Ik kom bij veel organisaties waar echt wel wordt nagedacht over privacy. Er zijn afspraken met leveranciers, medewerkers doen hun best om zorgvuldig te werken en bij nieuwe projecten komt privacy steeds vaker vanzelf ter sprake. Dat is winst, zeker vergeleken met een paar jaar geleden.

Alleen vraagt de AVG nog iets extra’s. Je moet ook kúnnen aantonen dat je zorgvuldig werkt. Dat is de verantwoordingsplicht: laten zien welke keuzes zijn gemaakt, waarom die passend zijn en welke maatregelen daarbij horen.

En daar loopt het in de praktijk vaak vast. Meestal niet omdat er niets gebeurt, maar omdat de kennis, de besluiten en de afwegingen verspreid zitten over mailboxen, overleggen, oude projectstukken en de hoofden van een paar collega’s die er destijds bij waren.

Download hier een pdf van deze blog

Aantoonbaarheid gaat over grip, niet over administratie

De Autoriteit Persoonsgegevens is er duidelijk over: je bent zelf verantwoordelijk voor de naleving van de AVG, en een goed privacybeleid helpt je om in kaart te brengen welke maatregelen je hebt genomen en om te laten zien dat je aan de wet voldoet.

Dat klinkt als papierwerk, maar zo werkt het niet in de praktijk. Aantoonbaarheid betekent vooral dat je wéét hoe het zit. Weet je welke persoonsgegevens worden verwerkt en waarvoor? Is duidelijk welke grondslag geldt, hoe lang gegevens bewaard worden en wie er toegang toe heeft? Zijn de afspraken met leveranciers nog actueel? En is er ergens beoordeeld of er een DPIA nodig was?

Is het antwoord daarop vooral “dat weten we ongeveer wel”, dan sta je zwak op het moment dat je het écht moet weten. Bij een klacht, een datalek, een audit, een inzageverzoek of een vraag van de toezichthouder moet je kunnen reconstrueren wat er is gebeurd en waarom.

Goede bedoelingen zijn lastig te bewijzen

“We gaan zorgvuldig met gegevens om.” Dat hoor ik vaak, en meestal is het ook oprecht zo bedoeld. Het probleem is dat je er weinig aan hebt als de afspraken nergens staan.

Een paar situaties die ik met enige regelmaat tegenkom. Een afdeling deelt persoonsgegevens met een ketenpartner, maar niemand kan aanwijzen op basis van welke afspraak dat gebeurt. Een leverancier heeft toegang tot gegevens, maar welke subverwerkers daaronder hangen is onbekend. Of er is wel een DPIA gestart en besproken, maar die is nooit afgerond.

In al die gevallen kan de gemeente inhoudelijk een prima afweging hebben gemaakt. Alleen is die achteraf niet meer uit te leggen.

Aantoonbaarheid betekent daarom dat je niet alleen de uitkomst vastlegt, maar ook de afweging erachter. Waarom is deze verwerking nodig? Waarom zijn juist deze gegevens noodzakelijk? Waarom is dit restrisico acceptabel, en wie heeft dat besloten? Dat hoeft geen dik document te worden — een paar regels in een verslag of een besluitenlijst is vaak genoeg. Als het maar terug te vinden is.

Het verwerkingenregister is geen verplicht nummer

Het register wordt nogal eens gezien als iets dat er nu eenmaal moet zijn. Zonde, want goed bijgehouden is het een van de handigste instrumenten die je hebt.

Er staat in welke verwerkingen er zijn, welke gegevens daarbij horen, met welk doel, om welke betrokkenen het gaat, met wie er gedeeld wordt en hoe lang alles bewaard blijft. Daarmee is het net zo goed een hulpmiddel voor proceseigenaren, projectleiders, inkoop, informatiebeveiliging en management als voor de privacy officer.

Wat ik veel zie, is dat het register langzaam achterop raakt. Er komen applicaties bij, processen wijzigen, leveranciers wisselen, gegevensstromen worden uitgebreid — en het register beweegt niet mee. Op papier heb je dan overzicht, in werkelijkheid niet. Dat is riskanter dan helemaal geen register, want je gaat erop vertrouwen.

Een actueel register bespaart je juist tijd op de momenten dat het spannend wordt. Mogen we deze gegevens delen? Is hier een DPIA voor nodig? Welke leverancier zit hierachter? En bij een datalek: welke verwerking raakt dit precies?

Een DPIA is een beginpunt, geen eindpunt

Een DPIA brengt privacyrisico’s vooraf in beeld en helpt bepalen welke maatregelen nodig zijn om die risico’s te verkleinen.

