Weet je nog? Begin 2018:

De AVG kwam eraan en je hebt als een malle een hoop documentatie opgesteld. Wat het allemaal precies was en wat je er verder mee moest? Je had eigenlijk geen idee. Maar dat advocatenkantoor of die branche-organisatie had een lijstje met verplichte documenten en wat handige templates. Dus ja, je deed het maar.

En nu, bijna 3 jaar later, liggen die documenten ergens in een digitale lade stof te happen. Ja, af en toe komt er weleens een verwerkersovereenkomst voorbij. En die teken je maar, want “die partij doet inderdaad wel iets met onze data“.

Maar er knaagt iets van binnen. Bijna iedere dag staat er wel iets over een datalek in de krant of op nu.nl. “Hoe is dit eigenlijk bij ons geregeld? De ICT-beveiliging is wel oké, want lang niet iedereen kan overal zomaar bij. Maar mogen we al die data wel hebben? En voor van alles gebruiken, waar we het in eerste instantie niet voor hebben verzameld? Of moet het eigenlijk allang verwijderd zijn?

En als een oud-medewerker vraagt om zijn gegevens te wissen, weet ik dan wel waar alles staat? Natuurlijk, het personeelsdossier heb ik zo gevonden. Maar al die e-mails, foto’s van bedrijfsfeestjes, bekeuringen van lease-auto’s. Geen flauw idee wat waar staat. En als ik het al wist te vinden, moet ik dan alles verwijderen? Of alleen bepaalde stukken?“.

En dan wil je liever helemaal nog niet denken aan de privacyverklaring op de website. Daar klopt niets meer van. “We zijn inmiddels verhuisd, de helft van onze nieuwe activiteiten staat er niet in beschreven en van sommige derde partijen hebben we allang afscheid genomen“.

Is dit herkenbaar? En ook het gevoel van onmacht dat daarbij hoort; geen idee waar te beginnen en hoe je dit moet aanpakken. In ieder geval anders dan de vorige keer, want dat heeft niet gewerkt.