Digitale dienstverlening:

ontberen kennis

regelgeving bescherming persoonsgegevens

Wat digitale dienstverlening betreft loopt studentenhuisvester DUWO voorop in de branche. Door de verregaande digitale werkwijze zijn de risico’s bij gegevens uitwisseling echter enorm gestegen. Reden genoeg voor DUWO om dit eens grondig te laten onderzoeken en indien nodig maatregelen te treffen. Een gesprek over de risico’s van digitalisering met

Heleen de Vreese

, vestigingsdirecteur bij

DuWO

en

Arnoud Engelfriet

, ICT-jurist bij adviesbureau ICTRecht.

WWW.CORPORATIEGIDS.NL

ONAFHANKELIJK MAGAZINE OVER STRATEGIE, BEDRIJFSVOERING & ICT VOOR WONINGCORPORATIES NuMMER 3, 2014 49

50 WWW.CORPORATIEGIDS.NL

"Wat digitale dienstverlening betreft lopen we voorop in de branche. Maar als pionier liggen we ook onder een vergrootglas."

Heleen de Vreese voorkomen. Daarnaast is er veel onduidelijkheid over digitaal contracteren. Mensen verwachten schriftelijke contracten en twijfelen dan of een elektronisch akkoord ook geldig is. Het scannen van oude contracten kan ook leiden tot discussies over de geldigheid van zo’n scan ten opzichte van het papieren origineel.’’ B ij DUWO kan bijna alles digitaal, start Heleen de Vreese haar verhaal. ‘’Behalve online een kamer zoeken en een huurovereenkomst sluiten of opzeggen, kunnen huurders in hun Mijn DUWO-account ook online nieuwe huurders voordragen, waskaarten opwaarderen, betalingsregelingen treffen, onderverhuur, instemming en/of interne verhuizing regelen, bewijzen uploaden in het kader van de campus contractcontrole, rekeningen betalen en gegevens inzien, zoals huurprijsopbouw, afrekening servicekosten en rekeningoverzichten.’’

Misbruik

Ze vervolgt: ‘’Door de verregaande digitale werkwijze van DUWO zijn persoonsgegevens op grote schaal veel toegan kelijker geworden en is misbruik ervan dus ook makkelijker geworden. De risico’s bij gegevensuitwisseling zijn enorm gestegen. Dat heeft ons doen inzien dat we beter moeten beveiligen. Wat digitale dienstverlening betreft lopen we voorop in de branche. Maar als pionier liggen we ook onder een vergrootglas. En met (inter)nationale studenten hebben we een kritische klantengroep, die van ons eist dat we het goed regelen. Al met al veel redenen om ICTRecht te vragen de risico’s met betrekking tot de omgang van persoonsgegevens voor ons in kaart te brengen.’’

Wat zijn de belangrijkste risico’s van digitalisering bij woningcorporaties?

‘’Een belangrijk risico bij digitalisering is dat gegevens makkelijker te kopiëren of te verspreiden zijn’’, legt Arnoud Engelfriet, ICT-jurist bij ICTRecht uit. ‘’Een papieren dossier neem je niet zomaar mee, een Excel-bestand wel. Je moet als bedrijf of instelling dus meer maatregelen nemen om ongelukken met persoonsgegevens - en andere data - te

Hoe aannemelijk is het dat corporaties persoonsgegevens verliezen?

‘’Bij een corporatie lijkt het risico van verlies of diefstal van persoonsgegevens niet anders dan bij andere bedrijven. Met een goede beveiliging en procedurele regels - en toezicht daarop - is verlies normaal goed te voorkomen. Zie voor vele voorbeelden het Zwartboek van Bits of Freedom:

www.bof.nl/category/zwartboek-datalekken.

Corporaties besteden veel werk uit. Vaak gaat dit samen met het delen van persoonsgegevens. Wie is er verantwoordelijk?

‘’De wet bepaalt dat de partij die de persoonsgegevens aan een andere partij verstrekt, verantwoordelijk is’’, legt Heleen uit. ‘’DUWO is en blijft dus verantwoordelijk voor de bescherming van de persoonsgegevens die wij met derden uitwisselen. Daarom sluiten we met alle leveranciers en andere relevante partijen zogenaamde bewerkersovereen komsten af. Denk aan bijvoorbeeld onderhoudsdiensten, onderwijsinstellingen, softwareleveranciers, maar ook instanties als gemeenten, politie en jeugdzorg. In de bewerkersovereenkomst wordt vastgelegd dat gegevens alleen gebruikt mogen worden voor het doel waarvoor ze beschikbaar zijn gesteld en dat de gebruiker de gegevens adequaat moet beveiligen. Ook staat beschreven welke maatregelen men moet nemen, welke boetes er komen te staan op overtreding en wie wat doet bij lekken.’’

