Blogoverzicht

VOLDOEN AAN DE AVG: NIET ENKEL VERPLICHTING, MAAR VOORAL EEN KANS VOOR PRIVACY

Wat voor weer wordt het vandaag? Je start een weer-app en je krijgt het actuele weerbericht voor de locatie waar je nu bent. Je hebt je boek uit en bent toe aan een nieuw boek? ‘Anderen die hetzelfde boek hebben gelezen, adviseren je deze nieuwe titel. Accepteer onze cookies en je krijgt de volledige functionele website’.

Van eenvoudige, dagelijkse voorbeelden tot en met fundamenteel onderzoek: gegevens zijn belangrijk voor innovatie, waardecreatie en personalisatie. Een deel van die gegevens zijn persoonlijke gegevens. Gegevens die jou kunnen identificeren, die over jou gaan, of door jou zijn gemaakt. Om alle voordelen van gegevensverwerking mogelijk te maken, moet er vertrouwen zijn. Vertrouwen in degene met wie je jouw gegevens deelt en vertrouwen in de beveiliging van die gegevens.

Wetgeving helpt mee om dat vertrouwen te onderbouwen want er kan en mag wel veel met gegevens, maar dan moeten er een aantal zaken goed geregeld zijn. In Nederland hebben we nu de Wet Bescherming Persoonsgegevens (WBP). Deze WBP wordt per 25 mei 2018 vervangen door de nieuwe Algemene Verordening Gegevensbescherming (AVG). De AVG is de Nederlandse implementatie van de Europese General Data Protection Regulation (GDPR), welke in 2016 door de EU is aangenomen.

Privacy is een fundamenteel recht

In Nederland is het recht op privacy in Artikel 10 van de grondwet opgenomen. De AVG is een belangrijke stap. Onze privacyrechten worden hierdoor beschermd, en we krijgen meer mogelijkheden om controle te houden over onze persoonlijke gegevens. Ook laat de AVG veel ruimte voor alle belangrijke en positieve mogelijkheden van gegevens. Voor jou, als individu, is het belangrijk te weten welke rechten de AVG aan jou geeft. Voor bedrijven, die persoonlijke gegevens verwerken, is het belangrijk te weten wat de AVG aan verplichtingen met zich mee brengt. De handhaving van de AVG gaat over vier maanden echt beginnen, per 25 mei 2018. Bedrijven werken daarom nu aan de invoering van maatregelen waarmee aan de verplichtingen kan worden voldaan.

Aan de AVG móeten voldoen, of aan de AVG wíllen voldoen

Organisaties die persoonlijke gegevens verzamelen of verwerken, kunnen de AVG zien als een extern opgelegde verplichting. Dat is natuurlijk prima, iedereen moet sowieso aan de wet voldoen. Een organisatie kan zich ook differentiëren, door de gedachte achter de AVG te internaliseren en leidend te maken, namelijk dat veiligheid, transparantie en rechten voor het individu, wiens gegevens worden verzameld en verwerkt, voorop staan. De voorwaarden en verplichtingen uit de AVG ondersteunen het maatschappelijk en zakelijk vertrouwen in technologie. We kunnen wel naar de AVG kijken als een extern opgelegde verplichting, maar we moeten er vooral ook naar kijken als de door onszelf, en door gebruikers van onze technologie gevraagde zekerheden, en dan is het logisch om aan de AVG te wíllen voldoen.

Begin nu

Hoe dan ook, in ieder geval moeten we beginnen. Of eigenlijk al begonnen zijn. Want alle organisaties die persoonlijke gegevens verwerken van EU-ingezetenen, moeten rekening houden met de AVG. De Autoriteit Persoonsgegevens gaat toezicht houden op de AVG en helpt met tien basisstappen voor de voorbereiding.

De AVG is geen eenvoudige wetgeving, en voor een aantal clausules zijn de duidingen en interpretaties nog niet eensgezind. Wat wel heel helder is, is dat er nog meer nadruk ligt op de eigen verantwoordelijkheid van organisaties. Zo moet men kunnen aantonen dat er zorgvuldig met persoonsgegevens wordt omgegaan (‘accountability’). De Autoriteit Persoonsgegevens noemt dat een documentatieplicht. Je moet bijhouden en aantonen dat de verwerking van persoonsgegevens in jouw organisatie in overeenstemming met de AVG verloopt. Ook hier geldt dat het enerzijds móet, maar anderzijds ook dat transparantie over het goed regelen een positieve waarde is richting jouw klanten. Positief concurreren op veiligheid en transparantie: daar wordt iedereen in de markt beter van.

Zelf doen, of zelf laten doen

Uit de documentatieplicht volgt dat verwerkers van persoonsgegevens een goed en volledig overzicht moeten hebben van de systemen die de gegevens verwerken. Men moet een goed beeld hebben van toegang tot die systemen, de verwerking van de gegevens en inzicht in de kwaliteit van de beveiliging van die systemen.

De AVG biedt een context waar de cloud zich van haar beste kant zal laten zien. Microsoft heeft voor de Microsoft Online Services transparantie als fundament. Klanten van de Microsoft Online Services zoals Office 365, Microsoft Azure en Microsoft Dynamics 365, hebben dashboards, audit-rapportage mogelijkheden en meer, zodat bekend is waar gegevens zijn opgeslagen, wie er toegang heeft en wat er met de gegevens is gedaan. Daarmee maken Microsoft Online Services het relatief makkelijker om bijvoorbeeld aan de ‘documentatie plicht’ van de AVG te voldoen.

Samengevat zijn er bij het gebruik van de Microsoft Online Services drie domeinen die zullen helpen om aan de AVG te voldoen:

1. De standaard mogelijkheden van de Microsoft Online Services (bijvoorbeeld de beveiliging, audit en rapportages).

2. De keuze en optionele inrichting van de Online Services door de klant (bijvoorbeeld 2-factor authenticatie, data loss prevention en meer opties).

3. Aanvullende maatregelen die je zelf kunt nemen (bijvoorbeeld gebruikerstraining, beleid over USB sticks en meer).

Niet alles van waarde is weerloos

“Alles van waarde is weerloos,” stelde Lucebert, maar met de moderne beveiligingsmogelijkheden zijn deze waardevolle gegevens zeker niet meer weerloos. Oude digitale beveiliging richtte zich op de voordeur van systemen. Moderne beveiliging richt zich daarnaast ook op de gegevens zelf. Beschermen, detecteren en reageren is het adagio.

De AVG gaat wat van ons vergen. Tijd, geld en middelen. De AVG is vooral een nodige modernisering van de wetgeving, die een kans biedt om maatschappelijk vertrouwen in technologie te versterken en een gelegenheid de beveiliging van waardevolle gegevens te verbeteren.