De Romeinse keizer Marcus Aurelius en de AVG
Als afgestudeerd filosoof krijg ik nogal eens te horen dat informatiemanagement een heel ander vakgebied moet zijn dan mijn studie. Beide hebben desondanks veel met elkaar te maken, zo merkte ik opnieuw toen ik De Volkskrant van 24 mei j.l. opensloeg. Eén kop viel mij direct op: “Publieke sector wordt belemmerd door privacywet – en dat leidt tot gevaarlijke situaties”. In het kort betoogt dit artikel dat door de invoering van de AVG het uitvoeren van werkzaamheden voor bijvoorbeeld fraudebestrijding en gezondheidszorg wordt bemoeilijkt. De beschreven situaties lopen uiteen van onnodig tijdverlies tot ronduit schrijnende taferelen in de geestelijke gezondheidszorg, een beeld dat wordt versterkt doordat het artikel verwijst naar de zaak-Anne Faber. Managers en medewerkers willen meer samenwerken, maar voelen zich machteloos door toedoen van de AVG. Het lijdt dus geen twijfel dat de nieuwe privacywet een aantal flinke belemmeringen met zich meebrengt. Toch?
Ik wil een vraagteken bij dit beeld plaatsen. Dit Volkskrant-artikel bracht mijn gedachten namelijk terug naar de Stoïsche denker Marcus Aurelius, die ik in mijn studietijd mocht leren kennen. Marcus Aurelius, die zelf als keizer van het Romeinse Rijk ook de nodige verantwoordelijkheden had, stelde dat we geen controle hebben over gebeurtenissen buiten ons om, maar wel over onze reactie op deze gebeurtenissen. Zo kun je er niets aan doen dat een wesp in je buurt vliegt, maar kun je zelf bepalen of je hier panisch op reageert of rustig onder blijft. Als je hier panisch op reageert, laat je jezelf meeslepen door de ietwat irreële angst dat je gestoken gaat worden, maar als je nagaat hoe vaak wespen daadwerkelijk steken kun je rustig blijven. Dit is niet alleen een observatie, maar hier zit tegelijkertijd een vorm van praktische wijsheid in. Richt je je aandacht op datgene waar je geen grip op hebt, dan zul je frustratie en machteloosheid ervaren. Als je echter je aandacht richt op datgene waar je wél grip op hebt, dan zal je innerlijke kracht toenemen. Aldus Marcus Aurelius.
Deze gedachte kan ook richting de AVG worden toegepast. Wet- en regelgeving omtrent privacy is niet iets waar de meesten van ons invloed op uit kunnen oefenen. Een ondoorgrondelijke wettekst en de dreiging van strenge sancties bij overtreding leiden dan ook al snel tot panische reacties bij organisaties die persoonsgegevens verwerken. Op zich is dit soort reacties heel begrijpelijk. Toch roept dit bij mij de vraag op waar de belemmeringen die medewerkers ervaren precies door veroorzaakt worden. Voelen medewerkers zich beperkt omdat de AVG hen daadwerkelijk deze beperkingen oplegt? Of ligt de eigenlijke oorzaak niet zozeer in de inhoud van de AVG, als wel in de panische wijze waarop organisaties op de invoering van de privacywet reageren? Een eenduidig antwoord op deze vraag wil ik hier niet geven en zou ook te kort door de bocht zijn. Toch denk ik dat het wel belangrijk is om deze vraag te stellen. Mocht het zo zijn dat een deel van de ervaren beperkingen voortkomen uit de paniekreacties van organisaties, dan kunnen deze ervaringen van frustratie en machteloosheid worden tegengegaan door als organisatie te focussen op datgene waar men wél grip op kan hebben: de eigen informatiehuishouding.
Nu lijkt het misschien alsof ik in het midden van een grote storm tot kalmte maan. De angst voor een miljoenenboete bij overtreding van de privacywet valt immers moeilijk irreëel te noemen. Toch denk ik dat de angst voor een miljoenenboete organisaties er nogal eens toe kan brengen de reikwijdte van de AVG te overschatten. Een kanttekening van dezelfde strekking wordt geplaatst in het eerder genoemde Volkskrantartikel, waarin een privacyadviseur in de context van de geestelijke gezondheidszorg betoogt dat van de AVG veel meer mag dan zorgverleners denken. Nu is er vanzelfsprekend geen afdeling en geen medewerker die ervoor verantwoordelijk wil zijn dat zijn of haar organisatie een zware sanctie opgelegd krijgt. Dit verlangen om hun werkzaamheden nauwgezet uit te voeren, zo benadrukt een andere privacyconsultant in datzelfde artikel, brengt mensen en organisaties ertoe te kiezen voor de veiligste weg. Zelfs als in de praktijk blijkt dat veiligheid en efficiëntie nogal eens met elkaar op gespannen voet staan.
Nu is er een middel waarmee deze zo gekoesterde veiligheid in het kader van de AVG kan worden gecombineerd met het zo efficiënt mogelijk laten verlopen van alle werkzaamheden. Om op een constructieve manier te kijken naar de AVG heeft VHIC een instrument beschikbaar gesteld, de Roadmap voor de implementatie van de Algemene Verordening Gegevensbescherming. Deze Roadmap, geschreven door VHIC-directeur Tineke van Heijst, biedt u houvast door u stapsgewijs te laten zien wat de AVG precies inhoudt en wat uw organisatie moet doen om aan de privacywet te voldoen. De Roadmap AVG helpt u om alle noodzakelijke stappen uit te voeren om uw informatiehuishouding conform de AVG op orde te hebben, waardoor u geen overbodige maatregelen hoeft te treffen en onnodige belemmeringen in uw werkprocessen voorkomt. U vindt de Roadmap AVG op de website van VHIC. Het raadplegen hiervan kost niets en kan uw organisatie veel efficiëntie opleveren – en als Marcus Aurelius gelijk had ook de nodige gemoedsrust.
Samuel van Bruchem