Waarom GDPR géén juristenfeestje mag worden. Nieuwe privacyregels vragen veel van flexbranche.

‘Ik zou jullie graag geruststellen. Ik zou graag zeggen dat het allemaal wel meevalt. Maar dat doe ik niet. Het kost gewoon heel veel tijd en heel inspanning om te voldoen aan de nieuwe wet.’

Alfer de Hollander, die als bedrijfsjurist bij uitzendbureau Timing actief is, heeft geen geruststellende boodschap voor zijn publiek, op een recente ABU-bijeenkomst over de aankomende GDPR-wetgeving. Op 25 mei 2018 gelden de nieuwe regels daarvan voor iedere organisatie die met persoonsgegevens werkt. Maar wie nu nog moet beginnen zich hieraan aan te passen, komt geheid in de problemen, aldus De Hollander. ‘Er moet behoorlijk worden gesprint. 25 Mei is niet over 2 jaar. 25 Mei is morgen.’

Een kloteklus

De Wet Bescherming persoonsgegevens bestaat op 25 mei niet meer. In plaats daarvan hebben we dan in de hele Europese Unie dus de General Data Protection Regulation (GDPR), of de AVG, zoals hij in het Nederlands heet: de Algemene Verordening Gegevensbescherming. Eén van de nieuwe vereisten is bijvoorbeeld dat zogeheten verwerkingsregisters worden opgesteld. Als een organisatie persoonsgegevens verwerkt, moet zij deze verwerking vastleggen in een register en melden bij de Autoriteit Persoonsgegevens. De AP houdt een openbaar register bij van alle meldingen.

‘Ik kan wel – op z’n Hollands – zeggen: een kloteklus’, aldus De Hollander. ‘Je komt zo aan 20 verwerkingen, die moet je allemaal vastleggen. Dat is niet makkelijk. Maar je zult wel moeten.’

Geen juristenfeestje

Het belangrijkste, zegt hij, is: bewustwording. ‘Ik ben zelf jurist, maar je moet er geen juristenfeestje van maken. De meeste mensen hebben geen idee wat wel en wat niet mag. Daar zul je eerst iets aan moeten doen. Wij hebben 40 vestigingen in het hele land. Die hebben we dus allemaal een – verplichte! – e-learningmodule aangeboden. En we hebben ook extern een speciaal mailadres hiervoor geopend. Daar kunnen flexkrachten terecht met vragen, opmerkingen of klachten over verwerking van hun persoonsgegevens.’

Dat klinkt allemaal best goed voorbereid. Maar toch is De Hollander er nog niet helemaal gerust op. ‘Daarom hebben wij ook ervoor gekozen ons te verzekeren. Je kunt alles verzekeren, dus ook dit soort risico’s. En ik moet zeggen: ik vond de premie nog verrassend laag.’

En gelukkig maar, zegt hij. ‘Laatst was bij ons een vestigingsauto gestolen, met een laptop erin. Gelukkig was de laptop versleuteld, en op afstand wisbaar. Maar toch, stel je voor als dat niet zo geweest was?’

Overuren draaien

Het belang van de aanstaande regelgeving lijkt steeds meer door te dringen in Nederland. Vrijwel dagelijks is er wel ergens een seminar over te volgen, adviesbureaus draaien overuren om organisaties voor te bereiden. En er wordt ook naarstig gezocht naar de straks voor veel bedrijven verplichte Data Protection Officers.

Juist in de flexibele arbeidsmarkt, waar bureaus veel en vaak kandidaatgegevens verzamelen, verwerken en versturen, wordt er met argusogen naar de nieuwe regelgeving gekeken. En terecht, want er komen direct allemaal vragen op. Kun je nog wel een talentpool aanleggen? Welke gegevens van je kandidaten kun je nog wel argeloos met je klant delen, en welke niet? Hoe zorg je ervoor dat kandidaatgegevens op je mobiel niet kunnen worden onderschept? Wat betekent de AVG voor je privacy-statement? En wat te doen als een kandidaat of freelancer je belt met het verzoek om zijn gegevens te verwijderen, of erger nog: naar je concurrent door te sturen?

