1 jaar AVG - terugblik door David Bos
De interpretatie van de verordening is per bedrijfstak en zelfs per organisatie verschillend. Gezien de wetgeving die vol staat met zgn. ‘open normen’ is dat niet zo vreemd. Wel vervelend, want het kan maar zo zijn dat je nu zaken te goeder trouw inregelt die over een tijdje anders geïnterpreteerd worden door bijvoorbeeld de Autoriteit Persoonsgegevens (AP). Dat niet iedere organisatie even ver gevorderd was met de implementatie bleek wel. Zo gaf onze eigen overheid niet echt het goede voorbeeld…
Als VerzuimWeg hebben we de implementatie projectmatig aangepakt. Dit advies hebben we ook aan onze partners gegeven. En het advies: meegaan. Meegaan met de richting die de wetgeving ingezet heeft en daar je voordeel mee doen. Je komt immers verder als je met de stroom meezwemt dan wanneer je tegen de stroom ingaat. Voor de aanpak heb ik samen met collega’s een AVG-checklist gemaakt die we beschikbaar hebben gesteld aan onze klanten tijdens workshops ‘Privacy en AVG’ in maart 2018. Hoewel we echter allemaal het ‘AVG-kunstje’ graag zouden afkijken van een handige buurman was er geen one-size-fits-all concept dat we konden meegeven.
Geen dikke vrienden
Toch zijn de meeste bedrijven dapper aan de slag gegaan, maar het kost veel tijd. Simpelweg, omdat efficiëntie en wetgeving niet altijd de dikste vrienden zijn. Of omdat sommige bedrijfsprocessen zo specifiek zijn dat zelf gerespecteerde autoriteiten op dit gebied lang moeten nadenken over een antwoord.
Inmiddels is de rust een beetje terug gekeerd. Tijd om eens terug te blikken op 1 jaar AVG. Want hoewel de uiterlijke kenmerken van AVG-compliance volop zichtbaar zijn stel ik mezelf de vraag: Wordt er nu door organisaties en personen echt heel anders aangekeken tegen privacy dan voor 25 mei 2018?
De grootste verandering onder de AVG is, denk ik, het principe van de ‘verantwoordingsplicht’. Dat houdt in deze context in dat je als verwerkingsverantwoordelijke moet kunnen aantonen dat je voldoet aan de eisen die gesteld worden. Je moet dus aantonen dat je compliant bent in plaats van dat aangetoond moet worden dat je niet-compliant bent.
Kun je dat niet, dan kan alleen dat feit al gesanctioneerd worden door de Autoriteit Persoonsgegevens (AP). Sancties zijn nogal een hot item onder het regime van de AVG: de AP heeft namelijk de bevoegdheid om boetes uit te schrijven tot 20.000.000 euro. Niet dat de AP daarmee direct op oorlogspad gegaan is, maar de aandacht is met dit soort serieuze bedragen natuurlijk wel gewekt.
Privacy of aansprakelijkheid
De keerzijde is dat het gesprek over privacy al snel gaat over aansprakelijkheid. Dat merk je vooral bij gesprekken over de Verwerkersovereenkomst: het contract tussen de partij die verantwoordelijk is voor de (verwerking van) persoonsgegevens en de partij die namens de Verantwoordelijke persoonsgegevens verwerkt.
Je zou graag willen dat het dat het gesprek gaat over ‘hoe we samen omgaan met persoonsgegevens’.
Evengoed is er een gesprek op gang gekomen. Als VerzuimWeg hebben we zo veel mogelijk gekozen voor “bewustwording”. Dus niet alleen AVG omdat het moet maar juist ook waarom.
Dat betekende het tegenovergestelde van struisvogelpolitiek. Dus in plaats van de kop in het zand soms juist de nek uitsteken. Bijvoorbeeld door als eerste arbodienst impopulaire maatregelen te nemen, door ieder data-lek, hoe klein ook, bloedserieus te nemen, actief met klanten in gesprek te blijven en onze eigen medewerkers steeds te laten meedenken in het verbeteren van privacy maatregelen. Voor ons is het nog lang niet klaar. Innovatie is ook zeker op het gebied van privacy een speerpunt voor de komende jaren.
Is er iets veranderd?
Er is een interessant boek geschreven (Je hebt wel iets te verbergen, Maurits Martijn & Dimitri Tokmetzis) waar we een flinke stapel van hebben opgekocht om uit te delen aan klanten en relaties. In dit boek wordt gesteld dat privacy het meest bedreigde mensenrecht van onze tijd is. Ik zie dat mensen niet door hebben welke gegevens ze allemaal weg geven en welke gevolgen dit kan hebben. Voor organisaties is dit eigenlijk niet anders. Daarom hebben we ook sessies georganiseerd voor de specialisten waarmee wij samenwerken: Bedrijfsartsen, arbeidsdeskundigen, coaches en bedrijfsmaatschappelijk werkers hebben we geprobeerd op weg te helpen met de informatie die wij al hebben.
Volgens mij is er echt iets aan het veranderen. Er wordt gesproken over privacy en wordt er aandacht geschonken over hoe we omgaan met de gegevens van en over anderen. En dat is winst. Intrinsiek of extrinsiek gemotiveerd.
