AVG op de werkvloer: zo bescherm je persoonsgegevens binnen je organisatie

Van personeelsdossiers en sollicitatiebrieven tot klantgegevens, camerabeelden en zakelijke e-mailadressen: vrijwel iedere organisatie verwerkt persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) stelt regels aan de manier waarop organisaties daarmee omgaan. Dat geldt niet alleen voor grote ondernemingen, maar ook voor kleinere werkgevers, verenigingen en andere organisaties die persoonsgegevens verwerken.

In de praktijk gaat goede privacybescherming om meer dan een privacyverklaring op de website. Medewerkers moeten weten welke gegevens ze mogen gebruiken, systemen moeten passend worden beveiligd en persoonsgegevens mogen niet zonder reden jarenlang worden bewaard. Ook moet duidelijk zijn wat er gebeurt wanneer iets misgaat. Door privacy onderdeel te maken van dagelijkse processen wordt naleving van de AVG een stuk overzichtelijker.

Waarom de AVG op vrijwel iedere werkvloer relevant is

Zodra een organisatie persoonsgegevens verwerkt, kunnen verplichtingen uit de AVG van toepassing zijn. Denk bijvoorbeeld aan gegevens van medewerkers voor de salarisadministratie, contactgegevens van klanten of gegevens van sollicitanten.

De omvang van de organisatie is daarbij niet het belangrijkste uitgangspunt. Een klein bedrijf kan eveneens gevoelige persoonsgegevens verwerken en moet daar zorgvuldig mee omgaan.

Dat betekent overigens niet dat iedere organisatie precies dezelfde maatregelen moet nemen. De AVG kent een risicogebaseerde aanpak. Welke technische en organisatorische maatregelen passend zijn, hangt onder andere af van de aard van de gegevens, de verwerking en de risico’s voor betrokken personen.

Een webshop met duizenden klantaccounts heeft bijvoorbeeld andere privacyvraagstukken dan een klein adviesbureau met een beperkt klantenbestand. De basis blijft hetzelfde: weet welke persoonsgegevens je verwerkt, waarom je dat doet en hoe je ze beschermt.

Breng eerst in kaart welke gegevens je verwerkt

Wie persoonsgegevens goed wil beschermen, moet weten waar ze zich bevinden. Dat klinkt vanzelfsprekend, maar informatie kan binnen een organisatie verspreid staan over veel verschillende systemen.

Denk aan HR-software, mailboxen, CRM-systemen, gedeelde netwerkschijven, cloudopslag, mobiele telefoons en oude archieven. Ook spreadsheets die medewerkers lokaal bewaren kunnen persoonsgegevens bevatten.

Breng daarom de belangrijkste gegevensstromen in kaart. Welke persoonsgegevens worden verzameld? Voor welk doel gebeurt dat? Wie heeft toegang? Met welke externe partijen worden gegevens gedeeld? En hoe lang blijven ze bewaard?

Voor organisaties die daartoe verplicht zijn, vormt het register van verwerkingsactiviteiten hierbij een belangrijk hulpmiddel. Ook wanneer een specifieke registratieverplichting niet of slechts beperkt van toepassing is, kan inzicht in gegevensstromen praktisch noodzakelijk zijn om privacy goed te organiseren.

Niet alle persoonsgegevens zijn hetzelfde

Persoonsgegevens zijn gegevens die informatie bevatten over een geïdentificeerde of identificeerbare persoon. Een naam en adres zijn duidelijke voorbeelden, maar ook online identificatoren en andere gegevens kunnen onder omstandigheden persoonsgegevens zijn.

Daarnaast onderscheidt de AVG bijzondere categorieën van persoonsgegevens. Daaronder vallen bijvoorbeeld gegevens over gezondheid, religieuze of levensbeschouwelijke overtuigingen, politieke opvattingen, seksuele gerichtheid en bepaalde biometrische en genetische gegevens.

Voor de verwerking van zulke gegevens gelden strengere regels.

Het burgerservicenummer (BSN) verdient eveneens bijzondere aandacht, maar wordt juridisch niet simpelweg tot de bijzondere categorieën persoonsgegevens uit de AVG gerekend. Voor het gebruik van het BSN gelden in Nederland specifieke wettelijke regels.

Ook persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten hebben een afzonderlijke beschermde positie. Gooi al deze categorieën daarom niet op één hoop, maar bepaal per soort informatie welke regels gelden.

Verzamel alleen gegevens die je daadwerkelijk nodig hebt

Een belangrijk uitgangspunt van de AVG is dataminimalisatie. Een organisatie hoort niet meer persoonsgegevens te verzamelen dan noodzakelijk is voor het doel waarvoor ze worden verwerkt.

