Hoewel een meerderheid van de Nederlandse IT-managers en directeuren positief is over de komst van privacywet AVG, grijpt slechts de helft de invoering ervan aan als kans om te innoveren. Ook weet lang niet elke IT-manager of directeur of hun organisatie de AVG moet naleven. Slechts 6 procent van de IT-managers stelt dat hun organisatie op IT-gebied in ieder geval klaar is voor de nieuwe privacywet, zo blijkt uit onderzoek in opdracht van Microsoft.
Woensdag 13 december 2017 is de uitvoeringswet over gegevensbescherming naar de Tweede Kamer gestuurd. Deze wet geeft uitvoering aan de General Data Protection Regulation (GDPR), in Nederland bekend als Algemene Verordening Gegevensbescherming (AVG). In mei 2018 zal de handhaving van de AVG van start gaan. In opdracht van Microsoft deed onderzoeksbureau Team Vier onderzoek onder ruim 600 Nederlandse directeuren en IT-managers. Hoe ervaren zij de AVG en waar lopen ze tegenaan op het gebied van compliancy?
IT-manager meer bewust van AVG
De IT-managers (84 procent) zijn zich meer van bewust van de komst en impact van de AVG dan de directeuren (72 procent). Van de IT-managers is 68 procent positief over de AVG tegenover 57 procent van de directeuren. Duidelijkheid rond richtlijnen, meer transparantie en verbeterde bescherming van persoonsgegevens zijn de belangrijkste redenen.
Toch is het risico op boetes bij overtreding van de wet niet nadrukkelijk bekend bij medewerkers. Slechts een kleine minderheid (6 procent) gaf aan dat de organisatie nu al aan de AVG-eisen voldoet. Volgens de IT-managers grijpt slechts 51 procent van de organisaties naleving aan om te innoveren door processen te verbeteren. Volgens directeuren gebeurt dat in hun organisatie in 43 procent van de gevallen.
Martin Vliem, National Security Officer bij Microsoft, noemt het opmerkelijk maar niet verrassend dat de IT-managers het meest betrokken zijn. Opmerkelijk omdat de kern van de AVG, zorgvuldige verwerking en bescherming van persoonsgegevens, niet altijd voortkomt uit IT-gerelateerde overwegingen. Het verwerken van persoonsgegevens is een keuze gemaakt door het management, bijvoorbeeld vanwege marketing-gedreven doelen. Daarmee is naleving een verantwoordelijkheid van de gehele organisatie.
Zaak voor bestuurstafel
Volgens Vliem is het niet verrassend dat vooral IT meer betrokken lijkt te zijn bij naleving van de AVG: In discussies rond de nieuwe wetgeving komen vooral IT-verantwoordelijken naar voren, terwijl het juist ook aan de bestuurstafel zou moeten worden besproken. “De nieuwe wetgeving vraagt vooral om bewustwording en het aanpassen van hoe de organisatie nadenkt over het verzamelen, verwerken, beheren en beveiligen van persoonsgegevens. In de praktijk betekent dit een organisatiebrede cultuurverandering en nieuwe manieren van werken die ondersteund kunnen worden door modernisering van de IT-omgeving.”
Het adresseren van de grondbeginselen van de AVG maakt het volgens Microsoft mogelijk om in control te komen, wat precies de bedoeling van de nieuwe regelgeving is. Vliem: “Juist daarom is dit ook een uitgelezen kans om al je processen nog eens goed te bekijken en verbeteringen door te voeren, daar waar dat nuttig en nodig is. Het is zaak om de AVG niet te onderschatten. Het zal de nodige tijd en energie vragen om alles goed voor te bereiden en uit te voeren. En als je dan toch bezig bent, is dit ook het juiste moment om te checken hoe je met het implementeren hiervan de organisatie meer kan laten bereiken.”
De kernconclusies in het kort
- Meerderheid IT-managers en directeuren positief over de AVG.
- Slechts de helft grijpt naleving aan als kans om te innoveren.
- Niet alle respondenten denken de AVG te moeten naleven, 84 procent van de IT-managers en 72 procent van de directeuren weet dit.
- 6 procent van de IT-managers nu al klaar voor naleving van de AVG.
- IT meest betrokken bij naleving, echter, de AVG heeft impact op de gehele organisatie.
- Kwart van de respondenten geeft aan dat de eigen medewerkers zich niet bewust zijn van AVG-implicaties.
- Bijna de helft van de organisaties zoekt hulp als het gaat om het beveiligen van data.