Welke schade kan een corporatie oplopen bij het lekken van persoonsgegevens?

Arnoud: ‘’In geval van schending van de Wet Bescherming Persoonsgegevens (Wbp) kunnen de getroffen personen een schadeclaim indienen bij de corporatie. Daarnaast kan de privacy-toezichthouder een zogeheten last opleggen,

ONAFHANKELIJK MAGAZINE OVER STRATEGIE, BEDRIJFSVOERING & ICT VOOR WONINGCORPORATIES NuMMER 3, 2014 51

52 WWW.CORPORATIEGIDS.NL

‘’Het is ons duidelijk geworden dat corporaties en dus ook DUWO een gebrek aan kennis van de regelgeving hebben.’’

oftewel een plicht het nu anders te doen en/of bepaalde gegevens te wissen. Beide gelden ook als de schade is veroorzaakt door een extern bedrijf ingeschakeld door de corporatie. Als derde is de reputatieschade door de negatieve publiciteit natuurlijk al snel aanzienlijk.’’ Arnoud Engelfriet

Wat kunnen corporaties doen om te voorkomen dat de Wbp wordt geschonden?

‘’Het belangrijkste is goede afspraken maken, zowel intern als extern’’, adviseert Arnoud. ‘’Mensen moeten beseffen dat persoonsgegevens belangrijk en gevoelig zijn. Een Excelsheet met klantgegevens laten rondslingeren gebeurt vaak maar kan absoluut niet! Een goede technische beveiliging helpt tegen inbrekers van buitenaf. Laat een audit uitvoeren door een extern bedrijf. Die proberen dan in te breken en zo zwakke plekken aan te wijzen.’’ erkent Heleen. ‘’Een voorbeeld: het is verboden een kopie paspoort van een huurder op te slaan; daarom vernietigen we voortaan deze kopieën. Evenmin hadden we ons voldoende gerealiseerd wat de marktwaarde is van de adresgegevens van een grote groep studenten. Adverteerders en hackers kijken hier likkebaardend naar, maar ook huurders die enquêtes willen uitvoeren of massale mails willen sturen.’’ Hij vervolgt: ‘’Zorg ook voor logging: weet wie wanneer welke gegevens opvroeg, en controleer af en toe of dat wel volgens de regels is. Waarom moest een persoon van de frontdesk van duizend personen op één dag de adressen opvragen? Wie deed die download van alle 06-nummers en waar zijn die gegevens nu?’’

DUWO heeft een PIA uit laten voeren door ICTRecht. Wat is dat?

‘’Een PIA, of Privacy Impact Assessment, is een instrument om privacy risico’s in een vroeg stadium op een gestructu reerde en heldere manier in beeld te brengen’’, legt Arnoud uit. ‘’Hiermee komt veel informatie beschikbaar over potentiële risico’s en problemen zodat deze kunnen worden voorkomen. Een PIA betreft idealiter alle processen. Vaak wordt echter gekozen voor alleen digitaal, omdat de papieren processen minder impact hebben. Diefstal van 10.000 papieren dossiers is niet eenvoudig, diefstal van 10.000 elektronische dossiers uit een online database wel.’’

Welk inzicht heeft de PIA DUWO gegeven?

‘’Het is ons duidelijk geworden dat corporaties en dus ook DUWO een gebrek aan kennis van de regelgeving hebben,’’

Zijn er op basis van de PIA maatregelen getroffen?

Heleen vervolgt: ‘’We sluiten nu bewerkersovereenkomsten af met alle partijen waarmee we persoonsgegevens uitwisselen. Voorts is er een bewustwordingsproces bij onze medewerkers op gang gebracht hoe zij zorgvuldig met persoonsgegevens kunnen omgaan en zijn de autorisaties van de medewerkers geoptimaliseerd. We maken de beveiliging van persoonsgegevens een belangrijk onderdeel van ons risicomanagement.’’

Is een PIA wettelijk verplicht?

Arnoud: ‘’Op dit moment is een PIA wettelijk niet verplicht maar wel zeer aan te raden. Er wordt in Europees verband gewerkt aan nieuwe wetgeving waarin wel een PIA als eis wordt opgenomen. De Wet bescherming persoonsgegevens en haar Europese tegenhangers zijn gebaseerd op een Richtlijn uit 1995. De voorgestelde Verordening moet één regime voor privacybescherming in heel Europa brengen. Onder meer door verplichte PIA’s en de eis van documentatie over de privacyaspecten van elk informatiesysteem wil men het privacy bewustzijn verhogen en de risico’s voor de burger verkleinen.’’

ONAFHANKELIJK MAGAZINE OVER STRATEGIE, BEDRIJFSVOERING & ICT VOOR WONINGCORPORATIES NuMMER 3, 2014 53