Hoe ga je als privacy professional om met risico’s?

De Privacy Paradox

Het boek de Privacy Paradox, uit gegeven ter ere van het 10-jarig bestaan van Privacy Management Partners, bevat 14 door journalist Peter Olsthoorn opgetekende long read interviews met verschillende stakeholders bij het onderwerp privacy. De stakeholders komen uit de wetenschap, onder andere Lokke Moerel (Hoogleraar en advocaat) en Beatrice de Graaf (Hoogleraar). Het bestuur is vertegenwoordigd door onder meer Ahmed Marcouch (burgemeester) en Munish Ramlal (ombudsman). Als stakeholders uit de praktijk komen onder andere Chris van Dam (voorzitter onderzoekraad voor veiligheid) en Jolanda van Boven (Coördinatiecentrum Mensenhandel) aan het woord. Rode draad in de vraaggesprekken is de belangenafweging die moet worden gemaakt bij de toepassing van de AVG. Hoe kom je als privacy professional tot een goede uitvoering van de AVG die recht doet aan het doel van deze wet, de belangen van de organisatie en van de mensen wie het betreft.

In zijn voorwoord vat de schrijver het boek samen als “een kritisch boek over de uitvoering van de AVG”. En dat klopt: de geïnterviewden schromen niet om kritische noten te kraken over de wijze waarop de AVG soms toegepast wordt. Alleen al daarom is het voor de privacy professional de moeite waard het boek te lezen. De verschillende stakeholders houden ons een leerzame spiegel voor.

Uit de interviews concludeert de schrijver dat de angst voor overtreding veelal de afweging en keuzes voor de toepassing van de regels bepaalt. In mijn woorden vertaald: bij de uitvoering van de AVG blijft men aan de safe side en wordt elk risico gemeden.

Door deze risicoreflex wordt voorbijgegaan aan dat wat de AVG is: een kaderwet om informatiedeling en innovatie te bevorderen met passende waarborgen bescherming voor de gegevens van de mens.

Risico vanuit een andere invalshoek

Vanuit een andere invalshoek laat Martin van Staveren in een essay in het FD ook zijn licht schijnen op het fenomeen risico. Zijn vertrekpunt is het onderzoek van het FD naar de bureaucratie binnen de Rijksoverheid. De conclusie is dat deze is uit gegroeid tot “zeldzame proporties”.

In zijn essay zoekt hij naar een verklaring hiervoor. Zijn stelling is dat risicomijding de oorzaak is van de tomeloze groei van het ambtenarenapparaat.

Volgens Van Staveren hebben we een collectieve hunkering om problemen te voorkomen. Dat komt omdat we als mens de behoefte hebben om ons veilig te voelen en geen angst te hebben. Onzekerheden dragen dragen daar niet aan bij. Ze worden daarom gezien als risico’s die beperkt moeten worden. Eén van de mechanismen om risico’s te beperken is controle en beheersing. Onzekerheden ervaren we dus niet als kansen maar als risico’s die in control moeten worden gebracht.

De paradox is dat we juist nu in een veranderlijke en complexe wereld leven waarin onzekerheden alleen maar toenemen. We moeten daarom steeds meer energie (en menskracht) in risicomanagementsteken. Dat verklaart volgens Van Staveren de groei in het ambtenarenapparaat.

De schrijver pleit er daarom voor om anders met risicomanagement om te gaan. Het moet niet meer zoals nu het tijdrovende instrument zijn dat wordt ingezet om risico’s maximaal te mijden, maar als een mindset om doelen te realiseren ondanks de onzekerheden die zich daarbij voordoen. Hij sluit zijn essay af met de oproep om meer risico’s toe te laten.

Implicaties voor de privacy professional

De oproepen van de geïnterviewden in het boek en de beschouwingen in het essay nopen de privacy professional mijns inziens tot een kritische blik op het eigen handelen.

Juist de privacy professional leeft in een wereld waarin de veranderingen snel gaan en veel onzekerheden zijn. De technologische ontwikkelingen gaan razendsnel en zorgen voor veel issues in het privacy domein.

Als reactie op die onzekerheid wordt bij de uitvoering van de AVG vaak gekozen voor optimale controle en beheersing van de privacy risico’s. Het essay van Van Staveren maakt duidelijk dat dit een begrijpelijke en veel voorkomende, maar discutabele reactie op onzekerheden is.

De interviews uit de Privacy Paradox maken duidelijk dat hiermee ook voorbijgegaan wordt aan het doel van de AVG: namelijk passende bescherming bieden voor de persoonsgegevens bij informatiedeling en innovatie. Een kader bieden zodat bij informatie-uitwisseling en innovatie de privacy van personen voldoende wordt gewaarborgd. Het doel van de AVG is nooit geweest om alle privacy risico’s uit te bannen.

De privacy professional zou zich bij het uitvoeren van de AVG dus niet alleen moeten richten op het maximaal elimineren van risico’s, maar zich ook moeten realiseren dat er kansen liggen. Een juiste uitvoering van de AVG stimuleert innovatie en informatie-uitwisseling met waarborgen voor de persoonsgegevens.