, in goed Nederlands de waardestroomanalyse. Het doel is het proces inzichtelijk te maken, te visualiseren, waardoor de verspillingen kunnen worden geëlimineerd. Door samen met medewerkers alle processen in kaart te brengen, ziet iedereen direct welke verspillingen er in het proces zitten. De opzet van de analyse is dus om de werkprocessen met de betrokken medewerkers in kaart te brengen, zodat zij zelf de inefficiënties ontdekken. Bij elke processtap worden dezelfde vragen gesteld: levert deze waarde voor de klant? Is het een verplichting? Of is het een verspilling die kan worden geëlimineerd?

Van Value Stream Map (VSM) naar Data Stream Map (DSM)

Deze waardestroomanalyse laat zich ook goed gebruiken binnen het domein privacy. Het doornemen van alle processen waarbij persoonsgegevens worden verwerkt, leidt tot een Data Stream Map (DSM). Elke stap van het proces waarbij persoonsgegevens worden verwerkt, wordt in kaart gebracht. Daarbij worden niet de verspillingen geïdentificeerd, zoals bij de Value Stream Map, maar kijken we of er kwetsbaarheden in de processtap zitten, die een risico voor de persoonsgegevens oplevert.

Een Data Stream Map biedt niet alleen zicht op de kwetsbaarheden in het verwerkingsproces, maar levert ook kennis op over waar welke persoonsgegevens worden opgevraagd, of deze gegevens in een flow door de organisatie gaan of dat op verschillende plekken dezelfde gegevens steeds weer opnieuw worden opgevraagd en vastgelegd.

Het maken van een DSM met een team creëert ook een gedeelde opvatting over hoe de persoonsgegevens moeten worden verwerkt. Via deze wijze van procesanalyse creëer je een standaard voor het verwerken van persoonsgegevens. Die gestandaardiseerde manier wordt in de PDCA-cyclus na verloop van tijd weer opnieuw geanalyseerd en verbeterd.

Het uitvoeren van een DSM begint met het bepalen van de scope: welk proces wordt geanalyseerd? Een bepaalde categorie persoonsgegevens is daarbij het uitgangspunt. Als er reeds een register is, dan pak je een daarin vermelde verwerking voor de analyse.

Bepaal als eerste het start- en eindpunt van het proces dat je wilt analyseren. Zorg ervoor dat je een heel proces pakt en niet slechts een deel ervan. Bijvoorbeeld het proces ‘inschrijving’: het startpunt is de inschrijving door een persoon op een nieuwsbrief of voor een training of opleiding. Het einde van dat proces is dat de betreffende gegevens in de database zijn opgenomen en dat de training begint of dat de nieuwsbrief wordt verstuurd.

Als je het proces dat je wilt analyseren goed hebt gedefinieerd, dan kijk je welke afdelingen bij de verwerking betrokken zijn. Zorg ervoor dat alle relevante afdelingen zijn vertegenwoordigd en plan vervolgens met alle betrokkenen een bijeenkomst om de analyse uit te voeren. In de Leanterminologie heet dit de ‘brown paper’-sessie, vernoemd naar het bruine pakpapier waarop de post-its met de processtappen worden geplakt. Deze manier van werken helpt ook weer bij het creëren van bewustzijn over privacy bij medewerkers.

Tijdens de bijeenkomst ontrafelen de deelnemers het proces stapje voor stapje. Elk deel van het proces waarin persoonsgegevens worden verwerkt, wordt op een post-it gezet. Deze post-its worden op een groot vel papier geplakt. Let op: bij het in kaart brengen van het proces verzamel je zoveel mogelijk data van de onderliggende processtap. Welke persoonsgegevens verzamelen we? Zijn er bewaartermijnen voorgeschreven? Hoelang duurt de verwerking? Waar worden de persoonsgegevens opgeslagen?

De volgende stap bij een Value Stream Map is om de procesefficiëntie te berekenen: waar treedt verspilling op? Bij de Data Stream Map kijk je waar de verspillingen en kwetsbaarheden zitten op het gebied van privacy. Waar is de kans op een datalek reëel? Waar liggen verspillingen als overprocessing of overproductie op de loer? Waar worden onnodig gegevens opgevraagd? Welke kwetsbaarheden zien we als persoonsgegevens van de ene informatiecontainer naar een andere overgaan?

Met de DSM heb je nu een opname van de flow van de persoonsgegevens in je organisatie en de verspillingen en kwetsbaarheden die zich daarbij voordoen. De DSM helpt je bovendien om goede procedures op te stellen voor het geval een betrokkene een beroep doet op het recht van inzage, rectificatie of vergetelheid. De kwetsbaarheden in het verwerken van de persoonsgegevens worden door de DSM zichtbaar – en die kunnen leiden tot belangrijke aanpassingen in de verwerkingsprocessen.

Voorbeeld van een ‘brown paper’-sessie

Datastromen visualiseren

In de ‘brown paper’-sessie heb je de processtappen gevisualiseerd. Een groot voordeel van visualisaties is dat ze verbanden sneller duidelijk kunnen maken. In één oogopslag breng je de boodschap over en zien toehoorders meteen het grote plaatje. Een bijkomend voordeel is dat het maken van een visualisatie je in het proces dwingt om je ideeën concreet te maken, focus aan te brengen en keuzes te maken. Het grootste voordeel: een visualisatie maakt het privacywerk tastbaar en daarmee beter te managen. De tijdens een privacysessie gebruikte post-its lenen zich echter niet echt voor een presentatie of om de inzichten over te brengen.

Er zijn gelukkig voldoende tools om na afloop het resultaat presentabel te maken. Er is veel software voorhanden dat speciaal ontwikkeld is om waardestromen te visualiseren. Deze lenen zich ook uitstekend voor het visualiseren van een datastroom. Lucidchart is een handige tool, maar ook Microsoft Office heeft sjablonen. Vaak biedt PowerPoint met de verschillende vormen, pictogrammen en 3D-modellen, al uitkomst.