Allemaal vragen die elke organisatie voor zijn eigen situatie zal moeten beantwoorden, vóór mei 2018. Want elke situatie is anders, leerde ook een ander bedrijf dat op de ABU-bijeenkomst sprak over zijn leerervaringen tot nu toe: PostNL.

Jean-Paul van Schoonhoven, chief privacy officer van dat bedrijf, vertelde daarbij dat álle brieven en pakketten in Nederland digitaal op de foto worden gezet. Dit gebeurt voor het codeer- en sorteerproces, zodat de machines de adressering kunnen lezen en postbezorgers kunnen bezorgen. Deze data gebruikt PostNL ook om aanvullende servicediensten te kunnen aanbieden zoals ‘Track & Trace’ of ‘Mijn Post’ in de eigen PostNL-app. Of wat te denken van bedrijfsonderdelen als ‘Data Solutions’ (dat inzicht biedt in markt- en klantontwikkelingen) en ‘Communicatie Services’ (waar klantcommunicatie, printwerk en Direct Mail onderdak vinden). ‘Daarmee zijn we waarschijnlijk de grootste databoer van het land.’

Grote aantallen voor Kerst, Sint en Nieuwjaar

En daarbij gaat het om grote aantallen, zei hij er meteen bij. ‘Op een normale maandag in oktober verstuurden we al meer dan 1,2 miljoen pakketjes. Voor de wedstrijd van het jaar – Sinterklaas, Kerst en NieuwJaar – zitten de planners nu al met de handen in het haar. Alle maximaal beschikbare logistieke capaciteit, met Nederlands sprekende chauffeurs, is al ingehuurd voor die periode.’

Maar daarbij gaat het dus ook steeds om persoonsgegevens. ‘Bij 3 op de 1.000 brieven gaat iets mis’, aldus Van Schoonhoven. ‘Denk aan een gescheurde envelop, verminkte inhoud of post die om een of andere reden niet wordt bezorgd. Naar de visie van de Autoriteit Persoonsgegevens zijn dit al snel datalekken die vallen onder de meldplicht. Maar wie moet dat dan melden? Wij, of de verzender? En is dat nou wel beoogd met de meldplicht datalekken? Dat zijn lastige vragen voor de mensen bij ons in de operatie.’

Ook Van Schoonhoven pleit dan ook vooral voor brede bewustwording voor de privacy-problematiek, door de hele organisatie heen. ‘Mensen bewust maken is belangrijker dan alle IT aanpassen en volop juristen inschakelen. Dat moet je ook doen, begrijp me niet verkeerd. Maar de meeste datalekken ontstaan niet door falende systemen, maar door gedrag van mensen.’

Rits aan activiteiten

Bij PostNL hebben ze inmiddels een hele rits aan activiteiten ondernomen om ellende te voorkomen, aldus Van Schoonhoven. Van een dataregister tot het updaten van privacy-statements, en van een review van alle ketensamenwerkingen tot een andere inrichting van het contractmanagement. De ‘basics’ noemt hij dat. ‘In mei 2018 moeten we gedocumenteerd kunnen onderbouwen dat we alles eraan hebben gedaan om te voldoen aan de regels.’

De ‘privacy journey’ noemen ze dat bij het nationale postbedrijf. Het is geen plezierreisje of walk in the park, zegt Van Schoonhoven er meteen bij. Want ook bij PostNL is er nog genoeg te verbeteren, zo blijkt. Maar alle inspanningen hebben volgens hem inmiddels wel één voordeel opgeleverd: een meer gerust gevoel. ‘Vanuit de beklemming komt de bevrijding.’

Meer weten? 

• Zie deze pagina van de ABU, met o.a. een ‘handreiking privacy. do’s and don’t’ (voor leden)
• Dit ZiP-dossier over dit onderwerp