AVG. Krijgt u strafwerk?
AVG. We zijn er allemaal maar druk mee. De nieuwe wetgeving over de omgang met persoonsgegevens raakt iedereen, want elk bedrijf heeft tal van bestanden met tot personen herleidbare gegevens. Van telefoonlijstjes, e-mailadresbestanden, verjaardagskalenders tot en met kopieën van paspoorten van medewerkers, klantdossiers en sollicitatiebrieven. In de pc van de secretaresse, op het prikbord in de gang en in de beveiligde server in het datacenter. De AVG dwingt ons allen op een zorgvuldige manier met die persoonsgegevens om te gaan en er beleid voor te ontwikkelen. Hoe vlieg je dat aan?
Laat ik vooropstellen dat ik blij ben met de nieuwe regels. Het dwingt ons allen serieus om te gaan met data en systemen. Maar de AVG doet me ook een beetje aan mijn schooltijd denken. Je moet naar de klas want je wilt wel overgaan, maar waar ga je zitten? Vooraan bij de leergierige slimmeriken? Achterin bij de gasten die het niet zo nauw nemen met de discipline en die het liefst zo min mogelijk uitvoeren? Ergens in het midden waar je niet zo opvalt? Die drie benaderingen zijn ook mogelijk met de AVG: zwak, voldoende en goed. Het allerbeste is om nuchter te blijven. De AVG schrijft niet voor dat je geen datalekken mag hebben, maar wel dat je aantoonbaar het nodige hebt gedaan om ze te voorkomen. Of zoals een van de sprekers op de, aan de AVG gewijde Get (C)loud! bijeenkomst van 27 oktober jl. verwoordde: vergelijk het met autorijden. Als je een aanrijding hebt, ben je niet strafbaar. Tenzij je onverzekerd rondrijdt, geen rijbewijs hebt, de APK hebt laten verlopen of onder invloed achter het stuur zat. Zo is het ook met AVG. Als je je zaakjes aantoonbaar op orde hebt en netjes en transparant omgaat met de aan jou toevertrouwde persoonsgegevens, is er niks aan de hand. Ook als het misgaat. Natuurlijk gaat de AVG gepaard met het zaaien van FUD (Fear, Uncertainty and Doubt). Er is een heel seminar-circus gaande over de gevaren van AVG… ‘uw reputatie staat op het spel!’, ‘de boetes zijn gigantisch’, ‘het gaat nooit op tijd lukken’. Maar ik wil de zaak niet kleiner maken dan deze is. Het is echt zaak serieus werk te maken van de AVG.
Wat hebben wij als cloud service provider gedaan? Om in de beeldspraak te blijven: we zijn voor in de klas gaan zitten. De nodige certificaten behaald, zijn als eerste in Nederland CSA STAR compliant, we hebben goede bewerkersovereenkomsten met onze klanten afgesloten, de verantwoordelijkheden van de klant en van ons transparant gemaakt, veel werk gemaakt van het documenteren van beleid, processen, datastromen en handelingen. We zijn nu nagenoeg klaar. Laat die overhoring maar komen!
Martijn van Zoeren, oprichter en CEO van Dutch Cloud
