Privacy en informatieveiligheid

Een datalek binnen uw organisatie kan vanaf dat moment, als u onvoldoende maatregelen genomen heeft om dit te voorkomen, astronomische boetes tot wel 20 miljoen euro tot gevolg hebben. Zo’n indrukwekkende prikkel zou op zichzelf al voldoende aanleiding moeten zijn voor organisaties om privacy prioriteit één te maken. Waarom worden privacyrichtlijnen en wetgeving dan toch vaak als een belemmering of overdreven ‘gedoe’ ervaren? Als iets dat in de weg staat van een integrale dienstverlening. Klopt deze tegenstelling en zo ja; hoe kunnen we deze spanning oplossen?

Ik zie professionals binnen gemeenten en het sociaal domein als intrinsiek gemotiveerde hulpverleners die vanuit hun persoonlijke betrokkenheid hun werk doen. Je doet het werk omdat je het werk belangrijk vindt en wil dat cliënten geholpen worden (intrinsiek), niet puur om er geld mee te verdienen (extrinsiek). Zaken zoals administratieve verwerking of een uitgebreide verslaglegging die niet bijdragen aan het ervaren doel, worden als onnodige ballast gezien. Soms is dit zeer terecht, soms ook niet. In dit artikel pleit ik daarom voor meer aandacht voor de intrinsieke motivatie achter privacymaatregelen. Ik schets hoe drie kernbegrippen (zorgvuldigheid, autonomie en vertrouwen) daarin van belang zijn en hoe het gesprek in plaats van over het wát verschuift naar het waarom achter de privacymaatregelen.

Datalekken in de praktijk

Door de grote mate van verbondenheid en afhankelijkheid van digitale systemen komen privacy issues en datalekken volop voor. Zo liet de gemeente Stein vlak na de jaarwisseling weten dat de privacygevoelige informatie van de 332 inwoners bijna een jaar openbaar heeft gestaan op TenderNed als bijlage op een Wmo-aanbesteding. Een Exceltabblad met gevoelige gegevens was over het hoofd gezien en per ongeluk toegevoegd aan de openbare aanbestedingsdocumenten. Een pijnlijke fout maar geen uitzondering. Alleen al in het laatste kwartaal van 2017 hebben de gemeenten Zeewolde, Valkenswaard en Cuijk, Grave en Mill bij aanbestedingen per abuis privacygegevens van leerlingenvervoer voor kinderen met een handicap openbaar gemaakt.

Behalve datalekken door onbedoelde menselijke fouten, zijn er natuurlijk ook personen die hun technische vaardigheden inzetten om software te hacken of gevoelige informatie te gijzelen. Het Wannacry-virus en de Petya-aanval zijn daar recente voorbeelden van. Deze ‘ransomware’ blokkeert de pc en geeft gebruikers pas weer toegang tot hun gegevens na betaling van een bepaald bedrag en indien zij dit binnen een gestelde termijn niet doen wordt alle data automatisch vernietigd. Om het nog complexer te maken is naast software ook de hardware kwetsbaar voor aanvallen. Zo blijkt dat veel processorchips van Intel zo gebouwd zijn dat ze een onoplosbaar veiligheidsprobleem met zich meebrengen. In die scenario’s is de fout nog moeilijker te herstellen; dat kan alleen door de hardware te vervangen.

De samenhang tussen de mate van ICT-kennis en de kans om onbedoeld of bedoeld een datalek tot stand te brengen is mijns inziens een logische. Het wapenen van systemen en datastromen tegen hackers is een uitdaging voor specialisten. In dit artikel richt ik mij echter tot de datalekken die direct voortvloeien uit het handelen van de professionals in het sociaal domein en op welke wijze meer aandacht voor de intrinsieke motivatie achter privacybewust handelen een oplossing biedt.

“Beargumenteren waarom iets gedaan moet worden is minstens zo belangrijk als beschrijven wat er gedaan moet worden”

Privacymaatregelen als extrinsieke prikkel

De intuïtieve reactie op privacy-incidenten is om maatregelen in processen en systemen vast te leggen. Dat is een begrijpelijke en noodzakelijke reactie. Moeten we de bijlagen die we uploaden naar TenderNed voortaan eerst laten screenen door een privacy-expert? Daarmee onderschep je het Excelbestand voordat deze naar buiten gaat. Of moeten we niet meer werken met Excelbijlagen bij een aanbesteding? Dan kan het lekken van grote databestanden niet meer zo eenvoudig voorkomen. Beide oplossingen zijn denkbaar, maar blijven symptoombestrijding op de korte termijn en dragen niet bij aan een organisatie vol privacybewuste professionals op lange termijn. Met alleen richtlijnen op basis van incidenten uit het verleden kom je er niet; het is beter als ook in nieuwe contexten iedere medewerker kan meedenken waar privacyrisico’s kunnen ontstaan.

