Laat het duidelijk zijn. Ik ben ook gesteld op mijn privacy. De verzekeringsmaatschappij heeft niets te maken met mijn gezondheid. Ook ik wil niet in een web terechtkomen van zaken waarvan ik beschuldigd word, terwijl ik er niets mee te maken heb. Maar aan de andere kant…..

Ik wil wel dat als ik iets mankeer en ik kom bij de apotheek, dat ze mij wel waarschuwen dat de twee medicijnen die ik voorgeschreven kreeg mogelijk elkaar tegenwerken. Of dat ik gewoon -zonder problemen- op Schiphol in een vliegtuig kan stappen.

Informatieveiligheid

Als adviseur kom ik in allerlei gemeenten. En er is een ding dat mij altijd opvalt. Medewerkers gaan eigenlijk altijd serieus om met de privacy van mensen. Privacy en discussie erover hoor ik vrijwel elke dag. Natuurlijk weet ik ook wel dat informatieveiligheid belangrijk is voor het kunnen beschermen van de privacy. En dat mensen veelal onbewust iemand binnenlaten zonder te vragen waar hij/zij voor komt. En dat er soms zaken op een bureau blijven liggen die daar niet horen te liggen. Maar daarvoor is maar één oplossing. Communiceren, communiceren, communiceren..…….

Datalekken

Vanaf 1 januari 2016 hebben we te maken met de Wet meldplicht datalekken. Dat betekent dat organisaties (bedrijven, overheden, verenigingen etc.) binnen 72 uur een melding aan de Autoriteit Persoonsgegevens moeten doen zodra zij te maken hebben met een ernstig datalek. Organisaties die persoonsgegevens verwerken, lopen dus een risico op een datalek.

Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. We spreken van een datalek als er een inbreuk is op de beveiliging van persoonsgegevens (zoals bedoeld in artikel 13 van de Wet bescherming persoonsgegevens). Bij een datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking – dus aan datgene waartegen de beveiligingsmaatregelen bescherming moeten bieden.

De praktijk

OK. Duidelijk. Maar hoe moet dat nu in de praktijk? Ten eerste zullen veel mensen totaal geen idee hebben wanneer zij de regels overtreden. En ten tweede is die 72 uur weer zo’n typisch geval van ‘verzonnen achter een bureau’. En ten derde springen er nu twee groepen mensen op dit onderwerp, omdat zij er werk in zien. Automatiseerders en juristen.

Prachtige software en diensten kun je kopen om je software te laten screenen op lekken. Gespecialiseerde advocatenkantoren komen je vertellen hoe je bij een datalek kunt indekken tegen de eventuele financiële gevolgen.
De praktijk laat zien dat het voorkomen van datalekken heel erg moeilijk is. Mensen werken met processen die al jarenlang zo lopen. Mensen maken fouten. Mensen zijn zich niet bewust van het feit dat het versturen van een mailtje al kan leiden tot een datalek. Maar je krijgt als medewerker wel te horen dat de boetes voor je organisatie kunnen oplopen tot 800.000 euro en dat er dit jaar al weer zoveel duizend datalekken zijn gemeld. Eerlijk gezegd zou ik bang worden voor mijn baan en alles dichttimmeren en afschermen, zodat ze mij niet zullen pakken. Je zal maar bij die Autoriteit Persoonsgegevens terechtkomen. Ik moet zeggen dat het bij mij beelden oproept van een tribunaal dat mij vanachter een gigantische katheder bestraffend toespreekt. Gijijij… zult niet meer lekkennnnn!!

Gaan we echt niet te ver?

Ik vraag mij echt af of dit nu de bedoeling was van de wet. Juist dat ge-automatiseer, ge-juridiseer en het dreigen met boetes heeft tot effect dat mensen die fouten maken er niet meer mee komen. Ik vind dat we echt moeten blijven werken aan de bescherming van de privacy van iedereen. Maar ik vind ook dat we reëel moeten blijven in de mogelijkheden en onmogelijkheden die nu eenmaal aan ons als mensen vastzit. Communiceren, communiceren, communiceren..……. Volgens mij is en blijft dat de kern.

En misschien moeten we ook wat meer vertrouwen hebben in de medewerkers van de overheid. We weten natuurlijk niet zeker of het aan de kwaliteit van onze informatiebeveiliging heeft gelegen, maar het is wel opvallend dat de Nederlandse overheden tot nu toe geen van allen getroffen zijn door Wannacry.

Meer weten?

Voor meer informatie kunt u contact opnemen met Eric Leroi, adviseur bij Telengy, via tel. nr. 06 22 77 63 63 of via e-mail: e.leroi@telengy.nl.