“Waarom organiseren we privacy nog steeds als een juridische functie, terwijl de AVG in werkelijkheid een multidisciplinair Governance- en risicovraagstuk is?”
De AVG is geen primair juridisch implementatievraagstuk.
Het is een multidisciplinair Governance-, organisatie-, informatie- en risicovraagstuk met een juridische component. Een uitsluitend juridische benadering is daarom ontoereikend.
Waarom?
De AVG vraagt om meer dan juridische kennis
De AVG bevat weliswaar juridische normen, maar verlangt vervolgens dat organisaties die normen vertalen naar de dagelijkse praktijk, zoals bijv.:
- Ontwikkelen, beheren en informatiesystemen (=personen, processen, procedures, gegevens, applicaties, infrastructuur, en communicatie).
- Autorisaties.
- Logging.
- Dataclassificatie.
- Leveranciersmanagement.
- Risicoanalyse.
- Privacy en security by design en default.
- Monitoring en controle.
- Enz.
En natuurlijk ingeval van onregelmatigheden, zoals:
Een jurist kan uitstekend bepalen wat juridisch moet, maar dat betekent niet automatisch dat hij of zij kan bepalen hoe een organisatie dat technisch en organisatorisch realiseert. Daar ontstaat een belangrijk onderscheid:
Juridische compliance is niet hetzelfde als aantoonbaar in control zijn (risk, privacy en security).
2. De AVG werkt volgens een multidisciplinair model
Wetenschappelijk onderzoek naar privacy Governance en privacy management laat steeds zien dat privacy niet uitsluitend een juridisch domein is. Het raakt onder andere: recht, organisatie, processen, informatie, data, technologie, informatiebeveiliging, menselijk gedrag, Governance, risicomanagement
De AVG zelf onderstreept dit ook. Begrippen als risico gebaseerde maatregelen, privacy by design, privacy by default, passende technische en organisatorische maatregelen en de verantwoordingsplicht vereisen een combinatie van disciplines.
Een jurist die alleen naar de wet kijkt, loopt daarom het risico privacy te reduceren tot: “Mag het?”
Terwijl de organisatie eigenlijk moet beantwoorden: “Waarom doen we dit?”
“Welke persoonsgegevens hebben we?”
“Waar bevinden ze zich?”
“Wie gebruikt ze?”
“Welke risico’s ontstaan?”
“Hoe beperken we die?”
“Hoe richten we het proces in?”
“Hoe bouwen we privacy in het systeem?”
“Hoe weten we dat het werkt?”
“Hoe kunnen we dat aantonen?”
Dat laatste is een Governance- en in control vraagstuk over zowel:
1) Pas toe en Leg uit, als 2) Aantonen Opzet, bestaan en werking.
3. De grootste privacy problemen ontstaan vaak niet door verkeerde juridische interpretatie
Een belangrijk argument is dat veel privacy incidenten geen gevolg zijn van het feit dat iemand de AVG verkeerd heeft uitgelegd. Ze ontstaan bijvoorbeeld door:
- Ontbreken van/niet goed ingevulde en/of up-to-date eigenaarschap
- Systemen niet up-to-date/verkeerd geconfigureerd.
- Onvoldoende inzicht in status componenten (CI’s) informatiesystemen.
- Te ruime, of niet up-to-date, autorisaties.
- Ontbrekende functiescheidingen.
- Onvoldoende kennisniveau door gebrek aan opleiding.
- Gebrekkige (verouderde) informatiearchitectuur.
- Onduidelijke/geen verantwoordelijkheden.
- Leveranciersmanagement niet op orde.
- Ontbrekende dataclassificatie.
- Onvoldoende logging en controle daarop.
- Bewaartermijn niet duidelijk. Oude gegevens worden niet verwijderd.
- Bestanden die ongecontroleerd worden gedeeld.
Daarom is een privacybeleid van 40 pagina’s niet noodzakelijk een teken dat privacy goed geregeld is.Het kan zelfs het tegenovergestelde betekenen: Hoe meer privacy uitsluitend als juridisch document wordt georganiseerd, hoe groter het risico dat de feitelijke informatieverwerking buiten beeld blijft.
4. Privacy is ook een gedrags- en organisatievraagstuk
Hier is ook wetenschappelijke literatuur over de privacy paradox relevant: mensen kunnen privacy belangrijk vinden, maar zich in de praktijk anders gedragen. Dat laat zien dat privacy niet uitsluitend door regels en juridische normen wordt bepaald.
N.B. Het feit dat de privacywetgeving als ruim 30 jaar van kracht is en er nog steeds mee geworsteld wordt is daar een bewijs van.
Privacy gedrag wordt mede beïnvloed door:
- Cultuur.
- Werkdruk.
- Incentives.
- Sociale normen.
- Gebruiksgemak.
- Systeemontwerp.
- Eigenaar-/leiderschap.
- Training en bewustwording (bewust als laatste in dit rijtje geplaatst. Met awareness alleen red je het zeker niet.
Een juridische analyse kan vaststellen dat een bepaalde verwerking niet of wel is toegestaan. Maar daarmee is nog niet verklaard waarom medewerkers in de praktijk persoonsgegevens verkeerd verwerken. Daarvoor heb je kennis nodig uit onder meer: bedrijfskunde, gedragswetenschappen, informatiekunde, security, menselijke factoren, verandermanagement……
5. De AVG is expliciet gebaseerd op “accountability”
Een van de belangrijkste verschuivingen door de AVG is de overgang van:
“Voldoen aan regels”
naar:
“Aantoonbaar kunnen maken dat je in control bent.”
Dat is wezenlijk anders.
Een jurist is traditioneel sterk in: norm → interpretatie → juridisch advies
Maar privacy Governance vereist daarnaast: norm → risico → maatregel → implementatie → controle → bewijs → bijsturing
Dat is feitelijk de PDCA cyclus en sluit aan bij compliance management, risk management, security management en Internal Control.
Daarom trek ik de volgende conclusie::
De jurist is essentieel voor het bepalen van de juridische kaders, maar niet vanzelfsprekend de meest geschikte persoon om het gehele privacyvraagstuk te organiseren en te beheersen.
Waar juristen wél onmisbaar zijn
Het zou onjuist zijn om juristen uit het privacy domein te zetten. Integendeel. Juristen zijn waardevol voor:
- Juridische grondslagen.
- Interpretatie van de AVG.
- Rechten van betrokkenen.
- Enkele aspecten van Verwerkersovereenkomsten.
- Internationale doorgiften.
- De overige wettelijke verplichtingen.
- Betrokken voorwaarden en contracten, zoals Algemene Voorwaarden,
- Jurisprudentie.
- Handhaving
- Belangenafwegingen en -verstrengelingen..
Een jurist is bij voorkeur één van de disciplines binnen een breder privacy en security Governance model.
Deze publicatie maakt deel uit van de serie “De luis in de pels”.
