Veel organisaties zijn serieus bezig met de AVG. Er is beleid opgesteld, er zijn formats ingevuld en er wordt gesproken over risico’s en maatregelen. Toch blijft in de praktijk vaak een ongemakkelijk gevoel hangen. We dóen van alles, maar weten we eigenlijk wel of we op de juiste dingen sturen?

Dat gevoel is niet vreemd. In veel onderwijsorganisaties ontbreekt één cruciaal fundament onder het AVG-werk: echt inzicht in de processen waarin persoonsgegevens worden gebruikt. Zolang dat ontbreekt, blijft privacybescherming grotendeels gebaseerd op aannames. En dan wordt het lastig om te weten waar risico’s zitten en welke maatregelen nodig zijn.

Risico’s ontstaan niet op papier, maar in processen

AVG-risico’s ontstaan niet in beleidsstukken of registers. Ze ontstaan in het dagelijks werk. In processen die soms impliciet zijn gegroeid en nooit expliciet zijn vastgelegd. In overdrachtsmomenten tussen afdelingen. In systemen die gekoppeld zijn zonder dat iemand het hele plaatje overziet.

Toch wordt risicomanagement vaak benaderd alsof die risico’s losstaan van de praktijk. Er wordt gesproken over ‘hoog’, ‘middel’ en ‘laag’, maar zonder dat helder is waar die inschatting precies op gebaseerd is. Welke handelingen vinden plaats? Welke gegevens gaan er doorheen? En wie neemt op welk moment beslissingen?

Zonder antwoord op die vragen is het onmogelijk om risico’s realistisch te beoordelen. Dan lijkt het alsof er gestuurd wordt, maar in feite wordt er gegist.

Eerst begrijpen wat er gebeurt, dan pas beoordelen

Een terugkerend patroon in organisaties is dat maatregelen sneller worden gekozen dan het probleem wordt begrepen. Er wordt een extra controle ingebouwd, een protocol aangescherpt of een format toegevoegd. Niet omdat duidelijk is dat dit het juiste antwoord is, maar omdat het ‘goed voelt’ of omdat het ergens wordt verwacht.

Dat is begrijpelijk, zeker in een sector met hoge werkdruk en beperkte capaciteit. Maar het is ook precies waar het wringt. Maatregelen hebben alleen zin als ze aansluiten op de werkelijkheid van de organisatie. En daarvoor is inzicht nodig in processen en gegevensverwerkingen.

Wie niet weet hoe een proces daadwerkelijk loopt, kan ook niet zien:

• waar persoonsgegevens worden verzameld, gedeeld of opgeslagen,

• waar afhankelijkheden zitten van leveranciers of systemen,

• waar fouten of incidenten waarschijnlijk ontstaan.

Zonder dat inzicht is het onmogelijk om te bepalen welke risico’s echt relevant zijn en welke maatregelen proportioneel zijn.

Het Normenkader maakt dit expliciet

Dat dit geen persoonlijke voorkeur is, maar een noodzakelijke stap, blijkt ook uit het Normenkader Informatiebeveiliging en Privacy. Daarin is risicomanagement geen vrijblijvende aanbeveling, maar een verplichte norm. Organisaties moeten structureel risico’s identificeren, analyseren en beheersen.

Die norm veronderstelt iets fundamenteels: dat je weet waar je organisatie kwetsbaar is. En dat kan alleen als je zicht hebt op processen en gegevensverwerkingen. Risico’s zijn geen abstracte concepten. Ze ontstaan op concrete plekken, in concrete handelingen, door concrete keuzes.

Het Normenkader vraagt daarom impliciet om meer dan een risicoanalyse op hoofdlijnen. Het vraagt om begrip van hoe de organisatie werkt. Wie zonder dat inzicht toch risico’s inschat en maatregelen kiest, voldoet misschien op papier, maar niet aan de bedoeling van de norm.

Waar het in de praktijk vaak misgaat

In de praktijk zien we dat risicomanagement en procesinzicht vaak los van elkaar zijn georganiseerd. Er is bijvoorbeeld een verwerkingsregister, maar dat wordt niet gebruikt om processen te begrijpen. Of er is een risicoanalyse, maar die staat los van het dagelijks werk op scholen of stafafdelingen.

Het gevolg is dat risico’s worden benoemd zonder context. Maatregelen worden gekozen zonder te weten of ze effect hebben. En bij incidenten ontstaat alsnog stress en onduidelijkheid, omdat niemand precies weet wie wat moet doen en waarom.

Dat is geen kwestie van onwil of onkunde. Het is het gevolg van een benadering waarin de AVG centraal staat, maar de organisatie zelf onvoldoende in beeld is.

Wat er verandert als processen wél helder zijn

Organisaties die investeren in inzicht in hun processen ervaren vaak een duidelijke omslag. Niet omdat alles ineens perfect is, maar omdat risico’s concreet worden. Ze worden bespreekbaar en uitlegbaar.

Als duidelijk is hoe gegevens door de organisatie lopen, wordt ook duidelijk:

• waar risico’s echt zitten,

• welke risico’s acceptabel zijn,

• en waar maatregelen noodzakelijk zijn.

Dat leidt niet tot meer regels, maar tot betere keuzes. Maatregelen worden gerichter en beter onderbouwd. En bij toezicht of audits kan worden uitgelegd waarom bepaalde afwegingen zijn gemaakt. Dat sluit naadloos aan bij wat het Normenkader vraagt én bij de verwachtingen van toezichthouders.

Begin niet bij de AVG, maar bij één proces

Inzicht in processen hoeft niet groots of ingewikkeld te beginnen. Het helpt al enorm om één kernproces goed te begrijpen. Bijvoorbeeld je leerlingadministratie, de inkoop van digitale leermiddelen of het delen van gegevens met externe partijen.

De kernvragen zijn steeds dezelfde:

• Wat gebeurt hier eigenlijk?

• Welke persoonsgegevens zijn hierbij betrokken?

• Wie beslist en wie voert uit?

• Waar kan het misgaan?

Wie die vragen kan beantwoorden, heeft een veel steviger basis voor risicomanagement dan wie start met formats en lijstjes.

AVG als gevolg van goed organiseren

De belangrijkste les is misschien wel deze: AVG werkt niet omdat de regels kloppen, maar omdat de organisatie klopt. Privacybescherming is geen los project en geen juridisch trucje. Het is het gevolg van inzicht, overzicht en bewuste keuzes.

Wie zijn processen begrijpt, begrijpt zijn risico’s.  En wie zijn risico’s begrijpt, kan gerichte maatregelen nemen.

Dat is niet alleen de kern van de AVG, maar ook van het Normenkader en van professioneel bestuur in het onderwijs.