Beargumenteren waarom iets gedaan moet worden is minstens zo belangrijk als beschrijven wat er gedaan moet worden. Extra controles, double-checks en het anonimiseren van gegevens betekent – laten we er niet omheen draaien – extra bureaucratie en een verlies van informatie voor het oude ‘complete plaatje’. Het gevaar bestaat dat deze maatregelen als ‘gedoe’ ervaren worden, weinig draagvlak hebben en in de perceptie van professionals leiden tot een slechtere dienstverlening. Gevolg is dan dat vanuit een betrokkenheid gezocht wordt naar andere routes om toch de cliënt, vanuit de beste intenties, te helpen. Bijvoorbeeld via de oplossing om cliëntinformatie telefonisch te delen in plaats van via email. Dat delen van informatie is minder traceerbaar, maar niet minder kwalijk als dezelfde informatie ook niet via email gedeeld mocht worden. Zo’n tegenstelling tussen privacymaatregelen en een effectieve of efficiënte werkwijze is een gevaarlijke ontwikkeling en de oorzaak ervan ligt in het feit dat privacymaatregelen nu nog extrinsieke, opgelegde, maatregelen zijn. Een checklist of richtlijn, die niet uitgelegd of onderbouwd wordt en haar kracht moet ontlenen aan het feit dat het vanuit de wet moet, heeft weinig impact op de lange termijn. De dreiging van een boete is een legitieme aanleiding om anders te werken, maar is op zichzelf te mager om het privacybewust handelen van de professional op de lange termijn te bereiken.

Het belang van intrinsieke motivatie

Mijn aanname is dat professionals werken vanuit betrokkenheid en intrinsieke motivatie. Argumenten die aangeven waarom je iets doet sluiten daar beter op aan dan het ‘doen omdat het moet’. Om te komen tot intrinsieke motivatie als basis voor privacybewust handelen pleit ik voor aandacht van drie kernbegrippen in de dienstverlening: zorgvuldigheid, autonomie en vertrouwen.

In het voorbeeld van het verspreiden van privacygevoelige informatie als bijlage bij een aanbesteding leerlingenvervoer openbaar is sprake van onzorgvuldig handelen. Een stomme fout die wellicht iedereen had kunnen overkomen én waar onvoldoende maatregelen voor getroffen zijn om deze fout te voorkomen. Zorgvuldig handelen als professional betekent inzien welke waarde privacygevoelige informatie vertegenwoordigt. Vergelijkbaar met geld is het iets dat je ontnomen kan worden, maar anders dan geld is het nooit meer terug te geven als je het eenmaal kwijt bent. Zorgvuldigheid door professionals in de vorm van aandacht en expertise en zorgvuldigheid door organisaties, in de vorm van processen en controles, borgen het behoud van de waarde van privacygevoelige informatie.

Professionals moeten zich daarnaast ervan bewust zijn dat zij niet het recht, maar vooral het voorrecht hebben om bepaalde privacygevoelige informatie in te zien omdat deze noodzakelijk is in de dienstverlening. Verwend door de toegang tot veel informatiebronnen zijn overheden vergeten wat het belang is dat burgers instemmen met het gebruik van hun informatie. Met ingang van de AVG krijgt dit extra betekenis; als inwoner kun je bij jouw gemeente opvragen welke privacygevoelige informatie de gemeente over jou bezit en met welke partijen dit, op welke grond, gedeeld is. Is er voor het delen met derden toestemming gevraagd aan jou als inwoner?

De laatste en mogelijk belangrijkste component is vertrouwen. Vertrouwen tussen cliënt en professional is het resultaat van zorgvuldig handelen vanuit de realisatie dat burgers het recht hebben om te bepalen wat er met hun privacygevoelige informatie gebeurt. Vertrouwen speelt een belangrijke rol in de dienstverlening omdat cliënten moeten instemmen met het delen van privacygevoelige informatie. Is dat vertrouwen er niet, zal deze instemming niet gegeven worden, hoe nadelig ook voor de toekomstige dienstverlening.

“We moeten begrip hebben voor de achterdocht en weerstand van cliënten voor het delen van privacygevoelige informatie”

De toekomst: privacy en dienstverlening in het sociaal domein

Vanuit deze constateringen moeten we begrip hebben voor de achterdocht en weerstand van cliënten voor het delen van privacygevoelige informatie. Het gevoel te hebben de grip te verliezen op je eigen privacygevoelige informatie is begrijpelijk. Er zijn immers evenveel échte privacyincidenten als spookverhalen waardoor burgers achterdochtig zijn. In hoeverre weet ik nog wat Facebook, Google, de Belastingdienst of de gemeente van mij weet en met mijn gegevens doet? In de perceptie is het één pot nat. Dit te adresseren vraagt aandacht en tijd van de professional, geen overhaaste discussie over de processen. Respect voor de autonomie van de cliënt, de rol van vertrouwen en het zorgvuldig omgaan met de meest gevoelige informatie helpt je als professional om op een andere manier naar privacy te kijken. Laten we dat in ons achterhoofd houden. Dat vraagt tijd en aandacht om het goed te doen (zorgvuldigheid), verantwoordelijkheid te nemen als het misgaat (vertrouwen) en het besef dat zelfs als je het perfect doet, iemand toch kan besluiten om zijn gegevens niet te willen delen (autonomie). En dat is dan iets waar we respect voor moeten hebben, hoe zuur het soms ook is als we daardoor in onze ogen de cliënt niet 100% perfect kunnen helpen. Doen we dat namelijk niet en zoeken we – vooraf of achteraf – routes om op een paternalistische manier met privacy om te gaan, verliezen we geloofwaardigheid als organisatie én respect voor de autonomie van de cliënt.

Privacy en informatieveiligheid duurzaam inrichten?

Geselecteerd op basis van dit onderwerp

Deel deze pagina