Stel bijvoorbeeld dat een bedrijf inschrijvingen verzamelt voor een zakelijke nieuwsbrief. Dan is het de vraag of naast een e-mailadres ook een geboortedatum, woonadres en telefoonnummer nodig zijn. Wanneer die gegevens geen functie hebben voor het betreffende doel, ligt het niet voor de hand om ze voor de zekerheid toch te verzamelen.

Hetzelfde principe geldt intern. Vraag bij ieder formulier en systeem welke velden daadwerkelijk noodzakelijk zijn.

Dat vermindert niet alleen privacyrisico’s, maar kan het beheer ook eenvoudiger maken. Gegevens die je niet verzamelt, hoef je immers ook niet te beveiligen, actueel te houden of uiteindelijk te verwijderen.

Beperk toegang op basis van werkzaamheden

Niet iedere medewerker hoeft toegang te hebben tot alle informatie die binnen een organisatie beschikbaar is. Een medewerker van de financiële administratie heeft bijvoorbeeld andere gegevens nodig dan iemand die uitsluitend met marketing bezig is.

Werk daarom met rollen en toegangsrechten die aansluiten bij functies en verantwoordelijkheden. Controleer deze rechten bovendien periodiek. Een medewerker die van functie verandert, heeft misschien geen toegang meer nodig tot systemen die bij de vorige rol hoorden.

Ook uitdiensttreding vraagt om een duidelijke procedure. Accounts en toegangsrechten moeten tijdig worden aangepast of beëindigd.

Technische maatregelen kunnen hierbij helpen. Denk aan sterke authenticatie, versleuteling waar passend, updates en beveiligde back-ups. Welke maatregelen nodig zijn, moet worden bepaald aan de hand van de concrete risico’s.

Maak duidelijke afspraken met externe leveranciers

Vrijwel iedere organisatie gebruikt externe diensten. Een salarisverwerker, IT-leverancier, clouddienst of marketingbureau kan daarbij persoonsgegevens verwerken.

Het is belangrijk om eerst vast te stellen welke rol zo’n partij onder de AVG heeft. Wanneer een leverancier persoonsgegevens namens en volgens instructies van jouw organisatie verwerkt, kan sprake zijn van een verwerker. In dat geval zijn afspraken conform de AVG nodig, doorgaans vastgelegd in een verwerkersovereenkomst.

Niet iedere externe partij waarmee persoonsgegevens worden gedeeld is echter automatisch een verwerker. Soms bepaalt een partij zelfstandig het doel en de middelen van de verwerking en heeft zij een andere juridische rol.

Laat daarom niet standaard iedere leverancier dezelfde overeenkomst ondertekenen. Beoordeel eerst de feitelijke verwerking en leg vervolgens de juiste afspraken vast.

Bij ingewikkelde vraagstukken kan ondersteuning van een privacy consultant nuttig zijn, bijvoorbeeld om gegevensstromen, rollen, contracten en interne processen te beoordelen.

Privacy hoort niet alleen bij IT of juridische zaken

Een goed beveiligd computersysteem voorkomt niet dat een medewerker een bestand naar de verkeerde ontvanger mailt. Andersom kan een uitstekend privacybeleid weinig betekenen wanneer systemen technisch onvoldoende beschermd zijn.

Privacy vraagt daarom om samenwerking tussen verschillende onderdelen van een organisatie.

Medewerkers moeten bijvoorbeeld weten hoe zij verdachte e-mails herkennen, welke persoonsgegevens ze via welke kanalen mogen delen en waar ze een mogelijk incident moeten melden. Leidinggevenden moeten begrijpen waarom toegangsrechten worden beperkt en HR moet zorgvuldig omgaan met personeelsinformatie.

Maak trainingen zo praktisch mogelijk. Een medewerker heeft vaak meer aan herkenbare situaties uit de eigen werkdag dan aan een lange presentatie met uitsluitend juridische begrippen.

Herhaal belangrijke onderwerpen bovendien regelmatig. Privacybewustzijn is geen eenmalige cursus die daarna jarenlang kan worden afgevinkt.

Wat moet je doen bij een mogelijk datalek?

Een datalek is breder dan een geslaagde cyberaanval. Ook een verkeerd verzonden e-mail, verloren USB-stick, gestolen laptop of document dat bij de verkeerde persoon terechtkomt kan een inbreuk in verband met persoonsgegevens opleveren.

Zorg daarom voor een interne procedure waarmee medewerkers mogelijke datalekken snel kunnen melden. Wachten totdat volledig duidelijk is wat er is gebeurd, kan kostbare tijd kosten.

