Een veel gestelde vraag van kleine en middelgrote organisaties is “waarom zou ik iets aan AVG doen?“. Hieronder geven we 5 cijfermatig onderbouwde argumenten:

1. “Privacy” staat op #3 van belangrijkste grondrechten

Uit een recente peiling van de overheid blijkt dat de Nederlandse burgers hun privacy steeds belangrijker gaan vinden.

2. 60% van het MKB met een groot datalek is binnen 3 jaar failliet

Uit de Cisco 2022 Privacy Benchmark Study blijkt dat een groot datalek voor het merendeel van de MKB-ondernemers het eindstation betekent. De oorzaken hiervoor zijn niet alleen de directe kosten, maar vooral het verlies aan reputatie en commerciële focus. Organisaties die hun privacy programma wel goed op orde hebben, krijgen nog steeds te maken met datalekken, echter zij zijn in staat om de impact van het datalek significant te verminderen. Zij blijven wel bestaan.

3. Behoud van klanten

Uit de Cisco 2021 Consumer Privacy Study blijkt dat 32% van de consumenten actief van winkel, provider, etc. wisselt, omdat men ontevreden is over hoe hun huidige leverancier met hun privacy omgaat of hier niet transparant in is.

4. Omzetverhoging en kostenreductie

Uit de Cisco 2023 Privacy Benchmark Study blijkt dat 90% van de consumenten géén aankopen wil doen bij organisaties die niet goed met hun data omgaan. Dit biedt kansen voor organisaties die privacy aantoonbaar wel op orde hebben.

Cisco heeft, op basis van diverse andere bronnen, berekend dat een investering van €1,- in privacy een opbrengst genereert van €1,80. Deze opbrengst bestaat uit de volgende componenten:

• Omzetverhoging
• Efficiency-voordelen
• Minder kosten bij een datalek
• Aantrekkelijker voor de buitenwereld

5. Employer branding

Uit een studie van KPMG uit 2021 blijkt dat 13% van de medewerkers er geen vertrouwen in heeft dat de eigen werkgever juist omgaat met de persoonsgegevens van het personeel. Dit terwijl privacy enorm belangrijk wordt gevonden (zie punt 1). In de huidige arbeidsmarkt is het vechten om talent aan te trekken en te behouden. Bij méér dan 1 op de 8 medewerkers loopt de organisatie een verhoogd risico dat de medewerker vertrekt, vanwege een gebrek aan vertrouwen rondom privacy.

Een essentiële vraag voor AVG-naleving

In de complexe wereld van gegevensbescherming is het bepalen van de juiste bewaartermijnen voor persoonsgegevens een essentieel onderdeel van AVG-naleving. Gelukkig biedt Complite, de toonaangevende service van ISPE, de nodige begeleiding en expertise om deze vraag te beantwoorden.

Nauwkeurige richtlijnen en flexibiliteit

Met Complite krijg je nauwkeurige richtlijnen over hoe lang je persoonsgegevens mag bewaren op basis van de specifieke context en wettelijke vereisten. Of het nu gaat om klantgegevens, medische dossiers of andere persoonlijke informatie, Complite biedt duidelijke en actuele informatie om je te helpen de juiste beslissingen te nemen.

Een veilige omgeving voor leerkracht en leerling?

Dat er op scholen en onderwijsinstellingen veel persoonsgegevens verwerkt worden zal voor niemand een verrassing zijn. Weet jij eigenlijk welke gegevens er binnen jouw onderwijsinstelling of de onderwijsinstelling van je kind worden verzameld?

Toezichthouder luidt de noodklok

Het rapport dat de Autoriteit Persoonsgegevens (hierna: AP) op 4 november 2021 publiceerde deed flink wat stof deed opwaaien. Zorgvuldige omgang met de gegevens van kinderen en jongvolwassen is cruciaal. Dit zijn namelijk kwetsbare groepen. De AP laat in een brief aan De Minister van Onderwijs weten dit te zien als een inherent onderdeel van goed en veilig onderwijs.

Welke gegevens worden er dan op scholen verwerkt? Natuurlijk de gangbare zaken, zoals naam en contactgegevens. Maar vaak ook erg gevoelige gegevens. Denk hierbij aan eventuele medische gegevens, het gedrag van het kind of de thuissituatie. Onze ervaring is dat dit nog meer is dan dat scholen zelf al dachten. En dat veel van die gegevens veel te lang bewaard blijven.