In de praktijk wordt een DPIA toch vaak behandeld als projectdocument. Hij wordt gemaakt omdat het moet, een keer besproken in een werkgroep en daarna opgeslagen. De maatregelen die eruit kwamen worden niet altijd opgevolgd, en of de verwerking later nog is veranderd controleert meestal niemand.

Dan heb je de DPIA wel uitgevoerd, maar doet hij verder niets. (Lees ook “Een DPIA uitgevoerd en dan?“)

Ook hier geldt dat je moet kunnen laten zien wat er met de uitkomsten is gebeurd. Welke maatregelen zijn overgenomen en welke niet? Wie heeft de restrisico’s geaccepteerd? En wanneer kijk je er opnieuw naar?

Binnen IB&P hebben we hier nog een aantal blogs over: Waarom is het lastig om structureel DPIA’s uit te voeren?, Hoe voer je een DPIA uit? en Waarom een DPIA onmisbaar is binnen gemeentelijke projecten

Leveranciersafspraken moeten vindbaar zijn

Een groot deel van de gemeentelijke gegevensverwerking loopt via leveranciers: applicatiebeheer, hosting, support, cloudoplossingen, koppelingen en tegenwoordig ook software waar ineens AI-functionaliteit in zit. Aantoonbaarheid hoort dus net zo goed bij leveranciersmanagement.

Is er een verwerkersovereenkomst, en sluit die nog aan op hoe de dienst daadwerkelijk wordt gebruikt? Zijn de subverwerkers bekend en is duidelijk waar gegevens worden verwerkt? Staan de afspraken over incidentmelding, beveiliging, back-up, logging, exit en verwijdering ergens vast? En misschien wel de belangrijkste vraag: weten proceseigenaar, inkoop, ICT en privacy waar die afspraken te vinden zijn?

Want dat is waar het meestal misgaat. Het contract ligt bij inkoop, de verwerkersovereenkomst bij privacy, de technische documentatie bij ICT en de operationele afspraken bij functioneel beheer. Op zich klopt alles, maar op het moment dat er iets gebeurt ben je een halve dag bezig om het complete beeld boven tafel te krijgen. Aantoonbaarheid vraagt dus niet alleen om documenten, maar ook om samenhang.

Je doet het vooral voor jezelf

Verantwoordingsplicht klinkt alsof je iets doet voor de toezichthouder. In de praktijk plukt de organisatie er zelf de meeste vruchten van.

Bij een datalek bepaal je sneller welke gegevens geraakt zijn. Bij een inzageverzoek weet je waar je moet zoeken. Bij een nieuw project zie je eerder welke risico’s je al eens eerder hebt beoordeeld. Een audit kost minder reconstructiewerk. En als het bestuur vraagt hoe iets geregeld is, kun je dat gewoon uitleggen.

Dat geeft rust. Niet omdat dan alles perfect is, maar omdat je weet wat er staat en waar het werk nog ligt.

Tot slot

Zorgvuldig omgaan met persoonsgegevens is belangrijk, maar onder de AVG moet je ook kunnen laten zien hóé je dat doet. Dat vraagt om actuele registers, DPIA’s die doorwerken, besluiten die zijn vastgelegd, vindbare leveranciersafspraken en processen met een duidelijke eigenaar.

Mijn ervaring is dat aantoonbaarheid nooit ontstaat door één groot document te maken. Het ontstaat doordat privacy meelift op wat je toch al doet: bij projecten, inkoop, beheer, leveranciersmanagement, datalekken en managementrapportages.

De vraag “doen we het goed?” is dus maar het halve verhaal. De andere helft is: kunnen we dat ook laten zien?

Meer informatie of hulp nodig?

Wil je binnen jouw gemeente de aantoonbaarheid van AVG-naleving verbeteren? IB&P helpt met verwerkingsregisters, DPIA’s, privacybeleid, leveranciersafspraken, datalekprocedures, rechten van betrokkenen en praktische werkafspraken tussen proceseigenaren, privacy officer, FG, CISO, ICT, inkoop en management. Neem gerust contact met ons op om te bespreken wat we voor jouw gemeente kunnen betekenen.

Bij het schrijven van onze blogs wordt AI gebruikt als hulpmiddel om de tekst scherper, duidelijker en leesbaarder te maken. De gedachten, ervaringen, argumenten en visie in deze blogs zijn echter van de auteurs. AI helpt bij de redactie, niet bij het bepalen van wat de auteurs vinden of willen vertellen.