Breng na een melding in kaart welke gegevens betrokken zijn, hoeveel mensen mogelijk zijn geraakt, wat de mogelijke gevolgen zijn en welke maatregelen direct genomen kunnen worden.

Niet ieder datalek hoeft aan de Autoriteit Persoonsgegevens te worden gemeld. Een melding bij de toezichthouder is in beginsel nodig wanneer de inbreuk waarschijnlijk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Wanneer een melding verplicht is, moet deze zonder onredelijke vertraging en waar mogelijk binnen 72 uur nadat de organisatie kennis heeft genomen van het datalek worden gedaan.

Ook datalekken die niet bij de toezichthouder hoeven te worden gemeld, moeten onder de AVG in passende gevallen intern worden gedocumenteerd.

Wanneer moeten betrokken personen worden geïnformeerd?

Een melding aan de Autoriteit Persoonsgegevens en communicatie met de getroffen personen zijn twee verschillende zaken.

Betrokkenen moeten in beginsel worden geïnformeerd wanneer een datalek waarschijnlijk een hoog risico voor hun rechten en vrijheden inhoudt, tenzij een wettelijke uitzondering van toepassing is.

Dat betekent dat niet na ieder verkeerd verzonden mailtje automatisch alle betrokken personen moeten worden aangeschreven. De aard van de gegevens, mogelijke gevolgen en genomen beschermingsmaatregelen zijn relevant voor de beoordeling.

Zorg dat binnen de organisatie duidelijk is wie deze risicoanalyse uitvoert en wie bevoegd is om een melding of communicatie te verzorgen. Bij twijfel kan gespecialiseerde juridische of privacykennis nodig zijn.

Een DPO of FG is niet voor iedere organisatie verplicht

De Engelse term Data Protection Officer (DPO) en de Nederlandse term Functionaris Gegevensbescherming (FG) verwijzen naar dezelfde functie.

Een DPO of FG houdt onafhankelijk toezicht op de toepassing van privacyregels binnen een organisatie en kan adviseren over onderwerpen zoals gegevensbescherming en DPIA’s.

Niet iedere onderneming is verplicht een FG aan te stellen. De AVG noemt specifieke situaties waarin deze verplichting geldt, onder andere voor bepaalde organisaties die op grote schaal regelmatig en stelselmatig personen observeren of op grote schaal bijzondere categorieën persoonsgegevens verwerken.

Een organisatie kan ook vrijwillig een FG aanwijzen. Het is daarbij belangrijk dat de onafhankelijke positie, taken en beschikbare middelen goed worden geregeld.

Maak ook afspraken over bewaartermijnen

Persoonsgegevens mogen niet onbeperkt worden bewaard omdat ze misschien ooit nog handig zijn. Bepaal per categorie gegevens hoe lang ze nodig zijn en of er wettelijke bewaartermijnen van toepassing zijn.

Een sollicitatiedossier kan bijvoorbeeld een ander bewaarbeleid hebben dan financiële administratie of een personeelsdossier. Gebruik daarom niet één algemene bewaartermijn voor alle gegevens binnen de organisatie.

Leg afspraken vast en zorg er vooral voor dat gegevens in de praktijk daadwerkelijk worden verwijderd of geanonimiseerd wanneer de bewaartermijn is verstreken.

Vergeet daarbij oude mailboxen, gedeelde mappen en lokale bestanden niet. Juist daar blijven persoonsgegevens gemakkelijk langer staan dan oorspronkelijk bedoeld.

Maak privacy onderdeel van normale bedrijfsprocessen

Goede naleving van de AVG ontstaat uiteindelijk niet door één beleidsdocument op te stellen. Privacy moet terugkomen bij de aanschaf van software, het aannemen en uit dienst gaan van medewerkers, marketingactiviteiten, contracten met leveranciers en de ontwikkeling van nieuwe diensten.

Controleer daarom periodiek of procedures nog aansluiten bij de werkelijkheid. Zijn er nieuwe systemen bijgekomen? Worden gegevens inmiddels voor andere doeleinden gebruikt? Kloppen de toegangsrechten nog? En weten nieuwe medewerkers waar zij een mogelijk datalek moeten melden?

Door zulke vragen onderdeel te maken van bestaande bedrijfsprocessen blijft privacy beheersbaar. De AVG op de werkvloer draait daarmee niet alleen om het voorkomen van boetes. Het gaat vooral om bewust en zorgvuldig omgaan met informatie over mensen, iedere dag opnieuw en op iedere plek binnen de organisatie waar persoonsgegevens worden gebruikt.