Daarnaast is er de laatste jaren in het onderwijs steeds meer aandacht gekomen voor digitaal leren en digitale tools die het lesprogramma ondersteunen. Scholen hebben vaak niet in kaart welke gegevens deze systemen verzamelen en wat de gegevensstromen hiervan zijn.

Scholen hebben het niet op orde

De grootste uitdaging in de onderwijssector is om overzicht te houden op al haar verwerkingen. Veel scholen hebben niet de kennis en tools in huis om te dit doen.

Volgens de AP zijn er 3 trends in het onderwijs te zien die risico`s met zich meebrengen:

• Monitoring van leerlingen en studenten
• Afhankelijkheid van grote leveranciers
• Meer uitwisseling van gegevens in samenwerkingsverbanden

De 3 belangrijkste acties voor scholen

De aanbevelingen die de AP hierbij doet zijn als volgt:

• Breng de basis op orde
• Houd documentatie up-to-date en voldoe aan de verantwoordingsplicht
• Richt governance in en versterk de rol van de FG

“Voor veel onderwijsinstellingen is het een uitdaging om overzicht te houden op alle verwerkingen van persoonsgegevens“.
(reactie onderwijsinstellingen op rapport Autoriteit Persoonsgegevens)

De meeste onderwijsinstellingen zijn dus het overzicht verloren en hebben niet de tijd alles opnieuw in kaart te brengen. Dat is begrijpelijk.

ISPE heeft de expertise en ruime ervaring binnen de onderwijssector om dit snel en efficiënt uit te voeren. En de tools om te zorgen dat je actueel blijft. Zo kunnen de mensen binnen de onderwijsinstellingen doen waar hun passie ligt, namelijk jongeren zichzelf laten ontwikkelen. Maar dan wel in een veilige omgeving voor leerkracht en leerling.

Hoe zou het voor jullie zijn als je als school weet waar je staat op AVG-gebied en wat je moet doen? En hoe dit zo eenvoudig en doeltreffend mogelijk kan? Neem dan contact met ons op.

Je kan verschillende associaties hebben bij het begrip privacy. De ondernemer denkt misschien aan de ingewikkelde regels uit de AVG waaraan hij moet voldoen, terwijl anderen misschien denken aan het idee dat ze in de gaten worden gehouden door cameratoezicht op straat of de apps die ze gebruiken. Hoe je ook tegen privacy aankijkt, het is een belangrijk grondrecht voor iedereen.

Grondwet

In Nederland is het recht op privacy vastgelegd in artikel 10 van de Grondwet, namelijk:

“Ieder heeft, behoudens bij of krachtens de wet te stellen beperkingen, recht op eerbiediging van zijn persoonlijke levenssfeer.”

Europees Verdrag voor de Rechten van de Mens

Ook op Europees niveau is het recht op privacy geregeld. In het Europees Verdrag voor de Rechten van de Mens, het verdrag dat Europese landen hebben gesloten om mensenrechten te waarborgen, staat het volgende artikel (artikel 8 lid 1):

“Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.” 

De grondwet en het Europees Verdrag voor de Rechten van de Mens. Dat zijn serieuze instrumenten om in te zetten. Privacy moet dan ook niet lichtzinnig worden opgenomen.

Europees Verdrag voor de Rechten van de Mens

Ook op Europees niveau is het recht op privacy geregeld. In het Europees Verdrag voor de Rechten van de Mens, het verdrag dat Europese landen hebben gesloten om mensenrechten te waarborgen, staat het volgende artikel (artikel 8 lid 1):

“Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.” 

De grondwet en het Europees Verdrag voor de Rechten van de Mens. Dat zijn serieuze instrumenten om in te zetten. Privacy moet dan ook niet lichtzinnig worden opgenomen.

De visie van ISPE

De AVG en andere privacy wet- en regelgeving vloeien voort uit dit grondrecht. Onze visie is dat dit grondrecht als basis moet dienen voor de privacy-maatregelen die binnen een organisatie genomen worden. Hebben wij al deze persoonsgegevens echt nodig om onze werkzaamheden te kunnen verrichten? En hoe ingrijpend zou ik het als individu vinden, dat een bedrijf al deze gegevens van mij heeft? Wanneer deze vragen gesteld worden binnen jouw organisatie, met name wanneer er nieuwe processen worden opgestart, dan merk je dat de regels uit de AVG niet zo ingewikkeld zijn als je denkt. En zeg nu zelf: recht op privacy dat wil toch iedereen!

