Hebt u privacy goed geregeld in uw organisatie? Een van de speerpunten in de Europese privacywet AVG is het recht van burgers om te weten welke persoonsgegevens u van ze bewaart en wat er met die gegevens gebeurt. Karel Kinders, commercieel directeur van Centric Public Sector Solutions: “De Privacy Workspace helpt organisaties te voldoen aan de AVG.”
Karel Kinders, commercieel directeur van Centric Public Sector Solutions: “Het is zaak om te laten zien dat je als organisatie van tevoren hebt bedacht welke gegevens je bewaart en waarom.”
De Algemene Verordening Gegevensbescherming (AVG), opvolger van de huidige Wbp, stelt strengere eisen aan het opslaan en verwerken van persoonsgegevens. Ook van overheden wordt meer dan ooit verwacht dat zij kunnen aangeven welke gegevens zij registreren, waarom zij dat doen en wie ze heeft ingezien. Het recht op inzage is op zich niet nieuw, wel nieuw is dat je moet kunnen aantonen waarom je bepaalde gegevens verwerkt.
Goede monitoring helpt organisaties zich daarvan rekenschap te geven. Intern, maar ook naar de buitenwereld. Zodat je kunt zeggen: ‘Wij houden die en die gegevens van u bij, omdat we daardoor betere dienstverlening kunnen bieden.’ Het verzamelen van gegevens moet wel proportioneel. Bij de aanvraag van een hondenpenning is iemands BKR-registratie bijvoorbeeld niet relevant, bij schuldhulpverlening wél. De kern van de AVG is: het middel moet in verhouding staan tot het doel.
“Het is zaak om te laten zien dat je als organisatie van tevoren hebt bedacht welke gegevens je bewaart en waarom”, vertelt Karel Kinders. “Is dat eenmaal vastgelegd, dan wil je dat uiteraard monitoren. Alleen dan heb je de controle. Centric heeft daarom een platform gebouwd waarmee de verantwoordelijke voor de privacy die monitoring regelt, en precies kan bijhouden welke gegevens wanneer door wie zijn ingezien of aangepast. Daardoor ontstaat een compleet beeld van de verwerkingshistorie. De ultieme rekenschap. Dat platform heet Privacy Workspace.”
Privacy Workspace: logging en reporting
De Privacy Workspace bevat diverse mogelijkheden voor inzicht in het gebruik van persoonsgegevens. De belangrijkste twee zijn privacylogging en rapportage. Kinders: “Logging is het bijhouden van alle verwerkingen en raadplegingen van gegevens. Deze logging blijft daarna bewaard voor de volledige duur van de wettelijke termijn die daarvoor geldt. De rapportagefunctie op zijn beurt draait gedetailleerde overzichten waarmee de functionaris gegevensbescherming (FG) of privacy officer het gebruik van gegevens in de organisatie kan verantwoorden. Bijvoorbeeld richting de Autoriteit Persoonsgegevens, maar ook naar burgers. De Privacy Workspace zorgt zo voor grip op privacy. Organisaties die dat borgen, voldoen aan de AVG.”
Centric-oplossingen maken gebruik van de nieuwe loggingservice. Ook applicaties van andere partijen kunnen aansluiten. Dat maakt een uniek overzicht mogelijk van persoonsgegevens over meerdere applicaties heen. De Privacy Workspace is overigens niet te vergelijken met BI-tools, vertelt Kinders: “Die laten alleen zien welke gegevens bewerkt zijn. Niet welke gegevens zijn ingezien, wanneer en door wie. En ook dát moet je onder de AVG kunnen aantonen. Met alleen een BI-tool doe je jezelf tekort.”
Eerste hulp bij privacyvragen
Op dit moment sluit Centric haar applicaties aan op de loggingservice. Kinders: “We blijven de rapportagemogelijkheden in de Privacy Workspace verder uitbreiden om nog beter aan de informatiebehoefte van de FG te voldoen. Zo maken we het eenvoudig om vragen te beantwoorden als: waarom worden binnen mijn organisatie zoveel gegevens geraadpleegd binnen een week? Waarom bekijkt de ene afdeling veel vaker persoonsgegevens dan de andere? Is daar een goede reden voor of willen we dat eigenlijk niet? De antwoorden op deze vragen wil je niet met de hand bij elkaar sprokkelen als dat ook automatisch kan.”
Goede rapportages maken het eenvoudiger om op strategisch niveau de juiste beslissingen te nemen. Kinders: “Met inzicht in hun gegevensverwerking kunnen organisaties werkprocessen verbeteren en ervoor zorgen dat alleen de juiste personen bepaalde gegevens kunnen inzien. Zo maak je je organisatie efficiënter en voorkom je dat zaken onnodig worden geraadpleegd. Als al deze zaken op orde zijn, draagt dat ook bij aan de businesscontinuïteit op lange termijn. Daarnaast is het zaak burgers meer bij dit proces te betrekken, bijvoorbeeld door ze online hun eigen gegevens te laten inzien. Transparant zijn naar je eigen organisatie, de AP en de burger, daar gaat het om.
