Europese Privacydag: maak van bewustwording één blijvende verbetering

Een evenement over privacybewustzijn is nuttiger wanneer het een veranderd proces achterlaat. De volgende Europese Privacydag (Data Privacy Day) valt op 28 januari 2027. Gebruik de voorbereidingstijd om één verbetering te kiezen die het team kan afronden, aantonen en onderhouden.

Voor het management is de vraag niet alleen hoeveel medewerkers meedoen. Het gaat erom welke onzekerheid over persoonsgegevens de organisatie wegneemt, wie bevoegd is het proces te wijzigen en hoe het management weet dat de wijziging een maand later nog werkt.

Een nuttig evenement kan een korte toelichting combineren met een praktische oefening. Medewerkers leren iets relevants, klanten ervaren minder drempels en de organisatie krijgt bewijs dat een proces werkt, niet alleen dat er een training heeft plaatsgevonden.

Neem één verantwoord besluit voordat u het evenement plant

Begin met een bekend probleem in plaats van een activiteitenkalender. Misschien kunnen supportmedewerkers de escalatieroute voor privacyvragen niet vinden. Misschien worden klantgegevens naar een gedeelde map gekopieerd zonder duidelijke eigenaar voor de verwijdering. Misschien is er een nieuwe AI-functie ingevoerd zonder dat de uitleg aan klanten is bijgewerkt.

Kies een probleem aan de hand van drie vragen:

• Raakt het mensen? Geef voorrang aan onduidelijk gebruik van gegevens, onnodige blootstelling of drempels bij het uitoefenen van rechten.
• Kan het team een zinvolle wijziging afronden? Een afgebakende correctie is nuttiger dan een ambitieus initiatief dat na de workshop stilvalt.
• Kan iemand het onderhouden? Benoem een proceseigenaar, een beoordelaar en een reviewdatum voordat het werk begint.

Het management moet de benodigde tijd en besluiten vrijmaken. Vraagt de verbetering om engineeringwerk, geef het dan een afgesproken plek in de opleveringsplanning. Verandert de bewaring, betrek dan de eigenaar van de registraties en de juridisch adviseur in plaats van medewerkers op eigen houtje materiaal te laten verwijderen.

Is er een functionaris gegevensbescherming (FG) aangesteld, betrek die dan voor onafhankelijk advies en toezicht. De verantwoordelijkheid voor bedrijfsbesluiten blijft bij het management en de betrokken proceseigenaren; de FG mag niet verantwoordelijk worden gemaakt voor het bepalen van doelen en middelen van verwerkingen.

Kies een activiteit die aansluit op echt werk

De volgende opties zijn praktische aanbevelingen, geen voorgeschreven programma voor de Privacydag. Kies één hoofdresultaat; gebruik de andere alleen als ze dat ondersteunen.

Houd activiteiten klein genoeg om ze af te ronden. Gebruik synthetische of opgeschoonde registraties, verwijder identificatoren uit schermafbeeldingen en beperk de deelname tot mensen die de informatie nodig hebben. Een bewustwordingsoefening mag geen onnodige blootstelling van persoonsgegevens veroorzaken.

Maak van transparantie een taak, geen wedstrijd in beleidsteksten

Transparantie is een nuttig aandachtspunt, omdat zij wettelijke verplichtingen verbindt met de dagelijkse klantervaring. Op grond van de artikelen 12 tot en met 14 AVG moet relevante informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal worden verstrekt. Welke informatie vereist is en wanneer, hangt af van de verwerking en van de manier waarop de gegevens worden verkregen.

Kies één klantreis: een account openen, contact opnemen met support, solliciteren of zich aanmelden voor marketing. Vraag iemand die het proces niet kent om de privacyinformatie te zoeken en te beantwoorden:

• Welke informatie verzamelt de organisatie, en waarom?
• Wie ontvangt die, inclusief relevante aanbieders?
• Hoe lang wordt ze bewaard, of hoe wordt de bewaartermijn bepaald?
• Welke keuzes en rechten zijn er, en waar kan de persoon om hulp vragen?

Vergelijk de antwoorden met het werkelijke proces. Een leesbare verklaring is nog steeds misleidend als ze een leverancier weglaat of een bewaartermijn beschrijft die de systemen niet volgen.

Een gelaagde uitleg kan helpen: een korte, contextuele melding bij het verzamelen, een uitgebreidere toelichting en toegankelijke details voor wie die nodig heeft. De korte laag mag geen wezenlijke informatie verbergen. Vermijd vage geruststellingen als “uw privacy is belangrijk voor ons” waar een concrete uitleg nodig is.

Spreek af hoe toekomstige wijzigingen tot een herbeoordeling leiden. Een nieuwe ontvanger, een nieuw doel, een nieuwe AI-functie of een nieuwe bewaarregel moet aanleiding geven om privacyverklaringen, rechtsgrond en andere relevante waarborgen te beoordelen. Waar de AVG vereist dat informatie wordt verstrekt vóór verdere verwerking voor een ander doel, is een beleidsupdate achteraf niet genoeg. Communicatie moet de werkelijke wijziging uitleggen in plaats van alleen aan te kondigen dat een beleid is gewijzigd.

