Minister: zorgelijk dat naleving AVG bij overheid niet altijd vanzelfsprekend is
Het is zorgelijk dat het naleven van de AVG bij de overheid niet altijd vanzelfsprekend is, zo stelt demissionair minister Weerwind voor Rechtsbescherming, die kennis en bewustzijn over de AVG bij alle overheidsorganisaties verder wil stimuleren. De minister reageerde op onderzoek van het WODC naar het naleven van de privacywet door overheidsinstanties.
"De kennis van de AVG bij overheden neemt toe. Maar dat betekent niet dat naleving van de AVG altijd vanzelfsprekend is. Dat is vaak geen bewuste keuze. Soms ontbreekt voldoende besef dat het beoordelen van AVG-aspecten vooraf moet gaan aan een verwerking van persoonsgegevens. Een enkele keer is expliciet sprake van een keuze om niet na te leven, en is de beleidsdoelstelling leidend ten koste van AVG-naleving", aldus de onderzoekers.
Volgens de onderzoekers zien overheidsinstanties gegevensverwerking vaak als oplossing voor problemen in plaats van een middel. "De kennis van de AVG bij overheden neemt toe. Dat betekent echter niet dat naleving van de AVG bij de overheid altijd vanzelfsprekend is, wat een zorgelijk gegeven is gezien de rol van de overheid in de maatschappij", reageert minister Weerwind op het onderzoek (pdf).
De bewindsman stelt dat hoe meer AVG-bewustzijn er op besluitvormend niveau is, hoe meer voorkomen wordt dat er werkprocessen worden ingericht die indruisen tegen de AVG. "Daarom vergroot het kabinet de kennis over de AVG binnen de Rijksoverheid. Met de Algemene Bestuursdienst (ABD) zijn afspraken gemaakt dat in het opleidingstraject van topambtenaren de bewustwording en kennis van de AVG wordt vergroot door middel van een privacy leergang." Daarnaast zal kennis en bewustzijn over de AVG bij alle overheidsorganisaties verder worden gestimuleerd.
Afsluitend merkt Weerwind op dat naleving van de AVG in veel gevallen mensenwerk blijft. "Dat betekent dat nooit helemaal kan worden uitgesloten dat de naleving in voorkomende gevallen tekortschiet." Volgens de minister is het dan ook belangrijk om factoren aan te pakken die een rol spelen bij structurele tekortkomingen.
Overheid en ICT is (nog steeds) een slechte combinatie.
De nieuwe privacywet in Zwitserland bestraft C-level persoonlijk, met een boete of straf en strafblad. Dat laatste maakt overheidsaanbestedingen en financieringen bij banken veel moeilijker. De wet voorziet er ook in dat C-level de schuld niet bij derden of medewerkers kan leggen.
Ondanks dat er heel wat voorlichting/verplichte cursussen/testjes e.d. gedaan worden bij
die 900.000 ambtenaren leeft het niet echt. Testje gedaan, mooi en weer door.
Ook op besluitvormend nivo, andere dingen zijn veel belangrijker voor ze.
Dit gaat volgens mij nog vele jaren duren, Wie geeft de overheid een boete ?
En waar gaat de opbrengst van die boete dan naar toe ?
Naar de bonussen van de beleidmakers???
die 900.000 ambtenaren leeft het niet echt. Testje gedaan, mooi en weer door.
De werkgever beschouwt die voorlichting of training veel te vaak als een kennismodule die als een insteekkaartje op een moederbord even wordt bijgeprikt en gaat ervan uit dat na die training of voorlichting alles aanwezig is wat nodig is om het vanaf dat moment direct voortaan feilloos toe te passen. Zo'n werkgever verwacht dat er met volle kracht wordt doorgestoomd na de voorlichting of training, dat is de bron van dat "mooi en weer door".
Alleen klopt dat niet, een mens is geen machine. Je hebt na zo'n training of voorlichting echt tijd nodig om het geleerde te laten bezinken, het in verband te brengen met het werk dat je doet en hoe je het doet, en het daarin te integreren. Mijn ervaring is dat je die tijd om de materie te laten landen, zodat je hem ook kan toepassen, te vaak zwaar onvoldoende krijgt, je wordt verondersteld meteen in vol tempo door te stomen en dan krijg je simpelweg geen ruimte om de beoogde verandering in je werk te integreren. Vaak gebeurt het daardoor maar half, of helemaal niet.