Zoek jij iemand die met je mee kan denken? Dan staan wij graag voor jou klaar en nemen wij jouw zorgen weg!

Wij praten met heel veel organisaties over privacy en de AVG. Niet zo vreemd, want dat is ons werk en onze passie. Het is leuk om anderen te mogen informeren. Iets te mogen leren. En ook wij leren bijna iedere dag weer iets van die organisaties. We merken wel dat we vaak een bepaalde drempel over moeten aan het begin van het gesprek. Die drempel kan verschillende vormen aannemen. De meest bekende zijn:

“AVG is lastig en veel werk“

“Het levert ons niets op“

“Het levert onze klanten niets op“

“Wij verwerken helemaal niet zoveel persoonsgegevens“

“We hebben het allemaal wel geregeld toen de AVG is ingevoerd“

Natuurlijk gaan we in onze gesprekken graag op al deze zaken in. Maar soms is het gewoon handig om je kennis vooraf al te delen. Dus hier onze reacties. Antwoorden die uiteindelijk altijd leiden tot:

“Wow, ik ben blij dat ik jullie in ieder geval gesproken heb!“

AVG is lastig en veel werk

Dat is het vooral als je gaat werken zonder duidelijk plan en zonder het juiste gereedschap. Verwerkersovereenkomsten opstellen zonder duidelijk kader, registers in Excel, privacyverklaringen uit de losse pols; we hebben het allemaal gezien.

Met ons stappenplan en onze AVG-tool Caris kun je zelf binnen 1 tot 2 dagen een basis leggen, waarop je rustig verder kunt bouwen. Met de nadruk op zelf. Want daar zorgt Caris voor; geen dure consultancy voor basale vraagstukken. En dat verder bouwen hoeft echt geen uren per week te kosten. Staat het eenmaal? Dan ben je met een 10 minuten tot misschien een keer een half uurtje per maand echt wel klaar.

Het levert ons niets op

De AVG gaat over jouw organisatie. Over wat jij en je collega’s elke dag doen. Wil je je verwerkingen goed in kaart brengen? Dan ben je eigenlijk bezig met een complete scan van je organisatie. Wij kunnen de klanten inmiddels niet meer tellen die door de AVG-inventarisatie ook enorme efficiency-winsten boekten. Omdat ze eindelijk eens gedwongen werden kritisch naar hun processen te kijken.

En onderschat de duidelijkheid, rust en professionaliseringsslag die je hiermee maakt niet. Dat straalt uit op jouw organisatie als streeploos gewassen ramen en een opgeruimde winkel. Je medewerkers en klanten voelen dat je als organisatie je zaakjes op orde hebt. Dat geeft vertrouwen en een goed gevoel.

Ten slotte zijn wij er van overtuigd dat ‘privacy‘ over 3 tot 5 jaar net zo hot is als ‘duurzaamheid‘ nu. Wie kan tegenwoordig nog beweren dat duurzaamheid de organisatie niets oplevert?

Het levert onze klanten niets op

Dat ligt eraan wat je definitie is van ‘opbrengst‘. Is dat een product of dienst? Dan denk je waarschijnlijk meer in termen van ‘ik kan er geen geld aan verdienen‘. Of denk je bij ‘opbrengst‘ aan waarde voor de klant? In dat geval levert een goed AVG-programma jouw klanten een veilige omgeving voor hun persoonsgegevens op. Is hun privacy echt minder waard dan jouw product of dienst? Is dat aan jou om te bepalen? Of aan je klant? En weet jij wat die klant denkt en vindt?

Wij verwerken helemaal niet zoveel persoonsgegevens

Dit is een klassieker. De oorzaak is dat 99,9% van onze gesprekspartners de definitie van een ‘persoonsgegeven‘ niet kent. Ja, de logische antwoorden als NAW, personeelsnummer, BSN en foto kennen we allemaal. Maar wat te denken van een kenteken, IP-adres, toegangspasje, urenregistratie, gekochte artikelen, debiteurennummer, handtekening, aanwezigheidsbord, functie, printgebruik, bezochte websites, locatiegegevens, rijgedrag en ga zo maar door? Meestal hebben we niet meer dan 30 seconden nodig om onze gesprekspartner uit deze droom te laten ontwaken.