Oefen verzoeken van betrokkenen vanuit het perspectief van de klant

Een oefening met een inzageverzoek toetst meerdere teams tegelijk: support, identiteitsverificatie, systeemeigenaren, privacybeoordelaars en veilige levering. Begin met een gecontroleerd verzoek dat via een gewoon klantkanaal binnenkomt. Ga er niet van uit dat mensen uw voorkeursformulier of juridische terminologie gebruiken.

Controleer of medewerkers het verzoek herkennen, de ontvangst registreren, het correct doorsturen en de relevante informatie in systemen en bij leveranciers vinden. Neem een besluit over informatie van derden en een test van de leveringsmethode mee.

Artikel 12 AVG vereist in de regel een antwoord binnen een maand. Verlenging met nog twee maanden kan mogelijk zijn als dat nodig is, gelet op de complexiteit en het aantal verzoeken, maar de betrokkene moet binnen de eerste maand op de hoogte worden gesteld, met redenen. Verzoeken zijn in beginsel kosteloos; voor een vergoeding of weigering gelden beperkte voorwaarden. Aanvullende identiteitsinformatie moet in verhouding staan tot gegronde twijfel en mag geen routinematige eis zijn om een kopie van het paspoort.

Een privacydashboard kan geschikte acties eenvoudiger maken, maar is geen algemene wettelijke verplichting en geen vervanging voor het afhandelen van uitzonderingen. Test of mensen de instellingen kunnen vinden, marketingvoorkeuren kunnen onderscheiden van andere verwerkingen en hulp kunnen krijgen als selfservice niet werkt. Ook verzoeken om verwijdering vragen om een beoordeling: niet elke registratie mag rechtmatig onmiddellijk worden gewist.

Gebruik voor een uitgebreidere opzet van de oefening onze werkwijze voor inzageverzoeken.

Betrek AI waar het verandert hoe persoonsgegevens worden gebruikt

Bewustwording over AI moet beginnen bij een concrete toepassing, niet bij een algemene presentatie over technologie. Vraag teams of klantberichten, gegevens van sollicitanten, informatie over medewerkers of andere persoonsgegevens in AI-tools terechtkomen, ook in functies die in bestaande software zijn ingebouwd.

Documenteer voor de gekozen toepassing de invoer, de aanbieder, het doel, de uitvoer, de bewaarregelingen en de betrokken personen. Stel vast of de uitvoer medewerkers alleen ondersteunt of invloed heeft op besluiten met gevolgen. Controleer de voorwaarden en configuratie van de aanbieder in plaats van aan te nemen dat een vertrouwde softwareleverancier gegevens alleen gebruikt zoals verwacht.

Het overzicht van de Europese Commissie over de AI-verordening noemt 2 augustus 2026 als datum van algemene toepassing, inclusief de transparantiebepalingen. De precieze verplichtingen hangen af van het systeem, de toepassing en de rol van de organisatie. Artikel 50 bevat specifieke transparantieverplichtingen; dat betekent niet dat elke interne taak met AI-ondersteuning dezelfde openbaarmaking richting klanten vereist.

Beoordeel voor een assistent die met klanten communiceert de toepasselijke openbaarmakingsplicht en leg correct uit wanneer de gebruiker met AI communiceert. Een duidelijke route naar menselijke ondersteuning bieden is een praktische aanbeveling voor de dienstverlening, geen universele regel voor elk AI-systeem.

Beoordeel daarnaast afzonderlijk de verplichtingen onder de AVG. Artikel 22 gaat over bepaalde besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen hebben, met uitzonderingen en waarborgen. Het is geen algemene regel voor elke aanbeveling van AI. Het management moet een beoordeling vereisen vóór ingebruikname of wezenlijke wijzigingen, in plaats van medewerkers de grens tijdens een bewustwordingssessie zelf te laten afleiden.

Leer medewerkers de volgende stap die ze werkelijk kunnen zetten

Training is het nuttigst wanneer zij een besluit oefent. Geef supportmedewerkers een realistische privacyvraag, managers een voorgestelde productwijziging en operationele medewerkers een scenario met een verkeerd verstuurde e-mail. Vraag elke groep wat ze als volgende zouden doen en waar ze dat zouden vastleggen.

Bij de e-mailoefening moeten medewerkers weten hoe ze snel melden, relevante feiten bewaren en goedgekeurde instructies voor inperking volgen. Ze mogen niet alleen beslissen of een incident gemeld moet worden, en het niet verzwijgen nadat ze een bericht hebben teruggeroepen.

Op grond van de artikelen 33 en 34 AVG moeten verwerkingsverantwoordelijken de bevoegde toezichthoudende autoriteit onverwijld en zo mogelijk binnen 72 uur nadat zij kennis hebben genomen van een inbreuk in verband met persoonsgegevens in kennis stellen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen. Verwerkers informeren de verwerkingsverantwoordelijke onverwijld. Een hoog risico kan ook vereisen dat de betrokkenen worden geïnformeerd, behoudens uitzonderingen. Leg de onderbouwing vast als melding niet vereist is.

