In het onderwijs wordt nog relatief vaak gesproken over de AVG als een losstaand en lastig proces binnen een bestuur. Toegegeven, de nadruk in de media op boetes en ‘kan niet, mag niet’ helpt niet mee. In dit artikel probeer ik uit te leggen dat het inbedden van de AVG in de processen een duurzamere route is
Kwaliteitsinstrument
Om het gesprek verder te brengen dan ‘kan niet, mag niet’: Ik zie de AVG als een waardevol instrument voor kwaliteits- en risicomanagement. Als je kijkt naar de 10 belangrijkste uitgangspunten van de AVG, dan wordt dit ondersteund. Als ik termen noem als sturing en toezicht, risico’s, transparantie, rekenschap of service, dan denk je niet direct aan Europese privacywetgeving. Datzelde geldt voor geoorloofd, doelbinding, afgewogen, informatiekwaliteit en beveiliging. Toch zijn dit dé hoekstenen van de AVG.
Toepassing op beleidsterreinen
Laten we eens aantal willekeurige beleidsterreinen binnen een onderwijsbestuur erbij pakken:
- Onderwijs & Kwaliteit
- Personeelsbeleid
- Financiën
- ICT
- Zorg & ondersteuning
En bekijk nu eens welke van de tien uitgangspunten van de AVG níet van toepassing zijn op deze beleidsterreinen. Dát is wat ik bedoel. De AVG heeft invloed op elk proces binnen de organisatie. Het onderwijs doet er goed aan deze wetgeving te omarmen. Gelukkig zijn er steeds meer besturen die dit zien.
Welke windrichting?
Tijdens mijn opleiding CIPM had ik het genoegen om Sergej Katusz als docent mee te maken. Hij introduceerde een privacykompas, met meerdere windrichtingen die staan voor een bepaalde insteek. Ook de consequenties van het kiezen van een bepaalde richting staan vermeld. Een paar conclusies – zeker niet toereikend – zijn interessant om te bekijken.
Het mag duidelijk zijn dat de mensen van FLEXfg de balans tussen de wet en de praktijk aanhangen. Deze website draagt niet voor niets als thema: “De toegevoegde waarde van de AVG in het onderwijs”
Te formeel of cowboymentaliteit?
Een organisatie die gericht is op alleen het afdichten van de formaliteiten zal op de werkvloer weerstand tegenkomen. Immers, een theoretisch perfecte maatregel kan in de praktijk onwerkbaar zijn. Een pragmatischer benadering is nodig om ’te voldoen aan de AVG’.
Een organisatie die de uitgangspunten van de AVG bewust of onbewust onvoldoende in acht neemt zal bij betrokkenen op weerstand stuiten, omdat de wettelijke bescherming van belangen in gevaar komt. Men heeft oorzaak en gevolg van gegevensverwerkingen niet zelf niet in de hand. Er is iemand nodig die de organisatie bij de hand neemt om weer ‘in control’ te komen.
Een schoolbestuur dat risico’s onvoldoende erkent en herkent zal zich verliezen in handelingen die kunnen leiden tot schade. Zowel betrokkenen als stakeholders kunnen bezwaar maken tegen te ruime interpretatie van de AVG en overige wetgeving. Het gevolg is een bestraffing in de vorm van een boete of een herstelopdracht.
De meest passende manier is om een gezonde balans te houden tussen de wet en de praktijk. Risico’s worden niet in kaart gebracht om iets te verbieden, want risicoloos werken is sowieso een utopie. Het gaat erom dat men zich bewust is van risico’s en maatregelen treft om dit zo klein mogelijk te houden. Gezien het thema van deze website mag het duidelijk zijn dat de mensen van FLEXfg dit principe aanhangen. Het schoolbestuur ziet vervolgens bevestiging op de werkvloer omdat processen continu verbeterd worden. Het is geen apart gespreksonderwerp meer, maar onderdeel van dagelijks handelen.
De rol van de functionaris gegevensbescherming
Een goede functionaris gegevensbescherming is in staat om een organisatie stap voor stap mee te nemen in dit proces. Dit gebeurt in het besef dat het hier draait om een cultuurverandering. Met medewerkers de stap van ‘alles moet kunnen’ naar ‘alles goed kunnen onderbouwen’ zetten draait om draagvlak. Een goede FG zorgt hiervoor door de uitgangspunten van de AVG te spiegelen aan wat er gebeurt in de processen. Hierdoor ervaren medewerkers dat er een gezonde balans is tussen formaliteiten en werkbaarheid. Dát is wat de AVG het bevorderen van een privacycultuur noemt.
“Een goede functionaris gegevensbescherming zorgt voor draagvlak door de uitgangspunten van de AVG te spiegelen aan processen in de organisatie, zodat er balans is tussen de theorie en de praktijk.
In een volgend artikel ga ik in op hoe je de volwassenheid van een organisatie kunt meten en de uitkomsten kunt gebruiken om structurele verbetering in gang te zetten. Ook bespreek ik de voordelen die dit op andere vlakken heeft.