We hebben het allemaal wel geregeld, toen de AVG is ingevoerd

Laten we eerlijk zijn: in mei 2018 wist eigenlijk niemand precies waar we aan toe waren met de AVG. Wij kennen persoonlijk enkele mensen die mee hebben geschreven aan de wettekst van de AVG en ook zij geven aan dat toen nog lang niet alles duidelijk was. Als we met de ogen van nu kijken naar verwerkingsregisters, verwerkersovereenkomsten, privacyverklaringen, etc uit 2018 dan is dat alsof we in 2022 kijken naar Windows 95. Toen was het ‘state of the art‘, nu lijkt het uit een ander leven. Denken dat je met je AVG-programma uit 2018 nu nog wel goed zit, is gewoonweg niet realistisch.

En dan hebben we het nog niet eens over de grote kans dat er ook in jouw organisatie in de afgelopen 4 jaar zoveel is veranderd dat er een dikke laag stof op die 2018-versie ligt.

We zijn hier boven best kritisch in onze uitlatingen. Dat moet soms ook. AVG is niet iets waar de gemiddelde organisatie echt zin in heeft. Dus is het onze taak om eens even flink aan de boom te schudden. Onze klanten zijn daar nog steeds blij mee.

Durf jij het nog aan om met ons in gesprek te gaan? Neem dan contact op! We beloven aardig te zijn…

De praktijk leert dat de meeste mensen en organisaties met wie wij het gesprek over privacy aangaan al snel denken aan de juiste technische beveiligingsmaatregelen. Superbelangrijk natuurlijk! Maar dit is het sluitstuk van veilig omgaan met persoonsgegevens. Wekelijks is er in het nieuws te lezen dat er weer een groot datalek heeft plaatsgevonden. Bijvoorbeeld bij hogescholen, webshops of overheidsinstellingen. Meestal wordt er in deze artikelen ingegaan op de ‘hack’. Op de informatie die niet goed genoeg beveiligd was, of andere technische maatregelen waar de grondslag van het probleem zou liggen.

Gegevens kunnen nog zo goed beveiligd zijn, uiteindelijk is geen enkele vorm van beveiliging waterdicht. Veel vaker en veel eerder zal de vraag moeten gaan over waarom deze organisaties nog in het bezit zijn van deze gegevens. Data die je niet hebt kan immers ook niet gestolen worden. Het is een beetje alsof je je auto in een drukke stad op slot zet, met op de passagiersstoel je laptoptas in het zicht. Je weet dat er altijd een ruit kan worden ingetikt- en dat dit waarschijnlijk een stuk minder erg zou zijn geweest wanneer je laptop vol met belangrijke gegevens daar niet lag. Wanneer er daardoor dan gegevens lekken van andere personen zal ‘ja, maar mijn auto stond op slot!’ ook geen voldoende excuus zijn. Zorg er dus voor dat, mocht er ooit een datalek in jouw organisatie plaatsvinden, er achteraf niet gezegd kan worden “maar waarom hadden jullie die gegevens van mij?“ In plaats daarvan zou de reactie moeten zijn “vervelend, gelukkig zijn er nauwelijks persoonsgegevens gelekt!“.

Voor het bewaren van persoonsgegevens is het belangrijk daar een doel bij te hebben en een juridische grondslag. Wanneer een van deze twee niet aanwezig is, zou het zonde zijn als jouw gegevens toch op straat komen te liggen bij een datalek. Waarom zou die webshop waar jij ooit als gast een oplaadkabel hebt gekocht je adres en betaalgegevens nog nodig hebben? Waarom heeft die Hogeschool de presentielijsten van studenten die al jaren geleden zijn afgestudeerd nog in bezit? Dat het handig is om die gegevens nog te hebben is geen argument, want handig wil niet zeggen verstandig.

Dus nee, om te voldoen aan de AVG- en nog veel belangrijker- om op een respectvolle manier met elkaars gegevens om te gaan, is die super goede antivirussoftware, de ingeregelde cybersecurity en toegangsbeveiliging niet genoeg. Het begint met het bepalen of de gegevens überhaupt bewaard mogen worden en hoelang. Zo druk je de risico’s de kop in en beperk je jezelf niet enkel tot de staart van het probleem. Wij zijn benieuwd hoe jij hier tegenaan kijkt! Laat een reactie achter onder dit blog of neem contact op met ons.