Het resultaat van de training is daarom een bruikbare meldroute en een goed geïnformeerd beoordelingsproces, niet alleen een quizscore.

Uitgewerkt voorbeeld: een onbeheerde kopie van klantgegevens opruimen

Illustratieve aannames: een klein softwarebedrijf exporteert supportregistraties van klanten naar een gedeelde map voor een wekelijkse analyse. De export bevat contactgegevens en berichten in vrije tekst. De map heeft overgeërfde toegangsrechten en niemand is eigenaar van de verwijdering. Het management kiest deze gegevensstroom voor de Privacydag; dit is een hypothetisch voorbeeld, geen resultaat bij een klant van Secani.

Vóór het evenement maken de supportmanager en de systeemeigenaar een opgeschoonde steekproef en leggen ze de huidige exportroute vast. De privacyadviseur brengt vragen in kaart over doel, minimalisatie, bewaring en toegang door leveranciers. De workshop stelt de vragen: waar ontstaat elke kopie, wie gebruikt haar en hoe wordt ze verwijderd?

De deelnemers ontdekken dat een oud analyseproces de berichten in vrije tekst niet meer nodig heeft. Ze stellen een beperktere export voor, een toegangsgroep op basis van rollen en een vastgelegde bewaarregel. Het management keurt de proceswijziging goed, onder voorbehoud van bevestiging van eventuele wettelijke bewaarverplichtingen.

Het team test de herziene export, controleert dat de uitgesloten velden ontbreken, verwijdert onnodige maptoegang en test de verwijdering op daarvoor in aanmerking komende voorbeeldregistraties. Kan geautomatiseerde verwijdering niet direct worden gerealiseerd, dan documenteert de eigenaar een tijdelijk beheerst proces en een opleverdatum in plaats van het vraagstuk als afgesloten te verklaren.

Het afrondingspakket bevat het bijgewerkte stroomoverzicht, de goedgekeurde lijst met velden, de registratie van de toegangswijziging, het bewaarbesluit, het testresultaat en een benoemde eigenaar. Een maand later controleert de beoordelaar een nieuwe export en bevestigt dat oude bestanden die in aanmerking komen voor verwijdering zich niet meer opstapelen. De blijvende verbetering is een veranderd proces voor de omgang met gegevens, niet de workshop zelf.

Meet wat er na het evenement overblijft

Leg vast wanneer iets af is voordat de activiteit begint. “Privacyverklaring bijgewerkt” is zwakker dan “de verklaring komt overeen met de gekozen gegevensstroom, is goedgekeurd, en deelnemers kunnen haar vinden en uitleggen”. “Toegang beoordeeld” is zwakker dan bewijs dat goedgekeurde verwijderingen zijn doorgevoerd.

Bewaar een beknopte verbeterregistratie:

• Het probleem, de reikwijdte en de mensen die mogelijk worden geraakt.
• De verantwoordelijke eigenaar en de goedkeurende beoordelaar.
• De afgesproken wijziging en onopgeloste uitzonderingen.
• Bewijs van implementatie en tests.
• De volgende reviewdatum en wat een eerdere review uitlokt.

Deelnamecijfers zijn nuttig om het bereik te begrijpen, maar laten niet zien dat een proces is verbeterd. Kies maatstaven die aan het resultaat zijn gekoppeld: onopgeloste vragen over eigenaarschap, mislukte overdrachten bij verzoeken, onnodige lidmaatschappen van toegangsgroepen of registraties die een goedgekeurde bewaartermijn overschrijden. Beperk de toegang tot bewijs met persoonsgegevens en bewaar geen onnodige kopieën alleen om zorgvuldigheid aan te tonen.

Bereid u nu voor en kom daarna terug op de wijziging

Gebruik de voorbereidingstijd om het proces te kiezen, het eigenaarschap te bevestigen en opgeschoond materiaal te verzamelen. Spreek vóór 28 januari de afrondingscriteria af en reserveer tijd voor de implementatie. Voer op de dag zelf de oefening uit en leg de besluiten vast. Wijs onzekere antwoorden toe als vervolgwerk, in plaats van ze in vergadernotities te laten verdwijnen.

Secani kan die opvolging ondersteunen binnen het bredere complianceprogramma: modelleer de relevante systemen en aanbieders, verbind bewijs met eisen of maatregelen, wijs eigenaren toe en zet lacunes om in taken. Houd menselijke beoordeling van door AI ondersteunde suggesties en conclusies over bewijs expliciet, en bewaar bronnen, goedkeuringen en de context van besluiten.

Plan een review een maand na het evenement. Vraag of de wijziging werkt met nieuwe registraties en of er nog steeds iemand eigenaar van is. Begin met één activiteit die een bekende onzekerheid wegneemt en gebruik het resultaat om te bepalen wat daarna aandacht verdient.