Naar inhoud

Te veel onduidelijkheid over data in de aanloop naar AVG

De Algemene verordening gegevensbescherming (AVG), die op 25 mei 2018 in de Europese Unie wordt ingevoerd, stelt huizenhoge boetes in het vooruitzicht voor bedrijven die niet zorgvuldig omgaan met onze data. Maar betekent dat ook dat bedrijven er nu voor zorgen dat onze gegevens veilig zijn? Data verzamelen is voor de meeste organisaties de gewoonste zaak van de wereld. Meer dan een kwart bewaart dagelijks de persoonlijke gegevens van meer dan 1.000 personen. Maar wat er vervolgens met die gegevens gebeurt, is helaas niet altijd duidelijk. 19 procent van de IT-beslissers heeft bijvoorbeeld geen idee hoe lang die persoonlijke gegevens bewaard worden.

Data breed gebruikt

Dit leert een onderzoek uitgevoerd in opdracht van IT-dienstverlener Citrix onder 250 Nederlandse IT-executives en cybersecurity-specialisten. De resultaten zijn nog niet erg bemoedigend. 39 procent van de respondenten zegt intern gebruik te maken van álle persoonlijke gegevens die door het bedrijf worden opgeslagen, voor bijvoorbeeld voorspellende analyses zoals koopgewoonten en voorkeuren. Anderen gebruiken slechts een deel van de beschikbare data; in totaal analyseert 49 procent van de respondenten het gedrag van hun klanten. Hoe veilig deze data is, is maar de vraag.

Een kwart van de respondenten geeft bijvoorbeeld aan dat hun organisatie persoonlijke gegevens ook deelt met partners en bedrijven buiten de eigen organisatie, 13 procent doet dat zelfs met meer dan 100 bedrijven. Daarbij zegt 82 procent volledige controle te behouden over die informatie als die eenmaal is gedeeld – maar de rest geeft toe dat die controle deels verloren gaat. Slechts 49 procent weet zeker dat het beleid op dit vlak volledig in overeenstemming is met de AVG, terwijl 11 procent aangeeft dat dit niet duidelijk is – en dat er ook niet aan gewerkt wordt om daarachter te komen. 27 procent weet het óók niet zeker, maar heeft in elk geval wel de intentie om er werk van te maken.

Wie is verantwoordelijk?

Wie er binnen de organisatie precies verantwoordelijk is voor de naleving van de AVG, is voor 19 procent van de respondenten een raadsel. Bij de overige respondenten lopen de antwoorden sterk uiteen – 18 procent wijst naar de CEO, 10 procent noemt de CIO en 5 procent heeft die verantwoordelijkheid extern belegd – maar duidelijk is wel dat de data protection officer waar de AVG om vraagt, of de functionaris gegevensbescherming in goed Nederlands, nog lang niet overal in dienst is.

Niet alle organisaties hebben zo’n DPO nodig, maar overheden in elk geval wel, net als organisaties die op grote schaal aan tracking en profilering doen, en wanneer data verwerkt wordt die als extra gevoelig wordt beschouwd, zoals etniciteit, levensbeschouwing of politieke voorkeur. Uit de resultaten van een quickscan van Nederland ICT zou blijken dat 40 procent van de organisaties zo’n DPO in huis moet hebben. In het Citrix-onderzoek beschikt nog geen 21 procent van de 1.000+-bedrijven nu over zo’n functionaris. Bij kleinere bedrijven ligt het percentage zelfs rond de 15 procent.

Werk samen met partners

“De conclusie is dat veel bedrijven nog wel wat hulp kunnen gebruiken om aan de strenge wet- en regelgeving te voldoen”, aldus Peter van Leest, regional director Citrix Benelux. “De kennis van cybersecurity en alles wat daar binnen een organisatie bij komt kijken, moet snel naar een hoger niveau. Bedrijven zijn nog te vaak niet goed op de hoogte van wat er met hun data gebeurt en nemen onvoldoende maatregelen om die data te beschermen.” Slechts 32 procent van de respondenten in dit onderzoek maakt bijvoorbeeld gebruik van mobile device management – terwijl steeds meer werknemers onderweg en op locatie data raadplegen.

Van Leest ziet hierin ook een taak voor IT-leveranciers: “Een van de belangrijkste uitdagingen die wij onszelf hebben gesteld is de complexiteit van IT-oplossingen terug te dringen, zodat veilig gebruik van data vanzelfsprekend wordt.” Dankzij centralisatie en containerization ontstaat bijvoorbeeld de mogelijkheid om een context-gevoelig beveiligingsbeleid te voeren, zodat veiligheidsmaatregelen op een logische manier worden afgestemd op specifieke combinaties van apps, data, bevoegdheden en situaties.

Volgens Van Leest is het voor organisaties vooral zaak samenwerking te zoeken met IT-partners die security een integraal onderdeel van hun oplossingen hebben gemaakt: “Je moet er op kunnen vertrouwen dat je ICT-partners je organisatie veiliger maken, in plaats van minder veilig. In die zin durven wij ons ook gewoon een securitybedrijf te noemen. Al onze oplossingen zijn ontworpen om overal veilig toegang te bieden tot data en applicaties.”

Nog een hele uitdaging

De essentie van de eisen die de AVG stelt, is dat organisaties moeten kunnen aantonen dat ze voldoende inspanningen hebben geleverd om data te beveiligen, meent Van Leest: “Voor veel van de organisaties in ons onderzoek wordt dat nog een hele uitdaging.”

Bron: CustomerTalk
0
Logo CustomerTalk

Cookie-instellingen

CustomerTalk maakt gebruik van cookies voor een optimale gebruikerservaring.

Graag vragen wij je toestemming voor het plaatsen van deze cookies.

Accepteren Meer informatie