En als de werknemer na een training op zich die ruimte wel krijgt, maar daar alleen in staat in een organisatie die om hem of haar heen op de oude voet door blijft stomen terwijl het pas werkt als die ook anders gaan werken, dan gaat het ook niet lukken. Of iemand op een training sturen, terwijl die daarmee bezig is opeens de prioriteiten omgooien, en die persoon pas een half jaar of een jaar later voor het eerst het geleerde laten toepassen, dat werkt ook niet. Dan doet men weer of het insteekkaartje er zit en ook na zo'n vertraging wel goed werkt, terwijl de werknemer er echt snel iets mee moet gaan doen om het goed te laten landen en het goed te onthouden.
Dat zijn problemen van slecht functionerende organisaties, niet van slecht functionerende medewerkers.
Kortom, 't is privacy wetgeving die opeens niet geldt als het even zo uitkomt
Kortom, 't is privacy wetgeving die opeens niet geldt als het even zo uitkomt
Persoonsgegevens worden absoluut niet zomaar gedeeld binnen de overheid. Niet binnen instanties als de Belastingdienst, maar zeker niet tussen instanties onderling. Vrijwel elke overheidsinstelling heeft een aanspreekpunt privacy dat geraadpleegd DIENT te worden, bij datadeelverzoeken. Dat zijn specialisten die zeer goed weten hoe de AVG in elkaar steekt.
Wat het lastig maakt, is dat de overheid nu eenmaal grossiert in persoonsgegevens. Daar is altijd een grondslag voor in de vorm van een wet of regeling. Die regelingen zijn echter vaak zeer complex en vereisen samenwerking en gegevensdeling tussen instanties. Dat noemen we de keten.
Voorbeeld: de WBSO (Wet Bevordering Speur- en Ontwikkelingswerk). Dat is een fiscale regeling voor bedrijven waarmee belastingvoordeel ontvangen kan worden voor R&D werk. Dat is een regeling die wordt uitgevoerd door RVO (Rijksdienst voor Ondernememend Nederland), maar komt vanuit de Belastingdienst. Voor gegevens van aanvragers wordt ook gebruik gemaakt van de basisregistraties KvK en BRP, ook weer losse instanties. Daarnaast is er voor terugkoppeling naar het ministerie een uitwisseling met CBS.
Soms komt er ook nog een audit van bijvoorbeeld de rekenkamer tussendoor, die gegevens nodig heeft, of een vordering van Justitie.
In beginsel is alles vastgelegd in wetten, regelingen, opdrachten, of gegevensleveringsovereenkomsten. Alles waarvoor geen overeenkomst is, wordt behandeld als een verzoek tot hergebruikt, waar dan weer een WMK-toets voor vereist is (Willen, Mogen Kunnen). Maar vaak zijn er ook ad hoc verzoeken om data te delen met gepaste spoed (zoals rekenkamer en Justitie hierboven).
Dit maakt het proces uitermate complex en om die reden zullen er vast nog wel fouten worden gemaakt. De stelling dat de overheid een beleid voert van ongeoorloofd data delen, is echt grote nonsens. Ook stellen dat "even een wetje aanpassen voor een grondslag" aan de orde is, is volstrekte onzin.
Dus ja! De overheid deelt veel data tussen instanties onderling. Ze probeert dat te doen met de grootst mogelijke zorgvuldigheid. Gaat er wel eens wat mis? Ja, zeker ook!
Feit is wel dat degenen met de grootste mond hier, de zaken extreem simplistisch voorstellen. Kun je überhaupt wel spreken over "de overheid" en in die context, over "zij en wij" als in de overheid en de burgers? Als ambtenaar ben ik ook gewoon burger hoor. Ik heb er juist voor gekozen om ambtenaar te worden, om iets maatschappelijk relevants bij te dragen.
De 'privacywetgeving' wordt door de overheid wel intensief gebruikt om informatie te weigeren, zeker als het om eigen mensen en interne malversaties gaat. En adviseert men ambtenaren om whatsapp maar via privé telefoons te doen als de communicatie het het daglicht (vooraf al en in hun eigen ogen) niet kan verdragen. Zo rollen ze.
Sowieso qua naleven wetgeving, Rutte vond het gedoe rondom de archivering van zijn SMS verkeer maar wantrouwen (hij dicteerde wat er bewaard kon blijven en wiste zijn Nokia elke dag, want te weinig opslaggeheugen). Maar voor burgers en MKB geen genade op naleven van de steeds wantrouwender wetgeving. Dat is/was Nederland.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
