Voldoen aan de AVG: niet enkel verplichting, maar vooral een kans voor privacy

• Geplaatst op 19 Februari 2018
• Door Beatrijs Beukers
• 0

Wat voor weer wordt het vandaag? Je start een weer-app en krijgt het actuele weerbericht voor de locatie waar je nu bent. Je hebt je boek uit en bent toe aan een nieuwe? Anderen die hetzelfde boek hebben gelezen, adviseren je deze nieuwe titel. Accepteer onze cookies en je krijgt de volledige functionele website. Van eenvoudige, dagelijks voorbeelden tot en met fundamenteel onderzoek: gegevens zijn belangrijk voor innovatie, waardecreatie en personalisatie. Een deel van die gegevens zijn persoonlijke gegevens. Gegevens die mij kunnen identificeren, die over mij gaan, of door mij zijn gemaakt. Om alle voordelen van gegevensverwerking mogelijk te maken, moet er vertrouwen zijn. Vertrouwen in degene met wie ik mijn gegevens deel, en vertrouwen in de beveiliging van die gegevens.

Dit is de AVG

Wetgeving helpt mee om dat vertrouwen te bouwen. Want er kan en mag wel veel met gegevens, maar dan moeten er een aantal zaken goed geregeld zijn. In Nederland hebben we nu de Wet Bescherming Persoonsgegevens (WBP). Deze WBP wordt per 25 mei 2018 vervangen door de nieuwe Algemene Verordening Gegevensbescherming (AVG). De AVG is de Nederlandse implementatie van de Europese General Data Protection Regulation (GDPR), welke in 2016 door de EU is aangenomen.

Privacy is een fundamenteel recht

In Nederland is het recht op privacy in Artikel 10 van de grondwet opgenomen. Microsoft onderschrijft privacy als een fundamenteel recht en hecht aan de fundamentele principes privacy, beveiliging, compliance en transparantie. De AVG is een belangrijke stap. Onze privacyrechten worden erin beschermd en we krijgen meer mogelijkheden om controle te houden over onze persoonlijke gegevens. Ook laat de AVG veel ruimte voor alle belangrijke en positieve mogelijkheden van gegevens. Voor mij, als individu, is het belangrijk te weten welke rechten de AVG aan mij geeft. Voor bedrijven die persoonlijke gegevens verwerken is het belangrijk te weten wat de AVG aan verplichtingen brengt. De handhaving van de AVG gaat binnenkort echt beginnen, per 25 mei 2018. Daarom werken bedrijven nu aan de invoering van maatregelen waarmee aan de verplichtingen kan worden voldaan.

Aan de AVG móeten voldoen, of aan de AVG wíllen voldoen

Organisaties die persoonlijke gegevens verzamelen of verwerken, kunnen de AVG zien als een extern opgelegde verplichting. Dat is natuurlijk prima, iedereen moet sowieso aan de wet voldoen. Maar een organisatie kan zich ook differentiëren, door de gedachte achter de AVG te internaliseren en leidend te maken, namelijk dat veiligheid, transparantie en rechten voor het individu wiens gegevens worden verzameld en verwerkt voorop staan. De voorwaarden en verplichtingen uit de AVG ondersteunen het maatschappelijk en zakelijk vertrouwen in technologie. We kunnen wel naar de AVG kijken als een extern opgelegde verplichting, maar we moeten er vooral ook naar kijken als de door onszelf, en door gebruikers van onze technologie gevraagde zekerheden. En dan is het logisch om aan de AVG te wíllen voldoen.

Begin nu

Hoe dan ook, in ieder geval moeten we beginnen. Of eigenlijk al begonnen zijn. Want alle organisaties die persoonlijke gegevens verwerken van EU-ingezetenen, moeten rekening houden met de AVG. De Autoriteit Persoonsgegevens gaat toezicht houden op de AVG en helpt met tien basisstappen voor de voorbereiding.

Wij kunnen hierin ook helpen.

Uiteraard zorgt Microsoft ervoor dat ze zelf op tijd aan de AVG zal voldoen. Ook wordt aangegeven welke eigenschappen van haar producten en diensten jou kunnen helpen om ook zelf aan de AVG te voldoen. Samen kunnen we identificeren wat u zelf aanvullend moet doen en hoe u de producten en diensten het best kunt benutten.

Documentatieplicht

De AVG is geen eenvoudige wetgeving. En voor een aantal clausules zijn de duidingen en interpretaties nog niet eensgezind. Wat wel heel helder is, is dat er nog meer nadruk ligt op de eigen verantwoordelijkheid van organisaties. Zo moet men kunnen aantonen dat er zorgvuldig met persoonsgegevens wordt omgaan (‘accountability’). De Autoriteit Persoonsgegevens noemt dat een documentatieplicht. Je moet bijhouden en aantonen dat de verwerking van persoonsgegevens in de organisatie in overeenstemming met de AVG verloopt. Ook hier geldt dat het enerzijds móet, maar anderzijds ook dat transparantie over het goed regelen een positieve waarde is richting je klanten. Positief concurreren op veiligheid en transparantie, daar wordt iedereen in de markt beter van.

Zelf doen, of zelf laten doen

Uit de documentatieplicht volgt dat verwerkers van persoonsgegevens een goed en volledig overzicht moeten hebben van de systemen die de gegevens verwerken. En men moet een goed beeld hebben van toegang tot die systemen, de handelingen op de gegevens, en inzicht in de kwaliteit van de beveiliging van die systemen.

Dit doet Microsoft Dynamics 365

De AVG biedt een context waar de cloud zich van haar beste kant zal laten zien. Microsoft heeft voor de Microsoft Online Services transparantie als fundament. Klanten van de Microsoft Online Services zoals Microsoft Dynamics 365, hebben dashboards, audit-rapportage mogelijkheden en meer. Zodat bekend is waar gegevens zijn opgeslagen, wie er toegang heeft en wat er met de gegevens is gedaan. Daarmee maken Microsoft Online Services het relatief makkelijker om bijvoorbeeld aan de ‘documentatie plicht’ van de AVG te voldoen.

3 domeinen

Samengevat zijn er bij het gebruik van de Microsoft Online Services drie domeinen die zullen helpen om aan de AVG te voldoen:

1. De standaard mogelijkheden van de Microsoft Online Services (bijvoorbeeld de beveiliging, audit en rapportages).

2. De keuze en optionele inrichting van de Online Services door de klant (bijvoorbeeld 2-factor authenticatie, data loss prevention, en meer opties).

3. Aanvullende maatregelen die u zelf kunt nemen (bijvoorbeeld gebruikerstraining, beleid over USB sticks en meer).

Niet alles van waarde is weerloos

“Alles van waarde is weerloos,” stelde Lucebert. Maar met de moderne beveiliginsmogelijkheden zijn deze waardevolle gegevens zeker niet meer weerloos. Oude digitale beveiliging richtte zich op de voordeur van systemen. Moderne beveiliging richt zich daarnaast ook op de gegevens zelf. Beschermen, detecteren en reageren is het adagio.

Nodige modernisering

De AVG gaat wat van ons vergen. Tijd, geld, en middelen. Maar de AVG is vooral een nodige modernisering van de wetgeving, die een kans biedt om maatschappelijk vertrouwen in technologie te versterken, en een gelegenheid de beveiliging van waardevolle gegevens te verbeteren.

Kun je nog wel wat hulp gebruiken om jouw organisatie klaar te stomen voor de AVG? Dan helpen wij je graag. Neem gerust contact met ons op.