Prepare for privacy

Organisaties zijn verplicht de persoonsgegevens die zij in huis hebben passend te beschermen. Daarom moeten organisaties zich bewust zijn van de privacyregels die voor hen gelden. Helaas is die zogenoemde ‘privacy awareness’ nog lang niet overal aanwezig.

De toenemende mate waarin verwerking van persoonsgegevens plaatsvindt, heeft ertoe geleid dat de bescherming van persoonsgegevens een steeds belangrijker onderwerp is geworden de afgelopen jaren. Dit heeft mede te maken met de razendsnelle ontwikkeling van de informatietechnologie.

Toch gaan organisaties onbewust vaak nog onzorgvuldig om met de persoonlijke data die beschermd moet worden in het kader van de privacywetgeving.

“Organisaties hebben misschien wel een alarmsysteem om buitenstaanders te weren, maar de kast met personeelsdossiers of de online HR database is nog voor iedereen toegankelijk”, zegt Annika Sponselee, Senior Manager Security & Privacy bij Deloitte.

Organisaties kennen hun verplichtingen vaak niet. “Zo wordt er ook vaak niet op gelet waar de persoonlijke data naar toe gaat. In sommige gevallen gaan gegevens de hele wereld over zonder dat er passende beschermingsmaatregelen zijn genomen”.

Fikse boetes

Zo berichten de media bijna dagelijks over organisaties waarbij persoonlijke data op straat is komen te liggen. Organisaties krijgen hierdoor niet alleen te maken met reputatieschade, maar lopen ook kans fikse boetes te krijgen.

Reden genoeg dus om zeer zorgvuldig met persoonlijk data om te springen. Dat vond Sponselee altijd al. Echter nu er een concept Europese Privacy Verordening ligt waarin is opgenomen dat de boetes voor het overtreden van privacywetten kunnen oplopen tot twee procent van de wereldwijde omzet van de hele onderneming, wordt het volgens haar tijd om organisaties nog duidelijker op hun risico’s te wijzen.

Het concept van de verordening zal hier en daar nog worden aangepast, maar duidelijk is dat er op Europees niveau iets staat te gebeuren wat grote gevolgen zal hebben voor organisaties in Europa.

Anticiperen

De concept Europese Privacy Verordening betekent vooral dat er nieuwe verplichtingen zullen komen waar organisaties aan zullen moeten voldoen. “Het is van belang om tijdig op deze veranderingen te gaan anticiperen”, zegt Sponselee.

Naast de Verordening ligt er ook nog het wetsvoorstel Meldplicht datalekken. Ook dit zal bij inwerkingtreding organisaties dwingen aan extra eisen te gaan voldoen. De noodzaak om je als organisatie bewust te zijn van de regels omtrent privacy, is dus groot.

Implementatie

Sponselee stond als privacyadvocate organisaties bij die te maken kregen met privacywetgeving. Vanuit het juridische perspectief is zij altijd uitstekend in staat geweest om organisaties te adviseren, maar toch knaagde er iets: "Ik adviseerde organisaties hun persoonlijke data beter te beschermen, maar kon uiteindelijk niet vertellen hoe dit technisch en procesmatig te organiseren en te implementeren."

De ex-advocate pakte haar biezen en vertrok naar Deloitte met een duidelijk doel voor ogen: het hele traject rondom privacy - van de bewustwording en juridische advisering tot de juridische en technische implementatie van wetgeving – in een privacyteam onderbrengen. In de ideale situatie die Sponselee voor ogen heeft, kan het team specialisten organisaties op alle benodigde gebieden bijstaan, bijvoorbeeld in geval van datalekken.

Awareness

Weinig mensen zullen zo enthousiast vertellen over een onderwerp als privacy en de bescherming van persoonsgegevens als Sponselee. Ze ademt, eet en leeft het onderwerp. Wat haar betreft geldt dit binnenkort ook voor de rest van Nederland.

Haar ambitie is even omvangrijk als doelgericht: alle organisaties in Nederland moeten zich bewust worden van hun verantwoordelijkheid voor de bescherming van persoonsgegevens. "Mijn ambitie is om er voor te zorgen dat het privacy team van Deloitte deze awareness bij al haar klanten in alle gelederen van de organisatie gaat creëren", aldus de bevlogen juriste.

Aan haar doelgerichtheid zal het in ieder geval niet liggen. De aspiratie die zij voor zichzelf had geformuleerd toen ze nog niet zo lang geleden aanklopte bij Deloitte heeft nu al een serieuze vorm: "Ik wil organisaties op verzoek kunnen voorzien van praktisch privacyadvies en ze dus vanuit juridisch en technisch perspectief kunnen bijstaan. Dit onderscheidt ons."