Elk bedrijf dat wij spreken, heeft een privacyverklaring op de website en een AVG-register in een map op de server. Vraag je vervolgens wie binnen het bedrijf verantwoordelijk is voor de persoonsgegevens die je verwerkt, dan valt het stil. Niet omdat niemand het weet, maar omdat niemand het ooit heeft vastgelegd.
Dat is waar dit artikel over gaat. Niet de vraag of je aan de AVG voldoet op papier, maar de vraag wie in jouw organisatie daadwerkelijk eigenaar is van de gegevens van klanten, medewerkers, chauffeurs en leveranciers. En wat dat eigenaarschap in de praktijk betekent.
Persoonsgegevens zitten overal, eigenaarschap zelden
In een groothandel staan klantgegevens in het CRM, inkoopcontacten bij leveranciers en personeelsdossiers bij HR. Bij een transportbedrijf komen daar rijbewijsgegevens, locatiedata van chauffeurs en tijdregistraties bij. Bij productiebedrijven vaak ook gegevens van tijdelijke krachten en onderaannemers.
Al die gegevens hebben een plek, maar zelden een eigenaar. Er is een systeembeheerder die de toegang regelt, een HR-medewerker die de dossiers bijhoudt en een directeur die de privacyverklaring heeft ondertekend. Maar wie beslist hoe lang een chauffeur na uitdiensttreding in het systeem blijft staan? Wie bepaalt wie bij de loonstroken mag? Wie geeft toestemming als een nieuwe leverancier toegang vraagt tot het klantenbestand?
Zonder een duidelijk antwoord op die vragen is eigenaarschap in theorie bij de directie belegd, want die is wettelijk verantwoordelijk, maar in de praktijk nergens belegd. Dat voel je pas op het moment dat iemand ernaar vraagt: een toezichthouder, een klant, of een vertrekkende medewerker die zijn eigen dossier wil inzien.
Eigenaarschap is een bestuurskeuze, geen ICT-taak
Wij krijgen vaak de vraag of wij als ICT-partner de privacy kunnen regelen. Dat kunnen we niet, en dat moet ook niet de bedoeling zijn. Techniek kan toegang beperken, gegevens versleutelen en bewaartermijnen automatisch laten verlopen. Maar techniek kan niet beslissen wat de juiste bewaartermijn is, of wie toegang hoort te hebben tot welk dossier. Dat zijn bestuurskeuzes.
Eigenaarschap betekent dat iemand met naam en functie verantwoordelijk is voor een categorie gegevens. Niet omdat die persoon alles zelf uitvoert, maar omdat die persoon kan uitleggen waarom een bepaalde keuze is gemaakt. Bij de ene organisatie ligt dat bij de directeur zelf, bij een andere bij een HR-manager of operationeel manager. De functie maakt niet zoveel uit, zolang het maar ergens concreet belegd is en niet stilzwijgend bij de ICT-afdeling terechtkomt.
Eerst meten, dan pas beleid
Voordat je kunt vastleggen wie waarover gaat, moet je weten wat er is. Wij beginnen dit traject daarom nooit met een beleidsdocument, maar met een overzicht: welke persoonsgegevens verwerk je, in welke systemen staan ze, wie heeft er nu toegang toe en hoe lang blijven ze bewaard. Dat overzicht is vaak verrassend. Er staan klantgegevens in een Excel-bestand dat niemand meer gebruikt, of een oud CRM-systeem draait nog ergens mee in een backup.
Zonder dat meetpunt is elk privacybeleid een papieren tijger. Je kunt wel een mooi document opstellen over bewaartermijnen, maar als je niet weet waar de gegevens daadwerkelijk staan, is dat beleid niet uitvoerbaar en ook niet controleerbaar.
Beleid voor techniek, techniek volgt
Pas als het overzicht er is en het eigenaarschap is belegd, heeft het zin om naar techniek te kijken. Wil je dat gegevens van oud-medewerkers na een vastgestelde termijn automatisch worden verwijderd? Dan spreek je eerst die termijn af en leg je die vast, en zoek je daarna de technische oplossing die dat uitvoert. Andersom werkt het niet goed. Een systeem dat automatisch opschoont zonder dat er beleid achter zit, kan net zo goed verkeerd opschonen als te laat.
Mensen meenemen voordat je iets verplicht
Eigenaarschap vastleggen is één stap, maar het werkt pas als de mensen die dagelijks met die gegevens werken, begrijpen waarom het zo geregeld is. Een planner die ineens geen toegang meer heeft tot adresgegevens van klanten, zonder uitleg waarom, gaat op zoek naar een omweg. Leg uit wat er verandert en waarom, voordat je het verplicht stelt. Dat voorkomt weerstand en voorkomt dat mensen zelf oplossingen gaan verzinnen die je juist wilde voorkomen.
Aantoonbaar maken, niet gevoelsmatig
Het uiteindelijke doel is niet dat je het gevoel hebt dat het wel goed zit. Het doel is dat je kunt laten zien hoe het geregeld is: wie eigenaar is van welke gegevens, op basis waarvan bewaartermijnen zijn gekozen en wie toegang heeft. Dat is ook precies waar NIS2 om vraagt: niet dat je een vinkje zet, maar dat je aantoonbaar richting NIS2 kunt maken hoe je met gegevens en risico’s omgaat.
Voor veel bedrijven begint dat met een eerlijk antwoord op de vraag waar dit artikel mee opende: wie is bij ons eigenaar van de persoonsgegevens die we verwerken? Als je daar niet meteen een naam bij kunt noemen, weet je ook meteen waar je morgen mee kunt beginnen.
Een paar vragen die we vaak krijgen
Moeten we voor elk type gegevens een aparte eigenaar aanwijzen?
Dat hoeft niet voor elk afzonderlijk gegevenstype, maar wel per logische groep: klantgegevens, personeelsgegevens, gegevens van chauffeurs of onderaannemers bijvoorbeeld. Te veel versnippering maakt het onoverzichtelijk, te weinig laat verantwoordelijkheid verdampen.
Is de directeur altijd automatisch eigenaar?
Wettelijk is de directie eindverantwoordelijk, maar dat is iets anders dan operationeel eigenaarschap. Het is juist verstandig om de dagelijkse verantwoordelijkheid bij iemand te beleggen die dicht op de data zit, zodat beslissingen ook echt genomen worden en niet blijven liggen.
Wat als we al een AVG-register hebben, is dat niet genoeg?
Een register beschrijft vaak wat er verwerkt wordt, maar zegt weinig over wie erover beslist en hoe actueel het nog is. Veel registers zijn ooit ingevuld en daarna niet meer bijgewerkt. Eigenaarschap zorgt ervoor dat iemand dat register ook levend houdt.
Kost het veel tijd om eigenaarschap goed te regelen?
De eerste stap, het overzicht maken van wat je verwerkt en waar het staat, kost meestal meer tijd dan het daadwerkelijk beleggen van verantwoordelijkheid. Zodra dat overzicht er is, is het aanwijzen van eigenaren vaak een kwestie van een paar gesprekken en een duidelijke vastlegging.
Wil je weten waar in jouw organisatie persoonsgegevens staan en wie daar eigenaar van zou moeten zijn? Wij denken daar graag in mee, vanuit het bredere beeld van hoe jouw bedrijf met informatie omgaat.
