AVG vereist confronterende maatregelen

Vorige week las ik nog maar eens dat bijna de helft van de werknemers in Nederland niet op de hoogte is van de nieuwe Algemene Verordening Gegevensbescherming (AVG), ook wel bekend als de GDPR. Schrikbarend? Toch wel als je bedenkt dat bijna iedere werknemer met een kantoorbaan over ruim vier maanden te maken krijgt met een verandering van omgang met vertrouwelijke gegevens.

Laat ik beginnen met twee feiten die mij opvallen. In veel artikelen over de AVG regeert de angst. ‘Doet u niets, dan bedraagt de boetes wellicht wel € 20 miljoen.’ Inderdaad, over inhoud en boetes is het afgelopen jaar veelvuldig gepubliceerd, ook in de zomermaanden waarin verschillende instanties met onderzoeken aandacht vroegen voor het onderwerp. Ga je als mkb’er vervolgens op zoek naar een oplossing, dan wordt het alweer lastiger. Er is namelijk geen autoriteit die dit belangrijke onderwerp claimt. Bij de Autoriteit Persoonsgegevens (AP) kun je terecht met vragen, maar dat vind ik een reactieve manier om het onderwerp écht onder de aandacht te brengen.

Zekerheid voor iedere klant
De belangrijkste ingrediënten om het onderwerp onder het mkb te agenderen, zijn volgens mij bewustwording, vertrouwen en onderbouwing van data. Dan zal het mkb tot actie overgaan, om niet verrast te worden op 18 mei 2018 als de nieuwe AVG wordt ingevoerd.
Dat levert een onderneming zoveel winst op. Iedere mkb’er moet daarvoor wel grondig de eigen organisatie inventariseren. Krijg in kaart welke gegevens waar worden opgeslagen: zowel digitaal als fysiek. Besef dat je deze gegevens te leen hebt en bepaal of het beheer ervan echt nodig is. Zo ja, zorg er dan goed voor waardoor niet iedereen hier zomaar bij kan. Systemen voor ‘identity and access management’ zorgen ervoor dat alleen de juiste personen bij deze data kunnen.

Daarnaast straalt het – in een tijd van cybersecurity en datalekken – positief op een onderneming af als hij kan aantonen dat de gegevens van ieder individu – van klant tot werknemer – bij hem in goede handen zijn. Een klant mag namelijk op ieder willekeurig moment vragen naar inzage van zijn gegevens, net zo goed als hij mag eisen om deze te verwijderen. Een zekerheid die iedere onderneming moet bieden.

Vijf voor twaalf?
Is de roep om agendering van de nieuwe Europese AVG terecht? Ik ben ervan overtuigd dat we nog genoeg mogelijkheden hebben om bewustwording en vertrouwen te realiseren. Sommige maatregelen zijn voor mkb’ers echter wel confronterend. Zij komen er bijvoorbeeld achter hoeveel data er bij hen gebruikt worden en erger nog, dat de controle daarvan nogal tegenvalt. Dat lijkt mij een goede motivatie tot directe actie, ook al zal het juridisch een uitdaging zijn om te achterhalen wie binnen de organisatie verantwoordelijk is voor welke data. Maar angst is echt een slechte raadgever. Daarom vind ik dat ook mkb’ers de nieuwe AVG serieus op de agenda moeten plaatsen. Zij maken dan niet alleen zichzelf blij, maar zeker ook hun werknemers en klanten.

Door: Martijn Maatman, Business Development Manager bij IT-bedrijf Topicus